在準備赴美上市的本土企業備受“薩班斯”煎熬時，旁觀者中不乏有企業暗自竊喜：幸虧我不是美國的上市公司，想要海外上市完全可以“轉道”其他市場。然而， “法規遵從”已經越來越成為企業無法逃避的選擇。如此，“薩班斯”的意義就不僅僅對赴美上市的公司有價值，而值得引起所有“走慣了捷徑”的本土企業認真思考。

　　《薩班斯-奧克斯利法案》出臺四年來，一路歷經風雨，對它或褒或貶的爭論在企業界、學術界、會計審計行業界、IT技術領域以及政策制定機構之間從未平息過。在本土企業近年來如火如荼的IPO背景下，“薩班斯”作為一項立法的影響在中國也被無限地放大了。

　　2006年7月15日，美國“薩班斯”法案對流通市值大于等于7億美元（大型加速編報公司）的國外發行商正式生效，所有這些公司都必須在2006年7月15日或之后結束的財政年度報告中得到外部審計師對“薩班斯”法案遵循情況的審計報告。至今一年的時間轉瞬即逝，由于該法案對上市公司的內部控制、財務管理等 “極為苛刻”的要求，使得在美國上市的中國本土企業集體遭遇 “薩班斯”之痛——實際上，除了法規本身嚴苛的原因外，“痛”的根本在于中國本土企業內控體系遠未達標，所以他們的投入和付出顯得異常沉重。從這個角度看，“薩班斯”為增強企業治理、改變“人治管理”提供了一個絕好的機會。短期的付出，換來的是長期的風險規避。

　　在關于通關“薩班斯”或成或敗的采訪中，我們見到了太多的“控訴”，而百度的“薩班斯”團隊在介紹他們的經歷時，“陽光”、積極的心態著實有些出乎意料……

　　挑戰VS.機會

　　“與其把‘SOX’看作是一個挑戰，不如把它當作一個機會。”問及百度通關的經歷，百度CFO王湛生這樣開門見山地向記者袒露了心跡。這種積極的心態為百度順利通過“薩班斯”的考驗奠定了堅實的基礎。

　　媒體的炒作以及法案本身的嚴苛要求和實施起來的龐雜艱辛的確給試圖通過它的企業帶來了不小的心理壓力，不少企業淺嘗輒止便望風而逃了。作為百度“薩班斯”項目的主導者，在王湛生看來，這其中的關鍵問題就是怎樣正確看待“薩班斯”。“薩班斯”作為一個規范美國上市公司的法規，對于期待在海外上市的企業而言并非沒有選擇——你可以選擇在美國上市，接受它的約束，也可以選擇不上市或在其他市場上市。事實上，因為“薩班斯”選擇避開美國，而是在本土、在歐洲或者其他資本市場上市的情況并不在少數。“但我們看中的是‘薩班斯’所倡導的企業合規運作、優化管理、風險防范和體現公開、公平、公正的精神。這正是百度一直以來所追求的。”

　　據介紹，百度的“薩班斯”項目正式在2004年底啟動，當時的百度還只是一個400人的公司，正處于高速發展中，“公司的穩健發展，需要加強公司治理，建立良好的內控體系。我們認為”SOX“的本質與百度當時的需求不謀而合，實施”SOX“對于我們來說是一個絕好的規范公司治理的機會，因此公司上下都是抱著積極的心態來做這件事情的。”百度“薩班斯”項目的具體推進者、內審部高級經理何畏回憶說。

　　當記者談及很多企業認為“SOX”是“大麻煩”時，何畏坦承：“我覺得所謂的‘麻煩’很多是基于”SOX“和公司管理本身必然存在的一個矛盾，即風險控制和高效運營之間的矛盾。”

　　風險控制就是要對業務的收益和風險進行評估，再通過控制流程把風險降到最低。表面看控制流程的設置要經過更多的審核，跨越多個部門，會影響運營的效率，但實質上它保證了運營的有效性和準確性，提高了運營的質量。

　　這兩方面的矛盾導致剛開始執行“SOX”的公司產生了很多困惑，是否增加相應的控制流程會影響公司的速度和效率？很多公司在打問號的階段對這個就產生了反感，尤其是運營和管理部門產生這種抵觸情緒，或者認為是互相增加麻煩。

　　令記者吃驚的是，這個在眾多公司普遍存在的抵觸和麻煩心態在百度幾乎看不到。對于百度這種“不同尋常”的積極心態，信息披露部高級經理韋方表示：“我發現實施這個項目在百度并不是那么困難，大家沒有那么大的抵觸情緒。尤其是技術部門和運營部門，都給予了很大的支持。而且他們很主動的來問問題：怎么來提高自己負責的業務流程的控制力度和效率。”這就說明要順利實施，讓參與其中的部門意識到這個項目對他們有很大的幫助，設立控制流程是必要的，而且是非常重要的。

