SAP GRC-概要

SAPガバナンス、リスクおよびコンプライアンスソリューションにより、組織は規制とコンプライアンスを管理し、組織の主要な運用を管理する際のリスクを取り除くことができます。変化する市場の状況に応じて、組織は成長しており、急速に変化し、不適切なドキュメントです。スプレッドシートは、外部の監査人や規制当局には受け入れられません。

SAP GRCは、組織が規制とコンプライアンスを管理し、次のアクティビティを実行するのに役立ちます-

GRCアクティビティを既存のプロセスに簡単に統合し、主要なGRCアクティビティを自動化します。
複雑性が低く、リスクを効率的に管理します。
リスク管理活動を改善します。
ビジネスでの不正行為の管理と監査管理の効果的な実施。
組織のパフォーマンスが向上し、企業はその価値を保護できます。
SAP GRCソリューションは、分析、管理、監視の3つの主要分野で構成されています。

SAP GRCのモジュール

SAP GRCのさまざまなモジュールを理解してみましょう-

SAP GRCアクセス制御

組織のリスクを軽減するには、コンプライアンスおよび規制の実践の一環としてリスク管理を実行する必要があります。責任を明確に定義する必要があります。ロールプロビジョニングの管理とスーパーユーザーのアクセスの管理は、組織のリスクを管理するために重要です。

SAP GRCプロセス制御と不正管理

SAP GRC Process Controlソフトウェアソリューションは、コンプライアンスの管理とポリシー管理に使用されます。コンプライアンス管理機能により、組織は内部統制環境を管理および監視できます。組織は、特定された問題を事前に修正し、対応するコンプライアンス活動の全体的な状態を認証および報告できます。

SAP Process Controlは、ターゲットグループによるポリシーの配布と遵守を含む、ポリシー管理の完全なライフサイクルをサポートします。これらのポリシーは、組織がコンプライアンスのコストを削減し、管理の透明性を向上させ、組織がビジネス環境でコンプライアンス管理プロセスとポリシーを開発できるようにします。

SAP GRCリスク管理

SAP GRC Risk Managementを使用すると、リスク管理アクティビティを管理できます。事前の計画を立ててビジネスのリスクを特定し、リスクを管理するための手段を実装して、ビジネスのパフォーマンスを向上させるより良い意思決定を行うことができます。

リスクにはさまざまな形があります-

運用リスク
戦略的リスク
コンプライアンスリスク
財務リスク

リスク管理

SAP GRC監査管理

これは、成果物の文書化、調査報告書の整理、および監査レポートの作成により、組織の監査管理プロセスを改善するために使用されます。他のガバナンス、リスク、コンプライアンスのソリューションと簡単に統合でき、組織は監査管理ポリシーをビジネス目標に合わせることができます。

SAP GRC監査管理は、次の機能を提供することにより、監査人が物事を単純化するのに役立ちます-

モバイル機能のドラッグアンドドロップ機能を使用して、監査管理用のアーティファクトやその他の証拠を即座にキャプチャできます。
グローバルな監視とフォローアップにより、監査の問題を簡単に作成、追跡、管理できます。
検索機能を使用して検索を実行できます。検索機能を使用すると、従来の研究論文からより多くの情報を取得できます。
ユーザーフレンドリーなインターフェースとコラボレーションツールを使用して、監査人を関与させることができます。
監査管理をSAP Fraud Management、SAP Risk Management、およびSAP Process Controlと簡単に統合して、監査プロセスをビジネス目標に合わせることができます。
自動追跡ツールを使用した問題の迅速な解決。
スタッフの利用率を高め、内部監査の計画、リソース管理、およびスケジューリングから生じる旅費を削減します。
Lumiraおよびその他のBIレポートを使用して監査レポートを視覚化するためのSAP Business Objectsレポートおよびデータ視覚化ツールとの簡単な統合。
監査アーティファクトとレポート作成プロセスを標準化するための事前に確立されたテンプレートの使用。

SAP GRC不正管理

SAP GRC詐欺管理ツールは、組織が不正を早期段階で検出および防止し、ビジネス上の損失を最小限に抑えるのに役立ちます。大量のデータに対してリアルタイムでスキャンをより正確に実行でき、不正なアクティビティを簡単に特定できます。

SAP詐欺管理ソフトウェアは、次の機能を備えた組織を支援します-

詐欺事件の簡単な調査と文書化。
システムのアラートと応答性を高めて、不正なアクティビティが今後頻繁に発生するのを防ぎます。
大量のトランザクションとビジネスデータの簡単なスキャン。

SAP GRCグローバルトレードサービス

SAP GRC GTSソフトウェアは、組織が国際貿易管理の制限内で国境を越えた供給を強化するのに役立ちます。これは、国際貿易規制当局からのリスクのペナルティを軽減するのに役立ちます。

組織の規模に関係なく、すべてのコンプライアンスマスターデータとコンテンツ用の単一のリポジトリで、グローバルな貿易管理プロセスを一元化します。

SAP GRC機能モデル

SAP BusinessObjects GRCソリューションは、*分析、管理、監視*の3つの主要機能で構成されています。

次の図では、SAP GRCソフトウェアのすべての主要機能をカバーするSAP GRC機能モデルを見ることができます。組織はGRCを使用して、すべての潜在的なリスクとコンプライアンスの結果を確認し、それらを軽減するための正しい決定を下すことができます。

機能モデル

SAP GRC-ナビゲーション

SAP GRCの古いバージョンでは、アクセス制御、プロセス制御、およびリスク管理を使用するために、コンポーネントごとに個別のナビゲーションがありました。これは、ユーザーがコンポーネント間での業務を実行するには、各モジュールに個別にログインし、複数回ログインする必要があったことを意味します。これにより、複数のウィンドウを管理するプロセスが困難になり、検索するドキュメントも困難でした。

プロセス制御

SAP GRC 10.0は、権限ごとに単一ユーザーのアクセス制御、プロセス制御、およびリスク管理コンポーネントへの直接ナビゲーションを提供し、複数のウィンドウの管理を削除します。

ステップ1 *-カスタマイズアクティビティを実行し、GRCソリューションの構成設定を維持するには、Tコードに移動します-SPRO→SAP Reference IMG

