萨班斯法案404条款实施的跟踪研究

——各方评论、实施进展与启示

 

2002年7月，美国总统布什批准了《2002年上市公司会计改革和投资者保护法》（以下简称萨班斯法案）。2003年6月，美国证监会（以下简称SEC）发布公告正式实施萨班斯法案。截至2006年12月15日，其间SEC陆续发布了5次公告，对萨班斯法案404条款的实施进行了调整。同时，SEC相继批准了美国上市公司会计监管委员会（以下简称PCAOB）《审计准则2号（AS2）》、《小企业COSO内部控制框架》、《管理层内部控制评估概念公告》、《管理层内部控制评估解释性指南（征求意见稿）》和《PCAOB审计准则5号（AS5）》。本文涉及的SEC、PCAOB、COSO、AS2、AS5等相关概念的简要介绍见附录1。

本文试图通过对萨班斯法案404条款实施4年来的各方评论和实施进展的研究，分析实施中存在的问题和SEC、PCAOB的主要做法，以期得到有益的启示，并对我国企业内部控制建设提出政策建议。

一、对萨班斯法案404条款实施以来主要评论的研究

通过对SEC历次内部控制圆桌会议反馈信件和权威新闻媒体对相关人士采访资料的收集和整理，笔者选取了40位代表人物的相关评论进行了不完全统计（详见附录2）。根据他们的社会职业群体分为政府官员及监管机构代表、企业及企业协会组织代表、会计与审计职业团体代表三个类型；对各种评论归纳为反对、基本肯定和积极支持三大类。对40位代表人物评论的统计分析见附录3。

调查结果表明：持反对观点的共19位。主要代表人物有：美联储前主席格林斯潘、纽约市长彭博、美国商会副主席大卫?C ?查韦恩、威尔士国家银行高级副董事长兰德尔?奥汀等。

持基本肯定观点的共13位。主要代表人物有：美国证监会主席克里斯多弗?考克斯、美国证券交易所主席尼尔?沃尔科夫、纳斯达克全球总裁兼首席执行官罗伯特?格雷费尔德等。

持积极支持观点的共8位。主要代表人物有：美国公众公司审计管理中心主席罗伯?吉?库帕斯、美国管理会计师协会（IMA）副主席杰弗里?C?汤姆森、全美银行家协会（ABA）会计与税务事务总裁堂娜?J?费希尔、普华永道会计师事务所等。

1．持反对观点的代表性评论。

——对法案基本否定。认为：法案不能防止欺诈和舞弊，而只是去发现错误。这一方面降低了纽约金融市场活力和地位，同时也是对企业的束缚，会削弱企业竞争力。有代表性的评论有：

2006年4月25日，威尔士国家银行高级副董事长、内部审计师兰德尔?奥汀在给PCAOB的电子邮件中指出：实施404条款不会阻止一个发生在其他公司（如安然、世通）类似的欺诈。实施404条款所做的就是创造了大量的重复工作，对预防重大的财务欺诈毫无意义。

2006年4月27日，美国高通公司执行副董事、首席财务官威廉?凯尔在给PCAOB的电子邮件中指出：萨班斯法案初始目的是为了减少财务欺诈和会计操纵。然而错误的发现却主要依赖交易层面上的测试结果，更进一步的说，现行的指引仍然导致了大量的错误，更多的资源用于发现错误而不是避免财政舞弊、公司治理的错误和对会计准则有意图的操纵。

2006年11月1日，纽约市长彭博和纽约州参议员舒默在《华尔街日报》发表联名文章《拯救纽约，学习伦敦》，批评：因金融市场监管过度，将令纽约交易所失去国际金融市场的领先地位；在新股上市方面，纽约的地位已受到香港和伦敦的威胁。

