SOC 2 Type I と Type II の比較
Type I は特定日、Type II は一定期間を評価します。どちらを選ぶかで、スケジュール、費用、顧客に受け入れられるかが決まります。
結論：Type I と Type II のどちらか
SOC 2 Type I は、特定の日においてコントロールが適切に設計されているかを報告します。SOC 2 Type II は、整備状況に加え、一定期間（通常 3〜12 か月、AICPA は最短期間を定めていない）にわたりコントロールが有効に運用されたかを報告します。どちらもライセンスを持つ CPA 事務所が発行する報告書であり、認証ではありません。商談で早く証跡が必要なら Type I、米国の企業顧客が継続的に求めるのは Type II のため、Type I から Type II に進むか、期間を待てる場合は最初から Type II を選ぶ企業が多くあります。
特定時点の評価
特定の基準日にコントロールが適切に設計されているかを評価します。評価対象期間はありません。
一定期間の評価
評価対象期間を通じて、コントロールの整備状況と運用状況の両方を評価します。
SOC 2 Type I と Type II はどう違うのか
| 項目 | Type I | Type II |
|---|---|---|
| 評価内容 | コントロールは適切に設計されているか | コントロールは適切に設計され、かつ有効に運用されたか |
| 基準日か期間か | 特定の基準日 | 一定期間（通常 3〜12 か月、AICPA は最短期間を定めていない） |
| 監査人の検証方法 | 基準日時点の質問と、文書・設定の閲覧 | 同左に加え、期間全体のエビデンスのサンプルテスト（アクセスレビュー、変更チケット、アラートなど） |
| 報告書の内容 | 監査人の意見、経営者のアサーション、システム記述書 | 同左に加え、実施したテストと結果（例外を含む）の記述 |
| 顧客にとっての価値 | コントロールが整備されていることを示す | コントロールが期間を通じて運用されたことを示す |
| 期間（目安） | 範囲に応じた準備のあと、1 回の評価 | 準備、通常 3〜12 か月の評価対象期間、その後の監査と報告書発行 |
| 費用を左右する要因 | 範囲、トラストサービス区分、CPA 事務所 | 同左に加え、期間の長さとサンプルテストの量 |
| 適しているケース | 早く証跡が必要な商談、Type II への準備 | 米国企業との長期的な取引、ベンダー審査で Type II を求められる場合 |
期間は範囲によって異なる目安であり、保証ではありません。CPA 事務所の費用は別途かかります。
Type I から Type II へどう進むか
- 準備. 対象システムとトラストサービス区分を決め、ギャップ評価を行い、不足するコントロールを整えます。期間は範囲と現在の準備状況によって異なります。
- Type I. CPA 事務所が特定日のコントロールの整備状況を評価し、Type I 報告書を発行します。
- 評価対象期間. コントロールを運用し、エビデンスを継続的に保管します（通常 3〜12 か月）。早く報告書を得るため最初の期間を短くする企業もあります。CPA 事務所と顧客に確認してください。
- Type II とその後. CPA 事務所が期間全体のサンプルをテストし、Type II 報告書を発行します。以後は連続した期間で毎年実施し、期間の間の短い空白は経営者が署名するブリッジレターで補えます。
pTrackly はエビデンスのタスクを頻度に沿って割り当て、期限前にリマインドし、レビュー履歴を保持するため、Type II の評価対象期間に途切れのないエビデンスを残せます。範囲、コントロールの運用、監査意見は、貴社のチームと CPA 事務所が担います。
よくある質問
SOC 2 Type I と Type II の違いは何ですか？
Type I は特定日にコントロールが適切に設計されているかを評価します。Type II は整備状況に加え、一定期間（通常 3〜12 か月）にコントロールが有効に運用されたかを評価し、報告書には実施したテストと結果の記述が加わります。
Type I に評価対象期間は必要ですか？
必要ありません。Type I は特定の基準日で評価するため Type II より短期間で済みます。ただし基準日までに準備を終えておく必要があります。
Type I を省いて最初から Type II にできますか？
できます。早く証跡が必要な商談がなければ、2 回分の評価費用を避けるために最初から Type II を選ぶ企業も多くあります。最初の期間は CPA 事務所や顧客と合意のうえで短くすることもできます。
Type II の評価対象期間は最短どのくらいですか？
AICPA は最短期間を定めていません。通常は 3〜12 か月で、適切な長さは顧客の期待と CPA 事務所の推奨によって決まります。
米国の企業顧客は SOC 2 Type I を受け入れますか？
受け入れる企業もあり、特に Type II に取り組んでいることを示せる場合です。ただしベンダー審査で Type II を求める企業も多いため、選ぶ前に対象の顧客に確認してください。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。