2002年7月美国总统布什签署了《萨班斯——奥克斯利法案》，给美国金融市场带来了巨大的影响，甚至影响到全球的企业内部控制的变革。《萨班斯——奥克斯利法案》的颁布实施，给美国上市公司及在美国上市的海外公司都产生了巨大冲击，尤其是404条款——管理层对内部控制的评价中规定，除对内部控制体系的有效性进行报告之外，上市公司还须负责保持内部控制体系的有效运行。《萨班斯——奥克斯利法案》对在美国上市的海外公司(FPI)并无重大豁免，对包括中国石油、中国人寿和中国移动等多家大型国企在内的中国大陆及香港的大约70家FPI，及跨国公司的子公司有重大影响。404条款对公司董事会和管理层提出了巨大的挑战，如何建立符合《萨班斯——奥克斯利法案》要求的内控控制体系，通过外部审计师的评估，将成为中国在美上市公司的一项重要而紧迫的任务。　　在内部控制发展历史上，真正具有里程碑意义的事件应该是COSO委员会的成立及其研究报告《内部控制——整体框架》(Internal Control-IntegratedFramework)的出现。COSO在其研究报告中将内部控制解释为由董事会、经理层和其他员工共同实施的，为营运效率、财务报告的可靠性和相关法规的遵守等目标的达成而提供合理保证的过程。该过程主要由控制环境、风险评估、控制活动、信息与沟通、监督等环节组成。虽然COSO内部控制框架并非唯一的内部控制框架，但却是美国证券交易委员会唯一推荐使用的内部控制框架，《萨班斯——奥克斯利法案》第404条款的最终细则也明确表明COSO内部控制框架可以作为评估企业内部控制的标准。中国在纽约证交所的上市公司，需要按照法案要求，引进COSO内部控制框架，整合现有内部控制，满足法案的要求。　　由于萨班斯法案是基于美国会计准则的一个法案，所以对于中国在美上市公司而言，需要做出很大程度的改变，面临的困难也是前所未有的。中国石油的内部控制体系建设从2004年年初开始着手，涉及到各个专业公司和地区公司以及地区公司二级单位。中国石油于2005年12月发布了中国石油天然气股份有限公司《内部控制管理手册》，包括六个分册，即《内部控制体系框架》、《控制环境》、《风险评估》、《控制活动》、《信息与沟通》及《监督》。该手册严格遵循国内及上市地法律法规，参照国内外公司内部控制体系建设经验，充分结合公司的生产运营和管理实际，建立了一套科学、系统的内部控制管理的方法和规范。通过内控审计已成为中国石油今年的首要任务。针对外部审计师对404条款要求的内部控制的审计要求和对“实质性漏洞”的评定，以及亚洲在美上市公司在遵循404条款所面临的主要障碍，参考FPI频发的实质性漏洞的教训，中国石油对内部控制体系的有效运行进行了管理层测试，通过审计检查来提高内部控制的执行力。　　内部控制取得管理效益的同时，也给企业增加了巨额成本，改变了原有的治理结构和企业文化。一些公司不堪成本重负和内控报告的压力，纷纷退市，一些本意准备在美国上市的公司也望而却步，这给美国的证券市场和经济发展都带来了负面的影响。在内控体系的建设过程中，还需注意几个问题的结合，包括协同效应带来的影响，内部控制的过程管理，新的体系和理论引起的人才缺乏及接踵而来的内控人才队伍建设问题，内控体系如何与QHSE管理体系间的协调问题。尽管内部控制并不是万能的良药，尽管COSO框架还存在着不足和缺陷，但内部控制已成为各国公司管理过程发展的必然趋势，财政部发起成立了企业内部控制标准委员会，旨在为推进我国企业内部控制建设提供政策咨询;全面风险管理已写入中国的相关法规，中央企业将建立全面风险管理，中国企业将面临着全新的内部控制时代的到来。　　COSO的内控理论也在不断地发展和前进，2002年9月发布了《企业风险管理——整体框架》，给企业风险管理(ERM)下的定义是:“企业风险管理是一项流程，由公司董事会、管理层和其它员工实施，适用于策略制定和全公司范围，可识别对公司有影响的潜在事项，在风险承受能力以内管理风险，为实现公司目标提供合理保障。”“风险文化”已经逐渐渗透到企业文化的范畴内。企业风险管理框架与内控框架相比，发展为四大目标、八大要素，增加了战略目标，框架要素演变为控制环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督。中国石油在《内部控制管理手册——体系框架分册》中明确要建立风险评估管理体系，在内部控制工作逐步加强并完善的基础上，将依据COSO《企业风险管理——整体框架》开展风险评估工作。　　我国对内部控制的研究起步较晚，尚未形成比较统一和完善的理论体系，企业中普遍存在着内部控制，但又表现为控制薄弱，且内部控制中未涉及到风险管理的内容，未将控制环境归入内部控制的组成部分;西方关于内部控制的理论已经取得了一定的成果，尤其是COSO内部控制整体框架理论，以及后来提出的《企业风险管理——整体框架》，从结构和体系上都是比较成熟的理论。统观国内外关于内部控制的理论和实践，笔者结合中国石油内控体系建设过程分析认为，我国的内部控制体系也应该接受并借鉴COSO内部控制的理论，结合我国的国情和具体企业的实际情况进行消化吸收或适当的调整，从原有的基于财务基础的内部控制发展为企业全面管理的内部控制。