SOC2報告書が読めない原因と対策｜AI調達で見る4つの欄

「先方からSOC2の報告書をもらったのですが、百ページ以上あって、どこを見ればいいのか分かりませんでした」「セキュリティの担当に回したら、これは我々が読む書類ではない気がします、と戻ってきました」——外部のサービスを調達する審査では、この戸惑いが繰り返されます。読めないのは、担当者の知識が足りないからではありません。この報告書は、読み手がいくつかの前提をすでに知っていることを見込んで書かれた書類だからです。前提を知らないまま開けば、どのページも同じ濃さの文章に見えます。逆に、見込まれている前提を先にそろえれば、読む場所は4か所に絞れます。この記事では、報告書という書類そのものの読み方を、種別、対象になった原則、監査人の意見、例外と除外事項の順に整理し、最後に、読むと必ず出てくる自社側の宿題までをたどります。

読めない正体は、報告書が読み手を選んでいることにある

日本でこの種の報告書を作る実務は、日本公認会計士協会のIT委員会実務指針第7号「受託業務のセキュリティ・可用性・処理のインテグリティ・機密保持に係る内部統制の保証報告書」が定めています。この指針が置いている「想定利用者」の定義が、読めなさの理由をそのまま説明しています。想定利用者とは、サービスを使う会社やその監査人や規制当局であって、「受託会社によって提供される業務の性質、受託会社のシステムの作用、内部統制とその限界、相補的な内部統制の作用及び該当する原則とその規準とその充足を脅かすリスクに関する十分な知識と理解を有すると想定される者」だと書かれています。報告書は、この5つを知っている人に宛てて書かれているということです。

知らずに開けば読めないのは当たり前で、書類の側の不備ではありません。逆に言えば、5つのうち自社に足りないものを埋めれば読めます。業務の性質と、システムがどう動くかは、契約書と提案資料に書いてあります。内部統制の限界と、規準そのものは、この記事の後半で扱います。残る一つ、相補的な内部統制、つまり自社の側でやることになっている統制が、多くの会社で欠けている前提です。ここが空いたまま読むと、報告書は「相手が頑張っている記録」にしか見えません。

もう一つ、読めなさの原因が同じ指針に書かれています。報告書の中心には、相手の経営者が書いた「システムに関する記述書」が入るのですが、その記述書について指針は「記述書は広範囲の想定利用者に共通するニーズを満たすために作成される。したがって、個々の想定利用者がその特定の環境において重要と考える受託会社のシステムの全ての側面が含まれているわけではない」としています。つまり、自社が本当に知りたいことが書かれていないのは、隠されたのではなく、最初からそういう作りの書類だからです。書いてある範囲で判断し、足りない分は別に聞く。この分け方を先に持たないと、報告書を何度読み返しても答えは出てきません。

誰が作り、誰に宛て、何を保証している書類なのか

登場する立場は3つです。サービスを提供する相手の会社。その会社の内部統制を検証して意見を述べる公認会計士または監査法人。そしてサービスを使う自社です。指針の言葉では順に受託会社、業務実施者、委託会社と呼ばれます。報告書の中身も3つの部品でできています。相手の経営者が書いたシステムに関する記述書。その記述書の内容についての相手の確認書。そして会計士の保証報告書です。厚い部分のほとんどは、監査人ではなく相手の経営者が書いた記述書で、会計士の意見はその中の数ページに収まります。

何に照らして意見を述べるのかというと、米国公認会計士協会とカナダの職業会計士の団体が定めた規準です。日本公認会計士協会は、その2017年版を日本語に訳して2022年12月28日に公表しています。正式な名称は長いのですが、訳の表題に並んでいる5語がそのまま5つのカテゴリーの名前になっています。セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーの5つです。この規準は、規準の文言に「組織の目的を達成するように」という言い方を多用しますが、同じ資料は、この種の業務では目的が顧客へのコミットメント、つまり相手が自社に対して行った約束に読み替えられると説明しています。約束の中身が違えば、同じ規準でも見られる内容が変わるということです。

最後に、受け取り方の作法を一つ。指針は、業務実施者が「想定利用者以外への保証報告書の配布、想定利用者以外の使用又は他の目的での使用を明確に制限する表現を含めることが適切と考えることがある」と書いています。報告書が秘密保持の合意とセットで届くのはこのためで、社内の共有範囲も、外部の道具に読ませてよいかどうかも、この制限の文言を先に読んでから決めることになります。後半でAIに読ませる話をしますが、順番はここが先です。

