製造業のデータ基盤チームが、組織配下の複数の project にまたがる BigQuery の権限を管理している。各 project の IAM は事業部の担当者が個別に編集しており、中央で毎回の付与を確かめる体制はない。過去に担当者が社外の Google アカウントへ誤って role を付与した事故があり、同じ事故を組織全体で構造的に起こせなくしたい。取るべき対応はどれか。