美国萨班斯·奥克斯法案-302和404条款下内部审计师的职责

《萨班斯－奥克斯利法案》第三章公司的责任第302条 公司对财务报告的责任(a) 对制定规章的要求——SEC应颁布规定，对于按照1934年的证券交易法的13(a)或15(d)部分编制定期报告的公司，应要求这些公司的首要官员（们）及首要财务官（们）（或担任同等职务的人员）在每一年度报告或季度报告中保证如下内容：(1) 签字的官员已审阅过该报告；(2) 该官员认为报告中不存在重大的错报、漏报；(3) 该官员认为报告中的会计报表及其他财务信息在所有重大方面，公允地反映了公司在该报告期末的财务状况及该报告期内的经营成果。

(4) 签字官员：(A) 对建立及保持内部控制负责；(B) 设计了所需的内部控制，以保证这些官员能知道该公司及其并表子公司的所有重大信息，尤其是报告期内的重大信息；(C) 评价公司的内部控制在签署报告前90天内的有效性；(D) 在该定期报告中发布他们上述评价的结论；(5) 签字官员已向公司的审计师及董事会下属的审计委员会（或担任同等职务的人员）披露了如下内容：(A) 内部控制的设计或执行中，对公司记录、处理、汇总及编报财务数据的功能产生负面影响的所有重大缺陷。

以及向公司的审计师指出内部控制的重大缺点；(B)在内部控制中担任重要职位的管理人员或其他雇员的欺诈行为，而不论该行为的影响是否重大；(6) 签字官员应在报告中指明在他们对内部控制评价之后，内部控制是否发生了重大变化，或是其他可能对内部控制产生重要影响的因素，包括对内部控制的重大缺陷或重要缺点的更正措施。

(b) 公司迁址国外不影响本法案的效力——即使发行证券的公司通过再合并或其他交易使公司的注册地或办公地迁至国外，也不能减少本节规定的法律效力。

本节规定对该公司依然适用，且全部适用。

(c) 最终期限——本节(a)部分的规定应在本法案颁布后30日内生效。

美国上市公司在华子公司萨班斯法案404条款的执行美国上市公司在华子公司萨班斯法案404条款的执行2002年，美国国会通过了《萨班斯-奥克斯利法案》（SOX），为进一步规范上市公司的财务报告和内部控制体系，加强投资者的保护和市场的稳定，尤其是404条款，要求上市公司评估与报告其内部控制的有效性。

这对于在中国设立的美国上市公司的子公司来说，同样需要严格遵守。

萨班斯法案要求上市公司确保其内部控制系统的有效性，并要求审计师对公司的内部控制进行审计。

为了确保在华子公司能够有效地执行404条款，公司需要采取以下措施。

首先，公司需要确保在华子公司高层管理层对内部控制意识的重视和理解。

这包括对内部控制制度的培训和教育，以确保员工了解内部控制的重要性和实施的必要性。

同时，公司还需要建立起一个完善的内部控制框架，包括制定内部控制政策和程序，并明确内部控制的目标和执行步骤。

这些措施将帮助在华子公司建立起有效的内部控制体系。

其次，公司需要开展内部控制评估。

根据萨班斯法案的要求，公司需要对其内部控制进行评估，以确保其有效性。

评估的主要目的是发现并解决任何可能存在的风险和漏洞，从而提高内部控制的效能。

评估的结果将有助于改进内部控制系统，并向公司高级管理人员和董事会提供有关内部控制的透明度和准确度。

此外，公司还需要保证内部控制审计的有效进行。

根据萨班斯法案，上市公司必须通过独立的审计师对其内部控制进行审计。

对于在华子公司而言，选择一个合适的审计师是至关重要的。

审计师应该具备丰富的经验和专业知识，以便充分理解和评估子公司的内部控制体系。

此外，公司还应与审计师保持密切的合作和沟通，确保审计过程的顺利进行，并及时解决任何问题。

最后，公司还需要定期报告其内部控制的情况。

根据萨班斯法案，上市公司需要向投资者和监管机构报告其内部控制的效果。

在华子公司需要按照公司总部的要求，及时提供与内部控制相关的信息和数据，并确保报告的准确性和可靠性。

美国通用汽车公司内部控制——实施萨班斯法案404条款的案例分析一、萨班斯法案404条款对内部控制的要求近年来美国安然公司倒闭，施乐公司、世界通信公司作假，直接导致了一部新法案即《萨班斯──奥克斯利法案》的出台。