欄1：種別。一時点のデザインか、一定期間の運用か

最初に見るのは種別です。呼び方はタイプ1とタイプ2で、規準の資料は違いをはっきり書いています。タイプ2は、特定の期間を通じた内部統制のデザインの適切性と運用の有効性を扱います。そしてタイプ1については、同じ主題を扱うが「タイプ１の報告書には、内部統制の運用の有効性に関する意見も、当該受託会社監査人が実施した内部統制のテストと、そのテストの結果の詳細な記述も含まれていない」と書かれています。タイプ1は、設計図が要件を満たしているかまでの報告で、その設計が実際に回っていたかは対象外です。

見る点	タイプ1（一時点）	タイプ2（一定期間）
対象の時点	基準日現在の状態	特定の期間を通じた状態
意見の対象	記述書の表示とデザインの適切性	左に加えて運用の有効性
テストの結果	詳細な記述は含まれない	実施した手続と結果の記述が入る
買う側に分かること	仕組みとして成立しているか	実際に守られていたか、例外は何件か
分からないこと	回っていたかどうか	対象期間より後のこと
向いている場面	立ち上げ直後の相手を初めて見るとき	継続して使う相手、預けるデータが重いとき

買う側の実務では、この表の最終行が判断の分かれ目になります。設立から日の浅い相手や、新しく出したばかりのサービスは、運用の実績そのものがまだ積み上がっていないので、タイプ1しか出せません。そこでタイプ1を理由に落とすと、選択肢が不必要に狭まります。代わりに、いつタイプ2に切り替わるかを聞き、次の更新で受け取る約束にしておく。次の更新までは、設計が回っているかどうかを自社の側で見る、という整理になります。

• 種別を見ずに、報告書があるかどうかだけで審査を通す
• タイプ1というだけで相手を落とし、代わりの確かめ方を用意しない
• タイプ2だからという理由で、対象期間も例外の欄も見ずに合格にする

期間の欄は、長さと終わりの日を別々に見る

長さの目安は6か月

タイプ2には対象期間が書かれます。長さの目安について、財務報告に関連する受託業務を扱う側の指針（保証業務実務指針3402）は「タイプ２の報告書は、通常、６か月以上の期間を対象とする。対象期間が６か月未満の場合、受託会社監査人は、受託会社監査人の保証報告書に、対象期間が６か月より短い理由を記載することが適切と考えることがある」としています。この記述はセキュリティ等を対象にする報告書の指針で確認できたものではないため、同じ日数がそのまま当てはまると断定はできません。ただ、期間が短いときは理由が書かれているはずだと考えて探すのは、どちらの報告書でも有効な読み方です。

終わりの日から今日までに、3つの空白がある

長さより効くのが、対象期間の終わりの日です。ここから今日までの間に、空白が3つ並びます。1つ目は、対象期間の最終日から報告書の日付までの間。この区間について指針は、相手の経営者が「受託会社のシステムに重要な影響を及ぼす可能性のある全ての事象」を監査人に示すよう求めており、その意味では完全な空白ではありません。2つ目は、報告書の日付から今日まで。ここは誰も見ていません。3つ目は、今日から次の報告書が出るまでです。3つ合わせると、1年ものの報告書でも、見られていない期間のほうが長いという状態は普通に起こります。

生成AIを載せたサービスでは、この空白が実害につながります。基盤になるモデルの入れ替えや、応答の作り方の変更は、数か月単位で起こるからです。ただし手がかりはあります。指針は、タイプ2の報告書について「記述書の対象とする期間における受託会社のシステムの変更の内容が記述書に記載されているかどうか」を確かめる項目に挙げています。期間中にモデルや処理の仕組みを変えたなら、記述書の変更の欄に出てくるはずです。何も書かれていなければ、本当に変えていないのか、記述書の対象に入っていないのかを聞く。ここが、報告書から質問を作れる最初の場所になります。

