SOC1レポートとは？Type1・Type2の違いと読み方、ブリッジレターまで実務指針で解説

SOC1レポートは、給与計算や決済処理などを請け負う会社（受託会社）の内部統制について、監査法人などの受託会社監査人が意見を述べた保証報告書です。委託する側の会社とその監査人が、自社の財務報告に関わる外部業務を評価するために使います。日本では日本公認会計士協会（JICPA）の保証業務実務指針3402が作成の基準です。

この記事では、定義と読み方、SOC2・SOC3との違い、Type1とType2の差、受け取った報告書を読む順番、対象期間が自社の決算期とずれたときのブリッジレターの扱い、J-SOXの評価での使い方を、指針と金融庁の実施基準の原文に沿って説明します。

まとめ：SOC1レポートの要点

• SOC1レポートは、委託会社の財務報告に関連する業務を提供する受託会社の内部統制についての保証報告書。日本の基準はJICPA保証業務実務指針3402、米国はAICPAのSSAE 18（AT-C 320）、国際基準はISAE 3402。
• SOC2は情報セキュリティ等（セキュリティ・可用性・処理のインテグリティ・機密保持・プライバシー）が対象で、財務報告は対象外。SOC1とSOC2は代替関係にない。
• Type1は基準日時点のデザイン、Type2は対象期間にわたる運用状況まで評価する。Type1は運用状況の有効性について証拠を提供しないため、委託会社が運用評価に使えるのはType2。対象期間は指針の適用指針で「通常、6か月以上」。
• 受け取ったら、範囲、Type、対象期間、意見の種類、逸脱、委託会社の相補的な内部統制、除外方式の再受託会社の順に確認する。
• 対象期間の末日から自社の決算日までの空白は、ブリッジレターや追加の手続で埋める。ブリッジレターは受託会社の経営者が出す文書で、監査人の保証は付かない。AWSやGoogle Cloudは毎月発行している。

SOC1レポートの定義と読み方

保証業務実務指針3402は第1項で、適用範囲を「委託会社の財務報告に関連する業務を提供する受託会社の内部統制に関して、委託会社と委託会社監査人が利用するための報告書を提供する保証業務」と定めています。SOC1レポートはこの業務の成果物で、指針は報告書を「受託会社監査人の保証報告書」と呼びます。「SOC1」はAICPAの呼称で、日本の基準書には出てきません。

外資系の委託先から英語のSOC 1 Reportを受け取ることも多く、AT-C 320とISAE 3402のどちらに準拠したかは保証報告書の監査人の責任を述べた段落に書かれています。PCAのSOC1報告書のように、SSAE 18（AT-C 320）とISAE 3402の両方に準拠した1通の報告書もあります。

SOCの正式名称と読み方

SOCはSystem and Organization Controlsの頭文字です。AICPAの説明によると、2017年にこの意味を導入する前は、Service Organization Controlsの略でした。読み方は基準書に定めがありませんが、PCAは2026年3月23日の取得のお知らせで「SOC1®（ソックワン）」「SOC2®（ソックツー）」と表記しています。「エス・オー・シー・ワン」とアルファベットで読む人もいます。

紛らわしいのが、セキュリティ監視を担う組織を指すSOC（Security Operations Center）です。こちらもソックと読まれますが、保証報告書のSOCとは無関係です。「SOC 監査」「SOC 報告書」で調べるときは、監査法人の保証報告書を探しているのか、セキュリティ監視の体制を探しているのかを分けて読んでください。

対象になる業務と対象外の業務

対象は委託会社の財務諸表に影響する業務です。金融庁の実施基準は委託業務の例として、財務諸表の作成の基礎となる取引の承認・実行・計算・集計・記録・開示事項の作成と、情報システムの開発・運用・保守を挙げています。給与計算、債権の入金消込、資産運用の記録、クラウド会計や決済代行の処理などが典型です。

