Oracle Internal Controls Managerインプリメンテーション・ガイド リリース11i B25733-01

目次

戻る

次へ

職務分掌の制約

概要

財務目的を達成するために、経営者は内部統制システムが組織のビジネス・プロセスをサポートする上で有効であることを保証する必要があります。また、米国の企業改革法のような規制では、外部監査人は会社の内部統制システムの信頼性に関する所見を表明することを要求されます。

内部統制システムの根本原則は、相互に互換性のないタスク・グループに対してアクセス権を持つユーザーがいないということです。したがって、社内のユーザーのジョブには常に、一連の非互換タスクのうち、1タスクにのみアクセスすることで生じる権利と職責を含める必要があります。

職務分掌統制により、不正行為の機会を提供するタスクの特定の組合せにユーザーがアクセスするという、特定のリスクに対応します。次の例を考えてみます。

• 買掛管理システムで仕入先を設定できるユーザーが請求書の支払を承認する権限も持っている場合は、会社の資金を自分に対して支払うことができるというリスクが存在します。

• 不正な消込を防止するには、在庫精度の担当者による循環棚卸調整の認証を禁止する必要があります。

• システム開発スタッフが本番業務に関与すると、永続的な詐欺行為を招くおそれがあります。

職務を分掌しても、様々な分野にまたがるスタッフ・メンバー間の共謀というリスクが排除されるわけではありませんが、抑止力としては機能します。また、組織内の作業を分掌することは、誤りによって意図しない損害が生じる可能性に対する防止策としても機能します。したがって、誤りや詐欺行為の範囲を限定するために、非互換タスクを組織の異なるメンバー間で分割します。

Oracle Internal Controls Managerを使用すると、社内の任意のタスクの組合せを非互換として識別し、１人のユーザーがアクセスしている場合にそれをレポートできます。

職務分掌違反が識別された場合、監査人は違反を改善するための修正要求を作成できます。これらの修正要求に優先度を割り当て、様々なユーザーに割り当てて、ライフ・サイクルを通じて追跡できます。

Oracle Applicationsにおける職責と機能

Oracle Internal Controls Managerの「職務分掌」機能は、Oracle E-Business Suiteの職責と機能へのアクセス権に基づいています。

職責

一般的なアプリケーション環境では、Oracle E-Business Suiteの一連の職責に複数のユーザーが割り当てられます。職責によって、アプリケーション権限が定義され、組織での役割に応じたOracle Applicationsの機能とデータにのみユーザーのアクセスが許可されます。職責ごとに、たとえば次へのアクセスが許可されます。

• Oracle General LedgerやOracle Planning、会計帳簿など、特定の1つまたは複数のアプリケーション。

• ユーザーがナビゲートできるウィンドウの制限付きリスト。たとえば、特定のOracle Planningのユーザーに対して予測品目の入力は許可しても、MDS品目の入力は許可しない職責があります。

• ユーザーが実行できる機能の制限付きリスト。たとえば、2つの職責に同じウィンドウへのアクセス権がある場合でも、一方の職責のウィンドウには、他方の職責のウィンドウにはない追加の機能ボタンがある場合があります。

機能

機能はOracle Applicationsのセキュリティ機能であり、特定のアプリケーション機能へのアクセスを制御します。通常、各機能は、ページ、ボタン、タブまたはメニューなどのアプリケーション機能に対応しています。

機能は各モジュールの職務またはタスクに変換されるため、ユーザーが実行できる処理に相当します。ユーザーの職責に特定の機能が含まれている場合にのみ、そのユーザーは機能にアクセスしてタスクを実行できます。Oracle E-Business Suiteアプリケーションには、事前シード済の関連機能が多数用意されています。フォーム機能をタスクとして扱うことで、「職務分掌」機能がOracle E-Business Suiteのセキュリティ・モデルとシームレスに統合されています。

