完善信息系統(tǒng)跨過“SOX”這道坎

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

去年年底，UT斯達(dá)康（中國(guó)）有限公司啟動(dòng)了代號(hào)為“SOX”的項(xiàng)目。這個(gè)項(xiàng)目是它今年重點(diǎn)關(guān)注的內(nèi)部管理項(xiàng)目之一，它涉及到所有影響財(cái)務(wù)報(bào)表生成的業(yè)務(wù)部門。“它的目標(biāo)是使企業(yè)除了有正確完整的財(cái)務(wù)報(bào)表外，還要 有確保報(bào)表正確而完整的控制體系?！庇捎诂F(xiàn)代企業(yè)多是通過信息技術(shù)來(lái)處理、編輯和管理信息，因此這個(gè)看起來(lái)像是財(cái)務(wù)或?qū)徲?jì)的項(xiàng)目與IT架構(gòu)和建設(shè)有千絲萬(wàn)縷的聯(lián)系。于是，UT斯達(dá)康的IT高級(jí)總監(jiān)汪擁君和他所轄的IT部門為之投入了大把精力。

其實(shí)，在國(guó)內(nèi)，除了UT斯達(dá)康，亞信、新浪、搜狐、中國(guó)聯(lián)通、中石油、中石化等都在今年初或更早時(shí)候陸續(xù)啟動(dòng)了代號(hào)“SOX”的項(xiàng)目?？此粕衩氐摹癝OX”其實(shí)是美國(guó)2002年夏季頒布的Sarbanes-Oxley法案（薩班斯－奧克斯利法案）的縮寫。該法案的法律效力適用于在美國(guó)證券交易委員會(huì)注冊(cè)的約14000家公司，其中包括大量非美國(guó)公司。在美國(guó)上市的UT斯達(dá)康、亞信、新浪、搜狐、中國(guó)聯(lián)通、中石油、中石化等都是它約束的對(duì)象。對(duì)它們而言，SOX法案最實(shí)質(zhì)的影響莫過于要求企業(yè)的CEO、CFO個(gè)人對(duì)財(cái)務(wù)報(bào)告承擔(dān)責(zé)任，還加強(qiáng)了對(duì)上市公司欺詐的刑事懲罰。對(duì)沒有遵從法案要求而受到外部監(jiān)督機(jī)構(gòu)質(zhì)疑的公司，誰(shuí)都無(wú)法預(yù)計(jì)資本市場(chǎng)和投資者對(duì)它的反應(yīng)。

SOX法案出臺(tái)的背景有二：其一，安然、世通等的破產(chǎn)揭露出一系列財(cái)務(wù)虛假案；其二，一系列公司假賬丑聞暴露出公司治理結(jié)構(gòu)不平衡和外部監(jiān)督缺失。為了提高民眾對(duì)美國(guó)金融市場(chǎng)及對(duì)政府經(jīng)濟(jì)政策的信心，美國(guó)立法和管理部門亡羊補(bǔ)牢，頒布了包括SOX法案的一系列法律法規(guī)。

SOX法案最核心之處在于，保證企業(yè)為編制和記錄財(cái)務(wù)信息而制定的內(nèi)部控制措施的有效性，從而改善公司透明度和創(chuàng)造良好的公司治理環(huán)境。該法案規(guī)定，為了滿足企業(yè)員工、股東和政府的期望，公司需要實(shí)時(shí)而系統(tǒng)地向管理當(dāng)局提供業(yè)績(jī)信息。根據(jù)它的要求，UT斯達(dá)康、新浪、搜狐等在美國(guó)注冊(cè)的公司須從2004財(cái)年開始遵從其要求；而中石油、中石化、中國(guó)聯(lián)通等在美上市的海外企業(yè)則可推遲1年執(zhí)行。

