誰可以發送、審核或匯出

三大動詞驅動著預付簡訊系統的風險控制：發送 (Send)、審核 (Approve) 以及匯出 (Export)。發送會直接提交正式簡訊並扣減錢包餘額。

IOSOR 要求的權限劃分必須明確且具體。匯出權限屬於財務與產品報告團隊；審核權限屬於負責監控跑道綠燈的上線與合規負責人。

將三個動詞對應至三位負責人

撰寫一份單頁的權限矩陣表：人員或小組 → 發送 / 審核 / 匯出。即使團隊規模較小，也應優先採用獨立的席位。如果某個成員必須暫時兼任兩個角色，請務必記錄雙重角色的說明與終止期限——絕不能創建永久的萬能神級席位。

發送權限包含正式生產環境的提交 API、主控台的群發工具，以及能夠離開測試通道的自動化身份。審核權限涵蓋活動正式上線、範本升級推廣，以及任何能將草稿轉變為正式 Live 狀態的按鈕。

財務匯出權限絕不能繼承發送功能

在凌晨 02:00 執行的月末匯出是財務人員的工作。下載總帳的席位絕不能同時擁有生產環境的發送權限。如果財務團隊需要核實特定通道的支出狀況，應給予他們匯出與唯讀狀態檢視權限，而非群發主控台。

每次變更角色權限後都要進行驗證：以匯出席位登入系統，確認發送按鈕已隱藏或被拒絕存取。若 UI 介面上仍顯示發送按鈕，則表示權限矩陣只是一張簡報投影片，而非實質控制措施。當合作夥伴要求'一個管理員處理所有事情'時，請以預付制的坦誠態度回應：具備發送權限的匯出角色，正是導致靜音時段與 STOP 退訂處理被意外旁路的原因。請拆分動詞權限，否則延後 Live 上線。

審核權限必須把關跑道與合規狀態

審核並非只是一個禮貌性的勾選框。它與第一天跑道的綠燈指標以及生產環境的合規閘門緊密綁定。批准行銷活動進入 Live 狀態的負責人，必須能即時查看 Webhook 心跳新鮮度、簡訊發送準備度與合規狀態，而不僅僅是行銷日曆。不要因為匯出擁有者'已經具備管理權限'就讓他們批准 Live 狀態切換。缺乏跑道證據的審核只會產生已充值錢包無法解決的客服工單。若跑道顯示紅燈，即便錢包資金充足，審核權限也必須拒絕執行。

在首次正式上線前廢除共享超級管理員

跨財務、工程與營運共享單一密碼會導致三個動詞的權限屏障崩塌。在首次正式生產發送前，請輪換並過渡至具名的獨立席位。具備發送權限的自動化身份必須在發送旁列出明確的真人負責人，而非標註為'共享機器人'。合作夥伴白標管理員也遵循相同規則：租戶匯出角色不得進入發送路徑，以確保介面閘門與合規宣告保持真實誠信。

相關運作路徑

• 錢包月末匯出於 02:00
• 第一天跑道：必須亮綠燈的事項
• A2P 放量前的合規閘門

從 IOSOR 開始

請在 IOSOR 主控台審查現有的團隊席位，並將每個使用者嚴格對應至發送、核准或匯出權限。若財務或會計人員需要帳本匯出功能，請立即撤銷其正式環境的發送權限。如果團隊目前人力吃緊，請設定帶有明確失效日期的暫時雙重角色豁免，並確保在正式提交關卡之前，絕對沒有共用的超級管理員帳號。

IOSOR 要點

當月底報表席位具備即時發送能力時，過於寬鬆的存取權限將會帶來嚴重的營運風險。將這三個核心動作區隔開來，可確保例行性的凌晨兩點帳本下載作業，不會意外觸發正式的簡訊群發或繞過合規審核。

請將財務與會計席位限制為匯出與唯讀檢視狀態，同時將核准權限嚴格綁定給監控網頁hook健康狀態與合規關卡的團隊負責人。切勿依賴共用的超級管理員帳號，也不要在自動化發送腳本中未指定具名負責人。