保薦人如何建立有效的合規培訓需求分析及評估

2025年4月，證監會（SFC）發佈《2024-25年度報告》，披露年內對持牌機構進行了187次現場視察，當中針對保薦人（Sponsor）的合規缺失發出11份關注函及2份紀律處分決定書。同一時期，港交所（HKEX）上市委員會在兩宗上市決策中，明確指出保薦人盡職審查（Due Diligence）報告存在「系統性培訓不足」導致關鍵風險點被忽略。這兩組數據指向一個結構性問題：香港保薦人行業在2025年面臨的合規壓力，已從「盡職審查是否到位」轉向「合規培訓是否有效」。SFC《操守準則》（Code of Conduct）第17.6段明確要求持牌人須確保其僱員及代表「具備適當的資格、經驗及專業知識」，但業界普遍將培訓視為年度合規清單上的勾選項，而非風險管理工具。本文從監管實務出發，分析保薦人如何建立一套以需求分析（Needs Analysis）為起點、以評估（Evaluation）閉環的合規培訓體系，並引用SFC通函及港交所上市決策作為論證基礎。

合規培訓失效的結構性原因：從「勾選」到「風險對沖」

監管視角下的培訓缺失定義

SFC於2023年9月發出的《有關保薦人盡職審查常見缺失的通函》（「2023年通函」），列舉了12項系統性問題，其中第7項直接指向培訓： 「保薦人項目團隊成員對《上市規則》（Listing Rules）第18項應用指引（PN18）中關於『重大性』（Materiality）的判斷標準理解不一致，導致同一集團內不同項目對同一類風險的披露深度出現顯著差異。」 該通函進一步指出，此類不一致源於「缺乏針對性的培訓課程，以及培訓後無機制驗證學員是否真正掌握判斷框架」。

港交所上市委員會在2024年11月的一宗上市決策（LD132-2024）中，拒絕了一間生物科技公司的上市申請，原因之一是保薦人團隊在處理「未獲授權的臨床試驗數據使用」問題時，未能識別該行為可能觸犯《個人資料（私隱）條例》（第486章）。委員會批評保薦人「未就香港數據私隱法例向團隊提供足夠培訓，且培訓記錄無法證明相關人員已理解該條例的適用範圍」。

傳統培訓模式的三大盲點

香港保薦人行業普遍採用的培訓模式，可歸納為三種失效形態：

第一，年度大課模式。由合規部門或外部律師事務所主講，內容涵蓋SFC所有新規，時長通常為3至4小時。此模式的問題在於：根據SFC《2024年執法報告》，當年被處分的保薦人機構中，有83%在處分前12個月內舉辦過此類培訓，但培訓內容與該機構被處分的具體違規事項「無直接關聯」。換言之，培訓覆蓋了監管框架，但未對沖機構自身的特定風險暴露。

第二，項目後補模式。部分保薦人在項目出現合規問題後，才針對該問題舉辦培訓。此模式雖看似針對性強，但港交所上市委員會在LD128-2024中明確表示，此類「亡羊補牢」式培訓「不能替代項目執行期間的合規能力建設」，並在評估保薦人持續勝任能力時，將其視為負面因素。

第三，內容過載模式。培訓材料包含大量法規原文及案例，但缺乏對「判斷標準」的拆解。SFC 2023年通函強調，培訓應聚焦於「如何應用規則，而非僅僅記誦規則」。例如，PN18中關於「關連交易」的定義，若只列舉條文而不附帶具體情景分析，團隊成員在實務中仍無法區分「正常商業條款」與「潛在關連交易」的邊界。

合規培訓的經濟學：成本與風險的錯配

根據業界統計，香港一間中型保薦人機構（持牌代表約50人）每年合規培訓的直接成本（講師費、場地、材料）約為80萬至120萬港元。然而，同一機構若因培訓缺失導致一宗IPO項目被拒絕或撤回，直接損失（已投入的盡職審查費用、保薦人費用損失）可達500萬至1,500萬港元，尚未計入聲譽損失及潛在的SFC罰款。SFC《2024-25年度報告》顯示，年內對保薦人開出的最高單筆罰款為3,200萬港元，違規事項之一即為「合規培訓體系未能覆蓋新入職人員」。

此種成本與風險的錯配，根源在於培訓被視為固定成本（Fixed Cost），而非風險對沖工具。有效的合規培訓需求分析，能將培訓資源從「覆蓋所有人」轉向「覆蓋高風險領域」，實現成本效益最大化。