——认为404条款监管过度，过犹不及。有代表性的评论有：

2006年4月12日，美联储前主席格林斯潘称：国内人士已对该法案表示了相当大的担心，怀疑其中所要求的监督、监管力度及报告提交等问题可能已经超过了必要的水平，萨班斯法案将面临修改。

2006年9月25日，格林斯潘在马萨诸塞州的一次技术咨询会上再次指出：萨班斯法案要求首席执行官对其提供的财务报告进行保证，这是一件好事。除此之外，404条款的实施是没有好处的，只会是个噩梦。

2006年11月 9日，格林斯潘再次表示严格的监管成为近来许多美国公司选择在海外上市的重要原因。

——认为执行404条款成本过高，予以反对。有代表性的评论有：

2005年3月31日，全美零售商联合会董事长兼首席执行官特蕾西?穆尔林在给PCAOB的反馈信中指出：萨班斯法案404条款的成本超过了收益。

2006年5月3日，美国商会副主席大卫?C ?查韦恩在给PCAOB的反馈信中指出：执行萨班斯法案404条款给希望在美国发行股票的公司带来了没有必要的负担，而且这些负担与能够合理确认的利益相比是不成比例的。

2．持基本肯定观点的代表性评论。

——基本肯定萨班斯法案的积极贡献，认为强化了公司治理和风险控制，但强调需要在提高市场竞争性和保护投资者利益之间平衡，需要不断的改进。有代表性的评论有：

2006年9月19日，美国证监会主席克里斯多弗?考克斯在美国国会关于财务服务的陈述中谈到萨班斯法案的影响时指出：法案不是在任何方面都是完美的，但其绝大部分对国家经济健康做出了巨大的贡献。如果404条款贯彻执行得再好些，它们就会发挥更大的作用。404条款应用产生的问题，起因于该法案后半部分的执行——这部分要求审计师对管理层的自我评估报告进行评价。

2006年11月2日，美国纳斯达克全球总裁兼首席执行官罗伯特?格雷费尔德指出：应该更多看到萨班斯法案积极的一面，它对改善公司治理很有积极意义。其实，实行萨班斯法案，最有挑战的只是开始阶段。比如说我们自己，在第一年投入了很多精力和成本，在每个流程上加强对风险的控制，一旦这套体系建立起来，就顺畅多了。他认为，404条款有些要求是过于苛刻了，有修改的空间。

——对法案基本肯定，但强调需要在大公司、小公司的实施上区别对待。有代表性的评论有：

2006年4月27日，美国小型企业管理办公室主席托马斯?曼苏丽文在给PCAOB的电子邮件中指出：404条款内部控制报告的要求是将非常高且不成比例的成本加于小公司之上，这可能对小公司融资设置障碍。

2006年5月8日，美国证券交易所主席兼首席执行官尼尔?沃尔科夫在给PCAOB的电子邮件中指出：依据404条款的要求，如果无法区分正在寻求资本市场的小公司和具有良好财务和资本基础的大公司之间的基础结构和财务差异，将对美国经济整体，尤其是小企业带来伤害。

3．持积极支持观点的代表性评论。

——认为404条款实施会给企业带来好处，只需要进行小范围、技术性或细节性的修改。有代表性的评论有：

2005年4月1日，全美银行家协会（ABA）会计与税务事务总裁堂娜?J?费希尔在给PCAOB的反馈电子邮件中指出：ABA完全支持建立健全内部控制，因为它不仅可以为财务报告的使用者提供对财务报告完整真实性的合理保证，还为管理层建立了合适的管理公司风险的基础。

2006年4月26日，加拿大帝国商业银行（CIBC）执行副董事、审计官布鲁斯?雷尼汉在给PCAOB的反馈电子邮件中指出：CIBC已经意识到实施萨班斯法案404条款的收益，其中最重要的是它提高了员工的控制意识和认知程度。更新后的有关财务报告的重要业务流程和关键控制，已经成为很多业务单元有用的参考工具。404条款的应用过程在提供一个更宽广的控制环境基础的同时，切实提高了财务报告的内部控制水平。CIBC指出，“底线”或最小覆盖率的概念与基于风险、自上而下的方法是不一致的，希望在覆盖的概念上予以明确。

