第13章

《盡職審查指引》－

內部監控

《操守準則》各段
17.3(a)(i)	17.6(d)(ii)
17.3(b)(ii)及(iii)	17.6(g)
17.4(c)(ii)及(iii)
主要交易所指引信
《交易所指引信》GL63 – 13	《交易所指引信》GL60 – 13
主要交易所上市決策
《交易所上市決策》LD75 – 2013
《交易所上市決策》LD73 – 2013
《交易所上市決策》LD48 – 2013
其他主要參考資料
《技術簡報AATB 1》－香港會計師公會刊發向新申請人及保薦人提供有關盡職審查責任（包括財務報告的內部監控）的協助選擇方案（2015年7月）
《上市規則》《第21項應用指引》

1. 瞭解上市申請人的程式及系統

1.1 準則

1.1.1 保薦人應依據合理的盡職審查，對以下事項有充分瞭解：…上市申請人，包括其歷史及背景、業務及表現、財務狀況及前景、運作及架構、程序及系統。[《操守準則》第17.3(a)(i)段]

1.1.2 在編製上市文件方面，保薦人應進行的工作包括但不限於以下各項：……

(ii) 透徹地瞭解上市申請人，包括其業務、歷史、背景、架構及系統。[《操守準則》第17.6(d)(ii)段]

1.2 指引

1.2.1 根據《上市規則》附錄十九保薦人的聲明，保薦人須確認，在作出合理盡職審查的查詢後，有合理理由相信並實際相信：

「(v)[上市申請人]已確立程式、制度及監控措施（包括會計及管理制度），而就[上市申請人]及其董事根據《交易所的上市規則》及其他有關法例及監管規定（特別是第13.09、13.10、13.46、13.48及13.49條、第十四章及第十四A章、附錄十六，以及《證券及期貨條例》第XIVA部）的責任而言，該等程序、制度及監控措施均可提供合理基礎，並足以讓上市申請人董事在緊接公司上市前後均能對上市申請人及其附屬公司的財務狀況及前景作出適當的評估」。

1.2.2 保薦人在上市申請人準備其首次公開招股及其以上市實體營運向上市申請人提供意見及協助時，保薦人的職責包括進行合理的盡職審查以充分瞭解上市申請人的內部監控程序及制度，以及提供充分的意見及建議，以協助上市申請人補救已識別的任何內部監控的重大不足之處，從而令上市申請人於上市後具備充足的制度及監控措施，履行其作為上市公司應盡的義務。

1.2.3 上市公司所需的許多內部監控措施，通常僅在臨近上市前才制定。造成這種現象的原因包括上市公司需要較高水平的企業及管理監控，以使管理層能規劃業務及監察進度。此外，任何上市前的重組均可能帶來一個新的監控環境，從而需要新的或經修訂的內部監控制度。

1.2.4 如下文所述，內部監控盡職審查及補救任何已識別的不足之處均耗時。因此，保薦人及上市申請人必須在上市程序開始時，考慮進行內部監控盡職審查的方法。上市申請人應知悉並應就所需的時間及提供資源方面作出必要的承諾，以使內部監控審查能有效率及適時地進行。另外，須預留足夠時間，確保已識別的任何內部監控重大不足之處能在可能的情況下於提交A1上市申請前得到補救。如有重大不足之處無法在A1上市申請前得到補救，有關事項應在提交的上市申請材料中披露。如有委聘內部監控顧問，該程式（假設採用詳式的財務報告內部監控報告）一般需要至少八週時間方可完成，包括初期審查工作及編製初步報告、處理任何重大不足之處及編製跟進報告。實際需要的時間將取決於多個因素，包括上市申請人的規模、行業及複雜程度，以及審查結果及所需的補救行動。有關時間安排方面的進一步詳情，請參閱下文第5節。

1.2.5 就上述各方面而言，「內部監控」並無簡單定義。The Committee of Sponsoring Organisations of the Treadway Commission（「COSO」）於2013年刊發的《內部監控－綜合架構》（Internal Control – Integrated Framework）1報告，載有對內部監控的定義及相關的概念框架。按COSO報告的定義，內部監控包括為合理保證達成涉及以下各項目標而設的程式：

