NEC、国際基準準拠の内部統制保証報告書を取得へ--クラウドのグローバル提供を視野（CNET Japanより）

NEC、国際基準準拠の内部統制保証報告書を取得へ--クラウドのグローバル提供を視野

NECが、国際保証業務基準「ISAE3402」および米国保証業務基準「SSAE16」に準拠した受託業務の内部統制保証報告書を取得するという記事。

「「ISAE3402」は国際会計士連盟（IFAC）が定めたもので、サービスを提供する受託会社の内部統制の有効性を証明する各国会計士による保証業務の国際基準。また、「SSAE16」は「ISAE3402」に準拠した米国公認会計士協会（AICPA）の基準となっており、IT分野でも今後サービスベンダーの内部統制保証報告書として主流となる可能性が高いとされている。

　NECは従来、国内上場企業に利用が限られた「監査基準18号報告書」に準拠した内部統制保証報告書を提供する体制を整えてきたが、今回、市場動向を踏まえ、あらたに国際基準に準拠した「ISAE3402」「SSAE16」の両基準に準拠することで、顧客のグローバル化に対応するとしている。」

日本公認会計士協会の監査基準委員会報告書第18号「委託業務に係る統制リスクの評価」では、財務諸表監査の監査人が委託業務の統制リスク評価を確かめるための手続について規定した部分と、受託会社の監査人が受託業務の内部統制について報告書を発行する際の手続などを規定した部分がいっしょになっていますが、ISAE3402は、受託会社の監査人の手続などを切り離し、保証業務の一種として、詳細に規定しているようです。

おそらく、日本の会計士協会も、今後、そのような方向で改正するものと思われます。

ISAE3402の原文はこちらです。↓

INTERNATIONAL STANDARD ON ASSURANCE ENGAGEMENTS (ISAE) 3402
ASSURANCE REPORTS ON CONTROLS AT A SERVICE ORGANIZATION（国際会計士連盟）（PDFファイル）

ISAE3402のスコープは以下のように規定されています。

This International Standard on Assurance Engagements (ISAE) deals with assurance engagements undertaken by a professional accountant in public practice to provide a report for use by user entities and their auditors on the controls at a service organization that provides a service to user entities that is likely to be relevant to user entities’ internal control as it relates to financial reporting.

このように、受託会社のサービスの全部がISAE3402の対象になるのではなく、あくまでユーザー企業の財務報告に関連する内部統制に関係のあるサービスに限定されます。ユーザー企業の財務報告にまったく関係のないサービスの内部統制については、ISAE3402の対象外ということです。

この点は一部で誤解があるようですので、ご注意ください。

IASE3402の適用指針にも、財務報告に関連するかどうかにはプロフェッショナル・ジャッジメントが必要だという注意書きがあります。

The determination of whether controls at a service organization related to operations and compliance are likely to be relevant to user entities’ internal control as it relates to financial reporting is a matter of professional judgment, having regard to the control objectives set by the service organization and the suitability of the criteria.（A1項より）