上市前內控系統建設：COSO 框架喺 Pre-IPO 公司嘅應用

2025年4月，香港交易所（HKEX）刊發《企業管治守則》及相關《上市規則》修訂諮詢總結，其中明確要求所有主板發行人須在2026年1月1日起的財政年度內，就其內部監控系統作出年度檢討，並在年報中披露檢討結果。此舉直接將內部控制從「最佳實踐」提升至「強制披露」層面，對Pre-IPO公司而言，意味著上市前未能完成符合COSO框架的內控體系建設，將直接影響上市申請的進度與監管審批結果。根據HKEX 2024年上市委員會報告，過去三年內有超過12宗上市申請因內部監控缺陷而被退回或要求重新提交，涉及製造業、醫療科技及消費零售等多個行業。這些案例的共同特徵是公司缺乏系統化的風險評估流程、職責分工不清、以及財務報告流程中的控制點缺失。COSO（Committee of Sponsoring Organizations of the Treadway Commission）框架作為全球最廣泛採用的內部控制標準，已被HKEX、美國SEC及中國證監會等主要監管機構接納為評估基準。對於Pre-IPO公司，從創始人主導的「人治」模式過渡至符合上市要求的「制度治」模式，並非單純的文檔堆砌，而是一套涉及控制環境、風險評估、控制活動、信息與溝通、監控活動五大要素的系統工程。本文將以COSO框架為基礎，結合HKEX具體規則與本地市場實踐，拆解Pre-IPO公司在內控建設中的關鍵節點與常見陷阱。

控制環境：從股東協議到董事會獨立性

控制環境是COSO框架的基石，決定了公司整體對內部控制的重視程度與執行基調。對於Pre-IPO公司，最常見的結構性缺陷在於股權過度集中與董事會獨立性不足。根據《上市規則》第3.10條及3.10A條，主板發行人須至少有三位獨立非執行董事，且獨立非執行董事須佔董事會成員人數至少三分之一。然而，Pre-IPO階段許多公司的董事會實際上由創始人家族成員或早期投資者代表主導，獨立董事往往僅在上市前數月才匆忙委任，缺乏對公司業務與風險的深入理解。

股權架構與內部控制權力分配

一個有效的控制環境要求公司建立清晰的權力制衡機制。Pre-IPO公司應在上市前至少12至18個月，通過修訂公司章程及股東協議，明確劃分股東會、董事會與管理層的職責邊界。具體操作上，可設立審計委員會、薪酬委員會及提名委員會，並由獨立非執行董事擔任主席。根據《企業管治守則》守則條文第C.3.3條，審計委員會須至少由三名成員組成，且其中至少一名為具備合適專業資格的獨立非執行董事。這意味著公司需在上市前儲備合資格人選，而非臨時外聘。

道德價值觀與合規文化

COSO框架強調「tone at the top」——管理層的行為標準直接影響員工對內控的態度。Pre-IPO公司應制定並發布《員工行為守則》及《利益衝突申報政策》，涵蓋反賄賂、反貪腐、保密義務及關連交易處理等範疇。HKEX在《上市規則》第14A章對關連交易有嚴格披露及股東批准要求，Pre-IPO階段若未能建立關連交易識別與審批流程，上市後將面臨持續合規風險。實務上，建議公司設立關連交易登記冊，由合規部門定期更新，並由審計委員會每季檢討。

風險評估：識別上市特有的控制風險點

風險評估是COSO框架的第二要素，要求公司系統性地識別、分析及應對影響目標實現的內外部風險。Pre-IPO公司的風險評估應超越日常運營層面，聚焦於上市過程中特有的控制風險。

財務報告風險：收入確認與關聯方交易

根據HKEX 2024年對上市申請的審核統計，財務報告合規問題是導致申請延遲或撤回的首要原因，佔比超過35%。其中收入確認方法不當、關聯方交易披露不完整、以及存貨估值缺乏支持文件，是最常見的三項缺陷。Pre-IPO公司應針對收入確認建立標準操作程序（SOP），明確不同業務模式下的確認時點與憑證要求。例如，採用完工百分比法的工程類公司，須確保項目進度報告經項目經理與財務總監雙重簽署，並保留客戶確認文件。關聯方交易方面，公司應建立關聯方名冊，並要求所有超過特定金額（如HKD 500,000）的交易須經審計委員會事前審批。

合規風險：行業牌照與數據私隱

不同行業的Pre-IPO公司面臨差異化的合規風險。以醫療科技公司為例，須確保其產品已取得國家藥品監督管理局（NMPA）或美國FDA的相關註冊，且臨床試驗數據管理符合《藥物臨床試驗質量管理規範》（GCP）要求。金融科技公司則須關注HKMA及SFC的發牌規定，以及《個人資料（私隱）條例》（第486章）對客戶數據處理的限制。風險評估應以風險矩陣形式呈現，按發生概率與影響程度分類，並針對高風險項目制定緩解措施。

營運風險：供應鏈依賴與關鍵人員流失

Pre-IPO公司往往過度依賴少數關鍵客戶或供應商，一旦關係中斷，將直接影響收入與上市估值。風險評估應識別前五大客戶及供應商的集中度，並制定替代方案。同時，關鍵管理人員（如創始人、CFO、技術總監）的留任風險亦需關注。建議公司為關鍵人員設立股權激勵計劃，並在僱傭合約中加入非競爭條款及通知期要求。

