上市运营商强化公司治理萨班斯之路任重道远(一)

1、上市运营商强化公司治理 萨班斯之路任重道远 （ 一） 1997年的亚洲金融危机、美国股市相继爆出的安然、世通等一系列丑 闻，我国出现的蓝田股份和银广夏的利润神话破灭事件，以及我国近期相继出 现的上市公司高管涉案，完善公司治理机制、有效管理企业风险正在成为企业 议事日程中最重要和最迫切的任务。我国政府将建立有效的公司治理结构视为 “现代企业制度”建设的核心内容，而加入 WTO勺承诺使得全面系统地处理这 一问题显得更加紧迫。国务院国资委主任李荣融说，目前上市公司所出现的问 题都与公司治理结构不完善有关。国资委要与证监会联合推动国有企业完善公 司治理结构。 公司治理的效率、效果直接依赖于许多的制度要

2、素。这既包括审计和信息 披露的质量，也包括法律系统对契约的监督以及对外部投资者的保护能力等。 例如，在逆向选择的框架下，我们可以看到：一个更好的会计标准和更及时的 信息披露要求将大大减轻经理人与外部投资者之间的信息不对称，从而便利了 融资，降低了代理风险。因此，公司治理的核心问题是信息不对称性或不完全 性，解决公司治理问题，最核心的是公司信息的真实、准确以及处理与传递的 效率问题，而 IT 技术在实时披露、实现透明度原则和体现监控力度上正日益成 为有效的工具。 2002年美国颁布的萨班斯法案对公众公司提出了更高的要 求，法案的 409 条款要求上市公司必须向投资者实时披露必要的信息，包括图 片

3、、表格等信息， 302、404条款要求公司应定期评价其信息系统及其内部控制 的充分性来保证提供给投资者信息的准确和完整，强调公司管理层建立和维护 内部控制系统及相应控制程序充分有效的责任。因此，研究 IT 治理，加强 IT 控制，降低风险，有效地实现公司治理，成为全球关注的问题。 公司治理是建立组织各利益相关者之间的相互制衡机制，管理风险，有效 实现组织目标的一系列过程及制度。内部控制制度是实现善治的制度安排之 一。IT治理是实现公司治理的工具。IT治理不等于治理IT技术，它是一个信 息时代背景下的制度安排，包括内部控制、审计以及公司信息的披露等。 IT 内 控是内控的一个组成部分，信息时代，

4、企业管理信息化水平日益提高，信息资 产成为企业的核心价值资产， IT 在给企业带来竞争力的同时，也带来了极大的 风险。因此利用 IT 技术加强内部控制，并对信息系统自身加强管理控制，成为 公司治理及 IT 治理必不可少的组成部分。 IT 内控是强化风险管理，完善信息 时代公司治理的必要手段。 IT 治理、内部控制、审计、风险管理体系等都是促 进公司治理的有效工具。 SOX法案的出台，对企业的公司治理、IT治理及IT内控提出了更严格的要 求。 、SOX法案的要求: 1. 对公司治理的要求： （1）要求上市公司必须建立审计委员会，并对审计委员会的人员组成做出 了规定，保证审计委员会的独立性，同时赋

5、予审计委员会更多的责任:萨班 斯- 奥克斯莱法，及其紧接着全美证券交易商协会和纽约证券交易所于2003 年 11 月又发布的新的公司治理最终规则详细地界定了审计委员会的职责， 具 体来说应包括： 1）每年获取并审查独立董事提交的报告。 2）与管理当局、独 立审计师一起讨论经审计的公司年度财务报表和季度财务报表，包括公司在 “管理当局对财务状况和经营结果的讨论和分析”项目中进行公告的财务事 项。 3）讨论公司收入公告及向分析师和评估机构的财务信息、收益指南。4） 讨论风险评价、风险管理政策。 5）分别与管理当局、内部审计师（或其他负责 内部审计机构的人员）和独立审计师定期会面。 6）与独立审计师