参照画像

ステップ2 *-ガバナンス、リスクおよびコンプライアンスノードを展開します-

GRCノード

ステップ3 *-NetWeaver Business Clientへのログオン-

SAP Easy AccessでNWBCのトランザクションを実行します。

NetWeaver Business Client画面が開き、次のURLが表示されます-http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/?sap-client=800&saplanguage=EN%20[http://ep5crgrc.renterpserver .com：8070/nwbc/〜launch/]

ビジネスクライアント

SAP GRCワークセンター

ワークセンターを使用して、GRC 10.0の中央アクセスポイントを提供できます。これらは、顧客が操作するためにライセンスされているものに基づいて編成できます。

ステップ1 *-ワークセンターにアクセスするには、上記のようにNetWeaver Business Clientを開きます。上部の */nwbc オプションに移動して、ワークセンターを開きます。

上部のオプション

ステップ2 *-クリックすると、SAP NetWeaver Businessクライアントのホーム画面が表示されます。

ホーム画面

ライセンスを取得した製品に応じて、GRCソリューションのさまざまなコンポーネントが表示されます-アクセス制御、プロセス制御、またはリスク管理。

SAP GRC-アクセス制御

SAP GRCアクセス制御は、組織がアクセスリスク違反を自動的に検出、管理、防止し、会社のデータや情報への不正アクセスを減らすのに役立ちます。ユーザーは、自動セルフサービスを使用して、要求の送信、ワークフロー駆動型のアクセス要求、およびアクセスの承認にアクセスできます。 SAP GRC Access Controlを使用して、ユーザーアクセス、ロール承認、およびリスク違反の自動レビューを使用できます。

SAP GRC Access Controlは、ビジネスがアクセスリスクを管理できるようにすることで、主要な課題を処理します。職務分掌SoDとクリティカルアクセスを定義し、アクセスリスク管理の時間とコストを最小化することにより、組織が不正アクセスを防止するのに役立ちます。

主な機能

以下は、SAP GRC Access Controlの主要な機能です-

SOX、BSI、ISO標準などのさまざまな監査標準を使用して、法的要件に従って監査とコンプライアンスを実行する。
組織内のSAPシステムおよび非SAPシステム全体のアクセスリスク違反を自動的に検出するため。
前述のように、セルフサービスアクセスの送信、ワークフロー駆動型のアクセス要求、および要求の承認をユーザーに提供します。
小規模および大規模な組織で、ユーザーアクセス、ロールの承認、リスク違反、および制御の割り当てのレビューを自動化する。
スーパーユーザーのアクセスを効率的に管理し、SAPおよび非SAPシステムのデータとアプリケーションへのリスク違反と不正アクセスを回避します。

アクセス制御のワークセンターのセットアップ方法を調べる方法は？

SAP Easy AccessでNWBCのトランザクションを実行します。

NetWeaver Business Client画面が開き、次のURLが表示されます-http://ep5crgrc.renterpserver.com:8070/nwbc/~launch/?sap-client=800&saplanguage=EN%20[http://ep5crgrc.renterpserver .com：8070/nwbc/〜launch/]

ステップ1 *-ワークセンターにアクセスするには、上記のようにNetWeaver Business Clientを開きます。上部の */nwbc オプションに移動して、ワークセンターを開きます。

上部のオプション

ステップ2 *-クリックすると、SAP NetWeaver Businessクライアントのホーム画面が表示されます。

ホーム画面

ステップ3 *-セットアップワークセンターに移動し、ワークセットを調べます。各リンクの下のいくつかのリンクをクリックして、さまざまな画面を探索します。

セットアップ

ステップ4 *-セットアップワークセンターはアクセス制御で利用でき、以下のセクションへのリンクを提供します-

アクセスルールのメンテナンス
例外アクセス規則
クリティカルアクセスルール
生成されたルール
組織
コントロールの緩和
スーパーユーザーの割り当て
スーパーユーザーのメンテナンス
アクセス所有者

ステップ5 *-上記の機能を次の方法で使用できます-

[アクセスルールのメンテナンス]セクションを使用して、アクセス違反の特定に使用されるアクセスルールセット、機能、およびアクセスリスクを管理できます。
例外アクセスルールを使用すると、アクセスルールを補足するルールを管理できます。
重要なアクセスルールセクションを使用して、重要な役割とプロファイルへのアクセスを識別する追加のルールを定義できます。
生成されたルールセクションを使用して、生成されたアクセスルールを検索および表示できます。
[組織]では、関連する割り当てを使用してコンプライアンスとリスク管理のために会社の組織構造を維持できます。
[コントロールの緩和]セクションでは、コントロールを管理して、職務分離、重要なアクション、および重要なアクセス許可の違反を軽減できます。
スーパーユーザー割り当てでは、所有者を消防士IDに割り当て、消防士IDをユーザーに割り当てます。
スーパーユーザーメンテナンスは、消防士、コントローラー、および理由コードの割り当てを管理する場所です。
[アクセス所有者]で、アクセス管理機能の所有者特権を管理します。

SAP GRC-アクセス管理ワークセンター

GRCソフトウェアライセンスごとに、Access Management Work Centerをナビゲートできます。アクセス制御アクティビティを管理するための複数のセクションがあります。

アクセス管理

あなたがアクセス管理ワークセンターをクリックすると、次のセクションを見ることができます-

アクセス管理

GRCの役割の割り当て
アクセスリスク分析
軽減されたアクセス
アクセス要求管理
ロール管理
ロールマイニング
役割の一括メンテナンス
スーパーユーザーの割り当て
スーパーユーザーのメンテナンス
アクセス要求の作成
コンプライアンス認定レビュー
アラート
スケジューリング

