證監會近期的紀律處分行動反映監管機構提高對網絡保安管治、營運韌性及事故應變能力的要求。

傳統上網絡保安一直被視為由資訊科技部門負責的技術職能。然而，近期監管發展顯示，此觀念已不足以應對當前的監管要求。證券及期貨事務監察委員會（「證監會」）日益將網絡韌性視為企業管治、營運韌性及監管合規的事宜，並明確期望高級管理層積極承擔管理網絡保安風險的責任。

證監會近期就一宗勒索軟件攻擊事件對持牌法團採取紀律處分，充分說明這些監管期望如何在實際運作中體現。結合證監會更廣泛的網絡保安監管措施以及其就人工智能驅動網絡攻擊所發佈的最新指引來看，一個清晰的監管趨勢已逐漸形成：監管機構未來不僅關注企業是否遭受網絡事故，更關注其是否已建立足夠及有效的網絡保安措施、是否實施適當監督，以及是否具備抵禦及從網絡威脅中恢復的能力。

有關啟示不僅適用於持牌法團，亦適用於越來越依賴科技、遙距接達安排及第三方服務供應商的資產管理公司、家族辦公室及私人財富管理架構。

近期監管警示

有關紀律處分源於一家香港持牌法團於2022年9月通報的一宗勒索軟件攻擊事件。根據證監會的調查結果，黑客利用該公司遙距接達環境中的漏洞，干擾其關鍵資訊科技基礎設施，包括檔案伺服器、電郵伺服器、網域控制器、交易應用程式伺服器及會計伺服器。整個恢復過程歷時約三星期。

在該期間，客戶無法使用該公司的互聯網平台及流動交易應用程式，只能透過客戶主任發出交易指示。

值得注意的是，本案的重要性恰恰在於事故並未造成許多人原本擔心的後果。證監會明確指出沒有證據顯示發生未經授權交易、客戶財務損失、客戶資產被挪用、客戶資料外洩或收到客戶投訴。

儘管如此，證監會在認定該公司的網絡保安控制措施及管治安排存在不足且未能符合適用的監管規定後，仍公開譴責該公司並處以罰款。

因此，該案件顯示，即使網絡事故最終未導致客戶損失，監管機構仍有可能採取紀律行動。監管機構聚焦於機構是否已建立及維持足夠的系統及監控措施，以及有關缺失是否導致其未能抵禦事故。

證監會對韌性及控制缺失的關注

是次紀律處分的一項值得注意之處在於證監會所提出的批評不僅單純針對發生勒索軟件攻擊一事，而是針對該公司缺乏網絡韌性。

根據證監會的調查，該公司在網絡保安控制、用戶權限及特權帳戶管理、作業系統、防毒保護、遙距接達安排、密碼管理、網絡保安意識培訓及外部裝置保安等方面均存在缺失。

證監會認為該等缺失既導致該公司未能抵禦有關攻擊，亦加劇事故所造成的影響。其中，備份及復原安排的不足尤為嚴重。公司的每日備份儲存於外置硬碟中，但有關裝置並非一直與網絡斷開連接，導致備份檔案於事故期間一併遭受破壞。此外，公司的業務延續計劃亦有不足，未能充分應對勒索軟件及資料遺失等情景，嚴重妨礙復原工作。

因此，是次紀律處分傳達出更廣泛的信息：監管機構日益重視營運韌性及應變準備，而非僅著眼於技術層面的預防措施。

網絡韌性成為日益重要的監管重點

近期的紀律處分不應被視作一宗獨立事件。

2023年9月，證監會公布就部分持牌法團展開全行業網絡保安主題檢視，明確指出網絡保安為其監管工作的重點範疇。該檢視涵蓋網絡保安管治、事故匯報、雲端保安、遙距接達控制、技術生命週期管理及第三方科技供應商風險等範疇。

證監會一直指出業界存在若干反覆出現的弱點，包括使用生命周期已結束的軟件、遙距接達控制不足、容易受仿冒詐騙攻擊，以及第三方科技安排存在缺失。

值得留意的是，近期紀律處分個案所揭示的多項缺失，包括遙距接達控制、身份驗證控制、修補程式管理及員工保安意識不足，均與證監會於2020年就遙距工作安排發出的通函，以及其2025年網絡保安主題檢視報告所強調的風險高度一致。這顯示監管指引最終可能成為評估機構系統及監控措施是否足夠的重要基準。

