其實，在國內，除了UT斯達康，亞信、新浪、搜狐、中國聯通、中石油、中石化等都在今年初或更早時候陸續啟動了代號“SOX”的項目�？此粕衩氐�“SOX”其實是美國2002年夏季頒布的Sarbanes-Oxley法案（薩班斯－奧克斯利法案）的縮寫。該法案的法律效力適用于在美國證券交易委員會注冊的約14000家公司，其中包括大量非美國公司。在美國上市的UT斯達康、亞信、新浪、搜狐、中國聯通、中石油、中石化等都是它約束的對象。對它們而言，SOX法案最實質的影響莫過于要求企業的CEO、CFO個人對財務報告承擔責任，還加強了對上市公司欺詐的刑事懲罰。對沒有遵從法案要求而受到外部監督機構質疑的公司，誰都無法預計資本市場和投資者對它的反應。

    SOX法案出臺的背景有二：其一，安然、世通等的破產揭露出一系列財務虛假案；其二，一系列公司假賬丑聞暴露出公司治理結構不平衡和外部監督缺失。為了提高民眾對美國金融市場及對政府經濟政策的信心，美國立法和管理部門亡羊補牢，頒布了包括SOX法案的一系列法律法規。

    SOX法案最核心之處在于，保證企業為編制和記錄財務信息而制定的內部控制措施的有效性，從而改善公司透明度和創造良好的公司治理環境。該法案規定，為了滿足企業員工、股東和政府的期望，公司需要實時而系統地向管理當局提供業績信息。根據它的要求，UT斯達康、新浪、搜狐等在美國注冊的公司須從2004財年開始遵從其要求；而中石油、中石化、中國聯通等在美上市的海外企業則可推遲1年執行。

    “修身、齊家、治國、平天下”是傳統中國知識分子的人生哲理，SOX法案就猶如美國上市企業必須遵從的“修身、齊家”的座右銘。對于企業管理人員來說，這個法案意味著企業提供的賬目要更加準確，且CEO和CFO個人要對公司披露的信息負責。因此，企業必須以此為契機，徹底檢查內控、監視和報告的流程。

    SOX法案明確規定，外部審計人員必須檢查和證實一個公司的內部財務控制的有效性，這其中就包括信息系統。SOX法案強調企業的信息技術策略和系統中的內部控制，以及對審計過程存檔的要求，即企業的內控活動（不論是人還是機器）的操作流程都必須明白地定義并保存相關記錄，而后才能實施。這樣要求是為了讓企業管理者了解內部狀況，以便在對網頁、防火墻、筆記本電腦、數據再恢復、保密安全性及密碼等進行必要審計時提供支持。出于安全考慮，企業還需要不斷地跟蹤記錄，定期檢查軟件、服務和人事情況。

    為了符合法案的要求，企業需要做很多細節上的準備。“標準和文件的建設、實現和評估工作量巨大。”作為高管人員，汪擁軍今年大約有1/5的時間需要投入在SOX項目上，除了軟件開發部門，他手下的員工也大多參與了“SOX”項目。

    事實上，對于大部分國外公司來說，“為SOX法案所做的準備工作相對少一些”，普華永道全球風險管理合伙人劉祖新說。因為國外公司已基本建立了規范和齊全的內控標準，并將其融入到流程和信息系統設計與改進中。但由于中國公司普遍缺乏強化內控標準的外部環境，致使它們盡管建立了內控機制，但都不盡完善，尤其在信息系統和審計環節上比較薄弱。

    在劉祖新看來，“信息系統訪問控制權限、訪問密碼的長度、更換密碼的時間等細節需要考慮；而SOX法案所強調的流程設計文檔和業務實現軌跡，如良好的復核驗證程序、定期報告和記錄程序、權限管理等也需要一一實現。”所以，為了符合SOX法案的要求，企業IT部門要根據業務流程的改進，改善賬務處理、電子信息及溝通等內控措施的評估、設計和實施。

    今年，普華永道中國區運營和系統風險管理經理楊豐禹幫幾個國內企業建立、完善其內控機制。在他看來，“中國企業遵守SOX法案的難點在于，依照法案所推薦和要求對照的美國COSO報告的理論體系，建立內控體系。”據COSO的研究成果，企業內控體系包括控制環境、風險評估、控制活動、信息與溝通和監督5要素。“目前，國內企業的內控程序多是基于流程，而不是基于風險點設計的。”他說。

    顯然，SOX法案增加了企業的IT投入。Forrester Research在調查了800多家北美公司后發現，將近1/3的調研對象表示將在2004年增加IT支出，其中為遵守SOX法案而進行的投入是一個重要項目。“為了SOX法案，我們增添了很多安全軟件，以保障系統安全。”汪擁君說。他相信，為了實現內控的實時性和有效性，國內很多公司將會添置大量軟件。類似情況在美國企業中也存在。一家名為Progress Rail的鐵路產品和服務供應商為改善其子公司的記賬情況，放棄了以前使用的手工程序和電子數據表格。它還安裝了財務數據整合和分析軟件，使用了平衡記分卡系統。這些系統可使其CFO近乎實時地了解企業的財務狀況，及時洞察問題。而以前問題只有在每季度審計后才能水落石出。這些系統已花費了Progress Rail約50萬美元。但這只是個開始。為了遵守法案，它還將對影響財務結果的系統進行一次從上到下的檢查。

    很多中國企業有著與Progress Rail類似的情形——“缺乏有效的財務管理及內控工具”，一位咨詢顧問說。在他看來，國內企業中，引進預算管理、關鍵業績指標、內部控制標準、財務預警機制等工具和技術的很少。

    SOX法案自出臺以來，促使在美國上市的企業在公司治理和透明度上有所改善，但業界對其帶來的管理成本增加及矯枉過正的負面評價一直不斷。不過，對IT廠商們而言，它卻像一個福音。微軟也在為遵守SOX法案而緊鑼密鼓地著手準備著，但這并不影響它于去年12月宣布，交付一款Office System的附加軟件，以幫助各公司滿足SOX法案對財務報告的要求。去年，Oracle公司也從信息技術角度，提出了公司治理3要素及解決方案。劉祖新指出，“通用軟件只能解決通用問題，企業還需根據自身情況建設控制流程，并保證其與標準運營集成，進而建立可靠的財務報告機制。”他還提醒正埋首應對SOX法案的眾公司，“企業內控體系的完善遠不是一次性通過SOX法案的要求那么簡單，它是一個不斷自我完善的長期過程。”

    對于力圖進入全球投資者視野、沖擊海外資本市場的中國企業來說，要想成為贏家，就必須了解游戲規則。剛在納斯達克上市的掌上靈通公司自去年下半年就開始為SOX法案做了大量準備，其CEO楊鐳說：“SOX法案的目標就是一切圍繞股東利益，追求股東利益最大化。”這其實是SOX法案、也是所有上市企業努力的起點和終點。