6號牌持牌人如何處理上市申請過程中的舉報人報告

香港證監會（SFC）於2025年4月發布的《有關處理上市申請過程中收到的舉報的指引》（下稱「2025指引」），首次將舉報人報告的處理程序明確納入保薦人盡職審查的強制性框架。該指引直接引用《證券及期貨條例》（第571章）第XV部及《操守準則》第17.6段，要求持牌保薦人（6號牌）在上市申請過程中，必須建立一套經董事會批准的書面政策，以識別、評估及處理來自任何來源的舉報資訊。此舉並非選擇性建議——SFC在2024年《執法報告》中披露，過去三年涉及上市申請的執法個案中，有超過40%與保薦人未能妥善處理舉報資訊有關，導致延誤、撤回申請甚至刑事檢控。對於持牌保薦人及其內部合規團隊而言，2025指引不僅是一份操作手冊，更是一份風險管理的最低標準。本文將從監管基礎、程序設計、文件記錄及與港交所（HKEX）協作四個維度，拆解保薦人如何在不違反《個人資料（私隱）條例》（第486章）的前提下，將舉報人報告轉化為盡職審查的有效工具。

監管基礎：2025指引如何改寫保薦人責任邊界

SFC 2025指引並非孤立文件，而是對2019年《保薦人盡職審查指引》及2022年《有關處理上市申請中不當行為的指引》的系統性補充。指引第4.1條明確指出，保薦人須將舉報人報告視為「潛在風險信號」，而非可選擇性忽略的「匿名噪音」。這一立場與港交所《上市規則》第3A.03條（保薦人須以合理審慎態度行事）及第11.10條（申請人須披露所有重大資料）形成閉環。

舉報來源的法定分類與風險權重：指引將舉報分為三類：內部舉報（來自申請人現任或前任僱員）、外部舉報（來自競爭對手、供應商或客戶）及匿名舉報。每類舉報的處理時限不同——內部舉報須在收到後5個工作日內啟動評估，外部舉報為10個工作日，匿名舉報則為15個工作日。SFC在指引附錄A中提供了標準化評估矩陣，要求保薦人根據舉報內容的真實性、具體性及對上市申請的潛在影響（如涉及虛假交易、未披露關連交易或財務造假），賦予「高」、「中」、「低」三級風險權重。

與《個人資料（私隱）條例》的衝突管理：保薦人在處理舉報時，必須同時遵守第486章第4項保障資料原則（資料收集目的及方式）及第6項保障資料原則（資料當事人的查閱及改正權利）。2025指引第6.3條特別指出，若舉報人要求匿名，保薦人不得強制披露其身份，但須在內部記錄中標明「匿名來源」並說明採取該安排的商業理由。實務上，保薦人應在首次接觸舉報人時，提供一份經法律顧問審閱的《舉報人權利通知書》，載明資料處理目的、保留期限及投訴渠道。

程序設計：從接收舉報到最終決策的四階段模型

SFC 2025指引建議保薦人採用「接收—評估—調查—決策」四階段模型，每個階段均須有獨立文件記錄及至少兩名合規人員簽署。以下為各階段的具體操作要點：

階段一：舉報接收與初步篩查

保薦人須設立專用舉報渠道（如加密電郵、電話熱線或第三方平台），並確保該渠道符合《打擊洗錢及恐怖分子資金籌集條例》（第615章）第5條的記錄保存要求——所有舉報記錄須保留至少7年。初步篩查應在24小時內完成，由合規部門主管決定是否啟動正式評估。篩查標準包括：舉報內容是否涉及上市申請的「重大事實」（定義見《上市規則》第2.04條）、是否有可驗證的具體細節（如交易日期、金額、參與方名稱），以及舉報人是否提供聯繫方式（匿名舉報仍須處理，但風險權重自動上調一級）。

實務案例：2024年一宗主板上市申請中，保薦人收到匿名電郵指控申請人與一名未披露關連方進行虛假銷售。保薦人合規團隊在24小時內啟動評估，並在5個工作日內完成初步調查，發現舉報中提及的銷售合同日期與申請人提交的審計報告存在矛盾。該案例最終導致申請人撤回上市申請，保薦人因及時處理而免於SFC紀律處分。

階段二：風險評估與優先級排序

評估階段須由保薦人項目團隊及獨立合規人員共同參與，使用SFC指引附錄A的標準化矩陣進行評分。評分維度包括：舉報內容與上市申請的相關性（0-5分）、舉報人的可信度（0-5分）、舉報的具體程度（0-5分），以及舉報對投資者決策的潛在影響（0-5分）。總分16-20分為「高風險」，須在10個工作日內啟動全面調查；11-15分為「中風險」，須在20個工作日內完成調查；0-10分為「低風險」，可通過現有盡職審查程序處理。

