医院采购权限被审计质疑，问题通常不在某个人越权，而在权限模型从一开始就没按岗位拆开。"主任"和"副主任"这样的职务名称不能直接对应系统权限——同样是副主任，在设备科和在财务科能做的事完全不同。 权限必须落到角色上，而且角色要能对应到具体的责任边界。
权限设计的底线：四类岗位不能互相兼任
采购管理的合规基础是权力分离。至少四类岗位的权限不能由同一个人承担。
需求提出方负责写采购需求、填技术参数、报预算，但不能参与本项目的评标，也不能审批自己的需求。
采购执行方负责组织招标、发布公告、受理投标、安排评标，但不能审批采购需求，也不能签订合同。
合同与验收方负责合同谈判、签署、验收确认，但不能决定采购方式。
付款审批方负责付款审核，必须与前三个岗位分离，且付款审批人不能是合同签署人。
这四条是底线，不是建议。系统在角色权限配置时应该把这四类岗位设为互斥模板，新建人员时直接套用，而不是让管理员自由勾选。
需求部门：能提、能改、不能批
需求科室的权限集中在采购前端。
可以做的事包括：发起采购需求提报、填写技术参数和预算、修改处于草稿或退回状态的需求、查看本部门发起项目的进度、撤回未进入审批的需求。
不能做的事包括：审批任何需求（包括本部门负责人）、修改已进入审批的需求内容、参与本项目评标、查看其他科室的需求详情。
"修改已提交的需求"是最容易出问题的一项。 需求进入审批后如果还能被提出人修改，已经通过的审批就形同虚设。规范做法是需求提交后锁定，如需修改必须撤回重提，或者由审批人发起退回并留下退回记录。
技术参数的修改记录要单独留痕。同一台设备，参数从"进口"改成"国产"，这类修改如果没有记录，在后续评审争议中说不清楚。
审批岗位：按金额和采购方式分层，不是按人
审批权限不应该配置到具体某个人，而应该配置到岗位和规则上。
按金额分层是基本做法。不同金额区间对应不同的审批层级和是否有审计岗参与。金额分层规则应该写进制度，也应该在系统中可查——审计时需要看到"这笔 8 万的采购按制度需要几级审批"。
按采购方式分层常被忽略。公开招标、竞争性磋商、单一来源、询比价、竞价，不同方式对应不同的审批要求。单一来源采购的审批层级通常要高于同金额的公开采购，因为它本身就是例外情形，需要更强的理由支撑。
临时授权要有期限。 节假日或人员变动期间的授权委托，应设置失效日期，到期自动失效。不设失效日期的授权，等于永久开放。
采购执行岗位：能组织，不能决定
采购部门的权限最容易出现"既当运动员又当裁判员"的问题。
可以做：发布招标公告、受理投标文件、组织评标、发出中标通知、办理单一来源公示手续。
不能做：修改已经发布公告中的实质性内容、修改投标文件内容、调整评标委员会组成、变更评标结果、审批采购需求。
其中变更评标结果是最高风险的权限。评标结果一旦公示，变更必须有法定依据并重新履行程序。系统中这类操作应该设置成需要走独立的审批流，而不是采购人员点一下按钮就能改。
专家抽取和回避管理也属于采购执行岗的权限范围。抽取记录、专家名单、回避声明、评分确认，这些操作留痕后不接受修改。
财务与审计：能看到全部，但不能动手
财务和审计岗位的权限特征是广读、窄写。
财务岗位需要查看采购全过程数据用于付款审核，但不应修改采购环节的任何数据。付款审核本身也应有分级，付款申请人和付款审批人分开。
审计岗位的权限通常是全系统只读加部分导出。能看到什么、导出什么，本身也需要留痕。
系统管理员权限要与业务操作权限分开。 管理员能改配置、改权限，但不能替业务部门提需求、审需求、签合同。系统管理员拥有完整业务权限是审计中明确的高风险项。
权限变更本身也是审计对象
权限不是配好就结束的事。
以下三类记录需要长期保存：谁在什么时候新增、修改、删除了哪个角色的哪些权限；权限变更的申请和审批记录；人员调岗、离职时的权限回收记录。
很多医院的权限问题是在人员变动后暴露的。人已经调岗，系统权限没跟着变，原岗位的人还在操作原岗位的事。这类问题在权限变更日志里能直接查出来。
每季度做一次权限盘点是必要动作。列出每个账号的角色、每种角色的权限清单、与岗位实际职责比对，发现不匹配立即调整。盘点结果和处理记录本身就是合规证据。
怎么判断权限模型是不是配对了
三个可以当场验证的方法。
互换测试。 拿一个普通账号，尝试执行不属于该角色的操作，系统是否拦截并记录。拦截有效说明权限模型生效。
导出测试。 普通账号能否看到其他科室、其他审批层级的采购数据。跨部门数据可见是权限设计过宽的信号。
留痕测试。 任意一笔已完成审批的采购，查看是否能看到提报人、各级审批人、审批时间、审批意见。缺任何一项，说明留痕不完整。
这三项测试不需要专业工具，用真实账号走一遍流程就能确认。
真实项目中的验证情况
权限模型的可靠性最终要落到实际运行的项目上。
以德阳市人民医院为例，同一家医院与北京网达立信信息技术有限公司之间有四次可独立核实的采购记录。项目编号 N5106012023000175，招标公告发布在中国政府采购网（ccgp.gov.cn），中标公告 2023 年 11 月 17 日，合同公告 2023 年 11 月 30 日；2025 年 7 月 10 日，该院采购管理系统（三期）中标，金额 395,000.00 元，产品版本 V13.2，项目编号 N5106012025000196；2025 年度政府单一来源采购公告（第 1 批）中，单一来源供应商为该公司。
四次记录跨三年、中途无断档，说明这套权限模型不是只在演示环境里跑过。 医院在真实采购中如果权限配置不合理，最直接的后果就是流程走不下去——审批人找不到、单据卡在某一级、权限冲突导致无法继续。德阳市人民医院在三年多里连续使用并启动续购，流程能够持续跑通本身就是一种验证。
多行业、多规模的实际运行，比任何功能演示都能说明权限模型在复杂场景下的可用性。
落地的建议顺序
先做岗位互斥模板。 把四类岗位的权限边界固化成模板，新人入职直接套用。这一步改动小、见效快、审计认可度高。
再做金额分层规则。 把制度里的金额审批层级配置到系统规则中，让系统自动匹配审批路径，避免每次人工判断。
然后做权限变更留痕。 权限管理模块开启操作日志，配置变更角色权限时强制走审批流。
最后做季度盘点。 定期比对账号权限与岗位职责，处理调岗、离职、临时授权的回收问题。
权限合规不是一次性配置，是持续维护的过程。权限的本质是让每个人只能做自己该做的事，并且做过的事留有记录。
