クラウド会計のIT全般統制の評価項目｜SaaS側と自社の分担とSOC1報告書の確認範囲

クラウド会計のIT全般統制の範囲と本記事で確認した資料

本記事で原典として開いた資料は、金融庁の企業会計審議会が令和5年4月7日に公表した内部統制基準・実施基準の改訂に関する意見書と新旧対照表、金融庁「内部統制報告制度に関するQ&A」（令和5年8月31日改訂）、経済産業省「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」（令和6年12月25日、以下「追補版」）、日本公認会計士協会の監査基準報告書402「業務を委託している企業の監査上の考慮事項」（最終改正2023年1月12日、以下「監基報402」）と保証業務実務指針3402「受託業務に係る内部統制の保証報告書に関する実務指針」（最終改正2023年3月16日、以下「保証実3402」）、freee会計とマネーフォワード クラウド会計Plusの公式ページとヘルプです。会計ソフトの記載は2026年10月20日時点で確認しました。

自社サーバーに会計システムを置いていた時代のIT全般統制の調書は、プログラム変更の申請書やサーバー室の入退室記録を証跡にしていました。クラウド会計では、プログラムもサーバーも提供会社の管理下にあり、同じ調書の様式をそのまま使うと証跡の欄が埋まりません。本記事は、4項目のどこまでが提供会社の範囲で、どこからが自社の範囲かを分け、各項目の証跡を具体的に置き換えます。上場準備段階でのクラウド会計の選び方は上場準備企業がクラウド会計を選ぶときに確認する機能の記事にまとめています。

実施基準と追補版におけるIT全般統制の4項目と外部委託の位置づけ

実施基準Ⅱ3(3)⑤イは、ITの統制を全般統制と業務処理統制に分け、経営者が両方を評価すると定めた箇所です。令和5年の改訂では、全般統制が有効でも業務処理統制が有効とは直ちに言えない点への留意が加わりました。ニaが挙げるIT全般統制の評価項目は、システムの開発・保守、システムの運用・管理、内外からのアクセス管理などのシステムの安全性の確保、外部委託に関する契約の管理の4つです。同じ箇所の注記には、財務報告の信頼性に特に重要な影響を及ぼす項目を除き前年度の評価結果を継続利用できるという定めもあります。

外部委託については、基準Ⅱ2(1)の注が、外部に委託した業務の内部統制を評価範囲に含めると定めています。実施基準Ⅰ2(6)は令和5年の改訂で、情報システムの開発・運用・保守などITに関する業務の全部または一部を外部組織に委託する場合があり、ITの委託業務に係る統制の重要性が増していると追記しました。実施基準Ⅱ2(1)②は、委託業務の例として、財務諸表の作成に関わる取引処理に加え、情報システムの開発・運用・保守などITに関連する業務を外部の専門会社に委託する場合を令和5年の改訂で加え、同②イは、委託業務が企業の重要な業務プロセスの一部を構成している場合、経営者は受託会社の業務について内部統制の有効性を評価しなければならないと定めています。追補版第Ⅱ章2(2)①は、この外部委託に外部サービスの利用の場合も含むと括弧書きで明記しているので、会計システムをSaaSとして利用する会社は、提供会社をこの定めの受託会社として評価します。

追補版は第Ⅱ章2(2)②で4項目の中身を細分しています。a.システムの開発・保守は開発・保守に関する手続の策定、ソフトウェアの開発・調達、IT基盤の構築、検証（テスト）。b.システムの運用・管理は運用管理に関する手続の策定、構成管理と変更管理、データ管理。c.アクセス管理などの安全性の確保はアクセス管理等のセキュリティ対策、サイバーセキュリティフレームワークの構築、情報セキュリティインシデントの管理。d.外部委託に関する契約の管理は外部委託先との契約、サービスレベルの定義と管理、契約に基づく外部委託先の管理です。同じ2(2)①は、開発・保守・運用を外部委託している場合には委託先でプログラムとデータの信頼性が確保されるようにすると書き、括弧書きで外部サービスの利用の場合も含むと明記しています。第Ⅲ章1(1)⑤cの記述は、内部統制の整備・運用は企業の責任であるため、外部委託についてもIT統制の評価の一部として検証するというものです。

