总部没有一个人说得清，谁有权以公司的名义发帖。

这不是一家缺流程的公司，而是一家流程止步于每个市场边界的公司。

十一个市场各自运营自己的社媒阵地，这个决定本身是对的。某个国家新码头开通的帖子，在另一个国家没人关心，而本地团队最了解自己的受众。每个市场自己挑排期工具，或者干脆不用。每个市场也各自握着自己的登录凭据。

总部的中央品牌团队定好规范，每季度分发一套素材包，然后像任何一个普通网友一样，靠刷这些频道来得知大家都发了什么。当某条区域帖子需要更正时，更正意见通过邮件发到一个群发列表，至于多久落实，全看那个市场。

真正让安全团队不安的是凭据。访问一个公司频道靠的是共享盘上某张表格里的一个用户名和一个密码，谁那个季度需要就发给谁。集团范围内这样的表格有六份。有人离职时，笔记本被收回，邮箱被停用，而他记住的那个密码，和上周一样照常有效。

风险敞口不是假设出来的，而报表天生就滞后六周。

内部做过一次权限审计，最后没能完成。查出三个频道找不到现任负责人：多年前为某次活动开的账号，至今还在，还挂着公司的名字，任何拿到过那张表的人都还能登进去。审计也无法确认到底有多少人手里握着可用的凭据，因为那张表只记录了谁被授予过权限，从不记录谁被收回过。

治理层面也是同样的形状。十一个市场里有两个受监管约束，对服务承诺的措辞有明确要求。社媒内容的合规审查原则上在发布前通过邮件完成。但事后没有任何记录说明谁审了什么，于是要证明它确实发生过，就得指望有人翻出正确的那条邮件。

全球业绩图由两位分析师每季度花约三周拼出来：十一份导出、口径不一的时间范围、在每个工具里定义都不一样的指标。等董事会看到这个数字时，它描述的是六周前就已结束的一个季度，而且谁想往下追问一层，就得再立一次项。

权限不再是某个人知道的东西，而成了某个角色拥有的东西。

十一个市场保留了说什么的自主权。总部则拿到了一个经得起追问的答案：谁有资格说。

Useful whether or not you ever open NOWScale: these are the parts that generalise.