“为了保护投资者以及公众的利益”，这是美国《2002年萨班斯-奥克斯利法案》(简称《萨班斯（SOX）法案》)的第一句话，其分量之重，不仅让那些现在欲到美国上市的中国企业望而却步，更让那些已经在美国上市的中国企业成本倍增，甚至打起主动退市的算盘。
　　在2004财年审计中，在中国运营的美国注册公司UT斯达康就因未通过“萨氏”考验而导致美国4家律师事务所代表股东实行集体诉讼。
　　知我者谓我心忧，不知我者谓我何求。2006年7月15日之后，在美国上市的中国公司(如，中国联通、中国移动、中国电信、中国网通、中石油、中石化、中国人寿等)就要按照《萨班斯（SOX）法案》的要求开始接受每年近乎残酷的“萨氏”考验。对于未能通过考验的公司，轻则引起股价下跌，重则可能遭受监管机构的处罚以及“提供虚假信息”和“隐瞒重大事实”事项下的股东集体诉讼，甚至被从美国股市上强制摘牌。
　　


　　2004年11月15日《萨班斯（SOX）法案》正式实施来的一年多时间里，尽管美国上市公司大多竭尽全力甚至不惜工本地遵循该法案的各项要求，但据美国内部审计师协会（Institute of Internal Auditors，IIA）调查，92%的美国上市公司已经认识到其内部控制框架与《萨班斯（SOX）法案》404条款的规定之间存在的差距，在2004财年，总计526家公司被迫披露其内部控制措施存在着重要的缺陷。
　　自2007年7月15日，在美国上市的年销售收入在5亿美元以下的外国小型企业也将最后一批步入“萨氏”考验的轨道。
　　面对扑面而来的《萨班斯（SOX）法案》，我们的上市公司准备好了吗？
　　
　　一个并非仅仅美国才关注的问题
　　


　　2001年12月，美国最大的能源公司——安然(Enron)公司突然申请破产保护，此后美国企业会计丑闻不断，规模 ”屡创新高“，特别是2002年6月的世通 (WorldCom)公司事件，“彻底打击了（美国）投资者对（美国）资本市场的信心”。为改变这一局面，2002年7月25日，美国国会参众两院分别以高票加速通过了《2002年公众公司会计改革和投资者保护法案》。因该法案由美国众议院金融服务委员会主席奥克斯利（Michael Oxley）和参议院银行、住房和城市事务委员会主席萨班斯（Paul Sarbanes）联合提出，所以又被称作《2002年萨班斯-奥克斯利法案》，简称《萨班斯（SOX）法案》。
　　如图1所示，《萨班斯（SOX）法案》对美国《1933年证券法》、《1934年证券交易法》作了不少修订，在会计职业监管、公司治理、证券市场监管等方面做出许多新的规定，极大改变了企业的经营环境和法律环境。布什总统在2002年7月30日签署《萨班斯（SOX）法案》的新闻发布会上称“这是自罗斯福总统以来对美国商业影响最为深远的改革法案”。
　　目前所有在美国上市的公司，包括在美国注册的本土上市公司和在美国上市的外国注册公司，都必须遵守《萨班斯（SOX）法案》规定，提交财务报表的内控报告。按照法案第4章“加强公司披露”的404条款特别规定，上市公司必须保证公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任体系，及时提供管理层最近财年对内部控制体系及控制程序有效性的证明及内控机制评价报告；该条款还要求公司的外部审计师对管理层的评估意见出具鉴证性意见，按照公众公司会计监管理事会（Public Company Accounting Oversight Board， PCAOB）颁布的《财务报表审计下的财务报告内部控制审计准则》的要求和指引，向股东和公众提供一个可以信赖的管理层对公司财务报告所做的内部控制描述的独立理由。
　　美国本土上市公司必须按照《萨班斯（SOX）法案》生效时间的规定，在2004年11月15日后结束的财务年度中遵守404条款；非美国本土公司的遵守日期约定在2006年7月15日，对年销售收入在5亿美元以下的企业，可以延迟至2007年7月15日再提交财务报表的内控报告。
　　


