変更要約: 初版
5.4外部委託・クラウドの統制評価
監査人が、直接アクセスできない委託先・クラウドサービスに対し、委託先管理・再委託・SLA・監査権（監査対応）・責任分界を通じてどのように保証を得るか、第三者評価報告書（SOC報告書）の活用を含めて学びます。
業務やシステムを外部委託・クラウドに移すと、統制の一部が組織の外に出ます。監査人は、委託先の環境に直接立ち入って統制をテストできないことが多いという制約の中で、それでも委託した業務の統制が有効であるという保証をどう得るかを判断しなければなりません。この節では、委託先管理・再委託の統制、SLAによる品質担保、契約に基づく監査権の行使や委託先の第三者評価報告書の活用、そしてクラウドの責任分界の理解という、外部に依存する統制を評価するための監査人の道具立てを学びます。
5.4.1委託先管理・再委託・SLA
- 委託先管理＝委託元（自組織）が委託先の統制水準やセキュリティを継続的に管理する統制。契約でセキュリティ要件・責任範囲・報告義務を定め、定期的に遵守状況を確認する。再委託は委託先がさらに別の事業者へ業務を出すことで、統制が及ばない範囲が広がるため、再委託には委託元の事前承認を必須とし、再委託先にも同等の統制を求めるのが定石。
- SLA（Service Level Agreement）＝可用性・応答時間・障害復旧時間などのサービス水準を数値で合意する契約。監査人はSLAが業務上の要求水準に見合っているか、および実績がSLAを満たしているかの報告・監視の仕組みがあるかを評価する。SLAは品質を契約で担保する予防的な枠組みだが、実績報告と乖離時の是正がなければ形骸化する。
5.4.2監査権・第三者評価報告書・責任分界
- 監査権（right to audit）＝委託契約に「委託元またはその指定した監査人が委託先を監査できる」旨を定めておき、必要時に委託先の統制を直接評価する権利。ただしクラウドのような多数の顧客が共用する環境では、個別顧客による直接監査は現実的でないことが多い。
- 直接監査できない場合、監査人は委託先が受けた独立した第三者評価報告書（SOC報告書等）を証拠として活用する。これは委託先の内部統制について独立した監査人が評価・報告したもので、多数の委託元が共通の保証を得る手段となる。監査人は報告書の対象範囲・対象期間・除外事項が自組織の関心と合致しているかを確かめたうえで、委託先統制の有効性の証拠とする。
- 責任分界＝クラウド（IaaS/PaaS/SaaS）では、事業者が守る範囲と利用者が守る範囲が層で分かれる（責任共有モデル）。監査人はまずどこまでが利用者側の統制責任かを明確にし、利用者責任の範囲（例：IaaSではOS以上の設定・アクセス管理・データ）については利用者自身の統制を評価し、事業者責任の範囲は第三者評価報告書で保証を得る、と切り分ける。
「委託先を直接監査できないときは第三者評価報告書（SOC報告書）を証拠として活用（範囲・期間・除外事項を確認）」「再委託は委託元の事前承認と同等統制を必須に」「クラウドは責任共有モデルで利用者責任の範囲を切り分けて評価」が最頻出です。監査権は契約で確保するが、共用環境では第三者報告書が現実解となる点を押さえましょう。
あるシステム監査人が、自組織が基幹業務を大手クラウド（IaaS）事業者へ移行した後の統制の有効性を評価しなければならないとします。監査人はまず、委託先であるクラウド事業者のデータセンタに立ち入って物理セキュリティや基盤の統制を直接テストすることは、多数の顧客が共用する環境では現実的でも認められてもいないという制約を認識します。そこで監査人は、事業者が公表・提供する独立した第三者評価報告書（SOC報告書）を入手し、その報告書の対象範囲（どのサービス・どの統制目的が含まれるか）・対象期間・除外事項（適用外のコントロール）が、自組織が依存している統制と合致しているかを確かめたうえで、事業者側（物理・基盤・ハイパーバイザ等）の統制については、この第三者報告書を証拠として有効性の保証を得ることにしました。一方、監査人は責任共有モデル上、OSより上の設定・アクセス管理・データの暗号化・利用者アカウントの権限管理は利用者（自組織）の統制責任であることを明確にし、この利用者責任の範囲については第三者報告書に頼らず、自組織の設定や権限付与の実態を直接評価します（例：不要な管理者権限が付与されていないか、公開設定が誤っていないか）。さらに、クラウド事業者がサービスの一部を別の事業者へ再委託している場合には、その再委託先の統制が第三者報告書の対象に含まれているか、含まれないなら別途保証手段があるかを確認します。契約面では、監査権（監査対応）の条項や、可用性・復旧時間を定めたSLAとその実績報告があるかを評価し、SLA未達時の是正手続が機能しているかも確かめます。このように、外部委託・クラウドの統制評価では、直接アクセスできないという制約の下で、第三者評価報告書の活用・責任分界の切り分け・監査権とSLAの契約的担保を組み合わせて保証を得ることが、監査人の核となる判断です。
| 制約／課題 | 監査人の対応 | 確認事項 |
|---|---|---|
| 委託先を直接監査できない | 第三者評価報告書（SOC報告書）を証拠に活用 | 対象範囲・対象期間・除外事項が自組織の関心と合致するか |
| 再委託で統制範囲が拡大 | 事前承認と同等統制の要求・報告書の対象確認 | 再委託先が報告書対象か・別途保証手段があるか |
| クラウドの責任共有 | 利用者責任の範囲を切り分け直接評価 | OS以上の設定・アクセス管理・データ保護の統制 |
ひっかけ： 「委託先やクラウドに直接立ち入って監査できないから、その統制は評価不能で保証は得られない」は誤りです——監査人は第三者評価報告書（SOC報告書）を証拠として活用し、範囲・期間・除外事項を確認したうえで委託先統制の有効性の保証を得られます。また「クラウドに移行すれば統制責任もすべて事業者に移る」も誤り＝責任共有モデルにより、OS以上の設定・アクセス管理・データ保護は利用者の統制責任として残り、監査人はその範囲を直接評価する必要があります。
5.4.3この節のまとめ
- 委託先を直接監査できないとき、監査人は第三者評価報告書（SOC報告書）を証拠に活用し、範囲・期間・除外事項が自組織の関心と合致するかを確かめる
- 再委託は統制範囲を広げるため事前承認と同等統制を求め、SLAは業務要求水準との整合と実績報告・是正の仕組みを評価する
- クラウドは責任共有モデルで、利用者責任の範囲（OS以上の設定・アクセス管理・データ）は監査人が直接評価し、事業者責任は第三者報告書で保証を得る
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 自組織が基幹業務を大手クラウド（IaaS）事業者へ移行した。監査人は多数の顧客が共用するこの環境の事業者側統制（物理・基盤等）を直接立ち入って監査することができない。この統制の有効性の保証を得るために監査人が取るべき最も適切な手段はどれか。
Q2. クラウド（IaaS）を利用する自組織の統制を監査人が評価するにあたり、責任共有モデルを踏まえて監査人が「利用者自身の統制」として直接評価すべき範囲として最も適切なものはどれか。
Q3. 監査人が委託先管理統制を評価している。委託先が委託業務の一部をさらに別の事業者へ再委託していることが判明した。この再委託に関する統制として、監査人が確認すべき最も適切な事項はどれか。