(a) 運作效益及效率；

(b) 財務報告可靠性；及

(c) 遵守適用法例及規例。

1.2.6 保薦人對上市申請人的內部監控盡職審查，應包括對以下各項作出評估：

(a) 規劃－內部監控制度及程式的規劃；

(b) 執行－評估監控活動是否按規劃執行。這一般會涉及（其中包括）對既有程序及制度執行穿行測試；及

(c) （如適用）運作效率－監控活動的運作效率，涉及評估監控活動在一段時間內是否按設計運作。2這涉及在一段時期內進行測試，與落實執行時測試形成對比（涉及在某個特定時間點進行測試）。

（資料來源：香港會計師公會於2015年07月刊發的《技術簡報AATB 1》－向新申請人及保薦人提供有關盡職審查責任（包括財務報告的內部監控）的協助選擇方案（《技術簡報》）的附錄一（修訂））3

1.2.7 每名上市申請人的內部監控程式，會因有關上市申請人的行業、規模、組織架構、文化及管理哲學及所面對的不同風險而有所分別。COSO刊發的指引載有若干與達成財務報告可靠性目標有關的主要原則，取材自COSO框架中識別的五個主要元素：

• 監控環境－是內部監控其他元素的根基，並提供紀律及結構。監控環境因素包括人員的道德價值及勝任能力（質量）、董事會提供的指示及管理的效益；

• 風險評估－識別及分析影響達成目標的風險（包括與監管及營運環境不斷轉變有關的風險），以作為釐定應如何降低及管理這些風險的依據；

• 監控活動－幫助確保管理層的指示得以執行，以及確保為達成公司目標所需的任何處理風險的行動得以執行的各種政策及程式；

• 資訊及溝通－以令人員能夠履行職責的方式及時限，識別、取得及匯報營運、財務及遵守法規方面相關資訊的有效程式及系統；及

• 監察－持續評估內部監控系統表現的充足程度及質量的程序。內部監控不足之處應向適當的上級管理層匯報。

（資料來源：香港會計師公會刊發的《內部監控與風險管理－基本架構》）

1.2.8 考慮上市申請人已有的及將於上市時或之前實施的內部監控制度時，保薦人應顧及適用於上市公司的監管規定，包括《上市規則》的規定（尤其是上文第1.2.1段所載保薦人聲明所述的規定）、《上市規則》附錄十四所載的《企業管治守則》、證監會的《內幕消息披露指引》及《技術簡報》附錄二所載由COSO刊發的《內部監控－綜合架構》所載對財務報告達成有效內部監控的十七項基本原則。

1.2.9 對上市申請人上市的一般合適性形成意見時，保薦人應考慮上市申請人的內部監控是否足夠。保薦人應考慮是否有任何內部監控重大不足之處，在上市前應該予以解決。如無可能解決，則保薦人應考慮是否可通過在上市申請中作出披露而妥善處理有關事項。其他已識別的非重大內部監控不足之處（不論單獨或合計而言）可在提交上市申請後或在上市後解決。詳情請參閱下文第4節。

1.2.10 在考慮上市申請人是否適合上市時，交易所會參照上市申請人的內部監控措施及任何過往的違規情況，包括為修正監控不足之處而採取的補救行動及發現不合規事件時所採納的改進措施。4

