这段时间因为公司的内控体系建设，需要了解分析相关法律法规，姑且将学习笔记发到这里，记录一下相关的资料和一些自己的想法。
（非完全原创，部分内容来自收集资料）
因现司是美国上市企业，故不能不关注2002年通过的《萨班斯-奥克斯利法案》（sox法案）。这个法案，把财务报告是不是真的、审计靠不靠谱、内控管不管用、管理层要不要负责这些核心问题，都纳入了强制监管的框架里。
对于在美国上市的中资企业来说，理解SOX法案不能只是做做表面功夫，必须得搞清楚每条条款到底是为什么这么写、适用到什么程度、司法实践中怎么用，这样才能建一个真正管用的合规体系。
目前所在的行业，特点是存货价值高、投钱建厂得多、研发投入大、销售周期也复杂，这篇文章就基于我刚入行时的一些粗浅理解，结合法案条文，逐条分析SOX法案核心条款背后的逻辑和要求，再结合现在所在行业的特点，说说这些条款会产生什么影响、该怎么应对。
立法背景：财务丑闻
1、安然公司（Enron）丑闻
安然公司曾经是世界上最大的能源公司之一，在美国500强里排第七位。2001年的时候，它承认从1997年开始，通过搞一些复杂的"特殊目的实体"（SPE）这些非法手段，隐瞒了一大堆债务，虚报利润高达5.86亿美元。
这个事情曝光后，安然的股价从快90美元一路跌到不到1美元，公司2001年12月申请破产保护，成了当时美国历史上最大的企业破产案。它的审计机构——当时全球五大会计师事务所之一的安达信（Arthur Andersen），也因为妨碍司法、销毁文件这些罪名被罚款，最后还是倒闭了。
2.世界通讯公司（WorldCom）丑闻
世界通讯当时是美国第二大长途电信运营商，2002年被发现把本该算费用的支出错误地算成了资本性支出，用这招虚增了超过110亿美元的利润。这是美国历史上最大的会计欺诈案之一。2002年7月，公司因为信用评级被降到垃圾级、面临一堆诉讼，也申请破产保护了。
在安然、世界通讯这一系列丑闻的冲击下，美国资本市场的诚信体系都快崩了。这些事情暴露了当时美国公司在公司治理结构、外部审计监督和财务信息披露方面存在的严重问题。
为了应对这场危机，恢复投资者信心，美国国会赶紧通过了《萨班斯-奥克斯利法案》。这法案的目的就是通过加强公司治理、强化会计职业监管和证券市场监管，提高上市公司财务信息披露的准确性和可靠性，从而保护投资者利益。
当时的美国总统小布什签署这个法案的时候，说这是"自罗斯福总统以来美国商业界影响最深远的一个改革法案"。
一、发行人定义与VIE架构的对接
在翻到这部法案的时候，我第一个问题就是，SOX法案能不能适用于VIE架构下的大陆实体运营公司呢？还是只规制美国上市实体，并不涉及到中国实体。
根据SOX法案Section 2(a)(7)，"发行人"是指根据《1934年证券交易法》Section 12注册证券的公司，或者根据Section 15(d)要求提交报告的公司，或者已经提交注册声明但还没生效的公司。这个定义直接指向在美国上市的实体本身，而不是它的下属子公司或关联公司。从严格的法律形式上看，大陆运营实体不是"发行人"，所以理论上不受SOX条款的直接约束。
但深入研究后，发现这种只看形式的解读在实践中是站不住脚的。SOX法案的核心目的是保护投资者，确保投资者看到的财务报告真实、完整地反映了上市公司的经营状况。如果VIE架构下的大陆运营实体不受SOX约束，那么上市公司可以通过调整合同安排、转移利润、隐瞒损失这些方式操纵财务数据，而不用承担SOX下的法律责任。这显然违背了SOX的立法初衷。
所以，在SEC和PCAOB在执法实践中，采取了实质重于形式的立场——只要大陆运营实体的经营成果通过VIE结构纳入上市公司的合并财务报表，其财务数据的生成过程就必须满足SOX要求。（有些像中国司法实践中，认定很多事都是实质重于形式。）
