IT全般統制の実務で、地味だけれど無視できないのがSOCレポートです。中でもSOC1レポートは、委託先の内部統制について、外部の監査人が「本当に機能しているか」を検証し、保証する報告書のことです。名前を知らなくても、実務では既に大きな影響力を持っています。
上場企業の会計プロセスにおいて、SOC1レポートは実質的に必須になっている領域があります。特に会計処理に関わる委託先については、これがない場合、代替的な監査手続きが求められることになります。
本稿では、IT全般統制におけるSOC1レポートの内容と、必要性について解説します。
この記事を読んでわかること
- SOC1レポートとは何か、なぜ必要なのか
- Type1とType2の違い
- SOC1レポートがないシステムを選ぶと何が起きるか
- 主要な会計システムのSOC1取得状況と、IPO準備企業・上場子会社が意識すべきこと
📥 委託先の確認とあわせて、自社側のITGCも点検できます
アクセス管理・変更管理・IT運用の3領域を、自己点検の形でまとめた資料です。
→ ITGCチェックリスト（自己点検用・無料）を見る
SOC1レポートとは：IT全般統制における位置づけ
SOC1レポートとは、システムベンダーの内部統制に係る保証報告書のことを指し、外部の監査人が受託者としての内部統制責任を評価し、証明する第三者保証のレポートです。
財務報告に影響を与えるプロセスを外部のシステムやサービスに委託している場合、その委託先の内部統制が適切に整備・運用されているかを、依頼企業側が自社だけで確認することはできません。だからこそ、独立した第三者による保証が必要になります。この委託先の管理は、IT全般統制の4領域でいう外部委託管理にあたります。
Type1とType2、何が違うのか
SOC1レポートにはType1とType2の2種類があります。
Type1は、特定時点における統制の「整備状況」を評価したものです。これは、内部統制の仕組みが作られているかどうかを見ているものです。それに対して、Type2は、一定期間（通常１年）にわたる「整備状況および運用状況」を評価するものになります。
理想的にはType2の報告書を得ることが望ましいですが、システム発行会社によってはType1しか発行していない会社もあります。
SOC1レポートがないと何が起きるか：上場企業の会計プロセスでの位置づけ
財務報告に係る体制をシステム運営会社に外部委託している以上、その委託先の内部統制を確認する手段が必要になります。SOC1レポートはその手段であることから、ここが抜けている状態には監査上、追加の手続が求められることがあります。すなわち、監査法人がSOC1レポートに依拠できない以上、別の方法で委託先の内部統制を確かめる必要が出てくるということです。
追加のヒアリング、証跡の個別確認、場合によっては委託先への往査。いずれも時間と工数がかかります。
システムを選ぶ段階でこの確認を怠ると、監査のタイミングになって「このシステムSOC1レポートがないんですけど、内部統制の評価はどうなっておりますか？」と指摘されることになります。実際、外部委託先の評価・選定基準がないことは、監査で指摘されるIT統制不備トップ10にも挙げたよくある不備です。
| 選定時SOC1の有無を確認しない | → | 稼働後そのまま運用 | → | 監査タイミング監査法人から指摘される | → | 結果代替的監査手続きや統制の構築で工数増・スケジュール圧迫 |
| 選定時導入時にSOC1の有無を確認する | → | 稼働後そのまま運用 | → | 監査タイミングSOC1レポートで監査手続の要件を満たす | → | 結果監査手続を削減できる |
主要な会計システムのSOC1取得状況
では、実際にどの会計システムがSOC1レポートを発行しているのでしょうか。筆者が確認できた範囲を整理します。
大手エンプラ系のシステムには、SOC1レポートがあることが多いです。しかし、メジャーな会計ソフトの中で、弥生会計はSOC1レポートを取得していません。また、システムの上位プラン以外ではSOC1レポートの対象になっていないケースが多いため、いずれは上位プランへの乗り換えが必要になることもあるでしょう。
「IPOするならどの会計ソフトが良いか」と聞かれることは多いのですが、実質的にはSOC1レポートType2を保有しているものを選ぶのが良いでしょう。
ただし、SOC1レポートがあるシステムは金額が高いことが多いため、N-2〜N-3期のタイミングでシステムの入れ替えを行うことが望ましいです。
📥 ITGC全体の現状は、自己点検で把握できます
SOC1レポートの確認とあわせて、自社側のITGCがどこまでできているかを点検してみてください。
→ ITGCチェックリスト（自己点検用）を見る
IPO準備企業・上場子会社が意識すべきこと
会計ソフトについては、実質的にSOC1レポートの有無がほぼMUSTの選定基準になります。一方で、販売プロセスや購買プロセスなど周辺システムについては、SOC1レポートがないケースも多いです。
例えば、kintoneはSOC1レポートを取得していません（SOC2は取得済みです）。財務報告に関するIT全般統制の評価の観点では、別途手当てが必要になりやすいといえます。一方で、SalesforceはSOC1レポートを取得しています。
とはいえ、財務報告にどう絡むか、追補的な手続きが取れるかによって話は変わってきます。この判断は専門家の知識を借りたほうがいい場面です。
SOC1レポートがない領域の内部統制構築は、とても骨が折れます。会計ソフトのように「乗り換えれば済む」という単純な話ではなく、業務プロセスそのものに統制を組み込んでいく作業になるからです。買収で上場子会社になるケースはIT全般統制、上場子会社になった時の落とし穴で、制度全体の位置づけはJ-SOXのIT統制とは？で解説しています。
