人事云 MVP 功能清单：菜单与流程

版本：v0.2（菜单与流程完整稿）
日期：2026-11-05
本期口径：8–12 周 MVP 主排期；P1 候选及后迭代不计入本期验收。
范围依据：产品设计方案.md、MVP-backlog.md、需求功能定义.md、产品拍板-2026-11-04.md、中台与应用边界.md、MVP交互说明.md。冲突时以 2026-11-04 拍板口径为准。
本文档阶段只形成清单，不定稿原型，不编写业务代码。

小磊审校（2026-11-05）

一、功能范围（本期做 / 不做）

1.1 范围结论

本期做“多主体业务底座 + 外部结果导入 + 双端可信办理 + 全生命周期证据链”，不做全量 HRIS，也不复建中台。 HR 管理员在中台 SSO 后的 Web 应用内页管理主体、人员业务档案、入职、合同、假勤、薪酬、工资条、离职和归档；员工在微信小程序完成本人资料填报、假勤确认、工资条签收、合同及离职协议签署、异议和进度回查；老板、HR、财务可通过智能体只读查询并按权限导出资料包。

1.2 角色与权限边界

角色 使用端 本期核心职责 权限边界
HR 管理员 中台 SSO 后 Web 应用内页 维护签约组织与用工关系，导入及查询业务结果，处理期间作业、合同、工资条、异常和异议 统称 HR 负责人及获授权的薪酬、假勤、合同等业务管理员；按企业、签约组织、业务域和敏感字段授权，不代表所有 HR 默认可见薪酬等敏感数据
员工 微信小程序 完成手机号与人脸绑定、自助填报入职资料；查看并办理本人假勤、工资条、合同和离职事项，提交异议，查询进度和文件 仅本人及有权查看的当前/历史用工关系数据；无 HR 管理菜单、规则配置、导入后台或他人数据
企业用户（老板、HR、财务） 智能体 在授权范围内查询用工现状、风险和资料，按人导出资料包 同一入口、按角色与数据范围授权；只读、全量留痕，页面及对话返回脱敏，导出资料包保留完整原件；高风险结论建议法务复核

中台决定“谁能进入企业和应用”；人事云只管理“进入后可办理哪些主体、业务域和敏感字段”。智能体通过 MCP 账号授权或 APIKey 绑定调用，不获得任何写权限。

1.3 本期功能清单（按模块）

P0 表示进入 8–12 周本期验收；P1 候选及后续迭代只用于明确边界，不计入本期验收。

模块 分期 HR 管理员 / 企业用户：能力点 员工：能力点 本期边界 / 明确不做
工作台 P0 展示当前企业、用户及签约/发薪主体上下文；按主体和期间查看我的待办、导入/人员匹配/核验/存证异常、合同到期、无有效合同、假勤确认与工资条签收进度；指标可下钻到明细 不提供 HR 工作台 不做中台运营数据、企业开通、应用购买、计费余额、订单或账单；不以单一“合规健康分”替代业务明细
签约组织 / 多主体 P0（现行拍板口径，分歧见 1.7） 维护至少两个真实签约/发薪主体，记录法定名称、统一社会信用代码、主体属性、适用城市、状态和有效期；按主体筛选并配置业务数据范围；停用前检查有效关系和未办任务，停用不删历史；员工换主体采用“旧关系终止 + 新关系生效” 按权限查看当前及历史用工主体，不跨主体查看他人或无权数据 不复建中台企业、部门、成员账号和基础角色；主体必须基于真实用工事实，不提供规避法定义务的配置引导；附录 C 的“一期仅预留模型、功能二期”作为分歧挂账，不在本次擅自替换既有拍板
员工档案 P0 只读引用中台基础人员身份，补充签约主体、发薪主体、社保参保主体、公积金缴存主体、用工类型、部门岗位、工作/参保/公积金城市、用工状态和有效期；支持员工及用工关系导入；一人一档聚合合同、假勤、薪酬、社保公积金、离职文件、异议和审计时间线；换主体保留历史 查看与本人相关的业务信息、文件及办理记录；按场景完成必要身份绑定或核验 不做招聘、测评、绩效、培训、人才盘点、继任等全量 HRIS；不做中台平行组织部门或基础角色编辑器
新员工入职（两阶段） P0 阶段一：预录员工档案和手机号，生成员工端入口，接收员工自助资料与证件并核对；阶段二：资料齐全后发起劳动合同签约；跟踪待签、签署中和完成状态 首次登录先验证手机号与 HR 预录一致，再完成人脸核身，形成“手机号 ↔ 本人”绑定；自助填写资料、上传证件；HR 核对后以人脸实人 + CA 电子签完成劳动合同；换手机号可重新登录并重做人脸核验，不重交资料、不重签合同 资料未齐不得先签空壳合同；未签完保持“待签”、不计入已完成入职，持续告警但不以合规状态拦截其他业务；员工永远无法通过人脸核身的最终出口见 1.7，不在本期清单中擅自定案
导入中心 P0 本期以 Excel 文件导入为主，覆盖模板下载、上传、字段映射、数据预览、校验、错误报告、确认入账、批次追溯和幂等冲突提示；承接主体、员工/用工关系、假勤、薪酬、社保公积金数据；保存源文件、映射、规则快照、操作者/时间、成功失败数量和影响对象；未发布数据可撤销，已发布数据走更正/撤回 不直接接触导入后台，只接收已发布且属于本人的有效任务和结果 默认“成功行入账、失败行隔离”，整批阻断为可选策略；四组强制锚点——签约组织、城市/规则版本、期间、操作者/操作时间——缺失、无效、冲突或无权限时不得入账；API 导入仅作后续候选，不成为本期文件导入前置
月度考勤确认 / 假勤 P0 按主体和期间导入排班、考勤汇总、请假/加班办理结果，完成 Excel 校验和错行回执；发布月度考勤确认待办，查询来源批次、异常和确认状态；对未确认者持续催办，处理异议、回复/补证或更正为新版本并再次确认；页面明确标注“外部导入结果” 按期间查看本人排班、考勤及请假/加班结果；以短信验证码完成本人确认，HR 不可代签；或附说明、附件提出异议；查看 HR 回复、更正版本和办理进度 月度考勤确认不默认使用人脸，人脸留给合同、调岗调薪、离职等高风险动作；未确认持续告警、不自动确认；轻量请假申请本期不做，仅预留外部审批/API 接口位；不做原始打卡采集、复杂排班、完整假期/加班规则、通用 OA 审批、考勤自动重算及自动算薪联动
薪酬 P0 按签约组织、发薪主体和计薪期间导入计薪基础、应发应扣及实发结果；配置薪酬项目映射、可见性和勾稽校验，异常不静默改数；导入社保/公积金基数、单位与个人金额、缴纳结果及独立补缴补扣明细；人工配置或导入至少两个城市的规则包，管理来源、生效期和版本，期间入账固定历史快照 在工资条及相关明细中查看模板允许展示的本人薪酬、社保和公积金个人项目并反馈异议 不做完整自动算薪、并行算薪、个税全链路、银企直联、财务过账；不做全国政策自动更新、自动核算、社保公积金网上申报或代缴；历史迁移不得冒充系统已算薪
工资条签收 P0 从已校验薪酬结果生成工资条批次和预览，核对员工范围、主体、期间、可见项目、金额和社保公积金展示方式后定向推送；记录发放、查看、签收和逾期状态，失败可重试且不重复生成有效任务；统计签收并催办、重推未签收人员；处理异议，更正生成新版本并再次发放，旧版本只读、可对比、可追溯 鉴权后查看应发、应扣、实发及模板允许展示的社保公积金明细；以短信验证码本人签收，HR 不可代签，或提出异议；查看 HR 回复、更正版本并再次操作；依法可回查本人历史工资信息 高频工资条签收不默认使用人脸；未签收不阻断发薪，持续告警且不限制员工法定权益；异议未办结或超时不得自动显示为“员工无异议/已签收”；不得直接覆盖已发工资条；本期签收率跟踪目标为不低于 95%，不以目标替代逐人状态
合同签署通用能力 P0 管理多类合同模板及版本，按签约组织、用工类型和场景配置适用范围、变量、附件、签署方和生效状态；至少三个不同适用范围参与验收；发起前筛选模板并预览正文，支持批量发起但逐份记录版本与结果；跟踪待签、签署中、完成、拒签、过期、撤回和失败；归档原文、回执与存证/验真信息 在小程序逐份查看正文，按高风险场景完成人脸实人核验及 CA 电子签，或拒签；查看异常处理进度；完成后查看、下载本人合同副本 不做在线起草编辑器、复杂合同审批编排；合同签署状态不直接覆盖用工关系状态，存证不承诺必然司法采信；非本次存量重签范围的全量历史合同批量迁移、历史文件数字化为 P1 候选，不阻塞新签及存量重签主路径
存量老员工线上重签 P0 先登记存量纸质合同，作为过渡期的在册凭证；按部门分批批量发起线上重签；系统对无手机号、离职未销户、信息不全等无法发起人员生成失败名单，HR 逐人补号、补资料或线下核验后重新发起；跟踪逐人进度并持续告警 在手机端查看重签合同，以人脸实人 + CA 电子签完成线上重签，查看办理结果 重签是历史存量一次性过渡，不与到期续签混为同一流程；失败名单必须显式交付 HR，不得静默跳过或笼统报全部成功；纸质登记与线上重签并行过渡期间均须可追溯；未重签或处理失败不影响发薪
合同到期续签 P0 系统在到期前 T-30 自动生成续签待办；HR 发起续签时重新确认用工主体、合同期限和约定工资，不直接复制上一份合同；跟踪办理进度，续签完成后更新合同台账并保留签署确认时间；到期未续签人员自动进入无有效合同清单 查看续签合同及关键变更，以人脸实人 + CA 电子签完成续签；可回查新合同和历史合同 一期 T-30 使用固定值，不按合同类型配置不同提前期；无有效合同状态持续告警、台账可见，不影响发薪；不做续签专用复杂审批
离职办理与档案归档 P0 HR 发起离职协商，登记离职类型和最后工作日；员工签署后确认物品、权限、在途事项等工作交接；生成离职证明，将离职协议、交接记录和结算依据同步归档；转入历史档案，争议发生时按人导出资料包 查看并以人脸实人 + CA 电子签签署离职协议；查看交接事项、离职证明和办理结果；按权限回查本人历史文件 先签离职协议再确认交接；离职不删除数据，档案长期保存，劳动合同文本至少满足二年备查下限；页面敏感信息脱敏，按权限导出的举证资料包保留完整原件；不扩展为薪酬自动结算或通用 OA 审批
员工小程序 P0 HR 管理员通过 Web 发布任务并跟踪结果，不要求员工进入 HR Web 微信身份与中台人员唯一绑定；统一待办聚合入职资料、假勤、工资条、合同和离职事项；支持查看、填报、确认、签收、签署、交接确认、异议、进度回查、我的文件及下载；覆盖无法匹配、重复绑定、授权失效、任务过期/撤回、供应商异常和下载失败等分支 不建独立本地账号体系，不以 H5 或独立 App 替代；不展示 HR 风险总览、他人数据、规则配置和导入后台；轻量请假申请本期不做
智能体查询与资料包导出 P0 老板、HR、财务在智能体内提问，经 MCP 账号授权或 APIKey 绑定调用；系统校验角色和可见范围后只读执行，记录查询语句、字段、时间和导出人/用途；按“现状—风险点 + 依据—可执行建议”三段式返回；可按人选择范围并导出带防伪信息的完整资料包 不作为员工办理入口；员工依法查看、下载本人合同和工资信息的既有权益不受智能体权限影响 智能体永远不能写，不得代 HR 确认、代员工签收或签署；页面及智能体返回的身份证号等敏感信息脱敏，导出资料包原件保持完整；高风险结论建议法务复核，不承诺资料包必然被司法采信

