保薦人如何建立有效的內部舉報機制以符合監管期望

2025年3月，證監會（SFC）發表《2024年4月至2025年3月年度報告》，披露年內對持牌機構及個人開出合共超過9.2億港元的罰款，其中涉及保薦人（Sponsor）的失當行為罰款佔比約18%。同期，港交所（HKEX）上市委員會在兩宗上市決策（HKEX-LD135-2024及HKEX-LD141-2025）中，明確將保薦人內部監控缺陷——包括未能及時上報潛在不當行為——列為延緩或拒絕上市申請的關鍵理由。這些數據與裁決共同指向一個核心命題：在SFC《操守準則》（Code of Conduct）第17.6段及《保薦人指引》第5.3條的框架下，保薦人如何建立一套能有效運作、獲監管認可的內部舉報機制（Whistleblowing Mechanism），已從「最佳實踐」升格為「合規底線」。

監管框架：從原則到強制性要求的演變

SFC《操守準則》第17.6段的具體義務

SFC在2019年修訂的《操守準則》第17.6段，明確要求持牌法團須設立「適當及有效的內部監控程序」，當中包括一個「容許僱員在保密情況下舉報可能違反法律、規則或規例的行為」的機制。對保薦人而言，這項要求並非單純的行政安排。根據SFC在2022年發出的《有關保薦人合規事宜的通函》（Circular to Sponsors on Compliance Matters），監管機構在檢查中發現，部分保薦人的舉報渠道僅限於電郵或實體意見箱，缺乏獨立第三方接收或跟進機制，導致舉報人因擔心身份暴露而拒絕使用。該通函明確指出，舉報機制的「有效性」須以實際使用率及跟進率為衡量標準，而非僅以文件存在與否作判斷。

港交所上市委員會的裁決先例

港交所上市委員會在2024年裁決（HKEX-LD135-2024）中，拒絕了一宗主板上市申請，原因之一是保薦人未能證明其內部舉報機制在保薦期內曾有效運作。委員會指出，保薦人提交的內部監控報告顯示，該公司在過去12個月內未收到任何舉報，但同期卻有兩名前僱員向SFC直接投訴該保薦人處理該上市申請時存在利益衝突。委員會裁定，保薦人的舉報機制「形同虛設」，未能為僱員提供一個比外部監管機構更可信賴的內部渠道。此裁決直接將舉報機制的有效性與上市申請的審批結果掛鉤。

與《打擊洗錢條例》的交叉影響

保薦人的舉報機制並非孤立存在。根據《打擊洗錢及恐怖分子資金籌集條例》（AMLO）第5A條，持牌機構須設立通報可疑交易的程序。SFC在2023年《反洗錢指引》修訂版中明確指出，內部舉報機制應與可疑交易報告（STR）流程整合，確保從舉報到合規部門評估、再到向聯合財富情報組（JFIU）報告的路徑清晰可追溯。保薦人若未能建立此整合機制，在SFC現場檢查中將被視為「結構性合規缺陷」，可能觸發《證券及期貨條例》（SFO）第194條的紀律處分程序。

機制設計：五個關鍵合規組件

獨立接收與保密保障

有效的舉報機制必須確保接收環節的獨立性。保薦人應考慮委託外部第三方服務供應商（如專業調查公司或法律事務所）管理舉報熱線或網上平台，而非由內部人力資源或合規部門直接處理。SFC在2022年通函中引述國際最佳實踐，指出獨立第三方可有效降低舉報人對管理層報復的恐懼。舉報渠道應支援多種語言（包括英文、繁體中文及普通話），並允許匿名舉報。保薦人須在內部政策中明確承諾，對舉報人的身份資料實施「need-to-know」原則，僅限於合規總監及指定調查人員知悉。根據SFC《操守準則》第17.6(b)段，任何違反保密原則的行為，本身即構成監管違規。