指針第3項(2)は、財務報告に関連しない業務の内部統制を扱う保証業務を対象外としており、例として「委託会社の生産や品質管理に影響を与える内部統制」を挙げています。データセンターの入退室管理のような統制も、財務データを処理するシステムの全般統制として統制目的に組み込まれていれば記載されます。

旧86号・SSAE 16からの名称の変遷

日本では、監査・保証実務委員会実務指針第86号「受託業務に係る内部統制の保証報告書」が、2019年8月1日公表の保証業務実務指針3402に置き換わり、2020年1月1日以後に発行する保証報告書から3402が適用されています。古い契約書や社内規程に「86号報告書」とある場合は、現在求める報告書の準拠基準を契約当事者や規程の管理部門と確認します。米国ではSAS 70からSSAE 16を経て、現在はSSAE 18（AT-C 320）に基づいています。ISAE 3402は2011年6月15日以後に終了する期間の報告書から発効しています。

SOC1・SOC2・SOC3の違い

SOC1・SOC2・SOC3は、保証の対象と想定利用者が異なります。

保証業務実務指針3702は対象を「情報セキュリティ等に関する受託業務のTrust」とし、セキュリティ、可用性、処理のインテグリティ、機密保持及びプライバシーに関するITの信頼性と定義しています。SOC2は財務報告を扱わないので、財務諸表監査やJ-SOXの評価にSOC2を出されても、そのままでは委託業務の評価になりません。逆に、情報漏えい対策を確認したい取引先にSOC1を渡しても、セキュリティ統制が統制目的に入っていなければ答えになりません。SOC2の5区分とType別の証跡はSOC2の5基準とType1・Type2の違いで詳しく扱っています。

SOC1の保証報告書には「想定利用者と目的」の段落があり、指針の文例では、利用者をそのシステムを使う委託会社と、その委託会社の監査人に限っています。SOC1を営業資料として公開しないのはこのためで、AWSもSOC1とSOC2の閲覧にはNDAを求め、一般公開しているのはSOC3だけです。

Type1とType2の違い

指針第8項はType1とType2を、報告書の正式名称と評価の時点で区別しています。

正式名称の「受託会社のシステムに関する」は表では省いています。監査基準報告書402のA20項は「タイプ1の報告書は、内部統制の運用状況の有効性に関しては何も証拠を提供しない」と明記しています。Type1で分かるのは、統制がそう設計され基準日に業務へ適用されていたことまでで、期中に実際に回っていたかは分かりません。委託会社が自社の評価や監査で運用状況に依拠したいなら、求めるべきはType2です。

受託会社にとってType1は、Type2の前段として記述書と統制の設計を固める段階に向きます。委託会社から見れば、Type1しか入手できない期は運用評価の証拠を別途入手しなければなりません。

Type2の対象期間「6か月以上」の根拠

保証業務実務指針3402のA30項は「委託会社監査人にとって有益なものとするため、タイプ2の報告書は、通常、6か月以上の期間を対象とする」としています。これは要求事項ではなく適用指針で、6か月未満になる場合として、報告書の発行日と契約締結日が近く短い期間しか運用評価手続を実施できない場合や、受託会社がその業務を始めてから6か月経っていない場合を挙げ、そのときは保証報告書に短い理由を書くことがあるとしています。実際の大手クラウドは12か月を対象にしており、AWSのSOC1とGoogle CloudのコアSOC1 Type IIは、いずれも12か月の対象期間を四半期ごとにずらして発行しています。

監査基準報告書402の第16項は、委託会社監査人に、対象期間が自社の目的に適切か（(1)）、運用評価手続の対象期間とその後の経過期間が適切か（(3)）を評価するよう求めています。4月から9月のように会計期間の半分だけを対象とする報告書では、残りの6か月を別の証拠で補う必要があります。

受け取ったSOC1レポートを読む順番

指針の付録2にあるType2の保証報告書の文例は、「範囲」「受託会社の責任」「職業倫理、独立性及び品質管理」「受託会社監査人の責任」「内部統制の限界」「意見」「運用評価手続の記述」「想定利用者と目的」の順で構成されています。報告書全体では、この保証報告書に受託会社確認書、記述書、運用評価手続と結果が続きます。委託会社の担当者は、使えるかどうかを早く見極められる順に読みます。次の表の最初の3項目のいずれかが自社の評価目的に合わなければ、その報告書だけでは評価が完結しません。