1.2.11 交易所認為不合規事件可引發對上市申請人是否適合上市的質疑。若事件屬於可通過披露解決，交易所會要求申請人在上市文件中作出具體披露。5如上市申請人涉及不合規事件，交易所則要求上市檔依據該等不合規事件的歸類載述不合規事件的具體披露，以及所已經或將會採取的修正行動內容及何時採取該等行動，及內部監控或經提升後的內部監控以防再度違規（包括何時施行及負責確保合規人士的身份、職位、資格及經驗，及董事及保薦人對提升後內部監控措施及其理據充足性及有效性的意見）。如有另行委聘獨立內部監控專家審查內部監控，亦應披露內部監控專家的身份及審查範圍的相關詳情，調查結果和建議，以及執行有關建議的時間及任何跟進審查。此外，上市文件應披露(i)上市申請人董事及保薦人對上市申請人經提升的內部監控措施是否足夠及有效；及(ii)董事及保薦人認為董事適合根據《上市規則》第3.08及3.09條的要求以上市申請人董事身份形式的原因，以及申請人是否符合《上市規則》第8.04條的規定適合上市的理由。6

1.2.12 視乎每名上市申請人的事實及情況以及不合規事件的嚴重性，交易所或會要求申請人在上市前修正不合規事件。交易所一般情況下要求重大不合規事件應於上市前獲完全修正，除非該等修正不適用或者無可能。涉及非犯罪性質的銀行票據融資及利率/貸款套利可透過披露解決。上市申請人須終止所有不合規票據融資並證明一旦合規其業務至少在12個月期間內為可持續。7當交易所拒絕上市申請時，已考慮不合規事件及上市文件缺乏對修正措施的充足披露。8

1.2.13 應注意，即使上市申請人有健全且管理良好的制度，內部監控仍有局限性。人為因素（如判斷不當、失誤或錯誤或蓄意規避或凌駕於制度之上）及不可預見的因素，均會影響內部監控制度的有效性。對於上市申請人未能達成其業務目標，或未能履行其監管規定的義務，或未能免於發生一切涉及重大失誤、損失、欺詐或違反法例或規例的行為，內部監控制度均不能提供肯定的保障。因此，保薦人的內部監控盡職審查，不會亦不能被要求就上市時已設有的內部監控措施的有效性提供絕對保證。

參考尾註

1. 報告載於http://www.coso.org/IC.htm。

2. 尤其是，保薦人應確保內部監控不受任何一名董事的不當影響（《交易所指引信》GL68-13指出交易所在厘定違反誠信事件是否會致使上市申請人不適合上市時將個人對上市申請人的內部監控產生的影響納入考慮）。

3. 《技術簡報》可在以下網址查閱：[http://www.hkicpa.org.hk/file/media/ section6_standards/standards/Audit-n-assurance/techbull-circular/aatb1rev.pdf]。

4. 交易所在考慮上市申請人是否適合上市時會考慮其內部監控措施。交易所在《交易所指引信》GL68-13中就存在不合規事件的上市申請人是否適合上市提供指引。交易所在評估上市適合性時考慮的因素之一就是上市申請人是否已採取（及已採取時長）任何有效的內部監控措施避免類似不合規事件再次發生。

此外，在《交易所上市決策》LD75-2013中，交易所指出，退回上市申請的理由包括（其中包括）未能採取內部監控措施以及內部監控及補救措施的披露存在不足之處。

5. 在《交易所指引信》GL63-13第3.1段中，交易所要求申請人在上市檔中按照不合規事件類別進行以下披露。該指引信第3.1段載列三類不合規事件歸：

(a) “重大不合規事件”：指的是單獨或共同情況下已經或者在合理預期下可能將會對上市申請人造成重大財務或營運影響的不合規事件。例如，產生大額財務罰金或者可能致使重大營運設施關閉的不合規事件。

(b) “系統性不合規事件”：指的是雖不屬重大不合規事件範疇但其反復性質會對上市申請人或其董事/高級管理層人員以合規方式營運業務的能力或傾向產生負面影響的不合規事件。

(c) “非重大不合規事件”：指的是既非重大不合規又非系統性不合規的不合規事件。

第3.4段載有重大不合規事件披露要求，第3.7段載列內容規定涉及非犯罪性質的銀行票據融資及利率/貸款套利的重大不合規時間可透過披露解決。第3.8關就系統性不合規時間規定交易所要求上市申請人提供與重大不合規事件相同的資料，只是無修正要求。非重大不合規事件無需披露（參見第3.10段）。

