SOC Report
System and Organization Controls Report
SOC Report（SOC報告書（受託業務の内部統制の保証報告書））とは
ひとことで
委託先（受託会社）の内部統制について、独立した監査人が評価した結果を記載した保証報告書。財務報告に関係する統制を扱うSOC 1、セキュリティや可用性などを扱うSOC 2などがある。タイプ1は特定時点の統制の整備状況（デザイン）、タイプ2はそれに加えて一定期間の運用状況の有効性まで評価する。
たとえると
中古車を買うときの「第三者機関による車両検査証明書」のようなものです。自分で全部を分解して調べなくても、信頼できる検査員の評価結果で状態を判断できます。ただし、検査した日付や範囲は自分で確認する必要があります。
現場ではこう使う
ある会社は給与計算をクラウドサービスに委託しました。監査人は委託先のSOC報告書を入手し、評価期間が自社の会計期間をカバーしているか、例外事項がないかを確認しました。さらに、報告書で「利用者側で実施すべき」とされている統制が自社で行われているかも検証しました。
試験のポイント
EXAM POINTCISAでは、委託先を直接監査できない場合にSOC報告書を監査証拠として利用する場面が問われます。運用の有効性まで確認できるのはタイプ2です。報告書の対象範囲と期間、例外事項、利用者側で実施すべき統制（相補的なユーザー組織統制：CUEC）を確認することが重要です。CISMでは委託先管理の手段として登場します。なお、セキュリティ監視センターのSOCとは別物です。