控制活動：設計與執行上市級別的審批流程

控制活動是確保管理層指令得以執行的政策與程序，涵蓋授權審批、職責分工、資產保護及績效考核等層面。Pre-IPO公司須將控制活動從「口頭約定」升級為「書面制度化」。

財務控制：付款審批與銀行賬戶管理

建立分級授權制度，明確不同金額範圍的付款審批權限。例如，HKD 500,000以下的付款可由部門主管審批，HKD 500,000至HKD 2,000,000須經財務總監加簽，超過HKD 2,000,000則須董事會決議。銀行賬戶方面，公司應實行雙人簽署制度，所有對外付款須經兩名獲授權人員共同確認。此外，每月應由財務部編製銀行調節表，並由審計委員會成員抽樣覆核。

營運控制：存貨管理與固定資產盤點

對於製造業及零售業Pre-IPO公司，存貨管理是審計重點。公司應建立定期盤點制度，至少每季度進行一次全面盤點，並將盤點結果與會計記錄比對，差異超過1%即須調查原因。固定資產方面，須建立資產登記冊，記錄購置日期、成本、折舊方法及存放地點，並每年進行實物盤點。

IT控制：系統權限與數據備份

隨著業務數字化程度提升，IT控制已成為內控體系不可或缺的部分。Pre-IPO公司應實施角色基礎存取控制（RBAC），確保員工僅能訪問與其職責相關的系統模塊。財務系統、客戶關係管理系統（CRM）及人力資源系統須設有完整的審計日誌，記錄所有登入及修改操作。數據備份方面，建議採用「3-2-1」策略：保留三份數據副本、儲存於兩種不同媒介、至少一份存放於異地。

信息與溝通：確保內控信息流暢傳遞

COSO框架要求公司建立有效的信息與溝通機制，確保相關人員能夠及時獲取執行職責所需的資訊。對於Pre-IPO公司，信息溝通的關鍵在於打破部門壁壘，建立跨職能的信息共享渠道。

財務信息閉環：從業務前端到財務報表

許多Pre-IPO公司的財務信息滯後於業務運營，導致管理層無法及時掌握真實經營狀況。解決方案是建立業務與財務系統的集成接口，實現銷售訂單、採購訂單、庫存變動與財務憑證的自動對接。例如，採用企業資源規劃系統（ERP）的公司，應確保銷售模塊與總賬模塊的數據同步頻率不少於每日一次。

合規信息傳遞：舉報機制與內部審計

HKEX《企業管治守則》守則條文第D.2.6條建議發行人設立舉報機制，讓員工能夠匿名報告潛在的不當行為。Pre-IPO公司應在上市前建立此機制，並指定專人（如審計委員會主席）處理舉報個案。同時，建議設立內部審計職能，或外聘會計師事務所進行年度內控評估。內部審計報告應直接提交審計委員會，而非管理層，以確保獨立性。

對外溝通：招股書披露與投資者關係

上市前，公司須在招股書中詳細披露內部控制系統的設計與執行情況。根據HKEX《上市規則》第11.07條，招股書須包含「業務」及「財務資料」章節，其中應描述公司的風險管理及內部監控措施。Pre-IPO公司應預先準備內控披露模板，並由法律顧問及審計師共同審閱，確保內容與實際操作一致。

監控活動：持續評估與上市後過渡

監控活動是COSO框架的第五要素，確保內部控制系統隨著時間推移仍保持有效性。Pre-IPO公司的監控活動需兼顧上市前的準備工作與上市後的持續合規要求。

上市前模擬審計

建議公司在正式提交上市申請前至少六個月，聘請外部審計師進行一次全面的內控模擬審計。模擬審計應涵蓋所有COSO五大要素，並出具書面報告，識別控制缺陷及改進建議。根據缺陷的嚴重程度，可分為「重大缺陷」（material weakness）及「重要缺陷」（significant deficiency）。Pre-IPO公司須確保在提交A1申請前，所有重大缺陷已得到整改。

持續監控指標

建立關鍵風險指標（KRI）體系，用於日常監控內控有效性。例如，財務報告錯誤率、關連交易超標次數、員工違規舉報數量等。管理層應每月檢討KRI走勢，並在季度董事會會議上報告。對於偏離閾值的指標，須啟動調查程序。

上市後過渡安排

上市後，公司須遵守《上市規則》第3.08條關於董事責任的規定，以及《證券及期貨條例》（第571章）下的市場失當行為條文。Pre-IPO公司應在上市前完成內控手冊的編製，並安排全體董事及高級管理人員參加企業管治培訓，確保其了解上市後的責任與義務。

行動要點

1. Pre-IPO公司應在上市前至少18個月啟動COSO框架導入，優先建立控制環境與風險評估流程，為後續控制活動設計奠定基礎。
2. 針對財務報告風險，須建立收入確認SOP及關聯方交易審批機制，並保留完整的支持文件，以應對HKEX及SFC的審查。
3. 設立審計委員會、薪酬委員會及提名委員會，並確保獨立非執行董事在上市前已充分參與公司運營，而非僅在上市前數月委任。
4. 實施「3-2-1」數據備份策略及角色基礎存取控制，確保IT控制體系能夠通過上市審計。
5. 在提交A1申請前，完成至少一次外部模擬審計，並確保所有重大缺陷已整改，避免因內控問題導致上市申請延誤。