近期證監會亦警告持牌機構須關注人工智能驅動網絡攻擊所帶來的風險。根據證監會的觀察，人工智能技術的進步不但增加網絡威脅的複雜性及頻率，亦縮短機構就潛在漏洞作出回應的時間。就此，證監會再次強調修補程式管理、接達監控、監控、第三方監督及事故應變準備的重要性。

從上述背景觀之，與其說近期的紀律處分是一宗個別的執法案件，倒不如說是證監會更廣泛的監管計劃的一部分，其旨在提升整個金融服務業的網絡保安韌性。

為何這不僅是資訊科技部門的責任

近期證監會的多份刊物均貫徹一項主題：網絡韌性本質上為管理層的責任。

證監會於2017年發布的網絡保安指引及其相關刊物均要求高級管理層負責建立網絡保安框架、批准相關政策、分配資源，以及監督應急及應變規劃。證監會亦明確強調高級管理層（包括資訊科技主管人員）須就持牌機構所面對的網絡保安風險承擔最終責任。

這反映出日益普遍的監管觀點：網絡韌性應與營運風險、合規及業務延續安排一樣被視為核心管治議題。

科技專才固然不可或缺，但監管機構所關注的許多事項已超越純技術範疇並延伸至企業管治架構、管理層問責、外判安排、供應商合約、事故通報、升級匯報程序、業務延續計劃及監管合規等方面。

近年於證監會刊物中反覆強調的主題為日益重要的第三方科技風險。許多機構高度依賴雲端服務供應商、軟件供應商及託管服務供應商，但外判並不代表監管責任將隨之轉移。證監會一再強調供應商盡職審查、接達監控、持續監察、風險集中評估及合約內訂明事故通知要求的重要性。

因此，有效的網絡韌性框架必須由管理層、合規人員、法律顧問及技術專才共同協作配合。

家族辦公室可汲取的啟示

雖然家族辦公室一般不受持牌法團所適用的同一監管框架規管，但其面對的風險往往相若。業界刊物指出，由於家族辦公室通常持有龐大資產及敏感資訊，但往往以較精簡的團隊運作且相對缺乏較制度化的網絡保安框架，其正逐漸成為網絡攻擊的目標。

此外，網絡威脅形勢亦正不斷演變，並已超越傳統黑客入侵手法。家族辦公室尤其容易受到商業電郵詐騙、付款指示詐騙、冒充專業顧問、利用人工智能技術進行的聲音模仿及深度偽造詐騙所影響。

啟示

證監會近期的網絡保安執法行動再次強調一項更廣泛的監管信息：網絡韌性現已從根本上成為企業管治議題。技術層面的控制措施固然重要，但監督機制、決策架構、事故應變準備及管理層問責同樣不可或缺。

若結合證監會有關遙距工作安排的指引、全行業網絡保安檢視，以及近期就人工智能驅動網絡威脅發出的警示一併考慮，可見其以韌性、應變能力及問責為核心的監管框架正日趨成熟。

對持牌法團、資產管理人及家族辦公室而言，關鍵問題已不再只是其系統能否完全防止每一宗網絡事故，而是其能否證明其已採取足夠及有效的措施，在按照不斷演變的監管期望下管理網絡風險、以維持足夠韌性、有效應對事故，以及妥善恢復運作。

本文討論證監會於2026年7月28日公布的一宗紀律處分行動，內容涉及在一宗勒索軟件事故後所發現的網絡保安控制缺失以及相關的證監會網絡保安指引及監管刊物。讀者如欲了解更多資料，建議參閱證監會的原有文件。

連結：https://apps.sfc.hk/edistributionWeb/api/news/openAppendix?lang=TC&refNo=26PR118&appendix=0