Title I: 公众公司会计监督委员会（PCAOB）制度
Section 101: PCAOB的设立与职权
Section 101确立了公众公司会计监督委员会是一个非政府机构，但受SEC监管的独立机构（可以说是准政府机构），它的设立本身就是对传统审计行业自我监管模式的一个改变。
在这之前，美国注册会计师协会（AICPA）通过同业评审这些方式进行行业自律（有点像我们的律协），安然事件暴露出这种模式下审计师跟客户之间存在的利益共生关系很难有效制衡。
PCAOB的独立性体现在它的成员构成上——五名成员里只有两名可以是注册会计师，而且如果当主席的话必须脱离执业至少五年，其他三名成员必须来自非会计专业人士。这个设计确保了监管决策不会很容易就陷入行业利益的局限。
PCAOB的核心职权包括注册所有为美国上市公司提供审计服务的会计师事务所、制定审计准则、对会计师事务所进行定期检查，以及调查处罚违规行为。
实践中，这个要求在2002年到2022年间成了中概股面临的最大合规挑战，因为中国的《证券法》和《档案法》规定审计底稿属于国家秘密，未经许可不能出境，而PCAOB依据Section 104要求对注册会计师事务进行检查时需要获取审计底稿。这种法律冲突导致PCAOB长期无法对中国大陆的审计机构进行检查，进而引发了2020年的《外国公司问责法案》（HFCAA）的出台，规定连续三年无法检查就会强制退市。
“在实际操作中，SEC会先将无法满足PCAOB进行检查和监督条件的公司列入预摘牌名单，被列入名单的企业需要在15个工作日之内提交证据、进行申辩，证明自己不具备被摘牌条件，如果申辩被驳回，则第一年的检查将最终判定为“无法检查年度”。截至目前，在美上市的中概股企业中有150家已被列入预摘牌名单，其中148家公司的申辩期均已届满，根据美国SEC官网发布的信息，这148家公司已全部进入“确定摘牌名单”（Conclusive list of issuers identified under the HFCAA）。参考在美国上市的全部中概股企业数目，这意味着已有过半的中概股被列入“确定摘牌名单”。如前所述，如果发行人连续出现三次“无法检查年度”，SEC将禁止其在美国证券交易所继续交易。据此，被列入摘牌名单的中概股公司未能按照PCAOB的要求聘用有资质的会计事务所提供可供检查的文件，这些公司预计最早会在2025年面临退市的要求。”（节选自司凯合规| 美国《外国公司问责法案》对中概股的影响与展望-司凯律所）
2022年底中美达成了中美审计监管合作协议，允许PCAOB对在香港注册的中国审计机构进行检查，这个风险得到了一些缓解，但还是得持续关注。
Section 101还给了PCAOB广泛的调查权，包括传唤证人、要求提供文件、调取审计工作底稿这些。对于电池企业和所有中企，所有相关的合同、发票、生产记录、质检报告这些都必须完整保存，在审计师要求时及时提供。特别是存货管理，涉及原材料采购、生产领用、在制品流转、产成品入库好多环节，审计师需要追踪完整的存货流转记录来验证存货的真实性和计价准确性。如果企业没法提供完整、可追溯的业务记录，不仅会阻碍审计工作的正常进行，更可能被PCAOB认定为内部控制存在重大缺陷。
Section 102: 会计师事务所的强制注册
Section 102规定，任何没在PCAOB注册的会计师事务所不得为在美国上市的发行人编制或签署审计报告。这个条款把注册资格跟审计资格直接挂钩，形成了"无注册，无审计"的强制要求。
