SaaSのITGC評価｜SOC1レポート・相補的な内部統制の確認方法を公認会計士が解説

会計・人事・販売などの基幹業務で、SaaSを利用する企業が増えています。

システムの運用をベンダーへ委ねることで、自社の負担は軽くなります。しかし、「SaaSだから自社ではIT統制を評価しなくてよい」わけではありません。

本記事では、SaaSを利用する企業の内部統制・内部監査・情報システム部門の担当者に向けて、SOC1レポートと相補的な内部統制の確認方法を実務目線で解説します。

SaaSのITGC評価は「ベンダー側」と「自社側」に分ける

区分	主な統制	確認方法
ベンダー側	プログラム変更、論理アクセス、システム運用、障害対応、バックアップなど	SOC1 Type2等の保証報告書、契約・SLA、質問票、追加手続
自社側	ID・権限、各種設定、入力データ、出力レポート、ベンダーへの連絡など	RCM、手順書、承認記録、レビュー記録

相補的な内部統制は自社側の統制に含まれます。ベンダーが統制目的を達成するための前提としてSOC1レポートに示した、委託会社側で実施すべき統制です。

なお、すべてのSaaSがITGCの評価対象になるわけではありません。J-SOXの対象業務プロセスとの関係、IT業務処理統制（ITAC）やシステム生成情報への依拠、取引・データの重要性を踏まえて対象範囲を決めます。

ITGCの全体像は「IT全般統制（ITGC）とは？J-SOXの4領域・評価手続・不備事例」で解説しています。

SOC1レポートとは

SOC1は、受託会社の内部統制のうち、利用企業の財務報告に関連し得る統制を対象とした保証報告書です。利用企業やその監査人が、委託先の統制による影響を評価するために利用します。

日本では、日本公認会計士協会の保証業務実務指針3402に基づく「受託業務に係る内部統制の保証報告書」が、同様の目的で発行されています。本記事では、これらをまとめて「SOC1レポート」と表記します。

SOC1・SOC2・SOC3の違い

種類	主な対象	財務報告目的での位置づけ
SOC1	財務報告に関連し得る受託会社の統制	委託先統制を評価する際の中心的な資料
SOC2	セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシー	情報セキュリティ等の評価に有用。SOC1の自動的な代替ではない
SOC3	SOC2と同じトラストサービス規準	一般公開向け。詳細な統制やテスト結果が省略される

ベンダーがSOC2しか発行していない場合は、財務報告リスクに関連する統制とテスト結果が含まれているかを個別に確認し、監査人と事前に認識を合わせます。

Type1とType2の違い

区分	確認される内容	実務上の使い方
Type1	特定日時点のシステムの記述と、統制のデザイン	統制の理解や整備状況の検討に利用する
Type2	一定期間のシステムの記述、統制のデザイン、運用状況	ベンダー側統制の運用有効性に依拠する際の有力な資料

J-SOXの運用状況評価でベンダー側の統制に依拠する場合は、通常、Type2の入手を検討します。

ただし、Type2がなければ常に評価不能というわけでも、Type2があれば追加検討が不要というわけでもありません。自社側の統制や追加手続も含め、委託業務の重要性に応じて判断します。

SOC1レポートの読み方｜確認すべき8項目

1．利用サービスと報告対象が一致しているか

法人、サービス名、機能、拠点、データセンターなどを確認します。同じブランドでも、プランや利用地域によって対象範囲が異なることがあります。

• 契約先と報告書の対象法人は一致しているか
• 利用中のサービス・機能が記述書に含まれているか
• 対象外の機能・拠点・再委託先はないか

2．基準・タイプ・対象期間を確認する

準拠する基準、Type1・Type2の別、Type2の場合は対象期間を確認します。自社の評価対象期間とのズレがある場合は、後述するギャップ期間への対応が必要です。