　　“所以我覺得認為‘麻煩’是對‘SOX’沒有透徹而正確的理解。理解正確自然就接受了，做自己認為正確的事，對自己的工作有長遠好處的事，當然心態會積極。” 王湛生補充說。

　　積極來自于理解，而理解更要源自學習。成功理解“薩班斯”在很大程度上也得益于百度“好學”的企業文化。面對“SOX”，大家首先是想知道的是，美國那樣成熟的市場是怎來要求一家公司的內部治理的，進而對“SOX404”是怎么回事，要求管理者如何做產生了興趣，在某種程度上，百度是以一種學習的態度來進入和參與這個項目的。

　　于是，“薩班斯”這個傳說中的洪水猛獸在百度就有了一個美好的開始。

　　“系統化”支持的力量

　　想像中無論多么美好的開始，在具體推進的時候還是會遇到不小的挑戰。不少通過“SOX”的企業在描述攻關過程時難免會有一些 “悲壯”色彩，而在百度我們并沒有遭遇到通常“痛說家史”的流程，這反而令記者們有些錯愕了。

　　“其實也沒什么秘訣，成功的前提就是大家對這個問題的觀點要一致，無論是從董事會還是CEO Robin（李彥宏）還是我本人對‘SOX’合規項目都有一個鮮明的支持態度。”王湛生笑談。

　　高層的支持固然重要，這種支持不僅是在高層會議上說說就完了，而是在后期的工作中非常積極的參與。很多時候，一些企業在“薩班斯”實施當中遇到困難并不是上面不支持，而是中層實施的時候不能有效地快速運行。很多控制都要由中層以上的人員具體實施，所以何畏感到：“我覺得百度中層以上人員的配合是非常重要的。他們要讓每個參與者都意識到這件事情的實施與企業的長久發展關系密切，讓每個參與者既看到困難也要看到意義，這樣實施起來才會有足夠的動力。”

　　此外百度的心得是，所有項目參與人員都要有“系統化”的理念。不能簡單地認為這僅僅是某個部門的事情，而是全公司的大事，需要各部門都參與其中。業務部門、財務部、合同管理部、內審部門等各個部門之間要有一個非常密切的合作關系，共同為實施“SOX”服務。這種系統化的持續支持是很多企業忽略和難以做到的。

　　即便如此，實施“SOX”的流程仍然繁瑣得令人難以承受。2005年百度用了將近半年的時間建立了一個體系，分析公司的業務流程應該如何根據“SOX404”的要求來劃分，怎樣設置是更科學的。同時要花費大量的時間推行管理理念、建立項目構架，包括從各個部門去選擇專門的負責人，確認每個部門的責任和職責。接下來就是完成“SOX404”要求的最重要的文檔資料：風險控制矩陣。這部分工作是最冗長而沉悶的。最終百度在2005年下半年到2006年的第一個季度間形成了近150個業務流程文檔資料，確定了600多個需要測試的控制點并建立了風險控制矩陣。

　　之后，在2006年的第二季度用了將近一個季度的時間進行測試，針對發現的問題在2006年的第三季度進行了彌補和改善工作。正是有了這些充分的測試和“整改”工作，才保證了在2006年最后一個季度外部審計師的測試中全面通過。

　　回憶起當時的情景，王湛生頗有感慨：“我覺得我們‘404’團隊里的每一個人在這個過程中所表現的投入和責任心是讓我非常感動的。因為連續兩年的時間里，緊張的時間壓力、執行中面對不停的變動，以及大量的協調和溝通……我們的項目負責人會花很多時間幫助員工舒緩壓力，比如帶大家一起出去吃飯、看電影，放松一下，改變一下心情。這些細節很讓我感動。”

　　或許，系統化的力量正是百度“薩班斯”項目得以順利實施的驅動力。

　　“隨需應變”的戰術

　　公司能否通過“SOX404”最后是由外部審計師來發表獨立意見的，但SEC和審計標準的制訂機構當時出臺的與“SOX404”相關的操作指南并不是很詳盡，沒有說明到底要求到什么程度，具體的操作方法怎樣，同時又由于每個公司確實操作不一樣，從而經常會導致外部審計師在具體的問題上觀點趨于保守，過多地細化流程的文檔要求和測試要求，從而導致了工作量大量的增加，以至于工作量中的相當部分已經偏離了原來的“404”初衷，從而導致了人員成本和資金成本的大量消耗。這也是“SOX”在美國飽受詬病的重要原因之一。

　　因此，通過“SOX404”沒有現成的方案可循，只有整體的框架要求，所以企業要從自身的業務發展出發，根據實際情況不斷的探索、不斷的權衡。具體說來，就是在最嚴格、最標準的控制流程的基礎上根據業務的實際情況和風險評估的結果，簡化掉不必要或者不適用于企業的內容，向比較平衡的方向去調整。

　　此外百度的高速增長，通過“薩班斯”也提出了巨大的挑戰。從400人到4000人，遠不僅僅是人數的變化。業務模式、銷售模式、技術創新都會給流程制訂和執行帶來新的挑戰。百度的快速成長和不斷變化的業務形態對流程控制的塑造和再造產生了很大的壓力。