——认为404条款已经带来了巨大的潜在好处，是一种投资，无需进行重大变更。有代表性的评论有：

2005年4月4日，美国公众公司审计管理中心主席罗伯?吉?库帕斯在给PCAOB的反馈电子邮件中指出：这种改进已经在近期的很多调查和文章中被许多财务管理人员讨论过，他们普遍认为萨班斯法案的执行是一项很好的投资。第一年的执行成本极容易被量化出来，与其成本相比，好处虽然不显著，但它带来了巨大的潜在好处。这种好处表现为在管理层和外部审计师对财务报告内部控制有效性的报告中提出了数千条的控制缺陷。我们并不认为既有的法案需要修改。

2006年5月1日，普华永道会计师事务所在给PCAOB的电子邮件中指出：萨班斯法案 404条款，不需要进行重大的变更。

2006年5月4日，美国管理会计师协会（IMA）副主席杰弗里?C?汤姆森在给PCAOB的反馈电子邮件中指出：我们的成员都认为，萨班斯法案特别是302、404 条款为公司治理进行了一个全面的规定。对财务报告内部控制的管理层报告和审计师的鉴证报告，已经为公司带来了积极的效果，比如标准化和优化了业务流程，强化了总体控制环境（特别是高管基调），增强了审计委员会对公司财务报告流程的关注，加强了披露举报机制，并提高了对控制活动的自动化程度。

4．分析与小结。

——分析40位代表的评论，萨班斯法案404条款的积极作用大体上得到社会各界的肯定，但反对的声音也比较大，其实践效果尚需要进一步的检验。前述不完全统计分析的结果表明持基本肯定观点有13位，占32.5%，持积极支持观点有8位，占20%。持反对观点有19位，占47.5%。

——反对观点主要包括法案的执行（共12位，占30%）——即监管过度（共3位，占7.5%）和成本过高（共9位，占22.5%），法案本身（仅7位，占17.5%）。这反映：反对的焦点主要表现在执行的效率和监督力度问题，这为进一步推进404条款找到了突破的方向。

——不断改进内部控制实施的过程和提高效率，并区分大小公司分别对待是影响萨班斯法案404条款能否顺利实施的关键因素（共13位，占33.75%）。

——不同的社会团体表现出不同的利益倾向。

政府官员和监管机构代表中40%反对，60%支持。反对者主要担心萨班斯法案404条款会对美国金融市场地位受到影响，更多地考虑宏观经济利益。来自监管机构的代表则更多地对404条款持肯定态度，但强调要进行改进，强调监管力度需要在保护公众利益和维护市场效率之间得到平衡。

企业界代表对404条款的反对意见和支持意见持平。反对者主要认为执行成本过高，支持者则认为有助于强化企业流程和风险管理。

会计和审计职业团体则大多持支持态度。

 

二、萨班斯法案404条款实施进展的跟踪研究

通过对404条款实施4年来的跟踪研究，我们发现SEC在404条款的实施上主要做了三个方面的工作，即：

——对不同类型公司实施时间进行了5次调整；

——在技术层面，与PCAOB、COSO委员会开发了一系列的标准，并发布了相关的规范；

——开展了提高审计师效率和PCAOB监管效率的一系列的评估项目。

1．实施过程中的主要事件。

对于SEC关于不同类型公司的分类，本文按其实质称之为大型公司和小型公司，不对其定义和标准的变化进行赘述。主要事件一览表见附录4。

（1）2003年6月5日，SEC发布公告，规定：已上市的美国公司中的大型公司应在截止或于2004年6月15日以后的年度报告中出具内控报告；小型公司应在截止或于2005年4月15日以后的年度报告中出具内控报告。已上市外国公司中的大型公司和小型公司都应在截止或于2005年4月15日以后的年度报告中出具内控报告。

