SOC 2
調査・データ
SOC 2レポートは、実際どれくらい顧客から要求されるのか？
公開日
最終更新日
及川 駿貴
SOC 2レポートは顧客からどれくらい要求されるのか。AICPAとA-LIGNの海外調査をもとに、商談での要求率に関する公開データの限界と、第三者保証の重要性を解説します。
SOC2チームの及川です。
先日、お客様からこんな質問をいただきました。
「SOC 2を取得したとして、実際にはどれくらいのお客様からレポートを求められるんですか？」
たしかに気になります。
SOC 2について調べると、「エンタープライズ商談で必要になる」「海外では当たり前になっている」といった話はよく出てきます。
でも、SaaS企業の商談100件の内、実際に何件でSOC 2レポートを要求されるのか。
この数字は意外と見つかりません。
今回、AICPAや海外の調査をいくつか追ってみました。
最初に結論を書くと、「商談の何％でSOC 2レポートが要求されるか」を直接示した信頼できる公開データは、私たちが調べた範囲では見つかりませんでした。
ただ、その代わりに見えてきたことがあります。
SOC 2は少なくとも米国を中心とした市場では、少しずつ「持っていると評価されるもの」から「取引をするなら確認されるもの」に変わってきているようです。
AICPA自身が「顧客から要求される」と説明している
まず、SOC 2を策定しているAICPA（米国公認会計士協会）の説明を確認しました。
AICPAによると、企業が外部のサービス事業者を利用する際には、その事業者のシステムや統制がどう設計され、どう運用されているかを確認する必要があります。
そのため、顧客やビジネスパートナーは、サービス事業者にSOC 2レポートを要求することが多いとしています。
ここはSOC 2を理解するうえで結構大事なポイントだと思っています。
SOC 2は、取得企業が「うちはセキュリティをちゃんとやっています」とアピールするためだけのものではありません。
むしろ、サービスを利用する企業側が、
「この会社にデータを預けて大丈夫なのか」
「セキュリティのルールがあるだけではなく、本当に運用されているのか」
を確認するためのレポートです。
つまり、そもそもの成り立ちからして「取引先から見せてほしいと言われる」ことを想定した仕組みなんですよね。
2022年。SOC 2は「最も顧客から要求される」レポートだった
では、実際の企業側ではどうなのか。
ここからは、SOC 2などの監査を手掛けるA-LIGNが毎年公開している「Compliance Benchmark Report」を見ていきます。
2022年の調査で目を引いたのが、SOC 2についての記述です。
A-LIGNは、SOC 2を「顧客から最も要求されるレポート／認証であり、最も多くの商談成立に貢献したもの」としています。
回答企業の67%は、SOC 2監査を実施中、または翌年までに実施する予定だと回答していました。
もう一つ面白い数字がありました。
22%の企業が、必要なコンプライアンス認証を持っていなかったために新規商談を失ったことがあると答えています。
ただし、この22%はSOC 2だけを指した数字ではありません。ISOなど、ほかの監査・認証も含まれています。
なので「22%がSOC 2を持っていなくて失注した」と読むのは間違いです。
それでも、セキュリティやコンプライアンスが単なる企業PRではなく、実際の商談条件になっていることは分かります。
2023年。監査を「新規商談のため」に使う企業が増えた
翌2023年の調査は、世界のサイバーセキュリティ担当者や企業リーダー588名が対象です。
ここでは、72%が「新規ビジネスを獲得するために監査やアセスメントを実施したことがある」と回答しています。
前年は63%。1年間で9ポイント増えています。
これもSOC 2だけを聞いた質問ではありません。
ただ、2022年の調査ではSOC 2が「顧客から最も要求されるレポート」とされていました。
この2つを並べて見ると、少なくともこの時期、セキュリティ監査と営業活動がかなり近づいていたことは分かります。
監査は「セキュリティ部門がやるもの」というだけではなく、商談を進めるために必要になるものでもある。
そういう位置づけに変わってきたように見えます。
2024年になると、少し言葉が変わる
2024年の調査では、約700名のビジネスリーダーやコンプライアンス担当者が回答しています。
ここで少し変化がありました。
企業がコンプライアンスに取り組む理由として最も多かったのは、「規制要件」と「顧客・ステークホルダーとの信頼構築」。どちらも24%でした。
IT統制の検証が17%で続きます。
前年までは「新規ビジネス」「売上」といった言葉がかなり前面に出ていました。
2024年になると、それが「信頼」という言葉に変わっています。
個人的には、この変化は結構興味深いと思っています。
SOC 2をはじめとする第三者保証が、「この商談を取るために急いで取得するもの」というだけでなく、普段から取引先に対して自社の状態を説明するためのものになってきた、とも読めるからです。
そして2025年。「差別化」ではなく「ベースライン」
2025年のレポートでは、さらに強い表現が出てきます。
A-LIGNは1,000名を超える回答をもとに、SOC 2についてこう書いています。
“SOC 2 has shifted from a competitive differentiator to a baseline expectation.”
