はじめに
給与計算はクラウド、サーバーはデータセンター、システムの開発や保守は外部の会社。任せている先が増えたところで、監査人から「委託先をどう確かめていますか」と聞かれ、手元にあるのは契約書だけ。そんな場面で使えるシートです。
委託先を1社1行で管理できるExcelのシートに、SOC1レポートを受け取ったときの確認ポイントと、SOC1レポートがない委託先の確認項目をつけました。
このシートでわかること
- 財務報告に関わる委託先を、どう一覧にして管理するか
- SOC1レポートを受け取ったら、どこを見ればよいか（8項目）
- SOC1レポートがない委託先で、何を確かめて何を残すか（9項目）
- レポートの対象期間と自社の期末のずれの確かめ方
こんな「あるある」はありませんか？
- 委託先からSOC1レポートをもらったが、読まずに保管している
- SOC1レポートがない開発会社や保守業者を、どう確かめればよいか分からない
- 委託会社側で行う統制（CUEC）がレポートに書かれていることを知らなかった
- 委託先の作業の記録が、委託先の手元にしかない
内部統制基準の実施基準は、委託業務に関しては委託者が責任を有しているとしています。SOC1レポートがあっても、カバーできていない部分は中身を読まないと分かりません。レポートがない委託先では、委託元が確かめた記録が説明の材料になります。
シートの中身
| シート | 内容 |
|---|---|
| 使い方 | シートの目的、書き方の5ステップ、列の意味 |
| 委託先一覧 | 1社1行。任せている業務、財務報告への影響、契約で決まっていること、再委託、SOC1レポートの種類・対象期間・意見・例外事項、委託会社側で行う統制の対応、レポートがない場合の確認、確認日と次回予定。記入例3社つき |
| SOC1の確認ポイント | レポートを受け取ったら見る8項目。どこを見るか、なぜ見るかつき |
| SOCがない委託先の確認 | 選定から稼働後まで9項目。確かめること、残す記録の例、実施基準の項目か実務上の推奨かの区別つき |
| 選択肢 | プルダウンの中身 |
自社の期末を入れると、レポートの対象期間の終わりとのずれ（日数）が自動で出ます。
使い方は5ステップ
- 財務報告に関わる委託先を書き出す。クラウドサービス、保守業者、システムの受託開発会社も含めます。
- 契約で決まっていることを書く。緊急時の対応や報告の範囲が決まっているかを確かめます。
- SOC1レポートがあれば、確認ポイントの順に見る。結果を一覧に書きます。
- レポートがなければ、確認項目の順に確かめる。残っている記録と足りない記録を分けます。
- 確認日・確認者・次回の予定を入れる。
こんな方におすすめです
- IPO準備や上場企業で、IT全般統制の外部委託の管理を担当している方
- 委託先からSOC1レポートを受け取ったが、読み方が分からない方
- システムの開発や保守を、SOC1レポートのない会社に任せている方
※記入例の会社・人・内容はすべて架空です。一般的な整理なので、実際の評価は監査法人・監査人と協議してください。
資料をダウンロードする
