科目A-2（多肢選択式）
クラウドサービスを利用する委託先から入手したSOC2報告書に、一部の統制について「例外事項あり」との記載があった。監査人の対応として最も適切なものはどれか。
- ASOC2報告書が提出された時点で統制は有効と判断し、例外事項の内容は確認しない
- B例外事項があるSOC2報告書は無効なので、監査証拠として採用しない
- ✓例外事項の内容と自社業務への影響を評価し、必要に応じて補完的な統制の状況を確認する
- D例外事項の解消を委託先に指示し、監査手続はそこで終了とする
解説
SOC2報告書に例外事項の記載があっても、それだけで報告書全体が無効になるわけではない。監査人は例外事項の内容が自社業務にどのような影響を及ぼすかを評価し、必要に応じて委託元側の補完的統制の有無を確認すべきである。
根拠外部委託先の管理と監査（第三者保証報告書の利用）