Кто что видит в ЗУП 3.1: разграничиваем доступ кадровиков, расчетчиков и руководителей

Права пользователей в 1С ЗУП 8.3 (редакция 3.1) настраиваются в разделе Администрирование → Настройки пользователей и прав. Схема всегда одна: создаёте пользователя, выбираете для него профиль (набор ролей «что можно делать») и включаете его в группу доступа (кто и с какими данными работает). Роли руками в Конфигураторе не раздают: программа сама пересобирает их из групп доступа.

Если нужно, чтобы кадровик одной организации не видел сотрудников другой, а руководитель отдела не открывал чужие начисления, дополнительно включается ограничение доступа на уровне записей по организациям и группам физических лиц. Всё описанное относится к ЗУП 3.1 в интерфейсе «Такси».

Где в ЗУП 3.1 настраиваются права пользователей

Откройте раздел Администрирование на панели разделов и перейдите по ссылке Настройки пользователей и прав. На этой странице собраны все инструменты:

• 👤 Пользователи — список учётных записей для входа в программу;
• 🧩 Профили групп доступа — шаблоны прав: какие роли входят в набор и какие виды ограничений в нём используются;
• 👥 Группы доступа — связка «профиль + участники + ограничения по данным»;
• 🗂 Группы пользователей — включаются флажком, удобны, когда сотрудников много и они делятся по отделам;
• 🔒 флажок Ограничивать доступ на уровне записей — включает фильтрацию по организациям и физическим лицам;
• ⚙️ Персональные настройки пользователей — копирование и очистка настроек форм, панелей, отчётов.

Связь между объектами проще держать в голове таблицей:

Для этих настроек нужны права администратора. Обычный пользователь раздела Администрирование либо не увидит, либо увидит без ссылки на настройку прав.

Создание пользователя в ЗУП и настройки его входа

1. В Администрирование → Настройки пользователей и прав откройте Пользователи и нажмите Создать.
2. Заполните Полное имя — так пользователь будет подписан в списке выбора при входе и в журнале регистрации.
3. В поле Физическое лицо выберите сотрудника из справочника. Связь нужна, чтобы программа понимала, чьи это данные: например, при ограничении доступа к собственным персональным данным и в отчётах «кто внёс изменения».
4. Проверьте, что включён флажок Вход в программу разрешен.
5. Выберите способ входа:
   • Аутентификация 1С:Предприятия — задайте имя для входа и пароль кнопкой установки пароля. Если пароль временный, отметьте требование сменить его при первом входе;
   • Аутентификация операционной системы — укажите доменного пользователя в формате ДОМЕН\имя. Тогда пароль в 1С вводить не нужно.
6. Нажмите Записать, но не закрывайте карточку: следующим шагом назначаются права.

После записи пользователь уже может войти, но без групп доступа у него почти пустой интерфейс: разделы, на которые нет прав, программа просто не показывает.

Что с интерфейсом пользователя

В ЗУП 3.1 отдельного «интерфейса для кадровика» выбирать не нужно. Панель разделов строится по правам: расчетчик увидит Зарплату и Выплаты, кадровик без доступа к расчёту — Кадры и Отчётность, справки без лишнего.

Если хотите, чтобы у нового сотрудника панель и формы выглядели как у коллеги, настройте эталонного пользователя, а затем перенесите его оформление через Персональные настройки пользователей → Копирование настроек. Права при этом не копируются — только внешний вид.

Профили и группы доступа: назначаем роли пользователю

В ЗУП уже есть поставляемые профили: Администратор и набор профилей под типовые обязанности кадровой службы, расчетного отдела и руководителей. Откройте список Профили групп доступа и прочитайте описания — по ним видно, под какую должность собран каждый профиль.

Когда хватает готового профиля

Если профиль подходит целиком, создавать ничего не нужно:

1. Откройте Группы доступа → Создать.
2. Укажите наименование группы, например «Кадровики ООО Север».
3. В поле Профиль выберите подходящий поставляемый профиль.
4. На вкладке Участники добавьте пользователей (или группу пользователей).
5. Нажмите Записать и закрыть.

Второй путь — из карточки пользователя. Перейдите по ссылке Права доступа : откроется список групп доступа, где флажками отмечаются нужные. Это удобнее, когда настраиваете одного человека.

Когда профиль нужно доработать

Поставляемые профили менять нельзя: при обновлении конфигурации они восстанавливаются. Поэтому порядок такой:

1. В списке Профили групп доступа выделите близкий по смыслу профиль и скопируйте его.
2. Дайте копии понятное имя: «Кадровик без зарплаты».
3. На вкладке ролей снимите или добавьте флажки. Чтобы быстро найти роли по теме, используйте поиск по списку: слово зарплат покажет всё, что связано с начислениями, слово персональн — с персональными данными.
4. На вкладке Виды доступа решите, что ограничивать (подробнее — в следующем разделе).
5. Запишите профиль и выберите его в нужной группе доступа.

