SFC對保薦人業務持續性規劃的監管要求

2025年4月，香港證監會（SFC）發佈《致保薦人通函——業務持續性規劃》，標誌著監管機構正式將「營運韌性」納入保薦人發牌及持續合規的硬性評估維度。此舉並非孤立事件，而是SFC自2023年起對《證券及期貨條例》（第571章）下持牌機構風險管理框架的系統性升級——2024年11月，SFC在《資產管理業通函》中已要求基金經理建立針對網絡攻擊及地緣政治中斷的應變方案；2025年2月，港交所（HKEX）修訂《上市規則》第3A章，明確保薦人須確保其「關鍵人員及系統在上市申請過程中持續可用」。此次通函進一步將焦點從「文件合規」延伸至「營運連續性」，要求保薦人證明其業務架構能在人員流失、系統故障或跨境監管衝突下，仍維持保薦項目的盡職審查標準及向HKEX提交文件的時效性。對於持牌保薦人（SFC第6類/6A類受規管活動），這意味著內部合規手冊必須新增「業務持續性規劃」（BCP）獨立章節，且需在2025年12月31日前完成首次壓力測試並向SFC提交報告。

監管框架的演變：從「人員配備」到「營運韌性」

SFC對保薦人業務持續性的關注，經歷了從被動回應市場事件到主動設定結構性標準的轉變。2023年，多家保薦人在處理主板上市項目期間因核心團隊離職導致項目停擺，SFC在年度檢討報告中首次點名批評「關鍵人員過度集中風險」。2024年6月，SFC根據《操守準則》第12.2條修訂，要求保薦人提交「業務持續性規劃」作為年度申報表（Form N）的附件。2025年4月通函則將BCP從「建議性指引」提升為「發牌條件」，明確規定任何新申請第6類牌照的機構，必須在商業計劃書中附帶BCP章節；現有持牌人則需在2025年第三季度前完成內部審計。

通函的核心要求：四大支柱

SFC在通函中將BCP分解為四個強制性支柱，每個支柱均對應具體的合規文件及驗證程序。第一支柱為「關鍵職能識別」，要求保薦人明確界定哪些職能一旦中斷會直接影響保薦項目進度或合規質量，包括但不限於：盡職審查團隊的項目經理、負責上市文件草擬的合規主任、以及與HKEX上市科對接的授權代表。第二支柱為「資源冗餘設計」，通函引用《操守準則》第4.1條，要求保薦人證明其擁有不低於「關鍵人員總數30%」的後備人力池，且後備人員須在過去12個月內實際參與過至少一個保薦項目。第三支柱為「系統故障應對」，涵蓋電子文檔管理系統、盡職審查數據庫及與HKEX的電子提交系統（如披露易）的中斷恢復時限，SFC要求恢復時間目標（RTO）不得超過4小時。第四支柱為「跨境監管協調」，針對涉及中國內地、美國或歐洲子公司的保薦項目，通函要求保薦人預先制定不同司法管轄區監管機構（如中國證監會、美國SEC）同時調查時的溝通協議。

壓力測試的具體參數

SFC要求保薦人每年進行至少一次BCP壓力測試，測試場景必須包含三類觸發事件：人員突發流失（如核心團隊集體離職）、系統遭勒索軟件攻擊（導致所有項目文件加密）、以及跨境監管突襲（如SFC與中國證監會同日要求調取盡職審查底稿）。通函附錄提供了測試結果的標準化報告模板，要求保薦人記錄「中斷持續時間」、「後備人員激活時長」、「文件恢復率」及「項目進度延誤天數」四項核心指標。若任何一項指標超出預設閾值（例如文件恢復率低於95%），保薦人須在30個工作日內向SFC提交整改計劃，並在下一季度接受SFC現場檢查。

對保薦人內部合規的實務影響

SFC此項監管升級對持牌保薦人的合規成本及營運模式產生了直接衝擊。根據行業估算，建立符合通函標準的BCP系統，中型保薦機構（管理10-20個活躍上市項目）的初始投入約為HKD 1.2-1.8 million，包括IT基礎設施冗餘建設、後備人員培訓及第三方審計費用。持續性年費約為HKD 300,000-500,000，主要用於壓力測試執行及系統維護。