監査人の意見の種類と除外事項の根拠

指針のType2の無限定意見の文例は3項目で構成され、(1)記述書が適正に表示されている、(2)統制目的に関連する内部統制が適切にデザインされている、(3)運用評価手続を実施した内部統制が対象期間にわたって有効に運用されている、と述べます。重要な問題がある場合、その内容と影響の程度に応じて限定意見、否定的意見又は意見不表明となり、その根拠が記載されます。指針の付録3は、記述書の表示が実態と違う場合、変更管理の承認手続が整備されていない場合、自動照合の統制がプログラム・エラーで一定期間機能しなかった場合、記録の消失で手続を実施できなかった場合の4つの文例を示しています。除外事項の対象になった統制目的が自社の委託業務に関係するかを、根拠の段落で確かめてください。

運用評価手続の結果に書かれた逸脱

意見が無限定でも、運用評価手続の結果の欄に逸脱（いわゆる例外事項）が記載されていることがあります。指針第53項は、逸脱を識別した場合、運用評価手続の実施範囲（サンプリングを利用した場合はサンプル数を含む）と、発見された逸脱の数と内容の記載を求めており、統制目的が達成されていたと結論付けた場合でも報告しなければならないとしています。指針第27項は、受託会社監査人に、識別した全ての逸脱の内容と原因を調査し、予想逸脱率の範囲内で許容できるかを判断するよう求めています。報告書上は許容範囲内とされた逸脱でも、自社の取引を処理する統制で起きていれば、自社で追加の検証を考える材料になります。受託会社は個々の委託会社にとって重要かどうかを判断できる立場にないためです。

委託会社の相補的な内部統制（CUEC）

指針は「委託会社の相補的な内部統制」を、受託業務をデザインする段階で委託会社側に整備されていることを受託会社が想定する内部統制と定義しています。英語の報告書ではComplementary User Entity Controls（CUEC）と書かれます。保証報告書の文例には、統制目的はこれらの相補的な内部統制が有効に運用されている場合にのみ達成される、と明記されます。監査基準報告書402の第16項(2)も、委託会社監査人に、記載された相補的な内部統制が委託会社に該当するかを判断し、該当すれば運用状況の評価手続を実施するよう求めています。

実務では、CUECの一覧から自社の利用業務に該当する項目を選び、各項目を満たす自社の統制と証跡を対応づけます。給与計算を委託している場合の例です。

該当するCUECを満たす統制が自社に無ければ、報告書の意見だけで統制目的の達成を判断できません。必要な統制を整備・運用し、その運用状況の有効性も評価します。

再受託会社の除外方式と一体方式

受託会社がデータセンターやクラウド基盤などを別の会社（再受託会社）に再委託している場合、報告書での扱いは2通りあります。

指針のA4項は、一体方式が一般的に可能なのは受託会社と再受託会社の間に資本関係があるか、契約で手続の実施が定められている場合のみとしています。監査基準報告書402の第17項は、委託会社監査人が除外方式の報告書を使い、再受託会社の業務が委託会社の財務諸表監査に関連する場合、再受託会社の業務についても同報告書の要求事項を適用しなければならないとしています。会計SaaSの報告書で、基盤のAWSやGoogle Cloudが除外方式で扱われていれば、基盤側はAWSやGoogle Cloud自身のSOC1で別途確認します。

ブリッジレターとは：対象期間と決算日のずれを埋める文書

例えば、Type2の対象期間が1月1日から12月31日で、委託会社の決算日が3月31日なら、1月から3月の3か月は報告書の範囲外です。監査基準報告書402のA31項は、対象期間外に生じた受託会社の内部統制の重要な変更について、委託会社監査人が追加的な証拠を入手するか追加の手続を実施する必要が生じうるとし、判断の要因として対象外期間の長さや、運用評価手続後の情報システム・プロセス・担当者の変更の有無を挙げています。A21項は情報を更新する手続の例に、受託会社が発行した現状に関する文書や回答の検討を含めています。この「受託会社が発行した文書」の代表例がブリッジレターです。