（2）2004年2月24日，SEC发布公告，规定：已上市的美国公司中的大型公司应在截止或于2004年11月15日以后的年度报告中出具内控报告，即推迟5个月。对于小型公司应在截止或于2005年7月15日以后的年度报告中出具内控报告，即推迟3个月。对于已上市外国公司中的大型公司和小型公司应在截止或于2005年7月15日以后的年度报告中出具内控报告，即推迟3个月。

（3）2004年6月17日，SEC批准PCAOB审计准则2号。

（4）2005年3月2日，SEC发布公告，规定：已上市美国公司中的小型公司应在截止或于2006年7月15日以后的年度报告中出具内控报告，即再推迟1年。已上市外国公司中的大型公司和小型公司应在截止或于2006年7月15日以后的年度报告中出具内控报告，即再推迟1年。

（5）2005年5月16日，SEC发表对萨班斯法案实施一年来的申明，指出：①遵循404条款使得各方收益；②推行404条款的第一年产生了巨大的成本。

（6）2005年9月22日，SEC发布公告，规定：已上市美国公司中的小型公司应在截止或于2007年7月15日以后的年度报告中出具内控报告。即再推迟1年。已上市外国公司中的小型公司应在截止或于2007年7月15日以后的年度报告中出具内控报告。即再推迟1年。

（7）2006年5月1日，PCAOB开展“敦促审计师提高效率并符合AS2要求”的监管项目。

（8）2006年5月17日，SEC公告下阶段拟采取的改进404条款的4项措施，即：①开发管理层进行内控评估的指南，以适应404(a)的要求。包括发布概念公告、接受各方反馈、考虑COSO委员会的支持、并最终发布指南等；②与PCAOB紧密合作修订审计准则2号，以使得该准则符合公众利益和保护投资者；③SEC将对PCAOB“敦促审计师提高效率并符合AS2要求”的监管项目进行评估，以考查审计师的工作效率和PCAOB的工作；④将进一步延迟小型公司实施404条款的日期。

（9）2006年7月11日，SEC批准发布了COSO委员会开发的《小企业COSO内部控制框架》。

（10）2006年7月11日，SEC发布《管理层内部控制评价概念公告》，以指导公司管理层进行内部控制自我评估。

（11）2006年8月9日，SEC发布公告，规定：已上市外国公司中的大型公司出具管理层内控评估报告的时间不变，但审计师出具审计报告的时间推迟到2007年7月15日，即推迟1年。

（12）2006年12月15日，SEC发布公告，规定：已上市美国公司中的小型公司应在截止或于2007年12月15日以后的年度报告中出具管理层内部控制评估报告，要求审计师在2008年12月15日以后的年度报告中出具审计报告。对于已发行外国公司中的小型公司应在截止或于2007年12月15日以后的年度报告中出具管理层内部控制评估报告，审计师在2008年12月15日以后的报告中出具审计报告。同时对所有新发行上市公司，均要求在第二个年度出具管理层内部控制评估报告和审计报告。

（13）2006年12月19日， SEC发布PCAOB提交的审计准则2号修改稿的征求意见稿（即审计准则5号征求意见稿），提议采用新的审计准则——《与财务报表审计相整合的财务报告内部控制审计》——取代AS2号。该准则强调了自上而下、风险导向的审计方法。

（14）2006年12月20日，SEC发布《管理层内部控制评价解释性指南（征求意见稿）》。该指南要求采用自上而下、风险导向的评估方法、取消覆盖率概念和修改缺陷类型等。

