Retellで通話業務に革新を
SOC 2 Type IIとは、ベンダーの統制が一定期間有効に機能したかを示す監査報告書です。Type 1との違い、5つの規準、報告書の読み方を解説します。
SOC 2 Type II（SOC 2 Type 2とも表記）とは、サービス提供者の顧客データ保護に関する統制が適切に設計され、一定期間にわたって実際に有効に運用されていたかどうかを、独立した公認会計士事務所がAICPAのトラストサービス規準（Trust Services Criteria）に照らして評価した報告書です。証明書ではなく保証報告書（アテステーション）にあたります。成果物は合格・不合格のバッジではなく、監査人の意見とその根拠となるテスト結果です。
Type Iは、特定の1日時点における統制の設計を確認します。Type IIは、同じ統制が数か月にわたる期間を通じて機能し続けていたかを確認します。
| SOC 2 Type I | SOC 2 Type II | |
|---|---|---|
| 対象期間 | 特定の1日（「基準日時点」） | 開始日と終了日のある期間 |
| 監査人がテストする内容 | 統制が適切に設計されているか | 統制が適切に設計され、有効に運用されているか |
| 購入者にわかること | 統制が文書上および設定上存在していること | 統制が実際に運用されていたこと、および機能しなかった箇所（例外事項） |
多くの企業は、まずType Iを取得し、テスト可能な運用実績ができた段階でType IIに進みます。
トラストサービス規準とは、SOC 2報告書の対象となり得る、AICPAが定める5つのカテゴリーです。セキュリティはすべてのSOC 2報告書に含まれます。残りの4つを追加するかどうかは企業が選択します。
2社のベンダーがどちらも「SOC 2 Type II」と表明していても対象カテゴリーが異なる場合があるため、比較する前に範囲を確認してください。
監査期間は一般的に3〜12か月です。報告書はその期間についてのみ述べたものなので、正確な開始日と終了日を確認してください。
期間終了日から次の報告書までの空白を埋めるため、ベンダーはブリッジレター（ギャップレター）を発行することがよくあります。これは、それ以降に統制の重要な変更がないことを示す経営者の声明です。作成するのは監査人ではなくベンダーであるため、報告書の代わりにはなりません。
まず意見と日付を確認し、その後リスクが自社側に戻ってくる部分を読みましょう。
SOC 2報告書は利用制限付きの文書で、通常はNDAのもとで共有されます。SOC 3はベンダーが公開できる一般利用向けの簡易版ですが、上記のテストの詳細は含まれません。
音声エージェントプラットフォームは、通話録音、文字起こし、発信者が口にした個人データを扱います。こうしたデータは、電話通信、音声処理、言語モデルの各プロバイダーを経由することがあります。そのため、サブサービス組織の重要性が通常以上に高まります。SOC 2のレビューとあわせて、データの保存場所（データレジデンシー）と、通話後にデータを保持するプロバイダーがあるかどうか（ゼロデータリテンション）の2点も確認しましょう。
SOC 2には限界もあります。AIエージェントの精度はテストの対象外であり、HIPAAの事業提携契約（BAA）やGDPRのデータ処理契約（DPA）の代わりにもなりません。全体像については、AI音声エージェントのコンプライアンス、エンタープライズ向け音声AIコンプライアンスガイド、AI電話エージェントのHIPAAコンプライアンスをご覧ください。
Retellのセキュリティおよびコンプライアンスに関するドキュメントにはSOC 2 Type 1およびType 2が記載されており、セキュリティ、可用性、機密保持に関する統制が独立監査を受けています。証明書、報告書、最新の監査状況はRetell Trust Centerで確認できます。Type 2報告書を入手し、上記のチェックリストに沿って確認してください。
一部の統制は利用者側にあります。たとえばRetellでは、エージェントごとのデータ保持期間を1日から2年まで、または自動削除なしに設定できます。その選択と文書化は利用者側で行う必要があります。サブプロセッサーの一覧やカスタムのセキュリティレビューについては、ドキュメントでsupport@retellai.comへの問い合わせが案内されています。
セキュリティチームが音声AIベンダーを評価している場合は、エンタープライズ向け会話型AIプラットフォームのページで、Retellが規制業界での導入をどのようにサポートしているかをご覧ください。