IT全般統制：SOC1レポートのあるシステムを選ぶべき理由

IT全般統制の実務で、地味だけれど無視できないのがSOCレポートです。中でもSOC1レポートは、委託先の内部統制について、外部の監査人が「本当に機能しているか」を検証し、保証する報告書のことです。名前を知らなくても、実務では既に大きな影響力を持っています。

上場企業の会計プロセスにおいて、SOC1レポートは実質的に必須になっている領域があります。特に会計処理に関わる委託先については、これがない場合、代替的な監査手続きが求められることになります。

本稿では、IT全般統制におけるSOC1レポートの内容と、必要性について解説します。

この記事を読んでわかること

SOC1レポートとは何か、なぜ必要なのか
Type1とType2の違い
SOC1レポートがないシステムを選ぶと何が起きるか
主要な会計システムのSOC1取得状況と、IPO準備企業・上場子会社が意識すべきこと

SOC1レポートとは：IT全般統制における位置づけ

SOC1レポートとは、システムベンダーの内部統制に係る保証報告書のことを指し、外部の監査人が受託者としての内部統制責任を評価し、証明する第三者保証のレポートです。

財務報告に影響を与えるプロセスを外部のシステムやサービスに委託している場合、その委託先の内部統制が適切に整備・運用されているかを、依頼企業側が自社だけで確認することはできません。だからこそ、独立した第三者による保証が必要になります。

図1　委託会社・受託会社・監査人の三者関係と、記述書・SOCレポートを介した保証の流れ

Type1とType2、何が違うのか

SOC1レポートにはType1とType2の2種類があります。

Type1は、特定時点における統制の「整備状況」を評価したものです。これは、内部統制の仕組みが作られているかどうかを見ているものです。それに対して、Type2は、一定期間（通常１年）にわたる「整備状況および運用状況」を評価するものになります。

理想的にはType2の報告書を得ることが望ましいですが、システム発行会社によってはType1しか発行していない会社もあります。

	Type1	Type2
評価対象	特定時点の整備状況	一定期間の整備・運用状況
わかること	ルールが作られているか	ルールが実際に運用されていたか
監査での信頼度	限定的	高い

SOC1レポートがないと何が起きるか：上場企業の会計プロセスでの位置づけ

財務報告に係る体制をシステム運営会社に外部委託している以上、その委託先の内部統制を確認する手段が必要になります。SOC1レポートはその手段であることから、ここが抜けている状態には監査上、追加の手続が求められることがあります。すなわち、監査法人がSOC1レポートに依拠できない以上、別の方法で委託先の内部統制を確かめる必要が出てくるということです。

追加のヒアリング、証跡の個別確認、場合によっては委託先への往査。いずれも時間と工数がかかります。

システムを選ぶ段階でこの確認を怠ると、監査のタイミングになって「このシステムSOC1レポートがないんですけど、内部統制の評価はどうなっておりますか？」と指摘されることになります。

選定時SOC1の有無を確認しない

→

稼働後そのまま運用

→

監査タイミング監査法人から指摘される

→

結果代替的監査手続きや統制の構築で工数増・スケジュール圧迫

選定時導入時にSOC1の有無を確認する

→

稼働後そのまま運用

→

監査タイミングSOC1レポートで監査手続の要件を満たす

→

結果監査手続を削減できる

主要な会計システムのSOC1取得状況

では、実際にどの会計システムがSOC1レポートを発行しているのでしょうか。筆者が確認できた範囲を整理します。

システム	SOC1取得状況
freee（会計freee）	SOC1レポートType2を受領
マネーフォワード（クラウド会計・会計Plus・請求書Plus・経費・債務支払・固定資産・勤怠・給与・インボイス・個別原価の10製品）	SOC1 Type2を取得（対象期間：1月1日〜9月30日。2025年3月に2024年1〜12月分の報告書も受領予定）。クラウド連結会計はSOC2 Type1
OBC 奉行クラウド／奉行V ERPクラウド／奉行クラウドEdge	SOC1レポートType2・SOC2 Type2を2019年から継続取得
PCAクラウドサービス	SOC1 Type2を取得（対象期間：1月1日〜12月31日）
TKC（ASP1000R・eCA-DRIVER・eTaxEffect・FX5・FX4クラウド・電子申告システム等）	該当システムについて保証実3402（Type2相当）に基づく保証報告書を受領（対象期間：1月1日〜12月31日）
弥生会計	筆者が実務で確認した範囲では未取得

大手エンプラ系のシステムには、SOC1レポートがあることが多いです。しかし、メジャーな会計ソフトの中で、弥生会計はSOC1レポートを取得していません。また、システムの上位プラン以外ではSOC1レポートの対象になっていないケースが多いため、いずれは上位プランへの乗り換えが必要になることもあるでしょう。

