我们这里已经在搞这个东东 俺没接触过 做信息安全的同事在负责 还8知道SOX是啥呢 嘿

呵呵, 好

那就可以说, CISA 的证书有用了!   美国萨班斯法案(SOX) 第404节  管理层对内部控制的评价...

http://www.amteam.org/static/62039.html

4.SOX介绍

2002 年，美国国会通过了Sarbanes-Oxley 法案（Sarbanes-Oxley Act, 简称SOX 法案），该法案要求组织机构使用文档化的财务政策和流程来改善可审计性，并更快地拿出财务报告。SOX要求企业针对产生财务交易的所有作业流程，都做到能见度/透明度、控制、通讯、风险管理和诈欺防治，且这些流程必须详加记录到可追查交易源头的地步。

SOX法案不仅适用美国的所有在市场上进行公开交易的公司，还适用于在美国证券交易所登记的非美国公司。也就是说，凡在美国上市的公司都要受此法案约束。

对于那些已开始SOX合规（SOX Compliance）的公司来说，IT很显然地在内部控制方面扮演一个至关重要的角色。IT专家，尤其是处于经理级职位上的专家，需要非常精通内部控制理论和实践来迎合SOX法案的需求。CIO们（Chief Information Officer，首席信息执行官）需要接受以下挑战：

• 提高与内部控制相关的知识；

• 理解公司的总体SOX合规计划；

• 制定一项有关IT控制的合规计划；

• 把该IT控制计划与公司总体SOX合规计划集成在一起。

围绕SOX法案的讨论大多集中在第302节和第404节。

内控和流程有很大区别。

内控中风险或者潜在的风险是首要考虑的；

流程中效率是优先追求的。