ブリッジレターの記載内容と別名

ブリッジレターは、受託会社の経営者が、直近の報告書の対象期間の末日から指定日までの間に、記述書の内容や内部統制について、重要な変更や問題の有無と、ある場合はその内容を書面で表明するものです。Google Cloudは、サービスプロバイダの経営陣が作成し、最新の報告書の期間終了日以降に特定された重要な変化や問題を要約したもの、と説明しています。

呼び方は会社によって違い、AWSは「SOC Continued Operations Letter（COL）」、PCAは「期末評価書」、ほかにギャップレター、ロールフォワードレターとも呼ばれます。JICPAの指針、監査基準報告書402、AT-C 320、ISAE 3402のいずれにも「ブリッジレター」という語は出てこない実務上の文書です。

主要サービスのブリッジレターの発行条件

大手のクラウドや会計SaaSは、ブリッジレターを定期的に用意しています。各社の公式ページに書かれた条件は次のとおりです（2026年10月時点）。

AWSのCOLは、最後に発行したSOCレポートの日付から公開日までを対象にし、新しいSOC1は期間終了日から約9〜10週間後に出ます。Google Cloudは、11月1日から12月31日までを対象とするブリッジレターを1月上旬に発行し、10月31日までの報告書の対象を延ばす例を示しています。Microsoft Azureは毎月ではなく、4月に1月から3月分を出すように四半期ごとです。3月決算の会社がPCAクラウドを使う場合、PCAのFAQによると、12月末基準のSOC1報告書（2025年分は2026年3月24日から提供）に翌年1月から3月を補うブリッジレターが4月上旬に提供されます。決算直後に監査人から求められるので、入手時期を決算スケジュールに入れておくと慌てずに済みます。

ブリッジレターだけでは足りない場面

ブリッジレターには受託会社監査人の保証が付きません。受託会社自身の表明なので、次のどれかに当たるときは、それだけで空白を埋めたことにせず、自社でのサンプル検証や監査人との協議を加えます。

• 対象外期間が長い（A31項は月数の基準を示さず、対象外期間の長さや変更の有無を判断の要因に挙げている）
• その間にシステム更改、処理拠点の移転、担当組織の変更があった
• ブリッジレターに重要な変更や問題が記載されている
• 直前の報告書に逸脱や除外事項があり、是正されたかが分からない

J-SOXの委託業務の評価でSOC1レポートを使う方法

金融庁の「財務報告に係る内部統制の評価及び監査に関する実施基準」は、Ⅱ.2.(1)の注で「外部に委託した業務の内部統制については評価範囲に含める」としています。委託業務が企業の重要な業務プロセスの一部を構成する場合、経営者は受託会社の業務に関する内部統制の有効性を評価しなければなりません。

評価の方法として、実施基準は2つを示しています。一つは「サンプリングによる検証」で、受託会社から受け取った処理結果を自社の基礎資料と照合し、一部を自社で検算します。実施基準は、給与計算業務の委託で、委託した給与データの対象人数と受託会社から受領した計算データの件数を比べ、無作為に抽出した一部を検算する例を挙げています。もう一つが「受託会社の評価結果の利用」で、委託業務に関連する内部統制の評価結果を記載した報告書等を受託会社から入手し、自らの判断で評価の代替手段とするものです。SOC1レポートはこの「報告書等」に当たります。

ただし実施基準は、経営者が当該報告書等が十分な証拠を提供しているかどうかを検討しなければならない、とも書いています。読む順番の表で外れた項目があれば、その報告書だけで評価を完結できるかを再検討し、不足する証拠を受託会社や再受託会社の追加報告書、自社の関連統制の評価、サンプリングによる検証で補います。委託先の評価全体の進め方は内部統制を外注する際の注意点と委託先評価の実務、制度の全体像はJ-SOX（内部統制報告制度）の解説を参照してください。