上記のセクションは、次の方法で役立ちます-

*リスク分析*セクションにアクセスすると、ユーザー、ロール、HRオブジェクト、および組織レベル全体のアクセスリスクについてシステムを評価できます。アクセスリスクとは、単一のユーザーまたは単一の役割、プロファイル、組織レベル、またはHRオブジェクトで利用可能な場合、エラーまたは不規則性の可能性を引き起こす2つ以上のアクションまたはアクセス許可です。
*軽減されたアクセス*セクションを使用して、アクセスリスクを特定し、それらのリスクのレベルを評価し、ユーザー、ロール、およびプロファイルに軽減制御を割り当てて、アクセスルール違反を軽減できます。
*アクセス要求管理*セクションでは、アクセス割り当て、アカウント、およびレビュープロセスを管理できます。
*ロール管理*を使用すると、単一の統合リポジトリで複数のシステムからロールを管理できます。
*ロールマイニング*グループ機能では、関心のあるロールを対象として分析し、アクションを実行できます。
*ロールの一括メンテナンス*を使用すると、複数のロールの承認と属性をインポートおよび変更できます。
*スーパーユーザーの割り当て*セクションでは、消防士IDを所有者に割り当て、消防士とコントローラーを消防士IDに割り当てることができます。
*スーパーユーザーメンテナンス*セクションでは、消防士とコントローラーの調査とメンテナンス、システムごとの理由コードの割り当てなどのアクティビティを実行できます。
*アクセス要求の作成*を使用して、アクセスの割り当てとアカウントを作成できます。
*コンプライアンス認定レビュー*は、ユーザーのアクセス、リスク違反、ロール割り当てのレビューをサポートします。
alerts を使用すると、重要なアクションまたは競合するアクションの実行用にアプリケーションで生成できます。
Rule Setup Work Centerの Scheduling セクションを使用すると、継続的な制御の監視と自動化されたテストのスケジュールを維持し、関連するジョブの進捗を追跡できます。

アクセスおよび認証管理

SAP GRCソリューションでは、許可オブジェクトを管理して、ユーザーがアクセスできるアイテムとデータを制限できます。承認は、SAPシステムの作業区とレポートに関してユーザーがアクセスできるものを制御します。

GRCソリューションにアクセスするには、次のアクセス権が必要です-

ポータル認証
該当するPFCGロール
アクセス制御、プロセス制御、リスク管理のためのPFCGの役割

GRCコンポーネント（AC、PC、およびRM）ごとに、以下にリストされている許可タイプが必要です。

Role Name	Typ	Description	Component
SAP_GRC_FN_BASE	PFCG	Basic role	PC, RM
SAP_GRAC_BASE	PFCG	Basic role(includes SAP_GRC_FN_BASE)	AC
SAP_GRC_NWBC	PFCG	Role to run GRC 10.0 in NWBC	AC, PC, RM
SAP_GRAC_NWBC	PFCG	Role to run simplified NWBC work centers for AC	AC
GRC_Suite	Portal	Portal role to run GRC in 10.0 in portal	AC, PC, RM
SAP_GRC_FN_BUSINESS_USER	PFCG	Common user role	AC^*, PC, RM
SAP_GRC_FN_ALL	PFCG	Power user role; bypasses entity-level authorization for PC and RM	PC, RM
SAP_GRAC_ALL	PFCG	Power user role	AC
SAP_GRC_FN_DISPLAY	PFCG	Display all user role	PC, RM
SAP_GRAC_DISPLAY_ALL	PFCG	Display all user role	AC
SAP_GRAC_SETUP	PFCG	Customizing role (used to maintain configuration in IMG)	AC
SAP_GRC_SPC_CUSTOMIZING	PFCG	Customizing role (used to maintain configuration in IMG)	PC
SAP_GRC_RM_CUSTOMIZING	PFCG	Customizing role (used to maintain configuration in IMG)	RM
SAP_GRAC_RISK_ANALYSIS	PFCG	The role grants the authority to run SoD jobs	AC, PC, RM

ポータルコンポーネントおよびNWBCでの承認

SAP GRC 10.0ソリューションでは、ワークセンターはポータルコンポーネントのPCDロールおよびNWBC（ NetWeaver Business Client ）のPFCGロールで定義されます。作業区は各基本役割で固定されています。ただし、SAPはこれらの役割を提供します。これらの役割は、要件ごとに顧客が変更できます。

サービスマップ内のアプリケーションフォルダおよび下位アプリケーションの場所は、SAP NetWeaver Launchpadアプリケーションによって制御されます。サービスマップはユーザー認証によって制御されるため、ユーザーがアプリケーションを表示するための認証を持っていない場合、NetWeaver Businessクライアントでは非表示になります。

ワークセンター

アクセス管理ワークセンターで役割の割り当てを確認する方法は？

以下の手順に従って、役割の割り当てを確認します-

ステップ1 *-NetWeaver Business Clientのアクセス管理ワークセンターに移動します。

ロールの割り当て

ステップ2 *-GRCロールの割り当ての下でビジネスプロセスを選択し、サブプロセスロールレベルに移動します。 [次へ]をクリックして、役割セクションの割り当てを続行します。

マスターデータワークセンターで役割の割り当てを確認する方法

ステップ1 *-マスタデータワークセンター→組織に移動します

マスターデータ

ステップ2 *-次のウィンドウで、リストから組織を選択し、[開く]をクリックします。

ステップ3 *-*注*組織の横にある三角形は下位組織があることを意味し、組織の横にあるドットは最下位レベルであることを意味します。

サブ組織

ステップ4 *-[サブプロセス]タブ→[サブプロセスの割り当て]をクリックします。ここで、1つまたは2つのサブプロセスを選択し、[次へ]をクリックします。

ステップ5 *-変更を加えずに、[コントロールの選択]ステップで[完了]をクリックします。

ステップ6 *-リストから最初のサブプロセスを選択し、[開く]をクリックします。サブプロセスの詳細が表示されます。

ステップ7 *-[役割]タブをクリックします。リストから役割を選択し、[割り当て]をクリックします。

ロールタブ

SAP GRC-認証

SAP GRC Access ControlはUMEロールを使用して、システム内のユーザー認証を制御します。管理者は、ユーザーがアクセス権を構築するために使用できるUMEロールの最小のエンティティを表すアクションを使用できます。

1つのUMEロールには、1つ以上のアプリケーションからのアクションを含めることができます。 * User Management Engine（UME）*でUMEロールをユーザーに割り当てる必要があります。

UMEでの承認

ユーザーが特定のタブにアクセスできない場合、ユーザーがそのタブにアクセスしようとしても、ユーザーのログオン時にそのタブは表示されません。タブのUMEアクションがその特定のユーザーに割り当てられると、そのユーザーのみがその機能にアクセスできるようになります。

