要約
SOC（Service Organization Control）1レポートは、サービス組織がクライアントの財務データを対象に実施している内部統制を検証する、正式な監査文書です。Type 1（統制の設計）とType 2（運用状況の有効性）の2種類が発行され、医療、金融、データ処理などの業界で必要とされることが多いレポートです。専門の公認会計士（CPA）事務所が実施するSOC 1監査は、通常、数週間から数か月を要し、最長12か月間有効です。クライアントの財務データを変更できる組織は、一般的にSOC 1サービス組織に分類され、新規ビジネスを獲得する前にレポートの提出を求められる場合があります。
SOC 1レポートとは？
SOC 1レポートは、組織がクライアントの財務データをどのように保護しているかを詳細に示しています。このようなレポートを使用して、現在および将来の顧客に対するコミットメントを検証します。
SOCレポートは、AICPAによって部分的に設計されました。この組織は、SOC 1レポートには2つの種類があると述べています（Type 1とType 2）。どちらの規制においても、組織がどのようにクライアントデータを保護するかを詳述することが求められます。Type 2のSOC 1レポートでのみ、こうした計画の運用上の有効性が評価されます。
| レポートの種類 | 対象範囲 |
|---|---|
| タイプ1 | 組織がクライアントデータをどのように保護しているかの詳細（統制の設計） |
| タイプ2 | 組織がクライアントのデータをどのように保護し、それらの計画の運用上の有効性をどのように評価しているかを詳述します。 |
SOC 1は何に使用されますか？
日々の業務において、あなたとあなたのスタッフは、クライアントデータに関するプロトコルに従っています。変更したり、情報を無効にしたりしないように、できる限りのことを行います。SOC 1レポートは、これらの計画を監査し、お客様が言っていることを実行していることを証明するのに役立ちます。
SOC 1監査では、いわゆる「統制」を調査します。これらは以下に適用される場合があります。
- プログラム。利用しているツールは情報を保護していますか？
- データ。お客様のワークフローでは、重要な情報の変更を許可していますか？
- リソースお使いのコンピューター、サーバー、その他の機器はデータを保護していますか？
監査人は、組織の物理的な要素を調査することがあります。監査人は、情報を保護するプロセス、権限、パスワードを調査することもあります。監査人は、すべてが完璧であることを証明する必要はありません。そうではなく、監査人は報告書で約束した内容が守られているかどうかを証明または反証しようとするだけです。
SOC 1レポートは必須ですか？
一部の業界は、以下を含むSOCレポートを作成するように規制または法的圧力を受けています。
- 医療：貴社はお客様のために医療費請求を処理していますか？
- 金融：顧客への融資サービスを提供していますか？給与処理を行っていますか？あらゆる財務データは、SOC 1レポートの対象となる可能性があります。
- データ：顧客の情報を保存していますか？金融情報を変更できるソフトウェアを提供していますか？
ここでは、情報を「書き込む」能力が重要になります。情報の閲覧のみが可能で、変更は一切できない場合、SOC 1レポートは不要な場合があります。ただし、データを変更する能力と権限があり、ミスをする可能性がある場合、レポートが非常に重要になる可能性があります。データを変更できる場合、貴社は技術的には「SOC 1サービス組織」と見なされ、潜在的な顧客から取引開始前にレポートの提示を求められる可能性があります。
SOC 1監査はどのように行われますか？
プロセスの一環として、クライアントデータを保護するために行うすべてのことを詳述する構成証明レポートを作成します。施設とスタッフの両方へのアクセス権も付与します。御社がその後の作業を行います。プロセスに数週間、あるいは数か月かかることを想定してください。
SOC 1監査を依頼するCPA事務所の適切な選び方とは？
SOC 1監査を処理するために、IT監査を専門とするCPA事務所を雇ってください。大変な作業を自分で行うことはお勧めできません。プロセスを一緒に歩む専門家が必要です。
SOC 1レポートの有効期間はどのくらいですか？
最終レポートは通常12か月間有効ですが、期間が長かったり短かったりするものもあります。開始する前に、税理士法人に有効期間を尋ねてください。
監査の一環として、不十分な認証が顧客データを危険にさらしている可能性があることに気づくかもしれません。当社のブログで、認証の不備を悪用する5つのアイデンティティ攻撃について調べてください。
よくある質問（FAQ）
Service Organization Control（SOC）1 Type 1レポートとType 2レポートの違いとは何ですか？
どちらの種類のレポートでも、組織はクライアントの財務データをどのように保護しているかを文書化する必要があります。重要な違いはスコープです。Type 1レポートは、特定の時点において適切なコントロールが導入されているかを評価するのに対し、Type 2レポートはさらに踏み込み、定義された期間にわたってそれらのコントロールが実際に有効に機能しているかを評価します。
自社にService Organization Control（SOC）1レポートは必要ですか？
貴社が、給与計算の処理、ローンの管理、財務報告に影響するデータの保存など、クライアントの財務データを変更できる場合、SOC 1サービス組織に分類される可能性が高いと言えます。その場合、顧客または規制当局から、取引関係に入る前にSOC 1レポートの提出を求められることがあります。
Service Organization Control（SOC）1監査を実施する資格があるのは誰ですか？
SOC 1監査は、IT監査を専門とする公認会計士事務所が実施する必要があります。監査を社内で試みることはお勧めできません。監査法人は、貴社の構成証明レポート、物理的施設、およびスタッフのプロセス、権限、アクセス制御をレビューします。
SOC（Service Organization Control）1監査にはどのくらいの時間がかかりますか？また、レポートの有効期間はどのくらいですか？
監査プロセスが完了するまでには、数週間、場合によっては数か月かかることもあります。最終決定後、作成されたレポートは通常12か月間有効ですが、正確な期間は異なる場合があります。プロセスを開始する前に、ご利用の公認会計士事務所に有効期間を確認することをお勧めします。
Service Organization Control（SOC）1の監査では、具体的にどのような統制が調査されますか？
SOC 1監査では、組織が利用するツール、ワークフロー、物理的または技術的なリソースがクライアントのデータを適切に保護しているかどうかを検証します。たとえば、ソフトウェアプログラムが情報を保護しているか、データワークフローが不正な変更を防止しているか、サーバーなどの機器のセキュリティが適切に確保されているか、といった点が対象となります。
証明報告書とは何か、またService Organization Control（SOC）1監査においてなぜ重要なのでしょうか？
SOC 1監査プロセスの一環として、貴社はクライアントのデータを保護するために行っているすべての取り組みを詳述した証明報告書を作成します。その後、CPA事務所は、貴社の施設やスタッフへのアクセス権とともにこれらのレポートを使用して、貴社がレポートに記載した約束事を遵守しているかどうかを証明または反証します。これは、監査人がお客様のコントロールを検証するための中心的な仕組みです。
参考文献
SOC for Service Organizations：サービス組織向けの情報。米国公認会計士協会（AICPA）。
