1. SOCとは

SOC（System and Organization Controls）は、米国公認会計士協会（AICPA）が制定した内部統制に関する保証報告書の基準の一つです。

近年、企業活動におけるITの重要性が高まるにつれ、会計監査においてもITサービスやシステムの内部統制が重要視されるようになりました。そこで、ITサービス事業者における内部統制の有効性を評価し、保証するための制度としてSOCが設けられたのです。

SOCには以下の3つの枠組みがあります。

• SOC1

ITサービス事業者側（受託会社側）で整備・運用されている内部統制について、その有効性を評価する枠組みです。対象となる内部統制は、サービス利用者側（委託会社側）の財務報告に係る内部統制であり、たとえば、財務会計システムやその周辺システム（販売管理システム、在庫管理システム、給与計算システム、ERPなど）が含まれます。

　

• SOC2

情報システムのセキュリティや可用性・処理の完全性・機密性、プライバシーに関して、信頼に足るサービス基準を満たしているかどうかを評価する枠組みです。SOC1は財務報告に係る内部統制の一部として利用することを想定していますが、SOC2は財務報告に係る内部統制には必ずしも直結せず、非財務領域を含む情報セキュリティ全般に渡っての評価となります。よって、強固なセキュリティを備えた情報システムを使用したいお客様にとっては、SOC1よりもSOC2の内容の方が重要になります。

　

• SOC3

SOC2の内容を要約したもので、一般のお客様やステークホルダーに向けて公開するものです。SOC2がセキュリティやプライバシーなどについて詳細に記載されているのに対し、SOC3は概要のみとなっています。

SOCは、財務報告に係る内部統制の監査や財務諸表監査目的はもちろんのこと、その他の目的にも広く活用されています。

2. SOCレポートとは

SOCレポートとは、受託会社（サービス提供組織）のサービス品質や安全性の管理状況を、第三者の監査人（受託会社監査人）がSOCの基準に従って評価し、その評価結果をまとめた報告書です。

SOCレポートは、受託会社が顧客や取引先に対して、情報システムや業務プロセスの安全性と信頼性を示す証拠として提供されます。これらの評価により、受託会社がコンプライアンスを遵守し、リスクを適切に管理していることが示されます。

3. SOCレポートの種類

※クリックすると画像が拡大します

出典： デロイト トーマツ グループ（Deloitte）｜サービス：オペレーショナルリスク SOC報告書の種類

（1）SOC1レポート

SOC1レポートは、米国公認会計士協会（AICPA）が定めた基準（SSAE18）に従って作成されるもので、企業の財務報告に係る内部統制に影響を与える可能性のある業務プロセスに焦点を当てたレポートです。

これは、アウトソーシング事業者を利用する企業が安心してサービスを使えるように、提供するサービスについての財務報告に係る内部統制を評価し、その結果をレポートとしてまとめたものです。サービス提供事業者（受託会社）がSOC1レポートを取得するには、受託会社自身が独立した第三者である監査法人に評価を依頼しなければなりません。

なお、ここでいうアウトソーシング事業者とは、企業内の一部の業務を外部に委託する際の委託先パートナー企業を指します。

企業が業務を外部委託する際は、アウトソーシング事業者内の内部管理が不十分であることや外部からのサイバー攻撃・情報漏洩などにより、財務報告の信頼性が脅かされるリスクが外部委託先側でも発生する可能性があり、これらのリスクが適切にコントロールされているかを評価することが重要です。そのため、適切な事業者を選ぶ際にも、財務報告に係る内部統制を評価するSOC1レポートが役に立ちます。

（2）SOC2レポート

SOC2レポートは、サービス提供事業者（受託会社）が提供するサービスについてのセキュリティ体制やプライバシー関連などを評価したレポートとなっています。

評価対象は受託会社が提供するサービスについての以下5つの項目（トラストサービス規準）に係る内部統制です。

SOC1レポートとSOC2レポートは、いずれもサービス提供事業者の内部統制の評価に関する報告書ですが、以下のとおり、評価する対象や目的が異なります。

SOC2レポートを確認することにより、サービス提供事業者のセキュリティや可用性など、より広範な非財務的な側面に関する内部統制の整備・運用状況を把握できるようになります。

（3）SOC3レポート

SOC3レポートは、SOC2レポートの概要をまとめたもので、詳細な内部統制の記述や監査人の評価手続などは記載されず、より簡潔で技術的な詳細を含まない形式で提供されます。

また、利用者の制限がないという特徴があります。そのため、要点が簡潔にまとめられた形式であることから、技術的な専門知識を持たない読者でも理解しやすい内容となっており、サービス提供事業者が自身のWebサイトで公開したり、マーケティング目的で使用したりするケースも多く見られます。

なお、SOC2レポートを発行しているサービス提供事業者が、必ずしもSOC3レポートを取得しているとは限らないため、レポートの利用を予定している場合には留意が必要です。

（4）SOCレポートはType1とType2に分けられる

SOC1・SOC2レポートに関しては、さらにType1・Type2の2種類に分類されます。

Type1とType2の違いは下表のとおりです。

Type1とType2の大きな違いは評価範囲にあります。Type1は特定の時点での内部統制の整備状況を評価します。一方、Type2は一定期間にわたる内部統制の整備および運用状況の有効性を評価します。

SOCレポートの利用目的に応じて、どちらのSOCレポートが必要なのか、また、具体的な評価の時点、評価期間を事前に確認しましょう。

4. SOCレポートを確認する目的

SOCレポートを確認する目的は、主に以下の2つです。

サービスを導入する前に、信頼性や運営状況を確認することは、サービス利用後のリスク低減につながります。

5. SOCレポートを確認するメリット

SOCレポートを確認するメリットは、主に3つです。

6. SOCレポートを確認する際の注意点

SOCレポートを確認する際の注意点を、3つ紹介します。

これらの注意点を意識してレポートを確認することで、自社に適したサービス提供事業者を選べるようになります。

7. まとめ

クラウドサービスの安全性や信頼性を確認する際に重要なのがSOCです。SOCレポートは、アウトソーシングサービスにおける受託会社の内部統制と評価結果をまとめた報告書であり、適切なサービス提供事業者を選ぶ際の情報源となります。種類やタイプによって異なるSOCレポートは、ニーズに合わせて必要なものを選びましょう。

なお、SOCレポートはサービスを利用する判断材料の一つとなりますが、実際に利用する際には、レポート単体のみではなく、他の情報も含めて総合的に判断するようにしてください。