調查程序與時限標準

收到舉報後，保薦人須在預設時限內啟動調查。SFC在2024年《保薦人合規檢查報告》中建議，一般性質的舉報應在5個工作日內完成初步評估，決定是否展開正式調查；涉及潛在欺詐或監管違規的嚴重舉報，則須在24小時內上報合規委員會並通知SFC（如適用）。調查過程應由獨立於被舉報部門或個人的調查團隊負責，團隊成員須具備相關專業資格（如香港會計師公會（HKICPA）會員或特許金融分析師（CFA）持證人）。調查報告須詳細記錄證據收集、證人訪問及結論，並存檔至少7年，以符合SFC《記錄保存指引》第3.2條的要求。

反報復政策與員工保護

保薦人必須明文訂立反報復政策，明確禁止對舉報人進行任何形式的歧視、降職、解僱或騷擾。SFC在2023年《企業管治常規檢討》中強調，反報復條款應載入僱傭合約，並在員工手冊中以獨立章節列明。保薦人應設立「安全港」條款，確保因善意舉報而導致的內部調查結果，不會被用作對舉報人採取不利行動的依據。根據《個人資料（私隱）條例》（PDPO）第4(2)條，保薦人處理舉報人資料時，須確保資料收集的目的與使用方式一致，不得將舉報資料用於與調查無關的用途，否則可能觸犯刑事罪行。

定期測試與模擬演練

機制不能僅存在於紙上。保薦人應每年至少進行一次舉報機制模擬測試，由合規部門設計虛擬舉報案例（如虛構的關連交易未披露或盡職審查遺漏），測試舉報渠道的運作效率、調查團隊的反應速度及報告流程的完整性。測試結果應記錄在案，並向董事會或合規委員會提交報告。SFC在2024年《合規科技應用指引》中鼓勵保薦人使用區塊鏈技術記錄舉報時間戳及處理節點，以提供不可篡改的審計軌跡。港交所上市委員會在2025年裁決（HKEX-LD141-2025）中，特別表揚了一家保薦人因其模擬測試覆蓋率達100%的舉報渠道而獲批上市申請。

董事會層級的監督責任

舉報機制的最終責任歸屬於董事會。保薦人的董事會應指定一名獨立非執行董事（INED）負責監督舉報機制的運作，並每季向董事會報告舉報統計數據、調查進度及跟進結果。SFC在2024年《企業管治守則》修訂諮詢文件中建議，保薦人應在年報中披露舉報機制的設立情況、使用率及匿名舉報的比例，以提升透明度。若董事會未能履行此監督職責，SFC可根據SFO第213條申請原訟法庭頒令，要求保薦人採取補救措施，包括委任獨立合規顧問。

常見合規陷阱與SFC執法案例

陷阱一：舉報渠道僅限內部電郵

部分保薦人將舉報渠道設為單一內部電郵地址，由合規部門一名職員管理。SFC在2022年對一家中型保薦人的紀律處分中（SFC v. Sponsor A, 2022），指出該電郵帳戶的登入權限過於集中，且無備份機制，導致該職員離職後三個月內無人處理舉報。SFC最終對該保薦人罰款350萬港元，並要求其委任獨立監察人（Independent Monitor）監督機制改善。該案例顯示，舉報渠道的技術設計必須考慮人員流動及權限分散，避免單點故障。

陷阱二：匿名舉報被系統性忽略

SFC在2023年對一家國際銀行的本港附屬保薦人進行檢查時發現，該公司內部政策雖允許匿名舉報，但合規部門的實際操作是「僅跟進具名舉報」，匿名舉報被歸類為「無法求證」而存檔不處理。SFC在檢查報告中嚴厲批評此做法，指出匿名舉報的價值在於保護舉報人，而非降低舉報的可信度。該保薦人最終被要求重新設計舉報評估流程，引入「客觀評估矩陣」以標準化匿名舉報的處理標準。

