作者: 李全伟

    2006 年是在美上市的中国公司满足萨班斯法案（SOX）条件的限期，这些公司必须在 2006 年财务年度结束前通过该法案的认证。在越来越短的时间内，如何抓住关键问题、按 SOX 404（404 条款: 管理层对内部控制的评价）的要求完善公司内部控制、确保通过 SOX 404 认证，成为这些中国公司迫切关注的问题。

    3 月 28 日，美国专业咨询服务公司 Resources Global Professionals的两位专家──全球客户服务主管汤姆•谢姆伯（Tom Schember）和全球审计咨询服务主管莱斯特•M•萨斯曼 （Lester M. Sussman）专程来华，在北京参加与其中国联盟机构友联时骏企业管理顾问公司举办的关於在美上市中国公司 SOX 404 合规工作的圆桌会议，向在美国上市的中国公司（包括中石化、中国电信、中国网通等）介绍了美国本土公司进行 SOX 404 认证的情况，并对中国公司认证工作提出了建议。

    由于美国本土公司从 2004 年开始进行 SOX 404 认证，中国公司比较关心的一个问题是有多少家公司没有通过认证？萨斯曼介绍，据美国《Compliance Week》的统计资料显示，美国公司不能通过 SOX 的比例大约在 10% 左右，其中也包括一些大公司。因为不能通过的企业会被认为管理不规范、财务报表不可信，有统计资料表明，在审计中做出存在重大内控缺陷的报告后，股市会做出即时的负面反应，平均 60 天内公司股价下跌约 4%。

    关于认证花费有多大，投入的时间有多少，也是中国公司比较关心的一个问题。萨斯曼提到，SOX 提出的改革公司内部治理的要求使美国上市公司花费了不少时间、精力和财力，尤其是针对 SOX 404 条款的要求建立的有关财务报告的内部控制。美国公司的经验显示，几乎所有的公司都明显低估了 SOX 404 项目的投入，由于公司内部缺乏足够的人力和内控知识及技术、对 SOX 404 的要求和审计师的要求了解不够、在内控文档记录和测试方面缺乏知识和经验、现有内控体系存在缺陷很多等因素，许多公司花费的时间都达到了最初预算的 3 倍，许多大公司花费的内部时间超过 10 万小时。

    统计资料显示，年收入在 50 亿美元左右的美国公司在 SOX 404 合规工作第一年，为建立一套合规的内部控制系统的成本平均高达 430 万美元，平均花费总时间为 8.1 万小时；第二年的成本大约减少了 40%，但仍然投入很大。在认证中造成成本比较高的公司普遍存在分散经营、系统不统一、人工控制环境、大量的维护延迟、大量的控制不足及相应的重新测试等原因。

    虽然在外国注册的在美上市公司还没有正式进行认证，但许多已经进行了试行。据 SOX 试行结果显示，这些公司需要做重大整改的方面是: 有四分之三的公司表示要改进 IT 系统，近一半的公司表示需要改进税务会计处理和财务报表，以符合要求。对于中国公司来讲，萨斯曼说主要的挑战有四点: 公司层面的控制和反欺诈控制、IT 环境控制、财务报表的结算流程符合美国会计准则的要求、所得税方面也要符合美国的要求。

    在美上市的中国公司已经开展了 SOX 404 认证工作，圆桌会议上，中石化法律部主管邵敬扬根据自己公司的实践感到，中国公司面对萨班斯法案最大的问题是内控工作，有些人认为内控工作就是简单的财务加工过程，这是一个误区。他说，内控系统应是一种管理活动，应从公司业务做起，中国公司不要只为了通过 SOX 404 认证而重视内控工作，而应把此作为企业管理中的常规工作。

    已经通过认证的美国泰科公司（Tyco）的中国区财务副总监黄永利提到，公司最高领导层的重视和支持非常重要，这是取得认证成功的关键。中国电信的项目组有关人士也提到，各级管理层的重视很重要，当然这还远远不够，集团的各级机构都要做到统一认识，步调一致。中国电信做内控工作不仅是为了满足 SOX 404 认证，而是要长期重视内控，使企业管理工作更加规范。

    谢姆伯提醒中国公司要注意三点: 完善 IT 系统、制定小型清单式的项目进度、能够充分利用他人的工作。这么做不仅会使认证成本比较低，而且还相对容易通过认证。

    萨班斯法案（SOX）是美国国会出台的《2002 年公众公司会计改革和投资者保护法案》，该法案由美国众议院金融服务委员会主席奥克斯利和参议院银行委员会主席萨班斯联合提出。法案对美国《1933 年证券法》、《1934 年证券交易法》作了不少修订，在会计职业监管、公司治理、证券市场监管等方面做出了许多新的规定。所有在美国证券交易委员会（SEC）备案的公司，包括在美国注册的上市公司和在外国注册而于美国上市的公司，都必须符合 SOX 的要求。