“人工智能合同往往充当将治理期望转化为运营义务的机制。”

“采购人工智能已不再仅仅是为取得技术，它更关乎维护战略灵活性，并避免过度依赖单一供应商。”

随着企业人工智能从试点项目迈向作为关键业务的基础设施，人工智能的采购合同正逐渐成为人工智能治理的主要机制。董事会、高级管理层及采购团队在采购第三方人工智能服务时往往将焦点放在数据所有权之上，但所有权仅属起点。更为关键的问题在于：所提供的信息在合同终止后可如何被使用；当提供信息的机构与人工智能服务供应商之间的关系出现变动时，由谁掌控由此产生的能力；以及当人工智能系统产生非预期结果时，责任应由谁承担。

本文探讨企业人工智能合同如何在各方之间分配价值、控制及责任，并为机构提供一个实用的审查框架以检视现有或拟议的人工智能合同。

全文可点击此处查阅

引言

市场失当行为审裁处（「审裁处」）裁定廸生创建（国际）有限公司[1] （「公司」）创办人兼前集团执行主席潘廸生爵士及其投资控股公司 Equity Advantage Limited（「Equity Advantage」），在持有未公开内幕消息期间购入公司股份，构成内幕交易。该等内幕消息涉及一项为公司带来约11.5亿港元现金收益的交易。

审裁处亦裁定，公司因潘廸生爵士蓄意不向公司董事会及其他高级管理人员披露有关内幕消息，违反《證券及期货条例》（香港法例第571章）（「《證券及期货条例》」）第307B条下的内幕消息披露规定。

背景：未披露投资及 PayPal 以 40 亿美元收购 Honey

本案源於PayPal Holdings, Inc.於2019年11月公布以约40亿美元收购Honey Science Corporation（「Honey」）。当时，公司持有Honey约3.73%的股权，但该项投资并未向公众披露，而仅於公司的财务报表中以「其他金融资产」项下的「非上市权益證券」列示，并未披露Honey为被投资公司。

收购项目完成後，公司有权收取约11.5亿港元现金，并录得约9.287亿港元收益。审裁处认为，有关收购项目及其将为公司带来的收益对股价具有高度敏感性，因此构成《證券及期货条例》下的内幕消息。

在掌握内幕消息情况下进行交易及延迟披露

儘管潘迪生爵士於2019年11月已知悉该项拟议收购，但有关内幕消息并未即时向公司董事会或高级管理层披露，市场亦直至2020年1月方获告知相关资料。

於公司禁售期在2019年11月28日届满後，潘廸生爵士透过 Equity Advantage 开始增持公司股份。在2019年11月28日至12月19日期间，他在掌握有关内幕消息的情况下，於13个交易日内共购入2,756,500股公司股份。

公司股份於2020年1月8日暂停买卖，以待就完成收购Honey一事刊发公告。公司於2020年1月10日复牌後，股价急升，并收报每股5.00港元，较停牌前的收市价上升33.3%。

审裁处裁定，公司没有在合理地切实可行的範围内尽快披露有关内幕消息，违反《證券及期货条例》第307B条所订的披露责任，乃直接归咎於潘廸生爵士蓄意不向董事会及其他相关人员披露有关消息。然而，审裁处并无裁定潘冠达须就廸生创建违反内幕消息披露规定负责。审裁处认为，潘冠达有合理理由倚赖潘廸生爵士及其他高级管理层评估有关股价敏感资料的重要性，以及决定是否需要作出披露。

审裁处将於日後的聆讯中，就潘迪生爵士、Equity Advantage 及该公司所应受的制裁及相应命令作出裁决。

主要启示

本案就内幕交易、内幕消息披露规定及上市发行人董事的责任提供了多项值得关注的启示。

• 禁售期届满并不代表可以在掌握内幕消息时买卖股份

根据《上市规则》，例行禁售期的届满并不构成《證券及期货条例》第270条下内幕交易指控的抗辩理由。董事及其他有关人士即使可根据公司的内部證券交易政策或《上市规则》进行交易，若仍掌握未公开的内幕消息，便不得买卖有关上市发行人的證券。

• 向董事会隐瞒内幕消息或导致公司违反披露规定

本案说明，上市发行人的高级人员在执行职务过程中知悉的内幕消息，可能被归属於该上市发行人。控股股东、创办人或主席等高级管理层成员不能透过向其他董事隐瞒重大资料来规避披露责任。此类行为除可能令有关人士承担个人责任外，亦可能导致上市发行人违反《證券及期货条例》下的内幕消息披露规定。

• 合理倚赖他人评估内幕消息或有助董事免责

本案亦阐明了《證券及期货条例》第307G条的运作原则。如董事本身没有进行内幕交易，亦没有参与延迟披露或隐瞒内幕消息的决定，则在合理地倚赖较资深管理层或专业顾问评估有关资料的重要性及处理披露事宜的情况下，未必会被裁定须承担个人责任。然而，有关依赖是否合理，仍须视乎个别个案的具体事实及情况而定。

• 对重大投资作概括披露或可能引起监管关注

在本案中，廸生创建於 Honey 的投资在其财务报表中仅入帐为「其他金融资产」项下的「非上市权益證券」，而没有提述 Honey。因此，市场无法得悉廸生创建持有 Honey 股权，亦未能评估该项投资可能为公司带来的价值。相反，潘廸生爵士因知悉 Honey 的身份及其发展前景，较一般投资者更能準确评估廸生创建股份的价值。

