策略、审批与治理

所有受治理操作均遵循相同流程，无论是划转资金还是变更组织自身配置：

1 - 发起。工作流资料中在该工作流上拥有"发起"（或"执行"）权限的成员可发起请求。涉及提款和划转时，还需在相关账户上拥有对应的资金划转权限。

2 - 即时完成检查。若该成员拥有"执行"权限，且工作流的"始终要求审批"设置为关闭，请求将立即完成。可以。唯一例外：变更已锁定策略的请求，无论发起人持有何种权限，均须等待审批，详见下文"锁定策略"。

3 - 审批队列。否则，请求将进入待审核状态。在该工作流上拥有"审批"权限的成员可在队列中查看该请求。

4 - 完成处理。达到所需的独立审批数量后，请求完成并生效。任一审批人均可拒绝请求，请求随即终止且不产生任何效果。

已完成的请求将记录为安全事件，并关联至该请求及其审批记录。

成员不得审批自己发起的请求。系统在所有工作流上强制执行此规则，任何权限、资料或策略配置均无法覆盖。

单个成员独立完成受治理操作的唯一途径是拥有"执行"权限，且仅在工作流策略允许即时完成时有效。

每个工作流的策略包含两项设置：

Execute与“始终要求审批”之间的交互关系：

策略不会移除Execute权限，该权限始终保留在配置文件中。“始终要求审批”开启期间，Execute会被明确标记为休眠状态；若该设置后续关闭，Execute将恢复生效。

1. 请前往策略并选择相应工作流（例如提款请求）。
2. 设置所需的审批人数。
3. 选择是否开启“始终要求审批”。
4. 查看当前该工作流各级别权限的持有成员。策略编辑器会在设置旁显示团队的权限层级，方便在保存前确认配置可行。
5. 确认。

策略变更本身也属于受治理的操作，须通过“管理策略”工作流执行。若该工作流需要审批，您的变更将与其他请求一样在队列中等待。

每项策略均保留独立的变更历史记录：每次更新、锁定与解锁均会连同对应的审批请求一并列出，方便随时查看变更内容、发起人与审批人。已完成的变更同样会记录为安全事件。

锁定是治理流程的承诺步骤。此后，对该工作流策略的任何变更——包括修改审批人数、调整“始终要求审批”设置或解锁——均须获得独立审批。

无论目标策略是否已锁定，所有策略变更均以“管理策略”请求的形式运行；锁定不改变变更的流转路径，只影响其完成方式：

• 对未锁定策略的变更，遵循常规请求生命周期。在“管理策略”工作流中持有“执行”权限的成员，可在该工作流的“始终要求审批”设置为关闭时立即完成变更。
• 对已锁定策略的变更（包括修改审批人数、调整“始终要求审批”设置或解锁），均须等待持有“管理策略”审批权限的成员审核。锁定会针对该策略覆盖“执行”权限，且对所有人一视同仁：所有者的变更与其他任何人一样，均须经过相同的审核流程。

一旦锁定，任何人都无法单独削弱该工作流的治理强度。变更流程依然常规，任何在“管理策略”工作流中具有审批权限的成员均可审核和批准，但每次变更至少需要两人参与。

锁定以工作流为单位。锁定“提款请求”不影响“划转请求”或其他任何工作流，可按自己的节奏逐一收紧每个工作流。建议的推进顺序请参阅治理推出指南。

锁定与解锁同样属于请求

在管理策略工作流下，共有三种类型的请求。这些请求将显示在审批队列、各策略的变更历史记录及安全事件中：

锁定操作同样遵循自身规则：锁定请求与其他任何管理策略请求遵循相同的生命周期。若您在管理策略上持有执行权限，且其“始终要求审批”设置为关闭，锁定将立即生效；否则请求将进入队列等待，策略在请求获批前保持解锁状态。

策略变更的完成方式

综合以上规则，任何管理策略请求的结果如下：

管理策略变更的两种方式

两种管控方式相辅相成，互不冲突：任意一种适用时，变更均须等待审批；同时启用两种方式不会产生额外效果。如需逐步收紧管控，请使用锁定功能；如需统一审批所有策略变更，请在管理策略中开启相应设置。

锁定管理策略本身

管理策略与其他工作流一样，拥有自己的策略，该策略也有对应的锁定功能。锁定管理策略，是治理体系全面落地的最终承诺。一旦管理策略被锁定，组织内任何规则的变更（包括解锁任意策略及解锁管理策略本身）均须经过独立审批。此后，任何人都无法通过产品单方面放宽治理限制。

这也是下述独立审批人保护机制存在的原因：系统不允许将策略锁定至无人可再变更的状态。请参阅治理推行指南，了解执行此步骤的时机。

• 锁定须有独立审批人。锁定策略前，须确保至少有一名成员（不含执行锁定的本人）在管理策略工作流中持有审批权限。否则，该锁定将无法再通过产品解除。
• 防止账户锁死。若某工作流中持有审批权限的唯一成员同时也是唯一发起人，且所需审批数为1，则系统将阻止保存该策略——此时其发起的请求将无可用审批人。
• 停用警告。停用持有审批权限的成员前，请先确认审批人覆盖情况是否充足。即使停用后工作流的审批人数量低于所需数量，停用操作仍会执行；待处理请求将按创建时适用的阈值保持不变。

政策配置完成后，治理推行将引导您安全地逐步落地：配置、验证，再锁定，每次处理一个工作流，并附有实操示例。

该工作流已开启“始终要求审批”。此设置开启期间，Execute处于休眠状态，所有请求均须进入审批队列，等待独立审批。如需恢复即时完成，请在“策略”中关闭该设置。请注意，此操作属于Manage Policies操作，本身可能也需要审批。

若相关请求本身是策略变更，还请检查目标策略：对已锁定策略的变更，无论Execute权限如何，始终须等待审批。这正是锁定机制按设计运作的体现。

锁定本身也是一个Manage Policies请求。若Manage Policies已开启“始终要求审批”，或您的工作流配置文件未持有其Execute权限，锁定请求将与其他请求一样等待独立审批。锁定请求获批前，策略将保持未锁定状态。您可在审批队列中找到该请求，完成后也会出现在策略的变更历史记录中。

请统计该工作流中持有Approve权限的活跃成员数量（不含您本人）。若某位审批人在请求创建后被停用，剩余审批人可能已无法达到所需数量。待处理请求将沿用创建时的审批阈值，即使策略此后已变更亦不受影响。请重新激活该成员，或向另一位活跃成员授予Approve权限，以解除阻塞。

锁定任何策略前，Manage Policies工作流中至少须有一位其他成员持有Approve权限。若没有独立审批人，已锁定的策略将永远无法再被变更。请向另一位成员授予Manage Policies的Approve权限，然后重试。

此配置将产生无人可审批的请求，常见情形为：单一成员同时持有该工作流的Initiate权限和唯一的Approve权限，且所需审批数为1。请向至少一位其他成员授予Approve权限，或为发起成员赋予Execute权限，以便在策略允许时其请求无需审核即可完成。