“修身、齊家、治國(guó)、平天下”是傳統(tǒng)中國(guó)知識(shí)分子的人生哲理，SOX法案就猶如美國(guó)上市企業(yè)必須遵從的“修身、齊家”的座右銘。對(duì)于企業(yè)管理人員來(lái)說，這個(gè)法案意味著企業(yè)提供的賬目要更加準(zhǔn)確，且CEO和CFO個(gè)人要對(duì)公司披露的信息負(fù)責(zé)。因此，企業(yè)必須以此為契機(jī)，徹底檢查內(nèi)控、監(jiān)視和報(bào)告的流程。

SOX法案明確規(guī)定，外部審計(jì)人員必須檢查和證實(shí)一個(gè)公司的內(nèi)部財(cái)務(wù)控制的有效性，這其中就包括信息系統(tǒng)。SOX法案強(qiáng)調(diào)企業(yè)的信息技術(shù)策略和系統(tǒng)中的內(nèi)部控制，以及對(duì)審計(jì)過程存檔的要求，即企業(yè)的內(nèi)控活動(dòng)（不論是人還是機(jī)器）的操作流程都必須明白地定義并保存相關(guān)記錄，而后才能實(shí)施。這樣要求是為了讓企業(yè)管理者了解內(nèi)部狀況，以便在對(duì)網(wǎng)頁(yè)、防火墻、筆記本電腦、數(shù)據(jù)再恢復(fù)、保密安全性及密碼等進(jìn)行必要審計(jì)時(shí)提供支持。出于安全考慮，企業(yè)還需要不斷地跟蹤記錄，定期檢查軟件、服務(wù)和人事情況。

為了符合法案的要求，企業(yè)需要做很多細(xì)節(jié)上的準(zhǔn)備?！皹?biāo)準(zhǔn)和文件的建設(shè)、實(shí)現(xiàn)和評(píng)估工作量巨大?！弊鳛楦吖苋藛T，汪擁軍今年大約有1/5的時(shí)間需要投入在SOX項(xiàng)目上，除了軟件開發(fā)部門，他手下的員工也大多參與了“SOX”項(xiàng)目。

事實(shí)上，對(duì)于大部分國(guó)外公司來(lái)說，“為SOX法案所做的準(zhǔn)備工作相對(duì)少一些”，普華永道全球風(fēng)險(xiǎn)管理合伙人劉祖新說。因?yàn)閲?guó)外公司已基本建立了規(guī)范和齊全的內(nèi)控標(biāo)準(zhǔn)，并將其融入到流程和信息系統(tǒng)設(shè)計(jì)與改進(jìn)中。但由于中國(guó)公司普遍缺乏強(qiáng)化內(nèi)控標(biāo)準(zhǔn)的外部環(huán)境，致使它們盡管建立了內(nèi)控機(jī)制，但都不盡完善，尤其在信息系統(tǒng)和審計(jì)環(huán)節(jié)上比較薄弱。

在劉祖新看來(lái)，“信息系統(tǒng)訪問控制權(quán)限、訪問密碼的長(zhǎng)度、更換密碼的時(shí)間等細(xì)節(jié)需要考慮；而SOX法案所強(qiáng)調(diào)的流程設(shè)計(jì)文檔和業(yè)務(wù)實(shí)現(xiàn)軌跡，如良好的復(fù)核驗(yàn)證程序、定期報(bào)告和記錄程序、權(quán)限管理等也需要一一實(shí)現(xiàn)。”所以，為了符合SOX法案的要求，企業(yè)IT部門要根據(jù)業(yè)務(wù)流程的改進(jìn)，改善賬務(wù)處理、電子信息及溝通等內(nèi)控措施的評(píng)估、設(shè)計(jì)和實(shí)施。

