Как настроить права доступа в Битрикс24 для отделов без хаоса

Права доступа в Битрикс24 — это не разовая настройка «на будущее», а живой механизм, который нужно продумывать под структуру компании и потом регулярно проверять. Если запускать CRM без плана по правам, через два-три месяца менеджеры начинают видеть чужие сделки, руководители отделов теряют контроль над своими группами, а бухгалтерия находит в отчётах данные, которые видеть не должна. Ниже — пошаговый подход к настройке прав доступа по отделам: от аудита структуры до финальной проверки и типичных ошибок, которые встречаются почти в каждой второй компании, внедряющей CRM своими силами.

Почему права доступа превращаются в хаос

Обычно это происходит по одной и той же схеме. Компания подключает Битрикс24, торопится начать работать и на старте открывает доступ «всем ко всему» — просто чтобы не тормозить процесс внедрения. Через 2-3 месяца, когда в CRM уже 500-2000 сделок, выясняется, что менеджер из одного региона видит переговоры менеджера из другого, стажёр может удалить сделку на 800 000 рублей, а руководитель отдела продаж не может посмотреть отчёт по своим людям, потому что права на аналитику никто не настраивал отдельно от прав на CRM. Переделывать права доступа на работающей базе с реальными сделками в разы сложнее, чем настроить их с нуля: за это время накопились исключения, устные договорённости и ситуации вроде «а вот Ивановой дали доступ ко всему, потому что она замещала Петрова во время отпуска, и с тех пор доступ так и остался».

С чего начать: аудит структуры компании

Прежде чем открывать раздел прав доступа, полезно на бумаге или в отдельной таблице описать реальную структуру: кто кому подчиняется, сколько отделов и подотделов, есть ли региональное деление, есть ли сотрудники, оформленные сразу в двух отделах (частая история для небольших компаний, где один человек закрывает две роли). Без этой подготовительной работы настройка прав в интерфейсе превращается в перебор вариантов методом проб и ошибок, а любая ошибка на живой базе означает, что кто-то из сотрудников либо потерял нужный доступ посреди рабочего дня, либо увидел то, чего видеть не должен.

• Сколько отделов и подотделов в компании и совпадает ли эта структура с разделом «Компания → Структура компании» в Битрикс24
• Кто руководитель каждого отдела и должен ли он видеть данные подчинённых отделов, включая дочерние подразделения
• Есть ли сотрудники на две ставки в разных отделах — это частый источник конфликта ролей и путаницы в правах
• Какие данные считаются конфиденциальными: суммы сделок, персональные скидки, себестоимость, контакты VIP-клиентов
• Кто должен видеть данные всей компании целиком: собственник, коммерческий директор, руководитель отдела продаж
• Нужны ли временные права: замещение на время отпуска, ограниченный доступ на испытательный срок, доступ подрядчика

Уровни доступа в Битрикс24: что означают на практике

В CRM Битрикс24, раздел CRM → Настройки → Права доступа → Роли доступа, права строятся по матрице: строки — операции (просмотр, изменение, удаление, экспорт, право на изменение ответственного), столбцы — роли сотрудников. Для каждой операции задаётся один из уровней видимости, и именно здесь чаще всего допускают ошибку, выставляя один и тот же уровень для всех операций сразу, вместо того чтобы разделить, например, просмотр и удаление.

Личный, отдел, отдел и подчинённые, все

«Личный» — сотрудник видит только те записи, где он указан ответственным. «Личный и подчинённых отделов» — добавляет записи сотрудников, которые ему подчиняются по структуре. «Отдел» — видит записи всех сотрудников своего отдела независимо от того, кто там ответственный. «Отдел и подчинённые отделы» — то же самое плюс дочерние подразделения. «Все» — видит записи всей компании. На практике для рядового менеджера продаж обычно выставляют «Личный», для руководителя отдела — «Отдел и подчинённые», для директора и РОПа — «Все» с ограничением права на удаление.

