2026年3月及4法规通讯
重大发展
港交所:风险管理及内部监控系统的实用建议
港交所刊发了《建立有效风险管理及内部监控系统的实用建议》(繁体),提供了有用的指引。
文件分3部分:(1)(第3页)作决定时须考虑的主要问题(如:一般企业交易);(2)(第6页)各种情境下的一般内部监控及管治常规(如:资金的转移及使用;责任转授;文件及纪录保存);(3) (第8页)提示。
我们的重点在于首两个主题。以下概述部分要点。[见附录]
(注意:完整的须考虑问题清单,请阅读港交所文件全文。)
其他法规发展
监管机构
(i) 港交所谴责大唐集团控股有限公司(已除牌)向该公司的执行董事兼主席及高级管理层成员兼副总裁作出损害投资者权益声明及谴责。(监管通讯、纪律行动声明)
本案涉及以下事项:(1)该公司于2022年通过其附属公司(该集团)与中国政府进行了一宗价值17.6亿元人民币的土地补偿交易,(2)向其控股股东及关连实体(控股股东集团)提供合共10.3亿元人民币的财务资助,随后已偿还。
这违反了《上市规则》的主要交易及关连交易规定。
主席和高级管理层成员各自的失职之处:
-
主席未能履行诚信责任及以应有技能、谨慎和勤勉行事的责任,亦未尽力促使该公司遵守《上市规则》。
-
在主席声称的授权下,高级管理层成员促使该集团向控股股东集团提供财务资助,但未有 (1)通过其审批系统及汇报机制;及 (2) 遵守《上市规则》。有鉴于此,他的作为或不作为导致违反,又或在知情情况下参与该公司向控股股东集团提供财务资助,导致该公司违反《上市规则》的公告、通函及独立股东批准规定
两名被告均声称,该公司不时收到控股股东集团大额财务资助,金额超过公司对控股股东集团的援助。该公司才会提供上述财务资助,使控股股东集团能够就其当时的贷款再融资,从而继续为该公司提供担保。
他们亦声称并不熟知适用的《上市规则》规定(以为与控股股东集团的资金往来属该集团的日常营运范围,因此并无知会董事会)。
该公司及被告接受对其施加的制裁。
主要影响
港交所公告中的关键信息
-
商业理由或不熟知《上市规则》均不是违反《上市规则》的抗辩理由
-
高级管理层在发行人遵守《上市规则》及企业管治方面担当重要角色。凡高级管理层成员的作为或不作为导致违反,又或在知情的情况下参与违反《上市规则》的规定,港交所均可对其施加制裁
(ii) 港交所对企展控股有限公司、该公司具名董事(包括执行董事及独立董事)及其全资附属公司(附属公司)具名董事的纪律行动(公告、纪律行动声明)
(2023年6月至2025年10月)公司透过附属公司进行的证券交易一再违反《上市规则》关于公告、通函及/或股东批准的规定。
有部分交易是合规,但其余交易(如一项非常重大的出售事项、32项须予披露的交易)未有遵守相关规定。
附属公司的证券投资业务是公司的重要业务(2024年:1.04亿元人民币的公平值收益;全年盈利:7,360万元人民币)。
公司董事会依赖附属公司的唯一董事,提供证券投资业务最新消息。他既未(1)及时向董事会汇报相关交易,亦未(2)有系统地记录所有证券交易。
港交所在其公告中表示,有关纪律行动或不仅涵盖相关发行人及其董事,发行人附属公司的高级管理层成员或董事若被裁定因其作为或不作为导致违反《上市规则》,又或在知情的情况下参与有关违规行为,港交所亦可对其作出纪律行动。
相关各方已承认责任。
主要影响
公司董事未有遵守以下董事职责
-
积极关心发行人事务 (如: 業務、內部监控)
-
未有妥善监督附属公司的证券投资业务,仅依赖其董事向董事会提供最新消息
-
未有确保公司就附属公司的证券交易,制定充足而有效的监控及程序
