保薦人如何建立有效的合規儀表板及關鍵風險指標

2025年4月，證監會（SFC）發表《2024年執法工作回顧》，披露年內對三家保薦人機構及一名前高層採取紀律處分，合共罰款超過1.2億港元。其中一宗個案涉及保薦人未能識別上市申請人的偽造銀行結單，另一宗則因盡職審查流程中缺失關鍵風險指標（KRI）監控而導致監管處分。與此同時，港交所（HKEX）於2025年3月更新《上市規則》第18項應用指引（PN18），明確要求保薦人在提交A1申請時須附上合規監控系統的自我評估報告。兩項監管行動疊加，指向同一結論：以人手Excel追蹤盡職審查進度的時代已正式終結。保薦人機構若未能建立可量化、可審計的合規儀表板及關鍵風險指標系統，將面臨的不僅是罰款，更是牌照續期審查中的結構性風險。本文以SFC通函及HKEX上市委員會決定書為基礎，拆解合規儀表板的設計框架、KRI的選取邏輯，以及內部合規團隊的實務操作要點。

合規儀表板的監管驅動力

SFC執法趨勢與罰則結構

SFC在2024年對保薦人的執法重點已從「個案調查」轉向「系統性缺失審查」。根據SFC《2024年執法工作回顧》，年內所有針對保薦人的紀律處分均涉及內部監控系統失效，而非單一交易失誤。罰款金額中位數達4,200萬港元，較2023年的2,800萬港元上升50%。具體案例包括：某保薦人因未設立客戶身份驗證的KRI觸發機制，未能及時發現上市申請人實控人涉及境外洗錢調查，最終被罰款6,500萬港元及吊銷牌照六個月。SFC明確指出，保薦人須依據《操守準則》第17.6段建立「持續監控的風險指標系統」，否則將被視為未能履行「合理盡職審查」的法定責任。

HKEX上市委員會的審查標準

港交所上市委員會在2025年第一季度的兩份決定書中，直接引用保薦人合規儀表板的缺失作為拒絕上市申請的理由。其中一份決定書（HKEX-LD150-2025）指出，保薦人提交的盡職審查清單中，對「供應商集中度風險」僅以文字描述，缺乏量化KRI觸發值，導致委員會無法確認保薦人已充分評估申請人的持續經營風險。HKEX明確要求保薦人須在A1申請中附上「合規監控儀表板摘要」，內容包括至少五項核心KRI的實時數據及觸發閾值。此要求已納入2025年3月更新的PN18第3.7條。

合規儀表板的設計框架

數據源架構與系統整合

有效的合規儀表板須從三個層級整合數據源。第一層為交易層級：包括盡職審查工作底稿、第三方盡職調查報告（如法律、財務、行業顧問報告）、銀行流水驗證結果。第二層為項目層級：涵蓋項目進度時鐘、團隊成員資格（SFC 6/6A持牌狀態）、利益衝突申報記錄。第三層為機構層級：包括歷史處分記錄、監管查詢回覆時效、內部審計結果。數據源須通過API或SFTP直接接入保薦人的中央合規系統，避免人手輸入造成的延誤及錯誤。實務上，中資背景的保薦人機構可參考HKMA《監管科技白皮書》（2024年12月）中推薦的「數據湖架構」，將結構化及非結構化數據統一存放於雲端或本地伺服器。

儀表板視覺化與用戶權限

儀表板須按用戶角色分層設計。合規總監（Head of Compliance）層級：顯示機構整體的合規健康指數，包括未解決的監管查詢數量、處分風險評分、牌照續期倒計時。項目經理層級：顯示單一項目的盡職審查進度、KRI觸發次數、外部顧問表現評分。前線分析師層級：顯示個人工作清單、截止日期、待審批文件數量。視覺化設計應避免過度裝飾，採用紅黃綠三色燈號系統，紅色代表KRI已觸發且未處理超過48小時，黃色代表KRI接近閾值，綠色代表正常。每次燈號變更須自動生成合規日誌，記錄觸發時間、負責人及處理結果，以備SFC或HKEX查閱。

關鍵風險指標的選取與閾值設定

盡職審查階段的KRI

保薦人須在盡職審查啟動前，根據《上市規則》第9.11(1)條及《操守準則》第17.4段，為每個項目設定專屬的KRI清單。核心KRI包括：（一）盡職審查完成率低於80%即觸發黃燈，低於60%觸發紅燈；（二）第三方報告延遲超過五個工作日觸發黃燈，超過十個工作日觸發紅燈；（三）發現未披露關連交易或潛在利益衝突即直接觸發紅燈，須即時上報合規委員會。實務案例：某保薦人在2024年處理一家醫療設備公司上市申請時，設定「供應商實地考察完成率」為KRI。當完成率跌至65%時，儀表板自動觸發紅燈，合規團隊介入後發現其中三家供應商地址相同，最終識別出虛假交易，避免了一次潛在的監管處分。

上市後持續責任的KRI

保薦人在上市後仍須履行持續責任，包括監控上市發行人是否遵守《上市規則》第13.09條的內幕消息披露義務。相關KRI包括：（一）發行人股價在24小時內波動超過15%而未有公告，即觸發黃燈；（二）發行人更換核數師或法律顧問，即觸發紅燈；（三）發行人主要股東質押比例超過50%，即觸發黃燈。這些KRI的數據源須直接接入港交所的披露易系統及中央結算系統（CCASS），確保實時性。保薦人須在觸發後48小時內向合規委員會提交分析報告，並記錄於合規日誌。

內部合規團隊的實務操作要點

定期壓力測試與回溯測試

合規儀表板及KRI系統須每季度進行壓力測試，模擬極端市場情景（如股價單日暴跌30%、主要客戶破產）對KRI觸發機制的影響。測試結果須記錄於內部審計報告，並提交董事會審閱。回溯測試則針對已完成項目，將歷史數據回放至儀表板，驗證KRI是否能在真實事件發生前及時觸發。SFC在2024年的一份通函中明確建議，保薦人應將回溯測試結果作為內部審計的標準項目，並在牌照續期申請時一併提交。

合規日誌與監管查詢應對

合規日誌須包含以下欄位：觸發時間、KRI類別、觸發值、閾值、負責人、處理結果、處理時間戳、審批人。日誌須以不可篡改格式（如區塊鏈哈希或WORM儲存）保存至少七年，符合《證券及期貨條例》（第571章）第130條的記錄保存要求。當SFC或HKEX進行現場檢查時，保薦人須能在30分鐘內提供指定時間範圍的合規日誌摘要。實務上，建議保薦人設立「監管查詢快速應對小組」，由合規總監、IT系統管理員及法律顧問組成，確保在監管機構查詢時能即時調取儀表板數據及相關工作底稿。

具體行動建議

1. 保薦人須在2025年第四季度前完成合規儀表板的系統升級，確保數據源直接接入SFC的WINGS系統及HKEX的披露易系統，消除人手輸入環節。
2. 每個上市項目須在啟動時設定至少五項核心KRI，並將閾值設定為可量化數字（如完成率百分比、延遲天數、波動百分比），避免使用「合理」、「足夠」等主觀描述。
3. 合規日誌須以不可篡改格式保存，並設立自動警報機制，當KRI觸發超過48小時未處理時，系統須自動上報合規委員會及董事會。
4. 每季度進行壓力測試及回溯測試，測試結果須提交董事會審閱，並在牌照續期申請時一併提交SFC。
5. 設立監管查詢快速應對小組，確保在SFC或HKEX現場檢查時，能在30分鐘內提供指定時間範圍的合規日誌摘要及相關工作底稿。