ЗУП. Доработанный RLS
Новый реквизит Регион прокинут в справочник Сотрудники, Позиция штатного расписания и в документы.

Документ Совмещение. Методом проб выявлено, что ошибка из-за позиции штатного расписания(СовмещаемаяДолжность)
В модуле менеджера документа:

	Ограничение.Текст =
	"РазрешитьЧтениеИзменение
	|ГДЕ
	|	ДляВсехСтрок( ЗначениеРазрешено(ФизическиеЛица.ФизическоеЛицо, NULL КАК ИСТИНА)
	|	) И ЗначениеРазрешено(Организация)
	|	И ЗначениеРазрешено(Регион, ПустаяСсылка КАК Истина)
	|	И ЧтениеОбъектаРазрешено(СовмещающийСотрудник, ПустаяСсылка КАК Истина, NULL как ИСТИНА)
	|	И ЧтениеОбъектаРазрешено(ОтсутствующийСотрудник, ПустаяСсылка КАК Истина, NULL как ИСТИНА)
	|	И ЧтениеОбъектаРазрешено(СовмещаемаяДолжность, ПустаяСсылка КАК Истина, NULL как ИСТИНА)";

В модуле менеджера позиции штатного расписания:

	Ограничение.Текст =
	"ПрисоединитьДополнительныеТаблицы
	|ЭтотСписок КАК Т
	|ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.ПодчиненностьПодразделенийОрганизаций КАК Т2 
	|	ПО Т2.Подразделение = Т.Подразделение
	|;
	|РазрешитьЧтение
	|ГДЕ
	|	ЧтениеОбъектаРазрешено(Т.Владелец, null как Истина)
	|	И ЗначениеРазрешено(Т.Регион, ПустаяСсылка КАК Истина)
	|;
	|РазрешитьИзменениеЕслиРазрешеноЧтение
	|ГДЕ
	|	ЗначениеРазрешено(Т2.ВышестоящееПодразделение)
	|	И ЗначениеРазрешено(Т.Владелец)";

Добавлено только строка "И ЗначениеРазрешено(Т.Регион, пустаяСсылка как истина)"

При этом отдельно пользователь может открыть и позицию штатки и сотрудников.

Проверил обработкой "Управление доступа", везде где нужно было добавить добавлено

Очистил регистр сведений Ключи доступа к объектам. Очистил регистр Параметры доступа.
Пересчитал права.

Без понятия куда еще посмотреть.

Куда дальше копать не понимаю.

(0) База обновляется? Шаблоны ограничений в ролях актуальны?

(0) допиливали РЛС по должностям?

(1) да
(2) нет, реорганизация. Часть филиалов объединили. Но видимость сотрудников и их окладов должна все равно быть "как раньше". А еще надо не допустить чтобы рядовые кадровики и расчетчики видели кто сколько получает в руководстве.
Решили вот так это реализовать.
РЛС по физ лицам не устроило и тестово не взлетело

(3) >>А еще надо не допустить чтобы рядовые кадровики и расчетчики видели кто сколько получает в руководстве.

Чистый бред) они бы еще программисту 1С закрыли доступ к цифрам.

(0) Как справочник Регионы открывается к ограниченных пользователей. все видно или только разрешенные?

(5) только разрешенные.
В принципе в других 20 документах проблем пока нет.
Но, на что обратить внимание пока не пойму

ну я бы начал с текста ошибка, которая в ЖР пишется

(7) Ошибка доступа, Чтение. Документ Совмещение

может все-таки надо использовать ЧтениеОбъектаРазрешено вместо ЗначениеРазрешено? Хотя...

Есть еще наблюдение

Документ на Организация №1
Совмещаемая должность на Организация №2

На сколько это правильно судить не могу, но аналитик говорит, раньше все было ок.

Если привожу должность и документ к одной организации(к любой из двух) - пользователь видит документ.

Организация №1 и Организация №2 это юридически разные (не филиалы)? Тогда это неправильно конечно

(11) нет, это филиалы.
Но руками если в шапке документа Организация №1, то нельзя выбрать позицию штатки владельцем которой является организация №2.

Через обработку аналитик\пользователь подставляет необходимую позицию.

Но как это влияет на расчет прав не понимаю.

Ну показывайте уже правила для сотрудников и регионов - ПриЗаполненииОграниченияДоступа

Не знаю, чем это поможет, но вдруг
Сотрудники:

	"ПрисоединитьДополнительныеТаблицы
	|ЭтотСписок КАК Т
	|ЛЕВОЕ СОЕДИНЕНИЕ РегистрСведений.КадроваяИсторияСотрудников КАК Т3
	|	ПО Т.Ссылка = Т3.Сотрудник
	|;
        |РазрешитьЧтениеИзменение
	|ГДЕ
	|	ЗначениеРазрешено(Т3.Организация, null КАК Истина, ПустаяСсылка КАК Истина, Неопределено КАК Истина)
	|	И ЗначениеРазрешено(Т.ФизическоеЛицо)
	|	И ЗначениеРазрешено(Т.Регион, ПустаяСсылка КАК Истина)";

Регионы:

	"РазрешитьЧтениеИзменение
	|ГДЕ
	|	ЗначениеРазрешено(Ссылка)";

Очень похоже на то, что у пользователя доступ к сотруднику из одной группы доступа разрешен, а к штатной должности из другой. Так это не будет работать. Сначала определяется в каждой группе доступа доступные объекты, потом берется их объединение