令和監査法人の強み
SOC1やSOC2レポートの作成では、基準の理解だけでなく、実際の業務フローや内部統制をどのように整理し、言語化するかという実務的なスキルが求められます。
また、SOC保証業務は、チェックリストに沿って認証を取得する仕組みではなく、最終的には監査人による個別判断を前提とした業務です。
こうした特性を踏まえると、監査法人の選定は、SOCプロジェクト全体の進め方や、最終的なレポートの信頼性に大きく影響します。
本記事では、SOC1/SOC2を含む保証業務において、弊社がどのような方針で関与しているかをご紹介します。
実務を起点としたSOC対応とコミュニケーション
SOCレポートの作成では、記述や統制の持ち方に一意の正解が存在するわけではありません。
そのため、SOC業務の実務を十分に理解しないまま規準ベースで整理を進めてしまうと、実態と乖離した記述になったり、必要以上に統制を追加してしまうケースがあります。
弊社では、まず現場でどのような運用が行われているかを理解し、不足している統制がどこにあるかを見極めながら進めることを重視しています。
このように実務を起点として整理を進めるためには、単に情報を収集するだけでなく、背景や前提を踏まえた対話が不可欠です。
例えば、以下のような事項は、形式的な質問だけでは把握しきれません。
- 日常的には実施されているが、形式的に整理されていない運用
- 担当者ごとの判断に委ねられている部分
- 他の統制で補完されているため、個別には実施していない対応
専門性が高い領域であるほど、用語や前提のズレがそのまま手戻りにつながります。
そのため、初期段階から認識をすり合わせていくことが、結果としてSOC対応全体の効率化につながると考えています。
チーム体制
会計士 × IT専門家
弊社は、SOC1やSOC2等の保証業務における実務経験を有する4大監査法人出身メンバーを中心に構成しています。
また、内部統制の構築・評価に精通した公認会計士に加え、情報処理安全確保支援士等のIT専門家が在籍しており、システム・セキュリティ領域の専門性を補完しています。
専門性 × 英語対応力
SOCレポートは、海外企業との取引で求められるケースも多く、英語版レポートの発行や、日本語版レポートへの参考訳添付が必要となる場面があります。
また、SOC2をはじめとする保証業務は、米国AICPAの動向を踏まえて理解する必要があります。
SOC2のTrustサービス規準や、記述規準（DCセクション200）についても、日本語の公式基準が整備されているわけではなく、英語で公表された内容をもとに理解する必要があります。
さらに、VantaやDrataなど近年利用が進むGRCツールの多くは海外製であり、主要機能やサポートは英語を前提として設計されています。
弊社には、米国公認会計士資格保有者や海外駐在経験を持つメンバーが在籍しており、英語でのレポート作成やコミュニケーションにも対応しています。
GRCツールを前提としたSOC対応について
近年では、VantaやDrataといったGRCツールを活用したSOC対応が増えています。
これらのツールは、証跡収集や内部統制管理の効率化に寄与するものであり、継続的なSOCレポート発行を見据えた中長期的な視点や、社内での管理のしやすさといった観点でも有用です。
一方で、Journal of Accountancyでも指摘されているように、「fast and easy」という訴求が広がる中で、効率性が強調されるあまり、レポート品質や信頼性に影響が生じる可能性には注意が必要です。
弊社では、効率化のメリットを取り入れつつも、SOCレポートとしての品質と市場からの信頼性を損なわないことを重視しています。
具体的には、以下のような観点を個別に検討しています。
- デフォルトの統制記述が、自社の実態を適切に表現しているか
- Automated Testが対象統制と実質的に関連しているか
- デフォルトテストのみで十分な評価が可能か
ツールの出力結果を前提に進めるのではなく、統制の実態やリスク内容を踏まえたうえで、第三者としてどのように評価すべきかを判断しています。
効率化だけ、あるいは品質だけを優先するのではなく、SOCレポートとしての信頼性を前提に、どこまで効率化を図るかという視点で対応しています。
まとめ
SOC1/SOC2を含む保証業務は、単に内部統制を整備し、ドキュメントを作成すれば完了するものではありません。
最終的には、第三者としての監査人判断を前提とした業務であり、信頼性と効率性のバランスが重要となります。
効率性だけを重視した場合、統制の実態との乖離やレポート品質への影響が生じる可能性があります。一方で、品質のみを追求すると、過剰対応や実務負担の増大につながります。
こうした特性を踏まえると、「信頼性を担保しながら、どこまで効率化を図るか」という視点が、SOC対応全体の進め方に大きく影響します。
弊社では、専門性を有するメンバーによる密なコミュニケーションを通じて、このバランスを意識したSOC支援を行っています。
本記事が、SOCレポート発行に向けた進め方や、監査法人選定を検討する際の参考となれば幸いです。