對于一個在海外上市的中國企業來說，只有遵循人家的游戲規則，別人才會帶你“玩”——“薩班斯－奧克斯利法案”（theSarbanesOxleyAct，以下簡稱薩班斯法案）規定：從2006年起，凡年銷售收入在5億美元以上的在美國上市的外國公司，都必須遵從這一法案。 
　　2008年6月24日，中國東方航空股份公司2007年度財務報告在美國披露，公司聲明：經測試，管理層認為東航2007年與財務報告相關的內控是有效運作的，外部審計師普華永道也對內控有效性發表了無保留意見，這意味著東航已在國內航空公司中率先符合了薩班斯法案的要求。
　　選擇接受新法案挑戰時，全東航幾無人知"薩班斯"，到如今順利通過，這條路，東航人走了近四年。
挑戰一夜到來
　　2001年年底開始，安然、世通、施樂……一批美國大公司會計丑聞相繼曝光，美國式自由市場經濟制度遭遇了前所未有的質疑。為了恢復民眾對美國金融市場、政府經濟政策的信心，次年7月30日美國總統布什簽署了薩班斯-奧克斯利法案。
　　該法案適用范圍為美國所有的上市公司，作為1997就已經率先在美國紐約證交所上市的東航，將和其他四十多家中國內地企業（紐約證券交易所16家、納斯達克28家）一起迎接該法案所帶來的新挑戰。
　　法案最核心內容就是加強了對在美上市公司信息披露、內部控制以及公司治理等方面的監管力度。東航股份總經理助理、審計部總經理王桃英告訴記者，實施和遵從薩班斯法案是很有難度的，該法案帶來了全新的監管理念和商業規范，遵從成本很高，過程也很復雜。
　　她說，“有一些外資企業都表示推不下去。”法案生效后，不少在美上市的海外公司和一些收入偏低的企業選擇了退市，其中不乏英國電信和德國巴斯夫等著名歐洲公司。
應戰
　　即便是這樣，2004年10月，旨在遵循法案要求的薩班斯項目在東航啟動了。
　　據東航審計部內控管理部經理方瀾介紹，項目得到東航高層重視，由時任總經理羅朝庚擔任項目委員會最高領導，王桃英擔任項目經理，審計部內控部具體負責項目日常實施。經過招標程序，東航選擇德勤華永會計師事務所在2004年底至2007年初為項目提供了咨詢服務，普華永道則提供獨立審計服務。
　　薩班斯法案中最嚴苛、最復雜、執行成本最高的是404條款。方瀾說，“其實基本上我們所有的工作都是圍繞著404條款的實施細則和標準所展開。”
　　404條款要求公司管理層建立和維護健全的財務報表內部控制體系和流程，并對內部控制的有效性實施評估，看起來只是簡單的一句話，可是真正執行起來，難度何其大，尤其對于一家大型國有航空公司而言，專業性又很強。王桃英解釋說，內控體系不僅要求結果控制，還要求過程控制，工作量非常大、涉及面廣、活多、活細、時間跨度長等種種困難。內控體系建設不僅僅考驗的是內控這個部門，最直接考驗著企業的傳統理念和執行力。
　　要形成新規定下的財務報表，需要每一個數字的支撐，而這些數據來自于公司生產各方面，所以薩班斯內控也涉及到公司運營的方方面面。方瀾介紹，在項目一開始，他們便將工作分解進行，在對東航與財務報告相關業務流程進行了梳理，涉及公司總體層面、財務報告、客運收入、貨運收入、資金、存貨、固定資產、采購、薪資福利、航油、稅務以及信息技術等十二大流程，涵蓋了上�？偛�，以及西北、云南、山東三家分公司，中貨航、物流、江蘇、武漢四家子公司。并據此編制了完整的內控流程文檔，包括流程描述、流程圖和控制矩陣，在此基礎上，辨識了公司流程中存在的大量缺陷，通過集中整改，使得公司相關流程的合理性大大增加。