文件記錄要求：評估結果須以書面形式記錄，包括評分矩陣、參與人員簽署及評估日期。若評定為「低風險」，保薦人須在記錄中說明理由，並由合規部門主管及項目負責人共同簽署。SFC在2025指引第8.2條明確表示，若保薦人未能提供合理理由即將舉報降級為低風險，將被視為違反《操守準則》第17.6段的盡職審查責任。

階段三：調查執行與第三方協作

對於「高風險」或「中風險」舉報，保薦人須啟動獨立調查。調查範圍須涵蓋舉報內容的全部指控，並可委聘外部法律顧問、會計師或行業專家參與。SFC指引第9.1條要求，調查過程須遵守《競爭條例》（第619章）第4條的保密規定——不得向申請人或其他第三方披露調查細節，除非獲得SFC或港交所的明確許可。

跨境調查的特殊考量：若舉報涉及申請人在中國內地、開曼群島或英屬維爾京群島（BVI）的業務，保薦人須確保調查行為符合當地數據保護法律。例如，中國《個人信息保護法》第38條要求跨境傳輸個人信息須通過國家網信辦的安全評估。實務上，保薦人應在調查啟動前取得申請人書面授權，並聘請當地法律顧問出具合規意見。

階段四：決策與通報

調查完成後，保薦人須形成書面報告，載明調查結果、風險評估更新及建議行動。行動選項包括：無需採取進一步行動、要求申請人補充披露、修改招股書（prospectus）內容、或向SFC及港交所主動通報。2025指引第11.1條規定，若調查發現舉報內容屬實且涉及重大不實陳述，保薦人須在5個工作日內向SFC提交《重大事項報告》（Form C），並同時通知港交所上市科。

文件記錄：合規審計的核心證據鏈

SFC在2025指引中反覆強調「文件記錄是合規的基石」。保薦人須為每宗舉報建立獨立檔案，包含以下六項核心文件：

1. 舉報接收記錄：包括舉報渠道、日期、時間、舉報人身份（如提供）及初步篩查結果
2. 風險評估矩陣：附有評分及簽署的標準化表格
3. 調查計劃：載明調查範圍、時間表、參與人員及外部顧問委聘情況
4. 調查報告：詳細記錄調查過程、證據分析及結論
5. 決策備忘錄：說明最終決策理由，包括是否通報監管機構
6. 跟進記錄：若要求申請人採取補救措施，須保留相關往來文件

記錄保存期限：根據《證券及期貨（紀錄）規則》（第571AA章）第3條，所有與上市申請相關的舉報記錄須保留至少7年，自上市申請撤回或上市日期起計。若申請成功上市，記錄須保留至上市後至少5年。SFC在2024年《執法報告》中指出，有保薦人因未能提供完整舉報記錄而被罰款港幣300萬元。

與港交所協作：通報時機與資訊共享邊界

保薦人在處理舉報時，須同時考慮與港交所的協作義務。《上市規則》第3A.12條要求保薦人須在合理時間內向港交所通報任何可能影響上市申請的重大事項。SFC 2025指引第12.1條進一步明確，以下情況須立即通報港交所上市科：（1）舉報內容涉及申請人董事或高級管理層的誠信問題；（2）舉報內容涉及申請人核心業務的合法性；（3）舉報內容可能導致招股書出現重大遺漏。

資訊共享的邊界：保薦人向港交所通報時，須遵守《個人資料（私隱）條例》第58條的豁免規定——若披露資料是為了防止或偵測罪行，可豁免第6項保障資料原則的查閱權要求。實務上，保薦人應在通報文件中標明「機密—僅供監管用途」，並限制接收人員範圍。

港交所的回應機制：港交所上市科在收到通報後，通常會在5個工作日內回覆，指示保薦人是否需要暫停上市申請程序、補充調查或修改文件。2024年一宗GEM上市申請中，保薦人因及時通報舉報內容，港交所要求申請人額外披露兩項關連交易，最終申請在延遲3個月後獲批。

結語：將舉報人報告從風險轉化為盡職審查資產

SFC 2025指引將舉報人報告從被動的合規負擔，轉化為保薦人主動管理風險的工具。對於持牌保薦人而言，以下五項行動應納入2025-2026年內部合規審計的重點：

1. 建立經董事會批准的書面舉報處理政策，明確各階段時限、責任人及上報機制，並於2025年9月30日前完成內部審批。
2. 設立專用加密舉報渠道，確保符合第615章及第486章的雙重合規要求，並定期進行滲透測試。
3. 培訓全體項目人員，包括保薦人主要人員（Principal）及負責人員（Responsible Officer），使其熟悉2025指引的評分矩陣及通報義務。
4. 與外部法律顧問簽署框架協議，確保在收到高風險舉報後24小時內可啟動獨立調查。
5. 每季度向SFC提交《舉報處理統計報告》，載明接收數量、風險分佈及處理結果，作為合規管理系統的持續監控指標。