広告アカウントの権限棚卸し実務｜退職者・元代理店・外部パートナーのアクセス管理とガバナンス設計

この記事のポイント

• 広告アカウントの権限棚卸しとは、ユーザー権限・パートナー連携・計測資産の権限を横断的に洗い出し不要分を削除する作業である
• 退職者・元代理店・制作会社の権限は「幽霊権限」として残り続け、不正配信やデータ流出の入口になりやすい
• Google広告は「関連マネージャー」、Metaはパートナー削除で一括解除するのが実務上の近道である
• 棚卸しは四半期に1回を基本線とし、権限管理台帳で媒体×人×権限レベルを常に可視化しておくべきである
• 退職・代理店変更が発生した当日中に、媒体横断のチェックリストで権限削除まで完了させる仕組みが要る

広告アカウントの管理画面を久しぶりに開いたら、辞めたはずの社員や解約した代理店の名前がユーザー一覧に残っている——このような場面に心当たりのある経営者・マーケ責任者は少なくないはずです。多くの企業では入社時の権限付与は丁寧に行う一方、退職時の権限剥奪は後回しになりがちで、気づけばGoogle広告やMeta広告のアカウントに複数の「誰のものか分からない権限」が積み上がっています。

広告アカウント 権限 棚卸しとは、こうした不要権限を媒体横断で洗い出し、削除・降格まで実施する作業のことです。単にユーザーを削除するだけでなく、パートナー連携やタグ管理の権限まで含めて確認しないと、削除漏れが発生します。この記事では、退職者・元代理店・制作会社という「残り方」の類型ごとに削除手順を整理し、さらに四半期監査と権限管理台帳による再発防止の仕組みまで解説します。

放置された権限は単なる管理不備ではなく、不正配信によって広告費が数時間で溶ける経営リスクに直結します。まずはその構造から見ていきます。

広告アカウントの権限棚卸しとは？なぜ退職者・元代理店の権限放置が危険なのか

権限放置が生む見えないリスクの影

広告アカウントの権限棚卸しとは、ユーザー単位のアクセス権限だけでなく、パートナー連携やタグ・計測資産の権限まで含めて棚卸しし、業務上不要になったものを削除・降格する一連の作業を指します。対象は大きく3つに分かれます。ユーザー権限（個人アカウントに付与された管理者・編集者権限）、パートナー連携（代理店や外部企業に付与されたビジネスID単位の権限）、そしてタグ・計測資産の権限（GTMコンテナやGA4プロパティの編集者権限）です。このどれか一つでも見落とすと、退職者や元代理店のアクセスは残り続けます。

権限放置が招くリスクは主に3つあります。第一に不正操作です。退職者が悪意を持たなくても、個人アカウントが乗っ取られれば広告アカウントも同時に危険にさらされます。第二にデータ流出です。コンバージョンデータや顧客リストの閲覧権限が外部に残っていれば、競合や第三者に事業情報が漏れる経路になります。第三にアカウント乗っ取りそのものです。休眠しているユーザー権限は、攻撃者にとって侵入経路として都合が良い存在になります。

Digital Applied のブログでは、2025年から2026年にかけてGoogle広告のMCC（マネージャーアカウント）が乗っ取られ、24時間以内に数万ドル規模の不正配信が実行された事例が報告されていると指摘されています。侵入経路として、放置された権限や休眠アカウントが繰り返し挙げられているとのことです。日本国内では同種の被害額がここまで具体的に報道される例はまだ少ないものの、MCC配下に複数の広告アカウントをぶら下げる運用構造は日本の代理店・インハウス双方で一般的であり、一つのMCCの乗っ取りが複数アカウントの一斉不正配信につながりうる点は共通のリスクとして受け止めるべきだと考えられます。権限棚卸しは「行儀の良さ」の話ではなく、広告費と情報資産を守るための最低限の防御線です。

広告アカウントに残りがちな「幽霊権限」5パターン

残り続ける5つの幽霊権限

自社の広告アカウントに残っている不要権限は、多くの場合この5パターンのどれかに当てはまります。まず自社がどの型を抱えているかを把握することが、棚卸しの最初の一歩です。

退職者の個人アカウント権限は最も典型的なパターンです。Google広告もMeta広告も、個人のGoogleアカウント・Facebookアカウントに紐づける形でユーザー権限を付与する設計になっているため、社内の退職手続き（PCの返却やメールアカウントの停止）が完了しても、広告媒体側の権限は別途削除しないと残り続けます。

