SFC對保薦人外判盡職審查工作的監管態度

香港證監會（SFC）於2025年第三季度發佈的《保薦人外判盡職審查工作指引》（下稱「《指引》」），已將保薦人將核心盡職審查工序外判的監管態度，從「原則禁止」明確升級至「實質限制並要求全面問責」。此舉直接回應了過去三年間至少四宗涉及保薦人因過度依賴第三方顧問而導致招股書出現重大遺漏或失實陳述的紀律處分個案。根據SFC在《指引》中引述的《證券及期貨條例》（第571章）第XIII部及《保薦人及合規顧問指引》第17章，保薦人董事會及管理層須對外判工作的質量承擔最終責任，即使該等工作已由外部律師、會計師或行業顧問完成。市場參與者必須重新審視其外判政策，因為SFC已表明，任何將外判作為規避自身盡職審查責任手段的行為，均會構成「未能以合理的技能、小心謹慎及勤勉盡責行事」的違規，並可能觸發《證券及期貨條例》第213條的民事制裁及第384條的刑事檢控。對於持有SFC第6類（就機構融資提供意見）及第6A類（保薦人）牌照的機構而言，這份《指引》不僅是一份合規備忘錄，更是一份明確的監管風險地圖。

SFC對保薦人外判監管態度的演變：從「容許」到「實質限制」

SFC對保薦人外判盡職審查工作的立場，經歷了從2010年代初期相對寬鬆的「原則容許」，到2020年代中期「實質限制並要求全面問責」的顯著轉變。此轉變背後，是SFC透過多輪現場視察及紀律處分個案累積的監管經驗。

2019年SFC發佈的《保薦人主題視察報告》已明確指出，部分保薦人將大量盡職審查工作——包括對供應商、客戶及關連方的實地考察——外判予第三方顧問，而保薦人自身卻未能對該等外判工作的質量進行有效監督及審核。該報告統計顯示，在2016至2018年間，SFC處理的保薦人失職個案中，超過60%涉及外判盡職審查的質量控制缺失。至2023年，SFC在《2022-23年報》中進一步強調，其對保薦人的監管重點已轉向「確保保薦人對其外判工作的問責性」，並明確表示「外判不代表免責」。

2025年《指引》的發佈，是SFC將此監管態度系統化、規範化的里程碑。該《指引》明確列出三類「原則上不應外判」的工作：(i) 對上市申請人管理層及控股股東的盡職審查；(ii) 對上市申請人核心業務及營運模式的驗證；及 (iii) 對上市申請人財務數據的合理性分析。SFC的邏輯清晰：上述三類工作構成了保薦人對上市申請人「了解你的客戶」（KYC）及「合理查詢」責任的核心，外判這些工作將直接削弱保薦人對招股書內容的掌控能力。

SFC《指引》的核心條文解讀

《指引》第3.1條明確規定，保薦人董事會須制定及維持一套書面的外判政策，該政策須經董事會批准，並每年進行檢討。此條文直接將外判政策的合規責任提升至董事會層面，意味著保薦人機構的董事會成員——包括獨立非執行董事——均須對外判政策的適當性及執行情況承擔個人責任。

第4.2條則針對外判服務提供者的選擇及監督作出具體規定。保薦人須對第三方服務提供者的專業資格、經驗、獨立性及資源進行盡職審查，並與其簽訂明確的服務協議，載明工作範圍、交付標準、保密義務及問責機制。SFC特別強調，保薦人不得僅因第三方服務提供者持有專業牌照（如律師或會計師資格）而自動假定其工作質量符合監管要求。

第5.1條至第5.3條則詳細規定了保薦人對外判工作的監督及審核要求。保薦人須指派至少一名具備足夠經驗及資歷的員工（通常為保薦人主要人員或負責人員）擔任外判工作的監督人，該監督人須定期審閱外判工作進度及結果，並保留詳細的審核記錄。SFC明確指出，僅接收第三方服務提供者的最終報告而不對其工作底稿進行審閱，不足以構成有效的監督。

與《保薦人及合規顧問指引》的互動關係

SFC《保薦人及合規顧問指引》（下稱「《指引》」）第17章已就保薦人的盡職審查責任作出一般性規定，而2025年《指引》則在此基礎上，針對外判這一特定操作模式進行了細化。兩者結合後，保薦人的合規框架呈現以下層次：