1.4 七条拍板口径落地表

# 拍板口径 本清单中的落地位置
1 导入默认“成功行入账、失败行隔离”；整批阻断保留为可选策略。失败行单独报告，不得笼统提示全部导入成功；四组强制锚点失效仍不得入账 导入中心；员工、假勤、薪酬及社保公积金导入共用
2 工资条未签收不阻断发薪，也不得据此限制员工法定权益 工资条；员工小程序
3 假勤/工资异议超时不自动视为确认；未结异议不得统计为已确认、已签收或“员工无异议” 假勤、工资条、员工小程序
4 轻量请假申请本期不做，仅预留外部审批/API 接口位；作为 P1 候选，不进 8–12 周主排期，不以空审批页或空按钮占位 假勤、员工小程序、本期不做清单
5 参保/缴存主体与签约组织不一致仅提示“待核对”；不禁止入账、不自动改主体，须保留核对记录及主体追溯 签约组织/多主体、员工档案、薪酬
6 原型先穿透主路径：多主体 + 假勤导入确认 + 工资条签收 + 合同签署，不先铺全导航空壳；本文档阶段先出清单，不定稿原型 全模块范围排序及本文档阶段约束
7 竞品证据可后补，不作为原型评审硬门槛；相关挂账项不得阻塞本清单评审和主路径推进 评审依赖与推进口径

1.5 本期明确不做（Out of Scope）

类别 不做内容 本期替代口径
轻量请假申请 不自建请假/加班轻量申请及审批流，不进本期主排期 仅导入请假/加班办理结果，并预留外部审批/API 接口位；不扩展为通用 OA
中台运营台与中台 UI 不做平台运营后台（Boss）、企业管理后台（Admin）、企业/组织开通、应用上架与授权、应用中心 UI 默认已由中台开通并授权，HR 经 SSO 进入人事云应用内页
账号、计费与账务 不做应用内登录注册、独立账号、计量计费、订单、储值、消耗、账单或支付 UI 复用中台身份、应用访问资格和计费能力；人事云仅保留企业上下文与返回中台入口
中台组织权限复建 不做通用企业、部门、成员、基础角色和应用访问授权中心 复用中台基础身份和授权；应用内只维护签约组织、业务角色、业务数据范围及敏感字段权限
全量 HRIS / 通用 OA 不做招聘、测评、绩效、培训、人才盘点、继任及独立通用审批中心 聚焦多主体用工档案、假勤薪酬结果、合同与可信确认/异议/追溯
假勤完整闭环 不做原始打卡、复杂排班、完整假期/加班规则、设备实时同步、考勤重算和自动算薪联动 导入外部排班、考勤、请假/加班结果，完成查看、确认、异议和更正
薪酬与社保公积金完整闭环 不做自动算薪、个税全链路、银企直联、财务过账、政策自动更新、网上申报和代缴 导入计薪及缴纳结果，人工维护城市规则版本，完成校验、展示、签收和追溯
合同与存证边界扩张 不做在线起草、复杂合同审批；不自研电子签、CA、可信时间戳或区块链底层设施 使用审定模板并对接合规供应商；保留实际业务记录，不作“上链即采信”等承诺

1.6 三条贯穿性原则（对齐泳道图附录 B）

原则 本期统一口径
一、不阻断业务，只让状态可见 合规约束统一表现为“状态未推进 + 持续告警 + 台账可见”，不得以未签、未续签、未确认、未签收或存证异常为由卡发薪或迫使业务转回线下。唯一例外是“没签完不能算签完、未签完不计入已完成入职”，这是事实状态判断，不是拦截其他业务动作。
二、验证强度跟着风险走，不搞一刀切 入职首次绑定及劳动合同签署采用人脸实人 + 手机三要素等强验证；调岗、调薪、离职协议采用人脸实人；月度考勤确认、工资条签收采用短信验证码且 HR 不可代签；制度告知采用账号 + 点击。高频低风险事项不得默认叠加人脸。
三、留痕的目的是事后能拿出来，不是事后能查到 时间、设备、流水、哈希、签署确认时间等均须可追溯，并能按授权范围导出为带防伪信息的资料包。页面展示和智能体返回脱敏，导出层保留完整原件；导出动作记录操作者、时间、范围和用途，但不作必然司法采信承诺。

1.7 待拍板 / 未闭环（对齐泳道图附录 C）

待决项 未闭环内容 本次清单处理
员工永远无法通过人脸核身（Q9） 三条出口尚未确定：①线下核验留档；②HR 人工审核放行；③承认长期无合同。不同出口对签署效力、员工办理和台账状态的影响不同 列为待拍板，不阻塞本期启动，但 RPD 定稿前必须明确；本次不擅自选择出口，不把“转人工处理”直接等同于已批准的人工放行规则
一租户多用工主体 泳道图附录 C 建议一期只预留数据模型、功能二期，与既有拍板及本清单多主体 P0 存在分歧 列为分歧待老板确认，两边口径见 1.7.1；本次不修改 2026-11-04 既有拍板

1.7.1 分歧待老板确认：一租户多用工主体

口径来源 范围主张 依据与后续条件
既有拍板与现清单口径 多主体按 P0 推进：至少两个真实签约/发薪主体参与建档、授权、筛选和验收，并纳入“多主体 + 假勤导入确认 + 工资条签收 + 合同签署”的穿透主路径 《产品拍板-2026-11-04》第 6 条及本清单现行范围；在新拍板形成前继续沿用，不因附录 C 擅自降级
泳道图 v1.3 附录 C 建议 一期只预留数据模型，功能二期：员工档案带用工主体字段、CA 调用按主体传参，但不在一期交付完整多主体管理功能 等待销售补充“老板名下多企业占比”后再决策；该建议目前为未闭环项，不自动覆盖既有拍板

当前处理：两种口径并列挂账，需老板确认唯一分期结论。 若后续改采附录 C 建议，应再同步调整功能范围、菜单流程、原型和验收口径。第二、三节已按六条主流程写全；多主体相关菜单在新拍板前仍按现行 P0 口径保留。

二、菜单与页面组成

2.1 双端导航原则

  1. HR Web 与员工微信小程序各自独立成立：HR 端围绕主体、期间、批次、人员和异常组织工作；员工端围绕“我要办理什么”组织待办，不复制 HR 后台菜单。
  2. 只呈现人事云应用内页面：默认 HR 已通过中台 SSO 并获得应用访问资格；不设计应用中心、企业开通、独立登录注册、Boss/Admin、通用组织权限、订阅计费、订单账单等中台壳页面。
  3. 主体上下文贯穿 HR 端：切换签约组织后，工作台、人员、假勤、薪酬、工资条、合同、导入和报表同步过滤；详情页仍分别展示签约组织、发薪主体、社保参保主体和公积金缴存主体，不相互覆盖。
  4. 真实能力才形成可操作入口：本期不做的功能默认不展示；为评审说明而列出的灰显项不代表需要交付空页面或空按钮。
  5. 业务状态与存证状态分离：合同已签署、假勤已确认、工资条已签收，均不等于存证已成功；存证异常由 HR 处理，不阻断员工查看已完成业务记录。
  6. 菜单必须闭环支撑图 1–图 6：入职办理、纸质合同登记、批量重签与失败名单、到期续签与无有效合同清单、月度确认与签收、离职与历史归档、智能体查询与资料包导出均有明确入口，不只存在流程文档中。
  7. 智能体入口不重复建设：智能体会话位于中台/外部入口，人事云提供只读 API/MCP；人事云应用内保留权限范围内的资料包导出、导出审计和必要的入口说明，不新建智能体聊天后台。

