对于一个在海外上市的中国企业来说，只有遵循人家的游戏规则，别人才会带你“玩”——“萨班斯－奥克斯利法案”（theSarbanesOxleyAct，以下简称萨班斯法案）规定：从2006年起，凡年销售收入在5亿美元以上的在美国上市的外国公司，都必须遵从这一法案。 
　　2008年6月24日，中国东方航空股份公司2007年度财务报告在美国披露，公司声明：经测试，管理层认为东航2007年与财务报告相关的内控是有效运作的，外部审计师普华永道也对内控有效性发表了无保留意见，这意味着东航已在国内航空公司中率先符合了萨班斯法案的要求。
　　选择接受新法案挑战时，全东航几无人知"萨班斯"，到如今顺利通过，这条路，东航人走了近四年。
挑战一夜到来
　　2001年年底开始，安然、世通、施乐……一批美国大公司会计丑闻相继曝光，美国式自由市场经济制度遭遇了前所未有的质疑。为了恢复民众对美国金融市场、政府经济政策的信心，次年7月30日美国总统布什签署了萨班斯-奥克斯利法案。
　　该法案适用范围为美国所有的上市公司，作为1997就已经率先在美国纽约证交所上市的东航，将和其他四十多家中国内地企业（纽约证券交易所16家、纳斯达克28家）一起迎接该法案所带来的新挑战。
　　法案最核心内容就是加强了对在美上市公司信息披露、内部控制以及公司治理等方面的监管力度。东航股份总经理助理、审计部总经理王桃英告诉记者，实施和遵从萨班斯法案是很有难度的，该法案带来了全新的监管理念和商业规范，遵从成本很高，过程也很复杂。
　　她说，“有一些外资企业都表示推不下去。”法案生效后，不少在美上市的海外公司和一些收入偏低的企业选择了退市，其中不乏英国电信和德国巴斯夫等著名欧洲公司。
应战
　　即便是这样，2004年10月，旨在遵循法案要求的萨班斯项目在东航启动了。
　　据东航审计部内控管理部经理方澜介绍，项目得到东航高层重视，由时任总经理罗朝庚担任项目委员会最高领导，王桃英担任项目经理，审计部内控部具体负责项目日常实施。经过招标程序，东航选择德勤华永会计师事务所在2004年底至2007年初为项目提供了咨询服务，普华永道则提供独立审计服务。
　　萨班斯法案中最严苛、最复杂、执行成本最高的是404条款。方澜说，“其实基本上我们所有的工作都是围绕着404条款的实施细则和标准所展开。”
　　404条款要求公司管理层建立和维护健全的财务报表内部控制体系和流程，并对内部控制的有效性实施评估，看起来只是简单的一句话，可是真正执行起来，难度何其大，尤其对于一家大型国有航空公司而言，专业性又很强。王桃英解释说，内控体系不仅要求结果控制，还要求过程控制，工作量非常大、涉及面广、活多、活细、时间跨度长等种种困难。内控体系建设不仅仅考验的是内控这个部门，最直接考验着企业的传统理念和执行力。
　　要形成新规定下的财务报表，需要每一个数字的支撑，而这些数据来自于公司生产各方面，所以萨班斯内控也涉及到公司运营的方方面面。方澜介绍，在项目一开始，他们便将工作分解进行，在对东航与财务报告相关业务流程进行了梳理，涉及公司总体层面、财务报告、客运收入、货运收入、资金、存货、固定资产、采购、薪资福利、航油、税务以及信息技术等十二大流程，涵盖了上海总部，以及西北、云南、山东三家分公司，中货航、物流、江苏、武汉四家子公司。并据此编制了完整的内控流程文档，包括流程描述、流程图和控制矩阵，在此基础上，辨识了公司流程中存在的大量缺陷，通过集中整改，使得公司相关流程的合理性大大增加。