SOC1レポートとSOC2レポートの違い
SOC1レポートとSOC2レポートは、まとめてSOCレポートと呼ばれることもありますが、名前が似ているだけで目的が異なります。
SOC1レポートは、委託先のシステムが依頼元の財務報告に与える影響を評価するものです。会計データ処理や販売管理システムを外部委託している場合に、監査法人から求められるのがSOC1レポートです。
それに対して、SOC2レポートは、セキュリティ・可用性等を評価するものです。クラウドサービスやデータ管理サービスを利用する企業が、委託先のセキュリティ水準を確認するために取り寄せるのがSOC2レポートです。 クラウドサービスを含む、ツールごとの監査での見られ方は、IT全般統制の監査で見られるツールで解説しています。
どちらが必要かは、確認したい対象によって決まります。財務報告に関する検証であれば、SOC1レポートが必要です。セキュリティ等の検証であれば、SOC2レポートが必要になります。
SOC1レポートの代わりにSOC2レポートを出してくる会社もありますが、実質的に目的が違うため、全面的に代替として認められることはありません。セキュリティに関する部分だけは認められる場合もありますが、財務報告の保証としては別物だと考えたほうがいいでしょう。なお、生成AIサービスを委託先として使う場合の考え方は、IT全般統制にAIのリスクをどう組み込むかで整理しています。
IT統制の構築・整備でお困りの方へ
会計とエンジニア、両方の視点を持つ公認会計士が、御社の実態に合わせてIT統制の構築・整備を支援します。監査対応・IPO準備からの逆算にも対応可能です。
IT統制構築支援サービスを見るまとめ
- SOC1レポートは、委託先の内部統制を外部監査人が保証する第三者保証レポートです。Type1（整備状況のみ）とType2（整備・運用状況まで）があり、監査上の信頼度はType2の方が高くなります
- 上場企業の会計プロセスでは、SOC1レポートが実質的に必須の領域があります。ない場合は、追加のヒアリングや証跡の個別確認、場合によっては委託先への往査といった代替的な監査手続きが必要になり、時間と工数がかかります
- freee・マネーフォワード・OBC・PCA・TKCといった主要な会計システムはSOC1レポートを取得済みです（日本公認会計士協会が2025年に公表した59社アンケートの一次資料でも確認できます）。弥生会計は、筆者が実務で確認した範囲では未取得です
- 会計ソフトはSOC1レポートの有無がほぼMUSTの選定基準になります。一方、kintoneやSalesforceのような販売・購買プロセス周辺のシステムは対応がまちまちで、SOC1レポートがないケースも多く、自前での内部統制構築が必要になります
- SOC1レポートを取得しているシステムは価格が高い傾向にあるため、コストとのバランスを見ながら、N-2〜N-3期のタイミングで乗り換えを検討するのが現実的です
システム選定の段階でSOC1レポートの有無に気づいていれば避けられたはずのコストを、監査直前になって払う羽目になる会社を何度も見てきました。SOC1レポートは、システムを選ぶ時点では地味な確認事項に見えますが、IT全般統制・監査対応の負荷とスケジュールを大きく左右します。会計ソフトはもちろん、周辺システムについても選定基準に組み込んでおくことが、上場準備・上場後の負担を減らす近道です。IT統制構築でお困りの場合は、お気軽にご相談ください。
関連記事
- IT統制とは？内部統制との関係と3種類（IT全社的統制・IT全般統制・IT業務処理統制）｜IT統制の全体像と、対象範囲の決め方をまとめた柱記事。
- IT全般統制（ITGC）とは？4つの領域と実務対応｜このシリーズの入り口
- アカウント棚卸のやり方｜監査を通す業務プロセスと証跡の残し方
- 監査で指摘されるIT統制不備トップ10｜監査で見られる外部委託先の評価の視点を、他の不備と並べて確認できる記事。
- IT全般統制、上場子会社になった時の落とし穴｜買収した会社のシステムに、IT全般統制がどう降りかかるかを整理した記事。
- J-SOXのIT統制とは？対象範囲・担当部門・対応手順を解説｜J-SOXの中でIT統制がどこに位置するかを押さえたい人向けの記事。
- IT全般統制にAIのリスクをどう組み込むか｜AIサービスを委託先として使う場合の、外部委託管理の考え方を整理した記事。
参考資料
- freee「SOC1報告書について」
- freee プレスリリース：SOC1 Type2受領
- freee プレスリリース：4プロダクトがSOC1 Type1受領
- マネーフォワード プレスリリース：SOC1 Type2受領（2025年1月17日付）
- OBC プレスリリース：奉行クラウド等のSOC1 Type2・SOC2 Type2取得完了
- PCA公式FAQ：SOC1・SOC2報告書について
- PCA適時開示：SOC1報告書取得のお知らせ（2025年2月28日）
- 日本公認会計士協会 テクノロジー委員会研究文書第12号「受託業務に係る内部統制の保証報告書の発行状況に関する研究文書」（2025年2月13日付）｜TKC・マネーフォワード・freee・PCA・サイボウズ（kintone）等59社アンケートの一次資料。付録の発行会社一覧（14〜16頁）にTKC・マネーフォワード・PCA・freee・サイボウズの記載あり
- ※弥生会計のSOC1レポート有無は公開資料での裏付けが取れていない。筆者の実務経験に基づく記述である旨を本文に明記済み
