針對(duì)安然、世通等系列丑聞及不斷出現(xiàn)的公司內(nèi)部控制失靈現(xiàn)象，美國(guó)國(guó)會(huì)和政府加速通過了一系列法案，其中包括《薩班斯——奧克斯利法案》（簡(jiǎn)稱SOX法案）。該法案在會(huì)計(jì)職業(yè)監(jiān)管、公司治理、證券市場(chǎng)監(jiān)管等方面做出了許多新的規(guī)定，既有實(shí)質(zhì)性的要求，又有改善內(nèi)部控制環(huán)境的員工素質(zhì)和道德規(guī)范要求，對(duì)在美國(guó)上市的公司具有很強(qiáng)的約束力。SOX法案中的404條款要求上市公司在年報(bào)中增加對(duì)公司當(dāng)年內(nèi)控機(jī)制有效性進(jìn)行評(píng)估的內(nèi)容，評(píng)價(jià)結(jié)果還需要經(jīng)過審計(jì)師的審計(jì)。這樣，上市公司除了必須履行傳統(tǒng)的美國(guó)證券市場(chǎng)監(jiān)管法案所規(guī)定的義務(wù)之外，還必須履行一系列由薩班斯法案規(guī)定的義務(wù)，比如CEO和CFO必須簽字確認(rèn)公司內(nèi)部控制的有效性，并為此承擔(dān)相應(yīng)的民事和刑事責(zé)任，在提供年度財(cái)務(wù)報(bào)告之外還必須向美國(guó)證券交易委員會(huì)（SEC）提交內(nèi)控報(bào)告等。因此，無論是美國(guó)本土的上市公司，還是在美國(guó)上市的非美國(guó)公司，包括目前在美國(guó)上市的70多家中國(guó)企業(yè)，都必須遵從薩班斯法案的規(guī)定，面臨著同樣巨大的考驗(yàn)。
在國(guó)內(nèi)，銀廣夏、中航油、藍(lán)田股份等公司內(nèi)部控制失敗的案例同樣令人觸目驚心。越來越多的業(yè)內(nèi)人士認(rèn)識(shí)到，企業(yè)自身內(nèi)部控制制度、監(jiān)督管理系統(tǒng)的有效性是防范舞弊行為的關(guān)鍵。
項(xiàng)目背景
中國(guó)海洋石油有限公司（以下簡(jiǎn)稱“中海油”）于1999年8月在香港成立，為中國(guó)主要的石油及天然氣生產(chǎn)商，同時(shí)也是全球最大的獨(dú)立原油及天然氣開發(fā)及生產(chǎn)公司之一，通過自營(yíng)和與外國(guó)伙伴合作的方式，中海油在勘探、開發(fā)和生產(chǎn)領(lǐng)域取得了長(zhǎng)足進(jìn)步。該公司主要在中國(guó)近海以下四個(gè)地區(qū)開展其勘探、開發(fā)及生產(chǎn)業(yè)務(wù)：渤海灣、南中國(guó)海西部、南中國(guó)海東部及中國(guó)東海，同時(shí)也是印度尼西亞最大的海上原油生產(chǎn)商之一。其母公司——中國(guó)海洋石油總公司僅通過中海油在國(guó)內(nèi)外進(jìn)行石油、天然氣的勘探、開發(fā)生產(chǎn)和銷售工作。
中海油分別在美國(guó)紐約交易所（股票代碼“CEO”）和香港聯(lián)合交易所（代碼“883”）上市。薩班斯法案出臺(tái)后，中海油全面展開SOX404條款的實(shí)施工作。公司管理層對(duì)404實(shí)施工作十分重視，強(qiáng)調(diào)實(shí)施404條款的意義不僅限于遵循海外資本市場(chǎng)監(jiān)管機(jī)構(gòu)的法律要求，更為重要的是，這是公司進(jìn)一步加強(qiáng)內(nèi)部控制，提升風(fēng)險(xiǎn)管理水平的良好契機(jī)。
在公司管理層的號(hào)召與精心組織下，中海油遵從404條款的內(nèi)控實(shí)施工作緊鑼密鼓地展開了。項(xiàng)目啟動(dòng)之初，中海油成立了“404工作小組”，便于項(xiàng)目的日常組織和溝通協(xié)調(diào)，404工作小組制定了詳細(xì)的項(xiàng)目實(shí)施計(jì)劃，以確保項(xiàng)目能夠及時(shí)、高效地順利完成。在404工作小組的組織下，中海油公司首先對(duì)當(dāng)前內(nèi)部控制的現(xiàn)狀進(jìn)行了詳細(xì)分析，并對(duì)404實(shí)施項(xiàng)目的工作量進(jìn)行了估算：
