Дополнительная проверка через юзер-экзит в данном случае, пожалуй, одно из наиболее оптимальных решений. Буквально только что нечто подобное реализовывали.
Единственная альтернатива, на мой скромный взгляд, - требует серъезного административного ресурса: создается ключ полномочий для польз.статуса, без которого невозможно деблокирование (обычно - утверждение заказа ТОРО - обычно, гл.инженером). Думаю, как запретить деблокирование без польз.статуса - в курсе. Далее - полномочия на "утверждение" выдаются тому самому "узкому кругу лиц" и ТОЛЬКО им. После установки статуса "Утвержден" дальнейшее изменение возможно только при наличии полномочий на утверждение, следовательно кто-то ниже гл.инженера изменять заказ не сможет. Минус - деблокировать заказ в этом случае сможет также только лицо имеющее права на утверждение. Здесь как раз и необходим тот самый "ресурс" - заставить лиц "уполномоченных" самим в системе заказы утверждать и деблокировать, так еще и изменять при необходимости. На практике зачастую логин и пароль такого "полномочного" лица становятся известны чуть ли не всем подряд, соответственно и заказы изменяются как угодно....
P.S. ой, как длинно получилось... если слишком запутано - переспросите, постараюсь прояснить
