标准简介
《萨班斯-奥克斯利法案》（SOX）是 2002 年 7 月 30 日由美国国会通过的联邦法律，全称为《2002 年上市公司会计改革和投资者保护法案》。该法案是在安然和世通等重大公司财务欺诈丑闻后制定的，旨在加强上市公司的财务报告透明度和问责制。SOX 由美国证券交易委员会（SEC）监管，适用于所有在美国证券交易所上市的公司（包括外国发行人），以及为上市公司提供审计服务的注册会计师事务所。
SOX 最关键的条款包括：第 302 条（CEO 和 CFO 必须亲自认证财务报告的准确性和完整性）、第 404 条（管理层必须评估和报告财务报告内部控制的有效性，加速申报公司需要外部审计师出具内控审计意见）、第 409 条（实时披露重大财务状况变化）以及第 802 条（故意销毁或篡改审计记录可处以最高 20 年监禁）。SOX 合规对 IT 系统有重大影响，要求实施访问控制、变更管理、数据备份和审计追踪。大型企业的年度 SOX 合规成本通常在 100 万至 500 万美元之间。上市公司会计监督委员会（PCAOB）负责监督审计标准和检查会计师事务所。
内部控制(第 404 条)
要求管理层建立并维护适当的财务报告内部控制结构,大型加速申报公司须由外部审计师出具鉴证意见。
CEO/CFO 认证(第 302 条)
CEO 和 CFO 必须亲自证明财务报告的准确性和完整性。虚假认证将承担刑事责任,包括罚款和监禁。
举报人保护(第 806 条)
为举报企业欺诈的员工提供有力的法律保护,包括反打击报复、复职及损害赔偿。
list_alt 关键条款
- 第 302 条——CEO/CFO 对财务报告的认证
- 第 404 条——内部控制评估与审计师鉴证
- 第 409 条——重大变化的实时披露
- 第 802 条——销毁文件的刑事处罚
- 第 806 条——举报人保护
- 第 906 条——虚假认证的刑事处罚
- PCAOB 对上市公司会计师事务所的监管
- 审计委员会独立性要求
谁需要合规？
所有在美国上市的公司以及在美国证券交易所上市的外国公司。同样适用于其全资子公司以及为其审计的上市公司会计师事务所。计划 IPO 的私营公司必须为 SOX 合规做好准备。
关键要求
财务报告内部控制(ICFR)
管理层必须每年评估并报告财务报告内部控制的有效性。大型加速申报公司须依据 PCAOB AS 2201 由外部审计师出具鉴证意见。
高管认证
CEO 和 CFO 必须在每份年度和季度报告上签署认证,证明财务报表公允反映公司的财务状况,不存在重大错报或遗漏。
审计委员会独立性
审计委员会必须由独立董事组成,且至少有一位财务专家。委员会负责监督外部审计、内部控制及举报人程序。
档案保存
审计工作底稿及相关记录须至少保存 7 年。故意销毁或伪造文件以阻碍调查将承担刑事责任。
实时披露
以快速、及时的方式披露财务状况或经营方面的重大变化(第 409 条)。这包括就重大事件提交当期报告(8-K)。
实施路线图
准备范围、治理和重要性
确认申报人类别、SOX 时间表、范围内重大账户、地点、系统和业务流程。建立审计委员会监督、管理层认证负责人、控制负责人以及与季度和年度报告衔接的项目日历。
风险和控制差距分析
将财务报表风险映射到流程控制、实体层控制、IT 一般控制和披露控制。识别可能影响 ICFR 有效性的缺失或薄弱控制、职责分离冲突、系统依赖和证据缺口。
实施并测试 ICFR 控制
设计或整改关键控制，记录流程说明和控制矩阵，培训负责人，并执行管理层测试。整改缺陷，评估严重程度，并在适用 Section 404(b) 鉴证时与外部审计师协调。
审计、认证并维护控制
支持季度子认证、年度管理层评估、审计委员会报告和外部审计请求。随着系统、流程、人员和并购变化保持控制最新，并跟踪缺陷直至关闭。
合规检查清单
checklist 治理与范围界定
checklist 控制设计与运行
checklist 缺陷与报告
SOX 与 SOC 1、SOC 2 对比
SOX 是上市公司报告的法律要求，而 SOC 报告是服务审计师出具的保证产品。
| 方面 | SOX | SOC 1 | SOC 2 |
|---|---|---|---|
| 主要关注 | 上市公司财务报告和 ICFR | 与用户实体财务报告相关的服务控制 | 安全性、可用性、保密性、处理完整性或隐私 |
| 受众 | 投资者、SEC、管理层、审计委员会、外部审计师 | 用户实体及其财务报表审计师 | 评估信任控制的客户和利益相关方 |
| 法律状态 | 法定和 SEC 报告义务 | 合同或客户驱动的保证 | 合同或客户驱动的保证 |
| 典型负责人 | 财务、内审、IT、法务和高管层 | 服务组织管理层 | 安全、合规和服务组织管理层 |
常见误区
SOX 只与财务团队有关。
SOX 很大程度依赖 IT 系统、访问控制、变更管理、法律披露、HR 角色和高层认证。
去年通过 SOX 审计就说明今年控制没问题。
控制有效性必须针对当前报告期评估，系统、人员、流程或并购变化都可能改变风险。
控制越多，SOX 合规越好。
SOX 项目应聚焦处理重大财务报告风险的关键控制。过多低价值控制会增加成本，却不提升保证效果。
处罚与执行
对财务报告作出虚假认证的高管面临最高 500 万美元罚款和最高 20 年监禁(第 906 条)。企业面临最高 2,500 万美元罚款。销毁文件的处罚最高可达 500 万美元罚款和 20 年监禁(第 802 条)。公司可能被证券交易所摘牌。
常见问题解答
谁必须遵守 SOX？
expand_more
SOX 适用于在美国注册证券的公司，包括许多外国私人发行人，也适用于审计这些公司的公共会计师事务所。准备 IPO 的私营公司通常会在上市前建立 SOX 就绪控制。
Section 404 是什么？
expand_more
Section 404 要求管理层评估并报告财务报告内部控制的有效性。Section 404(b) 还要求适用公司接受独立审计师鉴证。
ICFR 控制是什么？
expand_more
财务报告内部控制包括政策、流程、系统控制、复核、调节、审批和 IT 控制，目标是合理保证财务报表可靠并按照适用会计规则编制。
Section 302 和 Section 404 有什么区别？
expand_more
Section 302 要求 CEO 和 CFO 对定期报告和披露控制进行认证。Section 404 聚焦管理层对 ICFR 有效性的年度评估，以及适用申报人的外部审计师鉴证。
所有上市公司都需要 404(b) 审计师鉴证吗？
expand_more
不是。适用性取决于申报人类别和 SEC 规则。管理层 404(a) 评估适用范围更广，而 404(b) 审计师鉴证通常适用于较大型 accelerated filer 类别，不适用于某些较小发行人。
重大缺陷是什么？
expand_more
重大缺陷是一个缺陷或缺陷组合，导致财务报表重大错报有合理可能无法被及时预防或发现。重大缺陷必须披露。
IT 控制如何纳入 SOX？
expand_more
发起、处理、存储或报告财务数据的系统通常需要 IT 一般控制，包括访问管理、变更管理、运行、备份和特权访问控制。薄弱 ITGC 会削弱原本良好的业务流程控制。
SOX 控制应多久测试一次？
expand_more
管理层测试通常贯穿全年，时间取决于控制频率、风险和审计要求。季度控制和披露认证应在申报前获得支持，年度控制则需在年末前具备足够运行证据。