　　有的企業為了過“404”會要求所有流程在最后半年都不允許再改動了。百度在前期也有過這樣的想法，但是項目過程中發現，做“404”的目的是為了業務更平穩的發展，而不能夠為了“404”來限制業務。令人驚喜的是，圍繞這種更新，業務部門參與“SOX”建設的積極性真正的被調動起來了。經過反復循環，業務部門對流程的價值就越來越看重，“SOX”團隊也得到了不斷完善流程的反饋，這樣阻力就越來越小，動力越來越大。

　　“有智慧地尋找解決辦法和高效執行，根據業務實際對‘404’的框架性要求進行充分的客戶化是保證了有效執行的關鍵。”何畏一語中的。

　　“SOX”的盛宴

　　從項目開始實施到通過，百度從400人到4000人，邁出了從一個創業型的公司向一個追求基業常青的世界級公司邁進的第一步。

　　究竟“薩班斯”是不是苦口良藥，王湛生形象地給記者做了個比喻：“‘SOX’帶給企業最大的收益在于建立起有效的內部控制系統，現在即使我一個月的時間在國外路演，不在辦公室里也不用很擔心公司的日常運營。公司的運作有的時候就像大家在建一座樓，各個工種的小組都在忙自己的事情，而‘SOX’的作用就是給這座大樓搭了一座內部鋼梁。有了這個鋼梁，就能夠保證各個團隊在一個統一的框架下做事情，按照規定的構架和流程工作，最終才能保證建立起來的大樓又快又好，不出問題。”

　　“SOX”使得一個公司，作為一個整體有了它自己剛性的框架和靈魂，最大限度地規避了人為的不利因素，而是用一套好的流程和機制來起作用。這樣對人的依賴性就大大降低了，而這恰恰是一個公司長久發展的重要因素。

　　作為項目的具體推進者，在何畏看來，百度受益于 “SOX”最重要的一點體現在企業治理的提升上。首先是方法論和思維模式的灌輸和建立，主要是指風險評估這方面的意識在日常管理中的建立和普及；其次，從具體的層面上說就是業務規范化。兩者之間的關系是互動的，業務部門的業務需求和風險控制意識同步增長的時候，就會更主動的參與到流程的建設中來。

　　越來越多的問題其實不是內審部提出來的，而是業務部門提出來的。這說明通過這樣實施“SOX”，其實是幫助企業的中高層管理者提升了風險管理的意識和能力，提升了責任感，提升了對新事物的接受和學習能力，以及通過現象看到風險本質的能力，“這對于剛剛接觸國際規則的中國企業來說，中高層管理者才能的提升是公司最寶貴的財富。”何畏說。

　　CFO：“SOX”運籌帷幄者

　　從百度的經驗看，掌控“SOX”如此復雜的項目，除了一些審計方面的專業技能和對“SOX”法案本身的了解以外，項目管理是非常重要的。因為整個項目需要多方的合作配合才能完成，從內部看，百度有超過50%的部門都參與到了項目中，有業務部門、管理部門、還有IT技術部門；從外部看，有聘請的外部咨詢顧問，還有外部的獨立審計師。雖然大家的目標是一致的，但是每一方在項目中真正關注的方面卻是不同的。所以就需要項目管理者斡旋其中，不斷地協調和管理。

　　而且，“SOX”項目是有截止日期的，為了保證年底最終測試通過這個大的里程碑，必須要保證過程中每個小的里程碑按時、保質保量的完成。你必須要把所有參與方都安排在正確的位置，才能保證他們能發揮出正確的作用。同時把每個階段都管理的很好，才能保證在特定時點有正確的產出。

　　“從一開始，我們就沒有為了做 ‘404’而做，而是把‘404’作為管理提升的一個過程和手段。”王湛生由衷地說。看似簡單的一句話，實際上這并不是每個CFO都能有這樣的想法和做法的。整個項目做下來，大家對他的初衷有了更深的體會。因為把“404”和業務綁的很緊，如果“404”推進的順利，那么可能對雙方都是有利的。但是如果“404”推進的不順利，那么對雙方的影響就會是非常不利的，某種程度上“SOX”是個雙刃劍。尤其是在大家普遍認為“404”對業務有負面影響的環境下，還能堅持“404”對管理的提升作用，并且堅定地按照這個思路推行下去，是需要魄力和前瞻性眼光的。

　　“這個項目本身很多細節方面我不會參與特別多的，我更多的是把握方向，然后對于輕重緩急的目標來做出一個排序。”正如王湛生的介紹，CFO 的價值正在于制訂戰略、把握方向和節奏、了解自己該做什么，該做多少，之后就是凝聚一個高效團隊徹底執行既定戰略。

　　百度得益于“薩班斯”，既源自于全體員工的“合力”，也源自于高層運籌帷幄的遠見與策略，兩者缺一不可。