Штатно нет такой возможности.
Чтоб быстро работало - сделать хранимую процедуру для изменения прав доступа и вызывать ее на AfterPost нужного датасета.

Привязывать к функционалу динамических групп довольно сложно, но если условие только одно, можно поступить следующим образом:

Если поле Статус = Завершено, то делать карточку нередактируемой для всех, кроме супервизора. Для этого на OnPrepare карточки вызывать функцию
[javascript]
IsArchive(DataFieldName, DataFieldValue);
[/javascript]

где
DataFieldName - название поля Завершено в датасете
DataFieldValue - значение, при котором карточка доступна только на чтение

Тело функции:

[javascript]
function IsArchive(DataFieldName, DataFieldValue){

if((!Connector.CurrentUser.IsAdmin)
&&(dlData.Dataset(DataFieldName) == DataFieldValue)){
SetIsReadOnlyFields(Self, false);
return;
}
SetIsReadOnlyFields(Self, true);
}

function SetIsReadOnlyFields(Window, IsEnabled) {
for (var i = 0; i < Window.ComponentCount; i++) {
var DataField = Window.Components(i).DataField;
if(!IsUndefined(DataField)) {
var Component = Window.Components(i);
Component.IsEnabled = IsEnabled;
}
}
}
[/javascript]

Спасибо за ответы.
А можно сделать то же самое с обычными группами? (Если, например, пользователи будут сами перемещать заявки в группу "Архив")

Тут будет нужно немного больше кода. Физически информация о вхождении контрагента в группу находится в ds_AccountInGroup.

Т.е. нам нужно будет фильтровать датасет контакт в группе и по результатам применять атрибут "только чтение".

[javascript]
function IsArchive(GroupID){
var dsAccInGroup = Services.GetSingleItemByUSI('ds_AccountInGroup');

//проверяем вхождение в группу
ApplyDatasetFilter(dsAccInGroup, 'AccountID', dlData.Dataset('ID'),true);

//фильтруем по текущей записи в карточке
ApplyDatasetFilter(dsAccInGroup, 'GroupID', GroupID,true);

if((!Connector.CurrentUser.IsAdmin)
&&(IsEmptyValue(dsAccInGroup)){ //если датасет пустой - не входит в группу
SetIsReadOnlyFields(Self, false);
return;
}
SetIsReadOnlyFields(Self, true);
}
[/javascript]

Естественно, вызывать функцию тогда нужно будет так:

[javascript]
IsArchive('{6BC9D098-6C64-4142-8615-321E56714C2F}');
[/javascript]

Почему бы не воспользоваться стандартным функционалом "Запрет изменения данных"?

Такой вопрос ещё возник.
Допустим, есть запись, на которую ни у кого нет прав.
И есть группа, на которую у всех есть полный доступ.
Если запись переносится в эту группу, она всё равно остаётся без доступа?
Получается, права доступа группы - это права изменять собственно группу, а не записи в ней?

Здравствуйте, Ринат.

Да, Вы абсолютно правы. Права на группы раздаются отдельно, на записи - отдельно.

Запись будет видна пользователю (безразлично, в группе или нет) только если у пользователя есть права на эту запись.

Права доступа на группы регулируют только видимость самих групп в дереве групп слева.

На скриншоте пример такого фильтра. Сделан он, правда, в 3.3, но не думаю, что со времен 3.1 в этом плане что-то изменилось.

P.S. ContactPositionLike - Exist-фильтр

Извиняюсь за поздное "Спасибо", был на сессии.
Всё работает %)