はじめに
ERP(統合基幹システム)は、その性質上、複数の業務プロセス(売上プロセス、制作プロセス、調達プロセスなど)をまたがる様々な業務(与信、受注、発注、納品、請求、工数管理、経費精算など)において、部署、職務権限の異なるユーザが統合管理されたデータにアクセスします。
ERPの重要な機能の一つに内部統制がありますが、ITを活用した内部統制(IT業務処理統制)において、アクセス管理は重要な構成要素の一つです。統制活動においては、権限及び職責の付与、職務の分掌が重要ですが、これをERPで具体的に実現する手段が、業務、業務におけるデータ項目とそれを参照、編集できる権限、すなわちアクセス権限の管理だからです。(これに加えて承認プロセスで実現します。)
従って、業務上の権限及び職責、職務の分掌が定義されていなければ、アクセス権限を定義することができません。そして、業務上の権限及び職責、職務の分掌の定義は業務プロセスの定義と深い関係にあります。
アクセス権限の設計と運用には、業務プロセスとデータベースのセキュリティに関する体系的な理解が重要となります。ツバイソPSAで用意しているテンプレート(権限セット、権限セットグループ)と以下の考え方を参考に、自社のアクセス権限の設計を行ってください。テンプレートは、ツバイソPSA 標準業務フロー(全体図)における推奨の権限を設定していますので、まずはテンプレートで運用し、以下の考え方、仕組みを参考に自社に合わせてカスタマイズしてください。
3つのアクセスレベル
アクセス権限の設計を行うためには、「業務」「データ項目」「トランザクション」の3つに分解して考えます。ツバイソPSA、セールスフォースにおいては、それぞれ、オブジェクトレベル、項目レベル、レコードレベルと言います。
業務
業務プロセスにおける売上プロセスには、見積、受注、納品、請求、売上計上の業務があり、調達プロセスには、調達依頼、見積依頼、発注、検収、支払、仕入経費計上の業務があります。通常、一人の社員が全ての業務を行えるわけではなく職能別組織により職務権限が定められています。従って、利用者(職能別組織)ごとにどの業務に対するアクセス権限を付与するのかを設計します。
組織図と業務プロセスを両睨みしながら、各組織が何の目的・責任を持っているかを考えると漏れをなくして定義しやすいです。
ツバイソPSA 標準業務フロー(全体図)なども参考に設計してください。
データ項目
業務において、例えば受注業務は営業部門と管理部門が関わりますが、部門によって管轄する情報(データ項目)が異なります。従って、利用者(職能別組織)ごと、業務ごとにどの情報(データ項目)に対するアクセス権限を付与するかを設計します。
業務プロセス上で、どの部門がどのタイミングでどのようなタスクを行うかを定義することで、アクセス権限を与える情報が決まります。上記の業務をタスクレベルに分解して検討します。
トランザクション
通常、A社の案件や受注(トランザクション)を担当するライン部門の社員X(営業X課)はA社の案件や受注にアクセス(参照、編集)できますが、担当ではないB社の案件や受注にはアクセス(参照、編集)できないよう制約をかけます。
一方で、スタッフ部門の管理部門や調達部門はライン部門が主管する全て(または一部)のトランザクションを参照、編集する権限を持ちます。(スタッフ部門はトランザクションの権限は広いが、現場が業務上編集するデータ項目は編集できないように権限を制限することにも留意します。)
業務プロセス上で、どの部門がどのタイミングでどのようなタスクを行うかを定義する際に、扱うトランザクションの範囲と条件を定義します。
ツバイソPSAにおけるアクセス権限管理
業務とデータ項目
上記の3つのアクセスレベルのうち、業務とデータ項目は関係性が強いです。あるユーザが業務そのものにアクセス(作成、参照、編集)できるのか、アクセスできる場合はその業務のうちどのデータ項目にアクセスできるのかを定義します。ツバイソPSAでは、業務ごとのデータ項目へのアクセス権限を権限セットで定義します。そして、権限セット(業務)を組み合わせた権限セットグループを定義し、これをユーザに割り当てることで、そのユーザがアクセスできる業務と各業務における項目を管理します。
トランザクション
トランザクションへのアクセス権限管理は、まず業務(受注など)についてのアクセス権限が付与された上で、業務に関して存在するトランザクション(受注伝票、受注レコードなど)のうちどのトランザクションへのアクセス権限があるかを定義します。
ツバイソPSAでは、以下のレコード所有者、案件メンバー、共有ルールによってこれを制御します。
レコード所有者
まずトランザクション(レコード)のアクセス権限は、所有者(作成者が最初の所有者となります。)のみが持ちます。これが基本です。(設定により組織の全ユーザにアクセス権を与えることもできます。)
これを基本として、レコード所有権の移転と共有によってアクセス権限をコントロールします。
案件メンバー
特定の案件に関する案件メンバーに追加された社員(厳密には社員に関連づけられたユーザ)には、案件とその案件に関わる見積、受注、納品、期間収益、T&M収益、請求、売上、制作指図、調達、調達依頼、見積依頼、発注、検収、期間費用、T&M費用、仕入経費の編集権限が自動的に共有されます。
案件の担当者、責任者1〜3は自動的に案件メンバーに追加されます。
案件の担当者は、自動的にレコードの所有者となります。
共有ルール
salesforceの共有ルールで条件に従って自動的にレコードをユーザ、公開グループに共有します。例えば、営業一課の社員が所有するレコードは自動的に営業一課全員に共有するなどのルールを設定することができます。
ツバイソPSAにおける共有ルールの設定方法はこちらを参照してください。