SOC 2

Identity

• AICPA & CIMAのSOCサービス群のページは、SOC（System and Organization Controls）を公認会計士（CPA）が提供しうるサービス群と説明している。同ページに掲載されたSOC 2ガイドの題名は「SOC 2 Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy」で、これら5つの観点がSOC 2の対象であることが示されている（2026年10月時点）。検証待ち System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA

Capability

• AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。検証待ち System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA
• Linford & Co.の解説記事（2023年2月1日公開）は、SOC 2の検証に含められる基準は5つ（セキュリティ、可用性、機密保持、プライバシー、処理の完全性）で、必須はセキュリティ（共通基準）のみと述べ、根拠をTSP Section 100の2017 Trust Services Criteria（2022年の改訂版points of focus付き）としている。2022年の更新は着眼点を追加したもので、基準自体は変えていないとされる。検証待ち Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.

Credibility

• 会計事務所Baker Tillyの解説（2025年6月25日更新）によれば、AICPAは2022年10月15日に更新版のSOC 2ガイドを公表した。Trust Services Criteriaは2017年版で、2022年に着眼点が改訂されたが、Description CriteriaとTrust Services Criteria自体は変更されていない。検証待ち Unpacking the AICPA SOC 2 guide: What you need to know | Baker Tilly
• AICPAのSOCサービス群のページ（日付のない通知）は、コンプライアンスベンダーの事業慣行に関して匿名で公表された申し立てをAICPAが調べていると述べ、関与した監査人が職業基準違反・ピアレビュー未実施・無資格等の場合は会員に対して措置を講じ、州会計委員会への付託を通じた規制当局への支援も行うとしている。同ページは、サービス組織とCPA事務所にSOCサービスを十分に評価するよう促している。申し立て自体は事実認定ではない。検証待ち System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA

Use Case

• AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。検証待ち System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA

Constraints / Current Status

• Linford & Co.の解説記事（2023年2月1日公開）は、SOC 2の検証に含められる基準は5つ（セキュリティ、可用性、機密保持、プライバシー、処理の完全性）で、必須はセキュリティ（共通基準）のみと述べ、根拠をTSP Section 100の2017 Trust Services Criteria（2022年の改訂版points of focus付き）としている。2022年の更新は着眼点を追加したもので、基準自体は変えていないとされる。検証待ち Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.
• AICPAのSOCサービス群のページ（日付のない通知）は、コンプライアンスベンダーの事業慣行に関して匿名で公表された申し立てをAICPAが調べていると述べ、関与した監査人が職業基準違反・ピアレビュー未実施・無資格等の場合は会員に対して措置を講じ、州会計委員会への付託を通じた規制当局への支援も行うとしている。同ページは、サービス組織とCPA事務所にSOCサービスを十分に評価するよう促している。申し立て自体は事実認定ではない。検証待ち System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA

Key References

• SOC 2が委託先の信頼性確認の文脈で参照される理由は何ですか？
• SOC 2に関する情報は、どの資料で確認できますか？
• SOC 2とは何ですか？

Related

• AICPA (American Institute of CPAs)— SOC 2はAICPAのSOCサービス群（SOC suite）に属する報告で、AICPAがSOC 2ガイドを公表している（AICPAのSOCサービス群ページによる）。