SOC 1報告書と再委託先
SOC 1 Reports and Subservice Organizations
この記事のポイント① SOC 1は、委託元の 財務報告financial reporting に関わる受託会社の統制についての報告
② 再委託先の扱いは 除外方式carve-out method か 一体方式inclusive method
③ 委託元に求められる統制 ＝ 相補的なユーザー統制complementary user entity controls: CUECs
② 再委託先の扱いは 除外方式carve-out method か 一体方式inclusive method
③ 委託元に求められる統制 ＝ 相補的なユーザー統制complementary user entity controls: CUECs
1SOC 1報告書の構成
Contents of a SOC 1 report
1
受託会社の監査人の意見Service auditor's opinion
システムの説明が適正か、統制の設計（タイプ2なら運用も）が有効か
2
経営者の主張Management's assertion
受託会社の経営者が、説明と統制について主張する
3
システムの説明Description of the system
業務の流れ、統制の目的、統制の内容
4
テストと結果（タイプ2）Tests and results
監査人が行ったテストの内容と、見つかった例外
| タイプ1 Type 1 | タイプ2 Type 2 | |
|---|---|---|
| 対象 | ある時点の設計 | 一定期間の設計と運用 |
| 委託元の監査人の使い方 | 統制の理解 | 統制リスクを下げる根拠 |
2再委託先
Subservice organizations
| 除外方式 Carve-out method | 一体方式 Inclusive method | |
|---|---|---|
| 再委託先の統制 | 説明から除き、範囲に入れない | 説明に含め、テストもする |
| 必要なこと | 委託元が再委託先を別に確かめる（相補的な再委託先の統制CSOCsを記載） | 再委託先の経営者の主張も必要 |
| 使われる場面 | よく使われる | 再委託先の協力が得られる場合 |
英語で読む
Under the carve-out method, the subservice organization's controls are excluded from the description and from the scope of the service auditor's engagement.
除外方式では、再委託先の統制は、システムの説明と受託会社の監査人の業務の範囲から除かれる。
3委託元と例外の扱い
User entities and exceptions
| 項目 | 内容 |
|---|---|
| 相補的なユーザー統制（CUECs） | 受託会社の統制が働く前提として、委託元が行う必要のある統制（例：委託元がアクセス権を承認する） |
| 例外が見つかった | 委託元の監査人は、例外の内容と自社への影響を評価し、追加の手続を考える |
| 報告の対象期間と期末のずれ | 報告の期間が委託元の期末をカバーしていなければ、つなぎの確認（ブリッジ・レター）などで補う |
| 委託元の監査人の報告書 | 受託会社の監査人の名前は書かない |
4この記事の英単語
Key terms
SOC 1 report
SOC 1報告書
service organization
受託会社
user entity
委託会社
subservice organization
再委託先
carve-out method
除外方式
inclusive method
一体方式
complementary user entity controls
相補的なユーザー統制
complementary subservice organization controls
相補的な再委託先の統制
bridge letter
ブリッジ・レター
exceptions
例外（逸脱）
→ 発音・例文は「USCPA英単語」ページと、単語帳『Before USCPA』で確認できます。
5確認問題
Practice questions — 本試験と同じく英語で解いてみよう
情報システムと内部統制の一般的な考え方、AICPAのTrust Services Criteria・SOC報告書、NISTなどの公開された枠組みの考え方を、本サイトが日本語でまとめたものです。英文・設例・問題は本サイトが作成したものです。