　　“出差是家常便饭，在分布全国各地的各个分子公司间飞来飞去，不停地讲，不停地推，在每个单位进行项目整体计划和培训、内控文档编制、内部整改，以及内部测试……”王桃英告诉记者。萨班斯内部控制项目启动后，全东航上下开始了一场声势浩大的"集体总动员"，而各个部门对项目的配合与支持也是之前所未料想到的。
　　一种挑战传统的新理念的推行是有难度的。比如相关人员的电脑系统必须设密码，设密码的基本要求：不能是生日、电话号码、不能记在办公桌上、一段时间更改一次等等，就是这么简单的事情，当作为规定去推行的时候，也是破费周章的。
　　一开始，内控意识的缺乏造成项目开始基层员工对萨班斯内控项目缺乏了解，从而增加了工作的难度。内控需要时间、精力，内控的建立改变了原有的工作流程，给工作带来一定的不便，容易造成反感。需要通过大量的解释让业务人员接受萨班斯的工作，并把萨班斯作为自己日常工作的一部分。
萨班斯是一次企业再造
　　内控是对公司业务流程的再造。王桃英介绍，在编写内控文档的过程中，以及对现有流程的梳理中，萨班斯项目组几乎成了公司的“纠错系统”，发现的问题非常多，分别涉及公司层面和流程层面。问题细化到诸如订货合同没有连续编号、在交叉审核中没有审核的书面记录、各IT系统的订货接口等各个方面。接下来的整顿更是一次企业再造。
　　王桃英认为，东航开展萨班斯项目，既为满足萨班斯法案对公司在美国上市的要求，更是为了自身能够加强内部控制，提升管理水平。通过疏理公司的流程，完善各项管理制度，从而提高财务信息的透明度，可预测性，及时性和精确性，保证运营的有效性，切实掌握公司风险，提高风险的可控性。这一点与美国证监会主席WilliamDonaldson的意见不谋而合，“简单的合规并不够，如果公司把萨班斯法案看作时一个机会，一个能改善公共报告的机会，他们公司最终会运行的更好，更透明，因此，对投资者更加有吸引力。”
　　但是内控建设需要巨大的投入。据调查显示，每家需要遵守萨班斯法案的美国大型企业第一年的平均总成本将超过460万美元。而专家估算，此次中国在美国上市的四十多家公司总共在应对萨班斯法案方面的直接投入将高达10亿元人民币。东航仅向萨班斯项目咨询顾问德勤，外部审计师普华永道两家咨询公司支付的咨询费每年就要上千万元。
　　但是，值得欣喜的是，目前在项目工作中建立起来了内控测试机制，使内控测试工作进入常态化，加强了内控人员与流程负责人的交流沟通，使内控意识深入人心，内控有效性不断提升。在2007年进行的最后一轮管理层测试中，总部、分公司和子公司总共数千个关键控制活动经测试有效率近90％。
萨班斯工作只有开始、没有结束
　　萨班斯工作只有开始，没有结束。王桃英表示，"我们不只是满足于提交了多少工作成果，建立多少流程文档，而是要实实在在找出企业的风险所在，建立长效的风险控制机制我们还有很多工作要做，任重而道远。如IT整体战略，资产管理制度，授权体系等。"内控管理将是一个长期的工作，项目结束以后将进入一个常态的管理模式，每年的业务流程文档更改修订，大量的日常测试工作，都需要有一只稳定的团队来完成，2005年9月，东航审计部下增设了内控管理部，明确职责，向建立长效内控机制迈出了重要一步。
　　在萨班斯项目进行中，东航还敦促外包服务商也按美国的标准来出相关内控审计报告，担当了一个内控理念在中国企业中“推行者”的角色。比如国外通用的SAS70报告是美国注册会计师协会发布的独立审计准则公告，是一个标准。在东航的努力下，相关几个外包服务商都愿意花费时间精力去出具SAS70报告，以证明其内控的有效性。“其实这对他们公司自身的运作是非常有好处的。”