《法律论文：上市运营商强化公司治理 萨班斯之路任重道远》由会员分享，可在线阅读，更多相关《法律论文：上市运营商强化公司治理 萨班斯之路任重道远（29页珍藏版）》请在金锄头文库上搜索。
1、法律论文：上市运营商强化公司治理 萨班斯之路任重道远 1997年的亚洲危机、美国股市相继爆出的安然、世通等一系列丑闻，我国出现的蓝田股份和银广夏的利润神话破灭事件，以及我国近期相继出现的上市公司高管涉案，完善公司治理机制、有效管理风险正在成为企业议事日程中最重要和最迫切的任务。我国政府将建立有效的公司治理结构视为“企业制度”建设的核心，而加入WTO的承诺使得全面系统地处理这一显得更加紧迫。国务院国资委主任李荣融说，上市公司所出现的问题都与公司治理结构不完善有关。国资委要与证监会联合推动国有企业完善公司治理结构。公司治理的效率、效果直接依赖于许多的制度要素。这既包括审计和信息披露的质量，也包括系
2、统对契约的监督以及对外部投资者的保护能力等。例如，在逆向选择的框架下，我们可以看到：一个更好的标准和更及时的信息披露要求将大大减轻经理人与外部投资者之间的信息不对称，从而便利了融资，降低了代理风险。因此，公司治理的核心问题是信息不对称性或不完全性，解决公司治理问题，最核心的是公司信息的真实、准确以及处理与传递的效率问题，而IT技术在实时披露、实现透明度原则和体现监控力度上正日益成为有效的工具。2002年美国颁布的萨班斯法案对公众公司提出了更高的要求，法案的409条款要求上市公司必须向投资者实时披露必要的信息，包括图片、表格等信息，302、404条款要求公司应定期评价其信息系统及其内部控制的充分
3、性来保证提供给投资者信息的准确和完整，强调公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任。因此，IT治理，加强IT控制，降低风险，有效地实现公司治理，成为全球关注的问题。公司治理是建立组织各利益相关者之间的相互制衡机制，管理风险，有效实现组织目标的一系列过程及制度。内部控制制度是实现善治的制度安排之一。IT治理是实现公司治理的工具。IT治理不等于治理IT技术，它是一个信息背景下的制度安排，包括内部控制、审计以及公司信息的披露等。IT内控是内控的一个组成部分，信息时代，企业管理信息化水平日益提高，信息资产成为企业的核心价值资产，IT在给企业带来竞争力的同时，也带来了极大的风险。因此
4、利用IT技术加强内部控制，并对信息系统自身加强管理控制，成为公司治理及IT治理必不可少的组成部分。IT内控是强化风险管理，完善信息时代公司治理的必要手段。IT治理、内部控制、审计、风险管理体系等都是促进公司治理的有效工具。SOX法案的出台，对企业的公司治理、IT治理及IT内控提出了更严格的要求。一、SOX法案的要求：1.对公司治理的要求：（1）要求上市公司必须建立审计委员会，并对审计委员会的人员组成做出了规定，保证审计委员会的独立性，同时赋予审计委员会更多的责任：萨班斯-奥克斯莱法，及其紧接着全美证券交易商协会和纽约证券交易所于2003年11月又发布的新的公司治理最终规则详细地界定了审计委员会
5、的职责， 具体来说应包括：1）每年获取并审查独立董事提交的报告。2）与管理当局、独立审计师一起讨论经审计的公司年度财务报表和季度财务报表，包括公司在“管理当局对财务状况和经营结果的讨论和”项目中进行公告的财务事项。3）讨论公司收入公告及向分析师和评估机构的财务信息、收益指南。4）讨论风险评价、风险管理政策。5）分别与管理当局、内部审计师（或其他负责内部审计机构的人员）和独立审计师定期会面。6）与独立审计师讨论所有的审计难题以及管理当局的反应。7）制定清晰的关于聘用现任或前任独立审计师的政策。8）定期向董事会报告（2）增加高管人员及董事会的责任：CEOs and CFOs必须保证财务报告真实，要