手動機能と外部アプリケーションの機能

Oracle Internal Controls Managerで独自の機能を作成して選択することもできます。これにより、「職務分掌」機能も手動で実行されるタスクに拡張できるようになります。たとえば、夜間警備員によるマスター・キーの使用禁止を指定する必要がある場合は、これらのタスクごとに2つの機能を作成してからユーザーに割り当てます。

他のERPシステムまたはレガシー・システムで実行されるタスクも、この方法で処理できます。サード・パーティ・アプリケーションの機能を使用する場合は、次に示すプロファイル・オプションを設定して、そのシステムのユーザーや職責、機能などをOracle Internal Controls Managerにマッピングする必要があります。マッピングすることによって、外部エンティティがOracleアプリケーションで認識されるようになります。

次の表に、Oracle E-Businessの機能を使用しない場合にシードの必要なプロファイル・オプションを示します。

注意: 機能の使用方法の詳細は、『Oracle Applicationsシステム管理者ガイド』のセキュリティの管理に関する説明を参照してください。

職務分掌の制約の実装

Oracle Internal Controls Managerを使用すると、相互に互換性がない職責と機能に社内のユーザーがアクセスできるかどうかを効率的にチェックできます。このアプリケーションによって、容易に非互換タスクを事前にモニタリングしてレポートできます。

注意: ユーザーは、Oracle人事管理システムでの従業員には限定されません。このアプリケーションでは、Oracle Applicationsでユーザーとして定義されたすべての個人（FND_USER表に登録されたユーザー全員）が認識されます。

組織内の非互換職責または非互換機能の特定の組合せを制約として識別できます。アプリケーションでは、ユーザーがこのような複数の非互換タスクへのアクセス権を持つことで制約に違反している場合に、それをレポートできます。制約の違反が検出された場合は、経営者に対し修正要求を開始し、非互換タスクを持つユーザーの職務を変更して処置を講じることができます。

次のダイアグラムに、Oracle Internal Controls Managerにおける職務分掌の制約の実装ステップを示します。

職務分掌の制約を作成して違反を修正するステップは、次のとおりです。

1. 職務分掌の制約の定義

2. 制約違反のチェック

3. 修正要求の開始

4. 非互換機能を使用するユーザーの職務の変更

これらのステップについては、次の各項で実例をあげて説明します。

1. 職務分掌の制約の定義

制約は、次のいずれかを相互に非互換に設定することによって作成します。

• 複数の職責

• 複数の機能

したがって、最初の作業は制約、つまり、非互換のジョブおよび職務が同一ユーザーによって実行されないようにシード済レジストリを定義することです。

この例では、競合する職務が1セットのみであるとします。組織では、発注を作成できるユーザーには請求書の入力が、また請求書を入力できるユーザーには発注の作成ができないことが求められています。

注意: 非互換職責および機能を複数のアプリケーション・モジュールにまたがって指定できます。たとえば、Oracle PurchasingとOracle Payablesにおける職責や機能を非互換に設定できます。

職務分掌の制約を次の手順で定義します。

a. 制約の基本属性の入力

b. 複数の非互換機能または職責の設定

c.職責権利放棄またはユーザー権利放棄の設定（オプション）

a. 制約の基本属性の入力

この例での制約名は、「PO-Invoice SOD」です。

次の表に、「職務分掌の制約」ページの各選択フィールドの詳細を示します。

b. 複数の非互換機能または職責の設定

非互換職責の設定: 制約に職責が含まれる場合、Oracle E-Business Suiteに登録されたアプリケーションの既存の職責がすべて使用可能です。この例で職責が使用されると、一般的なPurchasingとPayablesの職責は相互に非互換に設定されます。

非互換機能の設定: Oracle E-Business Suiteに登録されたアプリケーションの既存の機能がすべて使用可能です。

フィルタを入力することによって、表示する機能のリストの制限や、特定の機能の検索を行うことができます。Oracle Internal Controls Managerには、次の3つのフィルタが用意されています（結果の機能リストは200エントリに制限されます）。