• Личный — только свои сделки, лиды и контакты, где сотрудник указан ответственным
• Личный и подчинённых отделов — свои записи плюс записи сотрудников, которые подчиняются этому человеку
• Отдел — все записи отдела независимо от конкретного ответственного внутри отдела
• Отдел и подчинённые отделы — отдел плюс все дочерние подразделения по структуре компании
• Все — полный доступ по компании, обычно оставляют директору, РОПу и администратору CRM

Пошаговая настройка прав доступа к CRM

Настройка проходит легче, если двигаться от общей роли к частным исключениям, а не наоборот. Порядок действий, который работает почти всегда:

1. 1.Зайдите в CRM → Настройки → Права доступа → Роли доступа и создайте роль для каждой типовой должности: «Менеджер продаж», «Руководитель отдела продаж», «Менеджер поддержки», «Директор»
2. 2.Для каждой роли настройте матрицу отдельно по объектам CRM: лиды, сделки, контакты, компании, счета — права на них не наследуются автоматически друг от друга, это частая ловушка
3. 3.Отдельно задайте право «Изменение ответственного» — по умолчанию его стоит давать только руководителям, иначе менеджеры начнут перекидывать друг другу неудобные сделки без ведома РОПа
4. 4.Настройте права на удаление отдельно от прав на изменение — удаление стоит оставить только у РОПа и администратора CRM, для остальных использовать статус «Провал» вместо физического удаления
5. 5.Привяжите роли к сотрудникам через раздел «Компания → Сотрудники», проверив, что каждый состоит в правильном отделе структуры компании, иначе роль применится некорректно
6. 6.Протестируйте: зайдите под тестовым пользователем каждой роли или попросите сотрудника показать экран, и убедитесь, что видно ровно то, что запланировано, а не «примерно похоже на план»

Пример: отдел продаж из 12 человек с тремя группами по регионам

Частый случай на практике: отдел продаж из 12 человек, разбитый на три группы по 4 человека — «Москва», «Северо-Запад», «Юг», у каждой группы свой руководитель, и есть общий РОП над всеми тремя. В структуре компании создаются три подотдела внутри общего отдела продаж. Руководителям групп присваивается роль с уровнем «Отдел и подчинённые» — но здесь есть тонкость: если группы оформлены как самостоятельные подотделы, а руководителю группы «Москва» по ошибке выставлен уровень «Отдел» относительно родительского отдела продаж, он увидит все 12 менеджеров, а не только своих четверых. Правильная настройка — уровень «Личный и подчинённых отделов», при условии что руководитель группы в структуре компании числится руководителем именно своего подотдела, а не отдела продаж целиком.

Права доступа к задачам, делам и «Диску»

Права CRM не распространяются автоматически на остальные модули портала. Задачи настраиваются отдельно в разделе «Задачи и проекты → Настройки → Права доступа», где можно задать, кто видит задачи по проектам, а кто — только свои собственные. «Диск» использует доступ на уровне конкретной папки: правой кнопкой на папку → «Настроить доступ», где можно открыть чтение, редактирование или полный доступ для отдела, роли или отдельного сотрудника. Частая ошибка — общая папка «Договоры» с доступом «все сотрудники компании», где вперемешку лежат типовые и договоры с индивидуальными условиями для крупных клиентов, которые видеть должны только два-три человека.

Курс школы: Роботы, триггеры и умные сценарии в Битрикс24 — от 14 990 ₽

Права на автоматизацию: роботы, бизнес-процессы и смарт-процессы

Отдельно стоит проверить права на запуск и редактирование роботов, триггеров и бизнес-процессов в воронке — по умолчанию редактировать логику автоматизации может любой, у кого есть доступ к настройкам CRM, и на практике это нередко приводит к тому, что менеджер «из любопытства» меняет условие робота, отправляющего письма клиентам, и рассылка ломается для всего отдела. Права на изменение автоматизации стоит оставлять администратору CRM и РОПу, а рядовым сотрудникам — только право видеть результат её работы.

Особые случаи: подрядчики, совместители, временные сотрудники

Отдельная головная боль — люди, которые формально не входят в оргструктуру компании, но которым нужен доступ к CRM: фрилансер-дизайнер, которому нужно видеть техзадания по сделкам, бухгалтер на аутсорсе, которому нужен доступ к счетам, но не к переговорам с клиентом, сотрудник call-центра на аутстаффе, обрабатывающий входящие лиды только одного филиала. Для таких случаев не стоит подгонять существующие роли «менеджер» или «руководитель» — правильнее завести отдельную роль с максимально узким набором прав именно под задачу, даже если этот человек будет единственным в такой роли.

