Grundsätzlich ist die Regel 404 die am stärksten diskutierte und auch kostenintensivste Regel. Hier wird vorgeschrieben, dass jeder Jahresbericht der Unternehmen auch eine Beurteilung sowohl der Geschäftsleitung als auch des Wirtschaftsprüfers über die Wirksamkeit der internen Kontrollsysteme für die Rechnungslegung enthalten muss. Das Management hat zudem eine formale Beurteilung bezüglich der Kontrollen der Rechnungslegung inklusive verschiedener Tests hinsichtlich des Designs und der Effektivität der Kontrollen abzugeben. Die Wirtschaftsprüfer haben neben der Beurteilung der Wirksamkeit der IKS auch eine allgemeine Bewertung der Finanzausweise der Unternehmen hinzuzufügen.

Die Regel 404 verlangt also von den Unternehmen einen internen Kontrollbericht des Managements, der dem Jahresbericht zugefügt werden soll. Punkte, die im Bericht enthalten sein sollen, sind unter Anderem:

•    Stellungnahme über die Verantwortlichkeit des Unternehmensmanagements bezüglich der Einrichtung und Aufrechterhaltung adäquater IKS im Rahmen der Rechnungslegung

•    Erklärung über das genutzte Rahmenwerk des Managements bezüglich der geforderten Bewertung des IKS

•    Beurteilung der Geschäftsleitung über die Wirksamkeit des IKS am Ende eines aktuellen Geschäftsjahres inklusive der Offenlegung möglicher Systemschwächen

•    Bericht über die Beurteilung des Wirtschaftsprüfers in Hinblick auf das IKS eines Unternehmens