SOC 1コンプライアンスとは？

SOC 1（System and Organization Controls 1）は、AICPAによって定められた基準の一つです。これは、サービス型SaaS組織の財務報告に係る内部統制（ICFR）に関連する監査業務を説明しています。これにより、SaaS企業の顧客とその監査人が財務諸表の信頼性を評価する上で、信頼の根拠となり得るレポートが作成されます。 

顧客に決済処理、給与計算、請求、および関連サポートといった多様な金融サービスを提供するサービス事業者にとって、SOC 1は、顧客が契約に署名する際の決定的な要因となることがほとんどです。このレポートは、金融業務を第三者プロバイダーに委託しても、自社の財務記録に第三者の財務リスクが追加されることはないということを顧客に伝えます。

タイプ1報告書は、ある一時点においてクライアントの視点から統制が適切であるかを確認します。一方、タイプ2は、いくつかのレビュー期間（6ヶ月から12ヶ月）にわたる統制の実際の運用に関する、より包括的な検証です。大多数のクライアントと監査人は、一時的な見方よりも統制の一貫した有効性に関するより明確な全体像を提供するタイプ2を選択します。

SOC 1では財務報告が統制の主な対象であり、SOC 2はセキュリティ、可用性、機密性、プライバシーなどの非財務項目、および処理の完全性に対する統制を評価します。 

SOX 404は、米国上場企業が自社の内部統制をレビューするための法的要件です。しかし、SOC 1は、サービス組織が顧客向けに作成する任意のSOCレポートです。公開企業にサービスを提供し、データを扱う決済機関は、3つのレポートすべてを提示するよう求められる場合があります。

準備プロセスは通常、財務諸表におけるシステムとプロセスの特定から始まり、統制活動を網羅する文書の作成、評価またはギャップ分析の実施、不備の是正を経て、最終的に実際の監査のために登録監査法人を雇うことへと進みます。

CUECは、全体的な統制環境が意図した通りに機能するために、クライアントのSaaS組織が維持しなければならない統制です。サービス組織はすべてを網羅することはできません。あるケースでは、決済プラットフォームのプロセスには、クライアントが決済レポートを確認し承認することが含まれますが、これはプラットフォームが直接義務付けることはできない活動です。監査人はCUECを文書化することで、両当事者が責任の所在を理解できるようにします。

費用は、企業規模、対象となる統制の数、Type 1またはType 2の報告書であるかによって大きく異なります。監査費用は通常、年間15,000ドルから100,000ドル以上かかり、さらに準備のための内部スタッフの時間を要します。Type 2監査やより広範な統制環境は、多くの場合、より高額な費用を伴います。

サービスプロバイダーである場合、以下の2つの質問を考慮してください。

1.   私の提供物は顧客の財務諸表に影響を与えますか？
2.   このレポートは、見込み顧客または既存顧客の調達チェックリストの項目に含まれていますか？

上記の条件のいずれかが満たされた場合、SOC 1コンプライアンスが一因となる可能性があります。