修复企微通讯录生产导入兼容性（07-26-internal-ops-recovery-baseline）

docs/产品口径.md

@@ -152,3 +152,14 @@
 ### R-3 资产转移权限
 - `asset.transfer` 只给 `administration / 资产管理员`
 - `finance_mgr` 有 `asset.manage` 但不拥有实物调拨权限，这是有意设计
+
+### R-4 小团队财务处理与付款复核边界
+- 日常财务处理角色使用 `finance`，付款复核角色使用 `ceo`；不得为了负责人本人报销兜底而顺带授予权限更宽的 `finance_mgr`。
+- `finance` 除费用审批、财务付款和付款批次管理外，还包含 `payroll.manage` 与 `employee.bank.read`，因此会接触薪资数据和员工银行账号；这属于明确接受的财务职责范围，不是隐含副作用。
+- `ceo` 通过 `payment.batch.review` 承担付款批次复核。maker-checker 只保证付款批次创建人与复核人不同，不代表费用审批、财务付款和全部财务操作已经按自然人完全分离。
+- `finance`、`finance_mgr` 均不拥有 `asset.transfer`；实物调拨继续只属于 `administration`。
+
+### R-5 CEO 本人无主管报销限制
+- 现有负责人本人报销规则只允许 active、非本人的 `finance_mgr` 作为 `ownerSelfFallbackRole`；普通 `finance` 不满足该兜底角色。
+- 当 CEO 本人没有可解析直属主管且公司没有合适的非本人 `finance_mgr` 时，报销提交保持阻断。不得通过给财务人员顺带增加 `finance_mgr`、使用 `admin` 代批或恢复整库来绕过。
+- 授予 `ceo` 后，既有 `assignee_role=ceo` 待办会对该角色持有人可见，新提交单据按当前规则生成 CEO 节点；既有审批快照不重路由，过去提交失败的单据也不会自动恢复。若未来要放开 CEO 本人报销，应另开产品任务调整兜底规则和最小权限，而不是在账号配置阶段扩权。