合規手冊的結構性改寫

保薦人內部合規手冊須新增「業務持續性規劃」獨立章節，該章節必須包含以下五個子部分：風險評估矩陣（識別保薦項目各階段的關鍵依賴）、資源備份清單（列明後備人員姓名、牌照編號、最近參與項目）、系統恢復程序（從斷電到數據中心切換的完整操作SOP）、跨境應對方案（針對涉及VIE結構或中國內地子公司項目的特殊安排）、以及審計追蹤機制（記錄每一次BCP觸發及恢復的時序）。SFC在通函中明確表示，將在牌照續期審查中重點核對該章節的實質內容，而非僅檢查是否存在該章節。

項目管理流程的雙重控制

對於正在進行中的保薦項目，SFC要求保薦人實施「雙重控制」（Dual Control）機制。具體而言，每個上市申請的項目經理必須配備一名「影子項目經理」，該影子人員須全程參與項目會議、審閱盡職審查文件，並有權在項目經理缺席時直接向HKEX上市科提交文件。通函引用《上市規則》第3A.07條，強調影子人員須為SFC持牌人，且其牌照類別須涵蓋第6類受規管活動。若影子人員在項目期間離職，保薦人須在5個工作日內替補，並向SFC提交變更通知。

跨境項目與VIE結構的特殊考量

SFC通函特別針對涉及中國內地資產的保薦項目（尤其是採用VIE結構的科技及教育行業）設定了額外BCP要求。原因在於，2024年中國證監會（CSRC）修訂《境內企業境外發行證券和上市管理試行辦法》，要求保薦人須在項目啟動前向CSRC報備盡職審查計劃，而SFC與CSRC之間的監管協作備忘錄（MOU）並未涵蓋BCP層面的信息共享機制。

雙重監管下的時間壓力

SFC要求保薦人在BCP中預先設定「跨境監管衝突」場景下的決策樹。例如，若CSRC要求暫停盡職審查而SFC要求繼續推進，保薦人須在24小時內啟動內部上報流程，由合規總監及董事會共同決定優先遵循哪一方的指令，並同時通知SFC及CSRC。通函引用《證券及期貨條例》第571章第XIII部，指出保薦人須保留該決策過程的完整書面記錄，以備SFC日後調查。實務上，這意味著保薦人須在項目啟動前即與兩地監管機構建立非正式溝通渠道，而非在衝突發生時才尋求協調。

VIE結構下的數據中斷風險

涉及VIE結構的保薦項目，其盡職審查底稿通常包含中國內地子公司的財務數據、用戶信息及合規文件。SFC要求保薦人確保其BCP能夠應對中國內地數據傳輸中斷（例如因網絡審查或數據本地化法規導致的訪問限制）。具體措施包括：在中國內地設立獨立的數據鏡像服務器（須符合《數據安全法》及《個人信息保護法》），並在BCP中明確記錄從內地服務器恢復數據的預計時長。SFC通函指出，若保薦人無法保證在4小時內從內地服務器恢復關鍵數據，則須在招股書（prospectus）的風險因素章節中披露此項營運中斷風險。

行動清單：持牌保薦人的2025年合規路線圖

針對SFC 2025年4月通函，持牌保薦人須在以下時間點前完成對應合規動作。第一，2025年6月30日前，完成內部BCP風險評估，識別所有關鍵職能及對應後備人員，並向SFC提交初步評估摘要。第二，2025年9月30日前，完成首次BCP壓力測試，測試場景須涵蓋人員流失、系統攻擊及跨境監管衝突，並將測試結果記錄於合規手冊。第三，2025年12月31日前，向SFC提交完整的BCP報告，包括風險評估矩陣、資源冗餘清單、系統恢復SOP及壓力測試結果分析。第四，2026年3月31日前，根據SFC對報告的反饋意見進行整改，並在年度申報表（Form N）中確認BCP合規狀態。第五，對於正在進行中的保薦項目，立即為每個項目指派影子項目經理，並確保該影子人員在2025年6月30日前完成至少一次項目會議記錄及文件審閱。