未分类 ·
Pre-IPO企业内控建设：COSO框架在港金企业的本土化实践
根据香港交易所2026年第一季度市场数据，共有43家企业提交上市申请，其中金融及金融科技类企业占比达28%，较去年同期上升5个百分点。这些企业在Pre-IPO阶段面临的核心挑战之一，便是如何建立符合《上市规则》附录十四《企业管治守则》要求的内部控制体系。与此同时，毕马威2026年发布的《港股IPO内控失效案例分析》报告指出，过去三年因内控缺陷被联交所问询的拟上市企业中，超过60%的问题集中在财务报告内控领域。这凸显了系统化内控建设的紧迫性。本文将以COSO 2013框架为理论基础，探讨其在港金企业Pre-IPO阶段的具体落地路径。
COSO框架的核心要素与港金监管环境的适配性
COSO框架自1992年发布以来，已成为全球最广泛认可的内部控制标准。2013年修订版明确了五大要素：控制环境、风险评估、控制活动、信息与沟通、监督活动。这一框架与香港联交所《企业管治守则》对发行人内部监控系统的要求高度契合。联交所并不强制指定某一具体框架，但在审核实践中，采用COSO框架的企业往往能更清晰地展示其内控体系的完整性和有效性。
港金企业特指在香港运营或拟在香港上市的金融服务机构，包括资产管理公司、券商、支付机构及金融科技平台。这类企业面临双重监管压力：一方面需遵守香港证监会（SFC）的《证券及期货条例》及各类操守准则，另一方面需满足联交所对上市公司内控的期望。COSO框架落地时，必须将SFC的监管要求嵌入控制活动层面。例如，SFC要求持牌法团必须设立隔离监控职能，这直接对应COSO中“控制活动”要素下的职责分离原则。
值得注意的是，港金企业常涉及跨境业务，其内部控制体系还需兼顾母公司所在地的监管规则。一家中资背景的香港券商在Pre-IPO过程中，需同时满足中国内地《证券公司内部控制指引》和香港SFC的要求。COSO框架的原则导向特性使其具备足够的弹性，可以在同一框架下容纳不同辖区的具体控制措施。
Pre-IPO阶段内控建设的常见痛点与根源分析
Pre-IPO内控建设绝非简单的制度汇编工作。根据德勤2026年对港股Pre-IPO企业的调查，以下是三个最高频的内控缺陷领域：
第一，控制环境薄弱。许多Pre-IPO企业仍保留着创始阶段的“人治”文化，董事会缺乏独立性，管理层凌驾于控制之上的风险显著。在港金企业中，这表现为投资决策过度集中于个别核心人物，风险委员会形同虚设。控制环境是COSO框架的基石，其缺陷会导致整个内控体系失效。
第二，财务报告内控存在实质性漏洞。收入确认、金融工具估值、关联交易披露是三大重灾区。港金企业涉及复杂的金融产品和结构化交易，若缺乏对IFRS 9金融工具准则的深入理解和配套的控制程序，极易出现错报。联交所2025年的监管通讯明确指出，多家被退回申请的IPO案例存在收入确认政策不恰当、缺乏充分支持性文件的问题。
第三，风险评估机制流于形式。部分企业虽然建立了风险清单，但未能将风险评估与具体控制措施动态链接。当业务模式发生变化、推出新产品或进入新市场时，内控体系未能及时更新。港金企业在推出创新型金融产品时，若未事先进行内控影响评估，可能触发合规风险。
控制环境：从“老板说了算”到治理规范化
港金企业治理转型的第一步，是重塑控制环境。这包括确立董事会对内控体系的最终责任，建立独立非执行董事主导的审核委员会，以及培育全员合规的文化氛围。
在Pre-IPO阶段，企业应当完成以下关键动作：首先，修订公司章程及董事会职权范围，明确审核委员会对内控的监督职责。其次，制定并发布经董事会批准的内控政策声明，向全体员工传达管理层对内控的承诺。再者，建立举报机制，允许员工以匿名方式报告可疑行为，这对于港金企业防范内幕交易和市场操纵尤为重要。
控制环境的另一核心是诚信与道德价值观。港金企业应制定详细的员工操守准则，覆盖个人交易申报、礼物与款待、利益冲突管理等敏感领域。SFC对持牌人士的个人交易有严格限制，这些要求应当内化为企业层面的控制环境要素。实践中，部分企业在上市前会对关键岗位人员进行背景审查和合规培训，以强化控制意识。
风险评估与财务报告内控的深度整合
财务报告内控是Pre-IPO审核的重点关注领域。按照COSO框架的风险评估逻辑，企业需要从财务报告目标出发，识别可能对公允列报产生重大影响的错报风险，并设计相应的控制措施。
港金企业的财务报告风险具有鲜明的行业特征。以资产管理公司为例，管理费收入和业绩报酬的计算涉及复杂的合同条款和估值模型。若缺乏对底层数据的独立验证和定价模型的定期校准，收入确认的准确性将受到挑战。企业应针对每一类重大收入流，绘制从合同签订到收款对账的全流程控制图，识别关键控制点。