今年，普華永道中國(guó)區(qū)運(yùn)營(yíng)和系統(tǒng)風(fēng)險(xiǎn)管理經(jīng)理?xiàng)钬S禹幫幾個(gè)國(guó)內(nèi)企業(yè)建立、完善其內(nèi)控機(jī)制。在他看來(lái)，“中國(guó)企業(yè)遵守SOX法案的難點(diǎn)在于，依照法案所推薦和要求對(duì)照的美國(guó)COSO報(bào)告的理論體系，建立內(nèi)控體系。”據(jù)COSO的研究成果，企業(yè)內(nèi)控體系包括控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通和監(jiān)督5要素?！澳壳埃瑖?guó)內(nèi)企業(yè)的內(nèi)控程序多是基于流程，而不是基于風(fēng)險(xiǎn)點(diǎn)設(shè)計(jì)的。”他說。

顯然，SOX法案增加了企業(yè)的IT投入。Forrester Research在調(diào)查了800多家北美公司后發(fā)現(xiàn)，將近1/3的調(diào)研對(duì)象表示將在2004年增加IT支出，其中為遵守SOX法案而進(jìn)行的投入是一個(gè)重要項(xiàng)目?！盀榱薙OX法案，我們?cè)鎏砹撕芏喟踩浖?，以保障系統(tǒng)安全?！蓖魮砭f。他相信，為了實(shí)現(xiàn)內(nèi)控的實(shí)時(shí)性和有效性，國(guó)內(nèi)很多公司將會(huì)添置大量軟件。類似情況在美國(guó)企業(yè)中也存在。一家名為Progress Rail的鐵路產(chǎn)品和服務(wù)供應(yīng)商為改善其子公司的記賬情況，放棄了以前使用的手工程序和電子數(shù)據(jù)表格。它還安裝了財(cái)務(wù)數(shù)據(jù)整合和分析軟件，使用了平衡記分卡系統(tǒng)。這些系統(tǒng)可使其CFO近乎實(shí)時(shí)地了解企業(yè)的財(cái)務(wù)狀況，及時(shí)洞察問題。而以前問題只有在每季度審計(jì)后才能水落石出。這些系統(tǒng)已花費(fèi)了Progress Rail約50萬(wàn)美元。但這只是個(gè)開始。為了遵守法案，它還將對(duì)影響財(cái)務(wù)結(jié)果的系統(tǒng)進(jìn)行一次從上到下的檢查。

很多中國(guó)企業(yè)有著與Progress Rail類似的情形——“缺乏有效的財(cái)務(wù)管理及內(nèi)控工具”，一位咨詢顧問說。在他看來(lái)，國(guó)內(nèi)企業(yè)中，引進(jìn)預(yù)算管理、關(guān)鍵業(yè)績(jī)指標(biāo)、內(nèi)部控制標(biāo)準(zhǔn)、財(cái)務(wù)預(yù)警機(jī)制等工具和技術(shù)的很少。

SOX法案自出臺(tái)以來(lái)，促使在美國(guó)上市的企業(yè)在公司治理和透明度上有所改善，但業(yè)界對(duì)其帶來(lái)的管理成本增加及矯枉過正的負(fù)面評(píng)價(jià)一直不斷。不過，對(duì)IT廠商們而言，它卻像一個(gè)福音。微軟也在為遵守SOX法案而緊鑼密鼓地著手準(zhǔn)備著，但這并不影響它于去年12月宣布，交付一款Office System的附加軟件，以幫助各公司滿足SOX法案對(duì)財(cái)務(wù)報(bào)告的要求。去年，Oracle公司也從信息技術(shù)角度，提出了公司治理3要素及解決方案。劉祖新指出，“通用軟件只能解決通用問題，企業(yè)還需根據(jù)自身情況建設(shè)控制流程，并保證其與標(biāo)準(zhǔn)運(yùn)營(yíng)集成，進(jìn)而建立可靠的財(cái)務(wù)報(bào)告機(jī)制。”他還提醒正埋首應(yīng)對(duì)SOX法案的眾公司，“企業(yè)內(nèi)控體系的完善遠(yuǎn)不是一次性通過SOX法案的要求那么簡(jiǎn)單，它是一個(gè)不斷自我完善的長(zhǎng)期過程?！?/FONT>