2.2 HR Web：顶栏组成

顶栏区域 展示内容 交互与边界
产品与企业上下文 “人事云”、当前企业名称 企业名称来自 SSO 上下文，只读展示；不提供企业开通、企业切换管理或应用购买入口
签约组织切换 当前签约组织；可切换至“全部有权限主体”或某一主体 仅切换人事业务数据范围，不改变中台企业身份；无权限主体不可见；切换前如有未保存内容须提示
当前期间（业务页显示） 假勤期间、计薪期间或合同到期区间 期间是业务页筛选条件，不替代主体切换；跨期间导入必须拆批
SSO 标识 “SSO 已认证”、会话状态 会话失效或访问资格收回时停止展示业务数据并返回统一入口处理；不弹出人事云本地登录框
当前用户 姓名、业务角色、可管理主体范围入口 可查看本人业务权限；中台基础账号、部门、基础角色和应用访问授权不在此编辑
全局待办与消息 待处理异议、失败导入、合同到期、存证异常数量 点击后进入对应应用内已筛选列表；不跳转中台运营页面

2.3 HR Web：侧栏菜单树

一级菜单 二级菜单 默认落地页
工作台 我的待办、异常与持续告警、期间概况 工作台
签约组织 主体列表、主体核对 主体列表
人员 员工业务档案、入职办理（录入与员工入口）、用工关系、核验记录、离职办理、历史档案 员工业务档案
假勤 期间结果、确认与异议、版本更正、轻量请假/加班申请（灰显，本期不做） 假勤期间结果
薪酬 计薪期间、薪酬结果、社保公积金、薪酬异常、自动算薪/申报缴纳（灰显，本期不做） 计薪期间
工资条 生成与发放、签收与异议、版本更正 工资条发放批次
合同 合同列表、发起签署、纸质合同登记、批量重签、重签失败名单、模板库、到期续签、无有效合同清单、在线起草/复杂审批（灰显，本期不做） 合同列表
导入中心 文件导入、导入批次、失败行隔离区、API 导入（灰显，P1 候选） 导入批次
规则与映射 城市社保公积金规则、薪酬项目与导入映射 城市规则列表
证据与报表 可信动作记录、资料包导出（原件完整）、期间运营报表 可信动作记录
智能体 / 资料包（中台/外部入口，人事云提供只读 API/MCP） 智能体查询（中台/外部）、资料包导出（人事云应用内）、查询与导出审计 外部智能体；人事云资料包导出
应用设置 业务角色与数据范围、核验通知与存证策略、操作审计 业务角色与数据范围

“合同模板库”只在“合同”菜单维护；“规则与映射”不再重复放置合同模板入口。文件导入向导可从人员、假勤、薪酬等业务页发起，但统一复用“导入中心”的批次、校验和追溯能力，不形成多套导入逻辑。

“智能体 / 资料包”一行是外部能力与应用内出口的对应关系，不代表在人事云侧栏复建智能体会话页。删除线灰显项只用于本文和路线图说明，实际交付默认不展示空菜单、空页面或空按钮。

