附录三 利益相关者身份、角色与权限模型
本附录把“是谁”“以什么角色参与”“能做什么”和“由谁承担后果”分开建模。自然人、组织和AI智能体都可能出现在系统中，但代理工具不能因可以签名或调用接口就被视为独立的最终责任主体。
一、五层模型
表A3-1 身份与权限的五层分离
| 层次 | 核心问题 | 记录内容 |
|---|---|---|
| 主体 | 谁在现实中承担权利义务 | 自然人、法人、非法人组织、责任主体 |
| 身份 | 系统如何把表示与主体联系 | 标识符、凭证、核验方法、有效期 |
| 关系 | 主体与组织处于何种关系 | 员工、客户、供应商、成员、受托人 |
| 角色 | 在特定事项中承担什么职责 | 申报者、核验者、审批者、支付者、监督者 |
| 权限 | 可以对哪个对象实施什么行动 | 读取、提交、确认、修改、暂停、恢复、委托 |
二、角色—权限基准矩阵
表A3-2 最小职责分离示例
| 角色 | 提交贡献 | 核验证据 | 批准资本形成 | 配置权益 | 执行支付 | 修改规则 | 审计复核 |
|---|---|---|---|---|---|---|---|
| 贡献申报者 | 是 | 否 | 否 | 否 | 否 | 提案 | 查看自身 |
| 业务确认者 | 查看 | 是 | 建议 | 否 | 否 | 提案 | 提供材料 |
| 资本委员会 | 查看 | 复核 | 是 | 建议 | 否 | 提案 | 接受审计 |
| 权益管理员 | 查看决定 | 否 | 否 | 按决定登记 | 否 | 否 | 提供记录 |
| 财务执行者 | 查看资格 | 否 | 否 | 否 | 是 | 否 | 对账 |
| 治理机构 | 查看 | 指定 | 授权 | 授权 | 监督 | 是 | 接收报告 |
| 独立审计者 | 只读 | 复核 | 只读 | 只读 | 只读 | 建议 | 是 |
矩阵是基准，不是固定组织架构。小型组织可以合并角色，但必须记录冲突、替代控制和复核方式。任何人不得仅因掌握系统管理员权限而自动取得业务批准权。
三、授权记录字段
表A3-3 授权最小记录
| 字段 | 要求 |
|---|---|
| 授权编号 | 全局唯一，能够被撤销和追溯 |
| 授权主体与代理 | 分别标识作出授权者、执行者及最终责任主体 |
| 角色与事项 | 说明本次授权适用的业务角色和对象范围 |
| 允许行动 | 采用明确动作列表，不使用“全部权限”等模糊表达 |
| 金额、频率和风险限额 | 对资产、数据和自动化操作设置上限 |
| 生效与终止 | 包括开始时间、到期、撤销、关系终止和密钥更换 |
| 转委托条件 | 是否允许、允许给谁、是否需再次批准 |
| 人工复核阈值 | 哪些情形必须暂停自动执行并交人处理 |
| 证据与日志 | 保存批准依据、调用记录、版本和异常信息 |
四、角色生命周期
角色应经历申请、核验、批准、激活、使用、定期复核、变更、暂停和终止。关系终止不一定自动删除历史记录，但必须停止未来权限；密钥仍然有效也不能继续代表已经终止的组织授权。恢复权限时应重新核对主体、角色和事项，不能只恢复设备访问。
五、多重身份与反操纵
系统应分别处理自然人的多个业务角色、组织的多个代理入口以及同一控制者制造大量虚假身份三类问题。反女巫措施可以使用实名核验、组织担保、押金、关系证明、行为分析或限额，但每种方法都可能带来排斥、隐私和权力集中。采用前要说明防范的具体攻击，不以“唯一身份”作为无限收集个人信息的理由。
六、AI智能体责任卡
每个进入生产环境的智能体都应记录：责任组织、业务所有者、模型与工具版本、可访问数据、允许调用、资金限额、禁止事项、人工复核阈值、暂停入口、输出标识、日志期限和损害处理人。智能体可以作为技术代理和事件参与者记录，但其行动不得切断对授权者、部署者和采用结果者的追责路径。
审读补强：代表、身份等级与密钥独立性
| 对象 | 必填控制 |
|---|---|
| 代表关系 | 所代表群体、事项、任期、利益披露、协商、报告、罢免、补位 |
| 委托关系 | 可否再委托、撤回方式、受托权重、集中度、关联方合并计算 |
| 身份等级 | 证明目的、最少字段、签发/验证者、期限、撤销、升级触发 |
| 多签/门限 | 密钥保管域、设备与人员独立性、阈值变更、恢复等待、恢复后撤权 |
使用与控制栏
| 字段 | 填写要求 |
|---|---|
| 对象与适用范围 | 说明组织、业务、群体、资产或系统边界 |
| 负责人/批准人 | 分别记录编制、维护、批准与独立复核责任 |
| 版本与日期 | 版本、生效日、复核日、失效或替换版本 |
| 证据与保留 | 证据位置、访问权限、保留期和删除/归档规则 |
| 法域与专业审查 | 适用法域、法律/技术/治理/财务审查人及状态 |
| 状态与关闭证据 | 草案、试验、有效、暂停、终止；附批准、测试或复核证据 |
控制栏未填写完整时，本附录只能作为建模或审议工具，不能被表述为已经生效的合同、决议、登记、会计确认或系统控制。