记者 刘启诚

　　虽然7月15日过去了已有两个月的时间(2006年7月15日是《萨班斯-奥克斯利法案》(SOX法案)对海外公司和中小型美国公司最后生效的期限)，但对于在美国上市的70家中国公司来说，萨班斯法案带来的挑战才刚刚开始。赛门铁克大中华区总经理郭尊华认为，国内企业应对萨班斯法案的最佳方法就是从整体着眼，企业领导人必须清楚，管理法规遵从是一项长期计划，而非一个短期项目。此外，企业信息技术安全的监测和控制也需要从企业IT建设的整体计划考虑，而非为了应对萨班斯法案中的部分针对性条款。

　　中国企业面临的挑战

　　萨班斯法案的出台与2002年美国安然、世界电信公司等美国超大型企业的财务丑闻有着直接的关系。当时这些丑闻导致了投资者和很多人对美国经济和美国投资的负面评价，因此布什政府决定出台一部法律，加强对企业的监管。萨班斯法案不光对企业财务信息批露有着严格的规定，而且涉及到了企业管理的方方面面，包括政务管理、风险管理、道德和法规遵从，是非常整体的管理要求。对于许多企业来说，萨班斯法案实施初期感觉比较难。

　　按照萨班斯法案的要求，上市公司的首席执行官/首席财务官(CEO/CFO)需要就有关披露控制程序的有效性发表声明，并为此承担责任。法案404条款还要求上市公司在年报中披露专门的内部控制报告，要求公司任何一个岗位的职务、职责描述得一目了然，并保留所有流程的相关证据。

　　郭尊华认为，目前国内在实施萨班斯法案时，除了建设一个完整的风险管理框架外，如何保障企业内部有一个强有力的沟通、明确的目标、恰当的培训以及强健的内部控制将是面临的主要问题。而要解决这些问题，关键在于如何构建企业的IT系统。因为目前与萨班斯法案中302条款-公司对财务报表的职责、404条款-内部控制的管理评估、409条款-实时披露发行人信息都与IT控制紧密相关。《萨班斯法案》在对上市企业以法律形式强化公司内部的风险控制的同时，将企业IT治理的重要性提高到前所未有的高度。

　　目前，大多数明确表示正在进行IT治理的企业，都将其与公司治理密切联系，目的是为了让投资者信任企业。为了应对美国的萨班斯法案，在美国上市的企业就必须保证所披露信息的真实与准确，保证信息处理与传递的效率。法规遵从成为许多企业展开IT治理的最主要动力。我国电信、金融、化工等大型企业几乎不约而同地于2004年后开始进行IT内控、IT治理，与萨班斯法案的要求直接相关。

　　整体着眼应该注意的几大问题

　　由于涉及涵盖企业经营、IT系统控制、投融资管理、财务监控、法律法规监督等13个大类、38个细项，国内企业在《萨班斯法案》实施过程中面临着巨大的困难。此外《萨班斯法案》的执行也增加了企业的成本与负担。面对萨班斯法案的挑战，郭尊华认为，中国企业应充分重视对自身内控体系的建设。对于已经在美国上市的中国企业而言，必须直面实施萨班斯法案所造成的内控成本上升和诉讼风险增大的影响。目前，几乎所有在美上市的中国企业都已经投入了大量的人力财力，进行公司内部控制系统和风险控制流程的重组，由于企业内部相关人才匮乏，中国企业基本上是借助外力来完成的，或者雇佣四大会计师事务所或投资银行对公司的内部控制体系进行诊断、发现相关薄弱环节、并加以改善；或者购买由专业公司量身定制的内控管理软件或综合财务管理软件系统。

　　郭尊华说，目前从国外一些企业应对萨班斯法案挑战的经验和教训来看，国内企业应该注意三个方面的问题。一是安全问题。进行IT控制系统建设时，系统安全建设应该立足于整个企业管理架构之上，因为缺少安全构架的IT控制系统建设一是将导致技术安全措施的损耗，二是不连续的创新会造成安全问题的反复发生。郭尊华强调，IT安全性应被视为业务问题，而非简单的IT问题。二是需要从文化上转变对萨班斯法案的认识。萨班斯法对美国上市公司是一个不小的挑战，由于政策不同、环境差异以及公司历史和治理成熟度的不足，对在美国上市的中国企业的挑战将更大。由于中国企业大多是国有企业，有自己特殊的发展背景，如何建立萨班斯法案制定的内控系统，并让其能真正有效的发挥作用将是中国企业面临的最大挑战。三是要加强人才的培养。国内企业在实施《萨班斯法案》面临的一个很大问题就是人才缺乏，这已经成为企业内控的瓶颈。因此加强员工培训工作，对IT部门成本管理系统的每位员工进行适当的培训，是目前国内企业急需解决的问题。