策略、审批与治理

所有受治理的操作均遵循相同的流程，无论是转移资金还是变更组织自身配置：

1 - 发起。工作流程配置文件中持有该工作流程“发起”（或“执行”）权限的成员可发起请求。对于提款和划转操作，发起人还须在相关账户上拥有匹配的资金划转权限。

2 - 即时完成检查。若该成员持有“执行”权限，且工作流程的“始终要求审批”设置为关闭，则请求将立即完成。可以。有一种例外情况：变更已锁定策略的请求，无论发起人持有何种权限，均须等待审批。详见下方“锁定策略”。

3 - 审批队列。否则，请求将进入等待审核状态。在该工作流程中持有“审批”权限的成员可在其队列中查看该请求。

4 - 处理结果。达到所需的独立审批数量后，请求完成并生效。任一审批人可拒绝请求，请求随即终止，不产生任何效果。

已完成的请求将记录为安全事件，并关联至该请求及其审批记录。

成员无法审批自己发起的请求。系统在所有工作流程中强制执行此规则，任何权限、配置文件或策略配置均无法覆盖。

单个成员独自完成受治理操作的唯一方式，是持有“执行”权限，且仅在工作流程策略允许即时完成时方可实现。

每个工作流的策略包含两项设置：

"执行"权限与"始终要求审批"设置之间的交互关系如下：

"执行"权限不会被策略移除，始终保留在权限档案中。"始终要求审批"开启期间，该权限将显示为休眠状态；若后续将该设置关闭，"执行"权限将恢复生效。

1. 请前往策略，选择相应工作流（例如提款请求）。
2. 设置所需的审批人数。
3. 选择是否开启“始终要求审批”。
4. 查看当前各级别的成员分配情况。策略编辑器会在设置旁显示团队的权限级别，以便在保存前确认配置可执行。
5. 确认。

策略变更本身也属于受治理操作，在"管理策略"工作流下执行。若该工作流要求审批，您的变更将与其他请求一样进入审批队列等待处理。

每项策略均保留独立的变更历史记录：每次更新、锁定与解锁均会连同对应的审批请求一并记录，方便随时查看变更内容、发起人及审批人。已完成的变更同样会记录为安全事件。

锁定是治理流程中的确认环节。锁定后，对该工作流策略的任何变更（包括修改所需审批人数、更改“始终要求审批”设置或执行解锁）均须经过独立审批。

无论目标策略是否已锁定，所有策略变更均以“管理策略”请求的形式执行。锁定不会改变变更的处理路径，只影响其完成方式：

• 对未锁定策略的变更遵循常规请求生命周期。若成员在“管理策略”工作流中持有“执行”权限，且该工作流的“始终要求审批”设置为关闭，则可立即完成变更。
• 对已锁定策略的变更（包括修改所需审批人数、“始终要求审批”设置或执行解锁），始终须等待持有“管理策略”审批权限的成员审核。锁定会针对该策略覆盖“执行”权限，且对所有人一视同仁：所有者的变更与其他人一样须经过同等审核。

一旦锁定，任何人均无法单独削弱该工作流的治理强度。变更流程保持常规，凡工作流配置文件授予“管理策略”审批权限的成员均可审核并批准，但每次变更至少需要两人参与。

锁定以工作流为单位。锁定“提款请求”工作流不影响“划转请求”或其他任何工作流，您可按自己的节奏逐一收紧各工作流。推荐的实施步骤，请参阅治理推出指南。

锁定与解锁也是请求

“管理策略”工作流下共有三类请求。在审批队列、各策略的变更历史记录及安全事件中，您均可看到这些请求的名称：

锁定并不豁免于自身规则：锁定请求与其他任何"管理策略"请求遵循相同的生命周期。若您在"管理策略"工作流中持有"执行"权限，且其"始终要求审批"设置为关闭，则锁定立即生效；否则请求进入审批队列，策略保持解锁状态，直至请求获批。

