谁可以发送、批准或导出

预付费短信业务风险主要由三个动词驱动：发送、批准和导出。发送负责提交真实 SMS 并扣减钱包余额。

IOSOR 要求对这三项权限进行明确拆分。导出权限归属于财务与产品数据分析团队。批准权限归属于上线与合规负责人，由他们实时监控 Runway 绿灯状态。

将三个动词映射至三位负责人

建立一张明确的矩阵表：人员或团队 → 发送 / 批准 / 导出。即使团队规模较小，也应优先划分独立的席位。如果某个成员必须临时兼任两个角色，必须明确记录双重身份并设定明确的卸任截止日期——绝不允许创建永久的超级管理员席位。

发送权限覆盖生产环境的提交 API、控制台群发工具以及能够脱离测试通道的自动化身份。批准权限覆盖营销活动的上线、模板审核发布，以及将草稿状态切换为 Live 的任何操作按钮。

财务导出权限绝不能继承发送权限

月末凌晨 02:00 的导出属于标准的财务工作。负责下载账单明细的席位决不能同时拥有生产环境发送权限。如果财务团队需要核对特定通道的消费情况，请为其配置导出与只读状态视图，而不是群发控制台。

每次调整角色权限后必须进行测试：使用导出席位登录系统，确认发送功能已被隐藏或拒绝访问。如果界面依然显示发送按钮，说明权限矩阵只是一张幻灯片，而不是真正的控制机制。当合作伙伴要求'一个管理员账户搞定所有事情'时，请用预付费模式的严肃性予以回应：拥有发送权限的导出账号，极其容易引发误发或绕过静默时间与 STOP 拒收逻辑。要么拆分动词，要么推迟上线。

批准权限必须紧扣 Runway 与合合规闸门

批准绝不是形式上的勾选框。它与首日 Runway 绿灯和生产合规闸门深度绑定。批准营销活动上线的负责人必须能够查看到 Webhook 心跳新鲜度、短信就绪状态以及合规审核进度，而不仅仅是营销排期表。绝不能允许导出权限拥有者'顺便'批准上线，理由是'他们已经有了管理员权限'。缺乏 Runway 证据的批准极易引发严重的故障工单，即使钱包资金充裕也无法解决。如果 Runway 指标呈红灯，即使钱包余额充足，批准操作也必须予以拒绝。

在首次上线前消除共享超级管理员

财务、工程与运营团队共用同一个密码会直接导致这三个动词的隔离机制崩溃。在首次生产发送之前，必须轮换为具名的专属席位。执行发送任务的自动化身份必须在系统中标注具体的责任人，而不是填写'共享机器人'。合作伙伴的白盒管理员同样遵循此规则：租户的导出角色必须完全脱离发送路径，确保页面控制闸门与合规声明真实有效。

相关运维路径

• 钱包月末 02:00 导出
• 首日准备：必须呈现绿灯的指标
• A2P 放量前的合规闸门

从 IOSOR 开始

请在 IOSOR 控制台中审查当前团队席位，并将每位成员明确分配为发送、审批或导出角色。若财务或会计人员需要账单导出权限，必须立即撤销其生产环境的发送特权。如果团队目前人手紧缺，可设置附带明确失效日期的临时双重角色豁免，但在通过正式上线门槛前，务必确保不存在任何共享的超级管理员账户。 把这条作业写进同一份运维清单，并在 Live 前再核对一次。 把这条作业写进同一份运维清单，并在 Live 前再核对一次。 把这条作业写进同一份运维清单，并在 Live 前再核对一次。 把这条作业写进同一份运维清单，并在 Live 前再核对一次。

IOSOR 要点

当月末报表席位拥有实时分发能力时，过于宽泛的访问权限会带来严重的运营风险。将这三个核心动作进行隔离，可确保日常的 02:00 账单下载不会意外触发生产环境的短信群发，也不会绕过合规审批流程。

务必将财务与会计席位严格限制在导出和只读状态，同时将审批权限绑定给负责监控网络钩子状态与合规关卡的团队负责人。切勿依赖共享的超级管理员账户，也不得让无人认领的自动化发送脚本处于无固定人类负责人监管的状态。