SOC1の統制目的にはプログラム変更やアクセス管理など、ITに係る全般統制が多く含まれます。自社側で評価するITに係る業務処理統制との切り分けはITAC（IT業務処理統制）とITGCの違いで説明しています。委託先の報告書の読み込みから自社統制の整備、評価に使う業務システムの見直しまでを上場準備と並行して進める場合は、IPO準備・内部統制システム支援で相談を受け付けています。

受託会社がSOC1レポートを初めて取得する手順

受託会社の側では、最初の報告書を出すまでに次の順で準備を進めます。

1. 範囲を決める：どの業務・システム・拠点を対象にするか。委託会社の財務報告に関係しない業務を混ぜると、記述書と運用評価手続が膨らむ。
2. 統制目的を決める：「給与計算の入力データが正確かつ網羅的に処理される」のように、委託会社のアサーションにつながる形で書く。
3. 記述書を作る：対象業務、取引の処理方法、統制目的と内部統制、想定するCUEC、再受託会社の扱いを記載する。
4. 予備評価を行う：統制の不足や証跡の欠落を事前に洗い出す。
5. 評価を受ける：Type2では対象期間中の統制の実施記録を残し、運用評価手続を受ける。

受託会社監査人は監査事務所（監査法人または公認会計士）で、受託会社とは独立している必要があります。監査法人の位置づけは監査法人とは何かを公認会計士法で整理した記事にまとめています。報酬は統制の数、拠点数、Type、一体方式の有無で変わります。顧客の多くが3月決算なら12月末基準の対象期間にし、ブリッジレターを毎月出せる体制を作っておくと、PCAの例のように決算直後の依頼に応えられます。

よくある質問

SOC1レポートとは何ですか？

委託会社の財務報告に関連する業務を提供する受託会社の内部統制について、受託会社監査人が意見を述べた保証報告書です。日本ではJICPAの保証業務実務指針3402に基づいて作成され、委託会社とその監査人が利用します。

SOC1とSOC2の違いは何ですか？

SOC1は財務報告に関連する内部統制、SOC2はセキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーに関する内部統制が対象です。日本の基準もSOC1が実務指針3402、SOC2が実務指針3702と別になっています。財務諸表監査やJ-SOXの評価に使うのはSOC1です。

SOC1 Type2レポートとは何ですか？

記述書の表示と内部統制のデザインに加え、対象期間にわたる運用状況の有効性まで受託会社監査人が意見を述べた報告書です。運用評価手続の内容と結果が記載され、対象期間は通常6か月以上です。

ブリッジレターとは何ですか？

SOC1レポートの対象期間の末日から指定日までの間について、内部統制の重要な変更や問題の有無と、ある場合はその内容を受託会社の経営者が表明する文書です。報告書の対象期間と委託会社の決算日のずれを埋めるために使いますが、受託会社監査人の保証は付きません。AWSではSOC Continued Operations Letterと呼ばれます。

SOXレポートとSOCレポートは同じものですか？

別のものです。J-SOX（内部統制報告制度）で上場会社が提出するのは、自社の財務報告に係る内部統制を経営者が評価した内部統制報告書です。SOCレポートは、業務を受託する会社の内部統制について監査事務所が出す保証報告書で、委託する側の会社がJ-SOXの評価で受託会社の評価結果として利用することがあります。

関連記事

• SOC2とは？5基準とType1・Type2の違いをSaaS開発側の証跡目線で解説
• 内部統制を外注する際の注意点｜委託できる業務範囲と2024年改訂で増した委託先評価の実務
• J-SOX（内部統制報告制度）とは？対象企業・3点セット・罰則と2023年改訂後の実務を解説
• ITAC（IT業務処理統制）とは？ITGC・ITDMとの違いと具体例、実施基準の評価方法
• 監査法人とは？公認会計士法の定義・設立要件と監査を受ける会社の準備を解説