对于中资企业，选择在PCAOB注册的会计师事务所是合规的第一步。但需要特别注意，大型会计师事务所往往在中国大陆和香港都有分支机构，选哪个分支机构作为签约方会直接影响审计监管路径。如果选香港分支机构签约，审计工作底稿相对更容易被PCAOB调取检查，但可能会增加跟大陆业务沟通的成本；如果选大陆分支机构签约，则需要确保该机构能够配合PCAOB的检查要求，否则可能面临审计意见受限甚至被认定为无法检查的风险。
实践中，多数中资企业选会计师事务所的香港或美国分支机构作为签约方，同时安排大陆分支机构执行部分现场工作，但是这个结构，需要在审计合同里明确各方责任与配合义务。
Section 103: 审计准则与质量控制要求
Section 103要求PCAOB建立或采纳审计准则、质量控制准则、职业道德准则和独立性准则。其中最有争议也最有实务意义的是对审计工作底稿保存期限的规定——至少保存七年。这个规定看着简单，但对企业的文档管理体系提出了实质性要求。电池行业的业务链条长、交易频次高，产生的大量业务记录如果管理不当，很容易在七年期限内出现缺失或损毁。
举个例子，电池生产过程中的领料单、生产工单、质检报告这些原始单据如果采用纸质归档，七年内可能因为多次搬迁、保管不善而丢失；如果采用电子归档，则需要确保电子档案的存储介质安全、格式可读、访问权限合理，这些在内控不到位的企业很难完全落实。
Section 103还要求审计报告中必须描述对发行人内部控制结构的测试范围和发现，这实际上为Section 404的实施提供了审计层面的支撑。
值得一提的是，Section 103(a)(2)(iii)要求审计师在审计报告中测试并评估发行人的内部控制是否能够合理保证交易按照管理层授权进行、财务报表按照GAAP编制。这跟Section 302和Section 404形成呼应，要求审计师不仅验证财务数据的准确性，还要验证产生这些数据的内部控制系统的有效性。对于中资企业，这意味着审计师不仅要检查财务报表中存货余额的正确性，还要验证存货盘点、成本核算、减值测试这些内控程序的设计和执行是否有效。实务中，审计师会要求企业提供内控流程文档、控制矩阵、测试记录这些材料，如果企业缺乏这些文档，审计师可能认定内部控制存在重大缺陷，进而影响审计意见的类型。
Title II: 审计独立性
Section 201: 禁止提供的非审计服务
Section 201明确规定禁止审计师向审计客户提供九类非审计服务，包括簿记及其他与会计记录或财务报表相关的服务、财务信息系统的设计与实施、评估服务、公允性意见、精算服务、内部审计外包服务、管理职能或人力资源服务、经纪交易商服务、法律服务以及与审计无关的专家服务。
这个条款的立法逻辑很清楚：如果审计师同时为客户提供审计服务和非审计服务，就可能产生利益冲突——审计师可能在非审计服务上赚取巨额费用，从而在审计中睁一只眼闭一只眼，或者利用审计中获取的内部信息推销非审计服务。这种利益冲突在安然事件中表现得淋漓尽致，安达信不仅为安然提供审计服务，还提供大量咨询服务，收入远超审计费用，导致审计独立性荡然无存。
Section 201也设置了豁免条款，PCAOB可以在个案基础上豁免特定禁令，前提是豁免符合公众利益且与保护投资者一致。但实践中，这类豁免非常谨慎，企业不应把它当作依赖。特别是对于计划IPO的企业，使用豁免可能给投资者和监管机构留下"试图规避规则"的负面印象，得不偿失。
Section 202: 非审计服务的预批准制度
Section 202要求，审计师向审计客户提供的所有非审计服务（即使不在Section 201的禁止清单内），必须事先获得审计委员会的批准。这个条款把非审计服务的审批权从管理层转移到审计委员会，进一步强化了审计委员会的监督职能。预批准制度不仅适用于具体的服务项目，还适用于整体的服务安排和费用结构。
