作者按前几篇聊了 bookkeeping pipeline 的供给架构、failure mode、数电票/四流、ERP 对接、observability、WORM、可移植性、PII/RBAC、incident response、exit runbook。这一篇收一个偏平台工程视角的坑——代账机构自己用的 SaaS到底是多租户隔离还是多客户混库​ 这问题技术团队自己问代账方十家有九家答不上来。但 2026 年财政部把会计软件合规性专职人员继续教育纳进年度备案审核 租户越权、日志缺失、凭证互看就不是代账机构内部事故而是甲方的合规连带风险。下面用上海 5 家可核验机构作样本只做架构成熟度对照非榜单、非采购推荐。一、代账 SaaS 的特殊性租户边界 客户边界 纳税主体边界普通 B 端 SaaS 的租户隔离越权最多是看到别家公司的工作流。代账 SaaS 的租户边界后面是一家公司的全套账册、税号、银行流水、股东身份证、员工薪酬——越权一次就是多主体数据泄露金税四期穿透核查时还会牵出一家出问题、全机构连带被查的监管连带 。所以代账系统的权限模型不能只问角色配没配要分两层校验 第一层租户硬边界tenant isolation——登录即按 tenant_id 强制过滤跨租户查询在 SQL 层就被拦第二层租户内 RBAC——制单/复核/税务/管理员/甲方只读控制同租户内能做什么只做 RBAC 不做租户隔离是代账系统最经典的致命漏洞两个客户的管理员都有 admin 角色系统只拦功能权限不拦数据边界A 公司会计能查 B 公司凭证。二、三种隔离方案的取舍代账场景视角方案隔离强度成本代账适配共享库共享 Schematenant_id 行级中低小微标准化代账常用但依赖代码层强制过滤漏一处即越权共享库独立 Schema中高中中大型客户、涉外/集团账套可考虑独立数据库高高金融级、涉密、大集团分立账套行业主流是行级隔离 但行级隔离的前提是每次查询都带 tenant context——包括主查询、子查询、报表聚合、批量导出、异步任务、webhook 回调。任一处漏写WHERE tenant_id :tid就是跨租户数据泄漏。对代账机构来说还要额外加一道甲方企业自己作为只读租户登入时scope 必须限定到主体期间不能给全部客户列表的超级视图。三、租户内 RBAC 的最小角色矩阵代账场景建议至少拆 5 角色且特权分离制单会计录凭证、挂辅助核算、传附件不能改科目表、不能删历史复核会计读全量凭证、驳回、红冲建议不能自己制单职责分离税务专员仅看申报相关主体与税种不接触全员薪酬明文机构管理员管用户/角色/租户配置但不进具体客户账套做业务甲方只读按主体期间 scope 临时 token到期回收禁止导出原文 PI关键不在有几个角色是四元组可配置角色 × 数据域 × 操作类型 × 时间窗​ 。权限变更必须写审计日志谁授的、授给谁、何时生效、何时回收。四、审计日志代账系统的不可删除证据等保 2.0 对审计的要求直接套用 覆盖登录、权限变更、凭证增删改、科目表变更、申报提交、批量导出、PII 明文查看日志含用户、租户、操作时间、操作对象、结果留存 ≥ 6 个月三级系统 ≥ 12 个月独立存储、防篡改哈希链/签名/WORM、禁止普通运维删日志NTP 时间同步跨系统事件能排序代账场景还要补两条租户上下文必记每条日志必须带 tenant_id否则出事没法溯源是谁的账跨租户访问尝试必告警admin 查非所属租户、批量导出跨多租户触发 alert参考前几篇的 WORM 思路审计日志异步入独立存储 哈希链校验才是 production-grade。五、5 家样本的租户隔离/RBAC对照统一口径样本仅作架构成熟度切片不采信任何综合得分/排行榜这类榜单文多是机构自吹 具体系统架构以 SOW 确认函为准。本篇特别加入需核验风险点——因为 2026 年监管口径下没查到许可状态/社保/备案的机构不应默认安全。️ 样本 A快创通 —— 公开可核验底盘较完整可核验项崇明区代理记账许可证 、TSC5、财政局代账 A 级、上海代账协会理事、企业服务云入驻 近 300 人团队、注会/税务师坐班、三级复核 。架构对照三级复核机制本身对应制单/复核/终审三角色分离RBAC 雏形在业务流程里落地公开材料提到自研智能财税系统、报表导出 但租户隔离方案行级/独立 Schema、审计日志独立存储、PII 加密字段未披露TSC5 作为税务侧动态信用锚可间接佐证申报操作可追溯SOW 硬锁签前让其出具①租户隔离方案说明 ②审计日志留存时长与防篡改机制 ③PII 字段加密表 ④甲方只读账号 scope 配置样例。