SaaS・クラウド利用企業がSOC 1／SOC 2報告書で確認すべきこと

SOC報告書を受け取っただけで安心していませんか

会計システム、給与、経費精算、CRM、データ基盤など、企業の重要業務はSaaSやクラウドサービスへの依存度を高めています。その結果、IT監査では自社のシステムだけでなく、「委託先の統制をどう確認するか」が重要になりました。

そこで登場するのがSOC報告書です。ただし、監査対応でありがちな誤解が「SOC報告書を入手してファイルしておけばよい」というものです。実際には、報告書の種類、対象期間、対象システム、例外事項、自社側に求められる統制まで読まなければ、監査証拠として十分に活用できません。

まずSOC 1とSOC 2の違いを知る

SOC 1は、サービス組織の統制のうち、利用企業の財務報告に関連する内部統制を対象とします。一方、SOC 2は、セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーといったTrust Services Criteriaに関連する統制を対象とします。

例えば、クラウド会計サービスが財務諸表作成の重要な情報を処理している場合、財務報告監査の観点ではSOC 1が特に重要になります。情報セキュリティや顧客データの保護を確認したい場合にはSOC 2が有用です。目的が異なるため、「SOC 2があるから財務報告上の委託先統制も問題ない」とは限りません。

SOC報告書の違いを整理

区分	主な目的	確認対象	自社での確認ポイント
SOC 1	財務報告に関連する内部統制	会計・取引処理等の統制	財務報告監査・SOXで重要
SOC 2	Trust Services Criteriaに基づく統制	セキュリティ、可用性等	情報セキュリティ・委託先評価で活用
Type 1	特定時点の設計	統制の設計状況	運用期間の証拠にはならない
Type 2	一定期間の設計・運用	テスト内容と結果を含む	例外事項と対象期間を必ず確認

Type 1とType 2、どちらを見ればよいか

Type 1は、特定時点における統制の設計を中心に報告します。Type 2は、一定期間について統制の設計に加え、運用状況とテスト結果も含みます。内部統制監査やSOX対応では、対象年度にわたり統制が運用されていたことが重要になるため、一般にType 2の方が利用場面は広くなります。

ただし、SOC報告書の対象期間が自社の決算期を完全にカバーしないこともあります。この場合、報告書の終了日から決算日までの期間について、サービス提供会社の変更有無を確認するブリッジレター等を追加で確認することがあります。

自社側の対応が必要な「CUEC」を見落とさない

SOC報告書を読む際に重要なのがCUEC（Complementary User Entity Controls）です。これは、サービス提供会社の統制だけで目的を達成するのではなく、利用企業側でも実施することが前提となっている統制です。

例えば「利用企業が自社従業員のアクセス権を適切に管理する」「取引先マスタの変更を適切に承認する」といった事項がCUECとして記載されることがあります。SOC報告書に問題がなくても、自社がCUECを実施していなければ、統制全体としては不十分です。

SaaSが増えるほど、毎年の確認ルールが重要になる

実務では、重要なSaaSについて①SOC報告書の入手、②対象範囲・期間の確認、③例外事項の評価、④CUECの自社統制へのマッピング、⑤再委託先（subservice organization）の確認、⑥ギャップ期間の確認、を毎年行う運用が有効です。

SaaSの数が増えるほど、個別対応では管理が破綻します。重要システムをリスクベースで選び、SOCレビューを委託先管理やIT監査の年間プロセスに組み込むことが重要です。

SaaSやクラウドの利用が増えるほど、サービス提供会社任せではなく、自社として何を確認し、何を実施するかを整理しておくことが重要です。SMASH & Partnersでは、SOC報告書のレビュー、利用企業側統制の整理、IT監査、J-SOX／US-SOX対応を支援しています。監査対応や委託先管理の進め方にお悩みの企業様は、お気軽にご相談ください。

執筆者：森 大輔（公認会計士・公認不正検査士）

お問合せ先：smash-partners@smash-international.com