内部統制を評価する際には、評価の物差しとなる規準（クライテリア）が必要になります。この物差しについては、SOC報告書の種類によって異なります。
財務報告に関連する内部統制を対象として作成されるSOC1報告書には、SOC2のTrustサービス規準のように、リスト化されたクライテリアと呼べるようなものはありません。しかし、記述書を作成し、適切に内部統制が整備・運用されているかの評価について、利用できる一定の物差しがないと実務では困ってしまいます。
SOC1では、この規準と呼べるものが、実は受託会社確認書に記載されています。以下に実務指針に添付されている記載例を抜粋していますが、その記述に、「当社は以下の規準を使用しました。」として規準内容を列挙しています。
見た目、これが規準なのだろうか？と思われるかもしれませんが、ここに記載されている内容は、財務諸表監査において監査法人等が遵守すべき監査基準報告書に記載されている内容と整合している記述になっています。つまり、監査法人等は、この記述書に記載されているような内容を踏まえて、監査クライアントの内部統制を理解し、特定の内部統制の評価手続を行っているのです。
受託会社確認書の記載例（保証実 3402付録１より抜粋）
受託会社確認書
〇〇〇〇株式会社
（中略）
（１）×頁から×頁の記述書には、×年×月×日から×年×月×日までの全期間（以下「対象期間」という。）にわたり、委託会社の取引を処理している［受託業務の種類又は名称］のシステム（委託会社の相補的な内部統制を除く。）が適正に表示されております。この確認に当たって、当社は以下の規準を使用しました。
- 提供した業務の種類（処理された取引種類が含まれることがある。）
- 取引の開始から、記録、処理、必要に応じた修正、委託会社のために作成された報告書への転記に至る手続（ＩＴによるものか、又は手作業によるものかを問わない。）
- 取引の開始、記録、処理、報告に使用された会計記録、裏付け情報及び特定の勘定（誤った情報の修正と、情報が委託会社のために作成された報告書へどのように転記されたかを含む。）
- 取引以外の重要な事象や状況を当社のシステムにより把握し対応した方法
- 委託会社のための報告書を作成するために用いたプロセス
- 当社の利用する再受託会社によって実施された業務（除外方式を適用している旨の明示を含む。）
- 関連する統制目的及び当該統制目的を達成するためにデザインされた内部統制
- 当社のシステムをデザインする段階で、委託会社において整備されることを当社が想定する内部統制（記述書に記載した統制目的の達成に必要な場合に、当社のみでは達成できない特定の統制目的と関連付けて記述書において識別されるもの）
- 当社の統制環境、リスク評価プロセス、情報システム（関係する業務プロセスを含む。）と伝達、統制活動、監視活動の側面のうち、委託会社の取引の処理及び報告に関連するもの
・・・
（２）記述書に記載された統制目的に関連する当社の内部統制（委託会社の相補的な内部統制を除く。）は、対象期間にわたって、適切にデザインされ、有効に運用されております。この確認に当たって、当社は以下の規準を使用しました。
① 記述書に記載された統制目的の達成を妨げるおそれがあるリスクを識別したこと。
② 識別した内部統制が記載されているとおりに運用された場合、当該リスクが低減され、記載された統制目的が達成されたという合理的な保証を提供したこと。
③ 内部統制が、対象期間にわたって、適切な権限と適性を有する者が実施する手作業による内部統制の適用を含め、デザインされたとおりに一貫して適用されていたこと。