6. 在《交易所指引信》GL63-13第3.4段顯示交易所就重大不合規事件披露以下事項詳情：

(i) 不合規事件的原因、性質及範疇、相應風險因素、涉及不合規事件的董事/高級管理層人員的身份及職位（如有）;

(ii) 於往績記錄期內直至最後實際可行日期，上市申請人是否曾經或可能將會因不合規事件而被懲罰，連同主管機構的確認。應取得法律意見確認有關機關的資格。如受處罰，應披露實際或最高罰則（包括罰款金額），及上市申請人是否已就此作出撥備，或如無撥備，則提供不作出撥備的原因。披露亦應包括對上市申請人的潛在營運及財務影響（如影響重大）;

(iii) 為防止再度違規而採取的提升後的內部監控措施詳情，包括何時採取該等措施及負責確保合規人士的身份、職位、資格及經驗，董事及保薦人就提升後內部監控措施及其理據是否充足有效的意見。如上市申請人已另行委聘獨立的內部監控專家檢討其內部監控措施，上市檔應包括所委聘的內部監控專家的身份及委聘檢討範圍，主要調查結果和建議，及上市申請人執行內部監控專家該等建議的時間（及內部監控專家的跟進檢討）;

(iv) 已經採納或將採納的修正行動的內容及採納時間（參閱下文第2.3.6段）；交易所一般情況下要求上市申請人在上市前完全修正所有重大不合規事件，除非該等修正不適用或者不可能。如適用，上市申請人應披露：(1)就為何進行修正不適用或不可能給予詳細解釋；及(2)如上市申請人能夠證明重大不合規事件僅能在上市後才能立即修正，須法律顧問確認修正該重大不合規事件沒有障礙並聲明上市申請人將於中期報告/年度報告中披露修正進度及詳細解釋任何相關修正延誤；

(v) 董事及保薦人認為該等董事適合按照《上市規則》第3.08 及3.09 條的要求代表上市申請人董事行事的原因及上市申請人符合《上市規則》第8.04 條的規定適合上市的原因;

(vi) 簡要概述上市檔中「概要及摘要」一節中的不合規事件，包含適當交叉提述。

指引信腳註2規定，若內部監控專家為申報會計師或另一家會計師行，按照會計專業的相關指引及常規，內部監控檢討將視作向申請人董事及（若保薦人亦為聘用一方）保薦人提供的私人意見。因此，在該等情況下，申報會計師或其他會計師行的名稱及彼等的工作和檢討結果未必能在上市文件中提及或引述。可在上市文件中提述內部監控工作的其中一個情況是申請人及保薦人特別聘請申報會計師或其他會計師行額外履行有關內部監控的保證工作。

可以透過披露方式處理涉及非犯罪性質的銀行票據融資及利率/貸款套利等重大不合規事件。除上文載列資料外，上市文檔應載入以下資訊：(i)不合規票據融資收益金額；(ii)涵蓋該不合規票據融資終止後至少一個完整的12個月期間的無保留的經審計財務報表，及(iii)獨立內部監控專家在12個月經審計期間結束後就上市申請人提升後內部監控措施的意見和結論，表示在該12個月經審計期間內就上市申請人內部監控系統並無其他負面發現。

至於系統性不合規事件，交易所要求上市申請人提供和重大不合規事件相同的資料，只是無修正要求。

另外，保薦人應參閱《交易所指引信》GL86-16附錄一第E節，其中透過提述《交易所指引信》GL63-13提出上市申請人應就有關風險掛曆及內部監控系統及不合規事件，以及其他影響申請人業務的監控措施（例如對沖活動）應進行的披露。

7. 《交易所指引信》GL63-13第3.4(d)及3.7段。

8. 《交易所上市決策》LD92-2015及LD107-2017載述了交易所因不合規事件退回上市申請的樣例。

《交易所上市決策》LD48-2013中，交易所引述了否決上市申請時所考慮的其中一個因素是上市申請人未能在上市文檔中對不合規事件的修正措施及針對不合規事件的內部監控作出足夠披露。