（15）2007年6月12日，SEC正式批准PCAOB审计准则5号，以取代审计准则2号。

2．分析与小结。

——实施404条款的时间变更非常频繁，主要是推迟小公司（美国和外国）、外国大公司的实施时间。

自2003年6月开始实施到2006年12月的42个月内，共进行了5次调整，平均8个月就发布1次公告调整实施时间。其中第5次和第6次公告仅仅相隔4个月。

无论是美国的小公司还是外国的小公司，经过5次调整后都推迟到2007年12月15日出具管理层内部控制评估报告，2008年12月15日出具审计报告；相对而言，美国大公司仅调整1次，并要求于2004年11月15日出具内控报告；外国的大公司仅调整2次，并要求于2006年7月15日出具内控报告。

这反映了SEC对于不同文化背景、不同规模的企业推行内部控制的考虑。正如美国证监会主席托马斯?考克斯所说，大公司、小公司、国内公司、国外公司都是美国资本市场的重要组成部分，必须兼顾它们的利益。

——SEC相继出台了一系列技术层面的标准和规范，形成了实施萨班斯法案404条款较为完备的技术规范体系，这是404条款顺利实施的关键因素。

这些技术规范主要包括：PCAOB《审计准则2号》和《审计准则5号》，用以解决审计程序和标准问题；《小企业COSO内部控制框架》，用以解决小企业内部控制建设指引和标准；《管理层内部控制评价概念公告》和《管理层内部控制评价解释性指南》，用以解决管理层进行内控自我评估的程序、方法和标准。

——提高审计师审计和管理层评估的效率并降低成本一直是SEC、PCAOB、企业和审计师共同关心的问题。主要的解决途径在于改进审计/评估的方法论，同时开展专门的监督与评估活动。

SEC的主要做法是用审计准则5号取代审计准则2号，并发布管理层内部控制评估概念公告和解释性指南，强调“自上而下、风险导向”的审计/评估方法；PCAOB开展“敦促审计师提高效率并符合审计准则”的评估项目，同时SEC对PCAOB的评估项目进行监管，以评价审计师效率和PCAOB的工作。

 

三、启示

它山之石，可以攻玉。通过对萨班斯法案404条款各方评论和实施进展的研究，结合我国开展内部控制标准建设的现状，我们可以得到以下启示和政策建议。

1．内部控制制度的合理性毋庸置疑，不能因为来自实施的困难就改玄易张。

从萨班斯法案实施的情况来看，反对的焦点不是404条款本身，而是实施的执行成本过高和监管过度。在我国也面临着同样的问题，有人强调内部控制的实施不符合成本效益原则或认为不能达到防范风险的目的。这些呼声都不能作为不建立健全内部控制的借口。就我国企业的现状而言，建立现代企业制度的时间还不长，内部控制制度的推行无论是改善公司治理，还是优化业务流程、降低和防范企业风险都具有不可替代的现实意义。这对于增强大型国有企业集团的国际竞争力和提高上市公司质量具有不可替代的强基固本的作用。

从推行萨班斯法案404条款的动因来看，对于财务报告内部控制的披露有助于增强信息披露的透明度，进而保护公众利益，这对我国的上市公司和资本市场也具有同等的重要性。在上市公司中推行强制的内部控制标准是建立公开透明资本市场的需要，体现了上市公司信息披露从财务信息扩展到财务与非财务信息，从注重结果到结果与过程并重的趋势，不可因为阻力而放弃。

2．内部控制标准有效推进的关键是要降低成本，提高效率。

如何降低成本、提高效率呢？一方面要从内部控制标准、审计标准的可操作性和合理性上做文章，降低直接成本；另一方面，要正确认识长远利益和短期利益的平衡。不要仅仅着眼于付出的有形成本，还要着眼于未来的、潜在的收益，如良好企业文化的形成、完善公司治理制度的建立、业务流程的优化等等。

