SaaS（Software as a Service）は、クラウド事業者がアプリケーションプログラムからインフラストラクチャ（OS、DBMS、サーバ、ネットワーク機器など）のすべてを管理・運用し、利用者はネットワーク経由でそのソフトウェア機能のみを利用するサービス形態です。 そのため、サービスを利用する企業（被監査企業）が自らの責任で管理・統制を行えるのは、提供されたソフトウェアを利用するための「アプリケーションの利用者ID（アカウント管理やアクセス権限設定）」のみとなります。したがって、自社のシステム監査人が直接コントロール状況を評価できるのもこの領域に限られます。 DBMSの管理者ID（ア）、サーバOSの利用者ID（ウ）、ストレージの管理者ID（エ）などは、すべてサービスを提供するクラウド事業者の管理責任範囲であるため、被監査企業の監査人が直接評価することはできません。