SAPジャパンは、3月7日、東京本社に報道関係者を集め、GRC（ガバナンス・リスク・コンプライアンス）ソリューションに関する説明会を開いた。桐井健之バイスプレジデントが今年1月から専任組織を立ち上げたことを明らかにし、日本法人としても今後、同分野に注力していく姿勢を改めて示した。
「GRCスイートは15～20年前のERP市場と同じ」
SAPジャパン パートナー＆マーケティング統括本部GRC事業開発バイスプレジデント 桐井健之氏
「GRCはもともと我々が使い始めた言葉。だが、最近では他社も使うようになってきており、いよいよ今日的な課題として浸透しつつある。SAPジャパンとしても、ビジネスプロセスプラットフォーム（NetWeaver）と並んで力を入れていきたい分野だ」。SAPジャパンのパートナー＆マーケティング統括本部GRC事業開発バイスプレジデントである桐井健之氏はこのように話す。
GRCとは、「ガバナンス」「リスク」「コンプライアンス」の頭文字をとったもので、内部統制を含む企業のコンプライアンス活動とリスク管理を包括的に扱うアプローチだ。SAPでは、このGRCを支援する製品群を「SAP Solutions for GRC」（SAP GRC）としてまとめ、スイートとして提供。昨年には、アクセス管理ソフトなどを手がける米ヴァーサ・システムズを買収してポートフォリオの拡大を図るとともに、独SAP内に専任組織を立ち上げるなど、積極的に取り組んでいる。「従来はコストがかかる“やっかいな存在”だったGRC対応が、昨今では企業価値そのものの向上に繋がる流れができつつある。逆に失敗すると倒産の危機に陥るケースも出始めた。SAPのGRCソリューション強化は、こうした流れを踏まえたものだ」（桐井氏）。
今回の説明会では、こうした独本社の動きに合わせる形で、SAPジャパンでもセールス／プリセールスのコアメンバーを集約した専任組織「GRC事業開発」チームを今年初めに立ち上げたことを明らかにした。桐井氏は「GRCはERPの追加機能的な面もあるが、SAPのユーザー以外にもバリューを提供できる。われわれ自身がビジネスのドメインを広げる重要な製品だと考えている」と狙いを説明する。
SAP GRCは、アクセス／アイデンティティ管理、プロセス管理、貿易／環境向けなどの業種別ソリューションから構成される。SAPジャパンでは、2008年4月から始まる日本版SOX法への対応を企業のGRC強化の出発点と位置づけており、まずはIT統制に有効とされるアクセス管理とプロセス管理に力を入れる。
アクセス管理ソリューションは「SAP Access Controls」と呼ばれ、中核には「SAP Compliance Calibrator」（SAP CC）を据える。SAP CCは、職務権限設定の妥当性を自動分析する機能を持ち、たとえば「ERP上のマスター登録権限と支払処理権限が同一者にある」いったリスクをチェックし、不正処理を防ぐことができるという。
「SAP Compliance Calibrator」の画面。職務分掌が妥当かチェックし、不適当なものをリストアップする
また、プロセス管理ソリューションでは「SAP Process Control」（SAP PC）を用意する。統制ルールの定義から、定義されたルールが実際のアプリケーションの設定や処理に反映されているかを自動的にチェックする。たとえば、請求書の2重発行が疑わしい取引をリアルタイムに抽出し、プロセスをERP上までドリルダウンすることが可能だ。
SAPアジアパシフィック＆ジャパン シニアバイスプレジデント・CTO サイモン・デール氏
SAPアジアパシフィック＆ジャパンのシニアバイスプレジデント・CTOであるサイモン・デール氏は、SAP GRCの最大の特徴はこうした製品を統合して利用できる点にあると強調する。「これまでバラバラだったGRCに対して、統合的なアプローチを取ることができるようになる。単品製品は他社にもあるが、スイートで提供できるのはSAPだけ。ちょうど15～20年ほど前のERP市場と同じような状況だ」（デール氏）。
SAPジャパンは、昨年から出荷を開始したSAP CCの日本語版を国内の10数社が導入済みであることを明らかにした。また、SAP PCの日本語版を今月末から4月上旬にも出荷を開始するほか、SAP CCの新バージョンについても同時期に出荷する計画だという。