金融工具的估值是另一高风险领域。港金企业可能持有非上市股权、结构化票据或衍生品，这些资产缺乏活跃市场报价。COSO框架要求企业对估值模型的使用建立审批和验证程序，包括模型假设的合理性审查、输入数据的准确性核对，以及估值结果的独立复核。在Pre-IPO阶段，聘请外部估值专家对重大金融工具进行独立估值，是增强财务报告内控可信度的常见做法。
控制活动：关键流程的硬控制与软约束
控制活动是COSO框架中最具操作性的要素，包括授权审批、职责分离、资产保护、业绩评价和信息技术控制等。针对港金企业，以下控制活动值得特别关注：
交易授权与审批流程。金融交易具有高频、大额和时效性强的特点，企业需在效率与控制之间取得平衡。建议建立分级授权体系，根据交易金额、风险等级和产品类型设定不同的审批层级。电子化审批系统应嵌入合规检查规则，自动拦截超出授权范围或触发合规红线的交易。
职责分离是防范舞弊的基础性原则。在港金企业中，前台交易执行、中台风险监控和后台结算清算必须由不同人员或团队负责。对于规模较小的Pre-IPO企业，若人力紧张无法实现完全分离，应通过补偿性控制弥补缺陷，例如由独立于交易职能的合规部门进行事后抽样检查。
信息技术控制日益重要。港金企业高度依赖交易系统、风控系统和财务系统，这些系统的逻辑准确性、访问安全性和变更管理直接影响内控有效性。Pre-IPO阶段应完成对核心业务系统的IT一般控制（ITGC）评估，包括程序变更管理、逻辑访问控制和计算机运维控制。
信息与沟通：打破部门壁垒
COSO框架强调，高质量的信息必须能够在组织内顺畅流动，包括自上而下、自下而上以及横向沟通。港金企业的信息流往往存在断裂：前台业务部门与后台风控合规部门之间信息不对称，总部与分支机构之间报告路径不清晰。
Pre-IPO阶段应着力构建内控信息沟通机制。首先，建立定期的内控报告制度，各业务线和职能部门需按季度向审核委员会提交内控自我评估报告。其次，明确重大事项的报告路径和时限，例如重大风险事件需在24小时内上报至首席风险官和审核委员会主席。再者，搭建统一的内控信息平台，将制度文件、控制矩阵、测试结果和整改跟踪集中管理，避免信息散落在各处的Excel表格中。
与外部方的沟通同样关键。港金企业需与监管机构、外部审计师和投资者保持透明沟通。联交所期望发行人能够坦诚披露内控重大缺陷及其整改计划。2026年已有两家拟上市企业在招股书中主动披露了内控整改情况，这一做法获得了监管机构的认可。
监督活动：从被动整改到持续监控
监督活动确保内控体系持续有效运行。港金企业应建立双重监督机制：第一道防线是业务部门自身的日常监控，第二道防线是独立的内审职能的定期评价。
在Pre-IPO阶段，企业通常尚未设立专职内审部门。建议至少配备一名具有专业资质的内审负责人，并制定首年度的内审计划。内审计划应优先覆盖财务报告相关的高风险领域，以及过往发现的薄弱环节。内审结果应直接向审核委员会报告，不受管理层干预。
持续监控手段包括关键风险指标（KRI）的设定与追踪。港金企业可根据自身业务特点，选取流动性覆盖率、集中度限额使用率、合规事件发生频率等指标，设定预警阈值并实时监控。这些指标的变化可以提前预警内控体系的潜在问题，实现从“事后发现”到“事前预防”的转变。
FAQ
Q1: COSO框架要求企业在Pre-IPO前多久开始建设内控体系？ 一般而言，港金企业至少应在提交上市申请前12至18个月启动系统化的内控建设。联交所要求发行人展示内控体系在至少一个完整财务年度内的有效运行记录。若企业在2026年下半年提交A1表格，则最迟应在2025年初开始内控差距分析，并确保2025年年报的财务报告内控经得起审计和监管审查。
Q2: 港金企业采用COSO框架时，是否需要聘请外部顾问？ 并非强制要求，但超过75%的港股Pre-IPO企业选择聘请四大会计师事务所或专业风险咨询机构协助内控建设（据2026年联交所上市科统计）。外部顾问的价值在于提供行业对标经验、识别管理层可能忽视的风险点，以及协助编制符合监管期望的内控文档。对于内控基础薄弱的企业，外部支持可显著缩短建设周期并降低被问询的概率。
Q3: 财务报告内控在Pre-IPO阶段应至少覆盖哪些关键流程？ 根据联交所2025年至2026年的问询重点，至少应覆盖以下六大流程：收入确认、金融工具估值、关联交易及披露、现金及资产管理、信息系统一般控制、反舞弊程序。每个流程均需完成风险识别、控制设计、控制测试和缺陷整改的闭环。建议企业保留完整的控制测试底稿，作为应对监管问询的证据。
参考资料
- 香港交易及结算所有限公司，《主板上市规则》附录十四《企业管治守则》，2025年修订版
- COSO委员会，《内部控制——整合框架》，2013年发布
- 香港证券及期货事务监察委员会，《持牌人或注册人操守准则》，2025年更新
- 毕马威中国，《港股IPO内控失效案例分析报告》，2026年2月发布
- 德勤中国，《Pre-IPO企业内部控制成熟度调查》，2026年1月发布