SOX法案：點燃加強(qiáng)IT控制的星星之火Ⅱ

申請免費試用、咨詢電話：400-8352-114

冼嘉樂認(rèn)為，控制上的缺陷之所以容易產(chǎn)生，還有一個重要原因就是，控制和業(yè)務(wù)操作的目的存在相互沖突的地方。一般來講，企業(yè)的業(yè)務(wù)操作追求的是效率，即我們做某一件事，總是希望越快越好。如果有了一個很標(biāo)準(zhǔn)化的控制過程，如規(guī)定只有做好了某個環(huán)節(jié)才能轉(zhuǎn)到下一個流程，這樣就可能影響了效率，減緩了工作的進(jìn)程。

如在系統(tǒng)開發(fā)流程中，如果一些公司沒有建立IT內(nèi)部控制，他們很快會開發(fā)好一個IT系統(tǒng)?？墒侨绻鶕?jù)SOX法案，在系統(tǒng)開發(fā)流程中，要首先獲取用戶的需求，每一步都要經(jīng)過管理層的審批，審批完之后再讓程序員去編寫程序，做好后再做測試，用戶也來測試，認(rèn)可之后簽字，簽完字系統(tǒng)再交給獨立的人去實施，這需要一個很長的過程。而這個過程往往會以效率為代價，所以企業(yè)很容易對嚴(yán)格的控制過程產(chǎn)生反感。

一件需要巨大投入的“麻煩事”

自從美國于2002年頒布SOX法案以來，所有在美國證券交易委員會注冊的約14000家公司就不得不開始努力實現(xiàn)SOX法案的合規(guī)。這其中包括在美國上市的新浪、搜狐、UT斯達(dá)康、亞信、中國聯(lián)通、中國網(wǎng)通、中石油、中石化、華能國際電力等30多家中國公司。根據(jù)美國證券交易委員會的最新規(guī)定，在美國上市的海外公司，最晚必須在2006年7月15日之前實現(xiàn)SOX法案合規(guī)。

據(jù)悉，迄今為止，在美國上市的中國公司中，只有新浪和搜狐已經(jīng)通過了SOX法案合規(guī)的評測。“為了在截止期限之前實現(xiàn)SOX法案合規(guī)，一些中國公司目前正熱火朝天地工作著?！碑咇R威公司的朱恩良說。

實現(xiàn)SOX法案合規(guī)，對于所有企業(yè)而言，都是一個需要投入很多資源、幾乎涉及全公司所有部門的“麻煩”工程?！癐T控制有效性的實現(xiàn)是一個很復(fù)雜的過程，其難度和工作量超出一般的想像。”朱恩良說，“不少著名的跨國公司，雖然以前在IT治理上曾做過很多努力，也取得過不俗的成績，但為了實現(xiàn)SOX法案合規(guī)，還是以巨額資金和人力的投入，用于IT控制的改善。而對于IT控制原本就很弱的公司，其難度就更大了?！睋?jù)說，正是因為難度巨大，以前一些原本打算赴美上市的中國企業(yè)因此而不得不考慮改變上市地點。

難度之所以如此之大，就是因為企業(yè)IT控制系統(tǒng)的完善是一個極為復(fù)雜的工程。企業(yè)首先要對自己的IT一般性控制進(jìn)行現(xiàn)狀分析，找出一般性控制的關(guān)鍵控制點?！耙话銇碇v，企業(yè)的關(guān)鍵控制點有1000多個。”北京慧點科技開發(fā)有限公司（以下簡稱慧點科技）總裁姜曉丹說。實際上，關(guān)鍵控制點多的企業(yè)可以多達(dá)上萬個。

目前，有很多企業(yè)選用COBIT作為公司IT治理的一個標(biāo)準(zhǔn)。COBIT由美國IT治理研究院開發(fā)與推廣，目前已經(jīng)成為國際上公認(rèn)的IT管理和控制的標(biāo)準(zhǔn)。COBIT架構(gòu)由34個高層控制目標(biāo)和318個細(xì)節(jié)控制目標(biāo)組成。通過有選擇地部分實現(xiàn)這些目標(biāo)，企業(yè)可以建立一個合理的IT治理架構(gòu)，從而實現(xiàn)對IT的有效控制。

內(nèi)外合作實現(xiàn)SOX法案合規(guī)性

企業(yè)實現(xiàn)SOX法案合規(guī)的工作，不可能由企業(yè)自己獨立完成。

一般來講，企業(yè)會和著名的會計師事務(wù)所合作，由會計師事務(wù)所向企業(yè)提供咨詢。會計師事務(wù)所幫助企業(yè)理清內(nèi)部控制的流程，并結(jié)合企業(yè)的業(yè)務(wù)系統(tǒng)的特點和COBIT的標(biāo)準(zhǔn)，確認(rèn)關(guān)鍵控制點，完善企業(yè)的內(nèi)部控制手冊，尋找內(nèi)部控制的缺陷，并進(jìn)行完善，一步步提高企業(yè)內(nèi)部控制的水平。就目前而言，企業(yè)實現(xiàn)SOX法案合規(guī)的咨詢工作一般是由安永、畢馬威、普華永道和德勤這四大會計師事務(wù)所來完成的。