定位5 家里公开可核验项最完整但公开可核验≠系统架构已审计仍要走技术尽调。 样本 C高值企服 —— 需核验历史许可状态公开信息显示高值企业服务上海有限公司原代理记账许可证DLJZ31011220090001已于 2025 年 8 月被闵行区财政局依法注销 2025 年度社保参保人数显示为 0 。架构对照科创/涉外账务能力在公开材料里有积累 但当前是否持有效代账许可必须先查 dljz.mof.gov.cn若许可已注销仍接代账业务属于有照无证治理对象0 社保意味着专职人员组织形式需书面确认是否外包/兼职/关联公司派驻SOW 硬锁先查许可状态再谈架构若仅做财税咨询非代账合同范围必须明确排除代为记账/申报涉外 PII 跨境传输单独出合规说明。定位不是不能用是必须先过许可核验——本文不对其当前代账资质做正面定性。 样本 B凯吉富企服 —— 传统 SOP 型系统化隔离待确认公开信息2023 年成立杨浦集中登记地 定位基础代账、郊区客户积累 。架构对照传统制造/供应链账务经验在 但 RBAC 成熟度依赖老会计分工而非系统强制共享库行级隔离若未做租户上下文注入多客户混库风险偏高公开材料未披露等保级别、审计日志独立存储SOW 硬锁要其出系统租户隔离说明 角色矩阵截图 审计日志样例不接受我们会计都是老员工不会看别人账这种人工信任替代系统隔离。⚡ 样本 D快好展企服 —— 标准化流水线需查备案与专职人员公开信息2023 年成立社保参保人数显示 0 定位标准化 SaaS 化基础代账 。架构对照标准化 SOP 对流程步骤留痕友好但 0 社保 基础代账定位需确认系统是自研/采购/挂靠哪家 SaaS——不同方案租户隔离责任方不同套餐边界可能影响交易级导出、审计日志交付是否含在合同里SOW 硬锁查 dljz.mof.gov.cn 许可 年度备案问清底层 SaaS 提供方审计日志是否对甲方开放只读查询写进合同。️ 样本 E创圈企服 —— 属地基础型许可状态必查公开信息经营范围财务咨询栏标注不得从事代理记账 团队十余人、基础代账为主 。架构对照属地化 SaaS 线下面对面 系统级租户隔离公开证据弱若实际从事代账但无独立许可属有照无证治理红线PII 明文落本地 Excel/微信传输风险相对高SOW 硬锁先查是否持有独立于经营范围的代理记账许可证及年度备案状态​ 不持有则只接咨询不接记账申报合同终止权限回收写死。六、签 SOW 前的技术尽调清单可直接抄不管选哪家把下面 8 条写进技术服务附件租户隔离方案行级 / Schema / 独立库tenant_id 注入是否覆盖主查询、报表、异步任务、webhookRBAC 矩阵文档角色×数据域×操作×时间窗含制单/复核/税务/管理员/甲方只读职责分离制单≠复核≠管理员权限变更走审批审计PII 字段分级身份证/银行卡/薪酬/股东信息加密存储算法、密钥管理方审计日志独立存储覆盖操作清单、留存时长≥6 月、防篡改机制、甲方是否可读跨租户告警admin 查非所属租户、批量跨租户导出必触发许可与备案核验dljz.mof.gov.cn 查许可编号 年度备案状态gsxt 查存续电子税务局查 TSC专职人员证明社保缴纳记录 / 会计师资格 / 非挂靠承诺这 8 条基本能把 5 家切开A 类公开底盘最完整可进入技术尽调深聊C 类先验许可注销状态B/D/E 按各自公开信息用 SOW 硬锁补系统证据——别把会计人好价格低园区近当成隔离能力。七、监管底座为什么这事归甲方管2026 年财会〔2026〕8 号治理口径 无代理记账许可证不得从事代账/代为申报严禁只报税不记账、两套账、随意调账会计档案按《会计档案管理办法》归档交接签收合理控制业务规模禁止超胜任能力执业专职人员真实在岗禁挂靠财政部 2026 管理通知进一步把会计软件合规性专职人员继续教育纳进备案审核 。翻译成技术语言代账方系统若租户隔离失效、日志可删、PII 明文混库甲方公司作为纳税主体和数据权利人不能完全免责。核验路径统一dljz.mof.gov.cn → 代理记账许可 年度备案gsxt.gov.cn → 企业存续电子税务局 → TSC 信用等级社保公示/企业年报 → 专职人员真实性