針對安然、世通等系列丑聞及不斷出現(xiàn)的公司內(nèi)部控制失靈現(xiàn)象，美國國會和政府加速通過了一系列法案，其中包括《薩班斯——奧克斯利法案》（簡稱SOX法案）。該法案在會計職業(yè)監(jiān)管、公司治理、證券市場監(jiān)管等方面做出了許多新的規(guī)定，既有實質(zhì)性的要求，又有改善內(nèi)部控制環(huán)境的員工素質(zhì)和道德規(guī)范要求，對在美國上市的公司具有很強的約束力。SOX法案中的404條款要求上市公司在年報中增加對公司當年內(nèi)控機制有效性進行評估的內(nèi)容，評價結(jié)果還需要經(jīng)過審計師的審計。這樣，上市公司除了必須履行傳統(tǒng)的美國證券市場監(jiān)管法案所規(guī)定的義務(wù)之外，還必須履行一系列由薩班斯法案規(guī)定的義務(wù)，比如CEO和CFO必須簽字確認公司內(nèi)部控制的有效性，并為此承擔相應(yīng)的民事和刑事責任，在提供年度財務(wù)報告之外還必須向美國證券交易委員會（SEC）提交內(nèi)控報告等。因此，無論是美國本土的上市公司，還是在美國上市的非美國公司，包括目前在美國上市的70多家中國企業(yè)，都必須遵從薩班斯法案的規(guī)定，面臨著同樣巨大的考驗。
在國內(nèi)，銀廣夏、中航油、藍田股份等公司內(nèi)部控制失敗的案例同樣令人觸目驚心。越來越多的業(yè)內(nèi)人士認識到，企業(yè)自身內(nèi)部控制制度、監(jiān)督管理系統(tǒng)的有效性是防范舞弊行為的關(guān)鍵。
項目背景
中國海洋石油有限公司（以下簡稱“中海油”）于1999年8月在香港成立，為中國主要的石油及天然氣生產(chǎn)商，同時也是全球最大的獨立原油及天然氣開發(fā)及生產(chǎn)公司之一，通過自營和與外國伙伴合作的方式，中海油在勘探、開發(fā)和生產(chǎn)領(lǐng)域取得了長足進步。該公司主要在中國近海以下四個地區(qū)開展其勘探、開發(fā)及生產(chǎn)業(yè)務(wù)：渤海灣、南中國海西部、南中國海東部及中國東海，同時也是印度尼西亞最大的海上原油生產(chǎn)商之一。其母公司——中國海洋石油總公司僅通過中海油在國內(nèi)外進行石油、天然氣的勘探、開發(fā)生產(chǎn)和銷售工作。
中海油分別在美國紐約交易所（股票代碼“CEO”）和香港聯(lián)合交易所（代碼“883”）上市。薩班斯法案出臺后，中海油全面展開SOX404條款的實施工作。公司管理層對404實施工作十分重視，強調(diào)實施404條款的意義不僅限于遵循海外資本市場監(jiān)管機構(gòu)的法律要求，更為重要的是，這是公司進一步加強內(nèi)部控制，提升風險管理水平的良好契機。
在公司管理層的號召與精心組織下，中海油遵從404條款的內(nèi)控實施工作緊鑼密鼓地展開了。項目啟動之初，中海油成立了“404工作小組”，便于項目的日常組織和溝通協(xié)調(diào)，404工作小組制定了詳細的項目實施計劃，以確保項目能夠及時、高效地順利完成。在404工作小組的組織下，中海油公司首先對當前內(nèi)部控制的現(xiàn)狀進行了詳細分析，并對404實施項目的工作量進行了估算：
1.實施工作涉及面廣，工作量大。404實施工作涵蓋了公司所有重要的業(yè)務(wù)流程，需要找出每個業(yè)務(wù)單元的重要業(yè)務(wù)流程，識別和確認其對應(yīng)的控制目標、風險因素及關(guān)鍵控制點，同時需要各部門、各家分公司的積極參與和密切配合。此外，各業(yè)務(wù)流程負責人還需對其所負責的業(yè)務(wù)流程繪制流程圖、填寫內(nèi)控自我評價模板，并對存在的內(nèi)控弱點提出改進計劃。在此基礎(chǔ)上，公司組織獨立人員對重要控制程序在設(shè)計及執(zhí)行上的有效性進行測試和評價。
2.人力資源緊張，文檔處理任務(wù)繁重。由于中海油公司各業(yè)務(wù)單元、重要業(yè)務(wù)流程的所有內(nèi)部控制描述、測試和評價都在EXCEL電子表格中進行，按照現(xiàn)有的人員配置，記錄、測試與確認這些表格的工作十分繁重，而且這些表格比較分散，對其進行手工整合的難度很大，時效性差。此外，公司內(nèi)部雖有很多的政策和流程文檔，但并不統(tǒng)一，與SOX法案的要求還存在相當差距，而按業(yè)務(wù)流程對這些文件進行重新分類、歸檔也存在相當難度。