对于中资企业，这意味着如果计划聘请审计机构提供税务咨询、转让定价研究这些非审计服务，必须先向审计委员会提交详细的服务内容、预计费用、潜在利益冲突分析这些材料，获得书面批准后才能签订服务合同。
审计委员会在审查非审计服务申请时，应重点关注几个方面：该服务是否与审计存在实质冲突、费用是否合理、是否有替代供应商、是否可能影响审计师的客观性。中资企业在准备申请材料时，需要充分论证服务必要性和独立性保护措施。比如，如果聘请审计机构提供税务咨询，可以说明税务咨询与财务审计属于不同专业领域，由不同团队执行，设有信息隔离墙，不会导致审计师获得不当信息或产生利益冲突。审计委员会的批准文件也需要妥善保存，作为PCAOB或SEC检查时证明合规的证据。
Section 203: 审计合伙人轮换制度
Section 203规定，负责审计项目的合伙人每五年必须轮换，且轮换后五年内不得再次参与同一发行人的审计工作。这个条款针对的是审计师与客户长期合作可能产生的"熟人关系"风险。当审计合伙人与客户高管共事多年，可能产生个人情感纽带，影响审计判断的客观性；或者过度依赖客户提供的口头解释而缺乏必要的职业怀疑。强制轮换可以定期引入新的审计视角，打破这种潜在的利益关系。
审计合伙人轮换会带来沟通成本的增加——新合伙人需要时间了解企业的业务模式、内控体系、历史问题这些。企业可以考虑在轮换前半年跟审计机构沟通过渡安排，比如安排旧合伙人向新合伙人详细交接、准备业务简介资料、邀请新合伙人提前参与季度审阅这些，减轻轮换对审计效率的影响。Section 203在2018年修订后，把轮换期限从五年延长到七年，这在一定程度上缓解了频繁轮换带来的稳定性问题，但企业仍需建立轮换管理机制，确保每次轮换顺利过渡。
Title III: 公司治理责任
Section 301: 审计委员会的要求
Section 301是SOX法案中关于公司治理的核心条款之一，要求发行人必须设立由独立董事组成的审计委员会，并明确其职责。独立性是审计委员会有效运作的前提，只有当审计委员会成员跟管理层没有实质利益关系，才能客观地监督管理层和审计师。
Section 301规定审计委员会成员必须是发行人董事会的成员，且除担任董事会或审计委员会职务外，不得从发行人处领取任何咨询、顾问或其他报酬性补偿；不得是发行人或其关联方的关联人。这些要求确保审计委员会成员在经济关系和社会关系上都跟发行人保持独立。
审计委员会的职责包括直接负责审计师的聘用、薪酬确定和监督，审计师必须向审计委员会报告，包括会计政策争议、审计调整、内控缺陷这些。对于中资企业，这意味着CEO和CFO不能单方面决定审计机构的聘任和解聘，必须经过审计委员会的审议和批准。审计委员会在履行职责时，有权独立聘请顾问，费用由发行人承担。这个条款赋予审计委员会实质性的权力和资源，使其能够真正履行监督职能。
实践中，中资企业建立有效的审计委员会面临几个挑战。首先是独立董事的选聘。审计委员会成员不仅需要满足独立性要求，还需要具备财务知识和审计经验，这对一些依赖创始人团队的企业来说较为困难。其次是审计委员会的运作效率。如果审计委员会成员对企业业务不够熟悉，可能难以准确判断审计师提出的争议事项或管理层给出的解释。针对这些问题，企业可以考虑选聘具有制造业财务背景的独立董事，安排审计委员会成员定期参观生产基地，在审计委员会会议前提供详实的背景材料，帮助成员理解业务和财务问题。
Section 302: 高管对财务报告的认证责任
Section 302确立了CEO和CFO对财务报告的个人认证责任，这是SOX法案中最具威慑力的条款之一。根据Section 302(a)，在向SEC提交的定期报告（10-K年报和10-Q季报）中，CEO和CFO必须签署书面声明，内容包括：已经审阅报告；基于对报告的了解，报告不存在重大事实的虚假陈述或遗漏；财务报表公允地反映了财务状况和经营成果；负责建立并维护内部控制；已经评估内部控制的有效性并披露结论；已经向审计师披露所有内控缺陷和涉及管理人员的欺诈行为；评估后未发现可能对内部控制产生重大影响的变化。