CCタブで使用可能なすべての標準UMEアクションは、管理者ユーザー*の「割り当てられたアクション」*タブにあります。

UMEアクション

UMEロール

管理者ロールを作成し、このロールをスーパーユーザーに割り当てて、SAPコンプライアンスキャリブレーター関連のアクティビティを実行する必要があります。実装時にSAP GRCアクセス制御下で作成できるさまざまなCCロールがあります-

CC.ReportingView + 説明-コンプライアンスキャリブレーターの表示とレポート
CC.RuleMaintenance + 説明-コンプライアンスキャリブレータールールのメンテナンス
CC.MitMaintenance + 説明-Compliance Calibrator Mitigation Maintenance
CC.Administration + 説明-Compliance Calibrator Administration and Basis Configuration

User Maintenance Engineを開く方法は？

UMEを使用すると、アクセス制御の下でさまざまな主要なアクティビティを実行できます-

ユーザーとロールのメンテナンスを実行できます
ユーザーデータソースの構成に使用できます。
セキュリティ設定とパスワードルールを適用できます

UMEを開くには、次のURLを使用する必要があります-

*http：//<ホスト名>：<ポート>/useradmin*

Open Ume

SAP GRC-アクセス制御ランチパッド

SAP GRC 10.0では、アクセス制御ラウンチパッドを使用して、GRCアクセス制御の下で主要な機能を維持できます。これは、* Risk Analysis and Remediation（RAR）*に使用できる単一のWebページです。

GRCアクセス制御では、リスク分析と修復（RAR）機能を使用して、セキュリティ監査と職務分離（SoD）分析を実行できます。これは、以下の規制順守に関連するリスクと監査の問題を特定、分析、解決するために使用できるツールです。ここでは、次のことを共同で定義することもできます-

エンタープライズロール管理（ERM）
準拠ユーザープロビジョニング（CUP）
スーパーユーザー特権管理

マイホームタブ

NWBCで新しいLaunchpadを作成する

NWBCで新しいLaunchpadを作成するには、次の手順に従います-

ステップ1 *-PFCGロールに移動し、ロールSAP_GRAC_NWBCを開きます

ロールの表示

ステップ2 *-[マイホーム]アイテムを右クリックすると、呼び出されるアプリケーションが *grfn_service_map？WDCONFIGURATIONID = GRAC_FPM_AC_LPD_HOME であり、構成IDが GRAC_FPM_AC_LPD_HOME であることがわかります。

標準アプリケーション

ステップ3 *-*アプリケーション構成*ボタンを選択すると、アプリケーション構成画面→表示ボタンが表示されます。

表示ボタン

ステップ4 *-ディスプレイをクリックすると、この画面が表示されます-

アプリケーション構成

ステップ5 *-*コンポーネント構成*ボタンを開きます。

コンポーネント構成

ステップ6 *-この画面の *Configure UIBB ボタンをクリックします。次の画面に移動します-

コンポーネントの構成

ステップ7 *-マップするLaunchpadを選択できます。新しいLaunchpadを作成する場合は、新しい役割にマップすることもできます。

Select Launchpad

ステップ8 *-新しいランチパッドを作成するには、以下を定義します-

必要なメニュー項目を含む新しいランチパッドを作成します。
アプリケーション GRFN_SERVICE_MAP の新しい構成を作成するか、構成ID GRAC_FPM_AC_LPD_HOME をコピーしてさらにカスタマイズできます。
新しい構成で、関連付けるランチパッドを選択します。
新しいロールを作成し、前の手順で作成したカスタム構成IDを使用してwebdynproアプリケーション GRFN_SERVICE_MAP を追加します。

Web Dynproの追加

SAP GRC-アクセス制御との統合

SAP GRC 10.0ソリューションでは、マスターデータと組織構造がアクセス制御、プロセス制御、リスク管理で共有されます。 Process Controlは、リスク管理プロセスと特定の機能も共有しています。

以下は、アクセス制御と共有される主要な機能です-

アクセス制御とプロセス制御は、以下の領域でコンプライアンス構造を共有します-
プロセス制御ソリューションでは、SAP GRC 10.0ソリューションでのアクセス制御の緩和制御として制御が使用されます。
アクセス制御とプロセス制御は同じ組織を共有します。
プロセス制御では、プロセスはアクセス制御のビジネスプロセスとして使用されます。
プロセス制御とアクセス制御はアクセスリスク分析と統合され、職務分掌SoDを監視します。

プロセス制御とリスク管理の両方に共通のメニュー領域は-

GRCロールの割り当て
プロセス制御プランナー
リスク管理プランナー
中央代表団

メニュー領域

以下は、プロセス制御とリスク管理の間の主要な統合ポイントです-

新しい管理ポイントは、リスク管理のプロセス管理に使用できます。
新しいコントロールが提案されると、プロセスコントロールはリスク管理からの要求を評価する必要があります。
リスク管理は、プロセスコントロールの結果を使用して、新しいコントロールを評価します。
リスク管理は、プロセス管理の既存のコントロールをリスク管理の応答として使用することもできます。

SAP GRC-IAMとの統合

内部監査管理*では、リスク管理とプロセス制御からの情報を処理して、監査計画で使用できます。必要に応じて、監査提案を処理のために監査管理に転送し、監査項目を使用してレポートの問題を生成できます。 IAMは、完全な監査計画を実行し、監査項目を作成し、監査ユニバースを定義し、監査レポートと監査問題を作成および表示できる場所を提供します。

内部監査管理ワークセンター*は、以下の活動のための中心的な場所を提供します-

組織の監査ユニバースを定義する
監査リスク評価
監査コンプライアンスの手順を定義する監査計画
監査アクションからの監査問題
監査可能なエンティティにどのようなリスクがあるかを確認するための監査レポート

SAP GRC-監査ユニバース

監査ユニバースには、事業単位、事業部門、または部門として分類できる監査エンティティが含まれています。監査エンティティは、監査計画戦略を定義し、これらをプロセス制御およびリスク管理にリンクして、リスク、制御などを見つけることができます。

