ユーザー管理と権限

権限管理は、Basisの中でも監査の対象になりやすい領域です。誰が何をできるかを適切に制御することは、内部統制の基本です。

ユーザーマスタ

ユーザーはSU01で作成します。ユーザーマスタは複数のタブに分かれており、それぞれ異なる情報を保持します。

ロールとプロファイル

権限は、ロール（PFCG）で設計し、ユーザーに割り当てます。ロールを生成すると、内部的に権限プロファイルが作られ、それが実際のチェックに使われます。

派生ロールは、同じ業務を異なる組織単位で行う場合に有効です。「購買担当者」というロールを親とし、工場ごとに派生ロールを作れば、権限の内容は共通のまま、アクセスできるプラントだけを変えられます。親を修正すれば派生ロールにも反映されるため、保守が容易になります。

権限オブジェクトとフィールド

SAPの権限チェックは、権限オブジェクトという単位で行われます。1つの権限オブジェクトは、最大10個のフィールドを持ちます。

ACTVT（活動）: 01=登録, 02=変更, 03=照会
WERKS（プラント）: 1000, 2000

→ このユーザーはプラント1000と2000の
  購買発注を登録・変更・照会できる

プログラム側では、AUTHORITY-CHECK文でこの権限を検証します。すべてのフィールドの条件を満たしていなければ、権限エラーとなります。

権限エラーの調査

「権限がありません」というエラーが出たとき、どの権限が不足しているかを特定する必要があります。

職務分離（SoD）

職務分離は、1人の担当者が不正を完結できないよう、相反する権限を分離する考え方です。監査で必ず確認される項目です。