ITガバナンス・内部統制・リスク評価重要度:★★★出題: AM2・PM1・PM2

職務の分離（SoD）と代替統制

しょくむのぶんり / Segregation of Duties (SoD) and Compensating Controls

不正や誤謬を防ぐため、業務上の「申請と承認」「発注と検収」「システム開発と本番運用」「システム管理とログ監査」などの相容れない職務を異なる担当者・部門に分離する統制です。

3行速習ポイント

不正や誤謬を防ぐため、業務上の「申請と承認」「発注と検収」「システム開発と本番運用」「システム管理とログ監査」などの相容れない職務を異なる担当者・部門に分離する統制です。
少人数組織やDevOps環境で厳格な職務分離が困難な場合は、第三者への自動通知や全件ログ査閲などの「代替統制（補完統制）」を組み込みます。
試験対策：午後Iで毎年のように問われる最重要コントロールです（令和7年問2のシステム管理者1名体制、令和6年問1のDevOps環境、平成29年問1の棚卸差異修正など）。

図解

図原則的な職務の分離（SoD）と少人数・DevOps環境における代替統制の対比方式・特性の対比

相容れない職務の分離原則と、分離困難時に求められる補完コントロール

⚖️ 対比軸：［予防的分離］原則的統制：職務の分離（SoD）VS［補完・発見的統制］代替統制（Compensating Control）

原則的統制：職務の分離（SoD）予防的分離

担当者の分離とシステム権限の遮断による予防的牽制

①開発者と本番運用者、②申請者と承認者、③システム管理者とログ監査者を別人に割り当て、本番環境への常時アクセス権を開発者から剥奪して不正を予防する。

代替統制（Compensating Control）補完・発見的統制

少人数体制・DevOps等で分離できない場合の事後検知・牽制強化

作業時のみ期限付きで特権を付与する申請承認制御、CI/CDパイプライン設定変更時のスクラムマスター・責任者への自動アラート通知、および改ざん不能ログの全件事後突合を行う。

💡 午後I令和6年問1（DevOps監査）や令和7年問2（S氏1名体制の牽制不全）のように、「職務分離ができない理由」と「それを補う技術的・組織的代替統制」はセットで押さえます。

概要と本質

不正や誤謬を防ぐため、業務上の「申請と承認」「発注と検収」「システム開発と本番運用」「システム管理とログ監査」などの相容れない職務を異なる担当者・部門に分離する統制です。少人数組織やDevOps環境で厳格な職務分離が困難な場合は、第三者への自動通知や全件ログ査閲などの「代替統制（補完統制）」を組み込みます。

重要ポイント・コア概念

開発担当者と本番環境運用担当者、データ入力担当者と承認責任者、特権作業実施者と操作ログ点検者の厳格な分離（アクセス権限による技術的強制）
要員制約やDevOps等で分離できない場合における、一時的権限昇格（特権貸出ワークフロー）、CI/CD自動通知、および独立した上長・他部署による全件事後ログレビュー（代替統制）
定量的効果・監査目標例：DevOps環境において本番デプロイの自動通知と変更管理チケットの全件自動突合（代替統制）を導入し、未承認リリースの発生件数を0件に統制