3.內(nèi)部控制評價和報告體系尚不完整，沒有規(guī)范的機制來檢查、評估和報告內(nèi)部控制設(shè)計和執(zhí)行的有效性，影響了內(nèi)控評價的效率和效果。
項目實施
由于企業(yè)執(zhí)行SOX法案有著嚴格的時間限制，中海油404實施項目工作的進展刻不容緩。為了更好地實施薩班斯法案的遵從項目，降低法案遵從成本，提高實施工作的效率和效力，規(guī)范404條款實施項目管理工作，以及為公司內(nèi)部控制評價和報告體系建立一個可持續(xù)發(fā)展的平臺，中海油于2005年8月決定，通過信息化系統(tǒng)來進一步推動公司內(nèi)控的實施工作。
一、明確系統(tǒng)目標，定義系統(tǒng)功能
在公司內(nèi)部控制、風險管理目標的總攬下，參照薩班斯法案的相關(guān)規(guī)定，通過對公司各業(yè)務(wù)流程和內(nèi)部控制現(xiàn)狀進行詳細的調(diào)查、分析，404工作小組確定了該系統(tǒng)需要達到的目標：
■ 能夠幫助管理層評估公司遵守404條款的情況，保證內(nèi)控報告的質(zhì)量，提升管理層簽署內(nèi)控報告的信心
■ 公司高級管理層能夠系統(tǒng)、實時、主動地檢查公司內(nèi)控信息，并可發(fā)布相關(guān)工作指令
■ 能夠記錄公司業(yè)務(wù)流程、識別風險和控制方法，實現(xiàn)內(nèi)控評價流程的標準化、自動化
■ 提高實施文檔處理的自動化程度，實現(xiàn)集中性的文檔維護和管理
■ 明確業(yè)務(wù)流程、部門甚至是個人控制的責任，提高內(nèi)部控制的透明度
■ 規(guī)范公司404測試工作程序，提高404測試工作效率，加強工作質(zhì)量保證
■ 降低溝通、協(xié)調(diào)的人力成本，提供方便、快捷的查詢功能
■ 能夠根據(jù)系統(tǒng)生成的內(nèi)部控制報告進行分析
■ 降低遵從SOX法案的長期成本，提高內(nèi)部控制環(huán)境的整體效率
在明確內(nèi)部控制系統(tǒng)目標的基礎(chǔ)上，404工作小組結(jié)合內(nèi)部控制要點和各業(yè)務(wù)流程的控制要求，對系統(tǒng)功能進行了詳細定義：
？ 用戶界面易于使用
��？ 工作流管理能力
�。� 項目管理能力
��？ 生成報告能力
��？ 文檔管理能力
��？ 技術(shù)集成能力
？ 安全控制要求
��？ 系統(tǒng)的可擴展能力和其他方面
清晰的系統(tǒng)目標和完備的功能定義，為后續(xù)的系統(tǒng)選型和其他項目實施的順利完成奠定了堅實的基礎(chǔ)。
二、系統(tǒng)選型
在目標明確、功能定義的基礎(chǔ)上，中海油便開始著手系統(tǒng)選型工作。公司重點考察了軟件遵從404條款的有效性、軟件對公司內(nèi)部控制管理評估的有效性、軟件的先進性以及可擴展性等方面。經(jīng)過幾輪篩選，中海油決定使用IBM的SOX法案遵從軟件WBCR來輔助其內(nèi)控工作的管理和評估，由北京慧點科技開發(fā)有限公司（慧點科技）負責實施。
三、做好系統(tǒng)實施前的準備
中海油公司自上至下對WBCR系統(tǒng)的實施都非常重視。在軟件實施之前，中海油對軟件實施涉及的范圍、工作內(nèi)容和應(yīng)用效果進行了詳細調(diào)查，為下一步軟件實施計劃的制定做好了充足準備。接著，就是著手制定軟件實施計劃的。有時，我們會借口“計劃不如變化”而不去制定詳細的實施計劃，然而這種觀念是錯誤的。其實，周密的實施計劃、充分的資源保障，既可以對實施方和客戶方起到一定的鞭策作用，避免實施進度失控；同時也能夠提前預(yù)見一些事情的發(fā)生，避免遇到具體問題無人解決的尷尬。
結(jié)合公司既定的404實施項目的目標，考慮公司目前的狀況，中海油與慧點科技緊密合作，制定了詳細的軟件實施方案，將WBCR軟件的實施分為需求分析、系統(tǒng)安裝、系統(tǒng)設(shè)置、數(shù)據(jù)導(dǎo)入、系統(tǒng)測試和知識轉(zhuǎn)移等幾個階段。圍繞實施方案，對實施方的工作與需要客戶方配合的工作進行了詳細的界定和劃分。
