ISCのSOC報告書問題を攻略｜SOC 1・SOC 2・SOC 3とType I・IIの読み方

1｜最初に報告書の目的を判定する

SOC 1は、受託会社の統制のうち、利用会社のinternal control over financial reportingに関連し得るものを対象にします。利用会社と、その財務諸表を監査するuser auditorが主な利用者です。

SOC 2は、security、availability、processing integrity、confidentiality、privacyのTrust Services Criteriaに基づいて、サービスとシステムの統制を評価します。SOC 3は同じ領域を対象にしつつ詳細を抑えたgeneral-use reportです。

• 財務報告への影響を評価したい：SOC 1
• セキュリティ等の詳細な統制・テストを確認したい：SOC 2
• 一般向けに配布できる要約的な保証報告書：SOC 3

2｜Type IとType IIは「時点」と「期間」で見分ける

Type Iは、特定日時点におけるシステム記述と統制の設計・導入状況を対象にします。Type IIは、それらに加えて特定期間にわたる統制の運用有効性をテストします。

「統制が存在する」ことと「期間を通じて一貫して機能した」ことは別です。継続的な依拠を検討する場面では、対象期間が自社の評価期間を十分にカバーしているかを確認します。

3｜SOC報告書を読む順番を固定する

最初から統制一覧を読むと情報量に埋もれます。まず報告書の種類、対象期間、対象システム、service auditorの意見を確認し、その後に自社が依拠したい統制とテスト結果へ進みます。

例外がある場合は、件数だけで重大性を判断しません。どの統制目的に関係するか、原因、母集団、影響期間、補完統制の有無を確認します。

• ① SOCの種類とType
• ② 対象期間・対象システム・境界
• ③ service auditorの意見
• ④ 関連する統制とテスト手続
• ⑤ deviation・例外と経営者の回答
• ⑥ CUEC・subservice organization

4｜CUECは利用会社側で実施して初めて意味を持つ

Complementary User Entity Controlsは、受託会社の統制目的を達成するために利用会社が実施すると想定される統制です。SOC報告書を入手しただけで、その前提が自動的に満たされるわけではありません。

利用会社は、自社に関連するCUECを特定し、誰が実施し、どの証拠を残し、期間中に運用されたかを確認します。たとえば利用者IDの迅速な削除がCUECなら、受託会社の強いアクセス統制だけでは退職者アクセスのリスクを十分に抑えられません。

5｜Subservice organizationのinclusiveとcarve-outを区別する

サービス提供に別の事業者を利用している場合、そのsubservice organizationをinclusive methodまたはcarve-out methodで扱います。inclusive methodでは関連サービスと統制をシステム記述・検証範囲に含めます。

carve-out methodでは、subservice organizationの統制を検証範囲から除外します。その場合、利用者は別のSOC報告書など追加証拠が必要かを検討し、Complementary Subservice Organization Controlsの前提も確認します。

6｜ISC問題では「報告書があるから安全」を選ばない

試験では、SOC報告書を取得した事実だけで結論を出す選択肢に注意します。評価対象と対象期間が一致しているか、関連統制に例外がないか、CUECが自社で実施されているかまで確認して初めて、依拠可能性を判断できます。

誤答復習では、SOCの種類、Type、対象期間、scope、CUEC、例外の6列を作ります。文章を暗記するのではなく、与えられた状況で不足している証拠を一つ選べる状態を目指します。

• 目的はICFRかTrust Services Criteriaか
• 特定日時点か一定期間か
• 必要なシステム・拠点がscopeに入っているか
• 利用会社側の相補統制が運用されているか
• 例外が依拠したい統制へ与える影響は何か