解約済み代理店のパートナー連携・MCCリンクも見落とされやすい型です。代理店とのユーザー単位の招待は削除していても、MCC同士のリンクやビジネスマネージャーのパートナー連携は別枠で管理されているため、契約終了の連絡だけでは自動的に切れません。

制作会社に渡したGTMコンテナ・ピクセル・GA4権限も要注意です。サイトリニューアルやLP制作を委託した際にGoogleタグマネージャー（GTM）のコンテナ編集権限やGA4のプロパティ管理者権限を付与し、案件終了後もそのまま残っているケースは珍しくありません。

共有ID・メールアドレス使い回しアカウントは権限の所在が曖昧になりやすい型です。誰か個人ではなく「営業部共有アカウント」のような形で運用していると、担当者が入れ替わってもパスワードだけ引き継がれ、本来の管理者が誰なのか分からなくなります。

肩書と合っていない過剰な管理者権限は、異動後も昇格した権限がそのまま残るパターンです。かつて広告運用を担当していた人が別部署に異動した後も「管理者」権限のままになっているケースは、実務ではよく見られる傾向があります。

パターン	発生タイミング	見落とされやすい理由
退職者の個人アカウント権限	退職時	社内アカウント停止と広告媒体の権限削除が別プロセス
元代理店のパートナー連携・MCCリンク	契約終了時	ユーザー削除とMCC/パートナー解除が別画面
制作会社のGTM/GA4権限	制作案件終了時	タグ管理は広告担当者の管轄外になりがち
共有ID・使い回しアカウント	担当者交代時	個人ではなく組織のアカウントとして扱われる
過剰な管理者権限	異動時	降格の手続きが業務フローに組み込まれていない

Google広告の権限棚卸しのやり方｜確認と削除の手順

図1: Google広告の権限確認から削除までの流れ

Google広告の権限棚卸しは、ユーザー単位の確認とMCCリンクの確認を分けて行う必要があります。この二段構えを知らないまま「ユーザー一覧を消しただけ」で終えると、元代理店とのつながりが残ったままになります。

まず管理画面右上の工具アイコンから「アクセスとセキュリティ」を開き、現在アクセス権を持つ全ユーザーを一覧化します。ここでメールアドレスと権限レベル（管理者・標準・読み取り専用・請求先管理者)を突き合わせ、既に退職・異動した人物や、業務上関わりのなくなった外部の担当者が残っていないかを確認します。

次に見落とされがちなのが「関連マネージャー」タブです。Google Ads Help（英語版）のベストプラクティスでは、ユーザー単位の棚卸しに加えて関連マネージャー（Related managers）タブで外部MCCのリンク残存を監査することが推奨されていると案内されています。日本語の解説記事ではこの機能への言及がほとんどなく、盲点になりやすい部分です。元代理店のMCCが「関連マネージャー」として残っている場合、そのMCC経由で広告アカウントへの操作が可能な状態が続いています。

削除の手順は、対象ユーザーの行のメニューから「アクセス権を削除」を選ぶだけで完結しますが、削除前に唯一の管理者になっていないかを必ず確認してください。管理者が0人になると、その後の権限管理自体ができなくなります。関連マネージャーのMCCリンクは、当該MCC側からリンクを解除するか、自社アカウント側からアクセスを拒否する操作が必要です。

再発防止には、許可メールドメインの設定と2段階認証（2FA）の必須化が効果的です。許可ドメインを自社ドメインに限定しておけば、外部の個人メールアドレスでの招待自体を防げます。あわせて、Google広告アカウントの作成と代理店への権限付与の手順を押さえておくと、そもそもどの権限レベルを誰に渡すべきかの基準がぶれません。MCCの構造や移管判断についてより深く整理したい場合は、Google広告MCCの構造・権限・移管の判断フレームもあわせて確認しておくことをおすすめします。

Meta広告（ビジネスマネージャ）の権限整理のやり方

図2: ビジネスマネージャーの三層権限構造

Meta Business Manager（ビジネスポートフォリオ）の権限整理は、「ユーザー」「パートナー」「システムユーザー」という三層構造を理解しないまま進めると、必ず削除漏れが起きます。Google広告よりも権限の入口が多い分、棚卸しの難度も高くなります。

