萨班斯法案需要善治型CIO
在美国安然公司的财务丑闻发生之后，美国政府颁布了萨班斯法案，这部法案也被称为自罗斯福以来美国商业界影响最为深远的改革法案。这个法案对整个公司管理层对内控体系和信息披露提出了严格的要求。并且针对要求提出了监管和惩罚的措施。总体来说，萨班斯法案是从公司会计的流程角度出发的，为什么会涉及到信息系统呢？毕博管理咨询(大中国区) 总经理迟邦劳指出，目前越来越多的企业依靠信息系统支撑业务运作，而信息系统里面存在相应的风险，所以就要建立一个信息系统的控制体系。萨班斯法案就是要求财务报表的准确性，财务报表靠业务流程，而业务流程又是由信息系统支撑的。信息系统总体控制是针对信息系统共性的内容，比如说所有的信息系统都要有相应的数据库和服务器。对这些总体控制是不是能够达到相关要求，也需要对信息系统做一些相关的控制。
法案中对企业影响最大的是302和404两个条款。302条款主要是要求企业的高管签署对企业重要事情不存在遗留。404条款要求企业管理层对企业必须建立一个有效的内控体系，并且对内控体系要进行评估。评估内容包括：
公司数据的完整性受到公司IT控制的充分性影响；
公司交易从交易开始、记录、处理到报告全程应用IT；
加快并支持财务报告的IT控制；
IT控制有效性记录与评价的要求；
IT一般控制与应用控制；
利用IT自动记录并监控控制制度的执行。
孙强指出：“萨班斯法案要求CIO必须成为管理控制专家，不仅要参与到公司治理领域，以使IT与业务战略从治理到管理再到执行层面始终保持精确校准，还要在完善内部控制和全面风险管理体系中发挥作用。”
IT治理 理顺IT在萨班斯法案的强制要求下，受到该法案制约的各家上市公司纷纷把公司治理和IT治理提上日程，并且已经基本建立了对信息化的管控体系，收到了很好的效果。据孙强介绍，具有出众IT治理的企业其资产回报率要比那些治理低下的企业高出20%，并且有效的IT治理是唯一也是最重要的使组织从IT上获得价值的途径。
就国内企业来说，IT治理做得比较好的企业仍然集中在电信和金融服务两大行业，比如中国移动、中国网通、工商银行和建设银行等，纷纷在保持信息化战略目标与业务目标一致、合理利用信息资源、控制信息化相关风险的前提下，建立信息化管控体系，促使集团收益最大化。孙强还详细介绍了某省通信分公司在IT治理方面的成功经验，该公司处于转制的关键时期，提升企业的核心竞争力、实现“经营以利润为中心，流程以客户为中心”的机制转变迫在眉睫。为了应对这种转变，该公司认识到必须加强企业内部信息化管理，提高内部运作效率。该公司为信息化管控体系设立了三个主要目标：
第一、保持信息化战略目标与业务目标一致。根据公司的指示精神，结合公司实际情况，成立专门的信息化工作部门负责信息化工作的统筹安排、协调和提出重大决策意见。规范信息化管理工作，开展规范、有序的规划工作，明确本公司信息系统的实施路线。从而将企业的业务目标和信息化战略目标的信息需求和功能需求整合起来，形成总体的信息化管控体系框架和系统整体模型。
|
服 务 CIO 推 进 信 息 化 
