遵循萨班斯法案的内控要求，即使采用了IT系统和IT工具，相关的文档、日志也在系统里保留下来，但最后还需要人去对这些信息进行深层次的挖掘。因此在企业内控人 、技术、流程时3大因素，核心因素在人。

　　“很多企业第一年做萨班斯，往往关注硬性指标，如定制度、买设备、定流程，甚至寄希望于一套设备帮忙固化流程。然而，如果人没有风险意识，这些东西都是白搭”，ITGov中国IT治理研究中心专家孟秀转点评说。

　　因此，她格外强调控制环境的重要性。中海油的思路与她的观点不谋而合。“其实404的实施标准并不是审计师来制定的，而是取决于公司管理层的认识”，陈震说。比如一项工作应该由谁来审批，这些内容都是公司决定的，一般外审会给出建议，如果这么做，可能存在怎样的风险，但是最终对风险进行认定和分析的还是公司。

　　中国人寿SOX404项目组的负责人认为，萨班斯法案带来的最大改变，就是很多工作都需要审批。这使得以前那种以工作内容为中心的工作流程，变成了规范而一致的办公流程。以往，领导安排一项工作可能只需要口头通知或者EMAIL通知，如今却必须按照相关的流程，说明布置这项工作的理由、受理该工作者必须签字确认等。

　　记者在采访过程中，深刻地感觉到萨班斯法案如何改变了公司员工遵守内控制度的态度。一位受访者要求记者的稿件发表之前，必须接受公司相关部门的确认，“这个流程是我们项目组提出来的，如果不这么做，就是在这个控制点上出现了内控失效”。

　　这也正是孟秀转反复强调的，“在企业内部控制中，人、技术、流程三大因素中，人是最主要的因素”。即使采用了一些IT系统和IT工具，相关的文档、日志也在系统里保留下来了，最后还需要人去对这些信息进行深层次的挖掘，包括问题在哪里，是流程的问题还是执行的问题，这些都只有人才能判断。

　　陈震表示，遵循萨班斯法案的巨额资金投入中，比例最大的其实是支付给咨询公司和审计公司的费用，而不是IT投资和IT内控上的费用。2006年，中国人寿为萨班斯法案遵循付出的费用是7000万元，而这还只是显在的成本，潜在成本肯定会比这个数字更大。同样是这一年，中海油各种投入加起来，包括公司上上下下的工作人员为配合404的工作而付出的工时，也在千万元。

　　“其中一部分成本投入，如备份体系的建立、安全措施的整改、人员补充等，是有利于企业发展的，我们叫良性增长。但是还有一些属于现有工作外的额外工作，如整改、流程明确、管理层测试等带来的人员、成本投入，数量也相当大”，中国人寿404项目组的负责人表示。

　　而这部分不属于“良性增长”的成本投入，正成为很多公司抵触萨班斯法案的原因。在吸取了上市公司和审计公司的意见之后，今年上半年，美国证券交易委员会（SEC）通过了一份新的财务报告内部控制管理层评估指南，美国公众公司会计监督委员会（PCAOB）也通过了审计准则第5号，以替代原来的审计准则第2号文件。

　　这两个调整，也被业界认为是萨班斯法案的有利变化。具体来说，新的5号准则要求审计师采用从上到下的、风险导向的方法，引导上市公司将精力集中于那些可能导致重大错报的领域。而新的评估指南则指出，审计师不一定需要对管理层内部控制评价程序的恰当性发表意见。

　　陈震解读说，以往判断一个公司内控有效的前提，就是审计师通过管理层评估来判断这一公司的内控运作是否有效，如果管理层评估的结果不好，就算审计师没有发现问题，也要对此进行说明。新规定的框架下，上市公司可以结合公司的业务采取更灵活的措施，把注意力集中于更重要的领域，而不是重形式、轻内容。

　　相比于第一年通过法案时的兴师动众，上市公司第二年的遵循工作将遵循减法的原则。“第一年不理解，什么都算控制点，会把自己累死的。第二年，公司就要学会对关键控制点和非关键控制点进行区分”，中国人寿404项目组的负责人总结说。可以想象，法规遵循工作将日益成为一项日常性的管理工作。