IT全般統制の4項目ごとのSaaS側で担う範囲と自社で行う統制

追補版の細分に沿って、クラウド会計ではどの統制を提供会社が担い、自社に何が残るかを整理した表が次のものです。提供会社側の列は、SOC1報告書の記述書や提供会社のセキュリティページで確かめる範囲で、自社の列は、自社の業務記述書とリスクコントロールマトリックスに統制として書き、運用評価の対象にする範囲です。

a.の行では、提供会社の機能更新を自社が承認する手続は作れない点に注意が必要になります。承認できないものを承認したように書いても、運用評価で証跡は出てきません。自社が承認できる範囲は、自社が設定する内容の変更に限られます。自動仕訳ルールの設定者と承認者の分け方は自動仕訳を業務記述書・RCMに記載する方法の記事に書きました。d.の行の委託会社の相補的な内部統制は、次の節で扱います。

ユーザー権限の設計と変更記録の取り方

c.のアクセス管理は、クラウド会計で自社の統制が最も多く残る項目です。freee会計のカスタム権限（ヘルプ更新日2026年4月16日）は、メニューごとに参照・登録・更新・削除・自分のみを分けて権限セットを作る機能で、標準の管理者権限セットを持つメンバーが設定します。権限変更履歴はその他設定の項目として権限を付与されたメンバーが参照できます。仕訳の承認履歴と変更履歴（ヘルプ更新日2025年12月16日）はエンタープライズプランの機能で、申請者と承認者が同じ場合に自己承認を許すかの設定とその変更履歴を確認でき、仕訳承認履歴と仕訳設定変更履歴に閲覧期限はありません。

マネーフォワード クラウド会計Plusでは、ロール一覧（サポート更新日2022年11月11日）でシステム管理者・業務管理者・起票者・承認者・外部データ管理者・監査の6つの標準ロールを起点にメニューごとの権限を設定し、設定できるのはシステム管理者です。ロールログ（更新日2023年9月29日）はロールの追加・編集・削除の操作者と日時、操作後のメニューの状態を表示し、ユーザーログ（同日）はユーザーの追加・削除と権限付与の操作者・対象者・日時を表示します。どちらもCSVで出力できます。会計Plusの製品ページの比較表では、仕訳承認・権限管理・ログ機能をまとめた内部統制対応が会計Plusのみの機能です。

権限の設計で監査法人から確かめられるのは、起票者と承認者が分かれているか、承認者が自分の仕訳を承認できない設定になっているか、管理者権限を持つ人が経理の実務者と重なっていないか、退職者のアカウントが停止されているかの4点です。ログ機能があっても、申請と承認の記録がなければ「誰の指示で権限が変わったか」は示せません。権限変更の申請書（ワークフローでも電子メールでも可）と、変更後のログ画面の出力を対にして保管します。

委託会社の相補的な内部統制の確認方法

監基報402第7項(3)は、委託会社の相補的な内部統制を、受託業務のデザイン段階で委託会社に整備されることを受託会社が想定する内部統制で、受託会社のシステムに関する記述書に統制目的の達成に必要なものとして記載されるものと定義しています。英語の報告書ではComplementary User Entity Controls（CUEC）と呼ばれる欄です。保証実3402第15項(1)⑦は、受託会社のシステムに関する記述書に、内部統制をデザインする段階で想定している委託会社の相補的な内部統制を含めることを求め、第20項(3)は受託会社監査人が記述書の通読でその記載の適切さを評価すると定めています。

