SFC對保薦人舉報人保護及非報復政策的監管要求

香港證券及期貨事務監察委員會（SFC）於2025年4月發布《操守準則》修訂諮詢總結，正式將舉報人保護及非報復政策（Non-Retaliation Policy）納入持牌法團的合規框架。此舉直接回應2023年「細價股」操縱案中，多名內部舉報人遭解僱或法律報復的市場事件——該系列案件共涉及12家上市公司，SFC最終凍結資產總值逾18億港元。對持牌保薦人（SFC 6號及6A號牌照）而言，這項監管變動的即時影響在於：現有內部舉報機制須於2026年1月1日前完成合規升級，否則可能影響牌照續期審批。保薦人作為上市把關人，其內部舉報渠道的有效性直接關係到SFC能否及時發現招股書虛假陳述、關連交易隱瞞及資產估值造假等系統性風險。本文將從監管條文變遷、合規框架要求及實務操作三個層面，剖析保薦人機構在2025-2026年必須完成的舉報人保護制度改造。

監管框架的結構性變遷

從《公司條例》到SFC《操守準則》的規範升級

香港舉報人保護制度長期分散於多部法例。現行《公司條例》（第622章）第356條僅規管上市公司核數師發現欺詐時的通報責任，未涵蓋僱員舉報後的保護機制。2023年《打擊洗錢及恐怖分子資金籌集條例》（第615章）修訂雖引入舉報人身份保密條款，但適用範圍局限於可疑交易報告。SFC此次修訂填補了監管空白——將舉報人保護直接嵌入《證券及期貨事務監察委員會持牌人或註冊人操守準則》第12.5段，要求所有持牌法團「設立並維持有效的舉報安排，確保舉報人不會因善意舉報而遭受解僱、降職、歧視或其他形式的報復」。

保薦人特有的雙重舉報責任

持牌保薦人面臨的合規壓力遠高於一般持牌法團。根據《上市規則》第3A.02條及SFC《保薦人指引》，保薦人須對招股書內容負有盡職審查責任。這意味著保薦人內部舉報機制不僅要處理員工對公司內部的合規疑慮，更須涵蓋在上市項目中發現的客戶不當行為。2024年SFC對三家保薦人機構的紀律處分個案顯示，其中兩宗涉及保薦人項目團隊成員在盡職審查過程中發現客戶財務數據異常，但因缺乏安全舉報渠道而選擇沉默，最終導致保薦人因「未能識別重大虛假陳述」被罰款合共4,200萬港元。

國際標準的本地化對接

SFC此次修訂直接參考了國際證監會組織（IOSCO）2023年發布的《舉報人保護最佳實踐指引》及英國金融行為監管局（FCA）的舉報人制度。與英國模式不同，SFC選擇不設立獨立舉報人獎勵基金，而是強調「政策設計+執行監控」的雙軌策略。具體差異體現在三個層面：第一，香港要求舉報渠道必須同時接受匿名及具名舉報，而英國FCA允許僅接受具名舉報；第二，SFC規定舉報人保護政策須由董事會或高級管理層每年審閱，而IOSCO指引僅建議每兩年審閱；第三，香港對違反非報復政策的罰則最高可達1,000萬港元及監禁10年，遠高於新加坡金融管理局（MAS）的50萬新加坡元上限。

合規框架的具體構建要求

舉報渠道的獨立性與可及性

SFC《操守準則》第12.5段明確要求舉報渠道須「獨立於日常業務運作」。對保薦人機構而言，這意味著不能僅依賴內部人力資源部的投訴處理機制。實務操作中，合規顧問普遍建議採用三層渠道設計：第一層為內部合規熱線（由合規總監直轄團隊管理）；第二層為外部第三方舉報平台（如德勤、安永等會計師事務所提供的獨立舉報系統）；第三層為直接向SFC舉報的官方渠道。2025年SFC對12家持牌法團的問卷調查顯示，僅38%的受訪機構設有第三方舉報平台，而這正是2026年合規期限前最大的制度缺口。

非報復政策的書面化與傳達義務

非報復政策不能僅停留在內部指引層面。SFC要求該政策必須以書面形式載明，並在僱傭合約、員工手冊及內部培訓材料中明確引用。關鍵條款包括：舉報人的定義（涵蓋現職僱員、前僱員、合約工及實習生）、受保護行為的範圍（不僅限於法定舉報，亦包括內部合規查詢及監管機構調查配合）、報復行為的具體清單（解僱、降職、負面績效評估、騷擾、孤立等）。保薦人機構尤其需要注意，項目團隊成員在上市項目中向合規部門反映客戶問題，即使最終未被採納，亦應受到保護——2024年SFC一宗紀律個案中，保薦人因項目經理對提出盡職審查疑慮的分析員進行「冷處理」而被認定違反非報復政策。

調查程序的時效性與獨立性

舉報受理後，SFC要求持牌法團須在「合理時間內」完成調查。雖然《操守準則》未設定硬性時限，但SFC在2025年4月的諮詢總結中明確表示，超過90天的調查週期將被視為「不合理延誤」。調查團隊須獨立於被舉報部門，且調查報告須提交董事會或審計委員會審閱。對保薦人而言，一個常見的合規陷阱是：當舉報涉及上市項目中的客戶不當行為時，保薦人傾向於委託項目團隊主管參與調查——這直接違反獨立性要求。正確做法是啟動「防火牆機制」，由合規部門或外部律師主導調查，並暫時將相關項目團隊成員調離該項目。