Пример: подрядчик-бухгалтер на аутсорсе

Компания передала бухгалтерию на аутсорс и должна дать внешнему бухгалтеру доступ к CRM для выставления счетов и отслеживания оплат. Ошибка, которую совершают чаще всего — дать роль «Менеджер» с уровнем «Отдел», чтобы «было легче объяснить, что смотреть». Правильный путь — создать роль «Внешний бухгалтер» с доступом только к объекту «Счета» и связанным с ними полям суммы и статуса оплаты, без доступа к истории переписки, комментариям по сделке и контактным данным, которые бухгалтеру для его задачи не нужны. Дополнительно стоит завести правило: доступ подрядчика привязан к сроку договора и автоматически проверяется при его продлении или расторжении.

• Для внешних людей — фрилансеров, аутсорсеров, аутстафф-персонала — создавайте отдельные узкие роли, а не переиспользуйте штатные
• Ограничивайте доступ подрядчика конкретными объектами CRM, которые нужны для его задачи, без доступа «за компанию»
• Привязывайте срок доступа подрядчика к сроку договора и проверяйте его при продлении или окончании сотрудничества
• Совместителей в двух отделах фиксируйте в структуре компании явно, а не оставляйте числиться только в одном отделе для простоты

Типичные ошибки и почему они возникают

• Доступ «Все» по умолчанию для всех ролей на старте — компания торопится запустить CRM и не хочет тратить время на матрицу прав, в итоге переписывать права приходится на живой базе с сотнями сделок
• Право на удаление у рядовых менеджеров — типичная причина потери истории по клиенту, когда сделку удаляют вместо того, чтобы перевести её в статус «Провал» с указанием причины
• Руководитель группы получает уровень «Отдел» вместо «Личный и подчинённых», из-за чего видит чужие подотделы и путается в отчётах
• Роль сотрудника не совпадает с реальным отделом — сотрудника числят в CRM в отделе «Продажи», а по факту он давно переведён в «Развитие», права остаются от старой роли
• Права на экспорт данных открыты всем — риск утечки базы клиентов при увольнении сотрудника, экспорт стоит оставлять только руководителям и администратору
• Поля с суммами скидок и себестоимостью видны всем менеджерам — нужна отдельная настройка прав на уровне полей через раздел пользовательских полей CRM

Правило одной роли — одного смысла. Не создавайте роль «Менеджер2» только потому, что у одного сотрудника чуть больше прав, чем у остальных. Каждое такое исключение — будущая головная боль при аудите. Если сотруднику действительно нужны нестандартные права, либо меняйте структуру компании — выделяйте отдельный подотдел, либо фиксируйте письменно, в чём состоит исключение, кто его согласовал и когда его нужно пересмотреть. Роль без внятного названия и обоснования через полгода никто не сможет объяснить, и её проще будет не трогать, чем разбираться — а это и есть путь к хаосу.

Как проверять и поддерживать настройки в рабочем состоянии

Права доступа — не разовая настройка, а процесс. Раз в квартал стоит выгружать список сотрудников с их ролями и сверять со структурой компании: часто за это время кто-то сменил отдел, кого-то повысили, кто-то уволился, но роль с широкими правами осталась активной на его логине. Также полезно завести простое правило: любое расширение прав конкретному сотруднику фиксируется отдельной записью с датой, причиной и сроком действия — это экономит часы при следующем аудите и снимает вопрос «а почему у него так настроено» через год.

У нас три месяца назад уволился сотрудник, а его логин с доступом «Все» на CRM так и остался активным — узнали случайно, когда увидели вход в систему в вечернее время в отчёте по активности пользователей.

Чек-лист перед внедрением

1. 1.Описана реальная оргструктура и сверена со структурой компании в Битрикс24
2. 2.Созданы роли под каждую типовую должность, а не под каждого конкретного человека
3. 3.Права на удаление и экспорт ограничены отдельно от прав на просмотр и изменение
4. 4.Настроены права на уровне полей для чувствительных данных: скидки, себестоимость, персональные условия
5. 5.Права на Диске и в задачах проверены отдельно, так как они не наследуются из CRM
6. 6.Назначен ответственный сотрудник за квартальный аудит прав и ведётся журнал исключений