1.實(shí)施工作涉及面廣，工作量大。404實(shí)施工作涵蓋了公司所有重要的業(yè)務(wù)流程，需要找出每個(gè)業(yè)務(wù)單元的重要業(yè)務(wù)流程，識(shí)別和確認(rèn)其對(duì)應(yīng)的控制目標(biāo)、風(fēng)險(xiǎn)因素及關(guān)鍵控制點(diǎn)，同時(shí)需要各部門、各家分公司的積極參與和密切配合。此外，各業(yè)務(wù)流程負(fù)責(zé)人還需對(duì)其所負(fù)責(zé)的業(yè)務(wù)流程繪制流程圖、填寫內(nèi)控自我評(píng)價(jià)模板，并對(duì)存在的內(nèi)控弱點(diǎn)提出改進(jìn)計(jì)劃。在此基礎(chǔ)上，公司組織獨(dú)立人員對(duì)重要控制程序在設(shè)計(jì)及執(zhí)行上的有效性進(jìn)行測(cè)試和評(píng)價(jià)。
2.人力資源緊張，文檔處理任務(wù)繁重。由于中海油公司各業(yè)務(wù)單元、重要業(yè)務(wù)流程的所有內(nèi)部控制描述、測(cè)試和評(píng)價(jià)都在EXCEL電子表格中進(jìn)行，按照現(xiàn)有的人員配置，記錄、測(cè)試與確認(rèn)這些表格的工作十分繁重，而且這些表格比較分散，對(duì)其進(jìn)行手工整合的難度很大，時(shí)效性差。此外，公司內(nèi)部雖有很多的政策和流程文檔，但并不統(tǒng)一，與SOX法案的要求還存在相當(dāng)差距，而按業(yè)務(wù)流程對(duì)這些文件進(jìn)行重新分類、歸檔也存在相當(dāng)難度。
3.內(nèi)部控制評(píng)價(jià)和報(bào)告體系尚不完整，沒有規(guī)范的機(jī)制來檢查、評(píng)估和報(bào)告內(nèi)部控制設(shè)計(jì)和執(zhí)行的有效性，影響了內(nèi)控評(píng)價(jià)的效率和效果。
項(xiàng)目實(shí)施
由于企業(yè)執(zhí)行SOX法案有著嚴(yán)格的時(shí)間限制，中海油404實(shí)施項(xiàng)目工作的進(jìn)展刻不容緩。為了更好地實(shí)施薩班斯法案的遵從項(xiàng)目，降低法案遵從成本，提高實(shí)施工作的效率和效力，規(guī)范404條款實(shí)施項(xiàng)目管理工作，以及為公司內(nèi)部控制評(píng)價(jià)和報(bào)告體系建立一個(gè)可持續(xù)發(fā)展的平臺(tái)，中海油于2005年8月決定，通過信息化系統(tǒng)來進(jìn)一步推動(dòng)公司內(nèi)控的實(shí)施工作。
一、明確系統(tǒng)目標(biāo)，定義系統(tǒng)功能
在公司內(nèi)部控制、風(fēng)險(xiǎn)管理目標(biāo)的總攬下，參照薩班斯法案的相關(guān)規(guī)定，通過對(duì)公司各業(yè)務(wù)流程和內(nèi)部控制現(xiàn)狀進(jìn)行詳細(xì)的調(diào)查、分析，404工作小組確定了該系統(tǒng)需要達(dá)到的目標(biāo)：
■ 能夠幫助管理層評(píng)估公司遵守404條款的情況，保證內(nèi)控報(bào)告的質(zhì)量，提升管理層簽署內(nèi)控報(bào)告的信心
■ 公司高級(jí)管理層能夠系統(tǒng)、實(shí)時(shí)、主動(dòng)地檢查公司內(nèi)控信息，并可發(fā)布相關(guān)工作指令
■ 能夠記錄公司業(yè)務(wù)流程、識(shí)別風(fēng)險(xiǎn)和控制方法，實(shí)現(xiàn)內(nèi)控評(píng)價(jià)流程的標(biāo)準(zhǔn)化、自動(dòng)化
■ 提高實(shí)施文檔處理的自動(dòng)化程度，實(shí)現(xiàn)集中性的文檔維護(hù)和管理
■ 明確業(yè)務(wù)流程、部門甚至是個(gè)人控制的責(zé)任，提高內(nèi)部控制的透明度
