SOC報告書
SOC Reports
ストーリー（冒頭プレビュー）
🦉 Episode 12: 信頼の証明書 --- SOC報告書
金曜の朝。カイロウはオフィスのデスクに座り、先輩が持ってきた分厚い冊子を見つめていた。
💼「今日はISC科目の最重要テーマだ。SOC報告書。これまで学んできた全ての知識がここに集約される」
🦉「SOC報告書って、具体的に何ですか？」
💼「サービス組織の統制について、独立した監査人が評価した報告書だ。企業がクラウドサービスやデータ処理を外部に委託する場合、委託先の統制が適切かどうかを確認する手段がSOC報告書だ」
SOC 1とSOC 2 --- 「何を評価するか」の違い
💼「SOC報告書にはSOC 1、SOC 2、SOC 3の3種類がある。まずSOC 1とSOC 2の違いを押さえよう」
🦉「どう違うんですか？」
💼「SOC 1 は、委託会社の財務報告に関する内部統制（ICFR） に関連するサービス組織の統制を評価する。つまり、給与計算代行や会計処理代行のような、委託会社の財務諸表に直接影響するサービスが対象だ」
💼「SOC 2 は、Trust Services Criteria（TSC） に基づいてサービス組織の統制を評価する。セキュリティ、可用性、処理のインテグリティ、機密性、プライバシーの5つの観点だ」
🦉「つまりSOC 1は会計・監査寄りで、SOC 2はIT・セキュリティ寄り？」
💼「その通り。そしてSOC 3は、SOC 2と同じTSCを使うが、配布制限がない。一般公開用の簡潔な報告書だ」
Type 1とType 2 --- 「いつの」統制を評価するか
💼「SOC 1にもSOC 2にも、Type 1とType 2がある」
🦉「何が違うんですか？」
💼「Type 1 は、ある一時点での統制の設計の適切性を評価する。『この日時点で、統制はこう設計されています』という報告だ」
💼「Type 2 は、一定期間にわたる統制の設計と運用の有効性を評価する。『この6ヶ月間、統制はこう運用され、テストした結果こうでした』という報告だ」
🦉「Type 2の方が信頼性が高いんですね。実際に動いていたかを確認するから」
💼「そうだ。Type 1は設計だけ。Type 2は設計＋運用。試験ではこの区別が頻出だ」
委託会社と再受託会社 --- 「責任の連鎖」
午前中、クライアントのDataHub社を訪問した。DataHub社はクラウドデータ処理サービスを提供しているが、インフラの一部をさらに別の会社に委託していた。
インプット（冒頭プレビュー）
この章の試験での位置づけ
CPA Exam Blueprint（試験設計図） とは、AICPA（米国公認会計士協会）が公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。
| 項目 | 内容 |
|---|---|
| 所属エリア | Area IV -- System and Organization Controls (SOC) for Service Organizations |
| Blueprint参照 | IV-A: Understand and evaluate SOC engagements, reports, and related concepts |
| エリア出題比率 | 15--25% |
| 求められるスキルレベル | Application / Analysis --- SOC報告書の種類選択、意見の判断、当事者の役割、再受託会社の取扱いをシナリオに適用する |
このChapterのポイント: SOC報告書はISCの最頻出テーマ。MCでもTBSでも繰り返し出題される。SOC 1 vs SOC 2 vs SOC 3の違い、Type 1 vs Type 2の違い、登場人物（サービス組織・利用会社・利用会社監査人・サービス監査人）の役割、再受託会社の取扱い（包括法/除外法）、CUECs（相補的統制）、報告書の構成要素と意見の種類を正確に理解すること。Ch11（Trust Services Criteria）と対になる章であり、TSCが「ものさし」ならSOC報告書は「そのものさしで測った結果をまとめた成績表」。
前提知識 --- この章に入る前に、分かっているとラクなこと
| 前提知識 | なぜ必要か |
|---|---|
| Trust Services Criteria（Chapter 11） | SOC 2/SOC 3の評価基準。TSCの5カテゴリ（Security必須＋任意4つ）と共通規準（COSO対応）を知らないとSOC 2報告書の中身が理解できない |
| COSO内部統制フレームワーク（Chapter 4） | SOC 1の統制目標、TSCの共通規準はいずれもCOSOの5構成要素・17原則を前提にしている |
| 監査報告書・証明業務の基礎（AUD Ch15-16） | SOC報告書はSSAE（証明業務基準）に基づく。意見の階層（無限定/限定/不適正）は監査意見と同じロジック |
| BCP/DRPのRTO・RPO（Chapter 6-7） | SOC 2 Availabilityカテゴリの統制評価やCUECsの議論でRTO/RPOの考え方がそのまま使われる |
1. なぜこの論点が必要か（Why）
ISCの全体像マップ --- 今どこにいるか
【ISCの全体フロー】
続きとアウトプット演習・整理ノートはISC教材（購入者限定）でご覧いただけます。