意訳すれば、
SOC 2は「競合との差別化要因」から「最低限期待されるもの」に変わってきた。
ということです。
同じ調査では、92%の企業が年間2つ以上、58%が4つ以上の監査やアセスメントを実施していました。
A-LIGNの見方では、SOC 2を取れば終わり、という状況でもなくなっています。
SOC 2に加えてISO 27001など、顧客や規制当局から複数の要求を受ける企業が増えている、ということです。
もちろん、これはA-LIGNの顧客層や調査対象を含む海外調査です。
日本のSaaS企業にそのまま当てはめることはできません。
ただ、2022年から数年分を続けて見ると、SOC 2に対する扱われ方が変わってきていることはかなり分かりやすいです。
2026年の調査でも、複数の監査への対応が続いている
A-LIGNは2026年1月28日にもCompliance Benchmark Reportを発表しています。
1,043名を対象とするこの調査では、97%が年間2件以上の監査を実施し、大規模企業の74%が年間4件以上の監査を実施していると報告されています。
ただし、これらはSOC 2レポートが商談で要求される割合ではありません。また、前年までの調査と同一の回答者を追跡した結果でもありません。
複数の監査・保証への対応が重要な課題になっていることを示す補足情報として捉える必要があります。
で、結局「商談の何割」なのか
残念ながら、ここは最後まで分かりませんでした。
「SOC 2を取得済みのSaaS企業100社に聞いたところ、商談の○%でレポート提出を要求された」
というようなデータを期待して調べたのですが、少なくとも公開情報では見つけられていません。
たぶん、この数字は企業によって相当違います。
SMB向けのサービスと、大企業向けのサービスでは違うでしょうし、日本だけで提供しているサービスと、米国企業と取引するサービスでも違います。
扱うデータが機密性の高いものなのか、そのサービスが顧客の重要な業務に組み込まれているのかによっても変わります。
なので、今のところ「SaaSなら商談の○割でSOC 2を要求される」といった言い方はしない方がよさそうです。
これは今回調べてみて、むしろはっきりしました。
それでも、流れはかなり見える
正確な「要求率」は分かりませんでした。
一方で、AICPAとA-LIGNの情報を数年分追っていくと、大きな方向性はそれなりにはっきりしています。
2022年には、SOC 2が顧客から最も要求されるレポートとされていた。
2023年には、新規ビジネスを目的に監査を受けた企業が63%から72%に増えた。
2024年には、コンプライアンスの目的として「顧客との信頼」が前面に出てきた。
そして2025年には、SOC 2は「差別化要因ではなく、ベースラインとして期待されるもの」と表現されるようになった。
ここからは私たちの解釈ですが、
SOC 2は「持っていると加点されるもの」から、「持っていないと理由を聞かれるもの」に少しずつ変わっているのではないか。
そんなふうに見えます。
もちろん、すべての企業が今すぐSOC 2を取得すべき、という話ではありません。
顧客から一度も聞かれたことがなく、今後狙う市場でも必要とされないのであれば、取得を急ぐ必要はないでしょう。
一方で、これから大企業との取引を増やす、海外企業と取引する、より重要なデータを扱う。
そういう企業では、「今のお客様に要求されているか」だけでなく、これから取りに行くお客様が何を要求するのかまで見ておく必要がありそうです。
日本の数字も知りたい
今回、一番気になったのはここです。
日本では、
「SOC 2について商談で聞かれる企業はどれくらいいるのか」
「実際にレポートの提出まで求められるのは何割なのか」
「この2〜3年で要求件数は増えているのか」
といったデータがほとんどありません。
海外の数字を眺めるだけでは、日本でいま何が起きているのかは分からない。
これは自分たちでも調べてみたいと思っています。
SOC 2を取得している日本企業や、エンタープライズ向けにSaaSを提供している企業に聞いてみると、かなり面白いデータになるはずです。
もし実態が見えてきたら、またこのブログでも紹介します。
参考資料
AICPA & CIMA「SOC 2 Reporting on an Examination of Controls at a Service Organization」
A-LIGN「2022 Compliance Benchmark Report」
A-LIGN「2022 Compliance Benchmark Report：5 Key Takeaways」
A-LIGN「2023 Compliance Benchmark Report」
A-LIGN「2024 Compliance Benchmark Report」