2007年，借光伏行业发展的春风，上海晶澳太阳能光伏科技有限公司（以下简称晶澳太阳能）不到一年半时间就成功在纳斯达克上市。上市的时候，晶澳太阳能产能只有200兆瓦电视片，但现在公司仅电视片的产能就高达当年的10倍以上，发展之快不免令人啧啧惊叹。作为这样一家年轻活力的企业，不禁好奇IT是如何紧跟其战略、业务、市场的呢？IT如何定性自己在企业中的角色？且听晶澳太阳能IT总监彭勇分享晶澳太阳能内控变革的实践与心得。

缘起萨班斯法案

在晶澳太阳能，除了OA，外，还有，MES系统以及一些辅助生产的小系统，而晶澳的目标是在ERP中实现数据控制，在OA中实现流程控制。所有的流程和业务管控放在制造业OA中，ERP中间是做一些数据或报表，所有的系统都围绕这两个系统为核心来运转。而这一切又都是建立在萨班斯法案的内控需求之上。

2002年，针对上市公司财务和公司治理的塞班斯法案（Sarbanes-OxleyAct，简称SOX法案）的出台意味着在美国上市的公司不仅要保证其财务报表数据的准确，还要保证内控系统能通过相关审计。而萨班斯法案404条款的目标是要求整个公司的内控是一个可持续、成本有效和高附加值的合规过程。

在晶澳太阳能彭勇看来，企业的内控是自上而下的，基于风险的。所有的控制都必须管理层提出，亦或者信息技术部门和业务部门向管理层提出建议并审批后去执行才是有效的，控制是为了防范风险的发生。纸面流转的过程实际上是一个手工的、检查性的、即兴的过程，在整个流程控制中间，关于流程的人工控制和测试实际上占了整个流程的极大比例。然而，当切换到系统化的流程后，整个流程的成本主要是放在及时的检验上，他的目标是通过一个最优化的控制的调整达到整个流程控制的各部分，比如通过自我评价、公司层面监管、流程层面监管、自动控制测试、人工测试控制以达到一个平衡的过程。萨班斯法案404条款整体目标示例图

内控，不只为了合规

为了更好地满足内控需求，2008年，晶澳太阳能上线OracleERP系统，不久之后，公司又上线了泛微制造业，至今已有5家光景。如今，社会保险、公积金、水电费、租赁金、费及保安费等公司常规管理费用报销以及其他符合公司管理规定的费用流程，均在协同办公平台上统一审批，与ERP系统实现数据的实时流转和交互。

不过，在晶澳太阳能彭勇看来，IT内控的落地实施并不完全是合规需求的推动，内控带来的价值是实实在在，并且已经成为企业的管理有益的补充。

效率的提升是最显而易见的。据了解，现在大部分的流程，尤其是涉及到合同和付款类的流程，基本上是会在各个不同的点、部门进行传送，2-3天便可以完成。但若放到以前，上海到河北之间2-3天要做一个签转是十分困难的。另外，内控体系还大大缩短了需要各个业务部门配合的流程。比如，现在文档的控制和共享也在OA中实现，如果销售需要去查看产品的一些质量数据、产品数据的时候，他压根不需要关心找谁，只要去提交系统请求，流程会自动流转到系统审批人节点中，审批结束后IT人员会把这些权限开放给申请人。

其次，通过公司流程的集中管控，更多地避免了经营管理上的风险。彭总介绍说晶澳太阳能现在上海总部集中管理的主要为合同付款和非合同付款以及大规模集中采购等，这样能做到各个基地有一些灵活性，能够针对日常生产或经营中遇到过有充足的灵活性去处理他们的问题，又避免基地出现一些问题，从而帮助公司把该集中的东西集中起来。

此外，内控体系还缩短了内审与外审审计的时间，所涉及人力资源也得以减少。以往审计的过程实际上是要到当地挨个检查纸张单据，现在基本上内审有制造业OA检查的账号，如发现有异常，自己去查系统中的单据。外审也主要以制造业OA单据为主，审完之后他们通过电话、邮件再来进行沟通，这样实际上保证了不需要各个业务部门去陪着他们来翻纸质的东西，节约了业务的处理时间。

彭总同时强调：就我而言，内控不仅仅是财务、流程和付款，我们对内控最贴切的一个理解是协助内部的业务部门同事更方便地去控制他们的工作。

后记

彭总会后向记者坦言，CIO在很多时候是责任重于权力。尤其是你从纸面的流转过渡到系统的流转，很多需求或者控制上的一些漏洞其实是我们最先需要发现并和管理层提出再进行弥补的。笔者感概，CIO体面与光鲜的背后其实充满艰辛与重任。CIO希望把要做的项目，不论是系统选型、推广或者管理运行，都能够做好。应该说做到方方面面都满足业务的需求，是CIO们最大的责任，也是他们追求的目标。至于权力，只是在工作涉及到的部门，对人力、设备等资源的调动。