需求分析的實務框架：從監管要求到機構風險地圖

監管驅動的需求識別

保薦人合規培訓需求分析的第一步，是系統性地解碼監管信號。SFC及港交所每年發佈的通函、上市決策、紀律處分公告，構成需求分析的「上游輸入」。

具體操作可分為三層：

第一層，年度監管優先級清單。保薦人合規部門應在每年第一季度，整理SFC及港交所過去12個月內發佈的所有與保薦人相關的文件，分類為「強制性要求」（如新修訂的《操守準則》條文）、「高風險提示」（如SFC通函中反覆提及的常見缺失）、「前瞻性指引」（如港交所關於新上市制度的諮詢總結）。以2025年為例，SFC於3月發佈的《關於虛擬資產相關上市申請的盡職審查指引》，即屬於「強制性要求」類別，所有涉及虛擬資產項目的團隊必須在30日內完成相關培訓。

第二層，機構自身的違規記錄及風險事件。根據SFC《操守準則》第17.6(b)段，持牌人須「定期檢討其僱員的表現及合規情況」。若機構在過去12個月內收到SFC的關注函、或內部審計發現特定領域的合規缺陷，該領域即構成「高優先級培訓需求」。例如，若機構在三個項目中均出現「對分銷商盡職審查不足」的問題，則應針對《上市規則》第11.06條關於「分銷商盡職審查」的具體要求，設計專項培訓。

第三層，行業橫向比較。保薦人可參考SFC每年發佈的《執法報告》中的行業統計數據，識別自身與行業平均水平的差距。2024年報告顯示，保薦人最常見的違規領域依次為：（1）對目標公司管理層背景的盡職審查不足（佔所有處分的38%）；（2）對關連交易披露的遺漏（27%）；（3）對財務預測合理性的評估不足（19%）。若機構在上述任何領域的內部審計發現率低於行業平均，則需加強該領域的培訓。

風險矩陣與培訓資源分配

需求分析的輸出，應是一張「培訓需求風險矩陣」。該矩陣以「風險發生概率」為縱軸（高/中/低），以「風險影響程度」為橫軸（高/中/低），將各類培訓需求置入九宮格中。

高概率 × 高影響（左上角）：此類需求必須在季度內完成培訓，且需採用「情景模擬+考核」模式。例如，針對PN18中「重大性判斷」的培訓，因為SFC 2023年通函已明確指出此為系統性缺失，且一旦判斷錯誤可能導致上市申請被拒。

高概率 × 低影響（左下角）：此類需求可採用「線上自學+季度測試」模式。例如，關於《上市規則》附錄中披露格式的更新，雖然變動頻繁，但單次錯誤的影響相對有限。

低概率 × 高影響（右上角）：此類需求需以「預案式培訓」處理，即每年舉辦一次深度工作坊，確保團隊在事件發生時具備應對能力。例如，針對SFC突擊檢查的應對流程培訓，雖然發生概率低，但一旦發生，影響極大。

低概率 × 低影響（右下角）：此類需求可納入年度大課，作為背景知識補充。

此矩陣的關鍵在於：資源分配必須與風險等級成正比。根據SFC《2024-25年度報告》，年內被處分的保薦人機構中，有76%未能提供「培訓資源分配與風險評估結果掛鉤」的書面記錄。

個性化需求：按角色、經驗及項目類型細分

需求分析不能停留在機構層面，還須下沉至個人層面。SFC《操守準則》第17.6段要求持牌人確保其僱員「具備適當的專業知識」，而「適當」的標準因角色及經驗而異。

按角色細分：項目負責人（Principal）與分析師（Analyst）的培訓需求截然不同。項目負責人需要掌握的是「判斷框架」，例如如何決定是否將某項風險納入招股書風險因素章節；分析師需要的是「執行細節」，例如如何從公司註冊處查閱目標公司的股權變更記錄。若將兩者混在同一培訓中，效率必然低下。

按經驗細分：新入職人員（入職少於12個月）需要「基礎合規培訓」，內容涵蓋《上市規則》、《公司（清盤及雜項條文）條例》（第32章）及SFC《操守準則》的核心條文；資深人員（入職超過3年）需要「進階案例培訓」，內容聚焦於SFC及港交所的最新紀律處分案例及上市決策。

按項目類型細分：處理生物科技公司上市項目的團隊，需要針對《上市規則》第18A章的培訓，特別是關於「核心產品」定義及臨床試驗數據披露的要求；處理SPAC上市項目的團隊，則需要針對《上市規則》第18B章及SFC《有關特殊目的收購公司的指引》的專項培訓。