6、讨论所有的审 计难题以及管理当局的反应。 7）制定清晰的关于聘用现任或前任独立审计师的 政策。 8）定期向董事会报告 （2）增加高管人员及董事会的责任：CEOs and CFO必须保证财务报告真 实，要求发行人的CEO和CFO呆证定期报告没有对重大事件的不真实表述，也 没有遗漏必须披露的重大事件，并保证财务报告在所有重大方面都公允反映了 发行人的财务状况和经营成果。在此基础上，法案单独规定了对管理人员证明 财务报告时失职的刑事处罚。CEO和CFC如果知道定期报告不符合上述要求但 仍然做出保证的，将判处不超过 100万美元的罚款，或是不超过 10 年的监禁， 或是二者同罚；如果是蓄意做出书面保证

7、的，将判处不超过 500 万的罚款，或 是不超过 20 年的监禁，或是二者同罚。 2. 萨班斯法案对内控的要求： （1）法案 302 要求：公司管理层设计所需的内部控制，并保证首席官员能 知道该公司及其合并报表子公司的所有重大信息，尤其是报告期内的重大信 息；评价公司的内部控制在签署报告前 90 天内的有效性；在该定期报告中发布 他们上述评价的结论。 （2）法案 404 节要求：编制的年度报告中包括内部控制报告，包括：强调 公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任；发行人 管理层最近财政年度末对内部控制体系及控制程序有效性的评价 3. 萨班斯对审计师的要求：增加了审计师对信

8、息系统的审计，要求审计师 必须了解业务如何穿过系统，而不是绕过系统。审计师必须了解业务流程，评 价 IT 应用控制与一般控制的设计及效果。评价 IT 控制设计效果，确定这些 控制设计是否适当地实现相关目标。实施 IT 控制执行效果测试。 二、对上市电信运营商的挑战 萨班斯法案对高管严格的法律处罚令其中许多公司的最高管理层都如坐针 毡、夜不能寐。美国有多达 5000家大中型公众公司在 2004年 11月15日后结 束的财政年度中紧张异常，这而对于公司治理尚不完善的中国电信企业领导来 说，更是意味着要承担重大国际法律责任的风险。公司治理决定企业的兴衰， 企业的兴衰决定国家的兴衰，因此公司治理建设不

9、能出现任何重大失误。 我国电信企业在公司治理制度在股份制改造过程逐步发展，中国网通借美 国上市契机建立了新型的公司治理结构，董事长与 CEC分离，在董事会下设4 个委员会：审计委员会、战略规划委员会、公司治理委员会和薪酬委员会。 2005年 3月 7日，在京召开的中国电信集团实业工作会议明确：经过 3年左右 的时间，逐步规范法人治理结构。由于我们的企业处于社会转型的特定时期， 公司治理水平与日、美等发达国家有一定的差距。信息产业部电信研究院公布 的中国电信业国际竞争力发展报告（ 2004 年）显示，我国电信业国际竞争 力在全世界主要国家和地区中（共 33个国家和地区）排名第 14 位，然而细细

10、 看来，却发现了很多隐忧。报告将国际竞争力解析为 3 大竞争力：环境竞争 力、市场竞争力和企业竞争力，其中企业竞争力排名 27，企业竞争力指数包括 “技术创新”、“生产率”和“公司治理结构”，排名分别为 18、28和 21.不 难看出，目前我国电信企业的公司治理水平。要成为电信强国，环境竞争力、 市场竞争力和企业竞争力三者缺一不可，因此，我国目前距离电信强国还有较 大差距。从分析要素来看，法律和制度框架、政府效率，以及企业技术创新、 公司治理结构等 “软件”能力偏弱，单条腿走路。我国几大运营商中虽然已经 有中国移动和中国电信进入了财富 500 强，虽然几大运营商均已上市实现了公 司化治理，但由

11、于脱胎于老的国有企业，因此公司管理能力和治理结构仍有待 提高。因此，提高企业竞争力，就应该从改善公司治理结构做起。 三、运用信息化手段，完善公司治理 1. 完善公司治理机制。我国电信运营商需要健全公司内部治理的规则和程 序、建立公司的合法守规管理、完善约束与激励机制、加强公司的内部控制体 系以及建立公司的风险管理与控制机制。虽然在现有的公司治理结构中，有些 公司也有审计委员会、独立董事等监督机制，但这些人员的任职资格、发挥作 用的程度、以及职责定位等都需要进一步改进。 2、利用信息技术，完善公司治理的监控体系。公司治理是一种对公司管理 和运营进行监督和控制的体系。其核心是在所有权和经营权分离的

