2006-07-24 10:18 來源：通信產業報·李傳濤
電信業的應對路徑分析
在中國移動內部流傳著這樣一個笑話，一員工因為長期從事薩班斯法案（SOX）遵循工作，受內控思想熏陶，要求妻子每月更換一次家中電子防盜密碼鎖，每周更改一次密碼，買任何東西均須留有書面記錄并讓賣方簽字確認。
雖然只是一個笑話，但是從中可見，薩班斯法案對運營商造成的精神壓力之巨大。薩班斯法案提出了三項基本要求：首先，公司要有自己的內控體系，并有規范標準；其次，該規范標準被嚴格執行；第三，所有的執行都可以被審計驗證。
事實上，薩班斯法案遵循幾乎成為運營商內部持續時間最長的一項整改行動，很多地方公司從去年開始進行，無停頓地持續到今年。參與人數多、流程多、文檔多、會議多，成為這一時期的重要特點。動輒集中二三百人，花費數十萬元，內控項目則直接計入各級人員的考核，這些都讓運營商內部員工叫苦連天。
即便在美國，薩班斯法案也被稱作一部惡法。今年5月，在企業界的集體壓力下，美國證券交易委員會（SEC）和公眾公司會計監管委員會（PCAOB）專門征求了對SOX第404條款的反饋意見，并表示將考慮修改法規，甚至對小型上市公司給予一定的豁免。
而對于像國內四大運營商這樣的大型公司來說，“越是組織分散、業務范圍復雜，要做的工作越繁雜�！眹坡蓭熂瘓F主任律師劉維表示。
流程梳理
在諸多繁雜工作中，流程梳理無疑是第一步。
作為薩班斯法案中最難操作、最復雜、耗費成本最高的一個條款，“404條款”要求每個公司都要將公司任何一個崗位的職務、職責描述得一目了然，還要保證在對交易進行財務記錄的每一個環節都有相應的內部控制制度，從而引起整個企業流程的改變。
按照薩班斯要求，上市公司要對其目前執行的內部控制流程與COSO（《企業風險管理——整合框架》）的框架進行對比，指出存在的不足和改進措施。而只有進行流程梳理，找出關鍵控制點以及需要規避什么樣的風險，然后才能著手設計內控制度。
而在央企傳統管理模式中，由于不重視流程，交易和決策過程往往缺少記錄，一些決策甚至靠拍腦袋進行。
國際財務管理師協會中國總部秘書長何巧莎也強調改善公司治理結構對薩班斯遵循的益處。她表示，薩班斯法案要求的公司治理結構與許多中國企業傳統的公司治理結構有較大的差異，中國的企業文化與西方企業文化的內涵也不盡相同。為了少走一些彎路，中國公司應從一開始就注重實施公司治理結構層面的改進工作。
根據她的建議，運營商的高級管理層應成為遵守內部控制制度的表率并接受相應的監督和約束，充分發揮審計委員會和內部審計的作用，重視對員工遵守職業道德的培訓，嚴格執行職責分離、工作分配、職責描述等方面的規章制度，在公司內部形成一個自上而下有效貫徹內部控制的過程。
內部審計
德勤華永會計公司企業風險管理方面負責人趙善強先生，則重點指出了內部審計的參與和作用。他認為，在遵循404條款時，內部審計的有效性是應考慮的重要因素，這對于是否可以通過404條款的內部控制測評也非常重要。如果某公司的內部審計做得不好，將會影響該公司通過404條款的測評。
對于內部審計的作用，他解釋說，主要有兩點：第一，內部審計會參與前期的文檔記錄和提意見；第二，在管理層測試時會介入其中的工作。按照PCAOB第2號審計標準要求，執行內部控制的人和做測試的人要相對分開，以保持內部控制測試的客觀性。
某地方運營商審計部門負責人表示，中國公司的內部審計在傳統職能上可能與獨立性要求還有一些差距。配合薩班司法案的執行，運營商的內審制度應該實現三大轉變：
首先，由查錯糾弊為主向管理審計轉變。就是要將過去以查處違紀金額、審閱會計事項、審計經濟活動結果為主，逐步向各個管理環節滲透。改變過去審計僅查閱賬簿、憑證、報表的狀況，將調查、詢問、測試、廣泛閱讀資料等結合起來；
其次，由以監督為主向監督與評價并重轉變。就是要在監督的基礎上，對經濟事項進行評價、分析，為管理層的評價、決策提供可測量的信息來源；
最后，由事后審計為主向事前、事中審計轉變。就是要以經濟活動的流向為主線，抓住主要環節，適時監控，及時反映，提高企業抗風險能力。
