運用・保守・BCP・外部委託監査重要度:★★★出題: AM2・PM1・PM2

受託業務に係る内部統制の保証報告書（SOC1 / SOC2報告書）

じゅたくぎょうむにかかるないぶとうせいのほしょうほうこくしょ / System and Organization Controls (SOC 1 / SOC 2) Reports

クラウド事業者やデータセンター等の受託会社（サービスオーガニゼーション）の内部統制について、独立した第三者（公認会計士・監査法人等）が評価した保証報告書です。

3行速習ポイント

クラウド事業者やデータセンター等の受託会社（サービスオーガニゼーション）の内部統制について、独立した第三者（公認会計士・監査法人等）が評価した保証報告書です。
財務報告に関連する内部統制を対象とする「SOC1報告書」と、セキュリティ・可用性・処理のインテグリティ・機密性・プライバシー（トラストサービス原則）を対象とする「SOC2報告書」があります。
試験対策：午前IIおよび午後I・午後IIのクラウド監査・外部委託監査で定番の知識です。さらに「Type1（特定時点の整備状況）」と「Type2（対象期間の整備＋運用状況）」の違いと、「相補的利用企業統制（CUECs）」の確認が重要です。

図解

図SOC1報告書とSOC2報告書、およびType1とType2の評価範囲比較方式・特性の対比

クラウド・委託先監査で活用する第三者保証報告書の体系

⚖️ 対比軸：［評価主題の区分］SOC1報告書 vs SOC2報告書（評価主題の違い）VS［運用状況の保証］Type1報告書 vs Type2報告書（評価期間と運用検証の違い）

SOC1報告書 vs SOC2報告書（評価主題の違い）評価主題の区分

財務報告目的（J-SOX等）か、セキュリティ・可用性等のシステム信頼性か

SOC1は利用企業の財務報告に関連する受託業務の内部統制を評価し、SOC2はセキュリティ・可用性・機密性等のTrustサービス基準に基づく統制を評価する。

Type1報告書 vs Type2報告書（評価期間と運用検証の違い）運用状況の保証

特定基準日時点の「整備状況」のみか、6〜12か月間の「運用状況」を含むか

Type1は特定日時点の内部統制の記述と整備状況の妥当性のみを保証し、Type2は対象期間を通じた内部統制の運用状況の有効性（テスト結果と例外事項）まで保証する。

💡 クラウド事業者への実地監査が契約上困難な場合、「SOC2 Type2報告書を閲覧し、対象範囲・評価期間・結果、および自社が担うべき相補的統制の充足状況を確かめる」と記述します。

概要と本質

クラウド事業者やデータセンター等の受託会社（サービスオーガニゼーション）の内部統制について、独立した第三者（公認会計士・監査法人等）が評価した保証報告書です。財務報告に関連する内部統制を対象とする「SOC1報告書」と、セキュリティ・可用性・処理のインテグリティ・機密性・プライバシー（トラストサービス原則）を対象とする「SOC2報告書」があります。

重要ポイント・コア概念

SOC1（財務報告に係る内部統制）とSOC2（セキュリティ・可用性等のトラストサービス基準）、およびType1（基準日時点の整備）とType2（一定期間の運用有効性）の区分
報告書内の「例外事項（不備の記述）」の精査と、受託会社の統制が機能する前提として委託元企業側に求められる「相補的利用企業統制（CUECs）」の自社実装確認
定量的効果・監査目標例：基幹SaaSのSOC1/SOC2 Type2報告書を年次査閲し、記載された相補的利用企業統制（CUECs）12項目と自社のアクセス管理手続との対応付けを100%完了