这个条款将财务报告的真实性责任从"公司责任"下沉到"个人责任"，打破了传统的公司有限责任保护。如果CEO或CFO签署虚假认证，即使董事会或审计委员会批准了报告，个人仍需承担刑事和民事责任。对于电池企业的高管，这意味着不能把财务报告责任完全甩给财务部门或外部审计师，必须亲自了解财务数据的生成过程、重大会计估计的依据、内控体系的有效性，审慎签署每一份认证。
Section 302特别强调的内部控制披露要求，实际上是Section 404的前置要求。高管必须在报告中声明是否建立了内控体系、是否评估了内控有效性、评估结论是什么、是否发现了重大缺陷或欺诈行为。对于电池企业，存货盘点、成本核算、收入确认这些关键控制领域如果存在缺陷，必须在Section 302认证中如实披露，不能等Section 404审计师发现后再被动整改。实务中，一些企业为"规避"缺陷披露，在Section 302认证中使用模糊语言如"未发现重大缺陷"，但同时又在Section 404报告中承认存在若干重要缺陷，这种不一致可能引起SEC或PCAOB的质疑，甚至引发调查。
Section 304: 高管奖金和利润的追回条款
Section 304规定，如果发行人因不符合证券法规定的行为而需要重编财务报表，CEO和CFO必须返还重编期间（前12个月内）获得的所有奖金、股票期权及其他激励性薪酬，以及通过出售证券获得的所有利润。这个条款将高管薪酬与财务报告质量直接挂钩，如果财务报告错误导致投资者损失，高管不能保留基于错误报告获得的报酬。
对于中资企业，Section 304的影响主要体现在两个方面。一是绩效奖金的设置。如果奖金跟财务业绩指标直接挂钩，比如营收增长率、利润率这些，而财务报告后来发现错误需要重编，高管可能需要返还全部或部分奖金。企业在设计薪酬体系时，可以考虑设置"奖金返还准备金"条款，明确如果财务重编发生，高管同意按比例返还奖金，从法律层面预先锁定返还义务。二是股票期权的行权时机。如果高管在公司发布利好财报后立即行权出售股票，而财报后来发现错误需要重编，出售股票的利润也必须返还。高管在行权决策时，不能只看表面财务数据，还需要评估财务数据的可靠性。
Title IV: 增强财务披露
Section 401: 定期报告中的披露要求
Section 401要求财务报表必须按照GAAP编制，所有重大调整都必须在附注中披露。这个条款看似是基本要求，但在实务中是SEC执法的重点领域。特别是对于中资企业，习惯于按照中国会计准则编制财务报表，在转换到US GAAP时，可能忽略某些调整的披露。
Section 401还强调重大性判断的重要性。什么是重大？什么是非重大？SEC并未给出明确的量化标准，而是采用"投资者决策影响"的判断标准。对于中资制造业企业，存货占资产比例通常较高（可能达到30%-50%），存货计价方法的变更或减值准备的调整即使绝对金额不大，也可能对投资者判断产生重大影响，需要充分披露。相反，某些固定资产的折旧年限调整虽然影响金额较大，但属于会计估计的正常更新，如果影响比例不大，可能不需要专门披露。企业需要建立重大性判断的标准和流程，不能依赖财务人员的个人经验或主观判断。
Section 404: 内部控制评估——SOX法案的核心
Section 404是SOX法案中最复杂、最富争议，也最重要的条款，被公认为SOX合规的"核心与灵魂"，需要时间和精力进行深入的研究。
