「再委託先に対しても金融機関等の責任において監査を行う必要がある（監1）」とあるが、実際にクラウド事業者の再委託先を監査するのは困難だと考えるが、金融機関等がどこまでやるべきか目安はあれば教えてほしい。 さらに、監査の一環として、SOC２レポートなどをクラウド事業者へ求めてもクラウド事業者からもらえない場合はどうようにすればよいのか。

責任共有モデルを念頭に、金融機関等に責任がある範囲は再委託先まで監査をする必要があります。 一方、クラウド事業者の責任範囲は、金融機関等がクラウド事業者の再委託先に注意を払う「必要がある」とはいえ、実際に再委託先への直接監査はできないことが考えられます。その際には、クラウド事業者の依頼を受けた監査法人等が発行する第三者保証報告書等を評価し、再委託先が行う業務、クラウド事業者による委託先管理等について統制が良好であるかを確かめ、疑義あればクラウド事業者に説明をさせるなどの対応が考えられます。 また、レポートをもらえないことで確認・評価できない項目が発生しますが、そのことをリスクとしてどう捉えて、どのように判断していくかは自社で決める部分になります。 ＜ガイドライン記載箇所＞ Ⅱ.フレームワーク　3.(1) Ⅷ.監査基準　1.(1)