3．受託会社確認書と監査人の意見を確認する

ベンダー経営者の確認内容を把握したうえで、受託会社監査人の意見を確認します。限定意見などの場合は、その原因と影響範囲を検討します。

なお、除外事項のない意見でも、個別の統制テストに例外が記載される場合があります。意見ページだけで判断しないことが重要です。

4．統制を自社のリスクと対応付ける

報告書にあるすべての統制が、自社に同じ程度で関連するわけではありません。業務フロー、財務諸表のアサーション、ITAC、システム生成情報と照らし、依拠する統制を特定します。

たとえば給与計算SaaSでは、従業員データの受領、計算処理、マスタ変更、給与結果の出力、会計システムへの連携などが関連し得ます。

5．テスト方法と例外事項を確認する

Type2では、各統制のテスト方法と結果を確認します。例外事項がある場合は、次の観点で自社への影響を評価します。

• 自社が依拠する統制か
• 件数、発生期間、対象母集団はどの程度か
• 原因と影響範囲は何か
• ほかの統制でリスクが低減されているか
• 是正措置と、是正後の運用実績があるか
• 自社側の統制で影響を低減できるか

6．相補的な内部統制を抽出する

「Complementary User Entity Controls」「User Entity Responsibilities」などの見出しを探します。相補的な内部統制が各統制目的の中に分散している場合もあるため、一覧表だけでなく本文も確認します。

7．再委託先が報告範囲に含まれているか

SaaSベンダーがクラウド基盤やデータセンターを再委託している場合、SOC1では次のいずれかの方式が採用されます。

方式	報告書上の扱い	確認事項
一体方式	再委託先の関連統制も報告範囲に含める	必要な再委託先統制がテスト対象に含まれているか
除外方式	再委託先の業務・統制を報告範囲から除外する	別の保証報告書や追加手続が必要か

除外方式自体が問題なのではありません。除外された業務が自社の財務報告に重要かどうかを検討します。

8．対象期間後の変更・障害を確認する

報告対象期間後に、システム、統制、再委託先、重大な障害・インシデントなどの変更がないかを確認します。

ブリッジレターだけでなく、ベンダーからの通知、障害情報、サービス変更、契約変更も合わせて確認します。

相補的な内部統制とは｜自社側で実施すべき統制

相補的な内部統制とは、ベンダーの統制目的を達成するために、利用企業側で実施することが想定されている統制です。日本公認会計士協会の保証業務実務指針3402では、「委託会社の相補的な内部統制」と定義されています。

相補的な内部統制の代表例と証跡

相補的な内部統制の例	自社統制の例	証跡の例
正当な利用者だけに権限を付与する	申請・承認に基づきIDと権限を登録	申請書、承認、設定完了記録
退職・異動を適時に反映する	ID・権限を削除・変更	人事連絡、変更記録
入力データを確認する	送信前に件数・金額・承認状況を確認	チェック記録、承認記録
処理結果を確認する	入力と出力を照合し、差異を調査	照合表、レビュー記録
重要な設定変更を管理する	事前承認し、変更後に確認	変更申請、設定画面、確認記録

実際の相補的な内部統制はサービスによって異なります。上表をそのまま使うのではなく、自社が利用するSOC1レポートから抽出することが必要です。

相補的な内部統制を自社統制へ組み込む5ステップ

Step	実施内容
1．抽出	SOC1に記載された相補的な内部統制を一覧化する
2．適用判定	自社の利用機能・取引に関連するかを判定する
3．マッピング	RCM、業務記述書、ITGC調書、手順書と対応付ける
4．ギャップ対応	統制、責任者、頻度、証跡の不足を是正する
5．運用評価	定めた頻度で実施され、証跡が残っているかを評価する

