完善信息系統(tǒng)跨過“SOX”這道坎

申請免費試用、咨詢電話：400-8352-114

去年年底，UT斯達康（中國）有限公司啟動了代號為“SOX”的項目。這個項目是它今年重點關注的內(nèi)部管理項目之一，它涉及到所有影響財務報表生成的業(yè)務部門?！八哪繕耸鞘蛊髽I(yè)除了有正確完整的財務報表外，還要 有確保報表正確而完整的控制體系?！庇捎诂F(xiàn)代企業(yè)多是通過信息技術來處理、編輯和管理信息，因此這個看起來像是財務或?qū)徲嫷捻椖颗cIT架構和建設有千絲萬縷的聯(lián)系。于是，UT斯達康的IT高級總監(jiān)汪擁君和他所轄的IT部門為之投入了大把精力。

其實，在國內(nèi)，除了UT斯達康，亞信、新浪、搜狐、中國聯(lián)通、中石油、中石化等都在今年初或更早時候陸續(xù)啟動了代號“SOX”的項目?？此粕衩氐摹癝OX”其實是美國2002年夏季頒布的Sarbanes-Oxley法案（薩班斯－奧克斯利法案）的縮寫。該法案的法律效力適用于在美國證券交易委員會注冊的約14000家公司，其中包括大量非美國公司。在美國上市的UT斯達康、亞信、新浪、搜狐、中國聯(lián)通、中石油、中石化等都是它約束的對象。對它們而言，SOX法案最實質(zhì)的影響莫過于要求企業(yè)的CEO、CFO個人對財務報告承擔責任，還加強了對上市公司欺詐的刑事懲罰。對沒有遵從法案要求而受到外部監(jiān)督機構質(zhì)疑的公司，誰都無法預計資本市場和投資者對它的反應。

SOX法案出臺的背景有二：其一，安然、世通等的破產(chǎn)揭露出一系列財務虛假案；其二，一系列公司假賬丑聞暴露出公司治理結構不平衡和外部監(jiān)督缺失。為了提高民眾對美國金融市場及對政府經(jīng)濟政策的信心，美國立法和管理部門亡羊補牢，頒布了包括SOX法案的一系列法律法規(guī)。

SOX法案最核心之處在于，保證企業(yè)為編制和記錄財務信息而制定的內(nèi)部控制措施的有效性，從而改善公司透明度和創(chuàng)造良好的公司治理環(huán)境。該法案規(guī)定，為了滿足企業(yè)員工、股東和政府的期望，公司需要實時而系統(tǒng)地向管理當局提供業(yè)績信息。根據(jù)它的要求，UT斯達康、新浪、搜狐等在美國注冊的公司須從2004財年開始遵從其要求；而中石油、中石化、中國聯(lián)通等在美上市的海外企業(yè)則可推遲1年執(zhí)行。

“修身、齊家、治國、平天下”是傳統(tǒng)中國知識分子的人生哲理，SOX法案就猶如美國上市企業(yè)必須遵從的“修身、齊家”的座右銘。對于企業(yè)管理人員來說，這個法案意味著企業(yè)提供的賬目要更加準確，且CEO和CFO個人要對公司披露的信息負責。因此，企業(yè)必須以此為契機，徹底檢查內(nèi)控、監(jiān)視和報告的流程。

SOX法案明確規(guī)定，外部審計人員必須檢查和證實一個公司的內(nèi)部財務控制的有效性，這其中就包括信息系統(tǒng)。SOX法案強調(diào)企業(yè)的信息技術策略和系統(tǒng)中的內(nèi)部控制，以及對審計過程存檔的要求，即企業(yè)的內(nèi)控活動（不論是人還是機器）的操作流程都必須明白地定義并保存相關記錄，而后才能實施。這樣要求是為了讓企業(yè)管理者了解內(nèi)部狀況，以便在對網(wǎng)頁、防火墻、筆記本電腦、數(shù)據(jù)再恢復、保密安全性及密碼等進行必要審計時提供支持。出于安全考慮，企業(yè)還需要不斷地跟蹤記錄，定期檢查軟件、服務和人事情況。

為了符合法案的要求，企業(yè)需要做很多細節(jié)上的準備?！皹藴屎臀募慕ㄔO、實現(xiàn)和評估工作量巨大。”作為高管人員，汪擁軍今年大約有1/5的時間需要投入在SOX項目上，除了軟件開發(fā)部門，他手下的員工也大多參與了“SOX”項目。

