SOX — חוק סרבנס-אוקסלי (Sarbanes-Oxley Act of 2002)

סקירה

חוק סרבנס-אוקסלי (Public Law 107-204), שחוקק בקונגרס האמריקאי ב-2002 בעקבות שערוריות החשבונאות (Enron, WorldCom), הוא חקיקה פדרלית שמטרתה לשקם את אמון הציבור בשוקי ההון באמצעות חיזוק ממשל תאגידי, אחריותיות הנהלה ועצמאות רואה החשבון. החוק חל על תאגידים מדווחים (issuers) הרשומים ב-SEC ועל פירמות רואי החשבון המבקרות אותם. הוא בעל חשיבות קריטית לחברות ישראליות הנסחרות בבורסות בארה"ב (כגון נאסד"ק) ולמשרדי רו"ח המבקרים אותן. עמודי התווך: Title I מקים את ה-PCAOB — גוף פיקוח עצמאי על רואי חשבון של חברות ציבוריות, המחליף את הרגולציה העצמית של המקצוע; Title II מחזק עצמאות (איסור שירותים נלווים, רוטציית שותפים, אישור-מראש של ועדת הביקורת); Title III מטיל אחריות אישית על המנכ"ל וה-CFO לאשר (certify) את הדוחות ואת אפקטיביות הבקרות, ומחייב ועדת ביקורת בלתי-תלויה; Title IV (לב סעיף 404) מחייב הערכת בקרה פנימית על דיווח כספי (ICFR) ע"י ההנהלה ואטסטציה של המבקר; Title VIII–IX קובעים סנקציות פליליות. עבור המבקר, SOX מעצב את ה-'ביקורת המשולבת' (integrated audit) — חוות דעת נפרדת על אפקטיביות ה-ICFR לצד חוות הדעת על הדוחות הכספיים, לפי תקן PCAOB AS 2201. SOX אינו תקן ISA אלא מסגרת חקיקתית-רגולטורית שמתחתיה פועלים תקני ה-PCAOB.

נקודות מפתח

• 1Title I — הקמת ה-PCAOB (סעיפים 101–109): גוף פיקוח עצמאי (לא-ממשלתי, בפיקוח ה-SEC) הרושם פירמות המבקרות issuers, קובע תקני ביקורת/בקרת איכות/אתיקה, מבצע ביקורות-פיקוח (inspections) ואכיפה. מחליף את ה-self-regulation של ה-AICPA לגבי חברות ציבוריות.
• 2סעיף 302 — אחריות תאגידית לדוחות: המנכ"ל וה-CFO חייבים לאשר אישית בכל דוח תקופתי כי הדוח נקרא, אינו כולל מצג שווא מהותי, משקף נכונה את המצב הכספי, וכי הם אחראים לעיצוב ולתחזוקת ה-disclosure controls וה-ICFR, העריכו את אפקטיביותם וגילו למבקר ולוועדת הביקורת ליקויים משמעותיים וכל הונאה.
• 3סעיף 404(a) — הערכת ההנהלה: ההנהלה אחראית לבסס ולתחזק ICFR, ובדוח השנתי לכלול דוח הנהלה המעריך את אפקטיביות ה-ICFR לתום השנה, תוך שימוש במסגרת בקרה מוכרת (בפועל COSO 2013).
• 4סעיף 404(b) — אטסטציה של המבקר: רואה החשבון המבקר נדרש לתת חוות דעת (attest) על אפקטיביות ה-ICFR. הערה חשובה: לאחר Dodd-Frank (2010) ה-non-accelerated filers ו-emerging growth companies מסוימים פטורים מ-404(b) — אך ההנהלה לעולם אינה פטורה מ-404(a).
• 5PCAOB AS 2201 — הביקורת המשולבת: מטרת המבקר היא להשיג ראיות מספיקות לוודאות סבירה האם קיימת חולשה מהותית ב-ICFR לתאריך ההערכה. הגישה היא top-down, מבוססת-סיכון: מרמת הדוחות הכספיים → בקרות ברמת הישות (entity-level) → חשבונות ומצגים מהותיים → בקרות ספציפיות → בדיקת אפקטיביות התכנון וההפעלה.
• 6הגדרות-מפתח (AS 2201): 'חולשה מהותית' (material weakness) = ליקוי או צירוף ליקויים שיש בו אפשרות סבירה שהצגה מוטעית מהותית בדוחות לא תימנע או תתגלה במועד. 'ליקוי משמעותי' (significant deficiency) = פחות חמור מחולשה מהותית, אך מהותי דיו כדי לחייב תשומת לב הגורמים האחראים לפיקוח על הדיווח.
• 7Title II — עצמאות המבקר: סעיף 201 אוסר על המבקר לספק 9 קטגוריות שירותים נלווים ללקוח הביקורת (ניהול ספרים, עיצוב מערכות מידע כספי, הערכות שווי, אקטואריה, אאוטסורסינג ביקורת פנימית, תפקודי הנהלה, גיוס כ"א ועוד); סעיף 202 — אישור-מראש של ועדת הביקורת לשירותים מותרים; סעיף 203 — רוטציית שותף מבקר מוביל/סוקר כל 5 שנים; סעיף 206 — תקופת צינון לקליטת בכירי הלקוח.
• 8Title III — ועדת ביקורת (סעיף 301): ועדת ביקורת בלתי-תלויה אחראית למינוי, לתגמול ולפיקוח על המבקר; המבקר מדווח ישירות לוועדה; חובת מנגנון לקבלת תלונות (whistleblower) על חשבונאות. סעיף 303 — איסור השפעה פסולה על המבקר. סעיף 306 — איסור מסחר בתקופות blackout.
• 9סנקציות פליליות: סעיף 906 — אישור כוזב ביודעין: עד $1M ו-10 שנות מאסר; אישור בכוונה תחילה (willful): עד $5M ו-20 שנות מאסר. סעיף 802 — השמדה/שינוי/זיוף מסמכים בכוונה לשבש חקירה: עד 20 שנות מאסר; חובת שמירת ניירות עבודה של הביקורת 7 שנים. סעיף 906 הוא חיזוק פלילי לאישורי סעיף 302.

תקנים קשורים