IPO準備企業におけるSOC報告書の意義と活用　～監査上、クラウドサービスにSOC報告書が求められる理由～

公開日2021/10/28 更新日2021/10/29

１．クラウドサービスにおける内部統制の有効性はどう担保するのか

クラウドサービスが普及し、企業でも様々な業務で活用されるようになりました。Microsoft AzureやAmazon Web Service（AWS）などのデータセンター機能を持つクラウドサービスや、最近では会計システムや給与システム等の業務システムもクラウドサービスとして提供されています。

IPO準備段階の企業においては、中核機能（コアビジネス）に資源を集中するために、非中核機能を外部に委託するケースが増えています。たとえば、サーバー不要でコストも安いクラウドサービスを利用することがありますが、これもデータの管理運用を外部に委託していることになります。

外部委託を利用する場合、内部統制上の観点から気を付けなければならないことがあります。
それは外部委託をした場合でも責任の所在は委託会社（自社）にあるため、受託会社が委託会社の内部統制の評価対象として含まれる可能性があるということです。

しかし受託会社は別の組織であるため、委託会社が内部統制の構築・評価を受託会社に適用することは困難と言わざるを得ません。コアビジネスに集中するためにクラウドサービスを利用しているにも関わらず、受託会社のリスク管理に手間がかかってしまえば本末転倒です。そこで活用されるのが、受託会社が提供するクラウドサービスの内部統制の有効性を保証する「SOC報告書」です。