Есть предложение: добавить в настройки доступа варианты "обновлять только свои" и "обновлять своей группы".
Сейчас, если админ создал запись и назначил доступ менеджерам, ее могут все править, сделать только "для чтения" нельзя. Если снять "обновить", то пользователь и свои править не сможет. Подобное уже сделано для "удалить", но и там не хватает функционала "удалить своей группы".