對在美國上市的公司來說，要想跨越SOX法案這道坎，必須精心完善信息系統(tǒng)。

 

　　去年年底，UT斯達康(中國)有限公司啟動了代號為“SOX”的項目。這個項目是它今年重點關(guān)注的內(nèi)部管理項目之一，它涉及到所有影響財務(wù)報表生成的業(yè)務(wù)部門。“它的目標是使企業(yè)除了有正確完整的財務(wù)報表外，還要有確保報表正確而完整的控制體系。”由于現(xiàn)代企業(yè)多是通過信息技術(shù)來處理、編輯和管理信息，因此這個看起來像是財務(wù)或?qū)徲嫷捻椖颗cIT架構(gòu)和建設(shè)有千絲萬縷的聯(lián)系。于是，UT斯達康的IT高級總監(jiān)汪擁君和他所轄的IT部門為之投入了大把精力。

 

　　其實，在國內(nèi)，除了UT斯達康，亞信、新浪、搜狐、中國聯(lián)通、中石油、中石化等都在今年初或更早時候陸續(xù)啟動了代號“SOX”的項目?？此粕衩氐?ldquo;SOX”其實是美國2002年夏季頒布的Sarbanes-Oxley法案(薩班斯-奧克斯利法案)的縮寫。該法案的法律效力適用于在美國證券交易委員會注冊的約14000家公司，其中包括大量非美國公司。在美國上市的UT斯達康、亞信、新浪、搜狐、中國聯(lián)通、中石油、中石化等都是它約束的對象。對它們而言，SOX法案最實質(zhì)的影響莫過于要求企業(yè)的CEO、CFO個人對財務(wù)報告承擔責任，還加強了對上市公司欺詐的刑事懲罰。對沒有遵從法案要求而受到外部監(jiān)督機構(gòu)質(zhì)疑的公司，誰都無法預(yù)計資本市場和投資者對它的反應(yīng)。

 

　　SOX法案出臺的背景有二：其一，安然、世通等的破產(chǎn)揭露出一系列財務(wù)虛假案;其二，一系列公司假賬丑聞暴露出公司治理結(jié)構(gòu)不平衡和外部監(jiān)督缺失。為了提高民眾對美國金融市場及對政府經(jīng)濟政策的信心，美國立法和管理部門亡羊補牢，頒布了包括SOX法案的一系列法律法規(guī)。

 

　　SOX法案最核心之處在于，保證企業(yè)為編制和記錄財務(wù)信息而制定的內(nèi)部控制措施的有效性，從而改善公司透明度和創(chuàng)造良好的公司治理環(huán)境。該法案規(guī)定，為了滿足企業(yè)員工、股東和政府的期望，公司需要實時而系統(tǒng)地向管理當局提供業(yè)績信息。根據(jù)它的要求，UT斯達康、新浪、搜狐等在美國注冊的公司須從2004財年開始遵從其要求;而中石油、中石化、中國聯(lián)通等在美上市的海外企業(yè)則可推遲1年執(zhí)行。

 

　　“修身、齊家、治國、平天下”是傳統(tǒng)中國知識分子的人生哲理，SOX法案就猶如美國上市企業(yè)必須遵從的“修身、齊家”的座右銘。對于企業(yè)管理人員來說，這個法案意味著企業(yè)提供的賬目要更加準確，且CEO和CFO個人要對公司披露的信息負責。因此，企業(yè)必須以此為契機，徹底檢查內(nèi)控、監(jiān)視和報告的流程。

 

　　SOX法案明確規(guī)定，外部審計人員必須檢查和證實一個公司的內(nèi)部財務(wù)控制的有效性，這其中就包括信息系統(tǒng)。SOX法案強調(diào)企業(yè)的信息技術(shù)策略和系統(tǒng)中的內(nèi)部控制，以及對審計過程存檔的要求，即企業(yè)的內(nèi)控活動(不論是人還是機器)的操作流程都必須明白地定義并保存相關(guān)記錄，而后才能實施。這樣要求是為了讓企業(yè)管理者了解內(nèi)部狀況，以便在對網(wǎng)頁、防火墻、筆記本電腦、數(shù)據(jù)再恢復(fù)、保密安全性及密碼等進行必要審計時提供支持。出于安全考慮，企業(yè)還需要不斷地跟蹤記錄，定期檢查軟件、服務(wù)和人事情況。

 

　　為了符合法案的要求，企業(yè)需要做很多細節(jié)上的準備。“標準和文件的建設(shè)、實現(xiàn)和評估工作量巨大。”作為高管人員，汪擁軍今年大約有1/5的時間需要投入在SOX項目上，除了軟件開發(fā)部門，他手下的員工也大多參與了“SOX”項目。

 