■ 規(guī)范公司404測(cè)試工作程序，提高404測(cè)試工作效率，加強(qiáng)工作質(zhì)量保證
■ 降低溝通、協(xié)調(diào)的人力成本，提供方便、快捷的查詢功能
■ 能夠根據(jù)系統(tǒng)生成的內(nèi)部控制報(bào)告進(jìn)行分析
■ 降低遵從SOX法案的長(zhǎng)期成本，提高內(nèi)部控制環(huán)境的整體效率
在明確內(nèi)部控制系統(tǒng)目標(biāo)的基礎(chǔ)上，404工作小組結(jié)合內(nèi)部控制要點(diǎn)和各業(yè)務(wù)流程的控制要求，對(duì)系統(tǒng)功能進(jìn)行了詳細(xì)定義：
��？ 用戶界面易于使用
�。� 工作流管理能力
�。� 項(xiàng)目管理能力
�。� 生成報(bào)告能力
�。� 文檔管理能力
��？ 技術(shù)集成能力
？ 安全控制要求
？ 系統(tǒng)的可擴(kuò)展能力和其他方面
清晰的系統(tǒng)目標(biāo)和完備的功能定義，為后續(xù)的系統(tǒng)選型和其他項(xiàng)目實(shí)施的順利完成奠定了堅(jiān)實(shí)的基礎(chǔ)。
二、系統(tǒng)選型
在目標(biāo)明確、功能定義的基礎(chǔ)上，中海油便開始著手系統(tǒng)選型工作。公司重點(diǎn)考察了軟件遵從404條款的有效性、軟件對(duì)公司內(nèi)部控制管理評(píng)估的有效性、軟件的先進(jìn)性以及可擴(kuò)展性等方面。經(jīng)過幾輪篩選，中海油決定使用IBM的SOX法案遵從軟件WBCR來輔助其內(nèi)控工作的管理和評(píng)估，由北京慧點(diǎn)科技開發(fā)有限公司（慧點(diǎn)科技）負(fù)責(zé)實(shí)施。
三、做好系統(tǒng)實(shí)施前的準(zhǔn)備
中海油公司自上至下對(duì)WBCR系統(tǒng)的實(shí)施都非常重視。在軟件實(shí)施之前，中海油對(duì)軟件實(shí)施涉及的范圍、工作內(nèi)容和應(yīng)用效果進(jìn)行了詳細(xì)調(diào)查，為下一步軟件實(shí)施計(jì)劃的制定做好了充足準(zhǔn)備。接著，就是著手制定軟件實(shí)施計(jì)劃的。有時(shí)，我們會(huì)借口“計(jì)劃不如變化”而不去制定詳細(xì)的實(shí)施計(jì)劃，然而這種觀念是錯(cuò)誤的。其實(shí)，周密的實(shí)施計(jì)劃、充分的資源保障，既可以對(duì)實(shí)施方和客戶方起到一定的鞭策作用，避免實(shí)施進(jìn)度失控；同時(shí)也能夠提前預(yù)見一些事情的發(fā)生，避免遇到具體問題無人解決的尷尬。
結(jié)合公司既定的404實(shí)施項(xiàng)目的目標(biāo)，考慮公司目前的狀況，中海油與慧點(diǎn)科技緊密合作，制定了詳細(xì)的軟件實(shí)施方案，將WBCR軟件的實(shí)施分為需求分析、系統(tǒng)安裝、系統(tǒng)設(shè)置、數(shù)據(jù)導(dǎo)入、系統(tǒng)測(cè)試和知識(shí)轉(zhuǎn)移等幾個(gè)階段。圍繞實(shí)施方案，對(duì)實(shí)施方的工作與需要客戶方配合的工作進(jìn)行了詳細(xì)的界定和劃分。
四、系統(tǒng)實(shí)施
制定好詳細(xì)的實(shí)施方案并經(jīng)實(shí)施方和客戶方確認(rèn)后，即進(jìn)入具體的系統(tǒng)實(shí)施階段。
1.需求分析階段。需求分析對(duì)于系統(tǒng)實(shí)施的重要性如同了解病情之于醫(yī)生提供治療方案的重要性。需求分析是系統(tǒng)實(shí)施中的關(guān)鍵步驟。在需求分析階段，項(xiàng)目實(shí)施人員主要解決了以下問題：
● 根據(jù)中海油的需求確定實(shí)施方案，搭建測(cè)試環(huán)境
● 制定產(chǎn)品定制方案和輔助工具的需求，進(jìn)行文檔分析
● 定制產(chǎn)品，并盡量使產(chǎn)品符合中海油的使用習(xí)慣
● 根據(jù)中海油的管理模式確立權(quán)限方案