　　“出差是家常便飯，在分布全國各地的各個分子公司間飛來飛去，不停地講，不停地推，在每個單位進行項目整體計劃和培訓、內控文檔編制、內部整改，以及內部測試……”王桃英告訴記者。薩班斯內部控制項目啟動后，全東航上下開始了一場聲勢浩大的"集體總動員"，而各個部門對項目的配合與支持也是之前所未料想到的。
　　一種挑戰傳統的新理念的推行是有難度的。比如相關人員的電腦系統必須設密碼，設密碼的基本要求：不能是生日、電話號碼、不能記在辦公桌上、一段時間更改一次等等，就是這么簡單的事情，當作為規定去推行的時候，也是破費周章的。
　　一開始，內控意識的缺乏造成項目開始基層員工對薩班斯內控項目缺乏了解，從而增加了工作的難度。內控需要時間、精力，內控的建立改變了原有的工作流程，給工作帶來一定的不便，容易造成反感。需要通過大量的解釋讓業務人員接受薩班斯的工作，并把薩班斯作為自己日常工作的一部分。
薩班斯是一次企業再造
　　內控是對公司業務流程的再造。王桃英介紹，在編寫內控文檔的過程中，以及對現有流程的梳理中，薩班斯項目組幾乎成了公司的“糾錯系統”，發現的問題非常多，分別涉及公司層面和流程層面。問題細化到諸如訂貨合同沒有連續編號、在交叉審核中沒有審核的書面記錄、各IT系統的訂貨接口等各個方面。接下來的整頓更是一次企業再造。
　　王桃英認為，東航開展薩班斯項目，既為滿足薩班斯法案對公司在美國上市的要求，更是為了自身能夠加強內部控制，提升管理水平。通過疏理公司的流程，完善各項管理制度，從而提高財務信息的透明度，可預測性，及時性和精確性，保證運營的有效性，切實掌握公司風險，提高風險的可控性。這一點與美國證監會主席WilliamDonaldson的意見不謀而合，“簡單的合規并不夠，如果公司把薩班斯法案看作時一個機會，一個能改善公共報告的機會，他們公司最終會運行的更好，更透明，因此，對投資者更加有吸引力�！�
　　但是內控建設需要巨大的投入。據調查顯示，每家需要遵守薩班斯法案的美國大型企業第一年的平均總成本將超過460萬美元。而專家估算，此次中國在美國上市的四十多家公司總共在應對薩班斯法案方面的直接投入將高達10億元人民幣。東航僅向薩班斯項目咨詢顧問德勤，外部審計師普華永道兩家咨詢公司支付的咨詢費每年就要上千萬元。
　　但是，值得欣喜的是，目前在項目工作中建立起來了內控測試機制，使內控測試工作進入常態化，加強了內控人員與流程負責人的交流溝通，使內控意識深入人心，內控有效性不斷提升。在2007年進行的最后一輪管理層測試中，總部、分公司和子公司總共數千個關鍵控制活動經測試有效率近90％。
薩班斯工作只有開始、沒有結束
　　薩班斯工作只有開始，沒有結束。王桃英表示，"我們不只是滿足于提交了多少工作成果，建立多少流程文檔，而是要實實在在找出企業的風險所在，建立長效的風險控制機制我們還有很多工作要做，任重而道遠。如IT整體戰略，資產管理制度，授權體系等。"內控管理將是一個長期的工作，項目結束以后將進入一個常態的管理模式，每年的業務流程文檔更改修訂，大量的日常測試工作，都需要有一只穩定的團隊來完成，2005年9月，東航審計部下增設了內控管理部，明確職責，向建立長效內控機制邁出了重要一步。
　　在薩班斯項目進行中，東航還敦促外包服務商也按美國的標準來出相關內控審計報告，擔當了一個內控理念在中國企業中“推行者”的角色。比如國外通用的SAS70報告是美國注冊會計師協會發布的獨立審計準則公告，是一個標準。在東航的努力下，相關幾個外包服務商都愿意花費時間精力去出具SAS70報告，以證明其內控的有效性�！捌鋵嵾@對他們公司自身的運作是非常有好處的。”