SAP セキュリティ & GRC
SAP GRC Risk Managementの概要とリスク登録・評価・対応の実務
SAP GRC Risk Managementでリスクを登録し、評価、対応策、承認、モニタリングまで一貫して管理するための実務ガイドです。リスク台帳の設計、SoDとの連携、運用時の確認ポイントを解説します。
SAP GRC Risk Managementは、業務プロセスに存在するリスクを登録し、影響度や発生可能性を評価し、対応策と責任者を追跡するための仕組みです。リスクを一覧化するだけでなく、評価結果、承認状態、対応期限、残存リスクまで記録することで、内部統制の運用状況を継続的に確認できます。
実務では、最初に対象プロセスと責任範囲を定義し、その後にリスク、統制、対応策を関連付けます。リスク管理の画面操作だけで完結させず、業務部門、内部統制担当、権限管理担当の役割を分けて運用すると、登録内容の品質とフォローアップの確実性を保ちやすくなります。
SAP GRC Risk Managementの役割
SAP GRCのRisk Managementでは、リスクを識別して評価し、リスク所有者や対応責任者を設定し、対応の進捗を管理します。対象は財務、購買、販売、人事、在庫などの業務リスクです。組織階層やプロセス階層に沿ってリスクを整理すると、部門別・プロセス別の状況を比較できます。
主な管理対象は次のとおりです。
- リスク: 望ましくない事象、原因、影響、対象プロセス
- リスク所有者: リスクを受け入れるか対応を判断する責任者
- 対応責任者: 軽減策や是正活動を実行する担当者
- 統制: リスクの発生または影響を抑える業務上の仕組み
- 対応策: リスクを低減、移転、回避、受容するための活動
- 評価: 発生可能性、影響度、固有リスク、残存リスク
リスク台帳の設計を先に決めておくことが重要です。リスク名を短く統一し、原因と影響を別々に記載すると、評価と対応策の関係を後から確認しやすくなります。
リスク登録の準備
登録前に、対象となる業務プロセス、組織単位、評価期間、リスク分類、責任者を確定します。登録単位が細かすぎると同じ内容が大量に作成され、粗すぎると対応策や責任者を特定できません。実際の業務判断が分かれる単位で登録するのが実用的です。
登録前にそろえる情報
| 項目 | 確認内容 |
|---|---|
| プロセス | どの業務のどの段階に存在するか |
| リスク事象 | 何が起きる可能性があるか |
| 原因 | なぜその事象が起きるのか |
| 影響 | 財務、法令、業務継続、信用への影響 |
| 所有者 | 受容判断と優先順位付けを行う責任者 |
| 対応責任者 | 具体的な活動を実施する担当者 |
| 期限 | 対応完了または再評価を行う日付 |
| 証跡 | 統制実施や対応完了を示す文書・記録 |
リスク記述は「購買承認が不十分」のような状態だけでなく、「承認されていない発注が登録され、不要な支出が発生する」のように事象と影響を含めます。これにより、対応策が権限変更なのか、承認手順の改善なのかを判断しやすくなります。
SAP GRCへのリスク登録
登録画面では、リスクの名称、説明、分類、組織、プロセス、所有者、評価情報を入力します。既存のリスクを複製する場合は、責任者、対象組織、期限、評価値を新しい対象に合わせて確認します。複製元の担当者や期限を残したまま保存すると、後続の通知とレポートが誤った宛先になります。
登録時は、次の順番で確認すると入力漏れを減らせます。
- リスク事象と影響を業務部門と確認する。
- 対象プロセスと組織階層を選択する。
- リスク所有者と対応責任者を設定する。
- 固有リスクの評価基準を適用する。
- 統制または対応策を関連付ける。
- 期限、証跡、再評価日を設定する。
- 保存後に承認ワークフローとレポート表示を確認する。
リスクの説明には、業務用語とシステム上の対象を併記します。たとえば購買プロセスであれば、発注、入庫、請求書照合、支払という流れのどこにリスクがあるかを明確にします。これにより、Risk Managementの登録情報と、SoD（職務分掌）の基本で扱う権限上のリスクを結び付けられます。
リスク評価とスコアリング
評価方法は、発生可能性と影響度を組み合わせる方式が一般的です。組織で定義した評価尺度を使い、固有リスクを評価した後、統制や対応策を考慮した残存リスクを評価します。尺度の意味を文書化し、評価者ごとの判断差を小さくすることが必要です。
評価時には、次の観点をそろえます。
- 発生可能性: どの程度の頻度で起こり得るか
- 財務影響: 金額、損失、引当への影響
- 業務影響: 処理遅延、停止、品質低下への影響
- 規制影響: 法令、契約、監査上の影響
- 信用影響: 顧客、取引先、従業員からの信頼への影響
- 残存リスク: 対応策を実施した後に残るリスク
数値スコアだけで優先順位を決めず、重大な法令違反や業務停止につながるリスクは、スコアが中程度でも管理者レビューの対象にします。評価の根拠、参照データ、判断日を記録すると、再評価時に前回との差分を説明できます。
統制と対応策の関連付け
リスクを登録した後は、既存統制がそのリスクをどの程度抑えるかを確認します。統制が存在するだけでなく、実施者、実施頻度、対象データ、証跡、例外処理まで確認することが重要です。対応策は、単なる「確認する」という表現ではなく、担当者と完了条件が分かる活動として登録します。