12、条件下，解 决好所有者和经营者的利益不一致而产生的委托 - 代理关系。由于委托人（所有 者）和代理人（经营者）是不同的利益主体，委托人（所有者）与代理人（经 营者）相比处于信息劣势的情况下，必然有代理成本或激励问题的产生。为完 善公司治理，必须重视委托与代理之间的信息不对称问题，通过对公司重要信 息有效的传递、鉴别和处理，使代理成本最小化，提高企业的经营绩效。萨班 斯法案强化公司治理要求的目的也是提高上市公司透明度，提高公布信息的质 量，加强信息披露，从而保护投资者的利益。 在市场经济中，信息交换是否充分，是否对称，直接关系到市场经济是否 公平、是否有效。为了保证信息公平、公开，人们设立了一系

13、列内外部机制。 独立董事担任的审计委员会，公司聘请的会计师事务所都层层对公司财务信息 的真实性、准确性、及时性进行审核、这些约束与激励机制的有效性取决于公 司信息真实与准确性和处理与传递效率的问题。在这点上， IT 技术正成为日益 有效的工具。 萨班斯 302、404、以及 409 等条款对公司的要求，使得 IT 在公司治理机 制中的作用日益凸现。由于信息技术不以人们的意志为转移地在各类组织中的 普遍应用， IT 在各类组织中的多层次、横纵向嵌入，正在改变着组织的业务流 程，进而改变组织的结构、组织的管理及公司治理；特别是电信企业对 IT 的依 赖性非常大，没有相应 IT 治理机制的公司治理，

14、使无法满足萨班斯的严格要求 的。由于 IT 治理已成为完善公司治理的重要手段，成为实现 IT 与业务的匹配 管理、IT价值贡献管理、IT风险管理、IT绩效管理等的重要保证，花旗银行 等美国大金融企业已经引进或正在引进 IT 治理机制。 国资委连续举办的旨在推动企业建立全面风险管理系统，进一步完善公司 治理机制的企业全面风险管理培训上，也提到在公司董事会层面建立 IT 治理委 员会，建立 IT 治理机制，完善信息时代的公司治理，促进现有公司治理制度安 排的有效执行。但由于信息技术在治理方面所具有的复杂性，完善 IT 治理机 制，构建符合萨班斯要求、适应时代发展的公司治理机制任重道远。 构建 IT

15、 内控系统的思路 （1）不能因耗时且成本高昂就摒弃原有的IT控制而另搞一套。SECt制 条款内容复杂，为了满足萨班斯法案的要求，大多数企业需要调整其员工观念 和企业文化，通常也需要对 IT 系统和其处理流程作一些改进，改进的内容包括 其控制设计、控制文件、控制文件的保留，以及 IT 控制的评估等方面。这是一 个循序渐进的过程，不能将原有的一切推倒重来。 （2）要选择好内控框架。法案并没有规定公司必须选择什么样的内控框 架，需要企业自己抉择。国际上比较有名的内控模式有英国的Cadbury、美国 的COSO和加拿大的COCQ 它们从不同的角度剖析公司的经营管理活动，为 营造良好的内控框架提供了一系

16、列的趋于一致的政策和建议。第 2号审计标准 依据COSOfU定的内部控制框架制订，在“管理层用于开展其评估的框架”一节 中，明确管理层要依据一个适宜且公认的由专家群体遵照应有的程序制定的控 制框架，来评估公司财务报告内部控制的有效性。SEC对该标准的认同等于从 另外一个侧面承认COSOS架。COSC认为内控是由企业董事会、经理层和其他 员工实施的， 为营运的效率效果、财务报告的可靠性及相关法令的遵循性等目 标的达成提供合理保证的过程。内控框架的构成要素包括控制环境、风险评 估、控制活动、信息和沟通、监督五个方面。这套理论得到了包括SEC公司 管理者、投资者、债权人及专家学者的普遍认可， 国外许多公司都依据这个框 架建立了内控系统，我国公司也可以按COSC建立内控框架， 逐步与国际管 理模式接轨。通过引入COSO内控要素，形成一个相互联系、综合作用的控制 整体， 使单纯的控制活动