这是一部涉及会计职业监管、公司治理、证券市场监管等多方面改革的重要法律。

该法案的颁布意味着目前所有在美国上市的公司，包括在美国注册的上市公司和在外国注册而于美国上市的公司，都必须遵守该法案。

其中争议最大、对企业影响最深的就是有关企业内部控制规定的404条款。

该条款严格界定了上市公司管理层对公司内部控制承担的责任和义务，要求在美国的上市公司必须建立和保持一套完整的与财务报告相关的内部控制系统和程序，同时管理层应对财务年度期末与公司财务报告相关的内部控制系统及程序的有效性做出评价，而且评价结果还需经过外部审计师的审计，并对管理层的内控报告出具鉴证报告，以达到内部和外部双重监控的目的。

根据404条款的要求，每个公司都要详细描述其所有工作岗位的职责以及每项工作的流程，并确保各个流程的所有环节都有相应的内控制度作保证，如果没有相应的内控制度或内控制度不够完善，还要指出问题所在，并且外部审计师必须参与上述工作的调查与验证。

因此，为了达到404条款的要求，公司管理层需要进行如下内部控制评估方面的工作：1．确认需要测试的控制措施，包括对所有重要财务报表科目及信息披露的相关会计认定所采取的控制措施；2．评估由于控制措施失效而导致会计报表错记的可能性及错记的严重性，以及其他控制措施实现相同控制目标的程度；3．确认应纳入评估范围的具体公司地址或业务单元，并对所有会计报表重要项目及信息披露的相关会计认定、所实施的控制措施在设计及实践方面的有效性进行评估；4．确认在内部控制系统中所发现的不足，是否会构成重大缺陷或实质性漏洞，并就主要发现的内部控制系统不足与相关方面进行沟通，评估这些主要发现是否与评估结果相一致。

二、法案出台后美国通用汽车公司内部控制基本框架结构美国通用汽车公司是美国主要工业垄断组织之一，也是世界汽车制造业中最大的跨国公司。

萨班斯-奥克斯利法案《萨班斯-奥克斯利法案》概要101条款：公众公司会计监察委员合的建立及其成员公众公司会计监察委员会(PCAOB)将设五个位财务的成员，任期五年。

其中两个是或者曾经是注册公共会计师(CPA)，其余三个必须不是CPA。

主席可以由CPA中的一员组成，前提是他或她已有五年没有从事CPA业务。

委员会的成员全职服务。

禁止成员在服务期内，除“固定的连续收入”如退休金之外，“分享任何利润，或者从任何公共会计事务所收取报酬”，委员会成员由证券交易委员会(sEc)“咨询联邦储备委员会主席和财政部长意见后”任命。

成员可以由委员会用“正当理由”罢免。

103条款；审计、质量控制及独立的标准和准则公众公司会计监察委员会(PCAOB)将：(1)对公共会计事务所进行登记；(2)按规章建立或采纳“审计、质量控制、操守、独立性．及其他与准备审计报告相关的标准”；(3)对会计师事务所进行检查；(4)进行调查和纪律检查活动，并执行适当的惩罚；(5)执行其他必要或者适当职责或功能；(6)强制执业行为与本法案、会计监察委员会规则、职业标准，以及与审计报告准备和发布相关的证券法律、会计师义务和责任保持一致；(7)制定预算，管理委员会的运作和委员会的员工。

审计标准。

委员会必须“在长期合作的基础上”与为设定标准而召集的指定专业会计师群体和任何咨询群体合作。

委员会虽然能够“以它认为合适的程度”采纳这些团体提出的标准建议，但有补充、修改、废除以及拒绝这些团体提出的标准、建议的权力。

委员会必须每年向SEC报告其设定标准的活动。

委员会必须要求注册公众会计事务所“准备并保存不少于7年的审计工作文件和其他与审计报告有关的信息，以提供足够的细节支持其在这些报告中做出的结论”。

委员会必须要求联席合伙人审核和认可审计报告，注册会计事务所必须施行质量控制的标推。

委员会必须采用一个审计标准来进行内部控制的审核。

这个标准要求审计者评估内部控制的结构和程序是否包括了冶确公正地反映交易的记录，是否合理地保证了记录交易的方式能确保财务报表的编制与通用会计原则(GAAP)一致，并能反映内部控制中的实际缺陷。

