小規模なコード監査会社の創業者に収益モデルを尋ねると、たいてい困惑した間があって「えっと……両方？」といった答えが返ってきます。静的解析監査の会社は、1つの領域に特化することはめったにありません。ある顧客は、レガシーなRailsアプリケーションの2週間の静的レビューに6,500ドルを支払います。別の顧客は、会社が再販して設定する継続的なSASTサブスクリプションに、開発者1人あたり月額40ドルを支払います。3番目の顧客は、静的解析、動的テスト、および時間単位で請求される修正作業を組み合わせた「フル監査パッケージ」にカスタム料金を支払います。3つの取引、3つの異なる収益認識ルール、そしてそれらを区別するようには通常構築されていない1つの勘定科目表です。
これは、現在のテクニカルサービスビジネスでは本当によく見られる形態です。セキュリティとコード品質のコンサルタント会社は、純粋なエンゲージメント重視のショップとしてスタートしましたが、監査業務と並行してSAST（静的アプリケーションセキュリティテスト）ツールを再販またはホワイトラベル化することが増えています。なぜなら、顧客は一度きりの意見とCI内で継続的に動作するスキャナーの両方を欲しがるからです。これによって生じる簿記上の問題は非常に特殊であり、一般的な「コンサルティング会社」向けのアドバイスのほとんどでは見落とされています。
1つのビジネスに隠れた3つの収益源
何かを正しく計上する前に、実際に販売しているものを分離する必要があります。なぜなら、それぞれが帳簿上で異なる振る舞いをするからです。
1. 静的監査（固定スコープ、一時点）。 ソースコードレビュー（標準準拠、依存関係とCI/CDパイプラインチェック、アーキテクチャレビュー）は、定義されたスコープに対して通常5,000～8,000ドルの範囲で価格設定されます。これは明確な成果物です。つまり、日付が決められ、終了が定義されたレポートです。
2. 動的監査とフル監査パッケージ（固定スコープまたは時間単位、多くの場合マイルストンベース）。 負荷下または敵対的な条件下でのシステム動作のテストは8,000～16,000ドルで、静的プラス動的プラス修正を組み合わせた「フル監査パッケージ」は通常、カスタム見積もりされ、マイルストーンまたは時間に基づいて請求されます。監査人のシニア度、コードベースのサイズとドキュメントの品質、規制範囲（医療および金融監査ではより深いデータ追跡と権限検証が必要）、およびタイムラインのプレッシャーがすべて価格に影響を与えます。つまり、同じラベルの2つの監査でも、その背後にあるコスト構造が大きく異なる可能性があります。
3. SASTサブスクリプション（継続的、再販または再販業者マージン）。 この市場のツール面は、シートあたりのSaaS価格設定に統合されています。SAST、SCA、シークレットスキャン、IaCチェックをバンドルした広範なプラットフォームは、ユーザー1人あたり月額15～20ドルから始まり、単一機能のポイントツールは1ユーザーあたり10～15ドルの範囲にあり、大規模ベンダーからのエンタープライズ契約は、数百のアプリケーションで年間10万ドルを超えることもあります。監査会社がこれらのプラットフォームの1つを再販またはバンドルする場合（設定、誤検知ルールの調整、サブスクリプションのマージンを取る）、その収益は継続的であり、プロジェクトベースではありません。また、契約においてプリンシパルとして行動しているかエージェントとして行動しているかに応じて、それがあなたの収益である場合とそうでない場合があります。
これら3つすべてを「コンサルティング収益」にまとめてしまうと、P&Lはビジネスについて何も役に立たないことを伝えるものになります。
収益認識が実際に異なる理由
ASC 606（またはそれに近い国際的な同等基準）の下では、会計上の問題は「約束された財またはサービスの支配がいつ顧客に移転するか」であり、その答えは上記の各収益源で異なります。
- 固定スコープの静的または動的監査は、通常、一時点（レポートが納品され承認された時点）で認識されます。または、マイルストーンに基づいて請求される場合は、各マイルストーンが完了した時点で認識されます。前払い50％、納品時50％で請求している場合、前受金はレポートが送られるまで負債（未稼得収益）であり、小切手が決済された日に収益になりません。