　　值得注意的是，《萨班斯（SOX）法案》的出现，为全球资本市场带来了加强公司治理、信息披露和保护投资者利益的呼声。在世界其他资本市场的评级与监管环境和要求中，我们也似乎越来越多地看到了《萨班斯（SOX）法案》的影子。毋庸置疑，即便不是实际的规则，这部法案的理念也势必在几年后涵盖全球范围内的更多机构。
　　中国目前正处于经济转轨阶段，地方政府与中央政府、上市公司与监管部门、大股东与中小股东、审计师与上市公司之间的多方交叉博弈使中国资本市场比美国资本市场更为复杂，更加难以治理，加强注册会计师的独立性和风险意识、促进资本市场的发育的努力在我国依然任重而道远。
　　
　　一部自罗斯福总统以来对美国商业影响最为深远的改革法案
　　
　　美国绝大多数法律遵循“无罪推定”（无法证明它是坏的，就是好的）原则，强调“谁主张，谁举证”，以免“大刑之下，何求不得”。但《萨班斯（SOX）法案》倒置了举证责任，采纳“有罪推定”（必须证明自己无罪，否则就有罪）原则。以此，如果企业不能清晰描述出保证其财务报表真实、准确、完整的一套内部控制制度，那么该财务报表就不能说是真实、准确、完整的。这点很类似于美国的移民法，外国人在申请美国入境签证时，如果不能证明自己是没有移民倾向的，那签证官就会认定我们具有移民倾向而因此拒发签证。
　　“有罪推定”原则运用于普通公民似有侵犯人权之疑，但具体到《萨班斯（SOX）法案》，确有合理逻辑。苏格兰启蒙思想家大卫·休谟曾提出过“无赖假定”原则，即假定所有政治人物都可能成为无赖，因此在进行宪政民主制度设计的时候，要求必须建立一套可靠的预防机制，将其发展成为无赖的道路堵死。大卫·休谟对政治人物的“无赖假定”，其实就是一种很有必要的“有罪推定”。《萨班斯（SOX）法案》跳出框框限制，对享有信息优势和搜集证据便利条件的企业施行“有罪推定”原则下的“地毯式”排查，实际上是把监管关口前移，重症下猛药，因为“上医医未病之病，中医医欲病之病，下医医已病之病”，“未雨绸缪”一定优于“亡羊补牢”，“不战而弃人之兵，善之善者也”。
　　美国是一个非常讲究判例法的普通法系国家，虽然在某种程度上也承认和存在成文法，但其只是作为一种特例出现而非法律的基本形式。美国《1933年证券法》和《1934年证券交易法》是用成文法的体例对资本市场进行约束，此次《萨班斯（SOX）法案》前所未有地将公司高管和会计从业人员的法律责任用成文法的方式明确加以限定，比如其第9章“严惩白领犯罪”的906条款明确规定，可以对违法公司高管人员处以最多20年监禁、最高500万美元的罚款，或者并罚。因为罗斯福总统签署了《1933年证券法》和《1934年证券交易法》，所以布什总统“这是自罗斯福总统以来对美国商业影响最为深远的改革法案”这句话的实际含义是说，《萨班斯（SOX）法案》是自《1933年证券法》和《1934年证券交易法》颁布以来美国资本市场上一次最大幅度的法规变革。
　　如前述图1所示，《萨班斯（SOX）法案》的主体内容包括：设立独立的公众公司会计监管理事会（PCAOB），负责监管执行上市公司审计的会计师事务所；特别加强执行审计业务的注册会计师的独立性；强化公司治理结构，明确公司的财务报告责任，增加公司的财务披露义务；严厉对公司管理层违法行为的处罚措施；增加经费拨款，强化美国证券交易委员会（Securities and Exchange Commission，SEC）的预算及监管职能；要求美国审计总署（General Auditing Office，GAO）加强调查研究等。
　　美国证券交易委员会目前面临的一项新课题是，如何在两个同等重要的监管目标中寻找到一个平衡点。天平的一端是社会公众严刑重罚的呼声，以充分保护投资者的利益并维护资本市场的信心；天平的另一端是全球资本大市场的呼声，以确保美国资本市场在长时间内持续为全球企业提供无以比拟的强大融资功能，避免发生失去诸如德国保时捷（Porsche）公司这样庞大客户的机会。从近来美国证券交易委员会官员的公开演讲中，似乎已看到了一些针对外国公司赴美上市政策松动的可能，其小型上市公司咨询委员会计划在2006年4月发布一个最终报告，该报告将决定市值低于1.25亿美元和年收入低于1.25亿美元的公司是否可以豁免遵循《萨班斯（SOX）法案》404条款的规定。
　　
　　一条众多企业未来必须跨越的合规性鸿沟
　　
　　（compliance chasm）
　　《萨班斯（SOX）法案》404条款以及公众公司会计监管理事会（PCAOB）颁布的《财务报表审计下的财务报告内部控制审计准则》中均指出，公司管理层应当依据一个适宜且公认的内部控制框架评估公司内部控制的有效性。目前，国际上最为广泛接受的框架是美国反对虚假财务报告委员会，又称COSO（the Committee of Sponsoring Organizations of the Treadway Commission ）委员会，于1994年发布的企业内部控制整合框架（见图2），并于2004年9月新近提出的企业风险管理整合框架，（见图3）。
　　


