財務レポート・コンプライアンスでのレコードの保護

プロセス、リスク、制御、問題、改善計画、アセスメントまたはサーベイの記録を操作するには、ユーザーは「適格」であり「権限を持つ」必要があります。

オブジェクトのレコードに対して適格となるためには、そのオブジェクトを操作する権限を付与するロールがユーザーに割り当てられている必要があります。次に、次の処理を行います。

これらのレコードのいずれかを作成した適格なユーザーは、自動的にそのオーナーとしての権限を持ちます。
オーナーは、他の適格なユーザーをオーナー、編集者またはビューアとして承認します。オーナーは、データ・セキュリティ構成など、レコードの詳細を編集できます。編集者はセキュリティ構成を変更できませんが、その他の詳細を変更できます。ビューアはレコードの詳細を表示できますが、変更はできません。ユーザーがレコードにアクセスするには、これらの権限のいずれかが必要です。
プロセス、リスクおよびコントロールは、子オブジェクトに関連付けることができます。これらの子オブジェクトのレコードにアクセスできるのは、その親と連携する権限がある場合のみです。たとえば、プロセスには処理項目がありますが、自分がオーナー、編集者またはビューアであるプロセスに属する処理項目のみにアクセスできます。ただし、親を使用する権限がどのようなものであっても、子レコードを作成および編集できます。たとえば、プロセスのビューアはプロセス自体のみを表示できますが、そのプロセスの処理項目を作成または編集することもできます。
オーナーは、レコード(レビュー担当者または承認者、問題オーナーまたは検証者、査定者)に対して必要に応じて、追加の承認のためにユーザーを選択できます。このタイプの認可は、他の認可とは異なります。たとえば、ユーザーは、リスク・レコードのビューアと、そのレコードの承認者の両方として選択できます。その場合、ユーザーはリスク自体を編集できませんが、リスクを承認または却下する書込みアクセス権がページにあります。

レコードを所有している場合、そのレコードについてユーザーを認可するには、次の操作を実行します。

ほとんどの場合、ページの「セキュリティ割当」ボタンをクリックして、レコードを表示または編集します。これにより、「セキュリティ割当」ページが開きます。(このボタンはレコードの作成中は使用できませんが、レコードの作成者がレコードを初めて保存または送信した直後に表示されます。)
アセスメントの場合は、アセスメント・バッチを開始または編集するためのガイド付きプロセスに従ってセキュリティを構成します。プロセスの個別のステップとして、バッチ自体を保護し、バッチ内の個々のアセスメントを保護します。
特に、コントロール・レコードの「セキュリティ割当」ボタンには、2つのセキュリティ・ページへのリンクがあります。
- 「コントロール・セキュリティ割当」ページでは、コントロール・レコード自体へのアクセスを許可します。
- デフォルトのアセスメント・セキュリティ割当ページでは、アセスメント・アクターを選択できます。アセスメント・アクターは、コントロールのすべての認定アセスメントに対してデフォルトで選択されます。(ただし、認定以外のどのタイプのコントロール・アセスメントにも割り当てられません。)管理を含むアセスメント・バッチのオーナーは、これらのデフォルトのセキュリティ割当を変更できます。

これらのいずれの場合でも、個々のユーザーまたはユーザー・グループを追加できます。グループは、オブジェクトのタイプに対して承認されているユーザーのセットです。通常は、グループをレコードに(そしてユーザーをグループに)割り当てるのがセキュリティを管理するうえで効率的なアプローチです。

個々のユーザーを選択するには、「ユーザー割当」パネルで「追加」をクリックします。「名前」フィールドでユーザーを検索して選択します。次の選択を行い、「保存」ボタンをクリックします。

「承認方法」フィールドで、各ユーザーの「オーナー」、「編集者」または「ビューア」のいずれかの値を選択する必要があります。

オブジェクトの「セキュリティ割当」ページでは、ユーザーが適格なアクセス権よりも少ないアクセス権を選択できます。たとえば、ユーザーは、3つのレベルのいずれかでリスク・レコードを処理する資格があるとします。リスクのビューアとしてそのユーザーを選択した場合、そのユーザーを他のリスクのオーナーまたは編集者として選択できる場合でも、そのユーザーはそのリスクを編集できません。

コントロールのデフォルト・アセスメント・セキュリティ割当ページでは、ビューアは自動的に選択されます。他の選択はできません。
「承認」領域で、任意の数の追加承認のチェックボックスを選択します。

オブジェクトの「セキュリティ割当て」ページでは、作業しているオブジェクトによって異なります。特定のユーザーの場合、これらの承認はオプションです。ただし、認可するアクティビティを実装するには、認可するユーザーを少なくとも1人選択します。たとえば、1人以上のユーザーがそのレコードの問題オーナーまたは問題検証者として承認されている場合にのみ、そのレコードに対して問題を提起できます。

コントロールの「デフォルト・アセスメント・セキュリティ割当」ページで、「承認」領域を使用して、認定アセスメントの査定者、レビュー担当者および承認者を選択します。

ユーザー・グループを選択するには、「グループ割当」パネルで「追加」をクリックします。グループを検索して選択し、その選択を保存します。

グループに割り当てる承認は１つのみです。１つのレコードに対する１つのグループを選択すると、その承認権限を表示することができますが、変更することはできません。１つのレコードに対して複数のグループをそれぞれの権限で承認することができます

すべてのユーザーにオーナー、編集者またはビューアの権限が必要です。そのため、「追加の」承認（個人ユーザに対して「承認」領域で選択できるもの）のためにグループを選択すると、そのグループのメンバーにはビューア権限が付与されます。
グループをレコードに対して選択できるのは、そのグループのメンバーの少なくとも1人がそのレコードに対して適格である場合のみです。適格なユーザーがいないグループは除外されます。
時間の経過とともに、メンバーがグループに追加されたり、グループから削除されたり、メンバーのロール割当が変更される可能性があります。これにより、グループがレコードに割り当てられたものの、適格なメンバーがなくなってしまう場合があります。その場合は、グループ名の横に警告アイコンが表示されます。

ユーザーまたはグループを編集または削除するには、その行の編集アイコンをクリックします。