受託会社の内部統制に係る保証報告書の枠組み　～SOC1（ISAE3402/SSAE16/86号）, SOC2（IT7号）, SOC3（SysTrust/WebTrust/IT2号）の有効活用に向けて～

米国では、2011年にSOC（Service Organization Controls：受託会社の内部統制）保証報告書の体系をSOC1、SOC2、SOC3の3種類に整理し、また日本ではSOC2に該当する基準として、2013年にIT7号 を公表しました。これにより、既存の財務報告に係る内部統制の報告書に加え、受託会社が提供する財務報告以外のサービスに係る内部統制に焦点を当てた保証報告書の提供が可能となり、委託会社のニーズにより広く対応することができるようになりました。

以下では、受託会社の内部統制に係る保証報告書（SOC報告書）の概要と主にSOC2/SOC3報告書の適用に関するガイダンスについて、トピックごとに説明を行います。なお、以下では、日本基準及び国際基準における報告書も含めて、SOC1、SOC2、SOC3のカテゴリ区分で総括して説明を行っています。

1. 受託会社の内部統制に係る保証報告書SOC報告書の概要
   1. SOC報告書のフレームワーク
   2. SOC報告書の種類
   3. SOC報告書のタイプ
   4. SOC報告書別の対象範囲の比較
   5. SOC2/SOC3の原則
   6. SOC2/SOC3の基準
   7. SOC2とSOC3の相違点
   8. SOC報告書の構造
2. SOC2/SOC3レポートの実務
   1. コントロールとサービスによるSOC報告書の選択
   2. 委託会社がSOC2/SOC3を採用する際の進め方
   3. 委託会社によるSOC報告書評価時の主要な観点
   4. 受託会社がSOC2/SOC3を採用する際の進め方
   5. 受託会社へご提供するサービス
3. まとめ