《萨班斯法案》下的内部控制审计内容与方法作者：谢盛纹【摘要】《萨班斯法案》404（a）条款以及SEC（美国证券交易委员会）的相关执行规则，要求上市公司管理当局评估财务报告内部控制的有效性，也要求公司的外部独立审计师对管理当局的评估发表鉴证意见。

根据PCAOB的第2号审计准则，财务报告内部控制审计的一个主要对象是评价管理当局的评估，其目标是就管理当局的公司财务报告内部控制的有效性在所有重大方面是否公允表达形成一个意见。

为了适当地计划和执行一个有效的内部控制审计，审计师就应该有一个有效的审计方法。

【关键词】萨班斯法案内部控制审计2002年美国《萨班斯——奥克斯利法案》（下称“法案”）404（a）条款以及SEC（美国证券交易委员会）的相关执行规则，要求上市公司管理当局评估财务报告内部控制的有效性，404条款还要求管理当局将其就财务报告内部控制有效性的评估结果包含在公司向投资者报告的年报里，也要求公司的外部独立审计师对管理当局的评估发表鉴证意见。

法案404条款还有103条款指令PCAOB（上市公司会计监督委员会）制定职业准则以指导独立审计师的鉴证和报告公司管理当局对其财务报告内部控制有效性评估结果的公允性。

2006年7月15日之后，所有在美国上市的公司都要按照法案要求接受那近乎残酷的“萨式”考验了，这不仅对上市公司来说是这样的，对上市公司的独立审计师来说也一样。

因为从此以后，审计师就要涉及另一个审计领域了。

一、内部控制审计准则的发布PCAOB于2004年4月9日正式发布了题为“连同财务报表审计的财务报告内部控制审计”的第2号审计准则。

要求被证券交易法12b-2所认定为首次递交的公司会计年度结束于2004年12月31日或之后的就要遵循萨班斯法案404条款规定的内部控制报告和披露。

（其他公司直至会计年度结束于2005年12月31日或之后的才遵循内部控制报告和披露的规定。

）因此，受聘于审计首次递交人会计年度结束于2004年12月31日或之后财务报表的独立审计师也要求审计和报告公司同期会计年度的财务报告内部控制。

《萨班斯－奥克斯利法案》第三章公司的责任第302条 公司对财务报告的责任(a) 对制定规章的要求——SEC应颁布规定，对于按照1934年的证券交易法的13(a)或15(d)部分编制定期报告的公司，应要求这些公司的首要官员（们）及首要财务官（们）（或担任同等职务的人员）在每一年度报告或季度报告中保证如下内容：(1) 签字的官员已审阅过该报告；(2) 该官员认为报告中不存在重大的错报、漏报；(3) 该官员认为报告中的会计报表及其他财务信息在所有重大方面，公允地反映了公司在该报告期末的财务状况及该报告期内的经营成果。

(4) 签字官员：(A) 对建立及保持内部控制负责；(B) 设计了所需的内部控制，以保证这些官员能知道该公司及其并表子公司的所有重大信息，尤其是报告期内的重大信息；(C) 评价公司的内部控制在签署报告前90天内的有效性；(D) 在该定期报告中发布他们上述评价的结论；(5) 签字官员已向公司的审计师及董事会下属的审计委员会（或担任同等职务的人员）披露了如下内容：(A) 内部控制的设计或执行中，对公司记录、处理、汇总及编报财务数据的功能产生负面影响的所有重大缺陷。

以及向公司的审计师指出内部控制的重大缺点；(B)在内部控制中担任重要职位的管理人员或其他雇员的欺诈行为，而不论该行为的影响是否重大；(6) 签字官员应在报告中指明在他们对内部控制评价之后，内部控制是否发生了重大变化，或是其他可能对内部控制产生重要影响的因素，包括对内部控制的重大缺陷或重要缺点的更正措施。

