勘定奉行クラウドの権限設計を間違えると「地獄」を見る！監査対応・属人化・不正リスクを根絶する「究極の分離術」

日本企業の会計実務において、ERP（Enterprise Resource Planning）の選定と同じか、それ以上に重要となるのが「権限設計」です。特に、株式会社オービックビジネスコンサルタント（OBC）が提供する「勘定奉行クラウド」は、中堅企業から上場準備企業まで幅広く利用されており、その権限設定の成否が、内部統制（J-SOX）の有効性や監査法人との信頼関係に直結します。

不適切な権限設計は、単なる利便性の低下に留まりません。データの改ざん、意図しない決算値の書き換え、さらには退職者による機密情報の持ち出しといった「経営リスク」を顕在化させます。本稿では、勘定奉行クラウドにおける「最小権限の原則」を軸に、実務でそのまま活用できる権限マトリクス、プラン別の物理的制約、そして異常系を想定したリスク管理までを、15,000文字規模の圧倒的な情報密度で徹底解説します。

1. 勘定奉行クラウドの権限構造：プラン別・ライセンス別の物理的制約

権限設計の第一歩は、現在利用している「プラン」で何がどこまで制限できるのかを把握することです。勘定奉行クラウドには、企業の成長フェーズや管理レベルに応じた3つの主要グレード（iA/iB/iS）が存在します。

多くの企業が「まずは安価なプランから」とiAプランを導入しますが、上場準備や内部統制の強化が必要になった段階で、権限設定の粒度が不足し、上位プランへの移行を余儀なくされるケースが後を絶ちません。

1-1. プラン別スペック比較表

出典：勘定奉行クラウド 料金・価格プラン — 株式会社オービックビジネスコンサルタント

1-2. ライセンス形態とユーザー管理の考え方

勘定奉行クラウドでは、「OBC ID」という認証基盤を用いてユーザーを管理します。ここで重要なのは、「1人1ID」の原則です。コスト削減のために共通アカウント（例：keiri_user）を使い回す行為は、以下のリスクを招きます。

• 監査証跡の喪失： 「誰が」その仕訳を修正したのか特定できず、監査法人から「統制上の重大な欠陥」と指摘される。
• パスワード管理の形骸化： パスワードが共有されることで、退職者が自宅からアクセスし続けるリスクが発生する。
• 同時ログイン制限： ライセンス数に応じた同時接続制限により、日常業務が滞る。

アカウント管理の自動化については、以下の記事でも解説しています。

内部リンク：SaaS増えすぎ問題と退職者のアカウント削除漏れを防ぐ。Entra ID・Okta・ジョーシスを活用した自動化アーキテクチャ

2. 【実務直結】役割別の権限設定マトリクス（標準モデル）

職務分掌（SoD）をシステム上で再現するための、具体的な権限設定表です。自社の組織図に合わせて調整してください。

2-1. 権限マトリクス一覧表

2-2. 各ロールの設計意図と制限の詳細

① 経理マネージャー（統括承認者）

最終的な「決算値」に責任を持つ立場です。仕訳の承認権限を持ちますが、あえて「ユーザー管理」や「システム設定」の権限は持たせないことが推奨されます（IT全般統制の観点）。もしマネージャーがユーザー権限も変更できる場合、自分で自分に全権限を付与して不正を行うことが可能になってしまうためです。

② 経理一般担当者（起票者）

日々の取引を「起票」する役割です。入力したデータは「承認待ち」ステータスとなり、上長（マネージャー）の承認を経て初めて元帳に反映されるように設定します。また、一度承認された仕訳は、担当者自身では修正・削除できないようにロックをかける運用が鉄則です。

③ 外部監査人・税理士（照会専用）

閲覧（ReadOnly）権限のみを付与します。CSV出力権限については、データ持ち出しリスクを考慮し、原則「不可」とするか、特定の監査期間中のみ一時的に「可」にするなど、厳格な運用が求められます。