2.4 HR Web：菜单对应页面清单

菜单 页面名 用途（一句话） 关键组件 本期状态
工作台 工作台 汇总当前主体下需要 HR 处理的事项与期间进度 主体/期间筛选、待办卡片、异常列表、合同到期列表、假勤确认率、工资条签收率、指标下钻 P0
签约组织 主体列表 管理可用于签约、发薪及参保缴存追溯的真实业务主体 主体名称、统一社会信用代码、主体属性、城市、状态、关联人数、新增/编辑/停用、权限筛选 P0
签约组织 主体详情 查看单个主体档案及其全部业务关联 基本档案、适用城市、用工关系、合同模板、合同/假勤/薪酬批次、未完成事项、历史快照 P0
签约组织 主体核对清单 集中核对签约、发薪、参保、缴存主体不一致或缺失的情况 员工/关系筛选、四类主体对照、差异类型、“待核对/已核对”、核对说明、经办人与时间 P0；不一致仅提示，不自动改主体、不单独据此阻断入账
人员 员工业务档案列表 按主体和有效期查询员工业务身份及办理状态 姓名、脱敏手机号、员工编号、部门岗位、签约/发薪主体、三类城市、关系有效期、信息校验/本人核验状态、导入入口 P0
人员 入职录入与员工入口 预录新员工档案并生成微信端本人办理入口 中台人员引用、预录手机号、签约/发薪主体、部门岗位、预计入职日、入口二维码/链接、入口有效期、重新生成、办理状态 P0；支撑图 1 阶段一
人员 入职资料核对 核对员工自填资料与证件，资料齐全后发起签约 资料完整性、证件附件、缺项退回、核对记录、模板与最终正文预览、发起签约、待签告警 P0；支撑图 1 阶段二
人员 员工与用工关系编辑 引用中台人员并补全人事云业务字段，或办理换主体 中台人员只读信息、四类主体、用工类型、部门岗位、工作/参保/公积金城市、生效失效日期、旧关系终止与新关系建立 P0
人员 一人一档 聚合单个员工在授权范围内的入离职、合同、假勤、薪酬与处理记录 关系页签、入职页签、合同页签、假勤页签、薪酬/社保公积金页签、离职页签、文件、异议、审计时间线 P0；敏感页签按权限显示
人员 核验记录 追踪信息校验、本人实名和异常处理，不混淆两类状态 核验方式、用途、结果、时间、失败原因、重新邀请、人工处理记录、敏感信息脱敏 P0
人员 离职办理列表 按协议、交接、证明和归档状态跟踪离职事项 离职类型、最后工作日、协议签署状态、交接状态、证明状态、归档状态、负责人、持续告警 P0；支撑图 5
人员 离职办理详情 完成离职协商、协议、交接、证明与归档的全过程管理 协议模板与正文预览、人脸签署时间线、物品/权限/在途事项交接、离职证明、结算依据、归档、资料包导出 P0；未完成只告警，不伪造完成
人员 历史档案 长期回查已离职人员及其完整业务原件 当前/历史关系、文件目录、保存期限、合同与协议原件、假勤/工资快照、回执、按人导出 P0；离职不删数据
假勤 假勤期间结果列表 按主体和期间管理外部排班、考勤及请假/加班办理结果 数据类型、期间、工作城市、规则版本、来源批次、人数、入账/发布状态、确认率、异常数、导入入口 P0
假勤 假勤结果详情 查看员工某期间的结果明细、来源和当前有效版本 日期/班次/工时、异常标记、请假/加班类型与起止时间、外部办理状态、来源说明、版本、确认状态、事件时间线 P0
假勤 发布预览 在员工可见前核对发布范围、排除项和版本差异 总人数、成功/排除人数、数据类型、主体/期间、通知范围、待确认任务数、差异摘要、确认发布 P0
假勤 确认跟踪 跟踪查看、确认、未确认、超期与催办情况 状态筛选、员工清单、查看/确认时间、最近催办、批量催办预览、超期标识 P0；超时不自动确认
假勤 异议处理详情 受理员工疑问并完成回复、补证或转入更正 异议分类、说明、附件、原结果、负责人、处理状态、回复、材料补充、更正入口、完整时间线 P0
假勤 版本对比与更正 保留原结果并以新版本重新发布、重新收集必要确认 原/新版本对照、变更字段、更正原因、来源批次、影响人员、再次发布预览 P0
薪酬 计薪期间列表 按签约组织、发薪主体和计薪期间管理薪酬结果 主体、期间、参保/公积金城市及规则版本、来源、人数、校验状态、复核状态、签收率、导入入口 P0
薪酬 薪酬结果详情 核对员工应发、应扣、实发及社保公积金结果 四类主体、三类城市、规则版本、薪酬项目、金额勾稽、补缴补扣、来源批次、异常与核对记录 P0
薪酬 社保公积金明细 分险种、分城市查询基数、金额和缴纳结果 参保/缴存主体、城市、所属期、险种/项目、基数、比例、单位/个人金额、缴纳结果、补缴补扣、规则快照 P0
薪酬 薪酬异常清单 处理人员、主体、期间、规则和金额勾稽异常 异常类型、文件行、字段、原值脱敏、原因、修复建议、隔离状态、重新导入入口 P0；系统不静默改数
薪酬 期间复核 由有权限人员确认期间结果可进入工资条生成 待复核人数、异常与排除项、主体核对状态、金额汇总、复核意见、复核人与时间 P0
工资条 发放批次列表 管理工资条生成、定向发放、送达与失败重试 主体/期间、版本、人数、发放渠道、送达/查看/签收/异议数量、失败原因、重试 P0
工资条 生成与发放预览 发放前核对员工范围、可见项目、金额和主体信息 员工范围、应发应扣/实发、社保公积金展示模板、四类主体、排除项、版本差异、通知预览、确认发放 P0
工资条 签收跟踪 查询工资条查看、签收、未签收、超期和催办状态 员工清单、送达/查看/签收时间、当前版本、最近催办、批量催办预览 P0；未签收不阻断发薪
工资条 异议与版本更正 处理工资、社保、公积金异议并保留更正前后版本 异议分类、留言附件、回复、原/新工资条对比、更正批次、再次发放与再次签收状态 P0
合同 合同列表 按主体、员工、场景和状态查询合同及签署进度 合同名称、签约组织、员工、模板版本、合同期限、业务状态、存证状态、催办/撤回/查看 P0
合同 纸质合同登记 在存量重签过渡期内登记纸质合同并保存在册凭证 员工与主体、合同编号、合同期限、纸质原件扫描件、签订日期、登记人/时间、重签关联状态、原件下载 P0；支撑图 2，不冒充电子签署
合同 批量重签任务 按部门分批将存量纸质合同转为线上签署 部门/人员筛选、纸质登记核对、模板与正文预览、批量发起、逐人结果、进度统计、催办 P0；一次性过渡动作
合同 重签失败名单 集中处理无法发起或未完成重签的人员，避免静默跳过 无手机号、离职未销户、资料不全、核验/供应商失败等原因、逐人补处理、重新发起、处理记录 P0；失败不影响已成功人员
合同 发起签署向导 按主体、用工类型和新签/重签/续签场景选择模板并逐份发起 四步向导、员工选择、模板命中依据、变量填写、最终正文预览、接收人、核验状态、确认发起 P0
合同 签署任务详情 跟踪单份合同从发送到归档的全过程 正文快照、签署方、发送/查看/验证/签署时间线、拒签/过期/撤回原因、供应商回执、存证状态 P0
合同 模板库与版本详情 管理多类模板、适用范围和只读历史版本 模板名称、类型、版本、适用主体/用工类型/场景/地区、变量、签署方、合规审定、启停状态、预览 P0；不做在线起草编辑器
合同 到期与续签提醒 跟踪合同到期、处理中和超期事项 T-30 固定待办、用工主体/期限/工资确认、负责人、处理状态、提醒记录、发起续签、历史合同关联 P0；复用签署流程，不做续签专用审批
合同 无有效合同清单 集中展示到期仍未续上的人员并持续告警 员工、主体、原合同到期日、当前办理状态、未续原因、负责人、催办/重新发起、历史告警 P0；不停发薪，补签后保留历史记录
合同 合同归档详情 回查已完成合同原文、本人副本和实际存证结果 最终正文、模板版本、签署回执、归档时间、下载、存证/验真状态、关联历史合同 P0
导入中心 文件导入向导 以统一步骤完成各类 Excel 数据导入 业务类型、主体、城市/规则版本、期间、模板下载、上传、字段映射、数据预览、校验、确认入账 P0
导入中心 导入批次列表 追溯不同业务来源、状态和影响范围 批次号、业务类型、四组锚点、来源文件、成功/失败数、入账/发布状态、操作者/时间、重复冲突 P0
导入中心 批次详情与错误报告 查看校验结论并定位失败行、字段和修复方式 锚点快照、映射、校验摘要、成功/失败清单、源文件、错误下载、影响对象、更正关系 P0
导入中心 失败行隔离区 修复未入账数据并形成新批次，不影响已入账成功行 隔离原因、原始行、修复建议、重新下载/修正、关联新批次、处理状态 P0；默认成功行入账、失败行隔离
规则与映射 城市规则列表 管理社保、公积金城市规则及其生效版本 国家/省/市、项目、版本、基数上下限、比例、取整规则、生效期、政策来源、维护/复核人、状态 P0
规则与映射 规则草稿与发布预览 校验规则完整性、期间冲突和来源后复核发布 参数编辑、政策来源、重叠检查、受影响期间、复核意见、发布确认 P0；发布后只读，不自动重算
规则与映射 薪酬项目与导入映射 维护薪酬项目口径、员工可见性和文件字段映射 项目分类、显示顺序、个人/单位项目配置、来源列映射、字典转换、勾稽规则、版本 P0
证据与报表 可信动作记录 查询合同签署、假勤确认、工资条签收及异议事件 主体/员工/期间/业务类型筛选、内容版本、动作与时间、业务摘要、存证状态、技术信息折叠 P0
证据与报表 资料包导出向导 按人或争议期间整理完整原件、事件与回执并留存导出审计 范围选择、资料目录、合同/协议/结果快照原件、缺失项、防伪与验真说明、用途与接收范围、生成下载、审计记录 P0；页面脱敏，导出原件完整
证据与报表 期间运营报表 查看导入、确认、签收、签署、异议和到期业务概况 导入成功率、失败原因、确认率、签收率、签署率、未结异议、到期合同、明细下钻 P0 基础报表
智能体 / 资料包 智能体外部入口与只读接口说明 指引企业用户从中台/外部智能体查询，并说明人事云只读 API/MCP 能力边界 中台/外部入口、MCP 账号授权/APIKey、角色与范围、只读能力清单、脱敏规则、三段式输出示例、高风险法务复核提示 P0 外部协同；不建人事云聊天页，不提供写操作
应用设置 业务角色与数据范围 配置进入应用后的业务域、主体和敏感字段权限 薪酬/假勤/合同等角色、主体范围、字段权限、只读审计、授权变更记录 P0；不复建中台基础角色
应用设置 核验通知与存证策略 配置分级核验、业务通知、提醒和存证异常处理方式 场景核验等级、通知渠道、催办规则、存证重试、第三方服务状态 P0 基础配置
应用设置 操作审计 追溯高风险操作和敏感数据导出行为 操作者、时间、主体、对象、动作、前后摘要、导出用途、结果筛选 P0

2.5 员工微信小程序：Tab 与页面清单

Tab 结构：待办｜假勤｜薪酬｜合同｜我的。首屏优先展示当前需要办理的入职资料、合同/离职协议、假勤确认和工资条签收；员工可从微信服务通知、小程序码或历史入口进入，经身份与任务归属校验后回到具体事项。“合同”Tab 同时承载劳动合同与离职协议，不另建复杂导航。

Tab 页面名 用途（一句话） 关键组件 本期状态
待办 待办首页 聚合本人待填资料、待核验、待确认、待签收和待签署事项 事项类型、企业/主体、期间、办理期限、状态、去办理、类型筛选 P0
待办 身份绑定/异常指引 将微信身份与 HR 预录档案唯一匹配，并处理匹配异常 微信授权、预录手机号比对、短信验证、隐私告知、匹配结果、无法匹配/重复绑定/授权失效指引 P0；不建立独立本地账号
待办 身份核验 按业务风险选择最低必要且足够的本人验证方式 首次登录=手机号验证+人脸核身；合同/离职协议=人脸实人+CA；考勤/工资条=短信验证码；制度告知=账号+点击、失败重试、人工处理入口、返回原任务 P0；高频轻签收不默认人脸
待办 入职资料填写 在首次身份绑定后自助补齐签约所需资料并上传证件 预录信息回显、必填资料、证件拍照/上传、保存草稿、缺项提示、隐私告知、提交核对、退回补正 P0；支撑图 1 阶段一
待办 办理结果页 明确本次资料提交、确认、签收或签署的真实结果 完成状态、完成时间、业务回执、查看记录、返回待办 P0；存证中不伪装业务失败
假勤 我的假勤 按主体和期间查看本人排班、考勤及请假/加班结果 期间筛选、结果类型、来源说明、确认状态、当前有效版本 P0
假勤 排班/考勤详情 查看每日班次、工时结果和异常标记并办理确认 日期、班次、工时、异常、来源期间、确认无误、有疑问 P0；明确为外部导入结果
假勤 请假/加班结果详情 查看外部办理结果及本人确认进度 类型、起止时间、时长、外部办理状态、结果、来源、确认/异议 P0；不是申请审批页
假勤 假勤异议与进度 提交问题并查看 HR 回复、更正和再次确认事项 问题类型、说明、附件、处理状态、回复、原/新版本、再次确认 P0
薪酬 工资条列表 按期间查看本人工资条及签收状态 发薪主体、期间、当前版本、发放/签收状态、异议状态 P0
薪酬 工资条详情 鉴权后查看应发、应扣、实发及主体信息并签收或提异议 短信验证、签约组织、发薪主体、应发/扣款/实发、版本、确认无误、有疑问 P0
薪酬 社保明细 查看本人参保主体、城市、基数、个人项目及缴纳结果 参保主体、参保城市、所属期、险种、基数、个人金额、缴纳结果、规则说明、有疑问 P0；单位项目按模板配置
薪酬 公积金明细 查看本人缴存主体、城市、基数、比例、个人项目及缴纳结果 缴存主体、缴存城市、所属期、基数、比例、个人金额、缴纳结果、规则说明、有疑问 P0；单位项目按模板配置
薪酬 薪酬异议与版本记录 跟踪工资、社保、公积金疑问及更正后再签收 分类留言、附件、HR 回复、原/新版本对比、再次签收、办理进度 P0
合同 我的合同 查看本人待签、签署中、已完成及异常合同 签约主体、合同名称、期限、签署状态、当前任务、历史合同 P0
合同 合同详情 阅读关键信息和完整正文后进入签署或暂不签署 甲方、期限、岗位、地点、工时、薪资、完整正文、阅读提示、同意并签署、暂不签署 P0
合同 签署确认 完成当次人脸实人、CA 签署声明和签名动作 人脸实人、CA 电子签、签署声明、签名、处理中、防重复提交 P0；强签署
合同 合同完成与本人副本 查看、下载已签署合同及实际办理结果 完成时间、合同原文、本人副本、下载、关联历史版本 P0；员工不见哈希/区块号
合同 离职协议详情与签署 阅读离职协议并完成高风险强签署 离职类型、最后工作日、结算与交接条款、完整正文、人脸实人、CA 电子签、暂不签署及原因 P0；支撑图 5
合同 离职进度与证明 回查协议、交接、证明和归档的真实进度 协议状态、交接事项、离职证明、完成时间、本人文件下载、异常处理入口 P0；未签/未交接不显示已完成
我的 我的用工关系 按有效期查看本人当前及历史用工主体 当前/历史关系、签约组织、有效期、必要的业务信息 P0；按权限展示
我的 我的文件与办理记录 回查合同、工资条、假勤确认和异议时间线 文件类型、期间、完成时间、当前有效版本、查看/下载、进度 P0
我的 身份与隐私 管理绑定手机号、实名状态和相关授权记录 绑定状态、手机号变更、实名状态、隐私授权记录、重新核验 P0；换号后重登并重做人脸，不重交资料、不重签合同
我的 帮助与异常反馈 提供联系 HR 和通用异常恢复路径 联系 HR、任务失效说明、下载失败重试、网络异常反馈 P0