監査可能なエンティティを作成する

監査可能なエンティティを作成する方法を理解しましょう。

ステップ1 *-上部の */nwbc オプションに移動して、ワークセンターを開きます

上部のオプション

ステップ2 *-SAP NetWeaver Business Clientで、IAMワークセンターに移動します。

監査管理タブ

ステップ3 *-内部監査管理→監査ユニバースに移動します

ステップ4 *-*作成*ボタンをクリックして、*全般*タブに移動します。

ステップ5 *-監査可能エンティティの次の詳細を入力します-

Name
説明
Type
状態
追加情報を追加するためのメモ

ステップ6 *-*監査計画*タブに移動して、監査提案と転送日を含む監査計画提案を表示します。

ステップ7 *-[添付ファイルとリンク]タブを選択して、任意の種類のファイルまたはリンクを追加します。

ステップ8 *-必要な詳細を入力すると、次のオプションから選択できます-

[保存]を選択して、エンティティを保存します。
*閉じる*を選択して、保存せずに終了します。

SAP Process Control —リスク評価の監査

監査リスク評価は、組織がリスク評価を見つけ、リスク評価のランキングを確立するための基準を定義するために使用されます。各監査可能エンティティは、ARRの管理フィードバックごとに評価されます。あなたは、次の機能を実行するためにARRを使用することができます-

監査可能なエンティティとリスク要因のセットを見つけることができます。
各監査可能エンティティのリスク要因のリスクスコアを定義および評価します。
リスクスコアに従って、監査可能なエンティティを評価できます。
異なる監査可能エンティティのリスクスコアを比較することにより、ARRから監査計画を生成することもできます。これに加えて、高リスクスコアの監査対象エンティティを選択し、監査提案と監査計画提案を生成できます。

監査リスク評価を作成する

監査リスク評価を作成する手順を理解しましょう

ステップ1 *-SAP NetWeaver Business Clientで、IAMワークセンターに移動します。

監査管理タブ

ステップ2 *-内部監査管理→監査リスク評価→作成に移動します

ステップ3 *-[全般]タブで、次の詳細を入力します-

Name
説明
から有効
に有効
担当者
状態

ステップ4 *-監査可能なエンティティに移動し、*追加*ボタンをクリックして、監査可能なエンティティから選択します。

ステップ5 *-*リスク要因*タブに移動し、 *ARR リスク要因を選択します。 *追加*を選択してリスク要因を追加→OK。

ステップ6 *-*リスクスコア*タブに移動し、エンティティを選択し、リスクファクターテーブルでリスクスコアを入力します。 [計算]ボタンをクリックして、平均スコアを表示します。 [リスクレベルとリスク優先度]列に移動して、詳細を入力します。

[監査計画の提案]タブに移動して、監査計画の提案を作成していることを確認します。エクスポートを選択してExcelスプレッドシートを作成し、ARRの情報を表形式で表示します。

[保存]ボタンを選択して、監査可能なエンティティの監査リスク評価を保存します。

プロセス制御ワークセンター

ワークセンターは、GRC機能全体の中央アクセスポイントを提供します。これらは、アプリケーションアクティビティへの簡単なアクセスを提供するように編成されており、メニューグループとさらなるアクティビティへのリンクが含まれています。

次のワークセンターは、アクセス制御、プロセス制御、およびリスク管理によって共有されます-

私の家
マスターデータ
ルール設定
評価
アクセス管理
レポートと分析

主要な作業場について説明しましょう。

私の家

私のホームワークセンターは、プロセスコントロール、リスク管理、およびアクセスコントロールによって共有されます。これにより、GRCアプリケーションで割り当てられたタスクとアクセス可能なオブジェクトを管理できる集中管理された場所が提供されます。私の家にはいくつかのセクションがあります。ここで、Work Inboxセクションを理解しましょう-

仕事用受信トレイ

Work Inboxを使用すると、GRCソフトウェアで処理する必要があるタスクを表示できます。

作業項目

タスクを処理する場合は、表のタスクをクリックします。

タスクを処理できるワークフローウィンドウが開きます。

マスターデータ

マスターデータワークセンターは、プロセス制御、リスク管理、およびアクセス制御によって共有されます。プロセス制御マスターデータワークセンターには、次のセクションが含まれています-

組織
規制とポリシー
目的
アクティビティとプロセス
リスクと対応
アカウント
レポート

ここで、マスターデータワークセンターの下で主要なワークセンターについて説明します。

組織-コンプライアンスおよびリスク管理のために、関連する割り当てで会社の組織構造を維持する

軽減コントロール-義務の分離、重要なアクション、および重要なアクセス許可の違反を軽減するためのコントロールを維持します

コントロールの緩和

軽減制御を作成するには、[作成]ボタンをクリックします。

軽減制御の作成

新しいウィンドウに移動し、緩和制御の詳細を入力して、[保存]ボタンをクリックします。

添付リンク

レポートと分析

レポートおよび分析ワークセンターは、プロセス制御、リスク管理、およびアクセス制御によって共有されます。 Process Control Reports and Analytics Work Centerは、GRCアプリケーションのコンプライアンスセクションで構成されています。

コンプライアンスセクションでは、プロセスコントロールの下で次のレポートを作成できます-

評価ステータスダッシュボード

さまざまなビジネスエンティティ全体の企業コンプライアンスの全体的なステータスの概要を示し、さまざまなレベルとディメンションのデータを表示するための分析機能とドリルダウン機能を提供します。

調査結果

調査の結果を表示します。

データシート

サブプロセスおよびコントロールのマスターデータ、評価、修復アクティビティに関する包括的な情報を提供します。

データシート機能を使用する次の役割-

内部監査員-彼らはデータシートを使用して、GRCの下で組織内のコントロールとサブプロセスの図を取得できます。
プロセス所有者-GRCアプリケーションでは、プロセス所有者とコントロール所有者はデータシートを要求して、サブプロセスの概要を取得できます。データシート情報は、サブプロセスの定義、サブプロセスで完了した評価、サブプロセスに含まれるコントロール、およびこれらのコントロールで行われた評価とテストを提供します。
コントロールの所有者-コントロールの所有者は、データシートを使用してコントロールの設計を確認できます。コントロールの所有者は、コントロールを評価して、コントロールとその有効性を確認できます。
外部監査員-データシートは外部監査員が使用できます。これは、コントロールまたはサブプロセスを調査するために情報を要求するために使用できます。