-
未有确保自身和附属公司的唯㇐董事均充分理解《上市规则》的相关规定
关于证券投资业务
-
购买/出售证券及财务资产须符合《上市规则》(第14章) 的规定,只有极少数例外情况可获豁免
-
相关发行人董事须确保发行人有必要的配套及监控措施
-
董事严谨的监督
-
《上市规则》合规
-
完整、最新的纪录存档
-
就董事及相关人员持续提供培训
-
(iii) 港交所并刊发新常问问题16:核数师的委聘、罢免及薪酬(常问问题16、标记版本(繁体))
更新后的Q5值得关注。上市发行人的组织章程文件允许核数师的薪酬可在股东大会上以普通决议通过或按决议中指明的方式厘定(我们的观察, 如:由董事会决定)。
然而, 为确保核数师的委任或重新委任是在根据妥善程序并考虑所有相关数据的情况下厘定,相关通函应列明已与核数师协定的预估审计费用详情。有关预估审计费用可以固定金额或一个范围的形式披露。发行人亦应解释其厘定基准及与核数师商讨时所依据的假设(如:发行人业务的复杂性及业务计划、预期审计范围、审计时间表及审计资源等)。
(iv) 港交所并刊发新常问问题17.2:环境、社会及管治报告守则(常问问题17.2、标记版本(繁体))
更新后的Q15, 有关独立验证,值得关注。
(背景:国际审计与认证准则理事会发布国际可持续核证准则第5000号(ISSA 5000)。ISSA 5000旨在成为可持续验证的全球基准。)
香港会计师公会亦发布了HKSSA 5000,其与ISSA 5000完全一致。)
若發行人取得獨立驗證,可參考及採納ISSA 5000或HKSSA 5000。
(v) (A) 证监会与罗兵咸永道香港就中国恒大集团2019年及2020年的财务报表达成协议, 罗兵咸永道香港预留10亿元 向合資格独立少数股东股东作出赔偿。(新闻稿)
这是首次有已倒闭公司的核数师,向因虚假及具误导性的财务报表而蒙受损失的独立少数股东作出赔偿。
(B) 会财局就恒大审计对罗兵咸永道处以3亿港元罚款及6个月执业限制 (新客户),并对其两名前注册负责人合共处以1千万元罚款。(新闻稿、纪律处分行动声明)
市场基础设施发展
(vi) (A) 证监会公布,无纸证券市场制度预计于2026年11月16日实施。
至于实施日期前已经上市的证券,发行人将于5年内逐步纳入无纸证券市场制度。发行人及市场将提前收到有关这些安排的通知。
至今所取得的主要进展包括:证监会现正审核寻求成为核准证券登记机构 (Approved Share Registrar) 的申请。
证监会将继续更新其无纸证券市场的专题网页,让市场掌握最新发展,而港交所与证券登记公司总会亦会继续向各持份者发布资料文件及举行简报会。
(B) 港交所对《上市规则》作出修订,以配合(1)实施无纸证券市场;(2)设立「香港交易所联讯通」(HKEX Issuer Access Platform);以及(3)作出轻微修订。(有关修订、《上市规则》修订标记版 (繁体)、港交所无纸证券市场网页)
(背景:请参阅我们25 年 4/5月的法规通讯)
-
有关无纸证券市场的修订将于相关无纸证券市场法例生效当日生效
-
有关「香港交易所联讯通」的修订将于该平台正式启用当日生效
-
(自3月31日起生效)轻微修订并不涉及任何政策方向的改变,而是就有关持续公众持股量规定的修订而作出的相应修订
(vii) 港交所发布有关缩短香港股票现货市场结算周期的 咨询文件(繁体), 由T+2缩短至T+1(新闻稿)
(背景:在目前的结算周期下,结算发生在T+2日。此次咨询是在港交所发布(2025)讨论文件之后进行的,该文件获得了缩短结算周期方面的支持。)