• 職責

• タイプ

• 機能名

機能はタイプ別に分類されます。標準の機能タイプの例を次に示します。

• フォーム: Oracle Applicationsのフォーム機能は、「フォーム」タイプで登録されています。

• サブ機能: フォームまたはその他の機能にセキュリティ機能を提供するためにメニューに追加（プロンプトなし）されるサブ機能です。

• JSP: Oracle Self–Service Web Applicationsスイートの一部の製品で使用される機能。通常JSP機能です。

• WWW: Oracle Self–Service Web Applicationsスイートの一部の製品で使用される機能。通常PL/SQL関数です。

注意: 機能タイプの詳細は、『Oracle Applications開発者ガイド』を参照してください。

制約を定義する際には、関連する機能を分離するために、「タイプ」と「名称」のうち少なくとも一方が判明している必要があります。

この例では、請求書の入力と発注の作成はともにOracle PayablesとOracle Purchasing内におけるフォームに相当するため、この例では機能のタイプはともに「フォーム」となります。

c.職責権利放棄またはユーザー権利放棄の設定（オプション）

オプションで、制約の例外を「権利放棄」の形式で設定することもできます。「職責権利放棄」と「ユーザー権利放棄」は、制約（設定中の制約）を適用しない1つ以上の職責とユーザーを指定します。たとえば、発注にアクセスできるユーザーが請求書の入力もできるという全社的なルールからPayablesのスーパーユーザーを除外する場合があります。

この2種類の権利放棄は明確なものです。つまり、制約は、「ユーザー権利放棄」に記載された個人によって違反したとみなされることも、「職責権利放棄」に記載された職責にアクセスできる個人によって違反したとみなされることもありません。権利放棄は、権利放棄の「終了日」を入力することによって、特定の日付範囲に制限されることに注意してください。

注意: 職責制約にはユ―ザー権利放棄のみを設定できます。

職務分掌の制約のインポート

職務分掌の制約を手動で入力するかわりに、Web ADIを使用して制約をアプリケーションにインポートできるようになりました。Web ADIには、固有のスプレッドシート・インタフェースの使用など多くの長所があります。

「制約のインポート」ハイパーリンクを使用し、制約詳細をアプリケーションにインポートします。Oracle Internal Controls Managerでは最初にビューワ（Excel1997/2000）などのユーザー設定を選択する必要があります。次にスプレッドシートが表示され、これらのセルに値を入力またはコピーできます。最後に、メニュー・バーから「Oracle - アップロード」を選択して、インポート処理を開始します。

次の表に、インポート・スプレッドシートのフィールドを示します。

注意: インポート・スプレッドシートを使用して制約権利放棄をインポートすることはできません。職務分掌の制約をアプリケーションにインポートした後で、この制約を問い合せて、職責権利放棄またはユーザー権利放棄を必要に応じて追加してください。

Web ADIにより、スプレッドシートからのデータがAMW_CONSTRAINT_INTERFACEインタフェース表にアップロードされます。次に、コンカレント・プログラムにより、インタフェース表から実表にデータがアップロードされます。インポート処理中にエラーが発生すると、エラーとしてフラグが設定され、エラー・メッセージが出力されます。

プロファイル・オプション「AMW: 制約 - インポート後に削除」を「Yes」に設定すると、Web ADIを介して正常にインポートされた統制がインタフェース表から削除されます。

Web ADIをExcel 2002（XP）で動作させる手順は、次のとおりです。

1. Excel 2002を開きます。

2. 「ツール」->「マクロ」->「セキュリティ」->「信頼のおける発行元」を選択します。

3. 「Visual Basic プロジェクトへのアクセスを信頼する」を選択します。

2. 職務分掌の制約違反のチェック

ここで、コンカレント・プロセス「制約の違反のチェック」が起動し、同じユーザーに属している非互換機能の有無がチェックされます。

このプロセスを実行する場合は次のオプションに注意してください。

• コンカレント・プログラムを実行して、「すべて」または1つから4つまでの制約をチェックできます。

  

