如今海外上市的中国企业对于严厉的萨奥法案进行了大量的研究和规范工作。萨奥法案在给中国公司在美上市带来严峻考验的同时，也给我们带来了通过法案强化公司内部控制、提高公司治理水平的机会。对违反内控制度责任人处罚不明、处罚不重是导致中国企业违反内控制度案件频频发生的重要原因。因此，中国应充分借鉴萨奥法案，出台公司内控的法律规范，强化公司内部控制，尤其是强化上市公司管理层的内控责任，用法律制度保障违规事件的发生。
中国上市公司，尤其是国有控股的上市公司，一直被要求建立与完善内控制度，使上市公司内控制度能开始真正发挥作用。但至今中国上市公司在这一问题上距离萨奥法案的要求还有很长的路要走。从中国上市公司及大多数企业的具体情况看，建立和完善内控制度，面临的是如何抓住重点并解决难点的问题。
1. 建立和完善以统一收支结算为基本内容的财务风险防范制度
建立和完善企业内控制度，其重点和难点之一就是：建立和完善以统一收支结算为基本内容的财务风险防范制度。“中国式集团公司体系”的组织形式及多级法人治理结构，诱发了大公司或集团的财务风险。在多级法人的治理结构下，每一级次的子公司既控制资源又使用资源，并且都独立行使财务支配及收支结算权。
子公司对包括资金在内的资源控制而导致的结果是：随着母子公司资产规模的扩大，权利与利益逐渐向子公司层面扩散，而风险与责任逐渐向母公司层面集中。若干个子公司风险的转移，尤其是某一时段的风险集中转移，容易导致总部不可控制的财务危机。财务风险防范成为公司建立完善内控制度的首要工作。
而在统一收支结算条件下，公司总部要统一控制公司的融资与投资，子公司没有融资与投资权。子公司董事会只是形式上的权利机构，而不是独立的权利机构。子公司被纳入到总部全球统一控制资源和统一配置资源的组织架构中，要完全接受总部的指令和指示。有效避免风险集中转移造成的财务风险。
因此，为有效防范财务风险，必须建立母子公司体系内的统一财务控制与收支结算，在全球或全国范围内实现事业部及子公司收入与支出的统一、事业部及子公司员工标准与薪酬支付的统一；事业部及子公司采购与配送的统一、事业部及子公司品牌标识与研发广告的统一。
2. 强化企业会计信息真实性及其披露的及时性与准确性
《企业会计准则》中把客观性原则列为会计核算十三条的一般原则之首，客观的会计信息必须是内容真实、数字准确、资料可靠，具有真实性、可靠性和可验证性的会计信息。把会计信息的真实性放在首位来谈，足见会计信息的重要性。经济全球化带来资金的全球化流动，而会计是指引这种流动的数字语言。只有保证及时、准确的披露真实的会计信息，才能保证资金全球流动的健康性。
对于中国企业来说，遵循萨奥法案的难点在于：如何依照法案的要求对照美国COSO报告的理论体系，建立企业自身的内部控制系统。按照萨奥法案的要求，每一个上市公司不仅要建立内部控制体系，并且要有明确的证据表明企业有效地遵循了内部控制的规定，对于需要内部控制的每一个关键环节要制订相应的过程文件并进行测试，以保证有据可查，同时还要指出企业内部控制的不足等等。
COSO报告对404条款提及的“公司管理者需要提交的内部控制报告”的内容作了非常严格的规定，把建立内控体系定位成企业运作管理的重要手段，内容涵盖了企业生产经营活动的全过程，包括控制环境、风险评估、控制活动、信息与沟通、监督等，远远超出了我国内部控制规范所指的资产保值增值、会计资料翔实可靠等较小的会计领域。我国多数拟到美国上市的企业都没有达到“萨班斯法案”所要求的内控系统的水平，这严重阻碍了他们进入境外资本市场进行融资。因此，中国迫切需要通过法律法规的修改建立和完善企业内控制度。
2006年7月15日，也就是44家在美上市的中国内地企业迎来萨奥法案考验的当天，经国务院批准，由财政部牵头发起，证监会、国资委共同参与成立的“企业内部控制标准委员会”在北京正式成立，“会计师事务所内部治理指导委员会”由中国注册会计师协会发起成立。 我国政府及相应的委员会，将借鉴美国萨奥法案的做法及相关条款，修改我国的法律法规，积极推动中国企业建立和完善内部控制制度。
由于企业内控制度不仅仅是财务部门、企业经营者的职责，它是需要整个管理体系内各组织结构共同参与的一项管理活动。健全的企业内控制度，实际上是完善的法人治理结构的体现。