6、求发行人的CEO和CFO保证定期报告没有对重大事件的不真实表述，也没有遗漏必须披露的重大事件，并保证财务报告在所有重大方面都公允反映了发行人的财务状况和经营成果。在此基础上，法案单独规定了对管理人员证明财务报告时失职的刑事处罚。CEO和CFO如果知道定期报告不符合上述要求但仍然做出保证的，将判处不超过100万美元的罚款，或是不超过10年的监禁，或是二者同罚；如果是蓄意做出书面保证的，将判处不超过500万的罚款，或是不超过20年的监禁，或是二者同罚。2.萨班斯法案对内控的要求：（1）法案302要求：公司管理层设计所需的内部控制，并保证首席官员能知道该公司及其合并报表子公司的所有重大信息，尤其是报
7、告期内的重大信息；评价公司的内部控制在签署报告前90天内的有效性；在该定期报告中发布他们上述评价的结论。（2）法案404节要求：编制的年度报告中包括内部控制报告，包括：强调公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任；发行人管理层最近财政年度末对内部控制体系及控制程序有效性的评价3.萨班斯对审计师的要求：增加了审计师对信息系统的审计，要求审计师必须了解业务如何穿过系统，而不是绕过系统。审计师必须了解业务流程，评价IT 控制与一般控制的设计及效果。评价 IT 控制设计效果，确定这些控制设计是否适当地实现相关目标。实施IT控制执行效果测试。二、对上市电信运营商的挑战萨班斯法案对高管
8、严格的法律处罚令其中许多公司的最高管理层都如坐针毡、夜不能寐。美国有多达5000家大中型公众公司在2004年11月15日后结束的财政年度中紧张异常，这而对于公司治理尚不完善的电信企业领导来说，更是意味着要承担重大国际法律责任的风险。公司治理决定企业的兴衰，企业的兴衰决定国家的兴衰，因此公司治理建设不能出现任何重大失误。我国电信企业在公司治理制度在股份制改造过程逐步，中国网通借美国上市契机建立了新型的公司治理结构，董事长与CEO分离，在董事会下设4个委员会：审计委员会、战略规划委员会、公司治理委员会和薪酬委员会。2005年3月7日，在京召开的中国电信集团实业工作会议明确：经过3年左右的时间，逐步
9、规范法人治理结构。由于我们的企业处于转型的特定时期，公司治理水平与日、美等发达国家有一定的差距。信息产业部电信研究院公布的中国电信业国际竞争力发展报告（2004年）显示，我国电信业国际竞争力在全世界主要国家和地区中（共33个国家和地区）排名第14位，然而细细看来，却发现了很多隐忧。报告将国际竞争力解析为3大竞争力：环境竞争力、市场竞争力和企业竞争力，其中企业竞争力排名27，企业竞争力指数包括“技术创新”、“生产率”和“公司治理结构”，排名分别为18、28和21.不难看出，目前我国电信企业的公司治理水平。要成为电信强国，环境竞争力、市场竞争力和企业竞争力三者缺一不可，因此，我国目前距离电信强国还
10、有较大差距。从分析要素来看，法律和制度框架、政府效率，以及企业技术创新、公司治理结构等 “软件”能力偏弱，单条腿走路。我国几大运营商中虽然已经有中国移动和中国电信进入了财富500强，虽然几大运营商均已上市实现了公司化治理，但由于脱胎于老的国有企业，因此公司管理能力和治理结构仍有待提高。因此，提高企业竞争力，就应该从改善公司治理结构做起。三、运用信息化手段，完善公司治理1.完善公司治理机制。我国电信运营商需要健全公司内部治理的规则和程序、建立公司的合法守规管理、完善约束与激励机制、加强公司的内部控制体系以及建立公司的风险管理与控制机制。虽然在现有的公司治理结构中，有些公司也有审计委员会、独立董事
11、等监督机制，但这些人员的任职资格、发挥作用的程度、以及职责定位等都需要进一步改进。2、利用信息技术，完善公司治理的监控体系。公司治理是一种对公司管理和运营进行监督和控制的体系。其核心是在所有权和经营权分离的条件下，解决好所有者和经营者的利益不一致而产生的委托-代理关系。由于委托人（所有者）和代理人（经营者）是不同的利益主体，委托人（所有者）与代理人（经营者）相比处于信息劣势的情况下，必然有代理成本或激励问题的产生。为完善公司治理，必须重视委托与代理之间的信息不对称问题，通过对公司重要信息有效的传递、鉴别和处理，使代理成本最小化，提高企业的经营绩效。萨班斯法案强化公司治理要求的目的也是提高上市公
