外部サービス時代の「見えにくい統制」をどう捉えるか ―SOCが担う役割の再整理―（後編）

EY Digital Trustのコラムシリーズ第5回は、SOC（System and Organization Controls）。

クラウドや外部委託といった外部サービス活用が当たり前となった現在の企業環境を前提に、なぜSOCという第三者保証の枠組みが現在の外部サービス利用においてのガバナンスに有効であるかを、実務の視点から整理します。

前編では、外部サービス活用の広がりによって、提供者側、利用者側双方のガバナンスの変化を整理しました。後編では、その課題に対する具体的な対応策としてのSOCについて解説し、近年の課題との関連性を掘り下げます。

1. SOCの概要

Q：SOCとは、どのような考え方に基づく枠組みなのでしょうか。

SOCはSystem and Organization Controlsの略称で、サービス提供者（以下、受託会社）側が提供するサービスに係る内部統制の在り方について、第三者である外部監査人が評価・保証するフレームワークです。

SOCが対象としているのは、取引結果そのものではなく、サービス利用者（以下、委託会社）が自ら直接関与できない受託会社側の統制の設計・運用が、ある一時点または一定期間にわたり適切に機能しているかという点に焦点を当てています。

SOC報告書は、その結果をまとめたもので、サービスの信頼性を客観的に証明することができます。委託会社は、SOC報告書の記載を踏まえて外部サービスの統制状況を評価し、必要に応じて社内外へ説明します。

前編でも述べた、委託会社が自ら直接確認することが難しいという前提のもと、受託会社が自社の内部統制について第三者保証を受け、その結果を委託会社に提供するという点に、SOCの仕組みの特徴があります。
最近では、スタートアップ企業が提供サービスの信頼性担保のためのプラットフォームとしてSOCに注目している傾向があります。ただの監査コストではなく、市場拡大や企業価値向上のための投資という捉え方もされており、より注目度が高まっています。

Q：SOCの分類にはどのような違いがあるのでしょうか。

SOC1は、財務報告に影響する内部統制を対象とし、主に委託会社の会計監査や内部統制監査の場面で利用されます。
SOC2は、セキュリティ、可用性、処理の完全性、機密性、プライバシーといったシステム管理における重要な5つの領域のうちの1つ以上を対象に、受託会社の内部統制が基準を満たすかどうかの検証が行われます。主にサービスの信頼性に関する内部統制の評価に用いられます。
また、米国公認会計士協会（AICPA） が定めたSOC2の評価基準である「Trustサービス規準」に加え、特定業界の要求事項や追加の評価基準を組み合わせた、SOC2+として保証範囲を拡張することも可能です。例えば、金融機関向けにはFISC（金融情報システムセンター）が発行する「金融機関等コンピュータシステムの安全対策基準」の観点を追加して評価対象に含めるといった設計が考えられます。

SOC1とSOC2、両方の報告書を判断の目的に応じて使い分けることが重要です。

SOCについての詳細は、別記事でも整理しています。

• クラウドサービスの利用にSOC報告書が必要とされる理由
• 「受託業務に係る内部統制の保証報告書」を利用した外部委託先の内部統制の評価における8つのポイント

2. SOCとAIガバナンスの親和性

Q：SOCはAIガバナンスにも有効なのでしょうか？

SOCはAIモデルの性能や判断結果そのものを評価・保証する枠組みではありません。しかし、AIを含むサービスのデータマネジメントとプロセス統制の観点はSOCの対象範囲です。
AIが業務に入ってくると、意思決定や自動化の起点となるのはデータです。入力データの品質・更新・アクセス権限などが曖昧なままでは、説明責任の根拠が揺らぎます。だからこそ、AIそのものではなく、データマネジメントを軸に統制が設計・運用され、それを評価することが重要になります。

3. ガバナンスの効率化と品質

近年では、企業のリスク管理体制の可視化やドキュメント整理の効率化を目的として、GRC（ガバナンス・リスク・コンプライアンス）ツールを活用する事例が増えているようです。このGRCツールがSOC保証業務に活用されている事例があります。

Q：GRCツールには具体的にどのようなメリットがあるのでしょうか。また、留意点などもあれば教えてください。

従来のGRCプロセスは手動が多く時間がかかっていました。そこで登場したのがGRCツールです。GRCツールは、統制の内容、実施状況、関連する証跡を一元管理し、可視化・共有することで、日常的な統制運用や監査対応の効率化に寄与します。そのため近年では、SOCの保証業務においても、証跡収集や確認プロセスにGRCツールを活用する事例が増えています。
一方で、ツール上で「証跡が格納されていること」の確認にとどまり、統制が目的に照らして適切に設計されているか、例外対応を含めて実際に運用されているかといった実質的な検証が十分に行われないまま、SOC報告書が作成されるケースが問題となっています。これはツールの利便性そのものではなく、使い方や位置付けを誤った場合に生じる品質リスクです。

品質の低いSOC報告書は、委託会社にとって外部サービスの評価・判断を誤らせる可能性があるだけでなく、追加確認の増加などガバナンスコストの増大にもつながります。また、受託会社にとっても、信頼性の説明が十分に機能せず、結果としてビジネス上の不利益を招き得ます。

従って、GRCツールの活用有無だけでなく、SOC保証の本質である「独立した第三者による、統制の整備・運用状況の検証」を担保できる専門性・レビュー体制があるかという観点で、保証業務の実施主体を選定することが重要です。

4. EYにできること

EYでは、グローバルに連携した国際的な知見や複合的な基準対応が可能です。SOCにおいては、定義元であるAICPAの委員にEYのメンバーが参画し、基準設定プロセスに関与するなど、密接かつ中心的な役割を担ってきました。
また、最新動向や基準変更に対応した柔軟かつ高品質なサービスを提供するべく、毎年、グローバル共通のものも含む各種の研修を受けています。これにより、最新のプラクティスや知見を持ったプロフェッショナルだけがSOC保証業務に従事いたします。

EYではSOCのみならず、AIガバナンス、ISMAP（政府情報システムのためのセキュリティ評価制度）、プライバシー／セキュリティ、ISOなど、複数のガバナンス関連基準を横断的に理解した上での整理や対応方針の検討が可能です。これにより、個別の基準対応にとどまらず、企業全体のガバナンスや外部説明を見据えた支援を行っています。