欄2：対象になった原則。5つのうちどれを選んだかは相手が決めている

次に開くのは、どのカテゴリーを対象にした報告書かという欄です。規準は5つのカテゴリーを次のように定義しています。セキュリティは、情報とシステムが未承認のアクセスや開示、システムのダメージから保護されていること。可用性は、情報とシステムが組織の目的を達成するように操作でき、使用できること。処理のインテグリティは、システム処理が「完全、正当、正確、適時であり、かつ、承認されている」こと。機密保持は、機密とされた情報が保護されていること。プライバシーは、個人に関する情報が収集、使用、保持、開示、廃棄されていることです。

ここで決定的なのは、この5つのうちどれを対象にするかを決めるのが相手だという点です。実務の指針は「該当する原則とその規準」を「当該受託会社の経営者によって選択された原則とその規準」と定義しています。そして規準の側は「セキュリティについては、共通規準だけで完全な１組の規準が構成される」としており、セキュリティだけを対象にした報告書は、それ自体としては不備ではありません。むしろ実務でよく見る形です。

問題は、選ばれなかったカテゴリーが何を意味するかです。生成AIを載せたサービスで効いてくるのは処理のインテグリティで、これは処理が完全で正確で承認されたものかを扱う唯一のカテゴリーです。対象がセキュリティだけなら、出てくる答えが正しいかどうかは一切見られていません。止まらないかを気にするなら可用性、預けたデータの扱いを気にするなら機密保持、個人に関する情報を通すなら、プライバシーが対象に入っているかを見る。この対応さえ頭に入れば、表紙の1行で自社の関心の半分に答えが出ます。

共通規準は9つの群に分かれる。AIの調達で先に開く群

セキュリティを対象にした報告書の中身は、共通規準という一組の規準に沿って並びます。この規準は、内部統制の代表的な枠組みの17の原則に合わせて作られており、その上に補足の規準が4つの束で足されています。束の名前は、論理的及び物理的アクセス管理、システム運用、変更管理、リスク軽減策です。全体としては第1群から第9群までの並びになり、報告書の中では第1群を統制環境、第6群をアクセス管理、第8群を変更管理といった具合に、群ごとに見出しが付いて章立てされているのが普通です。

時間が限られているなら、開く順番を決めておくと早く終わります。AIを載せたサービスの調達で先に開きたいのは4か所です。第6群のアクセス管理は、誰がどのデータに触れられるかを扱います。第7群のシステム運用は、異常の検知と事故への対応を扱います。第8群の変更管理は、規準の言葉で「インフラストラクチャー、データ、ソフトウェア及び手続の変更」を対象としており、モデルや処理の仕組みの入れ替えは、性質としてここに入ります。そして第9群の2番目の規準は「組織は、ベンダー及びビジネス・パートナーに関連するリスクを評価し、管理する」と定めており、相手がモデルを外から借りている場合の管理はここに現れます。

読むときに一つ注意があります。各規準には「着眼点」という補助の記述が付いていますが、規準の資料はこれについて「各着眼点が対処されているかどうかの判定が必要となるわけではない」と明記しています。着眼点をチェックリストのように使って、全部埋まっているかを数える読み方は、資料の想定から外れています。着眼点は、その規準が何を大事にしているかを知るための説明書きだと思って読み、判断は規準そのものと、後で見る例外の記述に寄せるのが正しい使い方です。

欄3：監査人の意見。限定が付く理由には2種類ある

3つ目の欄が意見です。ここは分量としては短く、何も付いていなければ数行で終わります。見るべきなのは、限定が付いているかどうかと、付いているならその理由の種類です。財務報告に関連する側の指針は、意見を分ける条件を2系統で書き分けています。1つ目は手続の制約で、証拠を十分に入手できない状況か、「十分かつ適切な証拠の入手を受託会社が妨げるような状況」があるとき。この場合は、影響の程度に応じて限定意見か、意見を表明しないという扱いになります。

2つ目は、見た結果が足りなかった場合です。記述書が実態を適正に表示しているとはいえない、内部統制が適切にデザインされているとはいえない、あるいはタイプ2で運用評価手続を実施した内部統制が有効に運用されていない、という3つが挙げられ、この場合は限定意見か否定的意見になります。買う側にとって、この2系統は同じ限定意見でも意味がほとんど逆です。1つ目は見られなかったという報告、2つ目は見たうえで足りなかったという報告だからです。