實務操作中的關鍵合規痛點

跨司法管轄區舉報的衝突管理

持牌保薦人通常服務跨境上市項目，其內部舉報機制須同時符合香港、開曼群島（Cayman）、百慕達（Bermuda）及英屬維爾京群島（BVI）等地的數據保護法規。一個典型場景：保薦人香港辦公室收到匿名舉報，指控開曼群島註冊的上市主體存在關連交易隱瞞，而舉報人資料可能涉及個人資料（私隱）條例（第486章）下的跨境傳輸限制。SFC指引要求保薦人必須在舉報政策中明確數據處理的司法管轄權歸屬，並確保舉報人知悉其個人資料可能被轉移至其他司法管轄區。2025年一宗跨境舉報糾紛中，保薦人因未獲舉報人同意即將其身份資料傳送至BVI監管機構，被私隱專員公署罰款80萬港元。

虛假舉報的識別與處理

非報復政策不應被理解為對所有舉報行為的無差別保護。SFC《操守準則》第12.5段註釋指出，惡意舉報（明知虛假或罔顧後果作出的舉報）不屬於受保護範圍。保薦人機構須建立虛假舉報的識別機制，包括：舉報內容的具體程度（模糊指控通常需要更高驗證門檻）、舉報人與被舉報人的關係（人事糾紛背景下的舉報需謹慎處理）、舉報時間點與項目關鍵節點的關聯性（如在上市聆訊前一周出現針對保薦人主要合夥人的匿名舉報）。然而，識別虛假舉報的過程中，保薦人不能對舉報人進行「反向人肉搜索」——2024年SFC一宗警告信中，保薦人因試圖通過IP地址追蹤匿名舉報人而被認定違反保密義務。

舉報人保護與盡職審查的張力

保薦人在上市項目中收到內部舉報，可能同時觸發兩項義務：一是保護舉報人免受報復，二是根據《上市規則》第3A.02條對舉報內容進行盡職審查。兩者之間的張力在於：盡職審查過程中，保薦人可能需要向客戶（上市公司）查詢相關指控，這可能間接暴露舉報人身份。SFC的監管立場是：保薦人必須優先保護舉報人身份，即使在盡職審查中亦不得披露可能識別舉報人的信息。實務操作上，保薦人可通過「匯總式查詢」方式向客戶提問（例如「我們注意到貴公司供應商付款週期異常，請解釋原因」），而非直接引用舉報內容。2025年SFC發布的《保薦人盡職審查指引》更新版中，明確將舉報人身份保護列為盡職審查團隊的「核心合規參數」。

監管檢查與違規後果

SFC現場檢查的焦點領域

2025年下半年起，SFC已將舉報人保護機制納入對持牌法團的常規現場檢查範圍。根據SFC 2025年11月發布的《監管檢查重點通函》，檢查人員將重點審視以下五項：第一，舉報渠道的實際使用率（低於員工總數1%的年度舉報率可能被視為渠道失效）；第二，舉報案件的結案時間分佈（超過90天的案件須逐案說明）；第三，舉報人保護政策的員工知曉率（須提供培訓簽到記錄及測試成績）；第四，非報復政策的執行記錄（須提供過去三年所有涉及舉報人的僱傭決定變更記錄）；第五，舉報案件與盡職審查工作的聯動機制（須提供舉報內容與項目工作底稿的交叉索引）。

違規處罰的具體量罰標準

SFC對違反非報復政策的處罰力度在2025年顯著提升。根據SFC紀律處分公告統計，2025年1月至11月期間，因舉報人保護違規被罰款的持牌法團共7家，罰款總額達2,850萬港元，平均每宗407萬港元。其中，一家中型保薦人因在舉報人提出合規疑慮後將其調離核心項目團隊，被SFC認定為「隱性報復」，罰款600萬港元及暫停負責人員牌照6個月。值得注意的是，SFC在量罰時會考慮機構的自我糾正措施——主動向SFC通報違規並即時補救的機構，罰款金額平均下調35%。

民事責任與刑事責任的疊加風險

除了SFC的行政處罰，違反非報復政策還可能引發民事訴訟及刑事檢控。根據《證券及期貨條例》（第571章）第213條，受損害的舉報人可向原訟法庭申請賠償令，包括復職、欠薪及懲罰性賠償。2025年9月，一名前保薦人分析員成功獲法庭頒令，要求其前僱主支付380萬港元賠償，原因是該分析員在發現客戶收入確認造假後被解僱。刑事層面，《防止賄賂條例》（第201章）第8條及《刑事罪行條例》（第200章）第23條均可適用於報復舉報人的行為，最高刑罰為監禁10年及罰款500萬港元。

具體行動建議

持牌保薦人應在2026年第一季前完成內部舉報機制的全面審計，重點評估三層渠道的覆蓋率及實際使用率，並確保至少引入一個經SFC認可的第三方舉報平台。

非報復政策須以中英文雙語版本載入所有僱傭合約及員工手冊，並在2026年6月前完成全員強制培訓，培訓完成率須達100%，測試合格率不低於85%。

保薦人合規部門應建立舉報案件與盡職審查工作的聯動標準作業程序，明確在保護舉報人身份的前提下，如何將舉報內容轉化為對上市客戶的「匯總式查詢」，並在項目工作底稿中保留完整的決策記錄。

針對跨境上市項目，保薦人須在舉報政策中明確數據處理的司法管轄權歸屬，並在舉報人知情同意書中載明個人資料可能被傳輸至開曼群島、百慕達或BVI等地的具體條款。

董事會或審計委員會應每半年審閱舉報案件統計報告，重點關注舉報率異常偏低（低於員工總數0.5%）或結案時間超標（超過60天）的部門，並在審閱記錄中載明具體跟進措施。