香港上市公司內部控制 | HKEX CG Code合規

我們的審計服務

外部核數審計內部控制學校審計政府資助審計收費錶審計

深藍會計師有限公司在香港提供專業的內部控制及內部審計服務，旨在協助上市公司、上市前候選企業及成長中的公司滿足監管要求、加強管治及改善營運流程。我們的AFRC註冊會計師團隊在財務、營運及合規控制業務方面擁有來自四大會計師事務所及中型會計師事務所的實務經驗。

對香港上市公司而言，HKEX企業管治守則對內部審計功能及內部控制系統提出了明確要求。根據守則條文D.2.5，每間上市公司應設有內部審計功能——未有設立的公司須每年檢討該需要，並在企業管治報告中解釋未有設立的原因。根據守則條文D.2.1，董事會須至少每年檢討公司的風險管理及內部控制系統的成效。我們的內部控制審查服務有助上市公司高效且具成本效益地滿足這些義務。有關法定審計方面，請參閱我們的外部核數審計服務。

什麼是內部控制？

內部控制是由管理層實施的政策、程序及做法，旨在保護公司資產、確保財務紀錄的準確性、提升營運效率，以及確保遵守法律法規。設計良好的內部控制系統可為業務目標的實現提供合理保證。

美國COSO委員會框架識別出有效內部控制的五個關鍵組成部分：

控制環境 ——管理層對誠信、道德價值及控制重要性的基調。
風險評估 ——識別及分析可能妨礙業務目標實現的風險。
控制活動 ——確保管理層指令得以執行的政策及程序，包括審批、授權、核實及職責分工。
資訊與溝通 ——捕捉、處理並及時將相關資訊傳達給適當人員的系統。
監察活動 ——持續評估及定期審查，以評估內部控制表現的質素。

我們的內部控制服務

內部控制審查

我們對您現有的內部控制系統進行系統性審查，以評估其設計及運作成效。我們的審查涵蓋主要業務週期，包括收入、採購、存貨、薪酬、資金管理及財務報告。我們識別控制差距、弱點及改進空間，提供實務建議以加強您的控制環境。

風險評估及管理

我們的團隊協助您識別、評估及優先排序整個組織的風險。我們評估各種風險情境的可能性及潛在影響，從財務報告錯誤和欺詐到營運中斷及監管違規。結果是一份清晰的風險矩陣及針對您風險承受程度的可行緩解策略。

流程文件化及改進

我們通過流程圖、流程敘述及控制矩陣記錄您的主要業務流程。這些文件可作為培訓、合規及持續改進的寶貴資源。我們識別精簡營運、降低成本及提升效率的機會，同時維持適當的控制。

內部審計外判

對於需要內部審計功能但缺乏維持內部團隊資源的公司，我們提供外判內部審計服務。我們的會計師作為您的內部審計部門，提供獨立、客觀的保證及諮詢服務，旨在增加價值並改善您的營運。

合規控制測試

我們測試控制以核實其是否按設計運作並有效緩解已識別的風險。我們的測試程序包括穿行測試、重新執行、觀察及抽樣。我們提供控制成效的清晰評估，並在發現控制缺陷時提供補救建議。

欺詐風險管理

我們協助您評估特定於行業及業務模式的欺詐風險，評估現有的反欺詐控制，並建議加強預防、偵測及應對欺詐活動的措施。我們的方法符合國際欺詐風險管理標準及最佳實踐。

上市公司內部審計功能——HKEX CG Code合規

HKEX企業管治守則（CG Code），載於主板上市規則附錄14，要求每間上市公司維持有效的內部控制系統。三項關鍵條文直接影響您的內部審計安排：

守則條文D.2.5 ——「發行人應設有內部審計功能。沒有內部審計功能的發行人應每年檢討是否需要設立此功能，並應在企業管治報告中披露未有設立此功能的原因。」
守則條文D.2.1 ——董事會須每年檢討公司風險管理及內部控制系統的成效，涵蓋整個集團（包括附屬公司）的財務、營運及合規控制。
強制披露要求（MDR）H段 ——企業管治報告須披露公司是否設有內部審計功能、內部部門及外部服務提供者就該檢討的職責，以及董事會確認該等系統屬適當及有效。

審核委員會根據守則條文D.3.3(i)，負責確保內部審計與外部審計之間的協調，確保內部審計功能獲得充足的資源並在公司的適當地位，以及檢討和監察其成效。

我們的內部審計外判服務為上市公司提供完全資源充足的內部審計功能，而無需承擔內部團隊的經常開支。我們作為您的內部審計部門，執行基於風險的審計計劃，進行控制測試，並直接向審核委員會報告——實現CG Code的全面合規，同時控制成本。

上市前內部控制審查

在香港聯交所上市前，IPO保薦人及上市科期望上市申請人已建立穩健有效的企業管治、內部控制及風險管理系統。我們的上市前內部控制審查將您的控制環境與HKEX期望的標準進行評估，識別差距，並協助您在提交上市申請前補救弱點。此全面審查涵蓋財務報告控制、營運流程、IT控制、合規程序及企業管治架構。

