中国版SOX法案对系统提出新要求

    自2009年7月1日起，我国将首先在上市公司范围内施行《企业内部控制基本规范》，这个被称为“中国版的萨班斯法案”是由财政部、证监会、审计署、银监会、保监会联合发布的我国第一部“企业内控规范”。财政部要求，除了在上市公司施行外，“并鼓励非上市的其他大中型企业执行”。

    这部规范，界定了“内部控制”的内涵：即内控管理是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，有利于树立全面、全员、全过程控制的理念。因此，它要求企业信息管理系统不仅仅是表单类的统计、报告类的信息反馈的“结果”，而是强调了实现控制目标的“过程”，而“过程”是什么？应当是组织管理行为的过程信息和可控监督机制。

    过程可控与简单的目标管理究竟差别在哪里？打个比方，我交代你去做一件事，我们只要结果，不要过程。这个时候，我们看不到：这件事在实施过程中，到底是如何组织的，都有哪些人员参与？在实施过程中遇到什么问题？如何进行同步工作、扁平化的协调？这件事在执行当中到底有无方向性错误、如何进行纠偏？这件事在执行过程中遇到的经验教训，我们如何提供反馈积累并可供调阅？万一这件事搞砸后的问责源头和处理依据在哪里？这件事在执行当中，需要其他部门和人员的监督，我们如何提供这种可供监督的信息机制？

    虽然，这样的“过程化”的管理信息，有时候看似是多余的无关信息，然而它对于审计或者监管部门来说，是分析判断企业管理行为、管理监督机制最真实的过程信息和原始依据。对于审计、投资、监管部门来说，如果只能看到一个文件或者一封邮件上面填满了逐级批示的信息，显然是不够的，他们还需关心这个批示的完整过程和一些批示之外的信息在哪里。只有了解了包括批示之外的全貌，才能更准确地定义“企业经营管理是否合法合规、资产安全、财务报告及相关信息是否真实完整”。

    诚然，企业自身完善过程化、细节化的管理，也是规范化科学管理之内在要求。因此，目前众多普遍以目标管理为设计理念或者解决方案的的信息管理系统，应该要及时改变或者创新了。因为规范中已经明确要求：执行基本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计。

    另外，“规范”还明确指出了企业建立“内控”的五要素框架：即构建以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证，相互联系、相互促进的五要素内部控制框架。显然，“信息与沟通”是“内控”的条件，似乎较之其他的四个“基础、环节、手段、监督”显得更有可操作性。因此，“信息与沟通”是个切入口。而作为新一代协同办公系统来说，已越来越多显示出在“信息与沟通”上的考虑乃至web2.0互动共享的特点。然而，高度的共享与沟通，也将带来一些信息安全的风险，因此，如何既快速便捷地导入可控的目标监督和过程管理机制，不至于给操作带来繁多的“点击步骤”，同时又不造成信息泄密，采取浏览授权、精准定向等安全保密措施，对于开发具有内控功能的信息管理系统也是一个方面的考虑和挑战。