　　两者的核心都是强调，内部控制是公司治理结构的基石，当内部控制被“植入”企业日常经营活动中时是最有效的；组织中不同级别的员工都对内部控制负有责任。我国财政部、证监会、银监会、国资委等相继按照COSO构架也陆续出台了若干规范、指引，由此企业年度报告产品模式也开始出现创新性变化。企业管理层一方面要按照会计准则编报财务报表，一方面也要按照相关规定评估企业内部控制的设计与执行；注册会计师左手审计财务报表，右手审计内部控制。确立这一模式的理由与《萨班斯（SOX）法案》的内核一脉相承，只有有效的内部控制才能生成可靠的财务信息。
　　我们经常提到企业内部控制的“微笑”曲线（见图4），当控制水平很低时，企业控制成本很高，这种很高的成本更多表现为企业的经营损失；当控制水平很高时，企业的控制成本也较高，此时较高的成本主要源于企业经营效率的降低。因此，在企业实际运营过程中，我们既不能“控制不足”，也不能“过度控制”，需要结合各自的经营管理状况寻求一个“最优控制水平”。
　　


　　《萨班斯（SOX）法案》的出台，一定意义上讲，是将绝大多数公众公司的内部控制水平强制性地提高到一个新水平，比方说从原有最优控制水平下的60分提高到目前法规要求下的70分，此时企业的控制成本也将随之伴有很大的攀升。据国际财务经理协会（Financial Executives International，FEI）2005年3月对321家企业的一次抽样调查，《萨班斯（SOX）法案》404条款的平均遵循成本高达436万美元，其中企业内部合规成本133万美元、企业外部咨询成本172万元、外部审计鉴证费用131万美元，图5是按企业营业收入细分的该次调查结果。
　　


　　需要注意的是，尽管这次被调查公司的55%承认《萨班斯（SOX）法案》有助提高投资者和其他外部公众对上市公司财务报告的信心，但很多受访公司也同时认为该法案对细节的关注程度已经远远超过必需，一定程度上甚至脱离实际和过于官僚。国际数据集团（International Digital Corporation，IDG）2005年6月的一份调查（见图6）显示，在95家被调查的上市公司中，63家认为在遵循《萨班斯（SOX）法案》过程中成本大于收益，16家未提供相关信息，只有36家公司认为收益大于成本。因此，如何在遵循《萨班斯（SOX）法案》过程中探寻收益大于成本的跨越之路，将成为众多企业未来所要面临的一项重要挑战。
　　


　　安然百年老店已灰飞烟灭，《萨班斯（SOX）法案》使我们清醒地意识到，我国还没有真正建立公司治理和监管的整体框架，法案中许多有关公司治理与改革的条款值得中国企业在日益成熟壮大和不断国际化中去学习。2006年国有大型企业产权多元化的股份制改革进入了攻坚阶段，许多中央大型企业正在按照“先海外，后境内”的部署积极创造条件逐步实现整体上市。对于力图进入全球投资者视野、向海外资本市场扩张的中国企业来说，要想在“萨氏”考验中抢占先机，成为赢家，就必须从现在起，内外兼修，内生能力、外练“八股”，从实质和形式两方面学习和理解《萨班斯（SOX）法案》的内核和规则，中国企业将在学习中找寻对策，在理解中做好准备。
　　（作者单位：中国中信集团公司稽核审计部）