赶考萨班斯法案 （7－24 AM）

□特派记者 楼夷 发自美国首都华盛顿  记者 历志钢 发自北京

考验之反舞弊：“我们已经有纪委了”

　　7月15日，对于所有在美国上市的中国企业来说，是一个“分水岭”。
　　从这一天开始，萨班斯法案404条款就要对绝大多数海外公司和中小型美国公司正式执行。这也意味着，近70家以各种形式在美国上市的中国企业，将面临迄今最为严苛的检验。
　　“萨班斯法案”（Sarbanes-Oxley Act），又名《2002年上市公司会计改革与投资者保护法案》，发布于2002年7月30日。法案的核心是加强企业内控，增加财务透明度，并且对于违反该法案的企业给予高额罚款、追究管理层刑事责任的惩罚。
　　该法案中的404条款，是最具争议的条款。404条款要求上市公司建立详细的内部控制机制，同时对重大缺陷给予披露。因其操作复杂、成本高昂而遭到许多上市公司的抱怨。
　　7月15日，已被企业广泛视为“大限”，但鉴于中国公司的财政年度一般在12月31日，因此，距正式按照404法案发布财报还有半年时间。据了解，许多上市公司已为此准备了一年多时间，目前正处于最后的冲刺阶段。
　　萨班斯法案出台，发生在美国安然、世通等公司丑闻震动金融和企业界之后；而来自企业内部的举报（Whistleblower），是这些丑闻得以被揭开的重要原因。正因如此，萨班斯法案中很重要的内容，即加强公司内部反舞弊的制度设计。法案要求公司建立固定渠道，让员工以及外部人士能举报一些侵害公司利益和股东利益的行为。
　　“（但）我们发现，最初员工并不愿意举报。”新浪代理首席财务官余正钧回忆说。他曾在测试时去询问下面的员工；如果你发现某领导出现了财务问题，是否会去举报？大多人都微笑不语。
　　一位在某国企负责萨班斯法案合规的人士，则就是否需要设立反舞弊职能部门提出异议：“我们已经有纪委了。”最终，在这家国企，纪检部门也纳入了萨班斯的内控环境体系中，举报电话就设在纪委办公室，“纪委和董事会建立联系桥梁，定期沟通。”
　　对此，一位深谙萨班斯法案的专家认为，这反映出中美两国在反舞弊方面的制度设计差别极大。美国强调互相制约，比如关于舞弊的处理，要让由独立董事组成的审计委员会了解，以此作为对于管理层的一道制约程序。相比之下，在中国国有企业，举报可能最后达到高级管理层，但不一定能达到审计委员会和独立董事，举报流程的独立性便难以保证。
　　因为“在极端的情况就没有人敢举报了，比如高管舞弊——因为最后举报材料要落到高管手里。”他说。
　　
考验之内部控制：“流程在我脑中”
　　此前，已有四家中国企业率先迈过萨班斯法合规门槛。他们是新浪（NASDAQ代码：SINA）、亚信（NASDAQ代码：ASIA）、搜狐（NASDAQ代码：SOHU）、UTstarcom（NASDAQ代码：UTSI）；或由于在美国注册，或由于美国股东占股东总人数的50％以上，404条款已于2004年底对他们生效。
　　新浪从2004年4月开始筹备，前后花了不到一年时间。按代理首席财务官余正钧的说法，新浪“迅速过关”，得益于高管对相关法规有清楚的认知。比如，当时的CFO曹伟国（现任CEO）为美国注册会计师，加上新浪曾经历了北美区和中国区业务的合并，对于内控等一系列相应法规和操作十分熟悉，许多流程也已经建立，“不需要特别大动干戈”。
　　但是，其他公司可能没那么走运。按照404条款的要求，上市公司要保证，在对交易进行财务记录的每一个环节都有相应的内部控制制度——例如，产品销售的条件、记录付款的时间和人员等；企业必须按照美国反欺诈性财务报告委员会（下称COSO）的《企业风险管理整合框架》，来确定其内部控制流程，进行评估、检测并改善其缺漏，然后，由管理层将这一过程和评估结果整理成文。
　　流程梳理的关键，就在于财务报表涉及的公司结构和业务规模。组织越分散、业务越复杂的公司，其工作量就越大；业务简单、管理集中的小型公司则相对轻松，但由于规模所限，合规成本对他们的压力更大。
　　这也是美国企业集中抱怨的环节。尤其是404条款实施的第一年，为设立内部控制而对企业所有流程实行档案化，企业投入了大量的人力、物力和时间。
　　据《国际财务执行官（FEI）》杂志对美国321家企业的调查结果，每家大型企业第一年实施的总成本超过460万美元。这些成本包括3.5万小时的内部人员投入、130万美元的外部顾问和软件费用，以及150万美元的额外审计费用（增幅达到35％）。
　　百度CFO王湛生表示，404条款给高成长企业带来了很大挑战，因为“想要描绘的流程总是在变化的。”百度业务以每年200％的速度增长，刚设立内审部时，百度才200多人，现在已经有2000多员工。
　　许多企业承认，过去没有类似的流程的概念。
　　东航股份有限公司萨班斯法案内控项目组负责人方澜，向记者忆及初始文档的建立：“东航此前也有岗位说明，但流程建档和岗位说明的重点不一样。”他说，由于不太熟悉文档撰写的要求，还闹过笑话，“比如问到怎么保证执行的准确性，有的员工就写‘我努力工作’。”
　　“客户向我们描述的流程五花八门，每个人说法不一样。”从事国内企业404条款咨询的上海甫瀚公司董事王海瑛说，“还有人声称，流程都在他的脑子里。”对于流程的应对，也可以看出中美企业管理文化的差异。美国公司对基本理念非常清楚，而许多中国企业把这当做审计报告只落实到某些部门，而不是全员总动员——其中的差别不是“简单的一纸文件”。
　　方澜告诉记者，东航的准备工作从2004年10月开始，经历了项目范围确立、文档编制、内部整改、内控测试等阶段，现在已迎来第二轮测试。其间涉及东航13家分子公司、几乎所有职能部门，耗费时间、精力、资源、人力相当大，“牵涉了几乎所有重要业务部门，把东航掀了个底朝天”。仅东航总部上海地区的的第一轮测试，就涉及近千个关键控制点，测试样本时间覆盖2006年全年。而几大分公司的测试则从2006年6月开始，也将进行多轮。
　　更困难的要求还在于外部。鉴于萨班斯法案对公司的重要的外包商的内控有效性也有要求，东航还要说服外包服务商提供SAS70内控审计报告。这对于本与美国上市毫无关系的外包商也提出了挑战。“以后我们挑选外包商服务商的时候，这可能是个先决条件”。
　　对于中国大型国企应对萨班斯法案的复杂局面，普华永道合伙人赵柏基深有体会：这些企业层级繁多，内控不集中，需要确定的所谓“关键控制点”也比美国企业多，“在美国公司的一个点，在国内的可能有30多个，工作量大了很多。”
　　萨班斯法案涉及美国会计法则和其他诸多法律法规，但国有企业的人才储备并不完备。参与制定《央企风险管理指引》的第一会达风险管理科技有限公司董事长吕多加说，他们在央企范围普查风险管理的需求发现，最缺的就是人。