IT治理
目前越來越多的企業依靠信息系統支撐業務運作，因此，IT治理在建立與保持有效的內部控制方面也發揮著重要的作用，建立針對信息系統的控制體系就成為遵循薩班斯的必然要求。
IT治理研究中心研究員李長征表示，薩班斯法案強調企業的信息技術策略和系統中的內部控制，以及對審計過程存檔的要求，即包括機器運行中的企業的內控活動的操作流程必須明白地定義并保存相關記錄。
比如，薩班斯法案就要求財務報表的準確性，財務報表靠業務流程，而業務流程又是由信息系統支撐的。
德勤企業風險管理服務經理薛梓源表示，為了應對薩班斯等國際法案對企業內控提出的更高要求，必須加大信息系統在總體控制方面的責任，在信息系統對管理流程的介入程度上，采取自上而下的基于風險管理的分配原則，盡量縮減成本，同時實現內控的合理化。實現流程和控制的集中化，建立一個好的集中身份管理措施和授權措施，以及加強包括用戶身份、網絡安全、系統安全在內的保護措施都是建立好的管理流程的要素。
事實上，信息化本身的目的之一，就是促使企業將好的管理做法固化為信息化中的規則與流程，并進而形成公司的管理習慣，以提升公司的管理水平。
“當某一天，人們已經感覺不到SOX有什么專門提的必要，一切都默認按照SOX規定的做的時候，也許就是由優秀走向卓越的那一天。”一位運營商員工如此表示。
鏈接：四大運營商的薩班斯之旅
中國電信：重視自我評估
為規范企業的內部管理，中國電信股份有限公司從2003年8月開始就啟動了“中國電信與財務報告相關的內部控制項目”。2004年7月底，中國電信完成內部控制綱領性文件《股份公司內部控制手冊》，并組織各省級子公司編寫內部控制手冊實施細則。
中國電信每年都進行內控體系的自我評估，對于發現的問題，層層分解到各級企業。對于制度本身存在的缺陷，中國電信主動修改制度；對于制度執行過程中存在的問題，中國電信加大了執行的力度。對于內控的重大缺陷以及重大、實質性的漏洞，中國電信還在對省公司和部門的績效考核中給予大力度的扣分加以懲罰。
中國網通：建立終身負責制
中國網通自2004年11月即著手推進內控體系建設，成立了集團、省、地市三級內控項目組織機構，全集團近萬名員工參加了各級內控管理培訓，有5000多名員工直接參與了內控項目推廣工作。2005年，在集團總部和7個省市進行了調研試點及試推廣工作，共形成內控文檔22套，其中流程描述860個、流程圖1262個，發現了諸多管理層面及業務流程層面的缺陷。
結合內控體系建設，網通集團出臺了《網通鐵律》，制定并印發了《中國網通集團信息質量問責管理若干規定》，建立了層層報告、一級對一級負責的信息質量責任聲明和傳導機制，規定公司所有人員均對披露和提供的信息質量簽名承諾，并終身負責，有力地推動了內控體系的建立。
中國移動：全面試點
中國移動2005年9月在福建、天津、湖北、山西等4家省級公司開始薩班斯全面試點。試點涵蓋企業經營、IT系統控制、投融資管理、財務監控、法律法規監督等13個大類、38個細項，對于企業內部流程梳理、加強財務投資監管、協調內部資源分配、提高管理透明度等方面都具有相當大的影響。
為了實施“薩班斯法案”，中國移動從公司總部到試點省級公司均成立了專項運營小組，挑選出大量的專業人員專門負責整個項目試點工作，并且引入畢馬威公司作為執行顧問，對試點工作以及未來的全面正式運營提供指導和規范。
中國聯通：具體到有控制力的人
中國聯通從2003年年底開始準備按照404條款完善公司的內部控制制度。首先是梳理會計政策、業務流程和揭示風險。從2004年開始，中國聯通開始按照COSO框架的要求完善公司的內部控制制度。一方面，圍繞防范達致經營效果和效率、財務報告真實性、遵從法律法規三個目標的各類風險為目的，建立一套滲透所有業務和場所的內部控制制度和管控機制以及分散的控制責任體系，而不是僅靠領導講話和指示作為經濟活動的管理標準和工作規則。
針對有實質控制權力的人，包括總公司高級管理層、各省管理層和一些關鍵崗位的部門，中國聯通建立了一套反舞弊的管理辦法，在履行控制程序時去發現、避免造假的發生。