Не раздавайте роли в Конфигураторе через Администрирование → Пользователи. При следующей записи группы доступа программа пересоберёт роли из профилей, и ручные изменения пропадут. Хуже — до этого момента в базе будет пользователь с правами, которых нет ни в одной группе, и найти его будет трудно.

Ограничение доступа по организациям и сотрудникам

Роли отвечают на вопрос «можно ли вообще открыть документ». Ограничение на уровне записей — на вопрос «какие именно документы и по каким людям». Без него кадровик с ролью на «Приём на работу» видит приёмы во всех организациях базы.

Включаем ограничение

1. В Администрирование → Настройки пользователей и прав установите флажок Ограничивать доступ на уровне записей.
2. Программа запустит фоновое обновление доступа. В большой базе оно идёт заметное время, и пока не закончится, пользователи могут видеть неполные списки.

Настраиваем виды доступа

В ЗУП основные виды ограничения — Организации и Группы физических лиц. Настройка двухуровневая:

• в профиле на вкладке Виды доступа отмечается, по какому виду ограничивать и где задаются значения: обычно выбирают вариант, при котором исключения назначаются в группах доступа;
• в группе доступа на вкладке ограничений выбирается режим «Все разрешены» или «Все запрещены» и список исключений.

Пример. В базе три организации: «Север», «Юг», «Центр». Кадровик Сидорова ведёт только «Юг». Создаёте группу «Кадровики Юг», в ограничении по организациям ставите «Все запрещены» и добавляете исключение «Юг». Сидорова открывает журнал кадровых документов и видит только «Юг», а в отчётах — только его сотрудников.

Группы физических лиц

Этот вид ограничения нужен, когда внутри одной организации есть люди «под грифом»: директор, главный бухгалтер, топ-менеджеры. Их выделяют в отдельную группу физических лиц, и в группе доступа обычного расчетчика эту группу запрещают. Расчетчик продолжит считать зарплату всем остальным, а начисления руководства будет вести отдельный сотрудник.

Как защитить персональные данные сотрудников

Паспорт, адрес, СНИЛС, сведения о здоровье и семье — персональные данные. Трудовой кодекс (глава 14) требует, чтобы доступ к ним имели только уполномоченные лица и только в объёме, нужном для работы. Настройка прав в ЗУП — один из способов это обеспечить.

Что настроить в программе:

• 🔐 Отдельный профиль для работы с личными данными. Сотрудник, который только вносит табель, не должен открывать паспортные данные. Роли, связанные с персональными данными, ищутся по слову персональн в списке ролей профиля.
• 🧾 Ограничение по группам физических лиц — для данных руководства, как описано выше.
• 📒 Регистрация событий доступа. В блоке защиты персональных данных в разделе Администрирование можно включить запись в журнал регистрации, кто и когда открывал персональные данные. При проверке это ответ на вопрос «кто смотрел карточку».
• ✍️ Согласия на обработку. Документ «Согласие на обработку персональных данных» хранится в ЗУП и фиксирует, на какие цели работник дал согласие.

Проверяем права пользователя после настройки

Не отдавайте учётную запись сотруднику, пока не проверили её. Три способа, от быстрого к надёжному.

1. Отчёт по правам. В карточке пользователя откройте отчёт о правах доступа. Он показывает, в каких группах состоит человек, какие у него роли и какие ограничения по организациям действуют. Сверьте с тем, что задумывали.

2. Обратная проверка по объекту. Нужно понять, кто вообще видит документы организации «Юг»? Откройте список групп доступа и отфильтруйте по профилю или посмотрите вкладку ограничений каждой группы. При десятке групп это пять минут.

3. Вход под пользователем. Самый честный тест. Запустите второй сеанс 1С, войдите под настроенным пользователем и пройдите его рабочий день: откройте список сотрудников, создайте черновик документа, сформируйте отчёт, распечатайте форму. Черновики потом удалите.

Ошибки при разграничении прав в ЗУП

Здесь — не сбои программы, а решения, о которых потом жалеют.

• ❌ Всем выдали «Администратора», чтобы не разбираться. Через год никто не помнит, кто менял настройки учёта и почему пересчиталась зарплата за прошлый квартал. Администратор в базе — один-два человека.
• ❌ Одна учётная запись на отдел. Журнал регистрации показывает «Кадры», а не конкретного человека. При утечке или ошибке в начислениях не найти, кто это сделал.
• ❌ Уволенный сотрудник остался с разрешённым входом. Пользователя не удаляют (на него ссылаются документы), а снимают флажок разрешения входа в день увольнения.
• ❌ Ограничение по организациям настроили, а флажок на уровне записей не включили. Вкладки ограничений в группах заполнены, но без общего флажка они не действуют.
• ❌ Группу «Администраторы» оставили пустой или удалили из неё последнего человека. Программа этому сопротивляется, но если доступ всё же потерян, восстанавливать его придётся через Конфигуратор силами того, у кого есть права на базу.
• ❌ Не проверили права на печать и отчёты. Документ открывается, а печатная форма или регламентированный отчёт — нет, потому что роль отчёта в урезанном профиле сняли вместе с лишним.

Частые вопросы