匿名不是一个开关，而是分层。员工关心测完会不会被对号入座，HR 关心还能不能看到部门热力。两件事可以同时成立，前提是身份映射、聚合口径和角色权限分开设计，而不是口头说「我们匿名」却在后台留着随时可反查的明细。
匿名分层：实名、假名、完全匿名各解决什么
实名档适合必须跟进的高风险通道，但查看人严格受限，通常落到 EAP 或外部服务方，而不是业务直线经理。假名档把作答与工号隔离，预警只到授权心理服务方，HR 看不到个人报告。完全匿名档连假名都不留，适合氛围与负荷调查，代价是无法个案跟进。企业要先书面选择本轮任务落在哪一层，系统按任务锁定，不能中途把匿名库「临时解密给业务方便」。
站内已有匿名规则怎么写的讨论；本篇只强调和部门热力的关系：热力必须来自聚合统计，不来自把匿名承诺拆掉。若本轮选了完全匿名，就不要指望还能点开人名；若需要红灯跟进，应在任务设计阶段就选假名或受控实名，而不是测完再后悔。
部门热力怎么出，才不容易反推个人
热力或部门对比，应满足最小单元格：部门人数低于阈值就合并或隐藏；禁止用「部门 + 年龄段 + 性别」多层交叉把范围缩到几人。HRBP 默认看本部门完成率与区间分布，不看可下钻名单；EAP 负责人可看多部门趋势，仍不应一键展开个人。预警名单与组织热力必须分权限、分页面，避免一张「热力看板」暗藏名单入口。
导出同样要分档：允许导出部门完成率，不等于允许导出带工号的明细。小部门在界面上已隐藏时，导出文件里也不能再出现。橙星云配置组织报告时，把最小单元格和交叉筛选限制写进任务，比事后删截图更有效。
验收：经理看不到人，服务方能接住红灯
用三个账号验收：普通经理、HR、心理服务账号。经理不应打开个人报告；HR 能看热力但在小部门看不到明细；服务账号在实名或假名规则下能接到高风险并留处置痕迹。再故意用交叉筛选试一次，系统应拦截或返回「单元格过小」。合同与员工告知里也要写清：本轮匿名到哪一层、热力给谁看、什么情况下会启动实名跟进。口头承诺和系统配置不一致时，信任会在第一轮复测就崩。试用阶段再用一份「假名单小部门」压测一次：人数刚低于阈值时，热力是否自动合并。做不到这些，所谓「匿名还能看热力」只是把识别风险藏在报表里。