まずビジネス設定の「メンバー」でユーザー単位の招待を確認し、「パートナー」で代理店などビジネスID単位の連携を確認します。さらに広告運用の自動化やAPI連携で使われる「システムユーザー」にも権限が付与されている場合があるため、この3種類はそれぞれ別画面で確認する必要があります。

元代理店の権限は、個人単位で招待されているとメンバーを一人ずつ削除する手間がかかりますが、パートナー連携として付与されていれば、パートナー削除の一手で広告アカウント・ページ・ピクセルなど全資産へのアクセスを一括で失効させられます。AdAmigo.ai のガイドでは、代理店アクセスはパートナー(ビジネスID)単位で付与するのが原則であり、個人アカウント招待の混在が解除漏れの主因になると整理されています。日本では担当者個人をメンバーとして招待している企業も多く見られるため、契約終了時にはパートナー削除だけでなく個人招待の有無もあわせて確認するのが実務上の安全策です。

退職者を削除する前には、その人物が唯一の管理者権限保持者でないか、広告アカウントやピクセルの資産管理者になっていないかを必ず確認してください。管理者権限を移譲しないまま削除すると、資産の所有権が宙に浮き、復旧に時間がかかるケースがあります。

セキュリティセンターでは2FAの必須化に加えて、短期間だけ関与するパートナーに向けた一時アクセスの活用が可能です。Agrowth（Medium）の記事では、90日ごとの四半期アクセス監査をカレンダーに固定し、元従業員の削除・パートナー権限の再確認・過剰なフルコントロール権限の降格・2FA順守確認をルーティン化する運用や、短期関与者には3〜75日程度で自動失効する一時アクセスを付与する設計が紹介されています。専任の情報システム担当者がいない中小企業でも、この「頻度を固定して回す」考え方はそのまま取り入れやすい部分です。

退職者が出たら広告まわりで何をすべきか？当日対応チェックリスト

退職者対応で広告アカウントの権限を最終出社日当日に削除しきるには、退職確定の時点から準備を始めておく必要があります。当日一括で全部片付けようとすると、資産の所有権移譲が間に合わず後手に回るからです。

退職確定から最終出社日までにやるべきことは、その人物が管理していた資産の洗い出しと引き継ぎ記録の作成です。唯一の管理者になっている広告アカウント・GTMコンテナ・GA4プロパティがないかを確認し、あれば先に別担当者へ管理者権限を移譲します。同時に、担当していたパートナー連携や外部ツール連携の一覧も記録しておきます。

最終出社日当日に削除すべき対象は、媒体をまたいで漏れなく確認する必要があります。

媒体	確認・削除する対象
Google広告	アクセスとセキュリティのユーザー権限、個人が管理者だったMCC
Meta広告	ビジネスマネージャーのメンバー権限、個人招待していた代理店連携
Googleタグマネージャー	コンテナのユーザー権限・アカウント権限
GA4	プロパティ・アカウントのユーザー権限
LINE広告・Yahoo!広告	管理画面のユーザー権限、代理店連携設定

見落としやすいのが、SSO（シングルサインオン）では消えない広告アカウントの落とし穴です。社内で統一のSSO基盤を導入していても、広告媒体のアカウントが個人のGoogleアカウントやFacebookアカウントに直接紐づいている場合、SSOの無効化だけでは広告アカウント側の権限は残ります。Nudge Security の「IT Offboarding Checklist」では、SaaS時代のオフボーディングはIdP・SSOの停止だけでは閉じておらず、OAuth連携やSSO外の直ログインアカウント、いわゆるシャドーITを個別に洗い出して失効させる必要があると指摘されています。日本の中小企業では広告アカウントを個人アカウント紐付けのまま運用しているケースが珍しくなく、この指摘はそのまま当てはまる構造だと言えます。退職処理のフローに「SSO停止」だけでなく「広告媒体個別の権限削除」を明記のステップとして組み込んでおくべきです。

権限棚卸しを仕組み化するガバナンス設計｜台帳・頻度・ルール

図3: 四半期ごとに回す権限棚卸しサイクル

権限棚卸しを一度きりの掃除で終わらせないためには、権限管理台帳・棚卸しの頻度・付与ルールの3つを仕組みとして固定する必要があります。単発の削除作業は数ヶ月後には同じ状態に戻ってしまうためです。

権限管理台帳は、媒体×人×権限レベル×付与日の4項目を最低限記録します。表計算ソフトで十分運用可能で、特別なツールは必要ありません。

媒体	氏名/組織名	権限レベル	付与日	備考
Google広告	例：田中太郎	管理者	2025-04-01	運用担当
Meta広告	例：A代理店	パートナー	2025-06-15	契約期間中

