Есть следующие сущнности:
филиал
сотрудник
клиент

Каждый клиент закреплен за одним филиалом. Каждый сотрудник работает на одном из филиалов.

Есть принципы доступа:
каждого клиента должен видеть один сотрудников
каждого клиента при необходимости могут видеть несколько сотрудников
за каждым клиентом должен быть закреплен ответственный сотрудник
за работу со всеми клиентами филиала отвечает один из сотрудников (начальник)
Каждый клиент входит в одну из групп по жестко заданному принципу
Клиенты могут временно объединяться в особую группу (пул) по произвольному признаку.

Дальше начинается самое интересное.

Первое, что пришло в голову:
1. По каждому клиенту делаем запись - филиал, сотрудник, группа, пул
2. Создаем таблицу доступа, определяющую доступ, делаем в ней поля: логин сотрудника, филиал, группа, пул.

Дальше строим список клиентов для каждого сотрудника запросом:
select <поля> from клиенты, таблица_доступа
where (клиенты.филиал = таблица_доступа.филиал and клиенты.группа = таблица_доступа.группа)
or клиенты.пул = таблица_доступа.пул and таблица_доступа.логин = <логин сотрудника>

Проблема в чем: если запрос писать так, то все сотрудники будут видеть всех клиентов филиала, а если добавить в запрос логин, то нельзя сделать доступ к одному клиенту двум сотрудникам (пул для этого использовать нельзя).

Возможные варианты решения:
1. В таблице доступа делать записи не по филиалам/группам, а по клиентам/группам. Тогда можно для клиента сделать две записи, и его увидят два человека.
Минус - филиалов 15, а клиентов 25000, с вытекающими последствиями.
Плюсы - что-то мне подсказывает, что это более верное решение.
2. Видимо, если не использовать первый способ, придется сильно извратиться. Я даже не придумал пока, как...
3. Здесь могла бы быть ваша реклама ;)

Я остановился на таком варианте:
по каждому клиенту есть три поля - филиал, группа, логин сотрудника.
В таблице доступа есть логин сотрудника и такие же три поля. В запросе сравниваю три поля оттуда и три оттуда - если совпали, клиент попадает в список.
Для каждого клиента мне доступ прописывать не хочется, потому что будет сложнее уследить и в голове удержать, да и не нужно это... Все равно, специфика работы такова, что один сотрудник будет работать с парой сотен клиентов минимум. Так что и доступ буду давать пачками...