2.6 本期不做、灰显与后续候选项

本节与菜单树中的删除线项统一视为灰显、不可点、本期不验收；灰显仅用于评审时说明边界，实际产品默认不展示，避免形成空入口。

功能项 双端呈现方式 本期口径
轻量请假/加班申请与审批 HR 侧栏和员工假勤页均不展示申请入口；若路线图需呈现，只标注“P1 候选/本期不做”且灰显不可点 本期只导入并查看请假/加班办理结果，预留外部审批/API 接口位，不进 8–12 周主排期
API 导入任务 文件导入向导不展示可用 API 按钮；集成说明中标注“P1 候选” 本期以 Excel 为主，API 不作为文件导入前置
原始打卡、复杂排班、考勤重算 不设置打卡、排班编辑器、重算按钮 后续迭代；当前页面明确“外部导入结果”
自动算薪、个税、银企直联、财务过账 不设置自动算薪、立即发薪、过账等按钮 后续迭代；当前仅导入结果、生成工资条，不代替企业实际发薪
社保公积金自动核算、申报与代缴 不设置自动申报、代缴、政策自动更新按钮 后续迭代；当前人工维护规则版本并导入缴纳结果
合同在线起草、复杂续签审批 模板库只提供固版文件、变量与版本管理 本期不做在线起草和专用审批；续签复用合同发起流程
历史合同批量迁移、丰富组合出证、规则影响清单 不作为 P0 主菜单验收项，可在后续路线图中灰显 P1 候选，不影响新签、基础导出和规则版本引用主路径
中台壳与全量 HRIS 不建菜单、不建页面 不做应用中心、开通、独立登录、Boss/Admin、基础组织权限、计费账单，以及招聘、绩效、培训、通用 OA

三、全部业务流程

3.1 流程通用约定与三条贯穿性原则

  1. 角色与权限：下表中的“HR”包括 HR 负责人及获授权的薪酬、假勤、合同等业务管理员；每一步均受企业、主体、业务域和敏感字段权限约束。员工只能办理本人任务，HR 不得代员工确认、签收或签署。
  2. 原则一：不阻断业务，只让状态可见：未签、未确认、未签收、未交接或存证失败，统一表现为“状态未推进 + 持续告警 + 台账可见 + 可继续处理”，不卡实际到岗、计薪、发薪或员工法定权益。唯一事实状态例外：入职合同未签完，入职流程仍停留“待签”，不得显示或统计为“已入职完成”；这表示办理事实尚未完成，不是拦截员工实际工作或发薪。
  3. 原则二：验证强度随风险走：身份核验前先说明用途并获取必要授权，不因高频低风险操作反复采集人脸。
业务场景 验证强度 交互定位
新员工首次登录 预录手机号比对 + 短信验证 + 人脸核身 先把微信/手机号绑到 HR 档案，再把手机号绑到本人，形成“手机号↔本人”绑定
劳动合同新签、重签、续签 人脸实人 + CA 电子签 强签署；逐份正文、版本和结果独立留痕
离职协议，以及后续纳入的调岗/调薪协议 人脸实人 + CA 电子签 一次性高风险动作；不得用轻点击替代
月度考勤确认、工资条签收 绑定手机号短信验证码 + 本人点击 高频轻签收；只确认当前版本，HR 不可代签
制度告知 有效账号 + 本人点击 记录告知内容版本、阅读与确认动作，不默认人脸
  1. 原则三：留痕必须能导出原件：合同/协议原文、结果快照、回执、签署确认时间，以及系统实际记录的时间、设备、流水、哈希等，均可按权限进入资料包。页面和智能体日常返回对身份证号等敏感信息脱敏，举证导出的原件保持完整并附防伪/验真说明；员工端只看业务明细、进度和本人文件，不直接展示哈希、区块号等技术信息。
  2. 状态与版本不可混淆：已查看不等于已同意；业务完成不等于存证成功；已发布/已发放/已发起内容不得直接覆盖或删除，更正生成新版本并保留原版本、原动作、异议和处理时间线。
  3. 导入共用口径：所有导入固定“签约组织 + 城市/规则版本 + 业务期间 + 操作者/操作时间”四组锚点；普通行错误默认“成功行入账、失败行隔离”，整批阻断仅为可选策略，失败不得静默跳过或笼统报成功。
  4. 安全与数据质量校验不属于‘卡业务’：越权、任务不属本人、必填签署变量缺失、无适用模板、四组锚点无效等，可拦截当前提交或入账，但必须给出修复路径；不得借此中断员工实际工作、发薪或删除历史记录。

3.2 P-01｜图 1：新员工入职与合同签署（两阶段）

阶段边界：阶段一只解决“本人身份绑定 + 资料齐全”，阶段二才发起签约；资料未齐不得先签空壳合同。

步骤 角色 页面 动作 结果 异常/告警
1 HR 人员／入职录入与员工入口 引用中台人员，预录手机号、签约主体、部门岗位和预计入职日 建立“待办理”入职档案，作为员工入口与后续任务的归属依据 手机号缺失/重复、人员不唯一或主体无权限时不得生成有效入口；提示修正，不猜测绑定
2 HR 人员／入职录入与员工入口 生成并发送微信小程序码或入口链接 记录入口、发送人、时间和有效期，员工进入本人办理路径 入口失效可重新生成并使旧入口失效；重复发送不重复建档
3 员工 小程序／身份绑定 微信授权，输入/确认手机号并完成短信验证 手机号与 HR 预录档案比对成功后绑定到对应人员 不匹配、重复绑定或授权失效时给出联系 HR/重新验证路径，不展示他人资料
4 员工＋第三方核验服务 小程序／首次人脸核身 阅读用途与隐私告知后完成人脸核身 建立“手机号↔本人”绑定，记录核验结果与时间，开放入职资料填写 人脸失败可重试或转人工处理；未通过不得跳过核验冒认本人，持续显示待核验
5 员工 小程序／入职资料填写 核对预录信息，补齐签约必填资料并上传证件 保存草稿和附件，提交后进入“待 HR 核对” 缺项、格式错误或上传失败定位到字段并可续填；不收集与签约无关的信息
6 系统 入职办理／资料完整性校验 校验资料、附件、主体和模板所需变量 输出“资料齐全”或明确缺项，齐全后才开放发起签约 资料未齐只退回补正并提示，不生成空壳合同
7 HR 人员／入职资料核对 查看员工自填资料与证件，确认或退回补正 记录核对人、时间、意见；确认后进入合同发起准备 退回须列明补正项并通知员工；原提交与补正记录均保留
8 HR 合同／发起签署向导 选择适用模板，确认用工主体、期限、岗位和工资，预览最终正文后发起 固化模板版本与正文快照，生成员工待签任务 无适用模板、变量缺失或签署方不全时拦截本次发起并告警；不影响已建立档案
9 员工 小程序／合同详情 查看甲方、关键条款和完整正文 记录查看事件，员工选择“同意并签署”或“暂不签署” 已查看不等于已签署；拒签/暂不签署记录原因并通知 HR，不记为已完成
10 员工＋CA/电子签服务 小程序／签署确认 完成人脸实人、签署声明和 CA 电子签 单份合同进入签署完成或供应商处理中，防重复提交 人脸或供应商失败保留原任务并可恢复重试；不得绕过人脸或重复生成合同
11 第三方服务＋系统 合同归档详情／本人副本 CA 出证，系统接收回执并归档 保存合同原件、模板版本、签署回执、签署确认时间及实际存证状态；员工可查看下载本人副本 回执或存证异常单独告警，不伪装成功，也不撤销已真实完成的业务回执
12 系统 人员／入职办理 根据真实签署结果更新入职办理状态 合同签完后入职流程标记“已入职完成”，一人一档聚合全部记录 未签完始终保持“待签”，不计为已入职完成；持续告警但不卡实际工作或发薪
13 HR 工作台／入职待签清单 对待签、拒签、核验失败人员逐人催办或处理 记录催办、重新发起和人工处理结果，直至闭环 告警不得因超时自动消失或把沉默视为签署
14 员工 我的／身份与隐私 更换手机号后重新登录，完成新号短信验证与人脸核身 更新身份入口并写入员工历程，历史资料与合同继续关联本人 不重交资料、不重签合同；新号已绑定他人时停止换绑并转人工核对