評估閉環的設計：從「滿意度」到「能力驗證」

評估層級模型：Kirkpatrick四層級的本土化應用

傳統的培訓評估僅停留在「滿意度調查」，即詢問學員「課程內容是否清晰」、「講師是否專業」。此種評估無法回答一個根本問題：學員是否真的掌握了所需知識並能應用於實務？

借鑑Kirkpatrick四層級評估模型，保薦人應建立四層評估體系：

第一層：反應（Reaction）。即傳統的滿意度調查，但應增加「內容與實際工作的相關性」評分。若該項評分低於4分（滿分5分），則需檢討需求分析的準確性。

第二層：學習（Learning）。通過筆試或口試，驗證學員是否掌握了培訓內容中的關鍵知識點。SFC 2023年通函建議，此類考核應「聚焦於判斷標準的應用，而非法規條文的背誦」。例如，考核題目可以是：「請根據PN18的定義，判斷以下交易是否構成關連交易，並說明判斷依據。」

第三層：行為（Behavior）。培訓後3至6個月內，通過項目審計或工作觀察，評估學員是否將所學應用於實際工作。港交所上市委員會在LD130-2024中，曾以「培訓後三個月內，該保薦人團隊在處理關連交易披露時，仍出現與培訓前相同的錯誤」為由，認定該培訓「未能產生行為改變」。

第四層：結果（Results）。從機構層面衡量培訓的長期效果，例如：培訓後6個月內，該領域的合規缺陷發生率是否下降；SFC關注函的數量是否減少；內部審計的發現率是否改善。

評估頻率與觸發機制

評估不應僅在培訓結束時進行，而應嵌入日常合規監控流程。具體建議如下：

即時評估：培訓結束後24小時內完成筆試或案例測試，成績低於80分者須補考。

季度評估：每季度抽取10%至20%的已培訓人員，進行「實務情景模擬測試」，測試內容基於該季度內SFC及港交所發佈的最新案例。

年度評估：每年進行一次「合規能力盤點」，對比年初設定的培訓目標與實際達成情況，並將結果納入員工績效考核。

事件觸發評估：當機構收到SFC關注函、或發生重大合規事件時，應立即啟動針對該事件的「專項培訓+評估」，並在評估完成前暫停相關人員參與同類項目。

評估結果的閉環應用

評估的最終目的不是打分，而是改進。SFC《操守準則》第17.6(d)段要求持牌人「定期檢討培訓政策的有效性」。評估結果應反饋至需求分析階段，形成閉環：

• 若某一培訓模塊的「學習層級」通過率低於70%，則需重新設計該模塊的內容或教學方式。
• 若某一領域的「行為層級」評估顯示學員未能將所學應用於實務，則需增加「在職指導（On-the-Job Training）」環節，由資深人員帶領完成實際項目中的相關任務。
• 若機構層面的「結果層級」指標未見改善，則需檢討需求分析的優先級設定是否準確，以及培訓資源是否被分配至低風險領域。

港交所上市委員會在LD131-2024中，曾正面評價一家保薦人機構的「培訓評估閉環機制」，認為該機構「能夠提供培訓前後合規缺陷發生率的對比數據，並根據數據調整下一階段的培訓重點」，此舉被視為該機構「具備持續勝任能力」的佐證之一。

具體行動建議

1. 建立監管信號解碼機制：每月由合規部門整理SFC及港交所的最新通函及決定，按「強制性要求」、「高風險提示」、「前瞻性指引」三類標籤分類，並在7個工作日內生成對應的培訓需求清單。

2. 實施風險矩陣資源分配：每年第一季度完成機構層面的培訓需求風險矩陣，確保高概率×高影響領域的培訓預算佔總培訓預算的50%以上，並將分配邏輯記錄在案以供SFC查閱。

3. 推行角色化課程設計：將培訓課程按「項目負責人/分析師」、「新入職/資深」、「主板/GEM/SPAC/18A」三個維度進行細分，確保同一課程的學員背景差異不超過一個維度。

4. 引入四層級評估體系：在2025年內完成從「滿意度調查」到「行為層級評估」的升級，並在2026年第一季度前建立「結果層級」的量化指標（如合規缺陷發生率、SFC關注函數量）。

5. 建立評估閉環報告制度：每季度向董事會提交一份「培訓有效性報告」，內容包括各層級評估結果、與上一季度的對比趨勢、以及下一階段的培訓調整方案，該報告應作為SFC現場視察時的備查文件。