Доступ по умолчанию...

[glibs]

По-хорошему, права определенного вида (за исключением "нет доступа") на определенный объект должны быть установлены только в одной группе (по крайней мере к этому нужно стремиться в случае с такими объектами, как поля таблиц, источники данных и пункты меню).

Другими словами. Не должно быть трех групп, которые дают доступ к полю "Название клиента" на просмотр и еще двух на редактирование. Должно быть 1 + 1. То же самое касается и пунктов меню.

Соответственно, в вашем случае для установки/отключения прав доступа на определенный объект понадобится от 2 до 5 минут (тестирование и небольшой перекур включены), а никак не выходные напролет.

Для реализации такого подхода нужно использовать довольно большое количество групп (принцип модульности). Каждая из них должна ориентировать на функцию или набор функций, а не на роль/рабочее место/индивидума (типа Тетя Маша - кассир). Группы должны быть вида: минимальные права ГК, расширенные права ГК, ввод журналов ГК, редактирование плана счетов, удаление счета ГК, ... Т.е. базовые минимальные права + добавки - определенные возможности с более серьезными правамми.