外部サービス時代の「見えにくい統制」をどう捉えるか ―SOCが担う役割の再整理―（前編）

EY Digital Trustのコラムシリーズ第5回は、SOC（System and Organization Controls）。

クラウドや外部委託といった外部サービス活用が当たり前となった現在の企業環境を前提に、なぜSOCという第三者保証の枠組みが現在の外部サービス利用においてのガバナンスに有効であるかを、実務の視点から整理します。

本稿では前後編の2部構成で、前編は外部サービス利用の広がりによって生じた構造的な変化と、それに伴って顕在化してきた説明・判断の課題について掘り下げます。

1. 外部サービスが前提となった企業活動と「見えにくくなった管理」

ITシステムの開発・運用における外部事業者の利用の仕方として、以前は自社業務の一部を特定のベンダーと契約に基づいた外部委託をする形が主流でした。一方、昨今ではクラウドの普及が進み、業務システムにおけるSaaSの利用が進んでいます。クラウド等の外部サービスでは、サービス提供者（以下、受託会社）が提示するSLA（サービスレベル合意書）などの内容にサービス利用者（以下、委託会社）が合意する形が一般的です。

このような外部環境の変化に伴い、サービス利用者はどのような配慮が必要になるか、テクノロジーリスクのプロフェッショナルがQA形式で解説します。

Q：外部サービスの活用により、委託会社のリスクはどのような変化が起きたのでしょうか？

従来は企業が自社でシステムを保有するオンプレミス環境において受託会社に開発・運用業務を委託することが一般的であり、受託会社の管理も比較的見えやすい環境にありました。クラウド等の外部サービスの活用は業務の高度化や効率化をもたらす一方、業務システム、データ管理、さらにはAI機能を含むサービスまで、多くの重要な機能が受託会社の管理下に置かれます。そのため、委託会社からは、サービスの管理状況の全体像を把握しづらい側面があります。外部サービスの活用が進んだことで、委託会社が直面するリスクは従来のような「自社内部の障害・統制不備」のみでは済まなくなり、受託会社の統制・運用に依存するリスク（可用性、情報セキュリティ、委託先管理、変更管理など）についても考慮が必要になったと考えられます。

2. ガバナンス面で求められる判断材料

Q：受託会社に依存するリスクは委託会社のガバナンスにおいて、どのような影響がありますか？

特に影響があるのは、委託会社が社内外のステークホルダー（投資家、取引先など）に対して、利用している外部サービスの管理状況を説明する時です。ガバナンス面でのポイントとしては以下の2点が挙げられます。

①選定・導入時の判断：どのような判断プロセスで当該サービスを選定しているのか

②運用時の統制・監視：どのように運用状況をモニタリングしているのか

外部サービスの多くは、ホワイトペーパー（自社製品・サービスに関する知識や業界の調査レポート、課題解決のノウハウをまとめた資料）などを通じて管理状況を公開しています。このような資料は外部サービスの概要を把握するには十分ですが、それらはあくまでサービスを提供する当事者による説明であり、受託会社の管理態勢を客観的に判断する情報としては十分でない場合があります。
特に、重要業務に関わるサービスや、規制業種・監査対象となる業務領域では、経営判断や監査対応、ステークホルダーへの説明に耐え得る一貫した判断材料が求められます。受託会社自身の説明は有用である一方、客観性や独立性の観点から判断材料としては十分でないのです。

そのため、判断に用いる情報に対し、独立した立場である第三者からの評価の必要性が高まっています。

3. AI時代におけるガバナンスの変化

Q：最近の外部サービスにはAIが搭載されているものも多く見受けられます。AI機能が備わったサービスを活用することで、ガバナンスにはどのような影響があるのでしょうか？

受託会社の管理態勢の把握をさらに難しくしている要因の一つが、外部サービスへのAI機能の組み込みです。AIは外部サービスの価値を高める一方で、出力結果が学習データや運用条件の影響を受けて変化し得るため、従来よりも前提となる環境や管理態勢の確認が重要になります。従って、従前から重視されているサービス停止や情報漏えいの防止といった「運用の安定性」のみならず、AIを利用する環境、利用範囲、利用方法などの前提状況を把握し、管理するといった「導入・利用における判断の妥当性」について求められることになります。

2章で述べた①選定・導入時の判断②運用時の統制・監視―というガバナンス面のポイントはAIが搭載された場合も同様ですが、「利用前提（環境・範囲・方法）」を明確にし、運用時にもその前提が崩れていないかを継続的に確認する点が追加で重要になります。

4. 解決策としての共通言語：SOC 

このような背景により生じた課題は、大きく3つに整理されます。

① 判断材料の客観性・独立性の確保：外部サービスの管理状況について、受託会社による当事者説明だけでは、客観性や独立性の観点から判断材料として十分と受け取られない場合があります。

② 個別対応の増大と確認観点の不均一：受託会社が複数の委託会社から同様の確認を繰り返し受けることで負担が増大します。また、確認の観点や深さ、対象範囲が委託会社ごとに異なると、要求事項の解釈や回答範囲の線引きを都度調整する必要が生じ、担当者の経験や判断に依存した対応になりやすくなります。委託会社側にとっても、判断に用いる観点や範囲、参照する期間などをそろえることが難しくなります。

③ 適切な公開情報の検討：委託会社による直接的な確認の場合、受託会社にとってサービスのインフラに関する情報など、セキュリティ上の観点から非公開にしたい場合、情報をどこまで開示をするべきかという課題も生じます。

そこで、受託会社が自社の内部統制の整備・運用状況について、標準化された基準に基づいた第三者の評価を受け、その結果を判断材料として委託会社に提示する枠組みが実務の中で活用されてきました。

その代表的な枠組みが、SOC（System and Organization Controls）です。