根据萨班斯法案的要求，参照COSO模型和COBIT框架进行整改，是在美上市企业无法回避的选择。中海油和中国人寿搬走“绊脚石”的方法不尽相同 ，但殊路同归，借助IT系统的强制性，来规范管理。

　　虽然萨班斯法案直指的是财务报告的真实、准确，但是很多公司的财务报告流程都是由IT系统驱动的。可以说，IT是保证财务报告内部控制的有效性的基础，IT的控制至关重要。

　　这也是很多在美上市公司根据萨班斯法案的要求进行整改时，参照COSO模型和COBIT框架的原因。参照COSO框架很好理解，因为它包括控制环境、风险评估、控制活动、信息交流、监督等5项要素，已经成为世界通用的内部控制权威文献。

　　而COBIT（Control Objectives for Information and related Technology，信息及相关技术的控制目标)很明显是一个IT治理的框架。问世11年的COBIT，从规划与组织、采集与实施、交付与支持、监控四个方面确定了34个处理过程以及318个详细控制目标，并能将IT流程、IT资源及信息与企业的策略与目标联系起来，在企业业务战略指导下，对信息及相关资源进行规划与处理。

　　从中可以看出，COSO与COBIT的映射关系。这些现成的流程和框架有助于中国公司初步梳理出流程，外审公司会帮忙做一个控制矩阵。中国人寿把这个控制矩阵与公司的制度作了映射，明确指出一个控制点应该对应制度的哪些条款，并从2006年初开始在全国大力扩展。

　　中海油为了萨班斯法案的遵循工作，采用了IBM的WBCR系统。这个2005年开始建的系统，于去年7月通过验收，项目小组把它当作一个文档管理、数据管理、测试结果集中的平台，能够对一个项目组的工作起到协同的作用。“我们可以把控制、风险都放在同一个表里，比如哪些控制点需要测试、什么时间测的、测试的结果如何。否则，我们可能还在用EXCEL表格，那样至少需要1-2个人进行文档更新等工作”，陈震表示。

　　目前中国人寿还没有进行额外的IT采购以应对萨班斯法案，但是接下来，中国人寿正在考虑这个问题。

　　“从2005年开始，我们就有了这样的想法，即最好是通过一个IT管理平台实现流程的自动化管理，覆盖发起、办理、审批、评估、定期抽样检查这样一个工单处理的全过程，这与纸质管理将完全是两个概念”，中国人寿404项目小组的负责人表示。这个自动化管理，被中国人寿称为ITI，也就是IT系统自己的信息化，将从今年开始正式启动。

　　当然，美国企业在IT采购上行动的更早，比如购买Movaris公司的Certainty法规遵从工具。AMR研究公司的分析师John Hagerty说，购买404条款法规遵从跟踪工具平均需要花费10万到15万美元。

　　那么，类似的IT工具和IT系统能够给企业带来什么好处呢？

　　首先，公司的管理将更加规范。一项管理的内容，从公司的总部传达到各省分公司，再到各地市级公司，最后落实到一个个具体的人，中间将跨越众多环节，也很容易发生管理的失效。采用信息系统则能把所有的管理都固化下来，如果下一级机构不按照这个流程去做，就没有办法进行下去。在IT系统的强制下，管理会更加规范。

　　其次，公司的效率将得到提高。“中国人寿全国35个省级分公司，加上总部一共是36个点，每个点需要2-3人。这些人需要检测每个控制点是否都具有支撑性文档、控制是否有效，一次管理层测试就要耗时2-4周”，中国人寿404小组的负责人表示。

　　如果没有IT工具做支撑，工作人员必须用手工翻阅的原始的纸质文档。上了信息系统之后，信息可以分门别类地在信息系统中管理起来，能够方便地查询和调用。企业还可以对不同人的权限加以区分，有效地提升企业的管理效率。

　　第三，有利于公司的整改。企业在遵循萨班斯法案的过程中，首先要将公司内部控制的现状和外审公司给出的目标进行对比，并从有问题的流程入手进行整改。然而，导致公司某个流程出现问题的原因有两方面，一是公司原来流程的设计有问题，二是员工的执行力过弱，导致控制结果没有达到预期。

　　在过去，一个问题从它发生的节点反馈到业务部门，至少需要一个月的时间，而采用信息系统以后，管理人员只要拥有权限，就能随时查看，到底是哪里出现了缺陷，并针对性地采取措施。