在技术层面，提高效率的路径在于：针对内部控制体系建设、内部控制评估和内部控制审计各个环节，在开发和制定技术规范时，要充分吸收和引进先进的方法论，并考虑我国内部控制环境的特点，做到简洁、高效、实用和可操作。PCAOB用审计准则5号取代审计准则2号的实践和SEC关于管理层内部控制评价概念公告和解释性指南的方法取向，一言以蔽之就是强调采用“风险导向、自上而下”的方法论，这对于我国制定内部控制相关技术规范具有较高的参考价值。

3．建立完备、行之有效的技术规范体系是顺利推进内部控制标准的技术保障。

自萨班斯法案出台至今，美国陆续形成了包括萨班斯法案在内的四个层次的规范体系。一是萨班斯法案本身，它是旨在投资者保护的法律，也是内部控制建设、评价和审计的法律基础；二是企业内部控制的标准——SEC推荐使用COSO内部控制框架，同时针对小企业专门开发了《小企业COSO内部控制框架》，这是进行内部控制建设的指引，也是后期进行评价和审计的标准；三是PCAOB审计2号准则和5号准则，这是审计师进行审计的标准，规定了审计的方法和程序；四是SEC发布的管理层内部控制自我评估概念公告和解释性指南，这是企业管理层进行内部控制自我评估的指南。这样就解决了内部控制建设的法律基础和内部控制标准、审计标准、自我评估标准等各环节的技术问题。

针对我国现存的《内部会计控制基本规范和具体规范》和《企业内部控制规范——基本规范》和17项具体规范（征求意见稿）、《中央企业全面风险管理指引》、《上海证券交易所上市公司内部控制指引》、《深圳证券交易所上市公司内部控制指引》、《商业银行内部控制指引》、《证券公司内部控制指引》、《关于加强期货经纪公司内部控制的指导原则》等规范来看，我们需要在不同层次和不同环节建立完整的内部控制规范体系，主要包括：

——法律法规层面，应颁布内部控制强制标准的相关立法。以此来规范内部控制标准的制定、实施范围、效力等问题，为顺利推进奠定法律基础，同时对不同部门的有关规定进行统驭。

——内部控制理论框架层面，应针对我国企业经济环境和企业特点，研究类似COSO框架的我国内部控制理论框架模型。以指导企业内部控制的建设，其中应适当考虑小企业和中央企业集团等特大型企业的不同特点。

——技术规范层面，包括制定企业内部控制自我评价的规范和制定审计师进行内部控制审计的审计准则。

4．实施过程中应区分不同公司的特点分别对待，不搞“一刀切”，这是科学的工作方法和有益经验。

从前述的研究可以看出，SEC的做法充分照顾了小公司和外国公司的利益，从而使得404条款的推行得以循序渐进，有效实施。

考虑到我国国有企业所代表的国有经济占主导、国有企业主管单位不同、特殊行业分类监管、大型企业集团和中小型企业规模相差悬殊、上市和非上市等因素，笔者认为，在我国推行企业内部控制强制标准时，应该充分考虑各种企业的特点，实行“统一管理、分步推进、细化分类标准、设定强制执行门槛”等措施来推进。

5．建立长期、互动、高效的内部控制研究、实施、监管的联动工作机制，充分听取各方意见，是我国开展内部控制标准建设可以借鉴的工作经验。

在萨班斯法案404条款的实施中，SEC充分考虑了各方的利益并充分听取各方的意见，主要做法包括：保持与COSO委员会的协调和沟通，并共同开发专门的《小企业COSO内部控制框架》；要求PCAOB修订审计准则2号；在实施萨班斯法案的过程中，对于每一次公告的发布、规则的制定都经历了圆桌会议制度，使各有关主体（企业界、会计职业团体、企业行业协会组织、学术界、政界等等）都紧紧地参与到整个进程中。这些做法使得萨班斯法案的实施得到了社会各界的高度重视，从而使该法案的推行有了广泛的群众基础。我国在制定和实施相关内部控制标准的过程中也可以考虑建立类似的工作机制，做到兼顾各方、共同参与、定期沟通和反馈、循序渐进。