だから読む順番は、意見の一行ではなく、その根拠が書かれた区分になります。指針は、内部統制のデザインや運用に問題があった場合について、「当該除外事項の内容、期間（タイプ２の場合）、影響する統制目的を除外事項付意見の根拠区分に明瞭に記載することが適切である」としています。内容と期間と、どの規準に影響したかの3点が、根拠の区分に並んでいるはずです。この3点がそろっていれば、自社の使い方に当たるかどうかを自分で判断できます。そろっていない、あるいは書き方が曖昧なら、そこが最初の質問になります。

欄4：例外と除外事項。読む場所は結果の記述と根拠の区分

4つ目の欄は、実際に見つかった不具合です。タイプ2の報告書には、監査人が実施した手続とその結果の記述が入ります。多くは規準ごとに表の形で並び、左に相手が持っている統制、真ん中に監査人が実施した手続、右にその結果が書かれます。例外があれば、右の欄に文章で出てきます。ここを飛ばして意見だけを見る読み方が、最もよくある取りこぼしです。意見が限定なしでも、結果の欄に軽い例外がいくつも並んでいることはあります。

例外の重さは、件数では測れません。見るのは3点です。自社が使う機能に関係する規準で起きているか。起きた時期が対象期間のいつか、期間の終わり近くか。そして是正の状況が書かれているかどうかです。実務では、例外に対して相手の経営者が説明を添える形もよく見ますが、これが指針上の必須事項かどうかは本稿では確認できていないため、説明が付いていないこと自体を不備と決めつけないほうが安全です。付いていなければ、その例外について経緯と対応を聞く、という運びにします。

除外事項という言葉には、もう一つの使われ方があります。監査人の意見に付く限定の理由という意味と、次の章で扱う、再委託先が範囲から外されているという意味です。同じ報告書の中に両方が出てくるので、読むときは意見の根拠の区分に書かれた除外事項と、範囲の記載にある除外方式を分けて扱う。この2つを混ぜたまま社内に説明すると、議論が「不備があった相手かどうか」に流れて、本当に見るべき「どこが範囲外か」が抜け落ちます。

再委託先が抜けている報告書。除外方式と一体方式のどちらか

相手が業務の一部をさらに外に出している場合、報告書での扱い方は2通りに決まっています。実務の指針は除外方式について、「記述書に再受託会社に再委託している業務の内容が記載されるが、再受託会社の該当する原則とその規準及び関連する内部統制は、受託会社のシステムに関する記述書及び業務実施者の業務の範囲から除かれる」と定義しています。もう一方の一体方式では、再委託先の規準と内部統制が範囲に含まれます。除外方式なら、その先の会社の統制は見られていません。

ただし、除外方式でも完全な空白にはなりません。同じ定義の続きに、範囲には「再受託会社の内部統制の有効性をモニタリングする受託会社の内部統制が含まれ、これには、受託会社が再受託会社の内部統制の保証報告書を入手して検討することが含まれることがある」と書かれています。つまり、その先を見張る仕組みを相手が持っているかどうかは、報告書の範囲に入っている。除外方式の記載を見つけたら、次に探すのはこの見張りの統制です。

生成AIの調達では、この章が最も効きます。AIを載せたサービスの多くは、応答を作る中核の部分を外の提供元から借りているからです。借りている先が除外方式で外されていれば、自社が本当に気にしている場所は、報告書の対象になっていないことになります。だから聞くのは3つです。中核のモデルの提供元は範囲に入っているか。除外方式なら、その提供元の報告書を相手は入手して検討しているか。検討の結果を、自社にも示せるか。3つ目まで聞いておくと、提供元が変わったときに知らせが来る関係を作りやすくなります。

4つの欄を、届いた報告書のどこから拾うか

ここまでの4つを、実際のページに割り付けます。報告書は3部構成なので、開く順番も決まります。会計士の保証報告書から入って種別と期間と意見を取り、次に記述書の冒頭で範囲を取り、最後に結果の記述で例外を拾う。この順番なら、厚さに関係なく、最初の30分で「自社に当たるかどうか」の当たりが付きます。

