При работе в 1С:Зарплата и управление персоналом 3.1 КОРП многие технические специалисты и администраторы сталкиваются с серьезной проблемой: при включенном механизме RLS (ограничение доступа на уровне записей) пользователи филиалов не могут сформировать статистический отчет П-4. Система выдает ошибку «Недостаточно прав», даже если у пользователя есть доступ к своей организации.
В этой статье мы подробно разберем, почему возникает эта ошибка, как устроена архитектура ограничений в ЗУП и какие существуют способы решения — от административных настроек до программных доработок.
Разберем ситуацию на примере. Предположим, в информационной базе ведется учет по нескольким организациям: Центральный офис (ЦО) и Филиал №1. Сотрудник Иванов в июне был переведен из ЦО в Филиал №1. Расчетчик Филиала №1 имеет доступ только к своей организации, по физическим лицам ограничений нет (или разрешены все). Однако при попытке сформировать П-4 за 9 месяцев система блокирует выполнение запроса.
Проанализируем причину. Отчет П-4 собирает данные не только по текущим сотрудникам организации, но и анализирует их кадровую историю, среднесписочную численность и начисления за весь период. В архитектуре ЗУП 3.1 расчет НДФЛ, страховых взносов и многих статистических показателей неразрывно связан с объектом Физическое лицо. Когда система выполняет запрос к данным сотрудника Иванова, она «видит», что в периоде отчета он числился в ЦО. Поскольку у пользователя нет прав на ЦО, механизм RLS блокирует весь запрос целиком, так как он пытается прочитать «запрещенные» записи из регистров сведений или накопления.
Важно понимать, что полная изоляция подразделений и организаций в одной базе при наличии общих сотрудников (или перемещений между ними) разработчиками 1С практически не гарантируется. Это связано с тем, что законодательство требует вести учет по физлицу в целом.
Рассмотрим стандартный способ обхода проблемы без изменения программного кода. Согласно документации 1С, для корректной работы в таких случаях необходимо настраивать доступ не только по организациям, но и по Группам доступа физических лиц.
Выполним следующие шаги:
Важный нюанс: Если в базе много перемещений, этот метод быстро превращается в «административный кошмар», так как кадровикам приходится постоянно отслеживать переводы и менять группы доступа у физлиц. Кроме того, если пользователю запрещена хотя бы одна группа доступа физлиц, которая косвенно затрагивается в запросе отчета, отчет все равно может выдать ошибку прав.
Если административные меры не помогают или слишком трудозатратны, проанализируем программный способ решения. Суть заключается в том, чтобы временно отключить проверку RLS в момент сбора данных для отчета. Это оправдано, так как отчет П-4 является статистическим и часто требует агрегированных данных, к которым у расчетчика может не быть прямого доступа через документы.
В модуле формирования отчета или в месте вызова запроса можно установить привилегированный режим. Посмотрим на пример реализации:
// В месте формирования запроса или получения данных для П-4
УстановитьПривилегированныйРежим(Истина);
// Выполняем запрос к данным, который ранее блокировался по RLS
РезультатЗапроса = Запрос.Выполнить();
ТаблицаДанных = РезультатЗапроса.Выгрузить();
УстановитьПривилегированныйРежим(Ложь);
Такой подход позволяет отчету получить данные из «запрещенных» для пользователя организаций (например, историю перемещений сотрудника), но при этом пользователь по-прежнему не сможет открыть сами документы или карточки сотрудников этих организаций в интерфейсе.
Проанализируем еще одну особенность КОРП-версии. Многие отчеты (включая П-4 и отчеты по взносам) корректно работают только в том случае, если у пользователя есть права на Головную организацию. Даже если расчет ведется только по филиалу, система часто обращается к данным головного учреждения для проверки констант, учетной политики или общих данных физлиц.
Рекомендуется:
Выясним причину, почему иногда права настроены верно, а отчет все равно падает. В 1С v8.3 существует два режима работы RLS: Стандартный и Производительный. В стандартном режиме ограничения накладываются через сложные подзапросы в SQL, что часто приводит к ошибкам при работе с временными таблицами в СКД (которые активно используются в П-4).
Попробуем изменить режим работы:
В производительном режиме данные ограничений кэшируются в специальных таблицах, что позволяет системе безопасности более корректно обрабатывать сложные связи между сотрудниками и организациями без блокировки всего отчета.
Чтобы не снимать конфигурацию с поддержки, рассмотрим вариант использования расширения. В расширении можно перехватить процедуру сбора данных для П-4 (обычно это функции в модулях ЗаполнениеСтатистическихОтчетов или специализированные менеджеры отчетов) и добавить туда УстановитьПривилегированныйРежим(Истина).
Это признается наиболее «чистым» техническим решением, так как оно не ослабляет общую безопасность системы, но решает проблему конкретно для статистической отчетности, которая в КОРП-версиях часто работает некорректно при жестком разделении прав.
Важное резюме: Если вы столкнулись с ошибкой прав в П-4, в первую очередь проверьте, были ли переводы сотрудников между организациями. Если да — используйте расширение для включения привилегированного режима при формировании отчета, так как штатные настройки групп доступа физлиц в крупных базах практически невозможно поддерживать в актуальном состоянии.