法人治理结构需要内部控制的监督来保障，它是贯穿于整个组织的各个层次的,包括股东、董事会、董事会委员、高层管理者、内部和外部审计师都是主要的参与者（见图4）。由于追求利润和增加股东收益是公司的经营目标，股东自然成为整个监督程序的最终受益者。越来越多机构投资者聚集大规模资金持有企业大量的股票进入组织的内部，他们代表着背后大批委托人作为非管理层股东的意愿。如此一来，特别是对于上市公司，机构投资者相比内部如何监督和治理，更看重的是市场表现和股指升降，他们的意愿在一定程度上弱化了管理。而董事委员会则对内部控制的效果承担了最终责任。
不同组织结构和组织目的它的董事委员会的组成形式也有所不同，董事会按照最合适自身组织发展的要求来进行委员会结构的确定。由于内部审计是内部控制制度中重要方面，在降低公司内部舞弊行为起着积极的作用，许多企业设计了独立的内部审计部门，使其职能独立于高层管理者，以避免在提供内部控制的目标和评估时做出客观的不受干扰的报告。
目前比较一致的说法是，业务复杂性程度越高和公司规模超过2000个以上的股东人数的，公司的董事必须委派运作的权威和责任，由内部控制的监督过程来督促董事会履行责任时的审慎。但是往往一个既定存在的公司就算与时俱进地制定了内部控制制度，也只是当作摆设我行我素，或者是被误导或假设内部控制已经有效。
因此，建立完善企业内控制度必须明确并强化企业内控制度的责任主体。萨奥法案在这个问题上给与我们的启示有：
1. 企业内控责任应明确到管理层中的具体成员
健全有效的内部控制，能够确保资产的安全完整、会计信息的真实有效和经济秩序的通畅有序。萨奥法案对CEO和CFO提出了严格的要求：要求CEO和CFO宣誓保证公司账目的准确性，增加董事会、独立董事和管理人员的责任，并定期进行财务披露，内容须包括管理层和主要股东的关联交易；CEO和CFO要就有关披露控制程序的有效性发表声明，承诺“定期报告中的财务报表和信息披露是适当的，所有重大方面都公正地报告了公司的运营和财务状况”。
企业内部控制是整个管理体系内部各组织结构共同参与的一项管理活动。建立完善内控制度，应将企业内控责任明确到管理层中的具体成员，结合本企业实际情况制订内部财务管理制度、稽核制度等。通过会计工作的内部分工及原始凭证的审核、记账凭证的编制与审核、记账与对账、资产清查、会计报表的编制审核等相互交叉稽核和内部审计的独立稽核，预防、发现并纠正工作中存在的失误。
中国企业应充分借鉴萨奥法案对公司管理层尤其是CEO和CFO内控责任的严格规定，明确界定企业管理层中具体成员的内控责任，为健全内控制度、提供真实会计信息奠定良好的基础。同时，还应该充分发挥独立懂事的作用。
2. 具体责任主体应该能够预见到经济与刑事的双重处罚
建立完善企业内控制度和完善法人治理结构，将企业内控责任明确到管理层中的具体成员，具体责任主体应明确自身的内控责任，并能够预见和承担因自身行为不当应承担的经济与刑事的双重惩罚。
萨奥法案对CEO和CFO的经济刑事责任作了严格的规定，任何违反该条款的行为都被视作明知故犯，必须承担责任。如果某公司因为财务报表“重大不合规”而被要求重新提供财务报表，该公司的CEO和CFO在该不合规材料备案之后的12个月内“将所获得的奖金，或其他与业绩挂钩或与股票表现有关的报酬”，以及在此期间“通过出售股票实现的收益”都被要求退回。
法案明确提出对上市公司的CEO和CFO在财务信息披露方面的违规活动要追究刑事责任；对重大事实不存在虚假表述；准确披露财务、经营状况及现金流情况。证券欺诈行为指控的法定期限，从欺诈行为开始后的三年内，或者被发现的一年内，分别延长至欺诈行为开始后的五年，或被发现后的两年内。由于证券欺诈引起的违法行为将被处以罚金和最高达10年的监禁。
上述两点主要从公司内部环境来说，萨奥法案还进一步引发我们对于外部环境的思考，需要我们健全我国的法律、加强对外部审计师独立性的规范和监督、强化资本市场的监督效力。最终，我们可以得到这样一个流程图，这是中国上市公司对于完善内部控制问题的必然：
识别风险->评估风险->评价现有内控体系差距->针对差距进行完善->各个手段进行梳理和统一
五、结论及建议
内部控制理论在西方经过近一个世纪的发展，成熟于COSO报告的五大要素，即控制环境、风险评估、控制活动、信息与沟通以及监督。企业的内部控制是受企业董事会、管理当局和其他职员的影响，目的在于取得经营效果和效率、财务报表的可靠性、遵循适当的法规等目标而提供合理保证的一种过程。这是西方成熟市场经济以及发达资本市场条件下企业内部控制需考虑的要件。长久以来，我国内部控制的内容范围与COSO报告相比，还有相当的距离。我国内部控制规范内容主要集中在会计领域，而不是一个整体贯穿于企业内部的过程。
