1. 権限棚卸（アクセスレビュー）とは何か
権限棚卸とは、社内の利用者が「どのシステム・どのデータに、どこまでアクセスできるか」というアクセス権の付与状況を定期的に洗い出し、その妥当性を見直す取り組みです。英語ではアクセスレビュー（Access Review）や、アクセス認証（Access Certification）とも呼ばれます。
目的はシンプルです。「今このアカウントに付いている権限は、本当に業務上必要か？」を1つひとつ確認し、不要になった権限を削除すること。人は異動や業務変更を重ねるうちに権限が積み重なっていきます。棚卸しをしないと、誰も使っていない・誰も把握していない権限が静かに蓄積し、情報漏えいや不正アクセスの温床になります。
「棚卸し」という言葉のとおり
在庫の棚卸しが「帳簿上の在庫」と「実際の在庫」を突き合わせる作業であるように、権限棚卸は「付与されているはずの権限」と「実際に必要な権限」を突き合わせる作業です。両者のズレ（＝不要な権限）を見つけて解消することが、棚卸しの本質です。定期的に行うことで、ズレが小さいうちに片づけられます。
2. なぜ監査で重視されるのか
権限棚卸は、単なる社内の整理整頓ではなく、各種の監査やセキュリティ基準で明確に求められる取り組みです。理由は、アクセス権の管理が内部統制の根幹に関わるからです。
- 最小権限の原則の担保：「業務に必要な最小限の権限だけを与える」という原則が守られているかは、定期的に見直さなければ確認できない。棚卸しは、この原則が実際に機能していることを示す手段になる。
- 内部統制（J-SOX等）の要請：財務報告に関わるシステムへのアクセス権が適切に管理されているかは、内部統制の評価対象になる。「誰が承認し、いつ見直したか」の記録が求められる。
- ISO/IEC 27001などの情報セキュリティ基準：アクセス権の付与・見直しに関する管理策が求められ、定期的なレビューの実施と記録が問われる。
- SCS評価制度をはじめとする各種評価制度：サプライチェーン全体のセキュリティを評価する制度でも、アクセス権の管理・見直しは重要な評価項目になる。
監査では「棚卸しを実施していること」だけでなく、「実施した証跡（記録）が残っていること」が重視されます。いつ、誰が、どの権限を確認し、承認または削除したのか——この記録が、統制が機能していることの証明になります。
3. 権限棚卸の進め方——5つのステップ
権限棚卸は、次のような流れで進めます。規模や対象によって細部は変わりますが、基本の型を押さえておくと迷いません。
- 対象の洗い出し：どのシステム・どのアカウント・どの権限を棚卸しの対象にするかを決める。まずは重要システム（機密情報・基幹業務・特権権限）から始めるのが現実的。
- 現状の権限を一覧化：各システムから「誰にどんな権限が付いているか」を抽出し、一覧にまとめる。ここが正確でないと、以降の判断ができない。
- 妥当性の確認（レビュー）：各利用者の現在の業務・役割に照らして、その権限が必要かを確認する。判断は、業務を把握している上長・部門管理者が行うのが望ましい。
- 是正（削除・変更）：不要と判断された権限を削除し、過剰なものを適正化する。退職者・異動者のアカウントもここで処理する。
- 記録と報告：確認結果・承認者・是正内容を記録に残す。次回の棚卸しや監査に備える。
この流れを、四半期ごと・半期ごとといった決まった頻度で繰り返すことが重要です。特に、管理者権限などの特権アクセスは影響が大きいため、より高い頻度でのレビューが推奨されます。
権限棚卸、手作業で疲弊していませんか？
権限の一覧化・レビュー・是正・記録を、負担なく回せる仕組みへ。Net Peaceが、監査に耐えるアクセス管理の整備を支援します。
4. 監査で問われる4つのポイント
監査人が権限棚卸を確認するとき、特に注目するポイントがあります。あらかじめ押さえておくと、監査対応がスムーズになります。
| ポイント | 問われること |
|---|---|
| 網羅性 | 重要なシステム・アカウントが漏れなく棚卸しの対象になっているか |
| 適切な承認者 | 権限の妥当性を、業務を理解した適切な立場の人が確認・承認しているか |
| 是正の実施 | 「不要」と判断された権限が、実際に削除・変更されているか（確認だけで終わっていないか） |
| 証跡の保存 | いつ・誰が・何を確認し・どう対応したかの記録が残っているか |
特に見落とされがちなのが「是正の実施」です。「レビューはしたが、不要と分かった権限を実際には消していなかった」というケースは少なくありません。確認して終わりではなく、見つけた問題をきちんと解消するところまでが権限棚卸です。
5. 形骸化させないために——よくあるつまずき
権限棚卸は「やることになっているが、実質的に機能していない」状態に陥りやすい取り組みでもあります。代表的なつまずきを知っておきましょう。
- 「とりあえず全部OK」問題：大量の権限リストを前に、内容を吟味せず一律に「継続」と承認してしまう。レビューが名ばかりになる典型。
- 権限の意味が分からない：システムが表示する権限名が難解で、レビューする人が「その権限が何を許すのか」を理解できず、判断できない。
- 手作業の限界：多数のシステムから手作業で権限を集め、表計算ソフトで管理していると、抽出漏れ・転記ミス・更新遅れが起きる。棚卸しのたびに膨大な工数がかかり、疲弊して形骸化する。
- 棚卸しの間隔が空きすぎる：年1回など間隔が長いと、その間に権限のズレが大きく蓄積し、レビューの負担がさらに増す悪循環になる。
「棚卸しをしている」と「統制が効いている」は別
形式的に棚卸しを実施していても、内容が吟味されず、是正も伴わなければ、実質的な統制は効いていません。監査でも、記録の有無だけでなく「実質的に機能しているか」が見られるようになっています。棚卸しを意味のある活動にするには、レビューする人が判断しやすい形で情報を提示し、是正までを確実に回す仕組みが欠かせません。
6. 棚卸しを「回り続ける仕組み」にする
権限棚卸の理想は、負担が少なく、継続的に、実質的な統制として回り続けることです。そのためには、次のような工夫が有効です。
- 権限情報を一元的に把握する：各システムに散らばった権限を、できるだけ1か所で見える化する。抽出を手作業に頼らないことで、網羅性と正確性が上がる。
- 入退社・異動と連動させる：人事の動きに合わせて権限が自動的に見直されれば、棚卸し時のズレそのものが小さくなる。
- レビューしやすい形で提示する：「この人はこの権限を最近使っているか」といった判断材料を添えると、レビューの質が上がる。
- 是正までを追跡する：「削除する」と決めた権限が確実に削除されたかまで記録・追跡する。
突き詰めれば、権限棚卸を無理なく続けられるかどうかは、「今、誰がどんな権限を持っているか」を正確かつ手間なく把握できる状態があるかどうかにかかっています。この土台があれば、棚卸しは特別なイベントではなく、日常的に回る統制活動になります。逆に土台がなければ、毎回が大掛かりな調査になり、形骸化を招きます。
アクセス権を全社で見える化し、入退社に連動して過不足なく管理し、その状態をいつでも監査に示せる——こうした仕組みを整えておくことが、権限棚卸を「やらされ仕事」から「効く統制」へと変える近道です。自社の権限管理が今どこまで見える化できているか、棚卸しの負担はどれほどか、一度振り返ってみることをおすすめします。