(b) 公司迁址国外不影响本法案的效力——即使发行证券的公司通过再合并或其他交易使公司的注册地或办公地迁至国外，也不能减少本节规定的法律效力。

本节规定对该公司依然适用，且全部适用。

(c) 最终期限——本节(a)部分的规定应在本法案颁布后30日内生效。

美国萨班斯·奥克斯法案302和404条款下内部审计师的职责（部分）一、综述............二、目的............三、背景............四、404遵循性工作中阶段、工作和主要职责的简述五、审计委员会、管理层和外部审计师作用小结........ （一）审计委员会...........（二）管理层...................（三）外部审计师...........六、建议性内部审计作用................（一）项目监督...............（二）咨询和项目支持...（三）持续的监督和测试（四）项目审计...............七、实践的判断（一）咨询的源泉...........（二）作为管理层完成记录或测试的有力助手...（三）作为项目管理层.（四）作为内部控制培训或信息提供者............. （五）作为控制自我评估发起者.....（六）作为披露程序证明者.............八、如何处理对内部审计客观性的妨害..........一、综述随着各个公司逐渐展开对萨班斯·奥克斯法案（以下简称“SOX 法案”）的遵循性工作，内部审计也就其在遵循性工作中的地位和工作遇到一系列问题。

根据404条款的要求，管理层需要建立、健全财务报告内部控制，并对其进行评价，同时外部审计师要对上述评价进行再评价。

302条款不仅要求管理层每季度对财务报告相关内部控制进行评价，而且对信息披露方面的控制和程序也要进行评价。

保证对SOX法案302、404及其他条款的遵循性是公司管理层不可推卸的责任。

帮助管理层履行上述职责是内部审计的职责。

参与公司404遵循性工作是内部审计的重要工作，但是上述工作要与内部审计总体目标和章程相一致。

无论内部审计涉入404遵循性工作中的层次和性质是什么样的，都不应该违背内部审计的客观性和其监督公司主要风险区域的职能。

萨班斯法案简介2002年6月18日美国国会参议院银行委员会以17票赞成对4票反对通过由奥克斯利和参议院银行委员会主席萨班斯联合提出的会计改革法案——《2002上市公司会计改革与投资者保护法案》。

为了吸引受重挫的投资信心，2002年7月25日美国众议院以423票赞成、3票反对，参议院以99票全票赞成的高效率迅速通过此议案。

这一议案在美国国会参众两院投票表决通过后，由布什总统在2002年7月30日签署成为正式法律，称作《200 2年萨班斯-奥克斯利法案》。

萨班斯法案的主要内容包括：设立独立的上市公司会计监管委员会，负责监管执行上市公司审计的会计师事务所；特别加强执行审计的会计师事务所的独立性；特别强化了公司治理结构并明确了公司的财务报告责任及大幅增强了公司的财务披露义务；大幅加重了对公司管理层违法行为的处罚措施；增加经费拨款，强化美国证券交易委员会(SEC)的预算以及职能。

其中，萨班斯法案中有两个条款需要在美上市的公司或准备赴美上市的企业特别留意：其一，302条款——公司对于财务报告的责任：萨班斯法案302条款2002年9月生效，规定美国上市公司的首席执行官(CEO)和财务总监(CFO)在其年度和中期财务报表中必须签名并认证，其财务报表完全符合萨班斯法案中有关规定，并不含有任何不真实的并导致其财务报表误导公众的重大错误或遗漏。

如果将来发现有问题，CEO或CFO个人将对公司财务报表承担民事甚至刑事责任。

这个302条款对于在美国上市的中国企业同样适用。

然而，实际操作上如何把握，国有控股的在美上市的大企业老总如何面对由萨班斯法案带来的大量法律诉讼，将是个令人头痛的问题。

其二，404条款——公司管理层及外部审计师对于公司财务内部控制的责任：萨班斯法案404条款要求公司管理层和公共审计师，每年在年报中就公司产生财务报告的内控系统分别作出评价和报告，还要求外部公共审计师对于公司管理层评估过程以及内控系统结论进行相应的检查并出具正式意见。