策略变更的完成方式

综合以上规则，"管理策略"请求的结果如下：

策略变更的两种治理方式

两种控制机制相辅相成，互不冲突：只要其中一项适用，变更即须等待审批；同时启用两者也不会带来额外影响。如需逐步收紧单个工作流，请使用锁定功能；如需对所有策略变更统一审批，请启用“管理策略”中的“始终要求审批”设置。

锁定"管理策略"本身

"管理策略"与其他工作流一样，拥有自己的策略，该策略也可设置锁定。锁定"管理策略"是治理体系部署的最终承诺步骤。一旦"管理策略"的策略被锁定，组织内任何规则的变更——包括解锁任意策略，以及解锁"管理策略"本身——均须经过独立审批。此后，任何人都无法单独通过产品放宽治理设置。

因此，在锁定之前，请务必确认解锁路径仍可执行，详见下方“安全保障”部分。产品本身不会阻止您将策略锁定至无人可修改的状态。请参阅治理部署指南，了解何时执行此步骤。

锁定前，请先确认解锁路径仍可执行。解锁是针对已锁定策略发起的"管理策略"请求，因此"执行"权限无法绕过此流程。需要一名可发起"管理策略"请求的成员，以及该工作流所要求数量的其他持有"管理策略"审批权限的成员，且所有人均须完成验证并处于活跃状态。系统不会自动为您检查上述条件。若已锁定的策略没有可通过审批的变更路径，则需联系Kraken 客服团队协助恢复。

防止锁死。若某项变更会导致工作流中无人能完成已发起的请求，系统将拒绝该变更。由于成员无法审批自己的请求，一旦所需审批数超过任一发起人在自身请求中可获得的审批数，便会触发此情况。该检查在两种情况下均会执行：编辑策略时，以及变更成员的工作流配置文件或账户角色时。

停用警告。停用持有"审批"权限的成员前，请先确认审批人覆盖是否充足。即使停用操作会导致工作流的审批人数低于所需数量，系统仍会继续执行；待处理的请求将沿用创建时所适用的审批阈值。

策略配置完成后，请参阅治理部署指南，了解如何安全落地：逐个工作流完成配置、验证并锁定，并附有完整操作示例。

该工作流的“始终要求审批”已开启。该设置开启期间，Execute处于休眠状态，所有请求均须进入独立审批队列。如需恢复即时完成，请在Policies中关闭该设置。请注意，此操作属于Manage Policies操作，本身可能也需要审批。

若相关请求本身是策略变更，还需检查目标策略：对已锁定策略的变更，无论Execute状态如何，均须等待审批。这是锁定功能按预期运行的正常表现。

锁定本身也是一项Manage Policies请求。若Manage Policies的“始终要求审批”已开启，或您的工作流配置文件未持有该工作流的Execute权限，则锁定请求与其他请求一样，须等待独立审批。锁定请求获批前，策略将保持解锁状态。审批期间可在审批队列中查看；完成后可在该策略的变更历史记录中查看。

请统计该工作流中持有Approve权限的活跃成员数量（不含您自己）。只有已接受邀请并完成验证的成员才计入审批人数：受邀成员须同时完成上述两步，才可计入，即使其已出现在团队列表中也不例外。若某位审批人在请求创建后被停用，剩余审批人可能无法达到所需人数。待处理请求以创建时的审批阈值为准，即使策略此后已变更亦然。请重新激活该成员，或向另一位活跃成员授予Approve权限，以解除阻塞。

请检查您的工作流配置文件：锁定操作要求持有Manage Policies工作流的Initiate或Execute权限。若锁定请求已创建但未生效，说明其正在等待审批而非被拒绝，请参阅上方条目。

系统不会因缺少独立审批人而拒绝锁定请求，因此请在锁定前自行确认解锁路径：需要一位能够发起Manage Policies请求的成员，以及该工作流所要求数量的其他持有Manage Policies Approve权限的成员。

所需审批人数超出了部分发起请求的成员所能获得的审批数量，因为任何人均无法批准自己的请求。策略编辑器会指出原因：一位或多位成员同时持有Initiate和Approve权限，因此他们各自可获得的审批人数比总人数少一位。请降低所需审批人数，或向另一位不在该工作流中发起请求的成员授予Approve权限。