四、系統(tǒng)實施
制定好詳細的實施方案并經(jīng)實施方和客戶方確認后，即進入具體的系統(tǒng)實施階段。
1.需求分析階段。需求分析對于系統(tǒng)實施的重要性如同了解病情之于醫(yī)生提供治療方案的重要性。需求分析是系統(tǒng)實施中的關(guān)鍵步驟。在需求分析階段，項目實施人員主要解決了以下問題：
● 根據(jù)中海油的需求確定實施方案，搭建測試環(huán)境
● 制定產(chǎn)品定制方案和輔助工具的需求，進行文檔分析
● 定制產(chǎn)品，并盡量使產(chǎn)品符合中海油的使用習慣
● 根據(jù)中海油的管理模式確立權(quán)限方案
● 做好數(shù)據(jù)導(dǎo)入工作準備，進行文檔收集、整理和有效性校驗
● 針對中海油的需求，開發(fā)了導(dǎo)入、導(dǎo)出控制矩陣，財務(wù)科目關(guān)聯(lián)設(shè)置等輔助工具
● 制定最終目標，使產(chǎn)品更好地貼合中海油的實際內(nèi)控工作
2.系統(tǒng)安裝階段。這一階段的工作，主要是對系統(tǒng)環(huán)境評估，確認環(huán)境具備安裝條件，制定安裝計劃，提交環(huán)境評估報告。在此基礎(chǔ)上，安裝相應(yīng)軟件。
3.系統(tǒng)設(shè)置和數(shù)據(jù)初始化階段。 根據(jù)前期需求分析階段確定的產(chǎn)品定制和實施方案，在確定的內(nèi)控范圍內(nèi)進行內(nèi)控數(shù)據(jù)的初始化設(shè)置，包括組織機構(gòu)創(chuàng)建、財務(wù)報告數(shù)據(jù)導(dǎo)入、內(nèi)部控制制度的初次導(dǎo)入、用戶創(chuàng)建、職責定義和權(quán)限分配等。
4.系統(tǒng)測試階段。系統(tǒng)設(shè)置和初始化工作完成后，中海油公司對系統(tǒng)進行了詳細檢查，并對產(chǎn)品功能定制、初始化數(shù)據(jù)內(nèi)容、權(quán)限方案是否符合前期確認的需求等進行了確認，以確保系統(tǒng)能滿足內(nèi)控工作的使用需求。
5.知識轉(zhuǎn)移階段。良好的知識轉(zhuǎn)移是項目成功的重要條件之一，也是系統(tǒng)得以不斷完善、持續(xù)發(fā)展的基礎(chǔ)。為此，大量的培訓(xùn)工作應(yīng)貫徹項目始終，以使系統(tǒng)的投資盡快轉(zhuǎn)化為內(nèi)部控制管理效率和公司績效的提升。中海油根據(jù)公司內(nèi)部控制管理的實際，提出了培訓(xùn)需求，并且提出培訓(xùn)對象不應(yīng)只局限于404工作小組和系統(tǒng)管理員，而是包括內(nèi)控業(yè)務(wù)參與人員和普通用戶的全體員工。為保證培訓(xùn)工作質(zhì)量，中海油對培訓(xùn)目標、培訓(xùn)工作量、受訓(xùn)人員組織、培訓(xùn)計劃、培訓(xùn)考核都進行了周密布署。
系統(tǒng)實施效果
目前，中海油的WBCR系統(tǒng)已經(jīng)實施完畢，正式投入使用，404小組成員正在使用本系統(tǒng)進行內(nèi)控文檔的調(diào)整和2006年的內(nèi)部控制測試工作。WBCR系統(tǒng)基本實現(xiàn)了中海油預(yù)定的目標，其為中海油公司帶來的價值主要體現(xiàn)在以下方面：
● 有效保證了公司政策的上下貫通以及標準的統(tǒng)一，緩解了實施工作涉及面廣、工作量大的困難；
● 使用統(tǒng)一的平臺管理方式，確保公司相關(guān)文檔和資料的及時更新，便于文檔的日常維護，簡化了繁重的文檔處理工作；
● 規(guī)范了內(nèi)控工作的操作，使內(nèi)控工作完成狀況非常透明；
● 明晰的職責分配，便于追究責任，較從前的工作方式節(jié)省了相當?shù)臏贤ǔ杀荆?/p>
● 各種實時報告保證了相關(guān)信息的及時披露，方便公司的及時整改和資源的及時調(diào)配；
● 使用一套完整的內(nèi)部控制評價和報告體系，確立了一些規(guī)范的機制來檢查、評估和匯報內(nèi)部控制的設(shè)計和執(zhí)行的有效性。
