5.4外部委託・クラウドの統制評価

業務やシステムを外部委託・クラウドに移すと、統制の一部が組織の外に出ます。監査人は、委託先の環境に直接立ち入って統制をテストできないことが多いという制約の中で、それでも委託した業務の統制が有効であるという保証をどう得るかを判断しなければなりません。この節では、委託先管理・再委託の統制、SLAによる品質担保、契約に基づく監査権の行使や委託先の第三者評価報告書の活用、そしてクラウドの責任分界の理解という、外部に依存する統制を評価するための監査人の道具立てを学びます。

5.4.1委託先管理・再委託・SLA

• 委託先管理＝委託元（自組織）が委託先の統制水準やセキュリティを継続的に管理する統制。契約でセキュリティ要件・責任範囲・報告義務を定め、定期的に遵守状況を確認する。再委託は委託先がさらに別の事業者へ業務を出すことで、統制が及ばない範囲が広がるため、再委託には委託元の事前承認を必須とし、再委託先にも同等の統制を求めるのが定石。
• SLA（Service Level Agreement）＝可用性・応答時間・障害復旧時間などのサービス水準を数値で合意する契約。監査人はSLAが業務上の要求水準に見合っているか、および実績がSLAを満たしているかの報告・監視の仕組みがあるかを評価する。SLAは品質を契約で担保する予防的な枠組みだが、実績報告と乖離時の是正がなければ形骸化する。

5.4.2監査権・第三者評価報告書・責任分界

• 監査権（right to audit）＝委託契約に「委託元またはその指定した監査人が委託先を監査できる」旨を定めておき、必要時に委託先の統制を直接評価する権利。ただしクラウドのような多数の顧客が共用する環境では、個別顧客による直接監査は現実的でないことが多い。
• 直接監査できない場合、監査人は委託先が受けた独立した第三者評価報告書（SOC報告書等）を証拠として活用する。これは委託先の内部統制について独立した監査人が評価・報告したもので、多数の委託元が共通の保証を得る手段となる。監査人は報告書の対象範囲・対象期間・除外事項が自組織の関心と合致しているかを確かめたうえで、委託先統制の有効性の証拠とする。
• 責任分界＝クラウド（IaaS/PaaS/SaaS）では、事業者が守る範囲と利用者が守る範囲が層で分かれる（責任共有モデル）。監査人はまずどこまでが利用者側の統制責任かを明確にし、利用者責任の範囲（例：IaaSではOS以上の設定・アクセス管理・データ）については利用者自身の統制を評価し、事業者責任の範囲は第三者評価報告書で保証を得る、と切り分ける。