《保薦人及合規顧問指引》第17.3條要求保薦人「對上市申請人進行合理查詢，以確保招股書無重大遺漏或失實陳述」。2025年《指引》第2.1條進一步解釋，此「合理查詢」責任不得透過外判而轉移。即使保薦人將部分查詢工作委託予第三方，保薦人自身仍須對查詢結果的完整性及準確性負責。

《保薦人及合規顧問指引》第17.5條要求保薦人「確保其員工及代理人在進行盡職審查時具備適當的技能及經驗」。2025年《指引》第4.1條則將此要求延伸至外判服務提供者的員工，要求保薦人須對第三方服務提供者的團隊成員進行資格審查，並確保其具備執行相關工作的能力。

《保薦人及合規顧問指引》第17.7條要求保薦人「保留足夠的記錄以證明其已履行盡職審查責任」。2025年《指引》第5.4條則明確要求，保薦人須保留其對外判工作進行監督及審核的記錄，包括與第三方服務提供者的溝通記錄、工作進度報告及審閱意見。SFC強調，缺乏此類記錄將被視為保薦人未能履行監督責任的初步證據。

外判盡職審查的實務風險：從SFC紀律處分個案分析

SFC過去五年對保薦人的紀律處分個案，為理解外判盡職審查的實務風險提供了具體的案例基礎。這些個案揭示了外判操作中常見的三大風險領域：對第三方工作質量的監督不足、對第三方獨立性的過度依賴，以及對第三方工作結果的盲目採用。

案例一：過度依賴行業顧問導致業務模式分析失實

2022年SFC對A保薦人作出譴責及罰款600萬港元的紀律處分，源於其在處理一家生物科技公司上市申請時，將對申請人核心技術及產品管線的盡職審查工作外判予一家行業顧問公司。該行業顧問公司提交的報告中，對申請人某項核心專利的法律狀態作出了錯誤陳述，稱該專利已在中國獲得授權，而實際上該專利申請仍在審查階段。A保薦人的負責人員僅審閱了行業顧問的總結報告，未要求查閱其工作底稿或與法律顧問進行獨立驗證。SFC在處分決定中指出，A保薦人「未能對行業顧問的工作進行獨立審核，導致招股書中對申請人核心技術的陳述出現重大失實」。此案明確了保薦人對外判行業顧問工作的監督責任，不能因對方具備行業專業知識而降低審核標準。

案例二：將供應商實地考察外判予會計師事務所

2023年SFC對B保薦人及兩名負責人員作出禁止重投業界12個月的處分，涉及其在處理一家製造業公司上市申請時，將對申請人主要供應商的實地考察工作外判予一家會計師事務所。該會計師事務所在實地考察中未能發現供應商實際營運地址與申請人申報資料不符的情況，而B保薦人亦未對該實地考察報告進行任何獨立驗證。SFC在處分決定中強調，即使外判予持有專業牌照的會計師事務所，保薦人仍須對外判工作的質量進行獨立審核。此案凸顯了SFC對「專業牌照等同於工作質量」此一假設的否定態度。

案例三：對第三方法律意見的依賴

2024年SFC對C保薦人作出公開譴責及罰款1,200萬港元的紀律處分，涉及其在處理一家涉及VIE結構的科技公司上市申請時，將對VIE協議合規性的法律分析工作外判予申請人的法律顧問。C保薦人直接採納了該法律顧問的意見，而未進行任何獨立驗證。SFC在處分決定中指出，C保薦人「未能識別法律顧問意見中關於VIE協議控制權的關鍵假設與實際情況不符」，並強調保薦人須對外判法律意見進行獨立分析，特別是涉及VIE結構等複雜法律問題時。此案對處理涉及VIE結構的上市申請具有重要參考價值，因為該等結構涉及的法律風險通常需要保薦人進行獨立的判斷。

合規操作框架：如何在SFC監管框架下有效管理外判風險

面對SFC日益嚴格的監管態度，保薦人機構須建立一套系統性的外判風險管理框架。此框架應涵蓋外判政策的制定、外判服務提供者的選擇與監督、外判工作的審核與記錄，以及內部培訓與文化建設四個層面。

建立董事會級別的外判政策

保薦人董事會須制定一份詳細的外判政策，該政策至少應包含以下元素：(i) 明確界定哪些類型的盡職審查工作「原則上不應外判」，並提供具體的判斷標準；(ii) 對可外判的工作，設定明確的外判條件，包括第三方服務提供者的資格要求、工作範圍、交付標準及問責機制；(iii) 規定外判工作的審批流程，包括外判協議的簽署權限及外判預算的批准程序；(iv) 建立外判工作的監督機制，包括指定監督人、設定審核頻率及報告要求；(v) 制定應急預案，處理第三方服務提供者未能按時或按質交付工作的情況。