復牌特別內部控制審查

當上市公司經歷欺詐、控制失效或監管違規時，HKEX可能發出復牌指引，要求進行獨立的內部控制審查。我們的團隊擁有協助上市公司滿足復牌條件的經驗——進行詳細的內部控制審查、制定政策及程序、為董事及管理層提供培訓，以及回應聯交所及其他監管機構提出的查詢。此服務支援公司根據應用指引21（PN21）及相關復牌指引尋求恢復股份買賣。

中小企內部控制服務

對於中小企及私人公司，我們提供務實、規模適度的內部控制解決方案，正規化您的控制環境，而不會施加不必要的行政負擔。無論您是準備首次外部審計、尋求降低欺詐風險，還是改善營運效率，我們的團隊都能提供切合您業務的比例化建議。

為何您的業務需要強大的內部控制

有效的內部控制對任何規模的企業都至關重要。對上市公司而言，這是HKEX企業管治守則下的監管要求。除合規外，強大的控制還帶來實質效益：

HKEX合規 ——以妥善文件化及經測試的內部控制系統滿足CP D.2.5、D.2.1及MDR H段披露要求。
資產保護 ——保護現金、存貨、設備及知識產權免受盜竊、誤用或損失。
財務準確性 ——確保財務報表可靠，用於決策、報告及外部審計目的。
營運效率 ——精簡流程、減少冗餘及消除浪費做法。
監管合規 ——符合香港法律的法定義務，包括公司條例、稅務條例、證券及期貨條例（第571章）及行業特定法規。
欺詐預防 ——通過職責分工、授權控制及獨立監察來阻嚇欺詐行為。
持份者信心 ——向投資者、貸款人及業務夥伴展示您的組織管理良好且具風險意識。

我們的內部控制審查流程

範圍界定及規劃 ——我們了解您的業務目標、流程及現有控制環境，以界定審查範圍。
風險識別 ——我們識別及評估營運中的風險，重點關注最高風險領域。
控制評估 ——我們審查控制的設計及執行，通過適當程序測試其運作成效。
差距分析 ——我們將您當前的控制環境與最佳實踐、監管要求及COSO框架標準進行比較。
建議 ——我們提供詳細報告，包括按優先次序排列的建議、實務補救計劃及實施時間表。
跟進及監察 ——我們支援您實施建議，並提供跟進審查以確認補救措施的成效。

誰需要內部控制服務？

內部控制服務惠及各類組織：

上市公司需要外判內部審計功能以符合HKEX CG Code D.2.5及MDR H段
上市前候選企業需要在提交上市申請前進行全面內部控制審查
股份被暫停買賣的上市公司需要進行復牌特別內部控制審查（PN21）
成長中的中小企從非正式過渡到正式控制環境
非牟利組織需要向捐贈者及持份者展示問責性
準備外部審計的公司希望提前處理控制弱點
經歷變革的企業如合併、收購或系統實施
設有遠程營運的組織需要跨越多個地點的監督

為何選擇深藍會計師進行內部控制服務？

AFRC註冊 ——我們的執業會計師持有會計及財務匯報局（AFRC）簽發的執業證書，註冊編號M0307。在AFRC名冊上核實 →
務實方針 ——我們提供可行建議，平衡控制成效與營運效率。
行業經驗 ——我們服務過貿易、製造、科技、專業服務及非牟利行業的客戶。
獨立視角 ——作為外部顧問，我們為您的控制環境帶來客觀性及新見解。
具成本效益的方案 ——我們的服務旨在提供可衡量的價值，無論是通過降低風險、提升效率還是保證合規。

常見問題

香港上市公司是否需要設立內部審計功能？

是的。根據HKEX企業管治守則，守則條文D.2.5規定每間上市公司應設有內部審計功能。若公司未有設立，則須每年檢討該需要，並在企業管治報告中披露未有設立的原因。審核委員會（根據CP D.3.3(i)）負責確保內部審計功能獲得充足資源及具成效。許多上市公司選擇將此功能外判給外部會計師，作為具成本效益的合規方案。

內部控制與內部審計有什麼區別？

內部控制是管理層為管理風險及實現目標而制定的政策及程序。內部審計是評估該等控制成效的獨立功能。簡而言之：內部控制是您所做的；內部審計檢查您是否做得妥善。

小型企業是否需要內部控制？

需要。雖然小型企業可能擁有較少的正式控制措施，但良好內部控制的原則適用於任何規模。即使是基本的控制措施，如職責分工、適當的授權程序及定期對賬，亦能顯著降低錯誤及欺詐風險。

內部控制應多頻繁審查一次？

我們建議至少每年進行一次全面審查，並對高風險領域進行更頻繁的監控。經歷重大變革的企業，如新系統、擴展營運或監管變更，應將審查作為變革過程的一部分。

內部控制審查需時多久？

時間取決於營運的範圍及複雜程度。針對特定流程的重點審查可能需時1至2週，而全面的全機構評估通常需時4至8週。

我可以期望什麼交付成果？

您將收到詳細的內部控制報告，包括執行摘要、風險評估、控制評估發現、差距分析、按優先次序排列的建議及實施路線圖。

香港上市公司內部控制 | HKEX CG Code合規 | 深藍會計師