404法案：美国在2002年7月出台《萨班斯-奥克斯利法案》，其中的第404条款中要求所有上市企业必须在限定时间内提交一份详尽的财务报表内控报告。

英文名：Sarbanes-Oxley Section 4042002年，在安然事件后的一片混乱中，美国颁布了萨班斯－奥克斯利法案（以下简称“萨班斯法案”）。

该法案对美国商业界影响巨大，以致于美国总统布什在签署萨班斯法案的新闻发布会上称，“这是自罗斯福总统以来美国商业界影响最为深远的改革法案”。

从表面来看，它的初衷并不激进：即提高经理对股东的责任，并由此解决人们在丑闻发生之后对美国资本市场的信任危机。

然而，法案的方法却很偏激，而其中的404条款也因其严厉性和高昂的执行成本饱受争议。

最复杂的条款作为萨班斯法案中最重要的条款之一，404条款明确规定了管理层应承担设立和维持一个应有的内部控制结构的职责。

该条款要求上市公司必须在年报中提供内部控制报告和内部控制评价报告\;上市公司的管理层和注册会计师都需要对企业的内部控制系统作出评价，注册会计师还必须对公司管理层评估过程以及内控系统结论进行相应的检查并出具正式意见。

显然，404条款对于公司内部控制情况作出严厉要求是为了使得公众更易于察觉到公司的欺诈行为，并确保公司财务报告的可靠性。

而上市公司为了遵循该条款将付出沉重的代价，包括大量的时间和人力、财力的投入。

对于上市公司来说，404条款的实施是一个重要的举措，必须由公司董事、管理层、404项目小组、内审总监与其他人士积极监察和参与。

404条款的遵照执行有四个区分明显的阶段:1.公司应制定内部控制详细目录，确定内部控制是否足够，然后将这些控制与诸如COSO委员会之类的内部控制研究机构的内部控制框架进行对照\; 2.公司被要求记录控制措施评估方式，以及未来将被用来弥补控制缺陷的政策和流程(如果有的话)\;3.公司必须进行测试工作，以确保控制措施和补救手段起到预期作用\;4.管理层必须将前述三个阶段的各项活动情况整理成为一份正式的报告。

附则三、美国《萨班斯法案》302、404条款302条：公司对定期财务报告的责任该条要求SEC于2002年8月29日前制订规则，要求向SEC提交定期报告的公司，在每一个年度或季度定期报告中就某些财务事宜(见下述提纲)附一份由公司首席执行官和首席财务官签署的书面认证文件。

SEC已按国会要求于2002年8月27日正式颁布了实施规则。

该认证文件明确适用于20-F表年度报告。

302条认证必须包括下述内容：（1）签名的官员已审阅该报告。

（2）据首席执行官和首席财务官所知，该报告不含任何对重要事实的不实之词，也未遗露任何重要事实，以保证该报告在其特定条件下不产生任何误导。

（3）据首席执行官和首席财务官所知，报告中的财务报表和财务信息，在所有重大方面公允地反映了上市公司在报告所述阶段的财务状况和运营业绩。

（4）签署官员负责建立和维持公司内部控制机制；已设计了该内部控制机制以保证签署官员能够获得有关公司及其子公司的重要信息；已评估了公司内部控制机制在编制财务报告日前90天的有效性；并以该评估为依据在报告中陈述其对公司内部控制机制有效性如何的结论性意见。

（5）签署官员已向审计师和审计委员会披露了所有有关内部控制的重要不足之处，包括上市公司内部控制的设计和运作中记录、处理、汇总和汇报财务数据的能力方面，以及任何涉及在内部控制中发挥重要作用的管理人员和雇员的欺诈行为，无论该欺诈重大与否。

（6）签署官员已在报告中说明自评估之日以后内部控制是否进行过重大变更，包括对重大和不足之处的补救措施。

如果一家美国公司将其公司注册地转移到国外仍要提供302节的规定的认证。

404条: 管理层对内部控制的评估指示SEC制订规则，要求上市公司年度报告中(包括20-F表)包含“内部控制报告”，该报告应：（1）载明管理层为财务汇报建立和维持充分的内部控制结构和程序的责任。

