Basis con perfil SAP_ALL

[Jack Daniels]

Estimados, cómo están?
El área de IT de mi empresa tiene un único basis que cuenta con el perfil SAP_ALL en forma permanente. Los riesgos aparejados son múltiples y tenemos la intención de revocar ese perfil. Sin embargo él realiza todas las tareas de administración de SAP: pasajes a PRD, asignación de permisos a usuarios, etc.
Eso me plantea dudas:
1) Qué recomendación me darían para revocar el perfil y darle permisos exclusivamente para lo que necesita hacer diariamente?
2) Qué debo responder cuando me dice que necesita el perfil en forma permanente para resolver cualquier emergencia que surja y que roles más restringidos no le aseguran poder resolver los problemas?
3) Por más que revoquemos SAP_ALL, si él cuenta con posibilidad de asignar permisos, no podría asignarse SAP_ALL a si mismo? Existe forma de evitarlo?

Desde ya muchas gracias por su ayuda!!