第6回 SaaS時代のIDライフサイクル管理

「担当者依存」は統制不備！
監査に強いID管理と標準化の仕組み

2025.12.08

技術者ブログ

本連載（全6回）では、SaaS時代におけるIDライフサイクル管理の課題と解決策を体系的に解説してきました。

▼過去の連載はこちらから
第1回：退職者アカウントを放置しない！
第2回：IDガバナンス崩壊が経営を揺るがす!?
第3回：ビジネスの新常識「IGA」の3つの視点とは!?
第4回：人事連動で防ぐ！ID管理のミスと手戻り
 第5回：分断されたID管理が招くリスクとそれを解決するたった2つの仕組み

最終回となる今回は、業務標準化と引継ぎ設定をポイントに、ID管理と内部統制を強化する仕組みに焦点を当てます。

そのID運用、担当者の「個人プレイ」になっていませんか？

もし今、あなたの会社のID管理が「Aさんに聞けば何とかなる」「Bさんがいないとアカウントが作れない」という状態であれば、それはID運用上の問題にとどまらず、内部統制上の極めて重大なリスクを抱えていることになります。
ID管理が特定の担当者に依存していると、退職や異動のたびに運用がブラックボックス化し、統制不備のリスクが急激に高まります。経営層や監査部門から見れば、属人化は統制の持続性を損なう重大な課題です。

本記事では、公的基準が要求する標準化と引継ぎ設計による属人運用からの脱却方法を解説し、いかにしてID管理と内部統制を強化するのかを明らかにします。

なぜ「属人運用」＝「リスク」とみなされるのか？

ID管理が特定の担当者に依存している状態は、単に業務効率が悪いというだけではありません。

担当者ごとの判断基準が異なると、新しい社員への権限付与の基準が曖昧になり、「このアカウント権限は、なぜ付与されたのか？」という監査の問いに、組織として一貫性を持って答えられず、「統制不備」とみなされる可能性があります。

金融庁の『財務報告に係る内部統制の評価及び監査の基準』

金融庁の『財務報告に係る内部統制の評価及び監査の基準』（2023年改訂）では、内部統制を次のように定義しています。

「内部統制とは、業務に組み込まれ、組織内の全ての者によって遂行されるプロセスをいう。
経営者は、内部統制の基本的要素が組み込まれたプロセスを整備し、そのプロセスを適切に運用していく必要がある。」

出典：金融庁『財務報告に係る内部統制の評価及び監査の基準』

この定義が示すとおり、内部統制は「特定の個人」ではなく「組織全体によって継続的に遂行される仕組み」であることが前提です。したがって、運用が担当者の属人的判断に依存している状態は、この原則に反し、統制の持続性を損なうリスクとして監査指摘の対象になり得ます。

属人運用のリスク

業務停止リスク：担当者の不在時にアカウント付与・削除ができない
監査指摘リスク：「業務が個人に依存している」と見なされる
経営リスク：情報漏洩や不正発生時に経営責任が問われる

属人依存を排除するには、「自動化＋標準化」が鍵

属人運用を防ぐ第一歩は、業務手順の標準化です。
アカウント申請から承認、権限付与・削除までのフローを明文化し、誰でも同じ手順で対応できるようにします。

経済産業省『システム監査基準』（令和5年改訂版）

経済産業省が公表した『システム監査基準』（令和5年改訂版）では、次のように示されています。

システム運用業務は、担当者が異動・退職しても継続的かつ一貫して遂行されるよう、権限・責任・手順を明確化し、標準化された運用手順書に基づき実施されなければならない。

出典：経済産業省『システム監査基準（令和5年4月26日改訂）』

この基準が共通して強調しているのは、担当者が変わっても運用が滞らない“標準化された手順”の存在が、ガバナンスと統制の土台になるということです。

Keyspiderによる「システムによる標準化」

私たちは、この「標準化された手順」を人ではなくシステムそのものに組み込むことを推奨します。

Keyspiderでは、人事発令に基づく自動付与ルールを設定することで、担当者の操作を極力減らし、手順そのものをシステム化＝標準化する仕組みを構築できます。
属人依存を排除する「自動化＋標準化」が、持続的な統制の実現につながります。

引継ぎ期間の設計で統制を維持

引継ぎ期間の設定: 新旧担当者の業務期間をシステムに設定。
自動権限剥奪: 引継ぎ期間が終了すると、旧担当者のID管理権限をシステムが自動で剥奪し、不正なアクセスや統制不備を未然に防止します。

新旧担当者が一定期間並行して業務を行う「引継ぎ期間」を設定することで、知識共有を確実にし、設定ミスを防止します。
Keyspiderでは、引継ぎ期間が終了すると旧担当者の権限を自動で剥奪し、統制不備を防止します。
これにより、業務継続性と統制の両立が可能になります。

押さえておきたいポイント

属人運用は統制不備と見なされ、経営リスクに直結する
業務手順の標準化により、誰でも対応できる体制を整備する
引継ぎ期間を設計し、持続的な統制を実現する

まとめ

本連載では、SaaS時代におけるIDライフサイクル管理の課題と解決策を6回にわたって解説しました。
「分断の解消」「ゴーストアカウント削減」「監査コスト低減」を実現する具体的なソリューションがKeyspiderです。
ID管理を単なるIT運用ではなく、経営基盤として再構築するための第一歩として、ぜひKeyspiderをご検討ください。

他の連載も見たい、もう一度見返したい、という方は下記より過去回をご覧いただけます。

「担当者依存」は統制不備！ 監査に強いID管理と標準化の仕組み