- 時間単位の修正および実装作業は、時間が実行されるにつれて認識されます。つまり、請求されていない時間のメカニズムが必要です。つまり、期間中に実行されたがまだ請求されていない作業が、請求日まで消えることなく資産（未請求債権／仕掛品）として表示される必要があります。これはプロジェクトベースの簿記で最も一般的な歪みです。会社は請求月には収益性が低く見え、翌月には非常に収益性が高く見えます。これは、基礎となる作業が変わったからではなく、純粋に請求のタイムラグによるものです。
- 再販されたSASTサブスクリプションは、サブスクリプション期間にわたって按分認識されます。毎月または毎年、顧客が実際にツールにアクセスできる期間と一致させます。あなたが再販業者であり、エージェント（ベンダーがソフトウェアを提供するよう手配する）として行動しているのであって、プリンシパル（自らソフトウェアを提供することを約束する）として行動しているのであれば、認識すべきはあなたのマージンのみであり、サブスクリプションの総額ではありません。単なる請求の導管にすぎない場合に総通過額を収益として計上すると、トップラインが過大表示され、実際のマージン率が誤って表示されます。
プリンシパル対エージェントの判断を正しく行うことは、GAAPの正確性を超えて重要です。これは、サブスクリプション収益18万ドル、マージン8％を示すP&Lと、手数料収益1万4400ドル、マージン100％を正しく示すP&Lの違いです。貸し手、保険会社、およびあなたの数字に基づいて評価倍率を構築する人は、これら2つのP&Lを非常に異なる方法で解釈します。そして、そのうちの1つだけが真実に近いものです。
実用的な勘定科目表
3つの収益源すべてを運用するコード監査会社は、収益（および多くの場合売上原価）を後でスプレッドシートでタグ付けするだけでなく、勘定科目レベルで分割することでメリットが得られます。
収益:監査:静的収益:監査:動的収益:コンサルティング:修正（時間単位）収益:サブスクリプション:SAST-マージン（エージェントの場合、あなたの手数料/マージンのみ）収益:サブスクリプション:SAST-総額（プリンシパルで全契約を再販する場合）負債:未稼得収益:監査資産:未請求債権:コンサルティング
ここで、プレーンテキストでバージョン管理された会計がテクニカルサービス会社にとって真価を発揮します。クライアント向けにSASTルールセットを設定するのと同じエンジニアが、通常、.beancount元帳の差分レビューに抵抗がなく、帳簿のGit履歴があれば、自社の顧客に販売しているものと同じ監査可能性が得られます。コード監査会社が自社の財務記録を不透明で差分不可能な形式で管理するのは、少々皮肉な話です。
企業が実際に間違えている点
このビジネスモデルでは、繰り返し見られるパターンがいくつかあります。
- サブスクリプションの前受金を即座に収益として計上する。 顧客が再販する年間SASTライセンスを前払いした場合、その現金はカバレッジ期間が経過するまで負債です。すべてを1か月目に認識すると、その四半期が過大表示され、以降のすべての四半期が過小表示されます。
- 未請求時間を決して追跡しない。 月末近くに実行されたが翌月に請求される時間単位の修正作業は、正しい期間に資産として表示されるべきです。そうしないと、マージンが運用上の理由なしに大きく変動しているように見えます。
- 再販業者の通過額を総収益として扱う。 上記の通りです。これはトップラインの数字を水増しし、買い手のデューデリジェンスチーム（皮肉なことに、あなたの会社が販売しているのと同じ種類のテクニカルデューデリジェンスを実施する）がそれを解消してビジネスを再評価するまで良好に見えます。
- 規制産業のエンゲージメントを個別に追跡しない。 医療および金融サービスの監査には、実質的により多くのスコープ（データ追跡、アクセス制御の検証）と通常より多くの責任リスクが伴います。帳簿がその収益と関連コストを分離していなければ、コンプライアンス重視のエンゲージメントが一般的な静的レビューと比較して実際に収益性が高いかどうかを判断できません。
