PRM（パートナー・リレーションシップ・マネジメント）プラットフォームを提供するUnifyr（本社：米国ノースカロライナ州ケーリー）は、米国公認会計士協会（AICPA）の基準に基づく内部統制の保証報告書「SOC 2 Type II」の監査を2026年5月に完了し、例外事項の指摘なしで受領したと発表しました。前身であるZift Solutions時代を含め、2017年から10年連続の受領となります。
本発表は2026年10月22日（米国時間）に米国で公開された内容へ、日本企業向けの補足を加えたものです。Unifyrはメーカーやソフトウェア企業向けに国内外の代理店・販売店との協業を管理する仕組みを提供しており、外部企業と共有する案件データなどの安全性を証明する客観的根拠として本監査結果を活用できます。
受領した保証報告書の概要
今回完了が公表されたSOC 2 Type II保証報告書の内容は以下の通りです。
- 報告書の種類：SOC 2 Type II 保証報告書
- 監査の完了時期：2026年5月
- 評価結果：例外事項の指摘なし（テストされた統制が記載どおり運用されなかった事例が監査人により見つからなかった状態）
- 継続実績：2017年から10年連続（Zift Solutions時代を含む）
Mr.ガジェットZift Solutions時代を含めて10年連続で監査を完了しており、報告書内で指摘された例外事項は1件もありませんでした。
Ms.ガジェット毎年第三者の監査を受け続けて例外なしという実績が続いているのは、選定時の安心感につながりそうですね。
SOC 2 Type II監査の枠組みと特徴
SOC 2は、AICPAが定めたサービス提供企業の内部統制を評価・報告するための枠組みです。Trustサービス規準として「セキュリティ」「可用性」「処理のインテグリティ」「機密保持」「プライバシー」の5つのカテゴリーが規定されています。ISO/IEC 27001のような認証制度とは異なり、独立した監査人が評価結果と意見を記載する「保証報告書」という形式を取ります。
特定時点の統制設計を評価するType Iに対し、Type IIは数カ月間にわたる運用期間を通じて統制が有効に機能していたかを検証します。
Mr.ガジェットSOC 2 Type IIはISOなどの認証規格とは異なり、数カ月間の実運用においてセキュリティ基準が守られていたかを監査人が確認する保証報告書です。
Ms.ガジェット設計だけでなく、実際の運用期間を通してチェックされているかどうかがポイントなのですね。
監査対象となった主な内部統制項目
今回の監査では、顧客およびそのパートナーがUnifyr上に保存するデータを保護するための統制が対象となりました。公表された主な項目は次の通りです。
- 本番環境へのアクセス管理（役割に応じた権限設定、多要素認証、定期的なアクセス権の見直し）
- 顧客データの暗号化（通信時および保存時）
- システム監視、脆弱性管理、インシデント対応
- データのバックアップ、災害復旧、事業継続計画（BCP）
- 変更管理（顧客への変更内容の連絡を含む）
- 従業員の入社時および退社時の手続き
日本企業における利用メリットと提供条件
情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」（組織編）において「サプライチェーンや委託先を狙った攻撃」が2位に挙げられるなど、委託先選定におけるセキュリティ体制の確認は重要視されています。代理店管理プラットフォームでは案件見込みや販促支援金（MDF）、販売実績といった重要データを社外と共有するため、社内審査での客観的な証跡が求められます。
Unifyrが挙げる主なメリットは、秘密保持契約（NDA）締結後に報告書を委託先審査の根拠として提示できる点、海外代理店網を一元管理する際にも同一の統制下で運用できる点、10年にわたる継続運用実績がある点の3つです。最新版のSOC 2 Type II報告書（英語）は、NDA締結のうえ担当窓口経由で請求を受け付けています。
Mr.ガジェットサプライチェーン攻撃への対策として委託先チェックが厳格化するなか、NDA締結により最新の英語報告書を受け取って審査資料に活用できます。
Ms.ガジェット国内外のパートナーと案件情報を共有するツールだからこそ、客観的な資料で審査負担を軽減できるのは助かります。
- 本記事で使用している画像は、メディアユーザーとしてPR TIMESより提供されたプレスリリース素材を利用しています。
多要素認証や通信時・保存時の暗号化、退社時の手続きまで、広範囲な統制項目が監査対象になっていることが分かります。