TL;DR
- 「こっそり権限委譲」は善意でも規程外。退職翌日から業務不在を生む
- 30 日前承認 / 14 日同時稼働 / 退職前々日単独テスト の 3 セット
- IDM 規程に組み込んでカレンダー駆動で運用
対象読者
- IDM / 情シス / コンプライアンス担当
- 業務継続性 (BCP) 責任者
- 退職時の引継ぎフローを規程化したい方
起きたこと
退職予定の上司が、最終週に部下へこっそり権限委譲。書面なし・申請なし。直後に上司 ID は失効、部下にも正式登録がなく、退職翌日から重要システムに入れる人が不在。発覚は月次決算エラーで 1 週間後だった。
なぜ「こっそり委譲」が起きるのか
| 状況 | 上司の意図 | 結果 |
|---|---|---|
| 後任が決まっていない | 業務を止めない | 一時的に部下に渡す |
| 後任権限申請が間に合わない | 引継期間が短い | 「とりあえず」 |
| 部下が信頼できる | 個人として確かに信頼 | 規程外運用 |
善意の現場運用がインシデントを生む典型。
権限継承の 3 つのセット
1. 退職 30 日前までに後任申請・承認完了
- 後任未定なら「一時継承先」を仮置きで申請
- 申請→承認→設定に最低 14 営業日かかる組織が多い
- 退職届受領日 +30 日先 = 後任権限完了デッドラインをカレンダー自動登録
2. 退職者と後任の同時稼働期間 14 日
- 退職日の 14 日前から後任は実権限を持つ
- 退職者は新規実行を後任に任せ、レビューに回る
- 失敗があっても退職者がフォロー可能な状態
3. 退職日前々日に後任単独で本番テスト
- 退職者がいない状態を退職日 -2 日に 1 日だけ作る
- 主要業務 (月次バッチ起動 / 決裁承認 / 緊急対応) を後任が単独実行
- 問題があれば退職者がいる最後の 1 日で修正可能
規程テンプレ要素
□ 退職届受領日 +30 日に「後任権限申請完了」をカレンダー登録
□ 後任未定の「仮継承先」運用ルール (上位職 or PMO 等)
□ 退職日 -14 日に「同時稼働期間」開始の自動通知
□ 退職日 -2 日に「単独実行テスト」の自動通知
□ 退職日に「権限失効ログ」+「後任権限現存ログ」突合
□ 「個人の好意による委譲」を禁止する就業規則条文
□ 違反時のエスカレ先 (情シス部長 / コンプライアンス)
よくある落とし穴 3 つ
- 後任権限が「閲覧のみ」で運用に乗らない — 承認権限まで含めて事前確認
- 共通グループ ID 所属移し替えだけで実権限の確認なし — 当該システムへの実ログインで確認
- 承認系の代理設定 (Outlook delegation 等) が引継対象外 — メール / カレンダー / 決裁ワークフローを別管理
まとめ
退職時の権限継承は 30 日前承認 / 14 日同時稼働 / 前々日単独テスト の 3 セットで規程化。現場の善意ではなく仕組みで継承する。
退職題材シリーズ #5。規程テンプレ・同時稼働期間運用フロー・単独実行テストチェックリストは note メンバーシップ (初月無料) で公開しています。
#セキュリティ #IDM #権限管理 #BCP #退職