2007年2月、金融庁企業会計審議会内部統制部会より、「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の設定について（意見書）」が満を持して公表され、いよいよJ-SOX法が2008年4月1日以降に始まる事業年度から適用されることになりました。

　ちなみに、社団法人 日本情報システム・ユーザー協会（JUAS）が2006年11月から2007年1月にかけて行った調査では、対象約800社のうち、J-SOX法対応の推進体制を設けていると回答した企業は半数（48％）にとどまり、専門委員会があると答えた企業はさらにその半分の24％でした。
その後行われた各種調査でも「予定通り進んでいない」「いまだ準備段階」などの回答が多く見られ、企業の対応の遅れが目立つ結果になっています。

　金融庁はこうした事態を受けて、内部統制への対応に悩む企業のよくある疑問に答える「内部統制報告制度に関するQ&A」を作成、2007年10月1日に発表しました。
これは企業の準備不足を解消するための20項目の“処方箋”といえるもので、中でもIT統制に関する重要な項目は問11～問15の5項目です。

　まず問11「決算・財務報告プロセスについての内部統制の評価はいつ行うことになるのか」の質問には、「期末日までに内部統制に関する重要な変更があった場合には適切な追加手続が実施されることを前提に、必ずしも当期の期末日以降ではなくとも、適切な時期に評価を行うことで足りる」とし、不備がある場合は、早期是正のために、前年度運用状況や四半期決算を考慮し、年度末を待たずに内部統制評価を行うことが可能であるとしています。
次に問12の「IT統制はすべて同一のIT基盤で集中管理する必要があるか」という質問には、「同一のIT基盤で集中管理すること」は必須条件とせず、複数のIT基盤がある場合はこれを認め、個々のIT基盤を評価単位とするとしています。
問13「ITではなく手作業による統制の方が適している場合もあるのではないか」には、「業種、業態や業務プロセスによっては手作業による統制の方が適していることがありうる」とし、「内部統制におけるITの利用は、各企業において適切に判断されるべき」であり、「手作業による誤謬等を防止するための内部統制」は必要だが、それが「ただちに内部統制の不備となるわけではない」と回答しています。

　問11は期末以降に報告書作成にとりかかるのではなく、適切な時期（期末内）から準備を進めることを認め、問12はIT基盤の統一を報告書作成にあわせようと慌てて整備する必要はないとし、問13ではITが遅れている部門は手作業による統制を認めています。
このように、J-SOX法はゆるやかなかたちでの運用が当局によって事実上認められており、時間をかけながら企業の体制を整えてゆく方針のようです。

　続いての問14「ITに係る全般統制に不備がある場合には、直ちに重要な欠陥となるのか」との質問には、「ITに係る全般統制は財務報告の重要な事項に虚偽記載が発生するリスクに直接に繋がるものでは必ずしもない」とし、「直ちに重要な欠陥と評価されるものではない」との判断を示しています。
加えて「プログラムの変更管理業務に不備がある場合」であっても、「業務処理統制に係る実際のプログラムに変更」がなければ、「当該システムの内部統制は有功に機能している」としています。
また問15では、期末日直前に他企業の買収または合併や災害の発生により、財務諸表が取締役会の承認を受けられず、期間内に「評価手続」がとれない場合は、「評価範囲の除外」措置がとられるとしています。
ここでは明確な内部統制報告書提出期間が示されていないため、「期末日直前」については、柔軟な対応がなされるべきとしています。

　問14は、ITに係る全般統制の不備があってもリスクに直接は関係ないとし、問15では、期末日をまたいだ「報告書」の提出期限に柔軟な幅を持たせています。

以上のように「内部統制報告制度に関するQ&A」は、企業のJ-SOX法への対応の遅れに対して、かなり寛容ともいえる内容です。これについては、多くの企業で内部統制に遅れがあることから現実的な対応を認めたという評価もある一方、企業が内部統制を推進するスピードにブレーキをかけてしまうことにならないかとの危惧の声も出ています。