Дополнительно для надёжности
для просмотра результатов ЗП и расчетных листков, сделать 2 Z-транзакции, которые запускают стандартные отчеты, но с предварительной проверкой на табельный по выше описанном алгоритму. Полномочия давай только на такие специально сделанные транзакции.

На мой взгляд, Chief_DOG сразу дал вполне дельный совет - объект полномочий P_PERNR. Дает право ровно на один ТН - "свой".
Процесс предоставления доступа к ТН будет заключаться в прописывании имени пользователя в ИТ 0105 этого ТН. Больше чем к одному ТН так дать доступ нельзя.

Если есть отладчик с возможностью изменения переменных - то можно сказать, что есть все полномочия, так как все проверки полномочий обходятся...
если есть se16 - то табличку PA0008 и прочие можно смотреть без проблем...

Поэтому надо обезличивать данные, как вариант обезличить ИТ 0001, 0002, 0009.

В общем сделал так:

и еще запретил просмотр первого инфо-типа. Думаю нормально. Хотя конечно самый надежный вариант, обезличить все к чертям.

А как Вам удалось?
Закрыт доступ в транзакции SE16* ?
Нельзя запустить ФМ SE16N_INTERFACE ?
Нельзя запустить любую прогу, которая читает этот ИТ и посмотреть в отладчике содержимое внутренней таблицы?

Суровая роль конечно. Imho с такой ролью никакой инцидент решить невозможно.

В объекте T-BA63003000 просто сделал: PA0002-PA9999. Да в se16 нельзя просмотреть. На два других вопроса ответить затрудняюсь, честно не знаю.
Если у поддержки все же не получится решить инцидент с такой ролью, будем обезличивать. Другого выхода я не вижу.