欄	報告書のどこにあるか	読み取れること	空欄・不明なときの聞き方
種別と期間	会計士の保証報告書の表題と範囲の区分	一時点の評価か、期間の評価か。いつまで見られているか	次はいつの期間で出るか。切り替えの予定はあるか
対象の原則と範囲	記述書の冒頭（業務の種類、システムの範囲と境界、構成要素）	5つのうちどれが対象か。どのサービスと拠点が入っているか	自社が使う機能は、この範囲の中に入っているか
監査人の意見	意見の区分と、限定が付く場合はその根拠の区分	限定の有無と、その理由が制約か不足か	根拠の区分に、内容と期間と影響した規準が書かれているか
例外と除外	手続とその結果の記述、および再委託先の扱いの記載	実際に起きた不具合と、範囲から外れている先	自社の使い方に当たる例外か。外れている先をどう見張っているか

範囲の欄には、もう一段細かい手がかりがあります。指針は記述書に書くシステムの構成要素として、インフラ、ソフトウェア、人員、手続、データの5つを挙げ、さらにシステムの境界を記載する項目を置いています。AIを載せたサービスなら、応答を作る部分がこの5つのどれとして数えられているか、そもそも境界の内側にあるかを見ます。境界の外に置かれていれば、報告書の対象は、その周りの入れ物だけということになります。

読むと自社の宿題が出てくる場所。相補的な委託会社の内部統制

ここが、この書類でいちばん見落とされる欄です。指針は記述書に書くべき項目として「内部統制をデザインする段階で想定されている委託会社の相補的な内部統制」を挙げています。この言葉の定義は、財務報告に関連する側の指針にあり、「受託業務をデザインする段階で、委託会社において整備されることを受託会社が想定する内部統制であり、受託会社のシステムに関する記述書において統制目的の達成に必要な内部統制として識別され、記載されるもの」とされています。分かりやすく言えば、相手の仕組みが成立するために、自社の側でやることになっている統制です。

見せ場は、報告書の文例に付いている注記です。指針の付録に載っている文例には、こう書かれています。「記述書は、受託会社の内部統制のデザインで考慮された相補的な委託会社の内部統制が、受託会社の関連する内部統制に加えて、適切にデザインされており、有効に運用されている場合のみ、記述書に特定された該当する原則とその規準を充足できることを示す。当監査法人は、当該相補的な委託会社の内部統制のデザインや運用状況の有効性を評価していない」。この1文は、2つのことを同時に言っています。自社側が回っていなければ、規準は満たされない。そして監査人は、自社側を見ていない。報告書を受け取った瞬間に、自社に宿題が発生する仕組みになっているのです。

AIを載せたサービスで、この欄によく並ぶ内容は想像が付きます。利用者の登録と停止を自社が行うこと。入力してよいデータの範囲を自社が定めて周知すること。管理者の設定を自社が正しく行うこと。記録を自社が定期的に確認すること。事故の連絡先を自社が登録しておくこと。ただし実際に何が書かれているかは相手のサービスごとに違うので、この5つを前提にせず、必ず届いた記述書から抜くのが手順です。

生成AIを載せたサービスに、規準は専用の欄を持っていない

ここまでの構成を、生成AIを載せたサービスに当てはめると、抜けが見えます。共通規準の9つの群と、可用性、処理のインテグリティ、機密保持、プライバシーの追加の規準を通して見ても、どのモデルを使っているか、学習に何を使ったか、追加の学習をしたかどうかを書く欄はありません。本稿で確認した2022年12月28日の資料の時点では、AIに固有の規準は見当たりません。その後に追加されたかどうかも、公表資料では確認できませんでした。だから、報告書だけでAIの部分を確かめることはできない、と考えるのが正確です。

近いのは処理のインテグリティで、処理が完全で正当で正確で適時で承認されているかを扱います。ただしこれは相手が選ばなければ対象になりません。また、この規準が扱うのは処理の正しさであって、生成された文章の中身が事実かどうかを保証するものとは読めません。つまり、報告書に書いてある通りに運用されていても、出力の誤りは別の問題として残ります。ここを混同したまま社内に説明すると、報告書を根拠に「確認は不要になった」という結論が出てしまいます。

報告書の外で聞くことは、4点に絞れます。応答を作る中核の部分は、自社で持っているのか、外から借りているのか。自社が入力した内容を学習に使うのか、使わない設定にできるのか。中核の部分を入れ替えたとき、いつ、どの経路で自社に知らせるのか。出力の誤りが業務に影響したとき、原因を特定するための情報をどこまで出せるのか。4点とも、報告書に欄がないから別紙で聞くという位置づけです。報告書の不備として指摘する話ではありません。