Section 404(a)要求发行人管理层必须在年度报告中评估内部控制的有效性，并披露评估结论；Section 404(b)要求外部审计师对管理层的内控评估出具审计意见。这个条款将内部控制从自愿性最佳实践转变为强制法律要求，从根本上改变了企业内控建设的动力和路径。
Section 404的实施必须基于COSO内部控制框架。COSO框架包括五个要素：控制环境、风险评估、控制活动、信息与沟通、监督。这五个要素相互关联、相互影响，共同构成一个有机的内控体系。评估内控有效性不能只看单个控制点是否运行，还要看这五个要素是否形成了有效的整体。比如，制造业企业可能建立了完善的存货盘点流程（控制活动），但如果仓库管理人员不重视盘点工作，甚至协助掩盖盘亏问题（控制环境缺陷），那么整个存货控制体系仍然是无效的。Section 404评估必须采用整体视角，识别要素之间的薄弱环节。
根据现有资料分析得出：
Section 404评估需要重点关注几个高风险领域。收入确认是最常见的重大缺陷来源。销售可能涉及OEM、ODM、经销商、直销等多种模式，每种模式的收入确认时点判断标准不同，如果企业没有建立明确的收入确认政策并严格执行，审计师很可能认定内控存在重大缺陷。存货管理是另一个高风险领域。电池原材料价格波动大，存货减值测试必须建立在对市场价格预测和销售计划的基础上，如果企业缺乏市场预测机制或预测准确性差，减值测试就难以准确进行，审计师会质疑减值准备计提的充分性。成本核算的复杂性也带来风险。电池生产涉及多种原材料、多道工序，制造费用分摊的基础和方法的合理性直接影响产品成本计算的准确性，审计师会重点审查标准成本与实际成本的差异分析是否及时、调整是否充分。
Section 404(b)要求审计师出具双重意见——财务报表审计意见和内控审计意见。这两种意见可能一致，也可能不一致。如果财务报表无保留但内控否定，说明虽然财务数据准确，但内控体系存在重大缺陷；如果财务报表保留且内控否定，说明内控缺陷已经导致了财务报表错报。对于电池企业，最理想的状态当然是两种意见都是无保留，但如果内控存在重大缺陷，需要及时整改。审计师在内控审计中发现的重大缺陷会跟管理层沟通，管理层可以选择立即整改并在报告日前补充测试，也可能选择暂不整改，披露缺陷并承诺在下一报告期内整改。无论选择哪种方式，都需要在10-K报告中充分披露。
BTW，SEC对小型企业和新兴成长公司（EGC）给予了部分豁免。EGC在首次公开发行后五年内可以豁免Section 404(b)的审计师内控审计要求，但仍需遵守Section 404(a)的管理层评估要求。电池企业如果规模较小，可以考虑利用EGC豁免，减轻上市初期的合规负担。但即使豁免404(b)，也不能放松内控建设，因为Section 302仍要求评估内控有效性并披露，且豁免期结束后仍需满足404(b)要求。
Section 406: 财务高管的道德准则
Section 406要求发行人必须建立针对高级财务官的道德准则，或披露未建立的原因。道德准则必须包括诚实和道德行为（包括个人和专业冲突处理）、全面、公平、准确、及时和易懂地披露发行人信息、遵守政府法律法规三项基本内容。这个条款将职业道德从软性要求转化为硬性约束，将财务高管的个人操守与公司治理直接关联。
对于企业来讲，建立财务高管道德准则不能流于形式。准则制定后需要定期更新，反映业务发展和监管变化的要求。更重要的是，准则必须落地执行，包括年度培训、利益冲突申报、违规调查和处理这些。财务高管每年需要签署道德准则确认书，声明已阅读并理解准则，承诺遵守准则并报告任何潜在冲突。如果发生违规行为，审计委员会需要及时调查并采取适当措施，包括警告、降职、解聘这些。Section 406还要求披露道德准则的变更情况和对违反道德准则行为的豁免，这意味着道德准则的执行情况将公开透明，接受投资者和监管机构的监督。
