Добрый день.

Подскажите пожалуйста - можно ли переделать транзакцию S_BCE_68002111 что б получать не список пользователей а список ролей которые имеют запрещенные объекты полномочий?

Заранее спасибо.

Честна сказать не очень понял...
В ролях мы же что-то открываем, а не закрывает...

Попробую объяснить
Например такая вот ситуация - сотрудник одного из модулей создает роль и включает её в запрос на перенос в продуктивную систему. Включить в роль он может все что угодно. Базис не перенесёт роль пока не проверит что в неё включили.

Вот и хотелось бы задать роль или список ролей на проверку не допустимых объектов полномочий в них - что б результатом было имя роли и имя недопустимого объекта в ней.

в транзакции S_BCE_68002111 что то похожее но она проверяет вроде как профили и роли которые уже присвоены пользователю

Соответственна, у вас есть список критический ролей и профилей, которые необходимо проверять.
S_BCE_68001425 - Роли по комплексным критериям выбора
S_BCE_68001409 - Профили по комплексным критериям выбора
Соответственно, их можно проверить ...
или я все-таки не понял...

Поняли Вы верно.
S_BCE_68001425 - Роли по комплексным критериям выбора - это почти то что нужно НО !!! там можно задать только 3 объекта полномочий для проверки, и в итогом работы просто выдает список ролей без указания почему именно она попала в этот список (хотелось бы видеть роль со списком объектов из-за которых она попала в результирующую таблицу).
В транзакции S_BCE_68002111 используется целая таблица - туда можно записать ...... много... ( у нас так оно и есть больше нельзя чем можно)

Надо писать собственную разработку для этих целей ?

Думаю, что да.
По крайней мере - по расширению данной транзакции не подскажу...