上市申請人內部監控系統的評估標準與改善方案
聯交所於2025年4月發布的《上市委員會報告》中明確指出，過去12個月內，因內部監控系統不足而導致上市申請被退回或延遲的個案較前一年度上升約18%。此趨勢與港交所（HKEX）近年來加強對申請人企業管治及風險管理審查的方針一致，特別是針對《上市規則》第3.08條及附錄十四《企業管治守則》中有關董事會對內部監控系統負有最終責任的要求。對於正在籌備上市或考慮轉板（如由GEM轉往主板）的公司而言，內部監控不再僅是合規部門的技術問題，而是直接影響上市進程、估值及投資者信心的關鍵決策變量。本文將從監管要求、常見缺陷及具體改善方案三個層面，結合聯交所上市決策（Listing Decisions）及Mayer Brown律師事務所的實務指引，為擬上市公司高層及保薦人團隊提供一份可執行的評估框架。
監管框架與評估基準
聯交所對上市申請人內部監控系統的審查並非僅限於形式上的文件檢查。根據《上市規則》第9.11(14)條，申請人必須在提交A1表格時附上由保薦人就其內部監控系統是否足夠發表的意見。實務中，保薦人通常會委聘獨立會計師事務所進行內部監控審閱，並出具一份詳盡的報告。
聯交所的具體審查維度
聯交所內部監控審查的焦點集中在三個核心維度：財務報告的準確性、資產保護的有效性，以及法規合規的可靠性。根據聯交所於2023年發布的《上市決策LD150-2023》，審查人員會特別關注申請人是否存在以下情況：財務數據的生成與審批流程缺乏分離授權；對關連交易（Connected Transactions）的監控僅停留在事後記錄，而無事前審批機制；以及對子公司（尤其是境外子公司，如BVI或Cayman Islands註冊的實體）的財務及營運監控存在空白地帶。該決策明確指出，若申請人無法證明其內部監控系統能有效覆蓋所有重大業務環節，聯交所將有權退回上市申請。
常見的系統性缺陷
從過去兩年Mayer Brown律師事務所處理的上市諮詢案例中，可以歸納出三類最常見的系統性缺陷。第一，是對「關鍵人物風險」（Key Person Risk）的忽視。許多初創或家族企業的決策高度集中於創辦人或少數高管，財務審批、合同簽署及資金調撥往往由同一人執行，這直接違反了《上市規則》第3.08條對董事會集體責任的要求。第二，是資訊科技（IT）系統的脆弱性。根據香港會計師公會（HKICPA）的調查，約有35%的上市申請人未能建立足夠的IT一般控制（IT General Controls），包括用戶訪問權限管理、數據備份及災難恢復計劃。第三，是對反賄賂及反貪腐（ABAC）合規的輕視，特別是在涉及中國內地或東南亞業務時，缺乏一套可執行的第三方盡職調查流程。
內部監控系統的改善方案
針對上述缺陷，改善方案必須從組織架構、流程設計及技術工具三個層面同時推進。單一的政策文件無法滿足聯交所的實質審查要求，申請人需要展示一套運作中的、可驗證的系統。
建立「三道防線」模型
最有效的內部監控架構是採用「三道防線」模型。第一道防線為業務部門自身的管理控制，例如銷售團隊在簽署合同前需經過信用審批，採購部門需執行供應商評估。第二道防線為風險管理及合規職能部門，負責制定政策、監控執行情況並提供培訓。第三道防線為內部審計職能，直接向審計委員會匯報，進行獨立評估。在上市申請前，申請人應確保這三道防線均已建立，並有足夠的人員配置。例如，一家計劃在主板上市的醫療器械公司，其內部審計團隊至少應配備3至5名全職人員，並擁有直接聯繫審計委員會主席的渠道。
具體流程改造要點
在財務報告流程方面，申請人必須實施嚴格的職能分離（Segregation of Duties）。具體而言，負責記錄應收賬款的員工不得同時負責收款核銷；負責審批採購訂單的員工不得同時負責供應商入庫。對於關連交易，應建立一套從交易發起、獨立董事審批、到事後披露的標準操作程序（SOP），並在企業資源規劃系統（ERP）中設置自動警報，當交易金額觸及《上市規則》第14A章規定的披露門檻時，系統會自動鎖定交易直至合規部門放行。在IT控制方面，申請人應委聘外部專家進行滲透測試及漏洞掃描，並將結果納入保薦人報告的附錄。
境外子公司監控的強化
對於設立在BVI、Cayman Islands或開曼群島的境外子公司，聯交所要求申請人證明其擁有實際的控制權。改善方案包括：在子公司董事會中派駐母公司代表；建立統一的資金池管理系統，所有子公司的大額資金調撥（例如超過10萬美元）需經母公司財務總監審批；以及定期進行子公司層面的財務報表合併與差異分析。Mayer Brown律師事務所在一份2024年的實務指引中建議，申請人應與其離岸律師協商，修改子公司章程，賦予母公司對重大資產處置及擔保行為的否決權。
保薦人與律師的協作角色
內部監控系統的建立並非申請人單方面的任務，保薦人及律師團隊的介入時機與深度直接影響最終成果。聯交所期望保薦人不僅是被動的審閱者，更是主動的架構設計顧問。
保薦人盡職調查的關鍵節點
保薦人應在初步盡職調查階段（即簽署委聘函後的首60天內）啟動內部監控審閱，而非等到A1表格提交前的最後一刻。根據《上市規則》第9.11(14)條的實務操作，保薦人需要對申請人的所有重大業務流程進行穿行測試（Walk-through Test），並對發現的缺陷提出具體的整改時間表。若保薦人發現申請人的內部監控系統存在「重大缺陷」（Material Weakness），則必須在A1表格中如實披露，並說明整改計劃。這類披露往往會引起聯交所的進一步提問，甚至導致上市時間表的延遲。
法律顧問在合規框架中的作用
律師團隊的責任在於確保內部監控系統的設計符合所有適用的法律法規，包括但不限於《公司條例》（第622章）、香港個人資料（私隱）條例（第486章），以及涉及跨境業務時的中國內地《網絡安全法》及《數據安全法》。律師應協助申請人起草一份全面的合規手冊，明確各業務環節的法律風險點及應對措施。例如，在處理客戶個人資料時，系統應設計為默認不收集非必要數據（Data Minimization），並在收集前取得明確同意。律師還需審查所有重大的第三方合同，確保其中包含符合國際標準的反賄賂條款及終止權條款。
結論與行動建議
內部監控系統的完善程度已成為聯交所審批上市申請的核心考量因素之一，其重要性不亞於財務表現或業務模式。申請人若能在提交A1表格前完成系統性的整改，不僅能縮短審批週期，更能在上市後降低監管風險，提升投資者信心。
以下是三項具體的行動建議：
- 立即委聘獨立會計師事務所進行內部監控差距分析，並要求其在60天內提交一份包含具體整改時間表的報告，重點覆蓋財務報告、關連交易及IT一般控制三個領域。
- 在現有ERP系統中嵌入自動合規檢查功能，針對《上市規則》第14A章的關連交易門檻及第13.13條的須予公佈交易門檻設置即時警報，確保交易在未經合規部門審批前無法執行。
- 為所有境外子公司（特別是BVI及Cayman Islands註冊實體）建立統一的資金管理及財務報告制度，並在子公司章程中明確母公司對重大資產處置及擔保行為的審批權，以滿足聯交所對實質控制權的審查要求。