サマンサタバサジャパンリミテッドの事例では、監査法人に直接の閲覧権限を付与することで、紙の資料準備やデータ送付の手間を削減し、リモート監査体制を構築しています。

出典：サマンサタバサジャパンリミテッド 導入事例 — OBC公式サイト

3. 権限設計を失敗しないための10ステップ導入手順

場当たり的に設定を始めると、必ず「メニューが足りない」「この操作ができない」という問い合わせが現場から殺到します。以下の順序で論理的に構築してください。

ステップ1：現行業務の棚卸しと可視化

まずはシステムを触る前に、Excel等で「誰が」「何の業務を行い」「何の帳票が必要か」を整理します。この際、現在の紙ベースのフローに囚われず、クラウド化による「デジタル承認」への移行を前提に設計します。

ステップ2：職務分掌（SoD）方針の策定

「入力者と承認者を分ける」「マスタ登録者と仕訳入力を分ける」といった、社内の統制ルールを明文化します。少人数の経理組織であっても、代表者や他部門の責任者を承認者に組み込むなどの工夫が必要です。

ステップ3：iB以上のプラン選定とライセンス確保

詳細なメニュー制限が必要な場合、前述の通りiBまたはiSプランを選択します。上場準備企業であれば、迷わずiSプランを選択すべきです。

ステップ4：権限グループ（プロファイル）の定義

個々のユーザーに設定を行うのではなく、まずは「役割（グループ）」を作成します。

• 「仕訳入力グループ」
• 「マスタ管理グループ」
• 「監査参照グループ」

ステップ5：メニュー制御の徹底（ホワイトリスト方式）

「見せてはいけないもの」を隠すのではなく、「必要なものだけ」を表示させる設計にします。勘定奉行クラウドの「機能制限設定」で、不要なメニューをすべて「非表示（または不可）」にします。

ステップ6：CSV出力・連携権限の絞り込み

名簿や取引先情報、財務データのCSV出力は、情報漏洩の最大ルートです。必要不可欠なユーザー以外は「不可」に設定します。

ステップ7：サンドボックス（テスト環境）での検証

本番環境に反映する前に、テスト用のIDを作成し、意図した通りの制限がかかっているか実地確認します。特に「参照のみ」のはずが「削除」ボタンが押せないか、入念にチェックしてください。

ステップ8：管理者権限（管理者ID）の隔離

日常業務で「管理者権限」を使用するのは極めて危険です。管理者用IDは金庫管理するレベルで厳重に扱い、普段は一般権限のIDを使用する「特権ID管理」の考え方を導入します。

ステップ9：操作マニュアルの配布と教育

権限を絞ると、現場からは「今までできていたことができない」という不満が出ます。「なぜ制限が必要なのか（内部統制のため）」という背景とともに、新しい操作手順を教育します。

