基于sox权限与资源控制模型的-研究

《基于sox权限与资源控制模型的-研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、表格目录表1COBITIT流程与COSO模块对应关系···················································25表2权限、资源管理相关COBIT具体控制目标············································27表3权限、资源管理相关控制目标和解决方案··············································30表4SOX对信息系统权限控制及资源管理要求和SOA服务···············

2、·········34–7–第1章引言本章对本文进行了概括，介绍了论文的研究背景、现状以及研究动机和方法。同时也介绍了在SOX遵循的过程中的创新方法。1.1研究背景萨班斯法案，全称萨班斯·奥克斯利法案，英文名称为Sarbanes-OxleyAct，本文中将萨班斯法案缩写为SOX法案。萨班斯·奥克斯利法案是一部美国的法案，起源于美国安然公司倒闭后引起的美国股市剧烈动荡，投资人纷纷抽逃资金。为防止和保证上市公司财务丑闻不再发生，由美国参议员Sarbanes和美国众议员Oxley联合提出了一项法案，该法案即以他们的

3、名字命名。美国总统布什在签署“萨班斯法案”的新闻发布会上曾称“这是自罗斯福总统以来美国商业界影响最为深远的改革[35]法案”。萨班斯法案前后一共有过6个版本，现行的SOX法案一共分11章。概括起来，萨班斯法案主要有以下的几项内容：设立独立的上市公司会计监管委员会，负责监管执行上市公司审计的会计师事务所；特别加强执行审计的会计师事务所的独立性；特别强化了公司治理结构并明确了公司的财务报告责任及大幅增强了公司的财务披露义务；大幅加重了对公司管理层违法行为的处罚措施；增加经费拨款，强化美国[35]证券交易委员会(S

4、EC)的预算以及职能。萨班斯法案覆盖了非常全面的安全管理层面，包括政务管理、风险管理、道德和法规遵从等。在其中的众多条款中，302（公司对财务报表的职责）、404（内部控制的管理评估）、409（实时披露发行人信息）和802（企业资料的保存或归档）等条款与IT有着紧密的关系。因此IT在萨班斯法案中是一个致关重要的角色，它不仅是萨班斯法案实施的工具，同时也是提高萨班斯运行净利的重要手段。SOX法案虽然是一部美国的法案，但是它与中国企业也是有着很大联系的。这主要体现在两个方面。一方面是，随着中国企业，特别是IT及电

5、信行业的崛起，很多中国企业希望到美国去上市。在美国上市过程中，如何遵循SOX严苛的企业内控–1–和风险管理要求是对绝大多数中国大型企业的考验。另一方面，中国也和很多国家一样，在酝酿自己的萨班斯法案。中国设立类似萨班斯的法案对上市大型企业进行控制和监管是势在必行的。中国企业在不远的将来，也将同样面对现在美国企业所要对应的类似萨班斯法案的考验。1.2研究现状对萨班斯法案的研究涉及到信息系统、法律以及会计方面。在信息系统方面，大家关注的主要在302以及404这两个条款上面。由于萨班斯法案是一部美国的法案，所以美国在

6、信息系统遵循萨班斯法案方面的研究处于领先的地位。在信息系统管理以及IT治理上，针对这两个条款，现有研究强调利用IT治理规范来提高企业信息系统的治理，同时进行信息系统的审计，从而达到遵循萨班斯法案的目的。在遵循SOX法案过程中有两个条款特别需要IT信息系统的从业人员关注。这两个条款的出现，将会大幅影响大型企业内部财务系统和信息系统的实现、实施和维护。这两个条款分别是302条款和404条款。302条款——公司对于财务报告的责任：萨班斯法案302条款2002年9月生效，规定美国上市公司的首席执行官（CEO）和财务总

7、监（CFO）在其年度和中期财务报表中必须签名并认证，其财务报表完全符合萨班斯法案中有关规定，并不含有任何不真实的并导致其财务报表误导公众的重大错误或遗漏。如果将来发现有问题，CEO或CFO个人将对公司财务报表承担民事甚至刑事责任。404条款——公司管理层及外部审计师对于公司财务内部控制的责任：萨班斯法案404条款要求公司管理层和公共审计师，每年在年报中就公司产生财务报告的内控系统分别做出评价和报告，还要求外部公共审计师对于公司管理层评估过程以及内控系统结论进行相应的检查并出具正式意见。站在信息系统的角度来说，

8、为了能够提供企业高管实时的、可靠的财务报表信息，需要大幅度提高信息系统的可靠性以及安全性。为了能够遵守302条款，企业的财务报表系统以及ERP系统必须保证数据的真实性和准确性。为了防止不相关人员以及内部人员越权修改，恶意修改数据或者内容，信息系统的权限控制和资源控制显得异常重要。404条款的遵守，则需要内部控制和风险管理的评估和管理。现有的信息系统虽然有BPM的概念，但是风险管理方面以及内控的实施方