アウトソーシング事業者向け内部統制評価支援 SOC保証報告書（System and Organization Controls Reporting）

SOC 2とSOC 3：財務報告目的以外の保証報告

財務報告目的の保証業務以外にも、さまざまな保証業務があり、その代表的なものとしてSOC 2ならびにSOC 3報告書があります。

クラウドベースのストレージソリューションの登場と利用の増加に伴い、機密データの管理やセキュリティに対する保証要求がますます高まっています。

SOC 2においては、統制が適切に設計されていることおよびその統制が有効に運用されていることを評価するための規準はTrustサービス規準（セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシー）となり、一般的にクラウドサービスプロバイダーなどが満たさなければならない規準が定義されています。

SOC 2報告書またはSOC 3報告書では、規制当局とその他ステークホルダーの非財務報告に係わる内部統制保証に関する要求を満たすため、セキュリティ・可用性・処理の完全性・機密保持・およびプライバシーなどのコントロールに焦点を当てます。

米国のクラウドサービスプロバイダーを中心に普及が進んでいましたが、最近では日本でもSOC 2報告書の検討／取得が進んでいます。

SOC 3においては、パブリック認証局における統制が適切に設計されていることおよびその統制が有効に運用されていることを評価するための規準は、認証局のためのWebTrustの原則と規準、認証局のためのWebTrust－SSL 基本要件保証規準となり、パブリック認証局などが満たさなければならない規準が定義されています。また、業界で準拠が求められているガイドラインなどの項目を、評価対象として追加することも可能です。

• 日本公認会計士協会（JICPA）
  
  • 保証業務実務指針3702「情報セキュリティ等に関する受託業務のTrustに係る内部統制の保証報告書に関する実務指針」
    
  • セキュリティ、可用性、処理のインテグリティ、機密保持及びプライバシーに関するTrustサービス規準

• 米国公認会計士協会（AICPA）
  • System and Organization Controls (SOC) reports
  • SOC 2 Report : Report on Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality or Privacy
  • SOC 3 Report : Trust Services Criteria for General Use Report
  • 2018 Description Criteria for a Description of a Service Organization’s System in a SOC 2® Report (With Revised Implementation Guidance — 2022)

SOC 2+：業界で準拠が求められているガイドラインや契約上の義務に対応した保証報告

PwCは、従来のSOC 1およびSOC 2報告を超え、利害関係者のニーズを満たすSOC報告の進化をリードして来ました。

SOC 2を拡張し、業界で準拠が求められているガイドラインなど、利用顧客のニーズに応じた規準を追加的に評価対象項目として組み込んだ、ベンダー保証報告（SOC 2+）を提供します。受託会社はこのレポートを利用することで、利用顧客からの問い合わせへの対応を省力化することができます。

幅広い保証報告サービス（SOC 1、SOC 2および3、SOC 2+および合意された手続きなど）を提供することで、受託会社は、顧客が期待し必要とする信頼と透明性を、既存顧客および潜在顧客に提供することができます。