• このプログラムを、事前定義済のスケジュールに基づいて自動的に繰り返すように設定できます。定期スケジュールを使用すると、アプリケーションのユーザー間で非互換機能を事前にモニタリングしてレポートできます。

• 1人以上のユーザーに通知を送信できます。この通知により、プロセスの発行と発行のステータスがユーザーに伝えられます。

• コンカレント・プロセス「制約の違反のチェック」は大規模なインストレーションでは実行に数分間かかる場合があるため、「職務分掌」->「要求」サブタブには、プロセスをモニターする機能が用意されています。そのため、要求のステータスを表示するために「システム管理者」の職責を使用する必要ありません。

職務分掌の違反についての検討

コンカレント・プロセスが完了すると、Oracle Internal Controls Managerによって制約違反の詳細名簿が提供されます。「職務分掌」->「制約違反」ウィンドウでは、このような違反を制約名で検索できます。

「制約の違反のチェック」プロセスの実行履歴が、このウィンドウで保守されることに注意してください。そのため、修正処理（次の項で説明）を実行すると、特定の制約の「違反ユーザー数」の値が減少していきます。

違反ステータス: 次の表に、この列の詳細を示します。

ドリルダウンして特定の制約に違反する各ユーザーの詳細を検索し、そのユーザーが保持する非互換ジョブ機能のリストを表示します。「権利放棄済ユーザー」サブタブには、制約の違反から除外するように設定されたすべてのユーザーが表示されます。

ユーザー違反: 「職務分掌」->「ユーザー違反」ウィンドウでは、特定のユーザーが違反しているすべての制約を検索することもできます。

3. 修正要求の開始（およびそれに続くユーザー職務の変更）

職務分掌の違反が検出された場合は、「修正要求」を開始して違反を修正し、ユーザーが組織内の非互換タスクへのアクセス権を持っていることに伴うリスクを軽減できます。この例では、「購買」と「請求書」の両方の機能にアクセス権を持つユーザーの職責から、いずれか一方の機能を削除します。

「修正要求」は、主として修正処理の要求を開始および追跡するプラットフォームと考えることができます。このような要求を開始しても、職責と機能へのアクセス権が違反ユーザーから自動的に削除されるわけではありません。最終的には、システム管理者（またはそれと同等の職責を持つ個人）が違反ユーザーの職責を変更し、ユーザーが競合する機能と職責にアクセスできないようにする必要があります。

「修正要求」を特定のユーザーに割り当て、アプリケーションで追跡できます。

注意: 「修正要求」の設定の詳細は、「Oracle Internal Controls Managerにおける修正要求」を参照してください。

ステップ1: 要求の作成

次の表に、「修正要求の作成」ウィンドウの各選択フィールドの詳細を示します。

注意: さらに明確化するために、修正要求に文書を添付することもできます。

修正要求レポート: 修正要求を作成（「作成」ボタンを使用）するかわりに、修正要求の詳細に関するアドホック・レポートを作成できます。

Oracle Internal Controls Managerでは、このレポートを表示する前に、レポート生成に関してレポート基準と結果書式を選択する必要があることに注意してください。

基準と結果は、「要求番号」、「割当先」、「作成者」、「要求者」、「作成日」、「希望入手日」などのフィールドに基づきます。結果は次の4つのセクションに表示されます。

• 担当

• 添付

• 承認

• 処理ログ

ステップ2: 要求の追跡

「修正要求要約」ウィンドウは、要求の詳細とステータスの遷移を表示する掲示板の役割をします。

優先度の変更、コメントの転記、取消、促進、保留待機中、再割当、修正の更新およびコメントの要求など、様々な処理があります。このウィンドウでは、Oracle Internal Controls Managerによって修正要求の詳細な履歴が保守されます。

Copyright © 2003, 2005, Oracle. All rights reserved.