譲謙（ゆずけん）さん、前にも言った通り、うちでは給与計算をクラウド型のサービス会社に委託しておるのじゃが、監査人からその会社のSOCレポートの提出をまた求められたのじゃ。復習もかねて、あらためてSOCレポートとは何か教えてくれんかのう？会社社長の鬣（たてがみ）が、おもむろに会計コンサルタントの譲矢謙吉（ゆずりやけんきち；通称、譲謙）に尋ねた。

「System and Organization Controls（SOC）レポートですね。SOCは米国公認会計士協会（AICPA）が定める基準に基づいて発行される、第三者の保証報告書で、外部委託先（Service Organization）の内部統制について評価したものです。」

「なぜ、そんなものが重要なのじゃ？」

「近年、多くの業務がクラウドサービスを通じて処理されるようになってきたことが理由です。」

「クラウドは導入が早く、どこからでもアクセスでき、コストも比較的安く、操作も簡単で、常に更新される。今やビジネスには欠かせん存在じゃのう。」

「おっしゃるとおりです。ただし、監査の観点からは、クラウドサービスの利用にあたり、そのサービス提供会社の内部統制が適切に整備・運用されているかが重要な論点となります。」

「どのようなクラウドサービスがあるのじゃ？」

「例えば、監査証憑の確認ではConfirmation.com、請求書処理ではBill.com、顧客管理ではZohoやSalesforce、ERPではQuickBooks OnlineやNetSuite、給与計算ではADP、売上税管理ではAvalara、文書管理ではDropbox、税務ソフトではCCH Axcessなど、多岐にわたります。これらのサービス提供会社は、一般にService Organizationと呼ばれます。」

「ほう、ずいぶん多いのう。」

「はい。企業はこうしたサービスを活用することで業務の効率化や高度化を図っていますが、その一方で、委託先の管理が不十分だと重大なリスクにもなり得ます。」

「なるほど、その通りじゃな。」

「そこで重要になるのがSOC（System and Organization Controls）レポートです。」

「それには種類があるのか？」

「はい、主にSOC1、SOC2、SOC3の3種類があります。

SOC1は、ユーザー企業の財務諸表監査に関連する内部統制（財務報告に係る内部統制）についての報告書で、主に監査人による利用が想定されており、配布も限定されています。

SOC2は、セキュリティ、可用性、処理の完全性、機密性、プライバシーといった信頼性サービス基準（Trust Services Criteria）に基づく内部統制についての報告書で、特定の利用者（顧客や監査人など）に限定して提供されます。デューデリジェンスなどでも利用されます。

SOC3はSOC2と同じ基準に基づいていますが、詳細な統制内容は省略され、一般公開を前提とした簡易的な報告書であり、主にサービス提供会社の信頼性を示す目的で利用されます。配布に制限はありません。」

「ふむふむ、いろんなものがあるな。勉強になったありがとう。」

米国公認会計士齊藤事務所 (www.saitollp.com, info@saitollp.com)：齊藤幸喜