EYとは、アーンスト・アンド・ヤング・グローバル・リミテッドのグローバルネットワークであり、単体、もしくは複数のメンバーファームを指し、各メンバーファームは法的に独立した組織です。アーンスト・アンド・ヤング・グローバル・リミテッドは、英国の保証有限責任会社であり、顧客サービスは提供していません。
EYの関連サービス
-
外部への委託業務に係る内部統制の状況を把握し、その有効性の評価に利用する報告書（保証業務実務指針3402/AT-C320に基づく報告書 ）をはじめ、Trustサービス（情報システムの信頼性や電子商取引の安全性などに係る内部統制についての保証）など、第三者機関としての報告業務（System and Organization Controls Reporting、以下SOCR ）を提供します。
続きを読む -
企業は、クラウドサービスをはじめとする外部のリソースを積極的に活用しなければ、厳しい競争環境に生き残れません。また、外部にサービスを提供する企業は、自らのサービスの適切さや有効性を外部に対して示す必要があります。こうした状況下、受託業務に係る内部統制の保証報告書のうちでも、特にセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーを扱うSOC2 / SOC2+報告書は、業務を委託する側と受託する側双方のニーズに対応するものとして、多くの企業に利用されています。
続きを読む
1. 大部分を受託会社に委託するケース
システムの外部委託といってもその形態はさまざまです。例えば、ASPサービス（クラウドサービスでいえばSaaS）ではウェブブラウザーにより、受託会社のサーバーにあるシステムを利用する形態が多く、システムの開発保守や運用は受託会社が実施することになります。この場合、システムの開発保守や運用を受託会社が実施するため、主なIT全般統制は報告書の対象範囲として含まれています。（※3）
ただし、いくつかのIT全般統制の一部がサービス利用会社で運用されている場合には注意が必要です。このようなケースは、報告書において相補的な内部統制として言及されていることがあります。
2. 受託会社とサービス利用会社の統制手続が併存するケース
① アプリケーションレベルのアクセス管理に関し、サービス利用会社がユーザーIDの改廃や権限付与などのユーザーID管理を行っている場合、その部分はサービス利用会社がIT全般統制を運用し、評価すると考えられます。また、ASPサービスのシステムからサービス利用会社のシステムへデータ連携のために、そのインターフェースやバッチジョブをサービス利用会社側で作成・管理している場合も同様です。
➁ クラウドサービスで受託会社が提供するパッケージをサービス利用会社がカスタマイズして使用する場合、サービス利用会社と受託会社の開発保守が併存することになります。そのため、両社の業務およびIT全般統制の役割分担を明確にしておくことが必要です。
プログラム変更作業におけるパッケージのバージョンアップ作業については、起案・開発・テスト・本番移行の一連の作業を実施する受託会社のIT全般統制に依拠することが多いと考えられます。
一方、カスタマイズ作業については、上記の一連の作業を実施するサービス利用会社の側でIT全般統制を運用し、評価することが多いと考えられます。一連の作業の中で起案などはサービス利用会社で、ほかは受託会社でというような組み合わせのケースも考えられます。
➂ プログラム変更作業で使用する特権ユーザーIDの管理は、基本的にサーバーを管理する受託会社が一括して実施することが多いと考えられます。そのため、サービス利用会社がカスタマイズ作業で特権ユーザーIDを利用する場合は、受託会社の管理ルールにのっとり特権ユーザーID利用申請をして使う手順となるため、受託会社のIT全般統制に依拠することになります。一方、サービス利用会社が特権ユーザーIDを常時保有し管理するような場合は、サービス利用会社がIT全般統制を運用し評価する必要があります。
このように、両社の仕組みが併存する場合、受託会社の報告書を利用する統制手続と、サービス利用会社のIT全般統制を評価する統制手続とを明確にする必要があります。また、報告書の中で、相補的な内部統制（サービス利用会社において整備されることを、受託会社が想定する内部統制など）がどのように記述されているのかについても確認が必要です。
3. 一部分のみを受託会社に委託するケース
サービス利用会社のサーバーを受託会社のデータセンターに預けるだけの場合は、受託会社にはサーバーのハードウェアの保守やバックアップの外部保管など、一部の業務のみを委託することになります。システム開発保守や運用の大部分はサービス利用会社に継続して残るため、IT全般統制の評価方針は従来の環境での運用とほとんど変わらないものと考えられます。そのため、サービス利用会社でIT全般統制を実施し評価することが主となります。受託会社に委託している業務のうち、どれがIT全般統制に該当するのか確認する必要があります。例えば、物理セキュリティや定型的な日々のコンピュータ運用作業の一部（ハードウェアの保守作業やバックアップの外部保管など）の業務を委託していれば、その範囲について受託会社のIT全般統制に依拠するために、報告書を利用することになります。