除了有高水平的咨詢公司幫助之外，企業(yè)內(nèi)部各個層面的全力推進(jìn)自然也是必不可少的。

“企業(yè)一定要成立一個項目管理小組（PMO），這個小組不僅僅要有財務(wù)和審計方面的人員，還要有IT方面的代表。做這樣的項目時，需要高級管理層和下面多溝通，一起配合?？偣竞头止疽獏f(xié)調(diào)好。如果沒有高級管理層推進(jìn)，肯定會有問題?！辟螛氛f。

安永參與了中國某家大型國有企業(yè)的SOX法案合規(guī)項目。“這個項目我們與客戶從2004年底開始一起計劃，2005年初啟動，現(xiàn)在再過幾周就要完成了?！? 冼嘉樂說，“我們先幫助客戶記錄有關(guān)商業(yè)流程，然后識別控制點，找出缺陷，并進(jìn)行完善。整個工作量很大，我們將近投入了部門一半的人手。”據(jù)稱，在同類項目中，這算是實施非常順利的一個項目。而之所以會如此順利，就與該公司高層領(lǐng)導(dǎo)的大力支持和推進(jìn)密切相關(guān)，該公司曾召開視頻會議要求公司各層面積極配合。

SOX法案之于IT服務(wù)商

SOX法案不僅對在美國上市的公司產(chǎn)生了直接的影響，而且也間接影響了IT服務(wù)商。

“SOX法案對IT服務(wù)商也提出了更高的要求?！敝於髁颊f，“上市公司因為要滿足SOX法案的要求，自然就會對IT服務(wù)商的產(chǎn)品和服務(wù)提出更高的要求。比如說用戶口令?，F(xiàn)在沒有口令是不能進(jìn)入系統(tǒng)的。但在相關(guān)標(biāo)準(zhǔn)里面，對口令的設(shè)置是有規(guī)定的，如長度要達(dá)到幾位數(shù)，要有字母和數(shù)字的混合，以及大小寫的混合等，這就要求IT服務(wù)商的產(chǎn)品能夠自動檢測口令是否符合要求，能否將不合要求的口令排除在外。所以，IT服務(wù)商的產(chǎn)品必須要做到這一點。”

不過，對于IT服務(wù)商而言，SOX法案為其帶來的更為重要的影響是增加了商機(jī)。

2005年7月19日上午，在華能國際電力股份有限公司（以下簡稱華能國際），華能國際、普華永道、慧點科技和IBM四方，一起對華能國際的SOX法案項目進(jìn)行了驗收。驗收結(jié)果得到各方的認(rèn)可。

“這是國內(nèi)第一個在IT平臺之上實施SOX法案內(nèi)部控制工作的案例?！碑?dāng)天下午，慧點科技助理總裁馬東紅不無自豪地對記者說。

由于實現(xiàn)SOX法案遵從的內(nèi)部控制工作極為復(fù)雜，一些IT服務(wù)商也嗅到了其中的商機(jī)。有企業(yè)專門針對SOX法案開發(fā)出一套平臺軟件，以幫助上市公司更快更順利地完成這一極為復(fù)雜的工作過程。

IBM就專門針對SOX法案開了一套集成軟件產(chǎn)品IBM Lotus Workplace for Business Controls and Reporting(簡稱WBCR)。該產(chǎn)品已在國外運用于金融服務(wù)業(yè)、電信業(yè)、保險業(yè)、電子產(chǎn)品制造及零售業(yè)等，例如在美國的廷頓國家銀行和CERES集團(tuán)保險公司。

2004年，IBM將該產(chǎn)品引入中國市場進(jìn)行推廣。最初，IBM是獨立進(jìn)行該產(chǎn)品的推廣工作，可是收效并不是很好。后來，IBM便尋求與其他公司合作，共同推廣這套產(chǎn)品?；埸c科技由于此前與IBM有多年良好的合作，而且，慧點科技在Lotus方面技術(shù)力量不錯，WBCR正好是基于Lotus平臺，在慧點科技的努力之下，該公司成為IBM的WBCR在中國市場的唯一代理服務(wù)商。

華能國際1994年在美國紐約股票交易所上市，按照規(guī)定，該公司也面臨著SOX法案遵從的任務(wù)。該公司現(xiàn)在是國內(nèi)最大的電力上市公司，下屬40多個分廠，主要包括火電和水電兩方面的業(yè)務(wù)，公司效益不錯。由于分廠很多，該公司所面臨的SOX法案遵從的工作量也很大。為了更順利地推進(jìn)SOX法案遵從工作，2005年3月初，華能國際和慧點科技達(dá)成合作協(xié)議。

“我們提供一個平臺和解決方案，使他們的工作做得更有效。這套解決方案能在整個過程中幫助企業(yè)管理流程，記錄流程中發(fā)生的文檔和數(shù)據(jù)，方便企業(yè)最后做測試和評估，并寫出報告，而且還能幫助企業(yè)的CEO和CFO及時看到企業(yè)在流程中的風(fēng)險狀況?！被埸c科技總裁姜曉丹說。

如今，WBCR在華能國際的主要實施工作已經(jīng)基本完成?；埸c科技和IBM正在著手進(jìn)行進(jìn)一步的推廣?！半m然在美國上市的中國企業(yè)目前并不太多，但是，在企業(yè)內(nèi)部控制越來越受重視的環(huán)境之下，我們對這套產(chǎn)品的前景充滿信心?！苯獣缘ふf。

來源：賽迪網(wǎng)——中國計算機(jī)用戶

SOX法案：點燃加強(qiáng)IT控制的星星之火Ⅰ