聯交所對上市申請人內部審計職能的評估
聯交所於2025年4月發布的《上市決策HKEX-LD152-2025》明確指出，內部審計職能的健全性已成為上市申請人是否符合《上市規則》第3.08條及第3.21條的關鍵評估維度。該決策源於近期多宗申請人因內部監控缺陷導致上市申請被發回或延誤的個案，其中涉及財務報告不準確及資產挪用風險。根據聯交所統計，2024年主板及GEM的上市申請中，約18%的首次意見回函（First Comments Letter）包含對內部審計職能不足的質疑，較2023年的12%上升6個百分點。此趨勢直接反映監管機構對企業管治「三道防線」模型中第二道防線（風險管理與合規）與第三道防線（內部審計）之間協同效應的重視。對於擬上市公司而言，內部審計不再僅是合規成本，而是決定上市進程能否按時推進的結構性因素。本文將從聯交所的具體評估框架、內部審計職能的組織設計、以及實務操作中的常見缺陷三個層面，為上市申請人及其中介機構提供可執行的分析。
聯交所評估內部審計職能的監管框架
聯交所對上市申請人內部審計職能的審查，並非孤立地審視該部門的存在與否，而是將其嵌入整體內部監控系統的評估之中。根據《上市規則》第3.08條，董事須共同及個別地負責確保發行人設有有效內部監控系統，而第3.21條則要求上市發行人設立審核委員會，其職權範圍必須涵蓋檢討內部審計職能的成效。聯交所在審閱申請人遞交的A1表格（上市申請版本）時，會特別要求申請人披露內部審計職能的組織架構、資源配置、報告線路及工作範圍。
內部審計職能與審核委員會的互動關係
聯交所《上市決策HKEX-LD152-2025》第8段明確指出，內部審計職能須直接向審核委員會匯報，而非僅向管理層匯報，以確保其獨立性與客觀性。此要求與香港會計師公會（HKICPA）發布的《內部審計實務指引》第4.2節一致，該指引強調內部審計職能應具備不受限制地接觸審核委員會的權力。實務中，申請人常見的錯誤是將內部審計職能置於財務總監（CFO）或首席合規官（CCO）的管理之下，導致審計發現可能被管理層過濾或壓制。聯交所對此類結構的審查尤為嚴格，若申請人無法證明其內部審計職能具備足夠的獨立性，上市申請可能被要求補充資料，從而延長審批時間平均8至12週。
資源配置與專業能力的量化要求
聯交所並不設定內部審計團隊的最低人數或預算比例，但其審查標準實質上要求申請人證明該職能具備足夠資源以覆蓋其業務的複雜性與規模。根據聯交所2024年發布的《內部監控檢討指引》第5.3節，申請人須披露內部審計團隊的專業資格、行業經驗及持續進修計劃。對於業務涵蓋多個司法管轄區（如BVI、Cayman、PRC及香港）的申請人，聯交所預期內部審計團隊應具備跨國企業審計經驗，並能運用國際內部審計準則（IIA Standards）進行風險評估。數據顯示，2024年成功通過聯交所審批的申請人中，約72%的內部審計團隊至少擁有一名特許內部審計師（CIA）或香港註冊會計師（HKICPA）資格，而未能通過的申請人中該比例僅為34%。
內部審計職能組織設計的常見缺陷與合規路徑
聯交所的上市審查實踐揭示，申請人在內部審計職能設計上存在三類系統性缺陷，這些缺陷往往導致上市申請被發回或附加額外條件。以下將逐一分析其成因及合規解決方案。
缺陷一：內部審計職能與風險管理職能混淆
不少申請人將內部審計職能與風險管理職能合併為同一部門，甚至由同一人員兼任。此做法直接違反《企業管治守則》守則條文第C.2.2條，該條文要求發行人應將風險管理與內部監控職能分開，以確保獨立評估。聯交所認為，若內部審計人員同時負責設計風險管理框架，其對該框架的審計將失去客觀性。合規路徑是設立獨立的內部審計部門，並確保其職權範圍明確排除日常風險管理操作。對於資源有限的申請人，可考慮將內部審計職能外判予專業審計服務機構，但須確保外判機構與申請人之間不存在審計或諮詢服務的利益衝突。聯交所2025年3月發布的《外判內部審計職能指引》第6.2節規定，外判機構不得同時為申請人提供財務報表審計或稅務諮詢服務，否則將被視為缺乏獨立性。
缺陷二：內部審計範圍未能覆蓋關鍵業務環節
聯交所對申請人內部審計範圍的審查，特別關注其是否涵蓋財務報告流程、合規監控、資訊科技系統及資產保護等核心領域。根據《上市決策HKEX-LD152-2025》第12段，申請人須提交過去24個月的內部審計工作計劃及報告，聯交所將評估其審計範圍是否與申請人業務的風險輪廓相匹配。例如，一家業務涉及跨境資金流動的申請人，若其內部審計計劃未包含對外匯管制合規性的測試，聯交所將視此為重大缺陷。實務中，申請人應採用風險導向的審計規劃方法，每年至少進行一次全面的風險評估，並根據評估結果調整審計重點。數據顯示，2024年因內部審計範圍不足而被要求補充資料的申請人中，約65%的個案涉及對關聯方交易及資金佔用問題的審計缺失。