利用者企業の側から見ると、SOC1報告書の統制目的は「利用者が相補的な統制を運用していること」を前提に達成されます。監基報402第16項(2)は、委託会社監査人がタイプ2の報告書を利用するとき、記述書に含まれる委託会社の相補的な内部統制が自社に該当するかを判断し、該当する場合は委託会社がその統制をデザインして業務に適用しているかを理解したうえで運用状況を評価する、という定めです。どの統制が相補的な内部統制として書かれるかは報告書ごとに異なるので、記述書の一覧を見るまで決めつけません。前節の分担表で自社に残した統制のうち、ユーザーアカウントと権限の管理や入力データの確認は、提供会社が利用者側の整備を前提にする性質の統制なので、一覧に含まれているかを最初に確かめます。報告書を入手したら、相補的な内部統制の一覧を自社のリスクコントロールマトリックスと突き合わせ、対応する統制がない項目を追加します。

freee会計とマネーフォワード クラウド会計のSOC1 Type2報告書の公表状況と入手方法

監基報402第7項(8)(9)は、基準日現在の内部統制のデザインと業務への適用に関する報告書をタイプ1、基準日または特定期間にわたるデザインと業務への適用、場合によっては運用状況の有効性に関する報告書をタイプ2と定義し、A20項はタイプ1の報告書が運用状況の有効性について証拠を提供しないと述べています。運用評価に使えるのはタイプ2です。各社の公式ページで確認できた範囲は次の表のとおり。

どちらの会社も、対象期間と発行時期は公式ページに書いていません。報告書を評価に使う会社は、自社の評価対象期間（基準事業年度の期首から期末）と報告書の対象期間の重なりを先に確かめる必要があるため、依頼の際に対象期間と発行予定時期を質問し、回答を調書に残します。freee会計はエンタープライズプラン、マネーフォワードは会計Plusの利用者を対象に報告書を発行しているので、下位プランで運用している会社は、対象プランへの移行時期を評価対象期間と合わせて決めます。移行前の期間は、監基報402A32項が追加の手続として挙げる委託会社側の監視プロセスのテストと、追補版第Ⅲ章4(1)①dの質問書・確認書で補う前提になります（この移行時期の考え方は編集部の整理です）。

SOC1報告書を評価に使うときの確認項目と報告書がない期間の扱い

監基報402第15項は、委託会社監査人が受託会社の内部統制の運用状況の証拠を得る方法として、タイプ2の報告書の入手、受託会社での運用評価手続の実施、他の監査人の利用を挙げています。第16項が定めるのは、タイプ2の報告書を使うときに評価する4つの事項です。(1)記述書とデザイン・運用状況の基準日や対象期間が目的に適切か、(2)委託会社の相補的な内部統制が自社に該当するか、(3)運用評価手続の対象期間とその後の経過期間が適切か、(4)記載された手続と結果がアサーションに関連し十分かつ適切な証拠を提供するかです。A30項からA33項は、報告書の対象期間と会計期間の重なりが少ない場合や対象期間が会計期間の外にしかない場合に追加の証拠が必要になることがあると述べ、A32項は追加の手続の例として、運用評価手続の対象期間を報告書の対象外の期間まで広げることと、受託会社の内部統制を監視する委託会社のプロセスをテストすることを挙げています。A36項は例外事項や除外事項があっても直ちに報告書が役に立たないとは限らず内容を評価するとしています。

監基報402は監査人向けの基準ですが、経営者評価でも同じ4点を調書に書けば、監査法人が自らの手続に転用できます。経営者評価の根拠は追補版第Ⅲ章4(1)①dです。同項は受託会社の内部統制の評価方法として、質問書や確認書を送付する方式、直接往査する方式、受託会社の内部統制に関する保証報告書を入手して確認する方式の3つを挙げ、クラウドサービス等については受託会社のシステム障害等が委託業務の運営に大きな支障を与えるリスクに備えてSLAを締結しその状況を評価すると書いています。金融庁のQ&A問24の回答は、委託者が受託会社の内部統制を自ら評価する方法と受託会社の評価結果を利用する方法のどちらも可能で、保証実3402に基づく報告書が必ず必要になるわけではないというものです。報告書の対象期間が自社の期末に届かない月や、報告書の対象外の機能（freee会計の債権管理オプションなど）は、追補版の質問書・確認書を提供会社に送る方法と、A32項の委託会社側の監視プロセスのテストに当たる自社側の運用記録の2つで補います。