　　事實上，對于大部分國外公司來說，“為SOX法案所做的準備工作相對少一些”，普華永道全球風險管理合伙人劉祖新說。因為國外公司已基本建立了規(guī)范和齊全的內(nèi)控標準，并將其融入到流程和信息系統(tǒng)設(shè)計與改進中。但由于中國公司普遍缺乏強化內(nèi)控標準的外部環(huán)境，致使它們盡管建立了內(nèi)控機制，但都不盡完善，尤其在信息系統(tǒng)和審計環(huán)節(jié)上比較薄弱。

 

　　在劉祖新看來，“信息系統(tǒng)訪問控制權(quán)限、訪問密碼的長度、更換密碼的時間等細節(jié)需要考慮;而SOX法案所強調(diào)的流程設(shè)計文檔和業(yè)務(wù)實現(xiàn)軌跡，如良好的復(fù)核驗證程序、定期報告和記錄程序、權(quán)限管理等也需要一一實現(xiàn)。”所以，為了符合SOX法案的要求，企業(yè)IT部門要根據(jù)業(yè)務(wù)流程的改進，改善賬務(wù)處理、電子信息及溝通等內(nèi)控措施的評估、設(shè)計和實施。

 

　　今年，普華永道中國區(qū)運營和系統(tǒng)風險管理經(jīng)理楊豐禹幫幾個國內(nèi)企業(yè)建立、完善其內(nèi)控機制。在他看來，“中國企業(yè)遵守SOX法案的難點在于，依照法案所推薦和要求對照的美國COSO報告的理論體系，建立內(nèi)控體系。”據(jù)COSO的研究成果，企業(yè)內(nèi)控體系包括控制環(huán)境、風險評估、控制活動、信息與溝通和監(jiān)督5要素。“目前，國內(nèi)企業(yè)的內(nèi)控程序多是基于流程，而不是基于風險點設(shè)計的。”他說。

 

　　顯然，SOX法案增加了企業(yè)的IT投入。ForresterResearch在調(diào)查了800多家北美公司后發(fā)現(xiàn)，將近1/3的調(diào)研對象表示將在2004年增加IT支出，其中為遵守SOX法案而進行的投入是一個重要項目。“為了SOX法案，我們增添了很多安全軟件，以保障系統(tǒng)安全。”汪擁君說。他相信，為了實現(xiàn)內(nèi)控的實時性和有效性，國內(nèi)很多公司將會添置大量軟件。類似情況在美國企業(yè)中也存在。一家名為ProgressRail的鐵路產(chǎn)品和服務(wù)供應(yīng)商為改善其子公司的記賬情況，放棄了以前使用的手工程序和電子數(shù)據(jù)表格。它還安裝了財務(wù)數(shù)據(jù)整合和分析軟件，使用了平衡記分卡系統(tǒng)。這些系統(tǒng)可使其CFO近乎實時地了解企業(yè)的財務(wù)狀況，及時洞察問題。而以前問題只有在每季度審計后才能水落石出。這些系統(tǒng)已花費了ProgressRail約50萬美元。但這只是個開始。為了遵守法案，它還將對影響財務(wù)結(jié)果的系統(tǒng)進行一次從上到下的檢查。

 

　　很多中國企業(yè)有著與ProgressRail類似的情形——“缺乏有效的財務(wù)管理及內(nèi)控工具”，一位咨詢顧問說。在他看來，國內(nèi)企業(yè)中，引進預(yù)算管理、關(guān)鍵業(yè)績指標、內(nèi)部控制標準、財務(wù)預(yù)警機制等工具和技術(shù)的很少。

 

　　SOX法案自出臺以來，促使在美國上市的企業(yè)在公司治理和透明度上有所改善，但業(yè)界對其帶來的管理成本增加及矯枉過正的負面評價一直不斷。不過，對IT廠商們而言，它卻像一個福音。微軟也在為遵守SOX法案而緊鑼密鼓地著手準備著，但這并不影響它于去年12月宣布，交付一款OfficeSystem的附加軟件，以幫助各公司滿足SOX法案對財務(wù)報告的要求。去年，Oracle公司也從信息技術(shù)角度，提出了公司治理3要素及解決方案。劉祖新指出，“通用軟件只能解決通用問題，企業(yè)還需根據(jù)自身情況建設(shè)控制流程，并保證其與標準運營集成，進而建立可靠的財務(wù)報告機制。”他還提醒正埋首應(yīng)對SOX法案的眾公司，“企業(yè)內(nèi)控體系的完善遠不是一次性通過SOX法案的要求那么簡單，它是一個不斷自我完善的長期過程。”

 

　　對于力圖進入全球投資者視野、沖擊海外資本市場的中國企業(yè)來說，要想成為贏家，就必須了解游戲規(guī)則。剛在納斯達克上市的掌上靈通公司自去年下半年就開始為SOX法案做了大量準備，其CEO楊鐳說：“SOX法案的目標就是一切圍繞股東利益，追求股東利益*5化。”這其實是SOX法案、也是所有上市企業(yè)努力的起點和終點。