AIに任せてよい工程と、人が決める工程

百ページを超える書類なので、読む作業の一部をAIに任せたくなります。任せてよいのは3つです。章立ての抽出。前回の報告書との差分の抽出。そして専門用語の言い換えです。特に差分は効きます。同じ相手から2年目の報告書が届いたとき、範囲が狭まっていないか、例外が増えていないか、自社側の統制の記載が変わっていないかを機械的に並べられます。差分は事実の抽出なので、AIが得意な部分です。

人が決めるのは3つです。見つかった例外が自社にとってどれだけ重いか。その相手との取引を続けるかどうか。そして自社側の統制を誰に割り当てるかです。どれも、自社の業務がどれだけ止まるか、どの情報が漏れると何が起きるかを知っている人でなければ判断できません。AIに読ませるときは、どの章の何ページに書いてあるかを必ず出させ、書いていないことは書いていないと答えさせる。要約だけを見て判断しないという線を、最初に引いておきます。

• 配布の制限を読まずに、報告書をそのまま外部のAIサービスに読み込ませる
• AIの要約だけを審査の記録として残し、原文の該当箇所を確かめない
• 自社側の統制の一覧をAIに作らせ、担当を決めないまま社内に配る
• 例外の重さをAIに点数付けさせ、その点数で取引の可否を決める

• 読ませる前に、報告書に付いている利用と配布の制限の文言を確認する
• 自社の情報の取り扱い規程で、外部の道具に入れてよい区分かどうかを先に見る
• 抽出は任せてよいが、抽出できなかった項目の一覧も同時に出させる
• 審査の記録には、AIの出力ではなく、原文の該当ページを引いて残す

速く出る報告書が増えた。2026年に監査の側で起きたこと

報告書の作られ方についても、2026年に動きがありました。米国公認会計士協会の会計専門誌は2026年5月14日に、会計事務所どうしの品質レビューを担当する人へ向けた指針が出たことを伝えています。そこで挙げられている懸念は、「その受託会社に固有のリスクに応えた設計になっておらず、報告書、リスク評価、サンプル数、手続がどれも同じになっている業務」です。併せて、外部のプラットフォームに頼りすぎて職業的専門家としての判断を働かせていないこと、そして業務の期間の妥当性が挙げられ、監視の強化は2026年6月1日から始まるとされています。

同じ協会のサービス紹介ページには、2026年2月1日付で「速くて簡単という売り文句が信用を脅かす」という趣旨の記事も並んでいます。ここから買う側が受け取るべきなのは、報告書があるという事実だけでは、品質の担保にならないということです。とはいえ、届いた報告書を疑ってかかるのは行き過ぎですし、外から品質を判定できるものでもありません。できるのは、自社の使い方に触れている記述があるかを見ることだけです。

• 記述書に、自社が使う機能や連携の形が具体的に書かれているか
• 手続の記述が、実施した内容と対象の数まで含んでいるか
• 相補的な統制の記載が、どのサービスにも当てはまる一般論で終わっていないか
• 監査人の名称と事務所の所在地が記載されているか
• 前回の報告書と比べて、範囲と手続がまったく同じままになっていないか

確認票、認証、保証報告書。どれを求めるかを選ぶ

最後に、相手に何を出させるかの選び方です。手元に届く書類は性格の違う3種類があり、混ぜて考えると要求が過剰になります。確認票は相手が自分で書く自己申告で、聞きたいことをこちらの様式で聞ける代わりに、第三者の検証は入りません。認証は、規格への適合を審査機関が確かめたもので、適合の有無は分かりますが、期間中に何件の例外があったかは通常表に出ません。保証報告書は、会計士が規準に照らして意見を述べるもので、範囲と期間と例外まで開示される代わりに、作る側の負担が最も重い形式です。