ステップ10：定期的な権限棚卸しルールの決定

人事異動や退職に合わせて、四半期に一度は「現在のユーザー一覧と権限」をシステム管理者と経理責任者でレビューするフローを確立します。

4. 異常系シナリオ：権限設計が甘いと何が起きるのか

ハッピーパス（正常な業務フロー）だけでなく、トラブル発生時（異常系）を想定することが実務者の責務です。

シナリオA：承認済み仕訳の勝手な修正（二重計上・改ざん）

【事象】 入力担当者が、一度承認された前月分の仕訳を修正し、金額を書き換えてしまった。

【原因】 承認済みデータの「ロック機能」を有効にしていない、または担当者に「修正権限」が残ったままだった。

【対策】 勘定奉行クラウドの「締め処理」機能を活用し、承認済み期間のデータ入力を物理的に遮断します。

シナリオB：マスタ改ざんによる架空発注

【事象】 経理担当者が、知人の個人口座を「新しい取引先マスタ」として登録し、架空の仕訳を起票して送金した。

【原因】 仕訳入力者とマスタ登録者が同一人物だった（職務分掌の欠如）。

【対策】 マスタ登録メニューを、仕訳入力者から完全に剥奪します。

シナリオC：退職者による全仕訳データの持ち出し

【事象】 退職予定の担当者が、腹いせに過去5年分の全仕訳データをCSVで出力し、持ち出した。

【原因】 CSV出力権限を「全担当者」に付与していた。

【対策】 CSV出力は「承認者」のみに限定し、出力時には必ず「ログ」を確認する運用にします。

関連記事：【完全版】「とりあえず電帳法対応」で導入したシステムが経理を殺す。Bill One等の受取SaaSと会計ソフトの正しい責務分解

5. 監査対応を自動化する「証跡管理」とログ運用の極意

監査法人が最も嫌うのは「システム外での処理」です。勘定奉行クラウドのログ機能を最大限に活用することで、監査対応の工数を劇的に削減できます。

5-1. 追跡すべき主要なログ項目

5-2. 監査法人への「権限説明書」の作り方

期末監査の際、監査人から「現在の権限設定がどうなっているか説明してください」と求められます。この時、奉行の画面を見せるだけでなく、以下の資料を提示できるようにしておくと評価が高まります。

1. ユーザー権限設定一覧： 奉行の管理画面から出力できるユーザー別権限レポート。
2. 職務分掌マトリクス（社内規程）： 誰に何を許可するかという社内ルール（本稿2節の表をベースに作成）。
3. 承認フロー図： 入力から承認、決算確定までのワークフロー。

6. よくある誤解と正しい理解（FAQ 10選）

勘定奉行クラウドの運用現場でよく聞かれる疑問に、専門的な視点から回答します。

Q1. 「システム管理者」と「経理マネージャー」は兼務しても良いですか？

A. 可能な限り分離してください。
小規模企業では兼務せざるを得ないケースもありますが、上場準備企業では「IT全般統制」の観点から、システム操作権限（ユーザー追加等）と、ビジネス承認権限（仕訳承認等）を分離することが強く求められます。

Q2. 顧問税理士に「修正権限」を与えても問題ないでしょうか？

A. 原則として「閲覧のみ」を推奨します。
税理士が直接データを修正すると、社内の承認プロセスを迂回することになります。修正が必要な場合は、社内の担当者が起票し、それを上長が承認するフローを維持すべきです。

Q3. 特定の「部門」のデータだけを見せることはできますか？

A. はい、可能です。
iB/iSプランでは「部門権限」を設定できます。営業部門の責任者に、自部門の経費実績だけを照会させる、といった運用が可能です。

Q4. 間違えて管理者のパスワードを忘れてしまいました。再発行は？

A. 別の管理者IDがある場合はそこからリセット可能です。
唯一の管理者IDでログインできなくなった場合は、OBCのサポートセンターを通じた本人確認手続きが必要になります。リスク分散のため、管理者は最低2名は設定しておくのが実務上の定石です。

