SOX法案：悬于CIO头顶的达摩克利斯之剑(上)（AMT研究院 陈琦）

在众多影响IT投入增长的因素之中，SOX法案逐渐进入各CIO的视野。在被访者中有38%认为，增加IT投入的目的之一就是考虑到强有力的管理和对有关规定的遵从。Forrester预测2005年SOX法案会激发对内容管理软件（上涨15%）及商业智能软件(上涨9%)的需求，因为许多上市公司都在寻求更好的方法以获取并监控企业内部海量的数据，从而增强对企业财务报告的内部管理。那么什么是SOX法案？它对CIO带来哪些机遇与挑战？这种形势下CIO又该如何加强信息安全性和准确性？未来的IT预算将集中在哪些方面？本文将对这些问题予以简要介绍。

一、             SOX法案的由来

2001年底美国安然公司在一片哗然中轰然倒台，由此引发的“安然事件”至今令许多人记忆犹新。而同年9月份，安然公司的资产负债表上还赫然显示其总资产达618亿美元，这又使得“安然事件”成为美国有史以来规模最大的公司破产案例。此后，公司丑闻不断，规模也“屡创新高”，特别是次年6月的世界通信会计丑闻事件，更是雪上加霜，彻底打击了美国投资者对美国资本市场的信心。这一系列丑闻事件的爆发不仅招致包括安达信等五大会计师事务所在投资者中的“诚信危机”，更引发了世界各国对公司治理模式的新一轮思考。

为改变这一局面，美国国会和政府立即公布了《萨班斯法案》（Sarbanes-Oxley Act，简称SOX法案），其目的是加强公司责任，以保护公众公司投资者的利益免受公司高管及相关机构的侵害，正如法案的第一句话所说“遵守证券法律以提高公司披露的准确性和可靠性，从而保护投资者及其他目的。” 按照美国国会网站对SOX法案的介绍，该法案从最初于2002年2月14日提交给国会众议院金融服务委员会(Committee on Financial Services)，到7月25日国会参众两院的最终通过，先后有6个版本。最后修订完稿的SOX法案共分11章，第1至第6章主要涉及对会计职业及公司行为的监管，第8至第11章主要是提高对公司高管及白领犯罪的刑事责任。

因而，SOX法案的主要内容之一就是明确公司管理层责任、尤其是对股东所承担的受托责任，同时，加大对公司管理层及白领犯罪的刑事责任；另一个重点就是加强对会计职业的监管，提高财务报告的可靠性。其内在逻辑思路是：提高公众公司财务报告及信息披露的及时性与准确性，可以有效地保护公众公司投资者的利益；而强化公司高管的财务报告责任、提供外部审计的独立性等，将有助于提高公司财务报告及信息披露的质量。图1中比较了法案中主要的302、404和409章节的内容。

图1

二、SOX法案给CIO带来的机遇

由于SOX法案的正式生效是2002年7月30日，到2004年初也不足两年。应当说，该法案对企业的影响尚未充分发挥。但随着法案中各项具体条款开始实施的最终期限临近，在公司治理模式的变革中对IT治理呼声也日益高涨。特别是SOX法案要求的公司财务信息透明和对各项业务活动监控的加强，如何确保企业中各种信息，特别是财务信息的准确和安全成并最终减少伴随业务活动产生的各种经营风险成为 CIO考虑的首要问题。Bettermanagement.com统计的数据显示,2004年点击率最高的5篇文章中一篇有关IT合规管理的文章名列第三，其主要内容就是讨论面对SOX法案的压力，国外企业如何通过合规管理软件降低企业经营中存在的风险，最大限度的避免重蹈“安然事件”的覆辙。这也预示着2004年之后，由于董事会的参与性增强，对CEO、CFO等公司高层管理者的监管力度部分转嫁到与企业信息资源直接相关的CIO身上，同时也给他们带来一些新的变化和机遇（图2）:

1．  CIO的重要性突现。SOX法案的颁布使企业的董事会更加积极的参与到公司战略的制定和发展中，因此董事会的成员不再依赖通过传统渠道得到的内部信息，而采用同管理层的诸如问责制等方式的直接交流，这样CIO能够获得更多与董事会交流的机会，并能够直接参与一些决策的制定。

2．  CIO的责任加重。同样的，董事会需要以更有效的方式获得更为客观、准确的信息，而非长篇累牍的报告等。这样CIO从数据的获取到信息的挖掘都需要担负起更大的责任。

图2

SOX法案的压力之下，最为显著的变化就是董事会不仅关注企业反映各项业务活动效果的数据、报表,更逐渐重视对业务活动本身的监控，即这些信息的来源，首当其冲的就是企业内部的信息系统。因此CIO在这场变革中顺利成章的走向前台，甚至有专家预言，这种形势将对企业内部的权力转移也造成一定影响，CIO将以相对独立的监管者身份出现在企业的董事会中。如果说SOX法案的目标之一是为了在董事会与CEO、CFO等企业高管之间建立起“诚信”，那么CIO在他们之间应充分利用客观的信息资源起到“第三者”的作用。（待续）

相关链接;

SOX法案：悬于CIO头顶的达摩克利斯之剑（下）（AMT研究院 陈琦）