5、萨班斯 - 奥克斯利法案合规指南与工具应用

萨班斯 - 奥克斯利法案合规指南与工具应用

1. 萨班斯 - 奥克斯利法案概述

2002 年萨班斯 - 奥克斯利法案（Sarbanes - Oxley Act of 2002）由国会颁布，旨在防止类似安然（Enron）和 MCI 等公司发生的财务丑闻。该法案对上市公司的财务报告和内部控制提出了严格要求，不仅影响了公司财务报告的方式，还对 IT 领域产生了重大影响。

上市公司的高管层需依据第 404 节规定，承担建立和维护适当的财务报告内部控制结构与程序的责任，并对内部控制的有效性进行评估。CEO 和 CFO 要对公司向美国证券交易委员会（SEC）提交的文件进行认证和签字。

然而，该法案在起草过程中存在一些根本问题：
- 缺乏针对 IT 合规的具体措辞。
- 第 404 节和第 302 节似乎存在重叠。
- 事实上的 SOX 标准（COBIT）未根据公司规模进行调整。

这些问题使得中小型公司在遵守该法案时面临独特挑战。许多公司将 SOX 合规视为财务方面的举措，可能不涉及 IT 部门，或仅让 IT 部门处于项目边缘。这可能导致 CFO、CIO 和 IT 总监难以向高管层阐述 SOX 合规的重要性。不过，SOX 合规过程也为他们提供了与业务部门建立更紧密联盟的机会。

2. COBIT 与 SOX 合规

COBIT（信息及相关技术控制目标）已成为审计公司广泛采用的事实上的标准，尽管存在其他标准，如 ITIL（IT 基础设施库）、六西格玛等，但公司也可自行制定标准。COBIT 被广泛采用的原因之一是其平台独立性。

COBIT 约有 300 个通用控制目标，分为六个组件和四个领