缺乏内控的IT系统，是中国企业在遵循萨班斯法案过程中所遇到的最大挑战。中国企业IT系统重建设、轻维护的老传统，使得IT系统不能完整实现其 管理功能，在业务与IT密不可分的趋势下，传统IT系统渐显“弱智”

　　 如果有人告诉你，中国企业在遵循萨班斯法案过程中，遇到挑战最大的方面反而是IT系统，你是否会非常惊讶？

　　2002 年7 月通过的萨班斯法案本意是促使在美国的上市公司通过加强内部控制，来改进自己的治理状况，提高治理水平，恢复投资者对美国资本市场的信心。一般来说，萨班斯法案会涉及公司层面、业务流程及IT管理3大方面。

　　“信息化投资占企业整体投资的比例越来越大，企业中越来越多的业务流程都建立在IT系统之上，管理业务就是管理IT，两者不可割裂”，ITGov中国IT治理研究中心专家孟秀转表示。但她同时指出，在任何一家公司里，财务控制都是管理的重头，相关的规章制度也非常严格，而IT内控则是很缺乏的，面临的挑战也要大得多。

　　2005年初，在美国纽约证券交易所上市的中国人寿保险股份有限公司启动了萨班斯法案遵循工作。“当时的现状很不乐观”，负责公司404项目组的一位负责人这样评价。中国人寿2005年的年度报告显示，根据香港准则与美国公认会计准则统计的数字出现了重大差异，作为外审机构的普华，也指出了中国人寿与信息系统相关联的实质性漏洞。

　　导致这个漏洞的主要原因，就是IT系统的集中管理程度不够。中国人寿信息技术部项目管理处的负责人解释说，这与中国人寿总部信息技术部一直立足于服务的角色有关，而按照萨班斯法案的要求，信息技术部更应侧重于管理，包括加大对分公司信息系统、系统建设、运维、数据等集中管理的力度，降低分散管理隐含的风险。

　　2005年，中国人寿制定了一份《信息技术管理制度》，“这是一件开历史先河的事情”，404项目组的负责人表示。以往，中国人寿并不是没有IT方面的制度，但是相关的制度很零散，如分别面向防火墙、IT采购、安全备份等方面的。而这套新制度涵盖了IT的各方面，梳理出了公司应该具备的流程和控制点。这个管理制度解决了管控范围、管控思路以及管控标准的问题，只要达到这些控制点，至少能保证肯定不会出错。

　　“外审公司披露的漏洞对中国人寿的帮助还是很大的，我们试图从中理解外审做出这样评价的意图，从而分析外审会更注意哪些问题，这些经验也为公司2006年年报的顺利过关提供了经验”，该负责人表示。

　　当然，从理论上来说，全国数据大集中的实现是这个漏洞的终极解决方案，因为一旦大集中，公司总部就能从数据层面掌控所有资源，把管理风险从分散的地方完全集中到总部。据了解，中国人寿计划在全国建立南北两大数据中心，目前选址已经完成，正在进行前期筹备工作。

　　今年5月底通过萨班斯法案的中海油，同样面临着IT治理和IT控制这个新问题的挑战。“过去我们做萨班斯的时候并没有把IT当成非常复杂的工作，做完之后才发现，萨班斯对国企IT的管控架构产生了很大影响”，中国海洋石油有限公司财务管理部内部控制经理陈震如是说。

　　让他印象最深的有一点：过去IT系统往往重建设、轻维护。具体地说，过去员工使用IT系统的时候，往往认为，谁建的系统谁负责，而一些系统管理员拥有超乎一切的权限，可以说是IT系统里的领导；实际上，根据萨班斯法案岗位分离的原则，IT系统的应用层和后台管理必须要严格分开。

　　以前，中国人寿的IT人员较欠缺，尤其在分公司层面往往会出现一个人兼岗的情况，从开发、应用，到运维、硬件管理都要负责。根据404内控的要求，数据库、操作系统可以是一个人负责，但是应用系统与数据库管理员这样的前台操作和后台管理一定不能是同一个人。否则应用系统维护人员修改数据时，又能从后台数据库的行为日志里清除数据，无端增加了很多风险。