注-アクセス管理、評価、ルール設定などの他のワークセンターも、プロセス制御、アクセス制御、およびリスク管理によって共有されます。

プロセス制御アクセス管理ワークセンターには、GRCロールの割り当てセクションがあります。

SAP GRC-SoDリスク管理

すべてのビジネスにおいて、義務の分離（SoD）リスク管理を実行する必要があります-リスクの認識からルール構築の検証、および継続的なコンプライアンスに従うためのその他のさまざまなリスク管理活動まで。

さまざまな役割ごとに、GRCシステムで職務分掌を実行する必要があります。 SAP GRCは、SoDリスク管理の下でさまざまな役割と責任を定義します-

ビジネスプロセスの所有者

ビジネスプロセスの所有者は、次のタスクを実行します-

監視のためのリスクの特定とリスクの承認
ユーザーアクセスを含む修復を承認する
競合を緩和する設計管理
アクセスの割り当てまたは役割の変更を伝える
積極的な継続的コンプライアンスの実行

上級役員

上級役員は、次のタスクを実行します-

事業領域間のリスクを承認または拒否する
選択したリスクの緩和管理を承認する

セキュリティ管理者

セキュリティ管理者は、次のタスクを実行します-

GRCツールとセキュリティプロセスの所有権を引き受ける
リスク条件を識別するためのルールを設計および維持します
GRCロールをカスタマイズしてロールと責任を実施する
役割レベルでのSoD競合の分析と修正

監査役

監査員は次のタスクを実行します-

定期的なリスク評価
監査目的で特定の要件を提供する
規則と緩和制御の定期的なテスト
外部監査人間の連絡役として行動する

SoDルールキーパー

SoDルールキーパーは、次のタスクを実行します-

GRCツールの構成と管理
ルールの制御を維持して、整合性を確保します
基盤とGRCサポートセンターとの連絡役を務める

SAP GRC-リスク管理

GRCのSAPリスク管理は、企業が効率を最適化し、有効性を高め、リスクイニシアチブ全体の可視性を最大化できるように、エンタープライズパフォーマンスのリスク調整管理を管理するために使用されます。

以下は、リスク管理の下の*キー機能*です-

リスク管理は、トップリスク、関連するしきい値、およびリスク軽減に向けた組織の調整に重点を置いています。
リスク分析には、定性および定量分析の実行が含まれます。
リスク管理には、組織の主要なリスクの特定が含まれます。
リスク管理には、リスクの解決/修復戦略も含まれます。
リスク管理は、すべてのビジネス機能にわたって主要なリスクとパフォーマンスの指標の調整を実行し、早期のリスク識別と動的なリスク軽減を可能にします。

リスク管理には、既存のビジネスプロセスと戦略のプロアクティブな監視も含まれます。

リスク管理のフェーズ

次に、リスク管理のさまざまな段階について説明します。以下は、リスク管理のさまざまな段階です-

リスク認識
ルールの構築と検証
分析
修復
緩和
継続的なコンプライアンス

リスク認識

リスク管理下のリスク認識プロセスでは、次の手順を実行できます-

認可リスクを特定し、例外を承認する
リスクを高、中、低に分類して分類する
将来の監視のための新しいリスクと条件を特定する

ルールの構築と検証

ルールの構築と検証で次のタスクを実行します-

環境のベストプラクティスルールを参照する
ルールを検証する
ルールをカスタマイズしてテストする
テストユーザーおよびロールケースに対して検証する

分析

分析の下で次のタスクを実行します-

分析レポートを実行する
クリーンアップ作業の見積もり
役割とユーザーを分析する
分析に基づいてルールを変更する
アラートを設定して、実行されたリスクを区別します

管理の観点から、重大度と時間でグループ化されたリスク違反のコンパクトなビューを見ることができます。

ステップ1 *-Virsa Compliance Calibrator→Informerタブに移動します

ステップ2 *-SoD違反の場合、円グラフと棒グラフを表示して、システムランドスケープの現在および過去の違反を表すことができます。

以下は、これらの違反に対する2つの異なる見解です-

リスクレベル別の違反
プロセスごとの違反

リスク違反

違反プロセス

修復

修復の下で次のタスクを実行します-

リスクを排除するための代替案を決定する
分析の提示と是正措置の選択
是正措置の承認を文書化する
役割またはユーザーの割り当てを変更または作成する

緩和

緩和策の下で次のタスクを実行します-

リスクを軽減するための代替管理策を決定する
紛争の承認と監視に関する管理者の教育
軽減制御を監視するプロセスを文書化する
コントロールを実装する

継続的なコンプライアンス

継続的コンプライアンスの下で次のタスクを実行します-

役割とユーザーの割り当ての変更を通知する
役割とユーザーの変更をシミュレートする
アラートを実装して、選択したリスクを監視し、制御テストを軽減します

リスク分類

リスクは、会社のポリシーに従って分類する必要があります。以下は、リスク優先度と会社のポリシーごとに定義できるさまざまなリスク分類です-

クリティカル

重要な分類は、詐欺やシステムの混乱によって危険にさらされる可能性が非常に高い企業の重要な資産を含むリスクに対して行われます。

High

これには、物理的または金銭的な損失、または詐欺、資産の損失、またはシステムの障害を含むシステム全体の混乱が含まれます。

中

これには、システム内のマスターデータの上書きなど、複数のシステムの中断が含まれます。

Low

これには、詐欺やシステムの中断や損失によって損なわれる生産性の損失やシステム障害が最小限に抑えられるリスクが含まれます。

SAP GRC-リスク修復

SAP GRC 10.0リスク管理では、リスク修復フェーズが役割のリスクを排除する方法を決定します。修復フェーズの目的は、リスク管理下の問題を解消するための代替案を決定することです。

役割の問題を解決するには、次のアプローチをお勧めします-

単一の役割

開始するのが簡単で最も簡単な方法であるため、単一のロールから開始できます。
職務分掌SoD違反が再導入されていないかどうかを確認できます。

複合ロール

さまざまな分析を実行して、ユーザーアクションの割り当てまたは削除に関するユーザー割り当てを確認できます。
前のトピックで説明したように、分析には管理ビューまたはリスク分析レポートを使用できます。

