| BR-RBAC-001 | Every protected action must check authentication. | كل إجراء محمي يجب أن يتحقق من تسجيل الدخول | Confirmed |
| BR-RBAC-002 | Every protected action must check role permission. | كل إجراء محمي يجب أن يتحقق من صلاحية الدور | Confirmed |
| BR-RBAC-003 | Every scoped action must check tenant or assigned scope. | كل إجراء له نطاق يجب أن يتحقق من نطاق المستخدم | Confirmed |
| BR-RBAC-004 | Cross-tenant access must be denied by default. | يجب منع الوصول بين النطاقات بشكل افتراضي | Confirmed by technical team; Evidence Pending |
| BR-RBAC-005 | Frontend hidden controls must not be treated as authorization. | إخفاء أزرار الواجهة لا يعتبر صلاحية | Confirmed |