以安然、世通为首的财务丑闻,暴露出上市公司诸多内部控制失效的问题,推动了美国国会于2002年出台萨班斯奥克斯利法案,继而内部控制成为人们普遍关注的焦点。然而,随着信息技术的发展,企业开始逐步实现自动化,信息技术内部控制(IT内控)将不再只是内部控制的一部分,更有可能成为内控遵循项目的核心。因此,人们将会越来越多地关注于以IT内控为主的遵循问题。本文采用规范研究的方法,在介绍内部控制理论和萨班斯法案相关规定的基础上,分析了信息技术对内部控制的影响,并结合信息系统审计与控制协会(ISACA)发布的信息技术内部控制框架——COBIT模型,对IT内控的遵循问题进行了探讨。本文提出了IT内控遵循萨班斯法案的6个步骤:(1)计划和界定IT内控的范围;(2)进行IT风险评估;(3)识别控制点并记录、归档;(4)对控制设计和运行的有效性进行评估;(5)识别控制缺陷,并进行补救和改进;(6)在IT内控的维护中,进行整体持续改进。这6个步骤的主要思想,可以广泛地为大多数企业根据自身的特点所用。而COBIT模型在这6个步骤中,则是不可或缺的遵循工具。本文的创新之处在于:(1)通过对内部控制相关内容的综合分析,以及信息技术对内部控制的影响,规范性地界定了IT内控的概念;(2)引入了ISACA的最新研究成果IT内控模型——COBIT 4.1,并与COSO整合框架、PCAOB审计准则、Sarbanes-Oxley法案的内控规定相联系;(3)综合国内外最新的研究资料,整理和研究出了IT内控在遵循萨班斯法案中的具体的实施方法。