摘要：强生集团规定，CIO每年必须在《内控系统有效性责任书》上签字。这个规定使得冯太川于2002年在其合资企业——西安杨森制药公司实施ERP时，就开始着力建立企业的内控体系了。

　　强生集团规定，为了保证数据不损坏、不丢失，冯太川还实施了周全的数据备份方案。此外，他还在西安复制了一套灾难备分系统，以便能在紧急情况下，保持业务运作的连续性。冯太川还要求IT人员整理出所有信息系统开发、变更等的详细文档。同时，他还为操作系统的人员制定了培训、考试计划，获得合格证书的人才能上岗。完成了这些控制内控系统有效性的步骤后，他才放心地在《内控系统有效性责任书》上签下自己的名字。
　　
　　在冯太川的着力控制下，西安杨森成为强生全球分支机构中第一个通过塞班斯法案审查的子公司。由于西安杨森的内控系统自动化程度很高，第三方审计只用了6天时间就完成了以前需要3个星期才能做完的审计工作。
　　
　　当时，冯太川也没有料到，塞班斯项目的实施还成为了其职业增值的砝码：他凭此成为西安杨森的核心管理者之一；2004年10月，他又从西安杨森信息资讯部总监的位置升任其母公司——美国强生集团公司药品部北亚区的CIO，开始在更大范围内，对强生集团的内控有效性进行负责。
　　
　　在企业提升内控能力的过程中，CIO的责任和机会，不仅冯太川领略到了，贝塔斯曼文化实业有限公司IT总监江玮也意识到了。在江玮看来，“对CIO来说，这是一个绝好的学习管理、熟悉业务，扩大公司内影响力的机会。平时，CIO很少有理由指挥业务部门，塞班斯项目给我提供了这个的机会。”
　　
　　尽管贝塔斯曼还不是美国上市公司，但江玮觉得加强内控是企业迟早要面对的要务。2004年12月，江玮到任时，贝塔斯曼由于之前内部出现的一些问题，正处于对内控有强烈需要的阶段，这也成了他抓住机会的契机。
　　
　　经过半年对内部信息系统的整顿后，江玮开始把工作重心转移到加强内控上。在江玮看来，转变业务部门的工作理念是加强内控的关键。正如塞班斯法案要求得那样——让企业所有高管意识到并承认其对公司风险所负有的责任，并清楚不同责任的大小。为此，从2005年5月开始，江玮在全公司范围内展开了BIA(BusinessImpactAnalysis，业务影响分析)。他给每个部门发放了两类问卷：第一类问卷是针对整个部门业务的，他要求部门管理者填写。问题主要涉及部门业务目标、定位、支持部门目标的流程和功能，未来24个月内，预计增加或减少的功能和流程以及对IT系统的依赖程度；第二类问卷针对的是每个具体流程或功能，问题包括“如果这个环节出现问题，对公司的影响是什么？公司会在多长时间内感受到这个影响？需要恢复吗？由此增加多少费用？损失多少资产？”
　　
　　江玮在来贝塔斯曼之前，曾在一家法国银行负责其亚太地区的信息安全和内控。根据以往的经验，他给BIA问卷回收留出了4个月时间，他还指派信息安全官全程跟踪与协助这项工作。“当业务部门认真面对这两份问卷时，他们就必须开始思考相关问题了；当他们真正用笔写下相关答案时，就达到了我帮他们理清思路的目的了。”江玮知道，回答问卷的过程将向所有高管清晰有力地说明有效的内控制度不会增加成本，反而能极大地降低风险成本。此外，根据业务答卷制订的企业内控方案的有效性将显而易见的。“以后，拿着问卷数据跟业务部门沟通将会容易很多。”江玮决定，为了确保内控制度的有效性，BIA每年必须做一次。
　　
　　除了做自己所在企业的内控工程，江玮有时还会去别的企业客串一下塞班斯法案的预审计工作。那些对自身内控管理水平底气不足的企业不敢一下引进独立的第三方审计来审查自己的内控流程和系统，因此，像江玮这样有着丰富银行内控经验的专家就成为它们的座上宾。目前，国内非常缺乏江玮这种塞班斯项目第三方顾问。因此，这也是塞班斯法案衍生出来的商机之一。
　　
　　目前，那些正在实施塞班斯项目的国内企业几乎都有“曲高和寡”的感觉，能理解它们在内控上所感受到的压力的企业微乎其微。日前，记者电话采访了几个在国内上市的企业，它们中的大部分都没把类似塞班斯法案的资本市场规则当回事，似乎中航油的“爆炸”声还没有让它们回过神来。不过，越来越多的有识之士开始不断向企业界发出警示——公司管理不严、治理不当之“地雷”既然被埋下，如果不及时排除，它总会有被引爆的那一天。“与其被动引爆，不如主动提前排除。”其实，国内股市的持续低靡，已经在不断提醒那些想做大做强的企业，该是排“雷”的时候了。
　　
　　责任编辑：Honey