評価調書に残す記録の例

ここまでの項目を、基準事業年度の評価調書にどう書くかを例で示します。クラウド会計のIT全般統制の調書は、提供会社の範囲と自社の範囲を分けた1枚の一覧と、SOC1報告書の読み合わせ結果、自社側の統制の運用評価の3つで構成すると、監査法人がどの証跡を見ればよいかを迷いません。

評価調書の中で提供会社のお知らせや障害通知を引用するときは、受信日と件名を書き、画面の保存を別紙にします。生成AIを含むAIサービスを経理に使う場合の委託先管理の考え方は経理のAI活用と内部統制の記事に書いたとおりで、会計システムの提供会社とAIサービスの提供会社は別々の受託会社として同じ様式で評価します。

よくある質問

参考資料

1. 金融庁 企業会計審議会「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」令和5年4月7日（意見書二(1)②、基準Ⅱ2(1)注） （最終確認 2026年10月20日）
2. 金融庁「財務報告に係る内部統制の評価及び監査の基準・実施基準（抄）新旧対照表」令和5年4月7日（実施基準Ⅰ2(6)、Ⅱ2(1)②イ、Ⅱ3(3)⑤イ・ニa） （最終確認 2026年10月20日）
3. 金融庁「内部統制報告制度に関するQ&A」令和5年8月31日改訂（問22、問23、問24） （最終確認 2026年10月20日）
4. 経済産業省「システム管理基準 追補版（財務報告に係るIT統制ガイダンス）」令和6年12月25日（第Ⅱ章1(2)①・2(2)①②、第Ⅲ章1(1)⑤c・4(1)①d） （最終確認 2026年10月20日）
5. 日本公認会計士協会 監査基準報告書402「業務を委託している企業の監査上の考慮事項」最終改正2023年1月12日（第7項、第15項、第16項、A20項、A30〜A33項、A36項） （最終確認 2026年10月20日）
6. 日本公認会計士協会 保証業務実務指針3402「受託業務に係る内部統制の保証報告書に関する実務指針」最終改正2023年3月16日（第8項(3)(14)(15)、第15項(1)⑦、第20項(3)） （最終確認 2026年10月20日）
7. フリー株式会社「IPO準備（上場準備）・監査対応を効率化｜クラウドERP freee」（2026年10月20日確認） （最終確認 2026年10月20日）
8. フリー株式会社「内部統制を行うなら｜クラウドERP freee」（2026年10月20日確認） （最終確認 2026年10月20日）
9. エンタープライズプランの概要（freee ヘルプセンター、更新日2026年10月15日） （最終確認 2026年10月20日）
10. メンバーが利用できる機能を編集する(カスタム権限)（freee ヘルプセンター、更新日2026年4月16日） （最終確認 2026年10月20日）
11. 仕訳の承認履歴／変更履歴を確認する（freee ヘルプセンター、更新日2025年12月16日） （最終確認 2026年10月20日）
12. SOC報告書は発行できますか？（マネーフォワード クラウド会計Plusサポート、更新日2026年6月30日） （最終確認 2026年10月20日）
13. 株式会社マネーフォワード「マネーフォワード クラウド会計Plus」製品ページ（2026年10月20日確認） （最終確認 2026年10月20日）
14. 「ロール一覧」の使い方（マネーフォワード クラウド会計Plusサポート、更新日2022年11月11日） （最終確認 2026年10月20日）
15. 「ロールログ」の確認方法（マネーフォワード クラウド会計Plusサポート、更新日2023年9月29日） （最終確認 2026年10月20日）
16. 「ユーザーログ」の確認方法（マネーフォワード クラウド会計Plusサポート、更新日2023年9月29日） （最終確認 2026年10月20日）

本記事は2026年10月20日時点で確認できた法令・資料に基づいています。個別の取引への当てはめは、顧問税理士や監査法人と確認してください。