相補的な内部統制の対応表には、次の項目を設けると管理しやすくなります。

• SOC1記載の相補的な内部統制
• 自社への適用要否と判断理由
• 対応する自社統制
• 責任部門・頻度
• 証跡・評価結果

SOC1の相補的な内部統制には、自社が利用していない機能に関するものも含まれます。すべてを抽出したうえで適用要否を判定し、対象外とする場合も理由を残します。

ブリッジレターとは｜ギャップ期間の確認資料

SOC1 Type2の対象期間と自社の決算日が一致しない場合、報告書で直接カバーされない期間が生じます。

この期間について、統制へ重要な影響を与える変更の有無などをベンダーが説明する書面が、一般にブリッジレター（ギャップレター）と呼ばれます。

ギャップ期間については、次の事項を総合的に確認します。

• ギャップ期間の長さ
• システム・統制・再委託先の変更
• 重大な障害やインシデント
• SOC1の例外事項と是正状況
• 自社側の関連統制の運用状況
• 最新版のSOC1を追加で入手できるか

SOC1レポートが入手できない場合

すべてのSaaSベンダーがSOC1を発行しているわけではありません。入手できない場合は、委託業務の重要性に応じ、ほかの方法で必要な証拠を確保できるか検討します。

• 入力データと出力結果の照合・再計算・例外レビューを行う
• 統制質問票、契約、SLA、障害報告、ほかの第三者報告書を確認する
• ベンダーへの追加質問や確認手続を行う
• 必要に応じて、受託会社での追加手続を検討する
• 十分な証拠を得られない場合は、サービスや業務プロセスを見直す

必要な対応は、委託先で処理される取引の重要性や、自社で処理内容を独立して検証できるかによって異なります。

SaaS導入・契約時の確認事項

決算対応の段階で初めてSOC1を依頼すると、入手権限や発行時期の問題が判明することがあります。導入・契約時に次の点を確認しておきます。

• SOC1 Type2等の有無、対象範囲、発行時期、発行費用
• SOC1とブリッジレターの提供条件
• 障害・インシデント・重要な変更の通知
• 必要なデータ・ログへのアクセス
• 追加質問や確認への協力
• 再委託先の利用と変更通知
• サービス終了時のデータ返却・削除

SaaSのITGC評価でよくある失敗

よくある対応	問題点
SOC1を保管しただけで終える	対象範囲、例外事項、相補的な内部統制、期間差を評価していない
意見ページだけを読む	個別のテスト結果にある例外を見落とす
同じベンダーなら全サービスが対象と考える	契約プランや利用機能が報告範囲外の場合がある
相補的な内部統制をすべて自社に適用する	不要な統制と評価工数が増える
相補的な内部統制を情シスだけの問題にする	経理・人事が担う入力・出力確認を見落とす

まとめ｜SOC1は「取得」ではなく「評価」まで行う

SOC1の評価には、会計・業務・ITを横断する理解が必要です。特に相補的な内部統制、例外事項、再委託先、ギャップ期間は、報告書を入手しただけでは対応が完了しません。

投稿者プロフィール

川端 啓豊

公認会計士・システム監査技術者・公認情報システム監査人（CISA）

福岡県出身。東京大学法学部卒業。
本田技研工業株式会社（Honda）入社後、内部統制の構築・運用および内部監査の高度化に従事。
その後、大手監査法人やコンサルティング会社等において、会計監査・IT監査等の現場責任者として、幅広い企業の内部統制構築・評価・改善を支援。
事業会社・監査法人の双方で培った知見を活かし、現場目線でのガバナンス支援を提供します。

最新の投稿

• IT統制2026年7月30日SaaSのITGC評価｜SOC1レポート・相補的な内部統制の確認方法を公認会計士が解説
• IT統制2026年7月21日IT全般統制（ITGC）とは？J-SOXの4領域・評価手続・不備事例を公認会計士が解説
• 内部統制2026年6月18日【内部統制の不備】東海理化の事例に学ぶ、税効果会計の属人化リスクとマニュアル見直し
• 内部統制2026年5月19日内部統制は「文書整備」だけでは防げない｜上場企業の内部統制不備から考える実務上の課題