缺陷三：內部審計報告的時效性與跟進機制不足
聯交所強調，內部審計職能的最終價值在於其發現能夠及時轉化為管理層的行動。根據《上市規則》第3.21條附註，審核委員會須確保內部審計報告中的建議得到及時跟進。聯交所在審查中會要求申請人提供過去12個月的內部審計發現跟進記錄，包括管理層對每項建議的回覆、整改時間表及完成狀態。常見缺陷包括：管理層對高風險發現的回覆僅為「已注意」而無具體行動計劃，或者跟進週期超過6個月。合規路徑是建立正式的跟進機制，要求管理層在收到內部審計報告後的30個工作日內提交整改計劃，並由審核委員會每季度檢討跟進進度。申請人可參考香港上市公司商會發布的《內部審計實務指引》第8.2節，該指引建議採用紅黃綠燈系統（Red-Amber-Green System）來標記跟進狀態，以提升透明度。
實務操作中的具體合規步驟與文件準備
對於正在籌備上市的申請人，建立符合聯交所要求的內部審計職能並非一次性工程，而是需要貫穿整個上市前準備階段的系統性工作。以下從文件準備、人員配置及持續合規三個層面提供具體操作指引。
文件準備：內部審計章程與工作計劃的關鍵要素
申請人須向聯交所提交內部審計章程（Internal Audit Charter），該章程須明確界定內部審計職能的宗旨、權力及責任。根據《內部監控檢討指引》第4.1節，章程應至少包含以下要素：內部審計職能的報告線路（須直接向審核委員會匯報）、不受限制地查閱所有記錄、資產及人員的權力、以及審計範圍的年度審批機制。此外，申請人須提交一份為期12個月的滾動審計工作計劃，該計劃應基於風險評估結果，並明確列出每個審計項目的預計開始日期、資源分配及預期完成時間。聯交所特別關注工作計劃是否涵蓋申請人業務的全部重大風險領域，包括但不限於財務報告、合規、資訊科技及營運效率。申請人應確保工作計劃獲得審核委員會的書面批准，並將批准記錄納入上市文件。
人員配置：內部審計團隊的資格與培訓要求
聯交所對內部審計團隊的專業資格並無強制性要求，但其審查實踐表明，團隊的專業能力直接影響聯交所對申請人內部監控系統的信心。申請人應確保內部審計團隊至少包含一名具備國際內部審計師協會（IIA）認證的專業人員，或持有香港會計師公會（HKICPA）頒發的會計師資格。對於業務涉及跨境交易或複雜金融工具的申請人，團隊中應有成員具備相關領域的審計經驗。此外，申請人須提交團隊成員的持續進修記錄，證明其每年至少完成20小時的專業發展時數（CPD），其中至少8小時須與內部審計或風險管理相關。實務中，申請人可考慮與專業審計培訓機構合作，為團隊提供定制化的培訓課程，以確保其知識與行業最佳實踐保持一致。
持續合規：上市後內部審計職能的維護與升級
聯交所的審查並不因上市完成而終止。根據《上市規則》第3.21條，上市發行人須持續維持有效的內部審計職能，並在年報中披露其運作情況。申請人在上市前建立的內部審計框架，須在上市後根據業務增長及監管變化進行持續升級。具體而言，發行人應每年檢討內部審計章程及工作計劃，並根據風險評估結果進行調整。此外，審核委員會須每年評估內部審計職能的成效，並將評估結果記錄於會議記錄。聯交所2025年6月發布的《企業管治報告指引》第7.2節明確要求，發行人須在年報的企業管治報告中披露內部審計職能的資源充足性、獨立性及工作成效。未能滿足此要求的發行人，可能面臨聯交所的公開批評或額外監管行動。
結論與行動建議
聯交所對上市申請人內部審計職能的評估，已從形式合規轉向實質成效的審查。申請人若未能充分證明其內部審計職能的獨立性、資源充足性及工作範圍的全面性，將直接面臨上市申請延誤甚至被拒絕的風險。以下為三項具體行動建議，供上市申請人及其中介機構參考：
-
確保內部審計職能直接向審核委員會匯報，並在內部審計章程中明確記錄其報告線路及不受限制的查閱權力，以符合《上市決策HKEX-LD152-2025》第8段的獨立性要求。
-
提交一份基於風險評估的12個月滾動審計工作計劃，該計劃須涵蓋財務報告、合規、資訊科技及資產保護等核心領域，並獲得審核委員會的書面批准。
-
建立內部審計發現的跟進機制，要求管理層在收到報告後的30個工作日內提交整改計劃，並由審核委員會每季度檢討進度，以確保高風險發現得到及時處理。