実例：1つの請求書、3つの異なる仕訳
あなたの会社が3月に、7,000ドルの静的監査（前払い50％、納品時50％）、4月に請求する1時間175ドルでの20時間の時間単位修正、および40人の開発者チーム向けの1シートあたり月額18ドルでの再販SASTサブスクリプション（あなたの会社は1シートあたり4ドルのマージンを保持し、残りをベンダーに渡す）の顧客と契約したとします。
- 3月の前払金（3,500ドル）： 現金（借方）、
負債:未稼得収益:監査（貸方）。まだ収益はありません。まだレポートを納品していません。 - 4月のレポート納品：
負債:未稼得収益:監査（借方）および残りの3,500ドルの売掛金（借方）、収益:監査:静的（貸方）に全額7,000ドル。収益は、小切手が決済された月ではなく、作業が実際に承認された月に計上されます。 - 3月の修正時間（実行済みだが未請求）： 20時間のうち8時間が3月に実行され、請求書が4月に発行される場合、3月に
資産:未請求債権:コンサルティング（借方）および収益:コンサルティング:修正（貸方）にその8時間（1,400ドル）を計上します。残りの12時間（2,100ドル）は、作業と請求が同じ月に行われる4月に通常通り計上します。 - 毎月のSASTサブスクリプション： エージェントとして行動している場合、月額160ドルのマージン（40シート×4ドル）のみが
収益:サブスクリプション:SAST-マージンに計上されます。720ドルの通過額（40×18ドル）は、ベンダーに支払うべき金額に対してクリアリング勘定を通じて移動し、損益計算書には触れません。代わりに契約によりあなたがプリンシパルである場合（つまり、ベンダーが内部的にソフトウェアを提供していても、あなたが顧客にソフトウェアを提供することを約束する当事者である場合）、全額720ドルが収益として認識され、560ドルのベンダーコストは売上原価として計上され、最終利益は同じになりますが、トップラインの数字は非常に異なり（そして、あなたがプリンシパルでない場合、実質的に誤解を招くものになります）。
3つの取引、3つの異なるタイミングルール、そして重要なことに、2番目の取引が、多くの小規模監査会社がビジネス自体には何の変化もないのに4月が厳しかったように見える理由です。未請求時間の仕訳こそが、3月の数字を正直に保つものです。
これが以前よりも重要である理由
基礎となるサービスに対する需要が高まっているのには、注目すべき理由があります。テクニカルデューデリジェンスを行う買い手は、コードとセキュリティの姿勢を形式的なものではなく取引条件に重要なものとして扱うようになってきています。テクニカルな発見事項は、評価額の議論を15～30％動かすことが日常的にあり、予想される取引シナジーのかなりの部分が、クローズ前にコード監査によって実際に表面化する統合の質に依存するようになっています。あなたの会社がいつか買収されたり、資本増強されたり、大規模なデューデリジェンスパイプラインに組み込まれたりした場合、買い手の財務チームが最初に行うことは、あなたの監査チームがクライアントのコードベースに対して行うこととまったく同じです。つまり、元帳を分解して、数字が精査に耐えられるかどうかを確認することです。固定料金、時間単位、サブスクリプションマージンの収益をすでに分離している勘定科目表を持つビジネスは、その質問に数週間ではなく数分で答えることができます。
あなたが監査するコードと同じくらいクリーンに、自社の帳簿を保つ
ハイブリッドな監査・サブスクリプションビジネスを運営するということは、収益認識に3つの異なるルールが1つの屋根の下に存在することを意味し、スプレッドシートではその区別を長期にわたって一貫して強制することはめったにありません。Beancount.ioは、透過的でバージョン管理され、差分を取りやすいプレーンテキスト会計を提供します。これは、すでに監査可能な履歴の観点で考えているテクニカルチームに自然に適合します。無料で始める そして、あなたが販売する監査と同じくらい厳格な自社の財務記録を維持してください。