対応策の記載例
- 承認権限を金額帯ごとに見直し、承認マトリクスを更新する
- 仕入先マスタの変更を定期的にレビューし、変更証跡を保存する
- 入庫と請求書の照合差異を月次で確認し、未解決項目を管理者へ報告する
- 重要な職務分掌違反を抽出し、代替統制または権限修正を実施する
権限の組み合わせが原因となるリスクは、SAP GRC Access Controlの概要と連携して確認します。Risk Managementでは業務上のリスクと対応方針を管理し、Access Controlではアクセスリスク分析、権限申請、是正や代替統制の運用を扱うという役割分担を明確にします。
承認とワークフローの運用
登録後の承認者は、リスクの所有者、対応責任者、内部統制担当など、組織の責任分担に合わせて設定します。承認者が異動した場合は、未処理のワークアイテム、期限通知、レポートの責任者表示も合わせて確認します。
承認では、次の内容を確認します。
- リスク事象と影響が業務実態に合っているか。
- 評価値の根拠が記録されているか。
- 統制または対応策がリスクの原因に対応しているか。
- 対応期限と完了条件が具体的か。
- 残存リスクが受容可能な水準か。
- 受容できない場合の追加対応が定義されているか。
承認を形式的なステータス更新にしないため、差戻し理由を記録します。差戻し後は、説明、評価値、対応策、責任者のどこを変更したかを履歴で追跡できる状態にします。
モニタリングと再評価
リスク管理は登録と承認で終了しません。定期的に高リスク項目、期限超過、未完了の対応策、未評価のリスク、残存リスクが高い項目を抽出します。経営報告では件数だけでなく、前回からの増減、重大項目の変化、期限超過の理由を示すと判断しやすくなります。
月次確認のチェックリスト
- 新規リスクが適切なプロセスに登録されている
- 所有者と対応責任者が在籍者になっている
- 期限超過の対応策に理由と次回期限がある
- 高リスク項目の評価根拠が更新されている
- 統制の実施証跡が確認できる
- 重大なSoDリスクと業務リスクの対応方針が一致している
- リスクの受容判断に承認記録がある
評価期間の終了時だけでなく、組織変更、業務プロセス変更、システム導入、重大なインシデント発生時にも再評価を行います。対応策を完了にした場合は、証跡を確認したうえで残存リスクを再計算し、必要なら追加対応を登録します。
よくある運用上の問題
リスクが重複する
同じ事象を部門ごとに別名で登録すると、件数と優先順位が分散します。リスク分類、プロセス、事象、影響の組み合わせで既存登録を検索し、共通リスクと部門固有リスクを分けます。共通リスクに複数組織を関連付けられる設計なら、重複登録を減らせます。
対応策が抽象的である
「運用を徹底する」「定期的に確認する」だけでは完了判定ができません。対象データ、実施者、頻度、証跡、例外時の処理を記載し、完了条件を具体化します。
担当者が正しく表示されない
ユーザー情報、組織割当、責任者設定を確認します。異動や退職の後に古い担当者が残ると、期限通知や承認が停滞します。責任者を変更した後は、未処理タスクと既存リスクの所有者表示を再確認します。
レポートの件数と現場認識が合わない
抽出条件、評価期間、組織範囲、ステータスを確認します。登録済み、承認済み、対応中、完了、受容済みを同じ件数として扱わず、報告目的ごとに集計条件を定義します。SAP GRC Process Controlの概要も参照し、統制評価や是正活動とリスク情報の境界を整理すると、二重管理を抑えられます。
導入後に定着させる方法
最初から全社のすべてのリスクを登録するより、重要プロセスを選んで登録基準、評価尺度、承認経路、月次報告を固める方が安定します。パイロットでは、購買、販売、財務など、権限リスクや統制証跡が明確なプロセスを対象にします。
定着後は、次の順に対象を広げます。
- 重要プロセスのリスク分類と登録基準を確定する。
- 評価者と承認者向けの判断基準を整備する。
- 対応策の完了条件と証跡要件を統一する。
- 月次モニタリングと経営報告を運用する。
- 組織変更やシステム変更を再評価のトリガーにする。
- 重複リスク、期限超過、未使用項目を定期的に整理する。
全体像を確認する場合は、SAP セキュリティとGRCの概要からAccess Control、Process Control、Risk Management、EAMの関係を整理できます。個別の権限リスクを扱う場合は、Risk Managementの業務リスクとAccess Controlのアクセスリスクを同じ対応計画に結び付けます。
まとめ
SAP GRC Risk Managementを有効に使うには、リスクを登録することよりも、業務プロセス、責任者、評価根拠、統制、対応策、証跡、再評価を一つの流れで管理することが重要です。リスク台帳の設計を先に固め、登録基準と評価尺度を統一し、期限超過と残存リスクを定期的に確認します。
SoDや統制評価と関係する項目は、担当製品の境界を明確にしたうえで連携します。これにより、リスクの発見、対応、承認、モニタリングが分断されず、管理者が優先順位を判断できる運用になります。