港交所建议调整股票现货市场的多项流程,以配合过渡至T+1结算周期。
建议中的T+1结算周期将适用于二级市场的交易所买卖(包括股票、交易所买卖产品、结构性产品及债务证券)以及股票期权行使及转让后的股票实物交收。
港交所强调,采用T+1结算周期将进一步提升香港市场的核心竞争力,令交易更安全、快捷,同时为未来其他基础设施优化和创新奠定基础。
在市场准备就绪并取得监管机构批准后,现货市场拟于2027年第四季过渡至T+1结算周期。
咨询期已于2026年5月18日结束。
法规
(viii) 竞争委员会入禀竞争事务审裁处就一宗涉全港11屋苑及大厦、合约总值约7亿港元的楼宇维修合谋案件,向6间业务实体及12名人士展开法律程序 (新闻稿)
背景:(2022年4月至2023年9月)该围标集团参与了至少11个遍布8个地区的屋苑及大厦的维修工程招标(合约总值合共近7亿港元)。
据称该集团由多个工程承办商及中间人组成,集团主脑会先物色目标工程项目,并选定集团内其他承办商入标。
涉嫌违反《竞争条例》下的「第一行为守则」
-
严重反竞争行为:围标、合谋定价、瓜分市场,及/或交换影响竞争的敏感资料
(ix) (A) 私隐专员公署(私隐公署) 关注“OpenClaw” 及其他代理式AI(Agentic AI) 的私隐风险,提醒机构及市民安全使用AI(新闻稿)
背景:代理式AI与AI聊天机械人(一般主要用于文字回复、内容总结/生成)相比,用途更为广泛。代理式AI甚至可按预设流程,代替用户自主执行多步骤任务。 代理式AI的预设存取权限一般较高,亦可能接触到大量涉及用户或其他人士的个人资料。
代理式AI的相关风险较高。
主要影响
私隐公署的建议
-
授予代理式AI最小权限
-
使用官方最新版本
-
采取足够措施确保系统安全及资料安全
-
审慎安装及使用Plugins或Skills 程式
-
持续评估风险
(B) 私隐公署发布又一村花园俱乐部有限公司(俱乐部)资料外泄事故的 调查报告 (繁体)(新闻稿)
背景:俱乐部向私隐专员公署通报资料外泄事故。事故涉及俱乐部存放于伺服器内的俱乐部管理系统档案遭勒索软件加密而无法运作。
有关的俱乐部管理系统负责管理俱乐部的会员资料,并由外判服务供应商负责提供及维护系统。服务供应商会透过专用的远端存取软件连接伺服器。
事发时相关远端存取软件属已过时版本,并存在已知的保安漏洞。此外,该伺服器长时间保持登入状态,俱乐部并无实施额外的身分认证措施,进一步削弱系统的保安防护。
外泄事件合共影响9,045名资料当事人。受影响的个人资料包括姓名、香港身份证号码及/或护照号码、出生日期、电邮地址、联络电话及地址。
私隐公署发现该俱乐部存在以下缺陷:
-
已过时并存在保安漏洞的远端存取软件
-
伺服器的远端存取欠缺用户身分认证措施
-
已过时的防毒软件及防火墙
-
欠缺资讯保安的机构性措施
-
过长地保留个人资料
私隐公署向俱乐部送达执行通知。它还提醒收集和保存会员及客户数据的机构,这些数据既是重要的资产,也可能成为高风险的攻击目标。这些机构应采取积极主动的策略,定期检视其信息系统安全措施的有效性,并分配充足的资源来保护此类个人数据。
主要影响
私隐公署建议机构应采取足够及合适的机构性及技术性措施:
-
及时更新远端存取软件、防毒软件及防火墙
-
为存取资料实施有效的用户身分认证(如:使用强密码及多重身分认证)
-
建立充分的机构性措施(如:资讯保安的内部政策)
-
定期进行保安风险评估、漏洞扫描及系统审计
-
制定资料保留政策
-
为员工提供定期培训