12、司透明度，提高公布信息的质量，加强信息披露，从而保护投资者的利益。在市场中，信息交换是否充分，是否对称，直接关系到市场经济是否公平、是否有效。为了保证信息公平、公开，人们设立了一系列内外部机制。独立董事担任的审计委员会，公司聘请的会计师事务所都层层对公司财务信息的真实性、准确性、及时性进行审核、这些约束与激励机制的有效性取决于公司信息真实与准确性和处理与传递效率的问题。在这点上，IT技术正成为日益有效的工具。萨班斯302、404、以及409等条款对公司的要求，使得IT在公司治理机制中的作用日益凸现。由于信息技术不以人们的意志为转移地在各类组织中的普遍，IT在各类组织中的多层次、横纵向嵌入，正在
13、改变着组织的业务流程，进而改变组织的结构、组织的管理及公司治理；特别是电信对IT的依赖性非常大，没有相应IT治理机制的公司治理，使无法满足萨班斯的严格要求的。由于IT治理已成为完善公司治理的重要手段，成为实现 IT与业务的匹配管理、IT价值贡献管理、IT风险管理、IT绩效管理等的重要保证，花旗银行等美国大企业已经引进或正在引进IT治理机制。国资委连续举办的旨在推动企业建立全面风险管理系统，进一步完善公司治理机制的企业全面风险管理培训上，也提到在公司董事会层面建立IT治理委员会，建立IT治理机制，完善信息的公司治理，促进现有公司治理制度安排的有效执行。但由于信息技术在治理方面所具有的复杂性，完善
14、IT治理机制，构建符合萨班斯要求、适应时代的公司治理机制任重道远。构建IT内控系统的思路（1）不能因耗时且成本高昂就摒弃原有的IT控制而另搞一套。SEC管制条款复杂，为了满足萨班斯法案的要求，大多数企业需要调整其员工观念和企业文化，通常也需要对IT系统和其处理流程作一些改进，改进的内容包括其控制设计、控制文件、控制文件的保留，以及IT控制的评估等方面。这是一个循序渐进的过程，不能将原有的一切推倒重来。（2）要选择好内控框架。法案并没有规定公司必须选择什么样的内控框架， 需要企业自己抉择。国际上比较有名的内控模式有英国的Cadbury、美国的COSO 和加拿大的COCO ， 它们从不同的角度剖析
15、公司的经营管理活动， 为营造良好的内控框架提供了一系列的趋于一致的政策和建议。第2号审计标准依据COSO制定的内部控制框架制订，在“管理层用于开展其评估的框架”一节中，明确管理层要依据一个适宜且公认的由专家群体遵照应有的程序制定的控制框架，来评估公司财务报告内部控制的有效性。SEC对该标准的认同等于从另外一个侧面承认COSO框架。COSO 认为内控是由企业董事会、经理层和其他员工实施的， 为营运的效率效果、财务报告的可靠性及相关法令的遵循性等目标的达成提供合理保证的过程。内控框架的构成要素包括控制环境、风险评估、控制活动、信息和沟通、监督五个方面。这套得到了包括SEC、公司管理者、投资者、债权
16、人及专家学者的普遍认可， 国外许多公司都依据这个框架建立了内控系统， 我国公司也可以按COSO 建立内控框架， 逐步与国际管理模式接轨。通过引入COSO 内控要素， 形成一个相互联系、综合作用的控制整体， 使单纯的控制活动与企业环境、管理目标及控制风险相结合， 形成一套不断改进、自我完善的内控机制。但是很明显，SEC所推荐的COSO控制框架有助于遵循萨班斯法案，虽然它针对的是内部控制，但没有对IT控制目标和相关控制活动提出具体的要求与限制。由于COSO框架缺少对IT内部控制的内容，所以单独以COSO为构建IT内部控制的框架显然是不合适的。COBIT为管理IT风险与IT控制提供了一个综合性的框架，是另外一个被国际认可的业内标准，由4大部分、34个IT处理流程、318个详细控制目标组成。COBIT也涉及企业经营、萨班斯法案遵循等方面的控制。但在萨班斯法案要求下，我们只考虑应用CO