随着社会主义市场经济的发展，以及萨奥法案和国际会计准则在全球范围的巨大影响力，中国企业对于内部控制问题日益重视起来。安然事件后萨奥法案的出台代表了一个新的资本市场监管时代的到来。它明显改变了以往会计公司实行自我管理的作法，规定设立上市公司会计监管委员会（PCAOB），对有上市公司审计资格的注册会计师事务所进行注册管理。上市公司负责人（CEO和CFO）被要求对该公司出具财务报告的真实性、公允性作出承诺和保证，并且必须负担建立完善内部控制制度的职责。对内部控制的规范给我国企业带来了通过法案强化公司内部控制、提高公司治理水平的机会。
404 条款的最终检验标准是美国政府能否在恢复和维持公众对于证券市场的正直和透明度的信心上取得成功，而我国上市企业要从404 条款中学习和思考我们如何在内部控制的建立、实施与报告上有所作为, 来提高我国企业高管层和注册会计师的执业能力, 提升我国公司的内在实力, 加快在境外上市的步伐。同时, 我国正面临着一个国际化的舞台, 在一些标准、框架的制定上应与全球主流框架保持一致, 这样才有进一步发展的可能。正因此, 我们必须合理借鉴市场经济发达国家出台的相关政策和措施, 以减少我们第一次尝试的代价, 促使措施的成本与收益能够均衡发展。毕竟，动辄近千万美元的萨奥法案执行成本并不是我国企业能吃的消的。
结合上述来看，中国上市公司的内部控制需要在以下几个方面进行改进：
（1） 法规和准则框架的约束
根据公司组织结构和业务特点等制定适合上市公司运营的内部控制制度，必须全面详细地制定内部控制细则和控制测试的标准。
（2） 及早学习和准备内控制度和审核程序等文本
在美国上市的中国公司为应对萨奥法案最后期限要求所做的工作之一就是完善内部流程、控制条例、审核程序和风险测试的文本资料，主要借助外部顾问公司进行实施。企业高层尽早学习萨奥法案的相关内容，并对企业内部控制报告及早地进行文本准备和咨询将无疑使企业本身更快地进入适应期，使整个企业进入一个良性循环，而不至于因为人力物力上的突击性耗用而影响效率。
（3） 内控程序的起草应覆盖上市公司业务核心控制点
描述必须符合企业运营和业务流程的自然形成过程，在业务的客观规律和控制原则下进行。内控程序由于贯穿整个企业流程，能否实现内控目标是企业最终目标的基础保障，所以必须抓住重点。
（4） 内部独立业务审核应与业务分析和绩效考核相结合
内部审核和风险评估的最终目的是提高企业运营效益，提高资源的使用率，以及提高财务报告体系的集成能力。同时，对企业运营和管理流程进行深度的分析，为管理层提供综合业务运营效率、风险测试，对比业务目标进行效益分析，并提供有建设意义和价值的流程整改和资源利用报告。
（5） 人员培训及同外部审计师、顾问的交流
借鉴外部公司的经验和管理理念，评估公司内部控制系统，进行必要的改进。组建培训团队，包括内外部审计师和顾问等，对公司员工进行讲解程序、条理和法则的培训等，为实施内部控制体系的推广打下基础，同时提高员工的风险和控制意识。
（8）推广和实施要注意策略
中国传统文化本能的对监督的抵触心理，因此上市公司在内部推广和执行时要注意策略，应该在保持独立性的同时在公司内部营造富有人性化的监管氛围。
资料来源与参考文献
0.免费
1.Deloitte IAS网站
2.萨奥法案官方网站
3.新浪财经频道4.IT经理世界网站 5.Steven.J.Root：《超越COSO 加强公司治理的内部控制》，清华大学出版社，2004年
6.潘秀丽：《企业内部控制研究》，中国财政经济出版社，2005年
7．魏立江 林钟高：《会计再造-美国<2002年萨班斯-奥克斯莱法案>启示录》，经济管理出版社，2004 年
8．宁向东：《公司治理理论》，中国发展出版社，2005年
9.刘晓嫱 杨有红：“《萨奥法案》404 条款的最新进展及其理性思考”，《会计之友》，2006年第三期下半月，67~69页
10．邱月华：“《萨班斯———奥克斯利法案》的成本与效益分析”，《财会通讯》综合版2007年第一期，96~98页
11．王璟：“《萨班斯法案》及其修订”，《现代审计与经济》2007 第1 期，17页
12．吕广超：中国金融电脑2006 年第8 期，54~57页
13．《中国内部审计》2006年第9期
14．《经济参考报》2006年8月28日
15．《商业周刊》，2001年12月17日
16．《华尔街日报》,2001年11月20日
17．《中国注册会计师》期刊
18．《新财富》期刊
19．《会计研究》期刊
萨奥法案对中国上市公司内部控制的启示(上)
浅析我国上市公司关联方交易信息披露(上)