摘要

在 Li Yuhong v oOo Securities (HK) Group Ltd [2025] HKCFI 5270 一案中，香港原訟法庭裁定一名投資顧問／資產管理人，須就一名投資者認購非上市公司債券一事，因作出失實陳述以及多項投資前及投資後的違反責任行為而承擔法律責任。法院的裁決理據主要建基於：(i) 被告同時兼具獨家配售代理及全權資產管理人的「雙重身份」所引致的嚴重利益衝突；(ii) 關鍵證據上的重大缺失；以及尤為重要的，(iii) 被告未有傳召據稱作出關鍵陳述的客戶關係經理出庭作供。

關鍵事實

原告為一名內地投資者，擬透過資本投資者入境計劃（Capital Investment Entrant Scheme，「CIES」）申請香港居留。她最初投資於一項相對較低風險的產品。在投資前接觸期間，被告的客戶關係經理與原告一家建立互信關係，而被告其後獲委任為由 China Agroforestry Low Carbon Holding Company Limited（「發行人」）發行的總值港幣5,000萬元非上市、未獲評級債券（「有關債券」）之獨家配售代理，並就配售收取佣金。

其後，原告在被告的遊說下，將其整個 CIES 投資轉投於有關債券，投資總額為港幣1,050萬元。雙方亦訂立一份全權資產管理協議，據此被告須於認購後管理該等債券，並因而賺取額外的管理費及／或表現費。

發行人最終未能於到期時贖回債券，原告因此蒙受幾近全數損失。

法院裁定

不利推論及證據缺口

本案一項具決定性的因素，在於法院願意就缺失的證人及文件作出強烈的不利推論。被告未有傳召據稱作出關鍵陳述的前客戶關係經理出庭作供；法院形容此遺漏「至為關鍵，甚至可說是致命的」(“critical if not fatal”)，並就此作出不利推論。法院亦嚴厲批評被告未能提供任何同期內部紀錄，以支持其聲稱曾進行投資組合監察及檢討。

失實陳述：「提早贖回」及「低風險」保證

法院裁定，被告（透過其客戶關係經理）曾作出，且原告確曾依賴，以下兩項核心陳述：

1. 提早贖回：債券可於給予通知後提早贖回；及
2. 低風險／安全投資：債券出現違約的風險不高。

就「提早贖回」的陳述而言，法院認為同期製作的《客戶分析報告》(“Client Analysis Report”) 屬關鍵證據，因當中載有一項所謂的提早贖回條款，而該條款實際上並不存在於債券的條款及條件之中。法院否定該情況僅屬「文書錯誤」的說法。此外，原告於2018年12月的電郵往來中提及相同的30天通知理解，法院認為該等電郵與有關陳述一致，而被告的員工當時亦未有作出任何澄清或更正。

至於「低風險／安全投資」的陳述，法院認為，在情理上更為可能的是，一名尋求促成大型一級市場配售的客戶關係經理，會「描繪一幅樂觀前景」(“paint a rosy picture”) 以誘使投資；法院亦指出，並無任何文件證據顯示被告曾警告原告發行人屬虧損狀態。被告唯一的事實證人最終亦承認，他並無任何基礎否認該等陳述曾被作出。

法院同時接納原告的專家證據，認為有關債券屬高風險投資，且並不符合原告所主張的投資目標，並指出多項風險特徵，包括發行人財務狀況薄弱、欠缺獨立信貸評級、流動性有限，以及存在高度集中風險。

合約條文未能構成「安全港」

被告依賴配售文件中的不依賴 (non-reliance)／免責 (exemption) 條款，主張失實陳述的申索已於合約上被排除。法院在實質上否定該主張，並強調在欠缺清晰及明確措辭的情況下，欺詐性失實陳述不易被排除；而且即使如此，有關條款亦可能受法例規管。

另外，法院亦考慮到原告無法理解僅以英文撰寫的配售函件、簽署過程倉促，以及被告未有提供任何解釋或翻譯，並在該等情況下接納 non est factum 的分析，以否定被告試圖依賴的合約保障條款之效力。

投資後管理：監察失當、退出選項及利益衝突

當債券被納入全權資產管理架構後，法院裁定被告作為資產管理人／受託人，須承擔合約法、普通法、成文法及／或受信責任，包括合理謹慎及專業技能的責任、監察責任，以及避免利益衝突及不得獲利的受信責任。

