受託会社保証報告書の利用と委託会社統制(CUEC)の検証

受託会社の内部統制保証報告書(SOC 1 / 保証実務指針3402等)を活用する場合、報告書に記載された「委託会社側で整備・運用することが想定されている内部統制(CUEC:Complementary User Entity Controls)」が、自社において実際に整備・運用されているかを監査人自らが検証・確認する必要があります。したがって正解はウです。 受託会社監査人の信頼性や報告書のスコープを確認した上で、保証報告書を証拠として利用することが認められています。 自社の財務報告の対象期間と報告書の対象期間(カバレッジ)や対象システムが整合しているかを確認することは必須です。 委託会社側の業務処理統制やCUECの実施手続を省略することはできません。

財務報告に関連する業務についてクラウドサービスを委託している場合,日本公認会計士協会実務指針に基づく受託会社の内部統制の保証報告書(SOC 1 / 86号・3402号報告書)を活用する際の監査人の留意事項として,適切なものはどれか。

出典令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問7
ア
受託会社の受託業務に係る内部統制の評価は,すべて委託会社の監査人が現地往査して直接検証しなければならない。
イ
受託会社監査人の保証報告書に記載された統制目標や評価対象期間が,自社の財務報告期間や対象業務と適合しているか確認する必要はない。
ウ
受託会社の内部統制が有効に機能するための前提として記載されている,委託会社側で整備・運用すべき統制(CUEC:委託会社統制基準)の実施状況を自社で確認する。
エ
保証報告書を入手できれば,委託会社側における入力確認や承認などの統制手続はすべて省略できる。