萨班斯法案对在美国上市的公司有很强的约束力，它既有实质性的要求，又有改善内部控制环境的员工素质和道德规范要求。实质性的要求，即建立信息披露的控制程序，体现在萨班斯法案302条款中。中国联通在2003年就已经开始贯彻302条款，建立一套完整的流程。而达到302条款要求的关键是要做好基础工作，在对外披露信息文件的形成过程中就建立起一种责任制度，形成行动上的监督。这种监督不是上级对下级的考核，而完全是由会计信息产生和报告单位自己发表的一个“声明书”，承诺提交的会计信息真实、完整。这一流程保证了下级提供的会计报表、每个报表项目所对应的会计记录以及会计记录所对应的相关经济活动都是真实可靠的、是经过层层核对的。到了总部之后，会经过一个包括CFO在内的信息披露审核委员会审核、讨论。只有建立了这一程序和责任体系才符合萨班斯法案302、404条款要求。通过履行信息披露程序，最大限度控制会计信息的错误和舞弊行为，提高投资者的投资信心和会计信息的可信度。
事前的准备
中国联通从2003年年底开始准备按照404条款完善公司的内部控制制度。首先是梳理会计政策、业务流程和揭示风险。按照404条款建立内控体系要符合境外的会计准则，而我们一直都是按照中国国内的会计法、会计准则和会计制度来做的，他们之间的差异需要调整。比如，负债单位利息支出资本化和费用化的界线，国内要求以特定的借款用途用于特定投资项目来界定，在达到预定可使用状态前可以进行资本化。而香港和美国是按照实质性判断，无论用于固定资产投资的资金来源于投资项目贷款还是流动资金贷款或其他带息负债，只要用于这个项目的投资所产生的资金成本就应当由该项目来承担。
第二是转变观念，从另一个角度说就是对内控评价或认定标准的认识。过去我们大都依赖红头文件，但是红头文件的指示和要求都很原则，由于执行单位或执行人的理解差异，会有很大的灵活“空间”，企业操作起来就没有了标准。如强调“加强物资管理”，过去红头文件很少规定怎么管理？管理到什么样程度？而按照内控的要求，第一，需要明确建立库管制度，规定采购、验收、保管、出库、损失估计、财产安全和盘点、报告、对账等程序规范；第二，要合理储备物资，这就要确定物资的最高储备限额和最低储备定额，既要避免积压、跌价风险，又要保证供应。这就具体到了标准上。
从2004年开始，中国联通按照COSO框架的要求完善公司的内部控制制度。虽然由于联通在海外上市，建立的内部控制制度必须符合COSO框架的要求，但我们这么做不仅仅是外部的要求，从企业自我发展来说也是非常迫切和必要的。一方面，围绕防范达致经营效果和效率、财务报告真实性、遵从法律法规三个目标的各类风险为目的，在控制环境、控制活动、风险评估、信息与沟通和监督五个方面建立一套渗透所有业务和场所的内部控制制度和管控机制；另一方面，要改变国有企业对风险管理的认识和管理者态度，建立和维护的是一套有效的内控制度和执行程序及分散的控制责任体系，而不是仅靠领导讲话和指示作为经济活动的管理标准和工作规则。当然首先要设定内控制度建设目标，进而形成方案。目标包括阶段工作内容、完成成果和时限。方案是经过独立董事、审计委员会审批的，并聘请一家境外咨询机构提供咨询。
联通审计委员会的独立董事们曾要求我们聘请境外的审计机构不定期设计内控制度，但是境外审计机构和我们的观点在很多方面有很激烈的碰撞。他们站在外部审计师的角度认为，内控要首先以信息的真实性为前提，即所有资产的价值都是真实的。而我们国内准则要求有些资产的受益期限是需要通过判断决定的，比如哪些费用属于期间费用，哪些费用可以递延，受益期多长等，都需要判断。但审计师有时对这种判断不认可，比如公司对这项资产使用年限的会计估计是7年，而审计师认为是5年。审计师往往也会从防范自身审计风险的角度强调这个资产有没有潜在风险。为什么我们与审计师会有碰撞，因为管理层有企业积累和发展的需求，唯有一定的利润才能实现、支撑企业的发展和公司对投资者的责任。我们希望公司的利润每年都有适当的增长，所以我们的会计估计都是依赖恰当的管理上的判断来确定的。这种估计既要考虑到审计师的职业判断，也要考虑国家对行业相关资产的规定及管理层对所使用资产经济寿命和服务期限的判断。现在我们的内控建设，主要还是坚持以公司自己为主、外部咨询师为辅，因为我们真正了解企业面对的风险和应设计的控制措施和控制目标。