「IPOするならどの会計ソフトが良いか」と聞かれることは多いのですが、実質的にはSOC1レポートType2を保有しているものを選ぶのが良いでしょう。

ただし、SOC1レポートがあるシステムは金額が高いことが多いため、N-2〜N-3期のタイミングでシステムの入れ替えを行うことが望ましいです。

システム選定前に、IT統制の視点を1本お届けします

月次決算・IPO準備・IT統制の実務知見を、月1回メールでお届けします

無料でメルマガを受け取る

IPO準備企業・上場子会社が意識すべきこと

会計ソフトについては、実質的にSOC1レポートの有無がほぼMUSTの選定基準になります。一方で、販売プロセスや購買プロセスなど周辺システムについては、SOC1レポートがないケースも多いです。

例えば、kintoneはSOC1レポートを取得していません（SOC2は取得済みです）。財務報告に関するIT全般統制の評価の観点では、別途手当てが必要になりやすいといえます。一方で、SalesforceはSOC1レポートを取得しています。

とはいえ、財務報告にどう絡むか、追補的な手続きが取れるかによって話は変わってきます。この判断は専門家の知識を借りたほうがいい場面です。

	会計ソフト	販売・購買プロセスなど周辺システム
SOC1レポート	ほぼMUSTの選定基準	ないケースも多い
対応	SOC1のあるシステムへの乗り換えが基本	自前での内部統制構築が必要になることが多い

SOC1レポートがない領域の内部統制構築は、とても骨が折れます。会計ソフトのように「乗り換えれば済む」という単純な話ではなく、業務プロセスそのものに統制を組み込んでいく作業になるからです。

SOC1レポートとSOC2レポートの違い

SOC1レポートとSOC2レポートは、まとめてSOCレポートと呼ばれることもありますが、名前が似ているだけで目的が異なります。

SOC1レポートは、委託先のシステムが依頼元の財務報告に与える影響を評価するものです。会計データ処理や販売管理システムを外部委託している場合に、監査法人から求められるのがSOC1レポートです。

それに対して、SOC2レポートは、セキュリティ・可用性等を評価するものです。クラウドサービスやデータ管理サービスを利用する企業が、委託先のセキュリティ水準を確認するために取り寄せるのがSOC2レポートです。

	SOC1	SOC2
評価対象	財務報告に関わる内部統制	セキュリティ・可用性等
求められる場面	監査法人からの要求（会計・給与計算データ処理の委託）	委託先のセキュリティ水準の確認
財務報告の代替性	○	△（セキュリティ部分のみ参考程度）

どちらが必要かは、確認したい対象によって決まります。財務報告に関する検証であれば、SOC1レポートが必要です。セキュリティ等の検証であれば、SOC2レポートが必要になります。

SOC1レポートの代わりにSOC2レポートを出してくる会社もありますが、実質的に目的が違うため、全面的に代替として認められることはありません。セキュリティに関する部分だけは認められる場合もありますが、財務報告の保証としては別物だと考えたほうがいいでしょう。

IT統制の構築・整備でお困りの方へ

会計とエンジニア、両方の視点を持つ公認会計士が、御社の実態に合わせてIT統制の構築・整備を支援します。監査対応・IPO準備からの逆算にも対応可能です。

IT統制構築支援サービスを見る

まとめ

SOC1レポートは、委託先の内部統制を外部監査人が保証する第三者保証レポートです。Type1（整備状況のみ）とType2（整備・運用状況まで）があり、監査上の信頼度はType2の方が高くなります
上場企業の会計プロセスでは、SOC1レポートが実質的に必須の領域があります。ない場合は、追加のヒアリングや証跡の個別確認、場合によっては委託先への往査といった代替的な監査手続きが必要になり、時間と工数がかかります
freee・マネーフォワード・OBC・PCA・TKCといった主要な会計システムはSOC1レポートを取得済みです（日本公認会計士協会が2025年に公表した59社アンケートの一次資料でも確認できます）。弥生会計は、筆者が実務で確認した範囲では未取得です
会計ソフトはSOC1レポートの有無がほぼMUSTの選定基準になります。一方、kintoneやSalesforceのような販売・購買プロセス周辺のシステムは対応がまちまちで、SOC1レポートがないケースも多く、自前での内部統制構築が必要になります
SOC1レポートを取得しているシステムは価格が高い傾向にあるため、コストとのバランスを見ながら、N-2〜N-3期のタイミングで乗り換えを検討するのが現実的です

システム選定の段階でSOC1レポートの有無に気づいていれば避けられたはずのコストを、監査直前になって払う羽目になる会社を何度も見てきました。SOC1レポートは、システムを選ぶ時点では地味な確認事項に見えますが、IT全般統制・監査対応の負荷とスケジュールを大きく左右します。会計ソフトはもちろん、周辺システムについても選定基準に組み込んでおくことが、上場準備・上場後の負担を減らす近道です。IT統制構築でお困りの場合は、お気軽にご相談ください。