近來遇到一傢公司在做SOX readiness，但對於2021年還是2022年開始做SOX audit，公司與咨詢顧問、審計師、律師討論時，發現各方對於什麼時候需要做SOX audit都有各自意見（當然最終以律師對SEC規則的解讀為準）。近年我經歷瞭過美股IPO及上市公司審計，跟不同四大、律師和上市公司美準的人員都有很多交流，發覺大傢對此也有不同認識。有鑒於此，我把自己的理解整理成文，給大傢作個參考，歡迎指正。當然，本文是從中概股的角度的出發，適用FPI的一些豁免。
在同行交流中，發現大傢經常覺得困惑的問題有兩個：
1、公司今年收入預計會超過10.7億美金，是今年還是明年開始要做SOX audit？
2、為什麼有些公司收入遠低於10.7億美金，但已經需要做SOX audit?
我們先回顧一下SOX相關的幾個基礎文件：
- Sarbanes-Oxley Act of 2002 薩班斯-奧克斯利法案
SOX Act的第404章節要求美國證監會發佈規章規定發行人的年度報告必須包含內部控制報告，其中404(a)是管理層自評，404(b)是審計師對管理層自評進行認證並出具報告（即SOX audit）。所以，我們常說今年是否要遵循404(b)就是問今年要不要做SOX audit。
- Jumpstart Our Business Startups Act of 2012 創業公司融資法案，簡稱“ JOBS Act ”或“喬佈斯法案”
JOBS出臺的背景簡單點說就是企業要滿足SOX的成本太高瞭，不利於中小企業上市融資，於是推出瞭一個新分類－“新興成長公司”（Emerging Growth Companies，“EGC”），簡化和降低瞭這類公司實施IPO和公開披露的相關要求和標準。在信息披露方面，主要包括以下幾項簡化：
- EGC公司無需提交審計師對公司內部控制的證明報告（即豁免SOX audit）
- 降低高管薪酬的披露標準
- EGC公司無需按照GAAP會計準則進行信息披露（基本上中概股IPO時會聲明不采用此條豁免，以保證財務報表可讀性）
- EGC公司豁免PCAOB的部分規定
- Financial Reporting Manual
這並不是一份正式文件，是SEC的Division of Corporation Finance撰寫的內部手冊，在SEC網站上可以查詢，現在的版本更新到2020.10.30。手冊涵蓋瞭美股上市公司在Reporting方面常見的一些問題，挺實用的。
以及以下與SOX相關的分類：
- Smaller Reporting Company ("SRC") — 決定瞭披露程度
- Accelerated Filer ("AF") and Large Accelerated Filer ("LAF") Status — 決定年報和季報的披露時間表（中概股作為FPI不受影響）以及是否需要SOX audit
- Emerging Growth Companies ("EGC") — 決定瞭披露程度和是否需要SOX audit
- Foreign Private Issuer（“FPI”） — 決定報告披露時間表和披露程度
判斷邏輯：
我做瞭一張表來展示判斷邏輯：
根據SEC rules，對於a non-EGC accelerated filer 或 a large accelerated filer，需要在年報中包括審計師對內控的評估報告，換而言之，需要做SOX audit。由此可用以下邏輯判斷：
1、IPO當年：
不需要，因為IPO當年公司屬於 non-accelerated filer（AF和LAF的標準有一條是至少向SEC提交過一份年報）
２、上市第二年
（1）在Q2結束後先做個市值測試（Public float test），如果超過瞭7億美金，公司變成Large Accelerated Filer，那就乖乖認命，不用再考慮是不是EGC。（2）如果市值測試不是LAF，那公司基本是Accelerated Filer（市場低於75M的就不在討論范圍瞭吧），這時就需要判斷公司是否屬於EGC
這裡需要特別留意市值測試 — Public Float Test在很多分類都會出現，比較常見的兩個誤解，一是誤以為是公司總市值，二是誤以為是指IPO時新發股份對應的市值。我在做某個項目時就犯瞭第二個誤解，當時A公司IPO發行股份集資剛好7億美金，第二年630時因為股價破發這部分股票市值隻有６億美金，當時大傢都很高興，以為不滿足LAF標準當年可以繼續豁免SOX audit，後來經過咨詢律師才發現搞錯瞭，已經符合瞭LAF標準當年要做SOX audit。而對公司管理層的質疑，真是巨尷尬。
SEC的定義，Public Float 是“the aggregate market value of the issuer's outstanding voting and non-voting common equity held by non-affiliates”。"An 'affiliate' of an issuer is a person that directly, or indirectly through one or more intermediaries, controls, or is controlled by, or is under common control with the issuer. "Control" means the possession, direct or indirect, of the power to direct or cause the direction of the management and policies of an issuer, whether through the ownership of voting securities, by contract, or otherwise. " 對於什麼是"control"要考慮很多因素，SEC也沒給出具體標準，需要個案分析，一般的法務實踐上會把D&O（董事高管）、持股10%以上股東作為affiliates，除此以外的股東作為non-affilates。
EGC應用中的困惑：
針對EGC的判斷，標準很明確，大傢判斷上不會有問題，但讓人最困惑的是，是EGC資格喪失的當年還是下一年需要做SOX audit，常見兩個問題：（1) 公司2021年11月收入達到10.7億美元，2021年還2022年開始做SOX audit?
（2) 公司2021.11.30是上市五周年紀念日，2021年還2022年開始做SOX audit?
在《Financial Reporting Manual 2020》10110.4很明確，對於（1）和（2）都是在2021.12.31喪失EGC資格：
（1）For example, a calendar year-end company whose total annual gross revenues exceed $1.07 billion on October 31, 2013 would cease to be an EGC on December 31, 2013.
（2）This date is determined by looking to the fiscal year during which the fifth anniversary occurs. The last day of this fiscal year will be the first day that the issuer is a non-EGC, provided no other disqualifying provisions have been triggered at an earlier date.
基於公司於2021.12.31已經不是一個EGC，如果公司又不是non-accelerated filer，自然在2021年20-F中需要包括審計師的內控審計報告，即2021年需要做SOX audit.