Title VIII: 刑事责任
Section 802: 篡改记录的刑事处罚
Section 802把故意篡改、销毁或隐匿记录以阻碍正式调查的行为定为重罪，最高可判处20年监禁。这个条款的严厉程度反映了美国国会对安然等案件中销毁证据行为的愤怒。安然破产调查中，发现安达信有组织地销毁大量审计工作底稿和客户文件，企图阻碍调查，这种行为被Section 802定罪重罚。
目前看来，Section 802的含义远不止于"不要销毁证据"，而是要求建立完整的记录保存和管理体系。财务记录、业务记录、审计工作底稿、内控测试记录这些都必须妥善保存，确保在监管机构或审计师要求时能够及时提供。特别是电子记录的保存更需要规范管理——避免因系统升级、格式变更导致历史数据丢失；设置访问权限，防止未经授权的修改或删除；定期备份，避免因硬件故障或病毒攻击导致数据损毁。
Section 802还涉及一个容易被忽视的问题——"明知"的认定。法律不要求企业主动预知未来何时会面临调查，但如果企业已经收到SEC的调查通知、PCAOB的检查要求或股东的诉讼文件，此时再销毁记录就可能被认定为"明知"。企业如果面临财务争议或内控缺陷指控，需要立即启动记录保全程序，由法务部门或外部律师监督，确保所有相关记录不会因人为原因而遗失。
Section 906: 公司财务报告的刑事责任
Section 906规定，CEO和CFO明知财务报告存在重大虚假或误导性陈述而故意签署，可判处最高10年监禁和100万美元罚款；如果是故意欺诈，可判处最高20年监禁和500万美元罚款。这个条款将财务造假的刑事处罚大幅提高，成为SOX法案中最具威慑力的条款之一。
对于企业的高管，Section 906意味着签署财务报告不再是例行公事，而是需要承担重大个人责任的法律行为。高管在签署前，必须亲自了解财务报告的编制过程、重大会计估计的依据、审计师的意见和调整、内控评估的结论这些。不能因为时间紧张或信任财务总监而草率签字，也不能因为董事会批准而免除个人责任。如果对财务数据存有疑虑，应该要求补充说明或推迟签署，必要时咨询法务或外部律师的意见。
Section 906还设置了"明知"和"故意"的主观要件，意味着过失或疏忽不一定构成刑事犯罪。但这个保护是有限的。如果高管对明显的红灯信号视而不见，或者在审计师提出严重质疑后仍然坚持签署，可能被认定为"推定明知"。
但是这一条，很难规制中方高管，VIE架构下，中国运营实体是独立法人，其高管并非美国上市公司的正式CEO/CFO，不受Section 906字面约束。美国司法部门需证明中国高管对上市公司财报拥有“最终控制权”且“故意签署”，跨境取证难度极大。中美刑事司法协作效率低，实际引渡案例罕见，形成事实上的“执行真空”。
写在后面
行文过程中，我一直有个疑问，SOX法案，如何规制到VIE架构下的中国运营实体，中国大陆运营实体直接形式上做到位，内控完成和每年审计给到美国SCE与PCAOB，应该就没问题吧，形式上的到位可能包括：1、建立符合SOX 404的内控体系；2、聘请有资质的审计师进行财报审计；3、管理层签署内控有效性声明。
但风险在于：如果这些程序在中国境内执行，SEC和PCAOB能否有效监督？如果发现审计底稿无法调阅、内控测试无法验证，会不会被认定为不合规？
只能说，得确保内控体系不仅有文档，还要有可验证的执行痕迹，选择与PCAOB有合作关系的审计机构（中美审计监管合作下不知数量是否比较多），保留所有支持性证据，准备应对SEC质询，并多关注PCAOB对中国审计师的检查报告。
业务环境在变化，监管要求在更新，技术手段在进步，内控体系也必须持续优化。
