【民营企业风控之路系列七】香港上市企业内部控制进阶之路
引言
企业成功赴港上市后，需要依照联交所《上市规则》附录十四《企业管治守则》的要求，编制《企业管治报告》按期披露包括公司治理、风险管理以及内部控制等在内的企业管治情况，满足联交所对企业风险管理及内部监控系统有效性的披露要求。除上述的监管驱动因素外，市场公众对上市企业的经营质量亦寄予更高期望。从内部因素来看，风险管理与内部控制作为企业经营管理的重要组成部分，其推动企业持续整合资源、自我提升，赋能创新的作用也将愈发显现，成为企业经营目标顺利实现的重要保障。
因此，企业在港股上市之后如何进一步健全、完善风险管理与内控体系，在有效应对监管的基础之上以内控体系优化为契机完成自我蜕变，成为企业在香港上市成功后值得深思熟虑的问题。本篇将重点针对赴港上市后企业内部控制进阶提升之路，帮助企业深入了解上市后企业所需开展的内部控制工作，以确保企业报告与披露符合联交所要求，并真正实现“跑得快”“管得稳”。
持续加强风险管理的必要性
监管机构提出上市企业风险管理要求
香港联交所制定的《上市规则》对企业提出了上市后有关风险管理与内部控制的工作要求与信息披露要求。具体而言，上市公司每年需开展一次风险管理及内部控制有效性评价工作，并将评价结果向管理层及董事会汇报。同时，企业需在《企业管制报告》风险及内控章节，披露本公司本年度风险管理及内控管理的基本情况以及本年度发生的重大缺陷。由此可见，开展符合质量要求的信息披露工作是上市企业的一项重要义务，满足监管要求并降低信息披露风险成为企业持续加强风险管理的基本目标。
市场与投资者对上市公司寄予更高期待
伴随上市成功，企业受到来自市场的广泛关注，亦对企业的运营提出了规范、透明的要求。基于对投资收益的关切，公众投资者对上市企业的盈利潜力，以及对投资者权益的保护能力尤为关注。企业需要向市场展现自身良好的风险管理以及内控水准，以强化市场信心，加速企业发展，形成良性循环。
赴港上市后的内控进阶之路
赴港上市成功的企业在满足监管合规的基础上，可通过健全、完善内控管理体系推动企业整体管理能力的进阶。
满足监管要求，定期开展风险的识别、评估以及应对准备工作，进行内控评价，并披露《企业管制报告》
根据《上市规则》对于风险管理及内部控制的具体要求，上市企业通常参照COSO内控理论框架，从内部环境、风险评估、控制活动、信息与沟通以及内部监督五个要素出发对企业内部控制情况进行整体评估。
结合企业业务开展特性与发展目标，多维度挖掘企业风险管理与内部控制要点，并以《企业管治守则》为指引，以风险评估及内控测评结果为事实依据，依据企业内控及风险管理体系评价的主要业务和事项等，编制《企业管治报告》关于重大风险及内控管理的相关内容，以满足《企业管治守则为指引》及《企业管治报告》的相关规定。
体系化、智能化的风险管理与内部控制模式助力企业管理优化升级
企业内控管理并非止于上市后满足监管以及公众对于企业内控能力的基本要求，内部控制本身的评价完善机制是企业持续创新、战略调整和自我提升的驱动力之一，其工作跨部门的特征为企业提供了整合信息以及流程的契机，同时其“监督”的工作属性，能够推动企业完善决策、执行和监督分离的管理机制，进一步强化企业的管控能力。对此，上市企业需继续探寻内控进阶与升级之路，推动企业风险管理与内部控制的体系化和智能化。
通常，具备体系化和智能化风险管理与内部控制模式的上市企业会通过建立主动防范的、线上线下结合的管理体系和长效管理机制形成内部控制自我优化能力。基于对行业最佳实践的对标分析，企业开展风险管理工作并将对于风险的考量纳入企业的关键决策过程中。同时，企业将风险管理、内部控制的管理工作与业绩考核和激励机制相挂钩，鼓励推行与企业内控程序保持一致的行为。
结合对以上特征的把握，上市企业需要在内控进阶之路上开展多维度、系统化的管理工作：
1
通过聚焦战略发展、治理与管控、风险与内控、制度与流程、支持与保障等角度提炼和明确评估指标，根据企业实际情况确定业务及流程管控的核心要点。尤其关注影响企业战略目标及业务发展的核心风险，分析诊断核心风险管理控制的机制和措施，识别改进机会。
2
全面梳理公司内控制度，查找分析目前制度体系的缺失和不足，对现行内控制度进行快速诊断，将内部控制管理真正纳入体系化、标准化和制度化轨道。通过梳理企业业务及管理情况，结合明确的风险内控体系，搭建能够创造价值的公司治理管控架构，明确各部门权责边界，形成公司治理的顶层设计，为企业治理管控赋能。
3
