上場企業会計改革および投資家保護法

上場企業会計改革および投資家保護法（：サーベンス・オクスリー法、企業改革法、SOX法）は、2002年7月に第26代アメリカ証券取引委員会 (SEC) 委員長であるハーヴェイ・ピットのもとで成立したアメリカ合衆国の連邦法。
エンロン事件やワールドコム事件で問題になった粉飾決算に対処し、企業会計・財務諸表の信頼性を向上させるために制定された。
法案を提出した上院議員ポール・サーベンス（）と下院議員マイケル・G・オクスリー（）の名前から、サーベンス・オクスリー法（略称SOX法）と呼ばれる。日本では『企業改革法』とも意訳されている。
概要.
投資家保護のために、財務報告プロセスの厳格化と規制の法制化を図っている。監査の独立性強化、コーポレート・ガバナンス（企業統治）の改革、情報開示の強化、説明責任など様々な規定がある。ニューディール時代の1933年の連邦証券法、1934年の連邦証券取引法の制定以来、金融ビジネスにおける最も大きな変更とされる。
特に重要なのは、経営者に対する、年次報告書の開示が適正である旨の宣誓書提出の義務づけ（302条）、財務報告に係る内部統制の有効性を評価した内部統制報告書の作成の義務づけ、公認会計士による内部統制監査の義務づけ（404条）である。
全11章69の条文で構成されている。
条文の文言が曖昧で、解釈によってどうにでもとれる可能性があり、法律自体の先行きが不透明であるとか、内部統制のためにかけるコストは割に合わず、効果も期待できないといった指摘がある。
内部統制 (Internal Control).
404条に規定されている、同法の中で最も影響が大きいとされる項目。CEO（最高経営責任者）とCFO（最高財務責任者）は、財務諸表に係る内部統制システムの構築・運用と、その有効性の検証を義務づけられ、外部監査人がその監査・監査意見表明を行うこととしている。
この内部統制はトレッドウェイ委員会支援組織委員会（COSO）が提唱したCOSOフレームワークに準拠する。ここでの内部統制は3つの目的と5つの構成要素からなる。すなわち、「1．業務の有効性と効率性、2．財務報告の信頼性、3．関連法規の遵守という3つの目的を達成するために合理的保障を提供することを意図した、取締役会、経営者及びその他の構成員によって遂行されるプロセス」と定義されていた（現在の日本での内部統制は、4つの目的と6つの構成要素に増えているので注意が必要である。）。なお、5つの構成要素とは、統制環境、リスク評価、統制活動、情報と伝達、監視活動である。
当初は内部統制の対象は「社内統制のシステム全体」とされていたが、SECが新規則公示の際に開いた公聴会で404条への批判が相次いだため、最終規則で解釈の大幅な変更を行い、SOX法における内部統制は「財務統制に関する内部統制」に限定された。とはいえ、財務状況・経営成績を適正に表示するためには、基礎となる各データ（売上に関する項目であれば商品、数量、納品日など）が全て適正でなければならず、複数の業務部門に関わりが出てくるので、直接財務諸表に関わりのある経理部門以外にも内部統制整備の影響を受ける範囲は広いと考えられる。
企業はまず内部統制の内容、その有効性の検証方法・結果、問題があった場合の対応などを明確化・文書化しなければならない。ERPなどの情報システム、システムの開発・保守・運用といった業務プロセス、外部への委託方法なども含まれ、米国ではこの文書化に各企業が非常な労力を費やしたといわれる。
内部統制とIT.
ほとんどの企業において会計プロセスにITが介在しており、プロセスの正当性を証明するためにはITの開発・運用プロセスが厳格に行われていることを保証しなくてはならない。公開企業会計監視委員会（PCAOB）監査基準第2号の75項には、プログラム開発、プログラム変更、コンピュータ･オペレーション、プログラムとデータのアクセスの4項目についての整備を要求している（日本での内部統制では、基本的要素に「ITへの対応」が加えられている。）。
なお、これらのIT全般統制の実務的基準として、「企業改革法遵守のためのITの統制目標(Control Objectives for Sarbanes-Oxley)」がITガバナンス協会から公表されており、多くの上場企業において使用されている。