3.3 P-02｜图 2：存量老员工线上重签

流程定位：一次性过渡动作，不是到期续签。先登记纸质合同保证过渡期“在册有凭证”，再按部门分批线上化；批量操作不得静默跳过失败人员。

步骤 角色 页面 动作 结果 异常/告警
1 HR 合同／纸质合同登记 逐人或批量登记员工、主体、合同编号、期限、签订日期并上传纸质原件扫描件 形成“纸质在册”凭证和登记时间线，作为重签前的过渡台账 必填项或原件缺失、合同编号重复时标为待补正；不得把纸质登记伪装成电子签署完成
2 系统 合同列表／一人一档 将纸质合同与员工用工关系关联 过渡期可查询“已有纸质合同、待线上重签”，原件可回查和按权限导出 人员或主体无法唯一匹配时进入异常清单，不靠姓名猜测归属
3 HR 合同／批量重签任务 按部门、主体和纸质登记状态筛选人员，分批创建重签任务 生成本批人员范围、模板和任务编号，保留分批记录 重复批次提示幂等冲突，不重复生成有效合同；历史纸质登记仍保留
4 系统 批量重签任务／发起预检 校验手机号、在职状态、资料完整性、模板和签署方 输出可发起人员与重签失败名单，逐人列明原因 无手机号、离职未销户、资料不全等不得静默跳过；部分失败不影响其他人员继续
5 HR 合同／重签失败名单 逐人补手机号、纠正状态、补资料，或登记经审定的线下核验材料后重新预检 处理人、处理动作、时间和结果留痕，符合条件者回到待发起范围 始终无法通过人脸者的最终处理口径须按审定方案执行；系统不得默认放行或删除失败记录
6 HR 合同／发起签署向导 核对逐人模板版本、最终正文和接收人后批量发起 每人每份合同独立生成待签任务并通知员工 单份失败进入失败名单，已成功任务不回滚；重新发起保留与原失败任务的关系
7 员工 小程序／合同详情与签署确认 查看完整正文，完成人脸实人和 CA 电子签 形成个人签署结果；可查看办理进度 拒签、过期、人脸失败或供应商异常均显示真实状态与下一步，不记为已签
8 第三方服务＋系统 合同归档详情 CA 出证并回传签署结果，系统归档 电子合同原件、回执、签署确认时间和存证状态入库，台账转为“线上已签” 回执/存证失败单独告警；纸质登记与扫描件作为历史来源继续保留，不删除
9 系统 批量重签任务／进度看板 汇总未发起、待签、签署中、已签、拒签和失败 按部门展示进度，未处理人员持续提醒，目标范围内可追踪到个人 重签未完只告警，不停发薪、不影响已成功人员；超时不自动签完
10 HR 重签失败名单／签署任务详情 催办、撤回、修正后重发或登记处理结论 所有处理进入时间线，直至每人有明确结果 撤回须填原因；不得用关闭任务掩盖仍未完成重签的事实
11 HR 资料包导出向导 按人选择纸质登记、电子合同及重签过程记录 可导出纸质扫描件、电子合同原件、回执和完整处理时间线 缺项必须明示；页面脱敏不改变导出原件完整性，导出行为留审计

3.4 P-03｜图 3：合同到期续签

流程定位：周期性节点，一期固定到期前 30 天生成待办；续签复用合同签署能力，不建设专用审批，也不与存量重签混用。

步骤 角色 页面 动作 结果 异常/告警
1 系统 合同归档详情／到期续签 读取有效合同到期日，在 T-30 生成续签待办 待办包含员工、主体、原合同、到期日和负责人，并关联历史合同 到期日缺失或冲突时进入“信息待完善”并告警；同一合同同一节点不重复生成待办
2 HR 合同／到期续签提醒 打开原合同，重新确认用工主体、合同期限和约定工资 形成续签草稿，显示与原合同的字段差异 不得直接复制上一份合同而不核对三项关键字段；变更须写入新合同正文
3 HR 合同／发起签署向导 选择续签场景与适用模板，预览最终正文后发起 固化新合同模板版本和正文快照，生成员工待签任务 无适用模板、变量缺失或主体无权限时拦截本次发起并提示修复；原合同不被覆盖
4 员工 小程序／合同详情 查看新老合同关键差异、完整正文和签署声明 记录查看，选择签署或暂不签署 已查看不等于同意；拒签记录原因并通知 HR，不自动视为续签成功
5 员工＋CA/电子签服务 小程序／签署确认 完成人脸实人和 CA 电子签 形成高风险档签署记录和供应商回执 人脸、CA 或供应商失败可重试，保持待签/失败状态并持续告警，不绕过验证
6 系统 合同列表／合同归档详情 签署完成后更新合同台账 新合同生效信息、签署确认时间、原件与回执归档，旧合同作为历史保留 存证异常与签署状态分列；不得因新合同任务已发起就把原合同标为已续签
7 HR 到期续签提醒／签署任务详情 跟踪待签、拒签、失败和即将到期人员并催办 记录催办、重新发起和处理意见 待办不能因发起或催办自动关闭，须以真实签署结果或登记原因更新
8 系统 合同／无有效合同清单 到期时检查是否已有有效新合同 未续上者自动进入“无有效合同”清单并持续告警 不卡发薪、不中断其他业务，不删除旧合同；清单只反映当前有效合同事实
9 HR＋系统 无有效合同清单／资料包导出 补办续签或按人导出原合同、新合同与提醒记录 补签成功后移出当前清单，但保留历史告警、补签时间和完整原件目录 导出缺项须明示；历史“曾无有效合同”记录不可被后续补签抹除

3.5 P-04｜图 4：月度考勤确认与工资条签收

流程定位：每月固定循环，先完成外部考勤结果导入与本人确认，再生成并推送工资条；两段可以接续办理，但考勤未确认、工资条未签收均不阻断实际计薪或发薪。

步骤 角色 页面 动作 结果 异常/告警
1 假勤专员 假勤／文件导入向导 选择主体、工作城市/规则版本和假勤期间，上传考勤 Excel 并确认映射 保存源文件、批次锚点、映射和操作者/时间，生成校验预览 四组锚点无效时不得入账；文件格式或表头错误给出可修复反馈
2 系统 导入中心／数据预览与错误报告 校验人员、日期、工时、来源主键和重复项 成功行入账、失败行隔离，输出错行回执和明确数量 不靠姓名猜测人员；失败行不得混入发布，重复导入不重复生成结果
3 假勤专员 假勤／发布预览 核对成功人员、排除项、期间和版本后确认发布 固化当前考勤结果版本，生成员工确认待办 发布失败可查询真实结果后幂等重试；已发布内容不可直接覆盖
4 系统 微信服务通知／小程序待办 推送不含敏感明细的考勤确认通知 员工从通知或待办进入本人当前版本明细 通知失败不改变结果状态，可重推；任务不属本人时禁止查看
5 员工 小程序／考勤详情与短信确认 查看班次、工时和异常，完成绑定手机号短信验证码后点击“确认无误” 记录当前版本、本人动作和确认时间，状态变为“已确认” HR 不可代签；验证码错误/超限给出原因；已查看不自动确认
6 系统＋假勤专员 假勤／确认跟踪 系统统计未确认/超期人员，HR 按需催办 记录催办时间、渠道与结果，未确认者持续告警 超时不自动确认，不统计为无异议，也不阻断计薪发薪
7 员工＋假勤专员 假勤异议／异议处理详情 员工提交说明附件；HR 回复、补证或发起更正 异议全程留痕；更正生成新版本并再次收集确认 异议不记为已确认；旧版本、原留言和原确认记录不可覆盖
8 薪酬专员 薪酬／文件导入向导与期间复核 导入计薪、应发应扣、实发及社保公积金结果，核对主体、期间、规则版本和金额后复核 成功行固定来源和规则快照，期间状态变为“HR 已复核” 金额异常不静默改数；失败行隔离；考勤未确认只保留异常，不阻断本步
9 系统 工资条／生成与发放预览 从已复核薪酬结果生成工资条候选批次 固化员工范围、当前版本和模板允许展示的明细 未复核或排除范围不明时不得正式推送；本期不执行自动算薪或银行付款
10 薪酬专员 工资条／生成与发放预览 核对主体、期间、金额、可见项目和通知内容后定向发放 工资条版本锁定，生成员工签收待办并返回逐人送达结果 发送失败可幂等重试，不重复生成有效工资条；通知正文不含敏感金额
11 系统 微信服务通知／小程序待办 推送工资条签收通知 员工可进入本人工资条、社保和公积金明细 送达失败标为待重试，不显示已送达；离职员工依法可回查本人历史信息
12 员工 小程序／工资条详情与短信签收 完成短信验证码，查看应发、应扣、实发及明细后点击“确认无误” 状态变为“已签收”，记录当前版本、动作和签收时间并生成回执 HR 不可代签；查看不等于签收；声明不附加放弃追索等扩大表述
13 系统 工资条／签收跟踪 统计送达、查看、签收、异议和超期状态 形成批次签收率与未签收名单，运营目标为签收率 ≥95% 目标不等于自动确认；未签收持续告警，不阻断实际发薪
14 薪酬专员 工资条／签收跟踪 对未查看、未签收人员预览并重推/催办 记录每次重推和最近催办，员工仍从同一有效任务进入 重推不生成重复工资条；超时不自动签收、不限制员工法定权益
15 员工＋薪酬专员 薪酬异议／异议与版本更正 员工提出工资、社保或公积金异议；HR 回复或更正后再次发放 异议有处理进度，更正版本重新签收，原/新版本可对比 未结异议不显示已签收或“员工无异议”；不得直接覆盖已发工资条
16 系统＋HR 可信动作记录／资料包导出 归档月度源文件、结果快照、确认/签收回执及更正记录，按权限导出 每月每人形成可追溯目录，原件完整并附实际存证/验真信息 存证失败单独持续告警但不撤销真实业务回执；导出缺项和用途须明示并留审计

