最終更新日：
SOC報告書とは、業務を受託する会社の内部統制について、独立した監査人が評価した結果をまとめた報告書です。
クラウドサービスや業務の委託先が、利用する会社に向けて提出する報告書です。米国公認会計士協会（AICPA）の枠組みにもとづくもので、日本では日本公認会計士協会の実務指針（3402・3702）にもとづく報告書もあり、財務報告に関わる内部統制を対象とするSOC1と、セキュリティ・可用性・機密性などを対象とするSOC2が広く使われています。
ある時点で統制が整っているかを評価したものをタイプ1、一定の期間を通じて統制が運用されていたかまで評価したものをタイプ2と呼びます。委託先の管理の確認では、対象の期間・範囲（どのサービス・拠点か）・監査人の意見・例外の事項に加え、利用する会社の側で整えることを求められている統制が書かれていないかを読みます。
報告書は委託先の統制の状況を示すもので、利用する会社の側の設定や運用の適切さまでを示すものではありません。
関連する法令・指針（参考情報）
- 法令
個人情報保護法 第25条（委託先の監督）
個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。
法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは法令・指針の参考情報と凡例をご覧ください。
関連する用語
- ISMAP政府が求めるセキュリティの要求を満たしているクラウドサービスを、あらかじめ評価・登録する日本の制度です。
- SaaSソフトウェアを自社に入れず、インターネットを通じてサービスとして利用する形態です。
- クラウドサーバーやソフトウェアなどの機能を、インターネットを通じて必要な分だけ利用する形態です。
- ISMS（ISO/IEC 27001）国際規格 ISO/IEC 27001 に要求事項が定められた、組織として情報セキュリティを管理する仕組みです。