就事實而言，法院裁定並無任何證據顯示被告曾作出具實質意義的監察，並認為被告要麼延誤處理、要麼完全忽視原告提出的贖回要求。法院指出，被告的員工甚至曾向發行人查詢提早贖回程序，但卻沒有任何文件證據顯示其後曾作出經審慎考慮的決策。

更為關鍵的是，法院裁定被告未有行使，甚至未有妥善考慮，合約下可供行使的退出權利，而該等權利在風險逐步浮現時，原可對原告的處境帶來實質改善。

最後，法院裁定，被告一方面以獨家配售代理身份賺取配售佣金，另一方面又以全權資產管理人身份收取管理費及／或表現費，其雙重角色在欠缺充分及知情同意的情況下，已構成並違反避免利益衝突及不得獲利的受信責任。

實務啟示

這是一宗較為罕見的案件，投資者成功就失實陳述及違反責任向其投資顧問／資產管理人提出申索。

整體而言，本判決突顯多項重要實務重點。投資顧問在兼具多重角色時，必須對潛在利益衝突保持高度警覺，亦不應假設廣泛的不依賴／免責條款，必然能在該等條款被裁定為不合理或顯失公平時提供保障。

儘管投資者申索的結果仍高度取決於個別案情，本案清楚顯示，當證據紀錄未能支持中介機構就其投資建議、持續監察及衝突管理的說法時，法院將對投資顧問及全權資產管理人施加相當嚴格的責任標準。

本所在協助投資者進行資產追討，以及協助企業管理及解決涉及金融產品、顧問關係及資產管理安排的複雜爭議方面，擁有豐富經驗。如需進一步資料，請聯絡本行的爭議解決團隊。

完整判決可於此查閱 (僅提供英文版本): legalref.judiciary.hk/lrs/common/ju/ju_frame.jsp?DIS=175819&currpage=T

於2026年1月至4月期間，香港聯合交易所有限公司（「聯交所」）刊發多項指引，內容涵蓋（其中包括）: (1)無紙證券市場（Uncertificated Securities Market,「USM」）、(2)持續公眾持股量規定的修訂，以及(3)有關核數師委任、罷免及薪酬安排。本篇文章將概述有關最新監管更新的重點內容。

（1）無紙證券市場

香港USM制度旨在廢除紙本股票，實現證券電子化持有與轉讓。此制度的核心是由核准證券登記機構運作並連接至香港中央結算有限公司的平台，投資者可直接以個人名義無紙持有訂明證券（「訂明證券」）並直接享有股東權利。聯交所及香港證券及期貨事務監察委員會預計無紙證券市場將於2026年11月16日實施（「無紙證券市場實施日期」），而相應的《上市規則》修訂待相關法例落實後正式生效。相關制度將設有為期五年的分階段強制過渡安排，以提升證券市場的運作效率及安全性。

於無紙證券市場實施日期後首次上市的發行人，其訂明證券須自上市日起以無紙化形式發行；而上市發行人的訂明證券，則須於無紙證券市場實施日期起計的五年過渡期內成為參與證券。對上市的發行人而言，上市發行人目前需完成若干準備工作，包括（但不限於）：

上市發行人宜及早與核准證券登記機構保持溝通，評估是否需要展開修訂組織章程文件等準備工作，以配合USM制度的順利過渡。

（2）有關持續公眾持股量規定的修訂

聯交所就持續公眾持股量規定對《上市規則》作出修訂，有關新修訂已於2026年1月1日起正式生效，主要就持續公眾持股量門檻、定期披露責任，以及公眾持股量不足情況下的處理機製作出優化。

新修訂在維持原有至少25%公眾持股門檻（適用於非A+H發行人）的同時，引入「替代門檻」，作為持續合規階段的另一個選擇。根據替代門檻，發行人須確保其於聯交所上市並由公眾人士持有的股份類別同時：

1. 具備不少於10億港元的公眾持股市值；及
2. 佔該股份類別已發行股份（不包括庫存股份）的至少10%（「替代門檻」）。

擬改用替代門檻的發行人，須盡快刊發公告說明理由，並披露其公眾持股量的市值及百分比。

就A+H股發行人而言，新修訂改為就其H股訂立專屬的持續公眾持股量規定。根據新規定，該等發行人須確保其在聯交所上市並由公眾人士持有的H股：

1. 達至少10億港元的市值（即(i)由公眾人士持有的H股數目×(ii)所發行的H股於過去125個交易日的成交量加權平均價)；或
2. 佔已發行H股（不包括庫存股份）總數的至少5%。