3.6 P-05｜图 5：离职办理与档案归档

流程定位：离职协议人脸实人签署 → HR 确认交接 → 生成离职证明并归档 → 转历史档案。离职不等于删除数据，后续争议仍可按人导出完整原件。

步骤 角色 页面 动作 结果 异常/告警
1 HR 人员／离职办理详情 选择员工，登记离职类型、最后工作日和负责人，发起离职协商 建立离职办理单并关联当前用工关系、合同与未办事项 人员/关系不唯一或权限不足时不得发起；不得借离职办理删除历史数据
2 HR 离职办理详情／协议预览 选择经审定的离职协议模板，核对结算、交接等条款并发送 固化协议版本和正文快照，生成员工待签任务 变量缺失或模板不适用时拦截本次发送并提示修正；发送后修改须形成新版本
3 员工 小程序／离职协议详情与签署 阅读完整协议，完成人脸实人和 CA 电子签 记录签署声明、动作、时间与供应商任务，形成真实签署结果 拒签/暂不签署记录原因；人脸或供应商失败可重试并持续告警，不得跳过人脸或代签
4 第三方服务＋系统 离职办理详情／协议归档 CA 出证并回传，系统归档离职协议 保存协议原件、签署回执、签署确认时间和实际存证状态 回执/存证失败单独告警，不伪装完成；员工可查看本人业务结果，不展示技术哈希错误
5 HR 人员／离职办理详情／工作交接 按顺序在协议签署后确认物品、权限和在途事项交接 记录交接项、经办人、完成时间和未尽事项 交接未完成保持待办并持续告警，不伪造已交接；不以未交接为由删除协议或扣发工资
6 系统 离职办理详情／离职证明 根据真实办理信息生成离职证明并归集结算依据 离职证明、协议、交接和结算依据建立关联，员工可按权限查看本人文件 信息不全或生成失败时标为异常并可重试，不出具内容与事实不符的证明
7 系统 人员／历史档案 将本次离职资料与既有合同、假勤、工资条、异议和回执统一归档 形成一人一档完整目录并长期保存；劳动合同文本至少满足二年备查下限，其他材料按适用规则保存 归档缺项必须明示并告警；离职、归档或权限变化均不得触发源文件删除
8 系统＋员工 历史档案／小程序我的文件 将员工关系转入历史区，按有效期和权限提供回查 HR 可查历史档案；员工依法可获取本人合同、工资等文件 不得不当切断离职员工依法应有的信息访问；越权访问仍禁止
9 HR 工作台／离职办理列表 跟踪协议未签、交接未完、证明失败和归档缺项 各项持续显示真实状态、负责人和处理记录，直至闭环 只告警不阻断实际业务；未签完不得显示“协议已签”，未交接不得显示“交接完成”
10 HR 资料包导出向导 争议发生时按人选择离职及关联期间资料，填写用途并导出 输出协议/合同原件、交接记录、证明、结算依据、回执和完整时间线，附防伪/验真说明并留审计 无权限或超范围不得导出；缺失项明示，页面脱敏不影响举证原件完整性

3.7 P-06｜图 6：智能体查询与资料包导出

入口边界：老板、HR、财务在中台/外部智能体提问；人事云提供只读 API/MCP 和权限范围内的资料包导出，不另建智能体聊天页，不开放写操作。

步骤 角色 页面 动作 结果 异常/告警
1 企业用户（老板/HR/财务） 中台/外部智能体 用自然语言询问人员、合同、考勤、工资或风险情况 形成待处理查询意图，三类角色使用同一入口 意图不清时由智能体澄清，不扩大查询范围；不得要求员工提供他人敏感信息
2 智能体平台 MCP 授权/APIKey 绑定 通过中台账号授权或 APIKey 调用人事云只读 API/MCP 建立调用者、企业、角色和会话的关联 授权失效、Key 无效或企业上下文缺失时拒绝调用并提示重新授权，不返回业务数据
3 系统 只读 API/MCP／权限校验 校验角色、主体、业务域、字段和查询范围 仅允许当前用户有权的数据进入查询，所有能力均为只读 越权、超范围或写操作请求直接拒绝并记录安全审计；不得借智能体绕过页面权限
4 系统 只读 API/MCP／查询执行 执行查询并对身份证号等敏感字段脱敏 返回业务现状、必要明细、状态与依据，不回传无关敏感信息 数据缺失或存证异常须如实标注，不把“无数据”解释为“无风险”
5 系统 操作审计／智能体查询留痕 记录调用者、授权方式、查询语句、字段、主体范围、时间和结果摘要 每次查询可追溯“谁在何时看过什么” 留痕失败不得伪装已审计；异常进入安全告警，审计记录不可由普通调用者删除
6 智能体平台 中台/外部智能体／分析结果 将返回内容组织为“现状—风险点+依据—可执行建议”三段式 企业用户获得可读结论和下一步，不只看到原始数据或哈希 依据不足时明确“不确定/需补资料”；高风险事项建议法务复核，不作必然胜诉承诺
7 企业用户 智能体分析结果／人事云业务明细 查看结论，必要时回到授权范围内的业务页面核实 结论与业务明细、状态和处理入口可互相印证 页面日常查看仍按权限脱敏；智能体结论不自动修改合同、人员或薪酬状态
8 企业用户/HR 智能体资料包请求／人事云资料包导出向导 按人或争议期间选择资料范围，填写用途与接收范围，预览目录和缺失项 系统再次校验导出权限并固化本次导出清单 无导出权限、超范围或用途缺失时拒绝；缺项必须明示，不得将不完整资料包标为完整
9 系统 资料包导出向导／生成结果 汇总合同/协议、结果快照、回执、异议更正和审计记录 导出原件保持完整，附目录、防伪/验真说明及实际存证状态，供举证使用 生成失败可重试；存证失败或原件缺失单独告警，不生成虚假回执或保证司法采信
10 企业用户/HR＋系统 资料包下载／操作审计 在授权范围内下载或安全接收资料包，系统记录导出与下载行为 留存导出人、时间、范围、用途、文件版本和下载结果 下载链接失效可按权限重新生成；页面和智能体脱敏不影响举证原件完整性，敏感导出异常持续告警

3.8 S-01｜共用支撑：SSO、主体上下文与员工用工关系

步骤 角色 页面 动作 结果 异常/告警
1 HR 中台应用入口／人事云工作台 经中台 SSO 进入人事云 接收企业、人员、应用访问资格和会话信息，加载有权限主体 无权限、企业上下文缺失或会话失效时停止展示业务数据并返回统一入口；无本地登录页
2 HR 顶栏／签约组织切换 选择全部有权限主体或单一主体 工作台、人员、合同、假勤、薪酬、工资条和报表同步过滤 未保存内容先提示；不得借主体切换绕过业务域或字段权限
3 HR 签约组织／主体列表 维护真实主体名称、统一社会信用代码、属性、城市、状态和有效期 形成后续人员、合同和批次的共同引用锚点 重复标识不得新增；已引用主体不可直接删除，停用不删历史
4 HR 人员／员工与用工关系编辑 引用中台人员，分别补录签约、发薪、参保、缴存主体及用工信息 建立一人一档和按有效期管理的用工关系 人员不唯一、员工编号重复、关系日期冲突或必填主体无效时阻断保存/隔离该行
5 系统 签约组织／主体核对清单 比对四类主体和城市 有效但不一致的关系标记“待核对”，保留原始值和业务归属 仅提示待核对，不禁止入账、不自动改主体；缺失或无权限仍按错误处理
6 HR 主体核对清单 查看材料、填写核对说明并确认 记录核对人、时间和结论，原始主体值不被系统改写 源数据错误由 HR 修正并形成新记录/批次，系统不得猜测
7 HR 人员／员工与用工关系编辑 办理换主体，终止旧关系并建立新关系 新旧关系按有效期并存，历史合同、工资条和确认记录保持原归属 日期重叠先处理冲突；不得覆盖或删除历史关系
8 系统 一人一档／历史档案 聚合当前与历史关系及各业务记录 图 1–图 6 均可回到同一员工、同一主体和同一来源链路 敏感页签按权限显示；跨主体、跨人员访问一律拒绝并留安全审计

