標準簡介
沙賓法案（SOX）是美國 2002 年頒佈的聯邦法律，旨在因應安隆、世界通訊和泰科等重大企業會計醜聞。該法案對所有在美國上市的公司及在美國交易所上市的外國公司，在財務報告、內部控制和公司治理方面實施了嚴格改革。
SOX 建立了公眾公司會計監督委員會（PCAOB）以監管審計事務所，並引入了嚴格的 CEO/CFO 問責制、審計委員會獨立性和舉報人保護要求。二十多年後，SOX 仍然是美國公司治理和財務報告誠信的基石，合規成本和複雜性持續演變。
內部控制(第 404 條)
要求管理階層建立並維護適當的財務報導內部控制結構,大型加速申報公司須由外部查核人員出具核閱意見。
CEO/CFO 認證(第 302 條)
CEO 和 CFO 必須親自證明財務報告的準確性和完整性。不實認證將承擔刑事責任,包括罰款和監禁。
吹哨者保護(第 806 條)
為舉報企業舞弊的員工提供有力的法律保護,包括反打擊報復、復職及損害賠償。
list_alt 關鍵條款
- 第 302 條——CEO/CFO 對財務報告的認證
- 第 404 條——內部控制評估與查核人員核閱
- 第 409 條——重大變化的即時揭露
- 第 802 條——銷毀文件的刑事處罰
- 第 806 條——吹哨者保護
- 第 906 條——不實認證的刑事處罰
- PCAOB 對上市公司會計師事務所的監管
- 審計委員會獨立性要求
誰需要合規？
所有在美國上市的公司以及在美國證券交易所上市的外國公司。同樣適用於其全資子公司以及為其查核的上市公司會計師事務所。計劃 IPO 的私人公司必須為 SOX 合規做好準備。
關鍵要求
財務報導內部控制(ICFR)
管理階層必須每年評估並報告財務報導內部控制的有效性。大型加速申報公司須依據 PCAOB AS 2201 由外部查核人員出具核閱意見。
高階主管認證
CEO 和 CFO 必須在每份年度和季度報告上簽署認證,證明財務報表允當表達公司的財務狀況,不存在重大不實表達或遺漏。
審計委員會獨立性
審計委員會必須由獨立董事組成,且至少有一位財務專家。委員會負責監督外部查核、內部控制及吹哨者程序。
檔案保存
查核工作底稿及相關紀錄須至少保存 7 年。故意銷毀或偽造文件以阻撓調查將承擔刑事責任。
即時揭露
以快速、即時的方式揭露財務狀況或營運方面的重大變化(第 409 條)。這包括就重大事件提交當期報告(8-K)。
實施路線圖
準備範圍、治理和重要性
確認申報人類別、SOX 時間表、範圍内重大帳戶、地點、系統和業務流程。建立稽核委員會監督、管理層認證負責人、控制負責人以及与季度和年度報告衔接的專案日曆。
風險和控制差距分析
将財務報表風險對應到流程控制、實體層控制、IT 一般控制和揭露控制。識別可能影响 ICFR 有效性的缺失或薄弱控制、職責分離衝突、系統依賴和證據缺口。
實施并測試 ICFR 控制
設計或整改關鍵控制，記錄流程说明和控制矩陣，培訓負責人，并执行管理層測試。整改缺陷，評估嚴重程度，并在適用 Section 404(b) 鑑證时与外部稽核师協調。
稽核、認證并維護控制
支援季度子認證、年度管理層評估、稽核委員會報告和外部稽核請求。隨著系統、流程、人員和併購變化保持控制最新，并跟踪缺陷直至關閉。
合規檢查清單
checklist 治理与範圍界定
checklist 控制設計与執行
checklist 缺陷与報告
SOX 与 SOC 1、SOC 2 对比
SOX 是上市公司報告的法律要求，而 SOC 報告是服務稽核师出具的保證產品。
| 面向 | SOX | SOC 1 | SOC 2 |
|---|---|---|---|
| 主要关注 | 上市公司財務報告和 ICFR | 与用户實體財務報告相关的服務控制 | 安全性、可用性、保密性、處理完整性或隱私 |
| 受众 | 投資人、SEC、管理層、稽核委員會、外部稽核师 | 用户實體及其財務報表稽核师 | 評估信任控制的客戶和利害關係人 |
| 法律狀態 | 法定和 SEC 報告义务 | 合約或客戶驅動的保證 | 合約或客戶驅動的保證 |
| 典型負責人 | 財務、内审、IT、法務和高階主管層 | 服務組織管理層 | 安全、合規和服務組織管理層 |
常見誤區
SOX 只與財務團隊有关。
SOX 很大程度依賴 IT 系統、存取控制、變更管理、法律揭露、HR 角色和高層認證。
去年通过 SOX 稽核就说明今年控制没问题。
控制有效性必須針對目前報告期評估，系統、人員、流程或併購變化都可能改变風險。
控制越多，SOX 合規越好。
SOX 專案应聚焦處理重大財務報告風險的關鍵控制。过多低价值控制会新增成本，却不提升保證效果。
處罰與執行
對財務報告作出不實認證的高階主管面臨最高 500 萬美元罰款和最高 20 年監禁(第 906 條)。企業面臨最高 2,500 萬美元罰款。銷毀文件的處罰最高可達 500 萬美元罰款和 20 年監禁(第 802 條)。公司可能被證券交易所下市。
常見問題解答
谁必須遵守 SOX？
expand_more
SOX 適用於在美國注册证券的公司，包括许多外国私人發行人，也適用於稽核这些公司的公共会计师事務所。準備 IPO 的私營公司通常会在上市前建立 SOX 就緒控制。
Section 404 是什么？
expand_more
Section 404 要求管理層評估并報告財務報告內部控制的有效性。Section 404(b) 还要求適用公司接受獨立稽核师鑑證。
ICFR 控制是什么？
expand_more
財務報告內部控制包括政策、流程、系統控制、複核、調節、核准和 IT 控制，目標是合理保證財務報表可靠并依照適用会计规则编制。
Section 302 和 Section 404 有什么区别？
expand_more
Section 302 要求 CEO 和 CFO 对定期報告和揭露控制進行認證。Section 404 聚焦管理層对 ICFR 有效性的年度評估，以及適用申報人的外部稽核师鑑證。
所有上市公司都需要 404(b) 稽核师鑑證吗？
expand_more
不是。適用性取決於申報人類別和 SEC 规则。管理層 404(a) 評估適用範圍更广，而 404(b) 稽核师鑑證通常適用於较大型 accelerated filer 類別，不適用於某些较小發行人。
重大缺陷是什么？
expand_more
重大缺陷是一个缺陷或缺陷组合，导致財務報表重大錯報有合理可能无法被及时預防或發現。重大缺陷必須揭露。
IT 控制如何納入 SOX？
expand_more
发起、處理、儲存或報告財務資料的系統通常需要 IT 一般控制，包括存取管理、變更管理、執行、备份和特殊權限存取控制。薄弱 ITGC 会削弱原本良好的業務流程控制。
SOX 控制应多久測試一次？
expand_more
管理層測試通常贯穿全年，时间取決於控制頻率、風險和稽核要求。季度控制和揭露認證应在申報前获得支援，年度控制则需在年末前具备足够執行證據。