（2）包含对上市公司财务汇报内部控制结构和程序至最近一个财务年度年末的有效性的评估。

萨班斯法案404条款：后续进展会计研究·陈汉文吴益兵李荣徐臻真2002年的萨班斯一奥克斯利法案（Sarbanes-Oxley Act of 2002，本文简称萨班斯法案）对财务呈报程序产生了十分重大的影响。

其中，404条款要求公众公司管理当局对企业内部控制的有效性进行披露报告，注册会计师必须对该份报告进行审计。

在实践层面，美国证券交易委员会（SEC）通过制定规则来具体执行萨班斯-奥克斯利法案404条款，这些规则为CEO和CFO对主体财务呈报内部控制（entity's inter nal control over financial reporting）和披露控制（disclosure control）的报告提供了指南；公众公司会计监管委员会（PCAOB）通过为注册会计师制定审计准则，直接影响注册会计师该类审计合约的计划与实施；COSO委员会制定内部控制标准框架，作为管理当局和注册会计师进行内部控制评价的基础。

本文介绍上述几方面的最新进展。

一、萨班斯法案404条款与SEC规则为了配合萨班斯法案404条款有关内部控制规定的实施，SEC提出了“财务呈报内部控制”的操作性定义。

SEC规则13a-15（f）规定：财务呈报内部控制是一个过程，由发行人的主要执行官员、主要财务官员或者行使类似职权的人员设计或监控，受发行人的董事会、管理当局和其他人员所影响，为财务呈报的可靠性和财务报表（供外部使用的）的编制符合公认会计原则提供合理的保证。

具体包括以下控制政策和程序：（1）保持详细合理的会计记录，准确公允地反映发行人资产的交易和处置情况；（2）为下列事项提供合理的保证：发行人对发生的交易进行必要的纪录，从而使财务报表的编制满足公认会计原则的要求；发行人所有的收支活动均得到管理当局和董事的合理授权；（3）为下列事项提供合理保证，即防止或及时发现发行人的资产未经授权地取得、使用和处置，因为发行人资产的取得、使用和处置会对财务报表产生重大影响。

◆302条款的要求：该条款要求由首席执行官和财务主管在内的企业管理层，对公司财务报告的内部控制按季度和年度就以下事项发表声明（予以证实）：●对建立和维护与财务报告有关的内部控制负责。

●设计所需的内部控制，以保证这些官员能知道该公司及其子公司的所有重大信息，尤其是报告期内的重大信息。

●与财务报告有关的内部控制的任何变更都已得到恰当的披露，这里的变更指最近一个会计季度已经产生，或者合理预期将对于财务报告有关的内部控制产生重大影响的变更。

在当前环境下，IT系统驱动着财务报告流程。

诸如ERP之类的IT系统紧密地贯穿于企业经济业务的开始、授权、记录、处理和报告一整套过程中。

就其本身而言，IT系统和整个财务报告流程也是紧密联系的，为了遵循萨班斯法案，也要对IT内部控制的有效性予以评估。

◆404条款的要求：萨班斯法案404条款要求，管理层在其年度文件中提供关于与财务报告有关的内部控制的年度评估报告。

管理层的年度报告要求包括以下内容：●管理层有责任为企业建立和维护恰当的与财务报告有关的内部控制。

●识别管理层所采用的内部控制框架以便按要求评估公司与财务报告有关的内部控制的有效性。

●对从一上个会计年度末以来与财务报告有关的内部控制的有效性予以评估，其内容也包括有关与财务报告有关的内部控制是否有效的公开声明。

●年度审计报告中，注册会计师事务所发表的财务审计报告，包括管理层对与财务报告有关的内部控制有效性评估的证明报告。

●管理层关于公司针对财务报告内部控制有效性评估的书面结论，应包含在其对财务报告内部控制的报告和其对审计师的信函中。

这一书面结论可采取多种形式，但是管理层对公司面向财务报告的内部控制的有效性必须发表直接意见。

●如果与财务报告有关的内部控制中有一个或多个重要缺陷，管理层将不能对财务报告的内部控制有效性作出评估结论，而且，管理层应该披露自最近一个会计年度末以来财务报告内部控制方面的所有重要缺陷。

公司在对财务报告作出确认时需要借助于企业的IT系统。