3つの違いは、確かめた人、対象の切り方、期間の扱い、例外の見え方の4点に出ます。確認票は相手自身が答え、対象はこちらが決めた設問、期間は答えた時点、例外は書かれれば分かるという形です。認証は審査機関が確かめ、対象は認証の範囲として定めた業務、期間は審査と更新の周期になり、個々の例外は通常表に出ません。保証報告書は会計士が確かめ、対象は相手が選んだ原則と記述書の範囲、期間は基準日か対象とした期間で、例外は手続の結果として記述されます。小さな取引や代替の効くサービスなら確認票、継続的な体制を見たいなら認証、止まると困る相手や重いデータを預ける相手なら報告書、というのが目安になります。

選び方の基準は3つです。取引の金額。止まったときに自社の業務がどれだけ止まるか。そして預けるデータがどれだけ機微かです。3つとも軽い相手にまで報告書を求めると、相手の作成費用が価格に乗って戻ってくるだけになります。報告書を出せない相手の場合は、確認票に加えて、設定の画面の写し、事故が起きたときの連絡の手順、記録の保存期間といった個別の記録を出してもらう形に落とすのが現実的です。

よくある質問

報告書を出せない相手とは、取引できないのでしょうか

そうとは限りません。報告書は作る側の負担が重く、規模の小さい提供元では持っていないほうが普通です。見るべきなのは書類の有無ではなく、自社が確かめたいことを別の形で示せるかどうかです。確認票と個別の記録で足りる取引は多く、止まっても業務が続く範囲なら、そちらのほうが合理的です。

報告書に有効期限はありますか

期限という形の定めは、本稿で確認した資料の中には見当たりませんでした。そのため、有効かどうかではなく、対象とした期間と報告書の日付で判断するのが正確です。毎年出す相手なら、前の期間の終わりから次の期間の始まりまでに空白がないかを見ると、継続して見られているかが分かります。

英語の報告書しか出てこない場合はどうしますか

構成は同じなので、開く場所は変わりません。種別と期間、対象の原則、意見、結果の記述の4か所を探せば足ります。全文を訳す必要はなく、意見の区分と、限定が付いている場合の根拠の区分、そして自社側の統制の一覧の3か所を正確に訳せば、判断はできます。

自社でも取っておいたほうがよいのでしょうか

自社が誰かにサービスを提供していて、その相手から同じ書類を求められる立場なら、検討する価値があります。ただし、まず出てくるのは費用と工数なので、求められている頻度と、その取引の規模を先に数えるのが順番です。求められていないうちに取るという判断は、営業上の理由がある場合に限られます。

何ページくらいある書類なのですか

分量の目安を示した公表資料は、本稿では見つけられませんでした。実務では数十ページから百ページを超えるものまで幅があります。ただ、厚さは判断に関係しません。厚くなる理由の多くは相手の記述書が詳しいことで、自社が見る4か所の位置は、厚さが変わっても同じです。

まとめ

SOC2の報告書が読めないのは、書類の仕様です。実務の指針は、想定利用者を業務の性質、システムの作用、内部統制の限界、自社側の統制、規準とリスクについて「十分な知識と理解を有すると想定される者」と定義しており、報告書はその前提の上に書かれています。加えて、中心にある記述書は「広範囲の想定利用者に共通するニーズを満たすために作成される」ため、自社が知りたいことが書かれていないのは、初めから織り込まれた性質です。だから読み方は、全部を理解しようとするのではなく、4つの欄だけを順番に開く形になります。

4つの欄は、種別と期間、対象になった原則、監査人の意見、例外と除外事項です。種別は一時点か一定期間かで分かれ、タイプ1にはテストの結果の記述が入りません。原則は5つの中から相手が選んでおり、処理のインテグリティが入っていなければ、出てくる答えの正しさは見られていません。意見の限定は、見られなかったのか、見たうえで足りなかったのかで意味が逆になります。例外は結果の記述に出て、範囲から外れた再委託先は除外方式の記載に出ます。

そして読み終えると、自社の宿題が出ます。報告書の文例の注記は、自社側の統制が「適切にデザインされており、有効に運用されている場合のみ」規準を満たせるとし、監査人はそこを評価していないと明記しています。生成AIを載せたサービスでは、規準にモデルと学習の欄がなく、中核の提供元が範囲から外れていることもあります。AIに任せてよいのは章立ての抽出と前年との差分まで。例外の重さと、取引を続けるかどうかと、自社側の統制の割り当ては人が決める。この分け方にしておけば、報告書は提出物ではなく、次の取引と自社の運用を決める材料になります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。