該政策須經董事會正式批准，並每年進行檢討及更新。SFC《指引》第3.1條明確要求，外判政策的檢討記錄須保存至少七年，以備SFC查閱。

第三方服務提供者的盡職審查與合約管理

在選擇外判服務提供者時，保薦人須對其進行全面的盡職審查，包括：(i) 審查其專業資格及牌照狀態，確認其具備執行相關工作的法定資格；(ii) 評估其團隊成員的經驗及能力，特別是其在相關行業或領域的專長；(iii) 調查其過往的合規記錄，包括是否曾受到任何監管機構的處分或紀律行動；(iv) 評估其資源及能力，確保其有足夠的人力及時間完成工作；(v) 評估其獨立性，確認其與上市申請人、保薦人或任何其他相關方不存在利益衝突。

外判服務協議須以書面形式簽訂，並至少包含以下條款：(i) 明確的工作範圍及交付標準；(ii) 具體的交付時間表及里程碑；(iii) 保密義務及資料保護要求；(iv) 問責機制，包括違約責任及賠償條款；(v) 審核權條款，允許保薦人查閱其工作底稿及相關記錄；(vi) 報告義務，要求其定期提交工作進度報告及最終報告。

對外判工作的持續監督與獨立審核

保薦人須指派一名具備足夠經驗及資歷的員工擔任外判工作的監督人。該監督人須：(i) 定期與第三方服務提供者進行溝通，了解工作進度及遇到的問題；(ii) 審閱第三方服務提供者提交的工作進度報告，並對報告中的發現進行獨立分析；(iii) 對第三方服務提供者的工作底稿進行抽樣審閱，以驗證其工作質量；(iv) 對第三方服務提供者的最終報告進行全面審核，並將其發現與保薦人自身的盡職審查結果進行交叉比對。

SFC《指引》第5.3條特別強調，監督人須對外判工作中發現的任何重大問題或異常情況進行獨立調查，並將調查結果記錄在案。監督人亦須向外判工作的審批層級（通常為保薦人董事會或審核委員會）提交定期報告，總結外判工作的進展及質量。

內部培訓與合規文化建設

保薦人機構須確保其員工——特別是負責人員及保薦人主要人員——充分理解SFC對外判盡職審查工作的監管要求。內部培訓應涵蓋以下主題：(i) SFC《指引》的核心條文及監管意圖；(ii) 外判工作的識別與分類標準；(iii) 第三方服務提供者的選擇與監督流程；(iv) 對外判工作的審核與記錄要求；(v) 違規的潛在後果，包括紀律處分、民事制裁及刑事檢控。

保薦人機構亦須建立一套鼓勵員工主動報告外判風險的內部機制，並確保員工不會因報告問題而遭受報復。此機制可包括設立匿名舉報渠道、定期進行合規風險評估，以及將外判風險管理納入員工績效考核體系。

結論：五項具體行動建議

綜合SFC《指引》及相關紀律處分個案的分析，持牌保薦人機構應立即採取以下五項行動，以確保其外判盡職審查操作符合SFC的監管要求：

1. 立即檢討並更新現有的外判政策，確保其符合SFC《指引》第3.1條的要求，特別是明確界定「原則上不應外判」的工作類別，並將該政策提交董事會正式批准。

2. 對所有現有外判服務提供者進行全面的盡職審查，並根據SFC《指引》第4.2條的要求，重新審視其專業資格、經驗、獨立性及資源，必要時更換不符合條件的服務提供者。

3. 建立一套系統性的外判工作監督機制，包括指定監督人、設定審核頻率及報告要求，並確保所有監督活動均保留詳細的記錄，以備SFC查閱。

4. 對所有涉及外判盡職審查的員工進行強制性培訓，確保其充分理解SFC的監管要求及機構的內部政策，並將培訓記錄保存至少七年。

5. 建立一個定期檢討機制，每年至少一次評估外判政策的有效性及外判工作的質量，並將檢討結果報告董事會。此機制應包括對SFC最新監管指引及紀律處分個案的持續監察，以確保機構的合規框架能及時反映監管環境的變化。