事實上，對于大部分國外公司來說，“為SOX法案所做的準備工作相對少一些”，普華永道全球風險管理合伙人劉祖新說。因為國外公司已基本建立了規(guī)范和齊全的內(nèi)控標準，并將其融入到流程和信息系統(tǒng)設計與改進中。但由于中國公司普遍缺乏強化內(nèi)控標準的外部環(huán)境，致使它們盡管建立了內(nèi)控機制，但都不盡完善，尤其在信息系統(tǒng)和審計環(huán)節(jié)上比較薄弱。

在劉祖新看來，“信息系統(tǒng)訪問控制權限、訪問密碼的長度、更換密碼的時間等細節(jié)需要考慮；而SOX法案所強調(diào)的流程設計文檔和業(yè)務實現(xiàn)軌跡，如良好的復核驗證程序、定期報告和記錄程序、權限管理等也需要一一實現(xiàn)?！彼?，為了符合SOX法案的要求，企業(yè)IT部門要根據(jù)業(yè)務流程的改進，改善賬務處理、電子信息及溝通等內(nèi)控措施的評估、設計和實施。

今年，普華永道中國區(qū)運營和系統(tǒng)風險管理經(jīng)理楊豐禹幫幾個國內(nèi)企業(yè)建立、完善其內(nèi)控機制。在他看來，“中國企業(yè)遵守SOX法案的難點在于，依照法案所推薦和要求對照的美國COSO報告的理論體系，建立內(nèi)控體系?！睋?jù)COSO的研究成果，企業(yè)內(nèi)控體系包括控制環(huán)境、風險評估、控制活動、信息與溝通和監(jiān)督5要素?！澳壳?，國內(nèi)企業(yè)的內(nèi)控程序多是基于流程，而不是基于風險點設計的。”他說。

顯然，SOX法案增加了企業(yè)的IT投入。Forrester Research在調(diào)查了800多家北美公司后發(fā)現(xiàn)，將近1/3的調(diào)研對象表示將在2004年增加IT支出，其中為遵守SOX法案而進行的投入是一個重要項目?！盀榱薙OX法案，我們增添了很多安全軟件，以保障系統(tǒng)安全?！蓖魮砭f。他相信，為了實現(xiàn)內(nèi)控的實時性和有效性，國內(nèi)很多公司將會添置大量軟件。類似情況在美國企業(yè)中也存在。一家名為Progress Rail的鐵路產(chǎn)品和服務供應商為改善其子公司的記賬情況，放棄了以前使用的手工程序和電子數(shù)據(jù)表格。它還安裝了財務數(shù)據(jù)整合和分析軟件，使用了平衡記分卡系統(tǒng)。這些系統(tǒng)可使其CFO近乎實時地了解企業(yè)的財務狀況，及時洞察問題。而以前問題只有在每季度審計后才能水落石出。這些系統(tǒng)已花費了Progress Rail約50萬美元。但這只是個開始。為了遵守法案，它還將對影響財務結果的系統(tǒng)進行一次從上到下的檢查。

很多中國企業(yè)有著與Progress Rail類似的情形——“缺乏有效的財務管理及內(nèi)控工具”，一位咨詢顧問說。在他看來，國內(nèi)企業(yè)中，引進預算管理、關鍵業(yè)績指標、內(nèi)部控制標準、財務預警機制等工具和技術的很少。

SOX法案自出臺以來，促使在美國上市的企業(yè)在公司治理和透明度上有所改善，但業(yè)界對其帶來的管理成本增加及矯枉過正的負面評價一直不斷。不過，對IT廠商們而言，它卻像一個福音。微軟也在為遵守SOX法案而緊鑼密鼓地著手準備著，但這并不影響它于去年12月宣布，交付一款Office System的附加軟件，以幫助各公司滿足SOX法案對財務報告的要求。去年，Oracle公司也從信息技術角度，提出了公司治理3要素及解決方案。劉祖新指出，“通用軟件只能解決通用問題，企業(yè)還需根據(jù)自身情況建設控制流程，并保證其與標準運營集成，進而建立可靠的財務報告機制。”他還提醒正埋首應對SOX法案的眾公司，“企業(yè)內(nèi)控體系的完善遠不是一次性通過SOX法案的要求那么簡單，它是一個不斷自我完善的長期過程?！?/FONT>