● 做好數(shù)據(jù)導(dǎo)入工作準(zhǔn)備，進(jìn)行文檔收集、整理和有效性校驗(yàn)
● 針對(duì)中海油的需求，開發(fā)了導(dǎo)入、導(dǎo)出控制矩陣，財(cái)務(wù)科目關(guān)聯(lián)設(shè)置等輔助工具
● 制定最終目標(biāo)，使產(chǎn)品更好地貼合中海油的實(shí)際內(nèi)控工作
2.系統(tǒng)安裝階段。這一階段的工作，主要是對(duì)系統(tǒng)環(huán)境評(píng)估，確認(rèn)環(huán)境具備安裝條件，制定安裝計(jì)劃，提交環(huán)境評(píng)估報(bào)告。在此基礎(chǔ)上，安裝相應(yīng)軟件。
3.系統(tǒng)設(shè)置和數(shù)據(jù)初始化階段。 根據(jù)前期需求分析階段確定的產(chǎn)品定制和實(shí)施方案，在確定的內(nèi)控范圍內(nèi)進(jìn)行內(nèi)控?cái)?shù)據(jù)的初始化設(shè)置，包括組織機(jī)構(gòu)創(chuàng)建、財(cái)務(wù)報(bào)告數(shù)據(jù)導(dǎo)入、內(nèi)部控制制度的初次導(dǎo)入、用戶創(chuàng)建、職責(zé)定義和權(quán)限分配等。
4.系統(tǒng)測(cè)試階段。系統(tǒng)設(shè)置和初始化工作完成后，中海油公司對(duì)系統(tǒng)進(jìn)行了詳細(xì)檢查，并對(duì)產(chǎn)品功能定制、初始化數(shù)據(jù)內(nèi)容、權(quán)限方案是否符合前期確認(rèn)的需求等進(jìn)行了確認(rèn)，以確保系統(tǒng)能滿足內(nèi)控工作的使用需求。
5.知識(shí)轉(zhuǎn)移階段。良好的知識(shí)轉(zhuǎn)移是項(xiàng)目成功的重要條件之一，也是系統(tǒng)得以不斷完善、持續(xù)發(fā)展的基礎(chǔ)。為此，大量的培訓(xùn)工作應(yīng)貫徹項(xiàng)目始終，以使系統(tǒng)的投資盡快轉(zhuǎn)化為內(nèi)部控制管理效率和公司績(jī)效的提升。中海油根據(jù)公司內(nèi)部控制管理的實(shí)際，提出了培訓(xùn)需求，并且提出培訓(xùn)對(duì)象不應(yīng)只局限于404工作小組和系統(tǒng)管理員，而是包括內(nèi)控業(yè)務(wù)參與人員和普通用戶的全體員工。為保證培訓(xùn)工作質(zhì)量，中海油對(duì)培訓(xùn)目標(biāo)、培訓(xùn)工作量、受訓(xùn)人員組織、培訓(xùn)計(jì)劃、培訓(xùn)考核都進(jìn)行了周密布署。
系統(tǒng)實(shí)施效果
目前，中海油的WBCR系統(tǒng)已經(jīng)實(shí)施完畢，正式投入使用，404小組成員正在使用本系統(tǒng)進(jìn)行內(nèi)控文檔的調(diào)整和2006年的內(nèi)部控制測(cè)試工作。WBCR系統(tǒng)基本實(shí)現(xiàn)了中海油預(yù)定的目標(biāo)，其為中海油公司帶來的價(jià)值主要體現(xiàn)在以下方面：
● 有效保證了公司政策的上下貫通以及標(biāo)準(zhǔn)的統(tǒng)一，緩解了實(shí)施工作涉及面廣、工作量大的困難；
● 使用統(tǒng)一的平臺(tái)管理方式，確保公司相關(guān)文檔和資料的及時(shí)更新，便于文檔的日常維護(hù)，簡(jiǎn)化了繁重的文檔處理工作；
● 規(guī)范了內(nèi)控工作的操作，使內(nèi)控工作完成狀況非常透明；
● 明晰的職責(zé)分配，便于追究責(zé)任，較從前的工作方式節(jié)省了相當(dāng)?shù)臏贤ǔ杀荆?/p>
● 各種實(shí)時(shí)報(bào)告保證了相關(guān)信息的及時(shí)披露，方便公司的及時(shí)整改和資源的及時(shí)調(diào)配；
● 使用一套完整的內(nèi)部控制評(píng)價(jià)和報(bào)告體系，確立了一些規(guī)范的機(jī)制來檢查、評(píng)估和匯報(bào)內(nèi)部控制的設(shè)計(jì)和執(zhí)行的有效性。