Q5. 複数の法人（グループ会社）がある場合、一括で権限設定できますか？

A. マルチ法人対応版であれば可能です。
法人を切り替えてログインする場合、法人ごとに権限グループを割り当てる必要がありますが、テンプレート化して配布する機能も備わっています。

Q6. 「承認」された仕訳は、削除するとログに残りますか？

A. はい、残ります。
誰が削除したか、削除前の金額はいくらだったかが記録されます。ただし、物理削除（完全に消去）する権限は、極めて限定的なユーザーにのみ付与すべきです。

Q7. 社外からのアクセスを制限（IPアドレス制限）できますか？

A. オプション機能やVPNで対応可能です。
標準のOBC IDでは多要素認証（MFA）が利用できますが、特定のネットワークからのみログインを許可する場合は、セキュリティオプションの検討が必要です。

Q8. API連携でデータを取り込む際の権限はどうなりますか？

A. API連携専用の「接続ユーザー」を作成します。
外部ツール（freeeやバクラク等）から連携する場合、その連携用ユーザーに「仕訳入力」の権限を付与します。

Q9. ライセンス数が足りなくなった場合、すぐに増やせますか？

A. 販売代理店（パートナー）経由または直接契約で追加可能です。
反映には数営業日かかる場合があるため、新入社員の入社前などには早めの手配が必要です。

Q10. 退職者のIDを「削除」していいですか？「停止」がいいですか？

A. まずは「利用停止」を推奨します。
削除してもログは残りますが、万が一の調査時にそのIDの設定を再確認できるよう、しばらくは「利用停止」状態で残しておくのが一般的です。

7. 他社会計SaaS（freee/マネーフォワード）との権限設計思想の違い

勘定奉行クラウドは、元々オンプレミス版で培われた「厳格な統制」をクラウドに移植しているため、モダンなSaaSとは設計思想が異なります。

特徴	勘定奉行クラウド	freee会計	マネーフォワード クラウド会計
権限の細かさ	◎（画面・ボタン単位）	○（役割ベース）	○（機能別）
標準承認フロー	非常に強力（仕訳単位）	ワークフロー機能で対応	中堅プラン以上で対応
柔軟性	△（設定が複雑）	◎（直感的）	○（バランス型）
監査法人受け	◎（非常に高い）	○（実績増加中）	○（中堅層で強み）

freee会計は「自動化」を優先し、タグによる柔軟な分析を得意としますが、勘定奉行は「正確性と統制」を優先し、コード体系による厳密な管理を得意とします。この違いを理解せずに移行すると、権限設計の段階で挫折することになります。

関連記事：【完全版】勘定奉行からfreee会計への移行ガイド：機能・費用比較とデータ移行手順の実務

関連記事：【完全版】弥生会計からfreee会計への移行ガイド：専用ツールとタグ変換の実務

8. 運用管理チェックリスト：四半期に一度の定期監査用

権限設計は「作って終わり」ではありません。以下のチェックリストを用いて、定期的なメンテナンスを行ってください。

【運用管理者向け】権限・アカウント健康診断

• [ ] 共通IDの廃止： 1つのIDを複数人で共有していないか？
• [ ] 退職者の停止： 離職した従業員のアカウントは即座に停止されているか？
• [ ] 管理者権限の最小化： 必要以上に「管理者」ロールのユーザーがいないか？（理想は2〜3名）
• [ ] パスワードポリシー： 十分な長さと、定期的な更新が強制されているか？（多要素認証が有効か？）
• [ ] CSV出力権限の再確認： 業務上不要な担当者にCSV出力権限が付与されていないか？
• [ ] メニューの適合性： 組織変更に伴い、不要なメニューが表示されたままになっていないか？
• [ ] 外部連携の安全性： API連携に使用しているIDの権限は適切か？

9. まとめ：勘定奉行クラウドを「経営の武器」にするために

「権限を絞る」ことは、社員を疑うことではありません。むしろ、**「社員がミスを犯せない仕組み」**を作り、善良な従業員を事故から守るための優しさです。

適切な権限設計がなされた勘定奉行クラウドは、単なる記帳ツールから、信頼性の高い「財務データ基盤」へと進化します。監査対応はスムーズになり、決算早期化が実現し、経営層はリアルタイムに正確な数字を把握できるようになります。

もし現在、貴社の設定が「とりあえず全員管理者」になっているのであれば、今日から本ガイドを参考に、権限の再設計に着手してください。それがDX（デジタルトランスフォーメーション）の基盤となる「ガバナンス」の第一歩です。

参考文献・出典

1. 勘定奉行クラウド 製品詳細 — https://www.obc.co.jp/bugyo-v/kanjo
2. 財務報告に係る内部統制の評価及び監査の基準（金融庁） — https://www.fsa.go.jp/news/r4/sonota/20221215/20221215.html
3. 日本公認会計士協会（JICPA）IT委員会報告 — https://jicpa.or.jp/specialized_field/it.html
4. OBC 導入事例：株式会社サマンサタバサジャパンリミテッド — https://www.obc.co.jp/case/kanjo-v/samantha
5. 内部統制における職務分掌の重要性（内閣府資料） — https://www.cao.go.jp/index.html（公式サイト内「内部統制」関連ページより参照）