SOC 2 とは？
米国市場への販売を目指すベトナム企業のための SOC 2 完全ガイド
SOC 2 は、AICPA（米国公認会計士協会）の基準にもとづく独立した監査報告書で、サービス提供組織が 5 つの Trust Services Criteria にわたって顧客データを保護するコントロールを備えていることを示します。CPA ファームが発行し、Type I（ある時点でのコントロールの設計）と Type II（一定期間にわたるコントロールの有効な運用）の 2 種類があります。ベトナム企業が SOC 2 を必要とするのは、通常、米国の大企業にソフトウェアやサービスを販売するときです。
- 基準： AICPA の基準。報告書は独立した CPA ファームが発行
- 評価基準： 5 つの Trust Services Criteria。Security は必須、他の 4 つは任意
- Type I： ある時点でのコントロールの設計を評価
- Type II： 評価期間（通常 3〜12 か月）を通じたコントロールの運用を評価
- 法的義務： なし。顧客が契約やセキュリティチェックシートを通じて求める
SOC 2 とは？
SOC 2（Service Organization Control 2）は、AICPA（米国公認会計士協会）による監査報告書の枠組みです。法律でも認証でもなく、貴社のシステムが定められたセキュリティ基準を満たしていることを、独立した CPA ファームが確認する報告書です。
ベトナム企業に SOC 2 が必要なのは、米国の大企業が求めるからです。セキュリティチェックシートには通常「Do you have a SOC 2 report?」という項目があり、報告書がなければ商談がそこで止まることがあります。
SOC 2 は 5 つの Trust Services Criteria（TSC）で構成されます。Security は必須で、残りの 4 つはサービスの範囲に応じて選びます。
不正アクセスからシステムを保護します。すべての SOC 2 報告書に含まれます。
約束どおりにシステムを利用できる状態を保ちます。稼働率の SLA を持つ SaaS 製品では特に重要です。
約束どおりに機密情報を保護します。顧客の機微なデータを扱う場合によく追加されます。
システムの処理が完全、有効、正確、適時であることを示します。フィンテックや決済処理に関係します。
個人情報を約束どおりに収集、利用、保持、開示します。
ほとんどのベトナム企業は Security と Availability から始めます。これが米国の大企業が受け入れる最小限の範囲です。
SOC 2 Type I と Type II の違い
監査人から最初に聞かれる質問です。2 つの違いはセキュリティの水準ではなく、監査の進め方にあります。
- 方法 監査人が、監査日時点でコントロールが適切に設計されていることを確認
- 評価期間 なし
- 期間 開始から 3〜6 か月
- 用途 最初の実績として、正しい方向に進んでいることを顧客に示す
- 方法 監査人が、評価期間を通じてコントロールが実際に運用されたことを検証
- 評価期間 最短 6 か月（通常は 12 か月）
- 期間 開始から 9〜18 か月
- 用途 米国の大企業への販売、ベンダー契約、大型契約
多くの企業は、Type II の評価期間中に顧客へ提示できるものを用意するため、まず Type I を取得します。
SOC 1、SOC 2、SOC 3 の違い
3 つとも AICPA の基準にもとづき CPA ファームが発行する報告書ですが、顧客のどの問いに答えるかが異なります。ベトナムの SaaS 企業やアウトソーシング企業が求められるのは、ほぼ常に SOC 2 です。
| 項目 | SOC 1 | SOC 2 | SOC 3 |
|---|---|---|---|
| 答える問い | 自社のコントロールは顧客の財務報告にどう影響するか | 顧客のシステムとデータをどう保護しているか | SOC 2 の公開用サマリー |
| 評価基準 | 企業が定義するコントロール目標 | 5 つの Trust Services Criteria | SOC 2 と同じ |
| 読み手 | 顧客の財務監査人 | 顧客のセキュリティ、調達、ベンダーリスクの担当チーム（NDA のもとで共有） | 誰でも。公開可能 |
| 主に求められる企業 | 給与計算、金融取引処理 | SaaS、クラウド、IT／BPO アウトソーシング、フィンテック | SOC 2 を取得済みで、対外的に公開したい企業 |
SOC 2 プロジェクトの進め方
全部で 6 つのステップがあります。最初の 5 つは自社で行う作業で、CPA ファームが担当するのは最後のステップだけです。時間の大半はステップ 3 と 4 に費やされます。
- 対象範囲と Trust Services Criteria を定める。 どのシステム、データ、拠点、サービスを対象にするかを決め、顧客が実際に求める内容にもとづいて TSC を選びます。
- ギャップ評価。 既存のコントロールを Security の基準（Common Criteria CC1〜CC9）と選択した TSC に照らして比較します。成果物は、担当者が割り当てられた是正項目のリストです。エビデンスチェックリスト
- ポリシーとコントロールを整備する。 アクセス制御、変更管理、インシデント対応、ベンダー管理、バックアップ、ログ記録。ポリシーはチームの実際の運用を正しく記述している必要があります。
- コントロールを運用し、エビデンスを収集する。 Type II では、エビデンスが評価期間（通常 3〜12 か月）全体をカバーしている必要があります。
- CPA ファームを選ぶ。 報告書を発行できるのは、資格を持つ独立した CPA ファームだけです。SaaS での経験、期間、見積もりを同じ対象範囲で比較します。
- 監査と報告書の発行。 エビデンスを提出し、監査人の質問に回答し、例外事項を是正します。報告書は評価期間の終了後に発行されます。
SOC 2 にかかる期間と費用の内訳
| フェーズ | 一般的な期間 | 発生するコスト |
|---|---|---|