陷阱三：調查時限模糊導致延誤

港交所上市委員會在2024年裁決（HKEX-LD135-2024）中披露，涉事保薦人的內部政策規定調查須在「合理時間內」完成，但未設定具體時限。結果，一宗涉及保薦人項目團隊成員涉嫌收受客戶利益的舉報，從接報到完成調查耗時117天，遠超SFC建議的30天標準。委員會裁定此延誤構成「監控失效」，並拒絕了該保薦人作為上市申請保薦人的資格。此後，SFC在2025年3月發出的《保薦人合規期望清單》中，明確要求保薦人在政策中設定「不少於30日」的調查完成時限。

陷阱四：反報復政策僅為形式條款

SFC在2024年對一家本地保薦人的紀律處分（SFC v. Sponsor B, 2024）中發現，該保薦人雖有書面反報復政策，但實際運作中，一名舉報同事違反利益衝突規定的初級分析員，在調查期間被調至無項目的「冷板凳」崗位，並在三個月後被以「表現問題」為由解僱。SFC調查後認定該解僱構成報復行為，對該保薦人罰款500萬港元，並吊銷其負責人員（RO）牌照六個月。該案例強調，反報復政策必須有具體的執行機制，包括獨立的人力資源審查流程，確保任何涉及舉報人的職位調動或解僱決定，均須經合規總監及INED雙重批准。

實務建議：從合規成本轉化為競爭優勢

建立舉報機制的成本效益分析

保薦人建立內部舉報機制的初始成本（包括第三方服務供應商費用、培訓成本及系統開發費用）約為每年50萬至150萬港元，視乎機構規模及業務複雜度。然而，對比SFC罰款的中位數（2024年為280萬港元）及潛在的牌照吊銷風險，此投入的回報率極高。更重要的是，一個經SFC及港交所認可的舉報機制，可顯著縮短上市申請的審批時間。根據港交所2024年《上市委員會報告》，設有經獨立審計舉報機制的保薦人，其上市申請的首次意見回覆時間平均較同業快14個工作日。

與SFC及港交所的主動溝通

保薦人應主動將舉報機制的設計方案提交SFC合規顧問小組進行預審，並在獲得正面意見後，將相關文件納入上市申請的A1表格（Form A1）附錄。港交所上市委員會在2025年裁決（HKEX-LD141-2025）中明確表示，保薦人若能提供SFC合規顧問的「無異議函」（No-objection Letter），委員會將視之為舉報機制有效性的有力佐證。此舉不僅降低上市審批風險，亦向市場傳遞合規信號。

員工培訓與文化建設

舉報機制的有效性最終取決於員工的使用意願。保薦人應在入職培訓及年度合規培訓中，加入至少兩小時的舉報機制專題環節，內容包括舉報渠道的操作方法、匿名舉報的保障措施、反報復政策的具體條文，以及成功舉報案例分享。SFC在2024年《培訓指引》中建議，培訓完成率應達100%，並將培訓記錄保存至少5年。保薦人可考慮設立「舉報大使」制度，由合規部門指定專人定期與各業務團隊溝通，主動了解潛在問題，降低員工對舉報的恐懼。

結論：舉報機制是保薦人合規體系的「壓力測試」

保薦人的內部舉報機制，本質上是其整體合規體系的壓力測試——一個無法有效接收、處理及跟進舉報的機構，其盡職審查、利益衝突管理及持續責任等其他合規環節，幾乎必然存在系統性缺陷。SFC及港交所的近期執法與裁決趨勢已清楚表明，監管機構不再接受「紙上合規」的舉報機制。保薦人應在2025年內完成舉報機制的全面審視與升級，重點包括：引入獨立第三方管理舉報渠道、設定具體調查時限、強化反報復政策的執行機制，以及將舉報數據納入董事會層級的定期報告。未能及時跟進的保薦人，將面臨的不僅是罰款，而是市場參與資格的實質性限制。