棚卸しの頻度は、四半期に1回を基本線にするのが実務的です。人の異動や代理店の契約更新は四半期単位で動くことが多く、この周期に合わせておけば権限の状態と組織の実態がずれにくくなります。加えて、退職や代理店変更というイベントが発生した際は、定期棚卸しを待たずに即時実施するのが原則です。

権限付与の考え方としては、最小権限の原則を徹底することが基本になります。業務に必要な権限レベルだけを付与し、「念のため管理者権限」のような付与の仕方を避けるという考え方です。これをオンボーディング(入社・契約開始時の付与)とオフボーディング(退職・契約終了時の削除)の両方で標準手順化しておくと、担当者が変わっても運用がぶれません。

代理店・外部パートナーと契約する段階で、権限に関する条項を決めておくことも有効です。具体的には、権限はパートナー連携で付与し個人招待は使わない、契約終了時は何営業日以内に削除するか、GTM/GA4など計測資産の所有権は自社に残すといった内容です。契約時点で権限条項を明文化しておけば、広告アカウント移管時に失うデータと守るべき設定のチェックリストのような移管作業もスムーズになります。また、制作会社への発注時にタグ管理権限の扱いを仕様書に明記しておくと後の棚卸しが楽になるため、GTMコンテナ権限を含む制作会社への発注仕様書の作り方もあわせて参照すると設計の抜け漏れを防ぎやすくなります。インハウス化を検討している場合は、インハウス化前に確認すべきアカウント引き継ぎの判断基準も権限ガバナンスの観点から関わってくる論点です。

よくある質問

Q：Google広告のアクセス権を削除するにはどうすればいいですか？ 管理画面右上の工具アイコンから「アクセスとセキュリティ」を開き、対象ユーザーの行にあるメニューからアクセス権を削除します。削除操作自体は管理者権限があれば誰でも行えますが、対象ユーザーが唯一の管理者になっている場合は、先に別の担当者へ管理者権限を付与してから削除する必要があります。あわせて関連マネージャータブで外部MCCのリンクが残っていないかも確認してください。

Q：元代理店が広告アカウントの権限を渡してくれない場合はどうすればいいですか？ まずアカウントの所有権が自社と代理店のどちらにあるかを確認します。自社名義で作成したアカウントであれば、管理者権限への昇格を代理店に依頼するのが基本の流れです。応じてもらえない場合は、Google広告・Meta広告それぞれのサポート窓口にアカウント所有権の証明書類を添えて相談する方法があります。契約書に権限返還に関する条項がない場合は、今後の契約更新や新規契約の際に明文化しておくことが再発防止につながります。

Q：退職者のアカウントを削除する前に確認すべきことはありますか？ 唯一の管理者権限保持者になっていないか、GTMコンテナやGA4プロパティなど計測資産の所有者になっていないかを必ず確認してください。これらを確認せずに削除すると、資産へのアクセス自体ができなくなり復旧に手間がかかります。削除前に別の担当者へ権限を移譲し、引き継ぎ記録を残しておくのが安全な進め方です。

Q：広告アカウントの権限棚卸しはどのくらいの頻度でやるべきですか？ 四半期に1回を基本線にするのが実務的な目安です。人の異動や契約更新のサイクルと合わせやすく、権限の状態を組織の実態からずれにくくできます。加えて、退職や代理店変更といったイベントが発生した場合は、定期棚卸しの周期を待たずにその都度即時対応するのが原則です。

Q：代理店のパートナー連携を解除すると配信や計測は止まりますか？ 広告アカウントやピクセルなどの資産の所有権が自社にある場合は、パートナー連携を解除しても配信や計測は止まりません。パートナー連携はあくまでアクセス権の付与であり、資産そのものの所有権とは別だからです。ただし、アカウント自体が代理店側の名義で作成されている場合は解除によって配信が止まる可能性があるため、解除前に所有権の所在を確認しておく必要があります。

広告アカウントの権限棚卸しは、一度の掃除で終わる作業ではなく、組織のオンボーディング・オフボーディングの仕組みそのものに関わるテーマです。真策堂では、複数媒体の運用支援やインハウス化支援の中で、こうした権限まわりのガバナンス設計についてもご相談を受けています。自社のアカウント群に不要な権限が残っていないか気になる場合は、お気軽にお問い合わせください。