リスク違反

違反プロセス

リスク修復では、セキュリティ管理者が計画を文書化し、ビジネスプロセスの所有者が関与して計画を承認する必要があります。

SAP GRC —レポートタイプ

必要な分析に従って、さまざまなリスク分析レポートを生成できます-

アクションレベル-アクションレベルでSoD分析を実行するために使用できます。
許可レベル-アクションおよび許可レベルでSoD分析を実行するために使用できます。
クリティカルアクション-これは、重要な機能のいずれかにアクセスできるユーザーを分析するために使用できます。
重要な権限-これは、1つの重要な機能にアクセスできるユーザーを分析するために使用できます。
重要な役割/プロファイル-これは、重要な役割またはプロファイルにアクセスできるユーザーを分析するために使用できます。

SAP GRC-軽減コントロール

SAP GRC 10.0では、ビジネスプロセスから職務分掌SoDを分離できない場合に軽減コントロールを使用できます。

例

組織では、SoD競合の欠落を引き起こすビジネスプロセス内の役割を担当するシナリオを検討してください。

緩和制御に可能なさまざまな例があります-

リリース戦略と承認制限
ユーザーログのレビュー
例外レポートのレビュー
詳細な分散分析
セキュリティインシデントの影響をカバーする保険を確立する

軽減制御タイプ

SAP GRCリスク管理には、2種類の緩和制御があります-

予防的
探偵

予防緩和コントロール

予防緩和制御は、実際に発生する前にリスクの影響を軽減するために使用されます。予防緩和制御の下で実行できるさまざまなアクティビティがあります-

設定
ユーザー出口
セキュリティ
ワークフローを定義する
カスタムオブジェクト

探偵による緩和策

アラートが受信され、リスクが発生した場合、探偵緩和制御が使用されます。この場合、是正措置を開始する責任者がリスクを軽減します。

あなたは探偵緩和制御の下で実行できるさまざまな活動があります-

活動報告
計画と実際のレビューの比較
予算レビュー
アラート

移行コントロールの設定

移行コントロールを設定するには、次の手順に従ってください-

ステップ1 *-SAP GRCアクセス制御にログインします。

レポートと分析

リスク分析レポートへのアクセス

ステップ2 *-ユーザーレベルでリスク分析を実行します。以下の詳細を入力します-

レポートタイプ
レポート形式

ステップ3 *-実行をクリックします

リスク分析ユーザーレベル

ステップ4 *-次のスクリーンショットのように、異なるレポートタイプを切り替えることができます-

分析結果

結果

ステップ5 *-SAP GRC Access Controlにログオンし、役割レベルでリスク分析バックグラウンドジョブをスケジュールします。

次の詳細を入力します-

レポートタイプ-許可レベル
レポート形式-概要

ステップ6 *-次のスクリーンショットに示すように、*バックグラウンドで実行*をクリックします-

バックグラウンドで実行

ステップ7 *-次のウィンドウで、*すぐに開始*を選択できます。次に、[OK]をクリックします。

バックグラウンドスケジューラ

SAP GRC-スーパーユーザー特権

SAP GRC 10.0では、スーパーユーザー特権管理を組織に実装して、現在の緊急ユーザーアプローチで会社が経験する過剰な承認とリスクを排除する必要があります。

以下は、スーパーユーザー特権の主要な機能です-

スーパーユーザーが制御され監査可能な環境内で緊急アクティビティを実行できるようにすることができます
スーパーユーザーを使用すると、より高い承認特権にアクセスするすべてのユーザーアクティビティをレポートできます。
監査証跡を生成できます。これを使用して、より高いアクセス権限を使用する理由を文書化できます。
この監査証跡は、SOXコンプライアンスに使用できます。
スーパーユーザーは消防士として行動し、次の追加機能を持つことができます-
緊急事態で通常の役割またはプロファイル以外のタスクを実行するために使用できます。
特定の個人（所有者）のみが消防士IDを割り当てることができます。
使用状況を監視および記録するための監査層を作成しながら、ユーザーに拡張機能を提供します。

スーパーユーザー権限管理下の標準ロール

スーパーユーザー権限管理には次の標準ロールを使用できます-

====/VIRSA/Z_VFAT_ADMINISTRATOR

これには消防士を設定する機能があります
消防士の役割の所有者とコントローラーを消防士IDに割り当てる
レポートを実行する

====/VIRSA/Z_VFAT_ID_OWNER

Firefighter IDをFirefighterユーザーに割り当てる
消防士の履歴ログをアップロード、ダウンロード、表示する

VIRSA/Z_VFAT_FIREFIGHTER

消防士プログラムにアクセスする

SAP GRC-スーパーユーザーの実装

スーパーユーザーの実装方法を理解しましょう。

あなたは、次の手順に取り組むことにより、消防士のIDを実装することができます-

ステップ1 *-各ビジネスプロセスエリアの消防士IDを作成する

ステップ2 *-消防作業を行うために必要な役割とプロファイルを割り当てます。

プロファイルSAP_ALLを割り当てないでください

ステップ3 *-Tコードの使用– SU01

コード

ステップ4 *-*作成*ボタンをクリックして、新しいユーザーを作成します。

新しいユーザー

ステップ5 *-上記の消防士の役割をユーザーIDに割り当てます-

該当するユーザーIDにFirefighterの役割を割り当てます。
管理者ロール/VIRSA/Z_VFAT_ADMINISTRATORをスーパーユーザー特権管理管理者に割り当てます。
管理者ユーザーには消防活動を割り当てないでください
標準ロール/VIRSA/Z_VFAT_FIREFIGHTERを-に割り当てます
*消防士ID *-ログオンに使用されるサービスユーザー
消防士ユーザー-ケースで消防士として行動する標準ユーザー
ID所有者の役割/VIRSA/Z_VFAT_ID_OWNERを-に割り当てます
所有者-誰に割り当てられるかを決定する責任
コントローラー-消防士IDが使用されている事業領域の緊急消防士IDの責任である場合に通知を受け取ります。