除了在年報中確認其具有足夠公眾持股量的一貫做法外，新修訂進一步對發行人引入了月報表及年報層面的持續披露責任。概括而言，有關新增披露要求包括：

在公眾持股不足的處理機制方面，新修訂取消僅因公眾持股量不足而自動停牌的做法，改為揭露及補救為本的監管模式。

就所有公眾持股量不足的發行人而言：

1. 須於知悉公眾持股量不足後的一個營業日內刊發初步公告（「初步公告」），披露其公眾持股量不合規的情況及相關資料；
2. 如初步公告中未能披露恢復公眾持股量的計劃及預期時間表，則須於其後十五個營業日內刊發後續公告，披露有關恢復計劃；；
3. 在公眾持股量不足的情況持續期間，須每月刊發更新公告，向市場匯報其公眾持股量的最新狀況，以及恢復所需公眾持股量計劃的進展；
4. 除非屬規則所列的特殊情況（例如：尋求私有化或遵循法庭命令），發行人及其每名董事及監事（如有）不得採取任何可能進一步降低公眾持股量百分比的行動。

至於公眾持股量嚴重不足(具《上市規則》第13.32F條所定義)的發行人，除須遵守上述規定外，尚須：

1. 在知悉公眾持股量出現嚴重不足後一個營業日內，刊發公告公佈有關情況；
2. 在其上市股份名稱中加入特別股份標記「-PF」，以提示市場有關潛在流動性及股權集中的風險，直至其公眾持股量恢復至合規水平；
3. 在其依據《上市規則》發出的上市文件、通函、公告或通知的封面或封面內頁以標題形式，清楚而明顯地刊載警告聲明；及
4. 若發行人未能在18個月的補救期（創業板：12個月）內恢復公眾持股量，聯交所有權將其股份除牌。

（3）有關核數師委任、罷免及薪酬的最新常問問題指引

聯交所於近期更新了《常問問題16》（編號 5），就《上市規則》附錄A1第17段所載有關核數師的委任、罷免及薪酬的核心股東保障水平作出進一步澄清。

根據相關指引，上市發行人須確保，其核數師的委任、罷免及薪酬安排，均須由大多數股東或獨立於董事會以外的其他組織批准。聯交所並確認，如上市發行人的組織章程文件允許:

• 董事會委任核數師以填補臨時空缺（並僅任職至下屆股東週年大會），以及
• 規定核數師的薪酬須經股東大會以普通決議批准或按股東決議中指明的方式釐定，

在有關安排符合適用《公司條例》（或發行人組織章程文件及其註冊地適用法律中的相應規定）的前提下，一般將被視為符合核心股東保障水平。

此外，聯交所指出，為確保核數師的委任或重新委任是在妥善程序下作出，有關通函中應披露就相關報告期的審計服務而與核數師協定的預估審計費用（可為固定金額或費用範圍），並說明其釐定基準及主要假設。

尤其重要的是，聯交所強調，上市發行人在未取得股東於股東大會上批准的情況下，要求或採取行動促使核數師辭任，並不符合《上市規則》的規定。任何要求或導致核數師辭任的行動，均須事先獲得股東批准。聯交所並提醒，向現任核數師施壓要求大幅調低既定審計費用，不論是直接施壓或借助其他核數師的較低報價，均可能被視為變相促使核數師辭任，從而構成違反相關規則。

如需就上述事宜取得進一步專業意見，歡迎隨時與我們聯繫。

在HCA 215/2025一案中，香港高等法院原訟法庭審理了證券及期貨事務監察委員會（「證監會」）根據法庭的馬雷瓦管轄權及《證券及期貨條例》（香港法例第571章）第213條提出的非正審禁制令申請。

