一个销售离职，人事通知了 CRM 管理员，CRM 账号当天停掉。三天后同事发现，他的 ERP 账号还能登，企业微信还在群里，报价系统里的客户价格表也还能打开。不是没人管，是没人说得清他一共有几个账号，也没人知道该由谁去停。

一、账号分散的代价

一是漏停，离职只停主系统，周边系统靠人情提醒；二是权限漂移，员工调岗后旧权限不回收，越积越多，两年后一个人能看到全公司的客户；三是维护成本，改一次密码要改六处，忘密码的求助占了内部支持很大一块时间。

二、先定一个主账号源

主账号源只能有一个，通常是人事系统或 CRM 的组织架构。以谁为准，就由谁负责开通和停用，其他系统只做同步，不做二次维护。两头都能改，就一定会有对不上的时候，而且对不上时没人愿意认。

三、同步四个字段就够

  • 姓名与工号：工号是主键，重名不会混淆。
  • 部门与岗位：决定数据范围与角色。
  • 直属上级：决定审批流向与可见范围。
  • 在职状态：在职、调岗、离职三种，触发不同的动作。

四、开通与停用的时限

  • 入职当天开通基础账号，权限按岗位模板给，不逐个点。
  • 调岗二十四小时内完成权限调整，旧岗位权限同步收回。
  • 离职当天停用全部系统，不停用不允许办离职手续。
  • 每月核对一次在职名单与账号清单，差异当月清零。

五、单点登录解决什么，不解决什么

单点登录解决的是登录入口和密码，一个人一套凭据进所有系统；它不解决权限，谁能看哪个客户、哪个字段，仍要按角色和数据范围配。把这两件事混在一起，往往上线后才发现，登录是方便了，权限反而更松，因为大家默认登进去就是自己人。上线顺序也要讲究：先梳理组织架构与岗位，再配角色与数据范围，然后接单点登录，之后才停用各系统的旧密码。反过来做，员工同时面对登录和权限两种变化，抱怨会集中爆发。

六、举例说，幽灵账号有多少

假设公司一百二十人，平均每人六个系统账号，共七百二十个。一年离职十八人，按六个系统算，需要停用一百零八个账号。如果靠人工逐个系统通知，按两成漏停估算，会有二十一个账号在员工离开后仍然有效。这二十一个账号里，只要有一个还能导出客户名单，风险就不是概率问题，而是时间问题。

这套主账号源加单点登录的做法，用 9527CRM 这类轻量级 CRM 的用户与角色管理、组织架构同步就能落地：部门与岗位从主账号源同步，角色按岗位配，在职状态变更自动触发停用提醒；由于支持私有化部署，账号与组织数据留在企业自己的内网，可与自家 OA、ERP 按自己的节奏打通，也支持国产化环境适配，管理者要的是可控，不只是一套工具。