ステップ6 *-*ロール*タブに移動し、要件に従って上記のロールを選択します。

ユーザー役割タブ

単一の役割

ステップ7 *-消防士IDへの内部切り替えのためのRFC宛先の作成-

名前-RFC接続名を入力
接続タイプ-3
説明を入力してください +（ユーザー名、パスワード、またはその他のログオンデータは不要です）
[セキュリティ]テーブルに各Firefighter IDのパスワードを入力します。パスワードはハッシュ値として保存され、管理者が値を保存すると読み取り不能になります。

ステップ8 *-消防士のログを作成するために、バックグラウンドジョブをスケジュールできます。

次のスクリーンショットのように、ジョブに /VIRSA/ZVFATBAK という名前を付けます-

ジョブ名

スーパーユーザーログ

スーパーユーザーログのこれらの手順を理解しましょう。

ステップ1 *-Tコードの使用-トランザクション-/n/VIRSA/ZVFAT_V01

スーパーユーザーログ

ステップ2 *-ツールボックス領域でログを見つけることができます。ツールボックス領域

ステップ3 *-*トランザクションコード— SM37 *を使用して、個々のユーザーのログを確認できます。

ログレビュー

Web GUIを使用して、すべての消防士情報にアクセスすることもできます。 SAP GRCアクセス制御→スーパーユーザー特権管理に移動します。

したがって、異なるSAPバックエンドシステム上の異なるFirefighterインストールのデータにアクセスすることが可能です。そして、各システムにログオンする必要はもうありません。

ログレポート

SAP GRC-強化されたリスク分析

組織ルールを使用して、強化されたリスク分析を実装できます。共有サービスビジネスユニットでは、組織ルールを使用して、リスク分析とユーザーグループの管理の手順を実現できます。

ユーザーが架空のベンダーを作成し、金銭的な利益を得るために請求書が生成された場合を考えます。

このシナリオを排除するために、会社コードを有効にして組織ルールを作成できます。

この状況を防ぐために、次の手順を実行する必要があります-

機能で組織レベルのフィールドを有効にする
組織ルールを作成する
組織のユーザーマッピングテーブルを更新する
リスク分析Webサービスを構成する

機能で組織レベルのフィールドを有効にする

機能で組織レベルのフィールドを有効にするには、次の手順に従います-

共有サービス環境で組織レベルで分離される機能を見つけます。
影響を受けるトランザクションの権限を維持します。

組織ルールを作成する

組織ルールを作成するには、次の手順に従います-

ステップ1 *-組織フィールドのすべての可能な値に対して組織ルールを作成します。

ステップ2 *-ルールアーキテクト→組織レベル→作成に移動します

組織ルール

組織レベルの作成

ステップ3 *-組織ルールIDフィールドを入力します。

組織ルールID

ステップ4 *-関連タスクを入力します。

ステップ5 *-組織レベルのフィールドを定義し、それらをブール演算子と組み合わせます。

ステップ6 *-[保存]ボタンをクリックして組織ルールを保存します。

組織ルールを使用する利点

ここで、組織ルールを使用する利点を理解しましょう。

あなたは次の機能を実装するために企業の組織ルールを使用することができます-

組織ルールを使用して、共有サービスを実装できます。彼らは組織の制限の助けを借りて職務を分離します。
リスク分析→組織レベルに移動します
ユーザーに対して分析タイプ組織ルールのリスク分析を実行する
次の出力が表示されます-
ユーザーが競合する各機能で同じ特定の会社コードにアクセスできる場合にのみ、リスク分析はリスクを表示します。

SAP GRC-緩和制御の割り当て

組織では、さまざまな組織階層レベルで制御所有者がいます。アクセスレベルごとにリスクを管理し、軽減する必要があります。

以下は、組織内のコントロールの所有者です-

グローバルレベルのコントロール所有者1人
地域レベルの異なる管理者
ローカルレベルの複数のコントロール所有者

緩和制御をさまざまなレベルの責任に割り当てる必要があります。ここで、地域および地域レベルでリスク違反が発生した場合、最高レベルでリスク軽減を実行する必要があります。

組織階層で軽減制御を使用するには、組織レベルでリスク分析を実行し、ユーザーがすべての子組織ルールに違反し、親ルールの条件を満たし、親ルールのみが表示されたとします。次の方法でリスク軽減を実行できます-

ユーザーレベルでの軽減
組織レベルでの緩和

SAP GRC-ワークフロー統合

SAO GRC 10.0では、次の状況でワークフローがトリガーされます-

リスクを作成または更新します。
緩和制御を作成または更新します。
緩和制御を割り当てる。

緩和制御の割り当て

ワークフローベースのリスクを有効にし、メンテナンスを管理する

リスク分析と修復でワークフローベースの変更管理アプローチに従うと、次の手順を実行する必要があります-

[構成]タブに移動→ワークフローオプション
以下のパラメータを設定します-
パラメーターRisk MaintenanceをYESに設定します
パラメーターMitigation Control MaintenanceをYESに設定します
パラメーター軽減をYESに設定します
ワークフローWebサービスのURLを設定します-

http://<server>:<port>/AEWFRequestSubmissionService_5_2/Config1?wsdl&style=document

ワークフローをカスタマイズするには、ワークフローエンジン内で実行する必要があります。

ワークフローベースのリスクと管理のメンテナンス

あなたがリスクを維持するか、コントロールがSAP GRCにある場合、次の手順を実行します-

ステップ1 *-アクセス制御で、リスクまたは制御ワークフローを実行するためにワークフローがトリガーされます。

ステップ2 *-必要な承認を得るとき、承認ステップは顧客の要件に依存します。

ステップ3 *-承認プロセス全体を文書化した監査証跡を取得します。

SAP GRC —グローバルトレードサービス

SAP GRC Global Trade Servicesを使用すると、組織内の国境を越えた商品のサプライチェーンを改善できます。このアプリケーションを使用すると、取引プロセスを自動化することができ、コストを管理し、罰則のリスクを軽減し、インバウンドおよびアウトバウンドのプロセスを管理することができます。

GTSを使用すると、すべてのコンプライアンスマスタデータとコンテンツを含めるために使用される*単一リポジトリの集中管理*を作成できます。

グローバルトレードサービスを使用する主な利点は次のとおりです-