ПоЗначениямРасширенный неожиданное поведение

столкнулся с вещью, для меня абсолютно непонятной.
есть КА + БИТ Финанс, есть пользователь, есть группа доступа с ограничением по записям, профиль БИТ.Финансист(ограничения на уровне записей). 8.3.12.1714, (2.4.6.175/3.2.21.9)

вот такой шаблон очень странно себя ведет:

#ПоЗначениямРасширенный( "Документ.бит_кзн_ЗаявкаНаРасходованиеСредств","Добавление","",
"ЛЕВОЕ СОЕДИНЕНИЕ Документ.бит_кзн_ПлатежнаяПозиция КАК Т2
ПО Т2.ДокументПланирования = Т.Ссылка",
"(",
"Организации","Т.Организация","ИЛИ",
"Условие","Т.Организация = Значение(Справочник.Организации.ПустаяСсылка)",")И(",
"ЦФО","Т2.ЦФО","ИЛИ",
"Условие","Т2.ЦФО = Значение(Справочник.Подразделения.ПустаяСсылка)",")И(",
"СтатьиОборотов","Т2.СтатьяОборотов","ИЛИ",
"Условие","Т2.СтатьяОборотов = Значение(Справочник.бит_СтатьиОборотов.ПустаяСсылка)",")", "","","", "","","", "","","", "","","", "","","", "","","", "","","", "","","", "","","","","","")

для тех, у кого бита нет - документ платежная позиция представляет собой строки документа заявка.
пользователь создает заявку, добавляет в нее несколько строк, проводит. потом заходит, что-то меняет, перепроводит. потом копирует, и при попытке записи - на тебе: Доступ. Отказ в доступе, Документ. Заявка на расходование денежных средств (БИТ), Действие: Добавление, ... (это запись из ЖР)

довольно странно - интерактивно ввести документ права есть, а копировать - нет. скопировал под другим пользователем, сравнил в консоли запросов поля - все совпадает с заявкой, которую копировали.
едем дальше. добавляю пользюка в группу с профилем БИТ.Исполнитель казначейства(ограничения на уровне записей), и абсолютно левыми значениями для видов доступа, за исключением Организации, шаблон приобретает следующий вид:

#ПоЗначениямРасширенный( "Документ.бит_кзн_ЗаявкаНаРасходованиеСредств","Добавление","",
"",
"(",
"Организации","Т.Организация","ИЛИ",
"Условие","Т.Организация = Значение(Справочник.Организации.ПустаяСсылка)",")И",
"Пользователи","Т.Ответственный","",
"","","",
"","","",
"","","", "","","", "","","", "","","", "","","", "","","", "","","", "","","", "","","", "","","","","","")

ииии копирование проходит!
ладно, еще раз проверяем значения видов доступа для первой группы и значения полей заявки - они совпадают. и вот дальше начинается самое интересное.
с полными правами беру заявку, содержащую несколько строк, делаю три копии - в одной первая строка, в другой последняя, в третьей заявки строки две - первая и последняя. в итоге пользователь может копировать первые две заявки, а вот последнюю, в которой две строки - нет. отсюда можно сделать вывод, что ошибка доступа происходит, когда соединение происходит с несколькими строками.
и хоть у меня и есть решение - сделать группу доступа с профилем БИТ.Исполнитель для пользователя, меня терзает любопытство:
как получается, что пользователь может ввести заявку интерактивно, но не может скопировать? чем это обусловлено?
буду признателен за любые мысли на эту тему