| 準備（ステップ 1〜4） | 手作業なら 3〜6 か月。コントロールとエビデンスをプラットフォームで管理すれば短縮可能 | 社内人員の工数、コンサルタントまたはプラットフォーム、顧客が求める場合はペネトレーションテスト |
| Type I 監査 | 準備完了から数週間後 | CPA ファームの費用（Type II より低い） |
| Type II の評価期間 | 3〜12 か月。AICPA は最短期間を定めておらず、初回の報告書では米国の顧客は通常 6 か月を受け入れる | コントロールの運用。期間中の監査費用はなし |
| Type II 監査と報告書 | 期間終了から 4〜8 週間 | CPA ファームの費用（毎年発生） |
SOC 2 報告書の有効期間
SOC 2 報告書に有効期限の記載はありません。ただし報告書は監査対象期間中のコントロールしか記述していないため、米国の顧客は通常、対象期間の終了が直近 12 か月以内の報告書を受け入れます。実務上は、評価期間を途切れなくつなげて毎年 Type II 監査を受け、旧期間の終了日から新しい報告書の発行日までの最大約 3 か月の空白を、経営陣が署名するブリッジレターでカバーします。ブリッジレターは企業側の表明であり、監査人の意見ではありません。
ベトナムで SOC 2 が必要な企業
米国の顧客データを保存・処理する場合、SOC 2 はベンダーリストに載るためのほぼ前提条件です。
自社インフラ上の顧客データをどう保護しているかという問いに対する標準的な答えが SOC 2 です。
自社チームが米国の顧客のシステムやデータにアクセスする場合、顧客はアクセスが適切に管理されているというエビデンスを求めます。
金融データにはより高い水準が求められ、Processing Integrity の TSC を含む SOC 2 がよく要求されます。
米国の VC やアクセラレーターの中には、特にシリーズ A 以降の B2B SaaS について、デューデリジェンスに SOC 2 を含めるところがあります。
SOC 2 と ISO 27001、どちらを選ぶべきか
どちらも情報セキュリティを扱うフレームワークですが、対象とする市場が異なります。違いを知ることで、適切なものを選べます。
| 項目 | SOC 2 | ISO 27001 |
|---|---|---|
| 主要市場 | 米国、カナダ | グローバル、EU、日本、シンガポール |
| 成果物の種類 | 監査報告書 | 認証書 |
| 策定機関 | AICPA（米国） | ISO/IEC（国際） |
| コントロールの重複 | コントロールの約 60〜70% が重複し、並行して進められる | |
| 選ぶべきケース | 米国・カナダの対象顧客が SOC 2 報告書を明示的に求めている | 日本、EU、シンガポール市場を狙う、または国際的に認められた認証が欲しい |
よくある質問
SOC 2 報告書の有効期間はどのくらいですか？
SOC 2 報告書に公式な有効期限はありませんが、米国の顧客は通常、対象期間の終了が直近 12 か月以内の報告書のみを受け入れます。そのため企業は毎年 Type II 監査を受け、経営陣が署名するブリッジレターで、2 つの報告書の間に生じる最大約 3 か月の空白期間をカバーします。
SOC 1、SOC 2、SOC 3 の違いは何ですか？
SOC 1 は、顧客の財務報告に影響するコントロール（例：給与計算サービス）についての報告書です。SOC 2 は、Trust Services Criteria にもとづくセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーのコントロールについての報告書で、内容が詳細なため NDA のもとで共有されます。SOC 3 は SOC 2 の公開用サマリーで、テストの詳細は含みません。SaaS 企業やアウトソーシング企業が求められるのは、ほぼ常に SOC 2 です。
SOC 2 は何から始めればよいですか？
まず、顧客のセキュリティチェックシートで求められている内容にもとづいて対象範囲（システム、データ、Trust Services Criteria）を定め、Security の基準に対するギャップ評価を行います。次に、各コントロールに担当者を割り当て、運用しながらエビデンスを収集し、CPA ファームを選び、Type I から始めるか Type II に直接進むかを決めます。
SOC 2 は認証ですか？
いいえ。SOC 2 は独立した CPA ファームが発行する保証報告書（attestation report）であり、ISO 27001 のような認証ではありません。多くの人が「SOC 2 認証」と呼びますが、正しくは「SOC 2 報告書」です。
SOC 2 監査は誰が実施できますか？
AICPA の基準にもとづいて SOC 2 報告書を発行できるのは、資格を持つ独立した CPA ファームだけです。pTrackly のようなプラットフォームはコントロールとエビデンスの準備を支援しますが、監査人の代わりにはなりません。
SOC 2 にはどのくらいの期間がかかりますか？
手作業で進める場合、準備には通常 3〜6 か月かかります。Type I 報告書はその直後に取得できます。Type II では、監査と報告書の発行の前に、通常 3〜12 か月の評価期間が加わります。
SOC 2 は法律で義務付けられていますか？
いいえ。SOC 2 を法律で義務付けている国はありません。企業が取り組むのは米国の顧客が求めるからです。米国の大企業に販売しないのであれば、必要ない場合もあります。
SOC 2 Type I と Type II の違いは何ですか？
Type I は、ある時点でコントロールが適切に設計されていることを確認します。Type II は、評価期間（通常 3〜12 か月、AICPA は最短期間を定めていません）を通じてコントロールが実際に継続して運用されていることを確認します。米国の大企業は通常、大型契約の締結前に Type II を求めます。
ベトナムのアウトソーシング企業に SOC 2 は必要ですか？
顧客次第です。米国の大企業の顧客が、セキュリティチェックシートやベンダー契約で SOC 2 報告書を求めているなら必要です。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。