3.9 S-02｜共用支撑：城市规则、统一导入与失败隔离

步骤 角色 页面 动作 结果 异常/告警
1 薪酬专员 规则与映射／规则草稿 选择城市和社保/公积金项目，填写参数、生效期和政策来源 形成可编辑规则草稿 城市、项目、基数、比例或来源不完整时不可提交发布
2 系统＋复核人 规则草稿／发布预览 系统校验同城同项目生效期冲突，复核人核对后发布 形成只读规则版本，记录维护人、复核人和发布时间 生效期重叠、无来源或无复核时阻断发布；发布后修改须新建版本
3 HR 导入中心／文件导入向导 选择业务类型、签约组织、城市/已发布规则版本和期间 固定四组锚点，系统写入操作者与时间；薪酬另记录发薪及参保/缴存主体 锚点缺失、无效、冲突、无权限或规则不覆盖期间时不得入账
4 HR 文件导入向导 下载模板、上传 Excel 并确认字段映射 保存源文件、映射、批次号和数据预览 文件格式、表头或必填映射失败时留在校验阶段，不生成员工任务
5 系统 数据预览／错误报告 校验人员行级键、主体、期间、业务字段、金额勾稽和重复主键 输出成功行、失败行、待核对提示和修复建议 人员不唯一不靠姓名猜测；金额异常不静默改数；服务异常不归咎于员工数据
6 HR 数据预览 核对总人数、成功/失败数、排除项和版本差异后确认入账 默认成功行入账，失败行隔离，记录确认人与时间 整批阻断仅为可选策略；不得笼统显示全部成功，锚点错误不能勾选豁免
7 系统 业务期间结果／批次详情 固化成功行与来源、规则快照和版本关系 入账结果可进入发布/复核，但仍不等于已发布或已发送 历史迁移须标“外部导入/未参与系统核算”；规则变化不自动重算历史
8 HR 导入中心／失败行隔离区 下载错误报告，修正来源后重新导入 形成新批次并关联原失败行，已入账成功行不受影响 错误定位到行、字段、脱敏原值、原因和建议；不得直接改成功行掩盖失败
9 系统 导入批次列表 按四组锚点与来源业务主键检查重复文件和重复提交 提示幂等冲突并链接原批次 不重复生成业务结果、员工任务或后续版本；已发布数据只能走更正/撤回

3.10 S-03｜共用支撑：员工待办、薪酬明细、异议与版本更正

步骤 角色 页面 动作 结果 异常/告警
1 系统 小程序／待办首页 按人员、用工关系有效期和任务归属过滤事项 仅显示本人入职、合同/协议、假勤和工资条任务 无法匹配、重复绑定、无有效关系或越权访问时不泄露任务内容；已撤回/过期/有新版任务不作当前有效项
2 员工 待办首页／办理结果页 选择事项并完成查看、确认、签收、签署或提交异议 已完成事项移出待办，可在“我的文件”回查；异议保留处理进度 已查看但未完成仍留待办；存证异常不改变真实业务回执
3 员工 薪酬／工资条详情 短信鉴权后查看应发、应扣、实发及主体信息 明示签约组织、发薪主体、期间和当前版本 未鉴权不展示完整金额；查看不等于签收
4 员工 薪酬／社保明细 查看社保个人项目和缴纳结果 显式展示参保主体、参保城市、所属期、基数、个人金额和缴纳结果；单位项目按模板配置 主体不一致可提示“待核对/信息核对中”；缺失数据不得显示为正常
5 员工 薪酬／公积金明细 查看公积金个人项目和缴纳结果 显式展示缴存主体、缴存城市、所属期、基数、比例、个人金额和缴纳结果 社保与公积金城市不同须分别表达，不以工作城市替代；不宣称系统已完成官方申报
6 员工 假勤/薪酬异议 选择问题分类，填写说明并按需上传附件 生成唯一异议编号，业务状态进入“异议中” 不生成已确认/已签收；附件失败保留已填写内容并可重试
7 系统＋HR 工作台／异议处理详情 按主体和业务域分派，HR 受理并核对来源和员工材料 记录受理时间、负责人、原版本和处理过程 无权限 HR 不可查看敏感异议；不得覆盖员工原留言或删除附件
8 HR 异议处理详情 无需更正时回复依据；需要更正时关联原批次创建更正批次 回复进入“待员工查看/已办结”；更正形成新来源批次和更正原因 回复不等于员工自动确认；更正重新固定四组锚点，不直接修改已发布/已发放内容
9 系统＋HR 版本对比与更正／发布或发放预览 系统生成新版本，HR 核对变更字段和影响人员后再次发布/发放 原版本只读，新版本生成新的员工待办，原/新版本可对比 原确认、原签收、原异议和存证关系保持可追溯；失败可幂等重试
10 员工 假勤/薪酬异议与版本记录 查看回复和新版本，再次确认/签收或继续异议 时间线闭环或继续处理 超时仍不自动确认，未结异议不统计为无异议

3.11 S-04｜共用支撑：存证异常、可信动作与原件导出

步骤 角色 页面 动作 结果 异常/告警
1 系统 合同/假勤/工资条/离职详情 在业务动作完成后异步记录存证状态 业务状态与待存证、存证中、已存证、存证失败分栏显示 业务已完成但存证失败时不得显示假成功，也不撤销员工真实业务回执
2 HR 工作台／可信动作记录 筛选存证失败或验真异常，查看实际回执并发起重试 记录重试人、时间和结果，异常未恢复前持续预警 验真异常不得标注“证据完整”；员工端不展示技术哈希错误，只看业务处理状态
3 HR 可信动作记录 按主体、员工、业务类型、期间和事件选择范围 查看内容版本、动作、签署/确认时间、来源批次和可获得的回执 默认限定争议事件或期间，不默认捆绑员工全部历史；无权限字段不返回
4 HR 资料包导出向导 预览资料目录、原件、缺失项和敏感信息，填写用途与接收范围 明确本次导出内容和权限校验结果 缺失项须明示；无权限、超范围或用途缺失不得导出
5 系统 资料包导出向导／生成结果 生成含原件、结果快照、事件时间线、回执和防伪/验真说明的资料包 页面脱敏与原件导出分层，保留实际时间、设备、流水、哈希等技术记录 不以截图替代可获得的原件；不承诺必然司法采信，不等同公证或司法鉴定
6 HR＋系统 资料包下载／操作审计 下载资料包，系统保存导出与下载审计 留存导出人、时间、范围、用途、文件版本和下载结果，后续可复核 下载失败可恢复重试；敏感导出异常持续告警，普通用户不得删除审计记录

3.12 图 1–图 6 覆盖与端到端验收出口

图号／主流程 菜单与页面支撑 必须走通的出口 关键告警与否决项
图 1｜新员工两阶段入职 HR“人员／入职录入与员工入口、入职资料核对”；员工“身份绑定、人脸核身、入职资料填写、合同详情与签署” 预录档案 → 手机号验证与人脸绑定 → 资料齐全 → HR 发起 → 人脸+CA 签署 → 原件归档/本人副本 未签完不得计为已入职完成；持续待签告警但不卡实际工作/发薪；换号不重交资料、不重签
图 2｜存量老员工重签 HR“纸质合同登记、批量重签任务、重签失败名单”；员工合同签署 纸质登记 → 分批预检 → 失败逐人补处理 → 人脸+CA 重签 → 进度闭环 不得静默跳过失败人员；部分失败不影响成功人员；未完不停发薪；纸质与电子原件均可追溯
图 3｜合同到期续签 HR“到期续签提醒、发起签署、无有效合同清单”；员工合同签署 T-30 待办 → 核对主体/期限/工资 → 人脸+CA 续签 → 台账更新并保留旧合同 到期未续进入无有效合同清单并持续告警；不停发薪；不得直接复制旧合同而不核对关键项
图 4｜月度考勤与工资条 HR“假勤导入/发布/确认跟踪、薪酬复核、工资条发放/签收跟踪”；员工“考勤详情、工资条详情、异议” 成功行入账/失败行隔离 → 短信确认考勤 → 工资条批次 → 短信签收 → 异议更正再确认 HR 不可代签；超时不自动确认/签收；未签收不停发薪；签收率目标 ≥95% 不等于强制完成
图 5｜离职与归档 HR“离职办理列表/详情、历史档案、资料包导出”；员工“离职协议详情与签署、离职进度与证明” 离职发起 → 人脸+CA 协议 → 交接 → 离职证明 → 长期归档 → 按人导出原件 未签/未交接不伪装完成；持续告警但不卡实际业务；离职不删数据，劳动合同文本至少满足二年备查下限
图 6｜智能体与资料包 中台/外部智能体入口，人事云只读 API/MCP；人事云“资料包导出、查询与导出审计” 授权调用 → 角色与范围校验 → 脱敏只读查询并留痕 → 三段式输出 → 按人导出完整原件+防伪 智能体不得写；越权拒绝；高风险建议法务复核；页面/返回脱敏但举证原件不脱敏；缺项不得标完整
共用底座｜主体、导入、异议与存证 “签约组织、人员、导入中心、规则与映射、可信动作记录、应用设置” 至少两个主体与两个城市规则可联验；多类数据成功/失败导入；异议更正保留新旧版本；存证异常可恢复 串主体、静默改数、失败笼统报成功、覆盖旧版本、业务完成即伪装存证成功均为否决项
双端与范围边界 HR 全程 SSO 后 Web 应用内页；员工全程微信小程序；灰显项不进本期验收 六条主流程异常均有下一步，员工可回查本人文件，导出均留审计 出现中台壳页面、独立账号、H5 替代小程序、智能体聊天后台或本期不做空入口均为否决项