企业可以借助多样化、智能化的管理工具，如制定内部控制管理手册、建立全面风险清单库和搭建风险模型等方式，统一公司内控管理标准及工作步骤。在已有的内控体系基础上进一步查缺补漏，确保企业根据业务发展及时更新的内部控制管理政策，保证公司的内控管理机制与业务发展协调一致。
塑造企业内部控制能力，推动管理水平长效提升
随着内外部环境的不断变化，上市企业风险管理与内部控制工作的开展并非仅限于一朝一夕，管理体系优化与管理能力提升需要贯穿企业经营的始终。推动企业内控水平的持续提升需要不断深化和完善内控评价体系，尤其对评价体系中的各环节开展持续关注：
建立并分解战略目标
强化目标分解意识，根据战略规划、业务经营计划、绩效考核指标等，确定公司总体战略目标并分解为各层级业务流程目标，并对战略目标实现程度进行测评；
风险识别与评估
形成内部统一的风险识别和评估方法、标准和程序，加强风险的动态分析与持续性评估；
优化内部控制框架和标准
制定全公司范围内的内部控制实施标准并将其嵌入业务流程，推进规范化操作程序建设，定义标准化控制，对业务流程的关键控制点实施优化改进；
内控运行与监控
根据内控标准执行业务规范，建立监测预警指标，对内部控制运行情况开展持续监控、分析、预警和报告；
内控监督与评价
持续性开展内部控制审计工作，对内控有效性进行日常检查和定期评价；
缺陷整改与跟进
推进落实内控缺陷整改机制，强化各流程、各部门对缺陷问题整改措施的落地实施。
塑造企业内控能力需要企业内部的群策群力，形成“风险管理人人参与”的全覆盖模式。企业可以通过剖析内控管理存在的问题和企业内控体系规划思路、实施路径，开展多种形式、内容多样的、有针对性地研讨和培训，对所有员工进行风险以及内控相关知识的持续性宣导，提升人员职业操守、合规意识和专业服务能力，继而在公司总体层面实现风险意识全覆盖。同时，打造内控分析及建设专家团队，组成企业长效提升风控管理水平的坚实力量，依托于专业经验与专家智慧助力企业风险管理能力提升。
结束语
对于成功赴港上市的企业而言，开展持续有效的风险管理任重而道远。建立完善的内部控制体系是企业日常运营的重要组成部分，更是在面对监管规定、公众期望、内外风险以及企业自身业务目标时保持健康发展的重要基石。上市企业需充分关注持续性风险管理与内部控制相关义务，全流程覆盖开展风险评估及监控工作，优化提升管理模式体系化、智能化，推进企业内部风险意识培养，全方位提升企业运行效率，助力企业实现长足有效经营。
联系我们
梅放
风险管理咨询主管合伙人
毕马威中国
+86(10)85087188
frank.mei@kpmg.com
梁安超
风险管理咨询主管合伙人
毕马威中国
+86(755)25473338
kelvin.oc.leung@kpmg.com
李斌
风险管理咨询合伙人
毕马威中国
+86(10)85085975
johnson.li@kpmg.com
高原
风险管理咨询总监
毕马威中国
+86(10)85085390
may.gao@kpmg.com
何筱蔓
民企风险管理咨询总监
毕马威中国
+86(20)38138239
mona.he@kpmg.com
叶琰
民企风险管理咨询总监
毕马威中国
+86(21)22123327
iy.ye@kpmg.com
王欣
民企风险管理咨询副总监
毕马威中国
+86(10)85084028
elise.wang@kpmg.com
潘熠星
风险管理咨询经理
毕马威中国
+86(10)85084253
yixing.pan@kpmg.com
苏婉辰
风险管理咨询经理
毕马威中国+86(10)85084074
sharon.su@kpmg.com
郭雅琴
风险管理咨询经理
毕马威中国+86(10)85085780
cy.guo@kpmg.com
本文内容仅供一般参考用，并非针对任何个人或团体的个别或特定情况而提供。虽然我们已致力提供准确和及时的资料，但我们不能保证这些资料在阁下收取时或日后仍然准确。任何人士不应在没有详细考虑相关的情况及获取适当的专业意见下依据所载内容行事。本文所有提供的内容均不应被视为正式的审计、会计或法律建议。
©2023毕马威华振会计师事务所(特殊普通合伙)、毕马威企业咨询(中国)有限公司及毕马威会计师事务所，均是与英国私营担保有限公司—毕马威国际有限公司(“毕马威国际”)相关联。毕马威国际不提供任何客户服务。各成员所均为各自独立的法律主体，其对自身描述亦是如此。毕马威华振会计师事务所(特殊普通合伙)—中国合伙制会计师事务所；毕马威企业咨询(中国)有限公司—中国有限责任公司；毕马威会计师事务所—香港合伙制事务所。版权所有，不得转载。毕马威的名称和标识均属于毕马威国际的商标或注册商标。