該民事程序源於涉及上市公司 KNT Holdings Limited（”KNT“） 股份指稱的市場操縱行為。KNT 為香港聯合交易所主板上市公司。證監會指稱，多名被告人於2019年合謀進行一項「唱高散貨」（ramp‑and‑dump）計劃，人為推高 KNT 股價後拋售持股以獲取巨額利潤，從而令市場投資者蒙受重大損失。於提出民事申請時，證監會已對部分被告人根據《證券及期貨條例》第300條提出刑事檢控，有關刑事程序仍在進行中。

申請內容

證監會申請非正審禁制令，限制多名被告人處置、交易或縮減其在香港境內的資產，金額上限約為2.19 億港元。申請的目的為保存資產，以確保如最終法庭裁定有關違規行爲成立時，可用於作出賠償及回復命令。

該申請遭多方面反對，包括指稱證監會存在延誤、平行刑事程序的存在、其他執法措施的存在，以及認為有關民事程序屬不必要或重複。

主要裁斷

法庭批准有關禁制令申請。

首先，法庭認為證監會就被告人違反《證券及期貨條例》第300條提出具體可爭辯理由（good arguable case），且在未作出禁制令的情況下，確實存在被告人耗散資產的真實風險。法庭接納相關證據（包括就交易數據的專家分析）支持有關協調行為的指控，使臨時保障措施有理可據。

其次，法庭駁回有關民事程序僅屬刑事程序重複的說法。法庭明確指出，《證券及期貨條例》第213條的程序具有獨立功能，並表示：

“I am unable to agree that the present action only serves as an insurance for the criminal proceedings. This Action has its own utility and function and there is no issue of duplicity. The interlocutory injunctions sought are to ensure that any compensatory and restoration orders granted in the Action would not be rendered nugatory.” （原文）

「我無法同意本案僅是為刑事程序提供保險。本案自身具有實質效用，並不存在程序重複問題。現申請的非正審禁制令，目的在於確保如本案最終作出任何賠償或回復命令，不會淪為徒然。」(中譯)

因此，平行的刑事檢控並不會剝奪民事程序的實際效用，亦不構成壓迫。

第三，法院指出，延誤本身並非拒絕濟助的理由，關鍵仍在於是否存在資產被耗散的真實風險。鑑於指稱計劃的複雜性及調查資料的規模，法庭接納證監會就所涉時間的解釋，並認為不存在可歸責的延誤。

法院亦駁回被告人關於其他執法措施已屬足夠的陳詞。法庭指出，有關措施的目的各異，適用門檻不同，且並未涵蓋未完全披露的資產。在此情況下，根據《證券及期貨條例》第213條申請禁制令仍屬必要。

最後，法庭再次確認，證監會作為以公眾利益為目的履行法定責任的公共機構，在根據《證券及期貨條例》第213條申請禁制令時，毋須就賠償提供反承諾。

案件啟示

此案說明法庭如何處理根據《證券及期貨條例》第213條申請的早期民事資產保全濟助，即使相關刑事程序已在進行中亦然。判決確認，《證券及期貨條例》第213條下的民事執法並非刑事檢控的附屬程序，而是一項具有獨立性、並受司法監督及公法原則規範的法定機制。

對正接受調查的公司及個人而言，此案突顯監管風險可同時於多個法律程序中實現，而調查及臨時階段本身即可能帶來即時且具在法律上可強制執行的後果。

判決全文連結見此（僅提供英文版本）

2026年2月11日，保險業監管局（下稱「保監局」）就《保險業（估值及資本）規則》（第41R章）的建議修訂發佈了公眾諮詢文件（下稱「咨詢文件」）。該等修訂建議乃保監局就現行的風險為本資本制度作出檢視後提出。風險為本資本制度於2024年7月首次引入，取代以往的償付準備金風險評估方式，以與每間保險公司風險狀況更相稱的模組方式評估風險。

建議修訂旨在推動基礎設施融資，並加強香港作為全球風險管理樞紐的地位，同時維持審慎的監管保障。

建議修訂涵蓋三個部分，包括 ：

1. 對合資格基礎設施投資引入優惠資本待遇；
2. 修訂一般業務的所需資本額；及
3. 就指數型萬用壽險業務、指明穩定幣及加密資產作出技術性修訂。

完整的諮詢文件載列於保監局的網站。提交意見截止日期為 2026 年 3 月 10 日。