企业虚拟卡团队权限设计：角色、审批和最小授权

企业虚拟卡把支付能力直接交给员工、承包商或系统，权限设计比单张卡的额度更重要。一个人同时拥有发卡、提高限额、付款和删除日志的能力，会形成难以审计的风险。应根据岗位建立角色，而不是把管理员账号共享给所有人。

划分五类职责

申请人说明业务目的和预算；审批人确认必要性；卡管理员创建和配置卡；使用人只能在批准范围内付款；财务或审计人员核对交易与凭据。小团队无法完全分离时，至少要求高风险变更由第二人复核，并记录例外原因。承包商获得的权限应有明确期限和项目范围。

把政策转成技术控制

1. 每张卡绑定负责人、部门、供应商或具体任务。
2. 设置单笔、周期、币种、地区、时间和商户类别限制。
3. 提高限额、解冻、查看敏感凭据需要更高权限。
4. 启用实时通知并将高风险事件发送给独立复核人。
5. 禁止共享登录，优先使用个人账号与多因素认证。
6. 每月导出权限清单，与人事和项目名册核对。

Mastercard 的商业支付控制资料介绍了员工消费档案、限额和实时提醒；Visa 的员工使用场景也强调开关、限制和一次性卡能力。实际可用功能取决于发卡方，企业不能把产品宣传当成已经启用的控制。

高风险权限怎样审批

新增管理员、修改公司资料、导出完整凭据、解除地区限制和批量发卡都应视为高风险操作。审批单应写明目的、有效期、影响范围和回收时间。API 接入使用独立服务身份、最小作用域和密钥轮换，不能把个人管理员密钥写入源码或群聊。

定期复核与离职触发

至少按风险定期检查无负责人卡、长期无交易卡、限额异常、角色累积和已结束项目。人员调岗或离职时立即暂停其卡与平台权限，再完成订阅和票据交接。保留谁在何时批准、创建、修改和关闭卡的审计证据，但避免在日志中存储完整卡号。

合规底线清单

• 所有使用人均经真实组织合法授权，身份和企业资料真实，完成所需 KYC。
• 权限与实际岗位相符，遵守地区、制裁、发卡方风控和商户政策。
• 技术控制不能保证每笔成功，也不能取代人工审批和会计复核。
• 禁止伪造身份或地址、匿名代开、批量账号、卡测试、套现与拒付滥用。
• 不通过共享截图传播完整卡号、安全码、验证码、API 密钥或会话令牌。

验收时任选一张卡，都应能回答谁申请、谁批准、谁使用、能在哪里花多少、何时到期以及谁负责对账。任何一项无法回答，都代表权限模型仍需整改。