本案提醒上市发行人考虑，在定期财务报告中对重大投资仅作概括或汇总披露，会否令部分内部人士较公众投资者掌握更多重要资料，从而引起监管关注。

• 商业理由通常不足以作为内幕交易抗辩

即使有关交易具有真实的商业目的，单凭该理由一般不足以为在掌握内幕消息期间进行交易的人士提供抗辩。

在部分主要司法管辖区，一旦證明有关人士於交易时掌握内幕消息，其声称的商业动机通常并不重要。香港近年的判例亦反映出相同趋势。在 Securities and Futures Commission v Yiu Hoi Ying Charles and Others (2018) 21 HKCFAR 475 一案中，终审法院收窄了《證券及期货条例》第271(3)条下「无辜目的」抗辩的适用範围，裁定只要有关人士因掌握未披露的股价敏感资料而作出交易决定，即可被视为已使用该等资料，即使其同时具有其他商业动机亦然。

审裁处拒绝接纳潘廸生爵士声称其购入股份仅为增加其於一家被低估公司的持股比例，而非因掌握有关 Honey 收购项目的内幕消息，与上述较严格的司法标準一致，亦显示单纯声称交易具有商业理由，将难以免除内幕交易责任。

有关本案的更多详情，请参阅證券及期货事务监察委员会於2024年10月15日刊发的新闻稿及於2026年7月31日刊发的执法消息。

[1] 廸生创建（国际）有限公司的股份（股份代号：0113）现时在香港联合交易所有限公司主板上市。

「企业人工智能的隐性拥有权问题并非单纯靠解答『谁拥有或控制数据』就能解决。问题的关键在于谁能从中获益。」

随着各机构在企业人工智能领域加大投资，许多人认为保留对数据的权利与控制，就等同于保留该数据所创造的价值，但人工智能正在挑战这一假设。人工智能所创造的价值不单取决于底层信息这单一因素，还涉及模型架构、关键基础设施和持续的优化等因素。

从企业人工智能获益的一方未必是承担相关风险的一方。董事会和机构的高层管理人员应理解价值、控制和责任是如何在人工智能生态系统中分配。

全文可点击此处查阅

香港高等法院原讼法庭认定，中国糖果控股有限公司（「该公司」）[1]的三名前高级管理人员（通称为「三名答辩人」）透过伪造会计记录和银行文件虚增公司现金余额并掩饰该公司的真实财务状况，对三人下达为期13年的取消资格令。

法院认为，该公司报告的现金及银行结余被虚增了约3800万元人民币（截至2016年6月30日）至4300万元人民币（截至2016年12月31日），占该公司现金结余的97%。经审理，法院认为证据确凿，并认定该虚增行为系蓄意为之，而非单纯的会计错误。三名答辩人的犯案手段包括伪造凭证、银行单据及银行对账单，其中部分伪造的财务记录甚至被提供给该公司的审计师。

三名答辩人均未参与诉讼程序，也未出庭应诉。尽管法院指出证券及期货事务监察委员会（「证监会」）所提供的书面证据已为其主张提供了压倒性的支持，法院亦准备好对三名答辩人的缺席行为作出不利推断。

在决定取消资格令的适当期限时，法院指出：

“What we are concerned with in this case is a scheme which was designed to circumvent ordinary oversight of auditing. Ordinarily, external auditors act as gatekeepers by independently evaluating and ensuring the accuracy of a company’s financial information. In this case, however, the Overstatements were not identified by [the auditor] precisely because it, too, was provided with falsified financial information by the Respondents on at least two occasions.” （原文）

「本案涉及一项旨在规避常规审计监督的计划。通常情况下，外部审计师会透过独立评估和确保公司财务资料的准确性来发挥『守门人』的作用。然而，在本案中，[审计师]之所以未能发现该虚增数字，恰恰是因为其至少两次从答辩人处获取经伪造的财务资料。」（译文）

判决要点

从本裁决可见，证监会高度重视财务报告的完整性、审计师的守门人职能以及董事问责制。

首先，证监会会继续积极根据《证券及期货条例》（香港法律第 571 章）第 214 条对涉嫌参与财务报告相关不当行为的高级管理人员提出取消资格令呈请。

其次，企图操纵或破坏审计程序的行为很可能被法院视为严重的加重刑罚因素。本判决表明了向审计师、监管机构及市场提供的真实、完整的财务信息的重要性。

第三，本案展示了以书面文件为主导的监管调查的有效性。证监会能够利用独立获取的银行记录来核查该公司会计记录和审计材料的准确性。本裁决表明，现代监管调查在很大程度上依赖书面证据和第三方记录，监管机构能够利用独立文件来源重构交易过程，并对管理层的解释提出质疑。

判决书全文：HCMP 572/2022

[1] 该公司在2015年11月11日于香港联合交易所有限公司创业板上市（前股份代号：8182），其股份的上市地位自2019年12月31日起被取消。

证监会近期的纪律处分行动反映监管机构提高对网络保安管治、营运韧性及事故应变能力的要求。

传统上网络保安一直被视为由资讯科技部门负责的技术职能。然而，近期监管发展显示，此观念已不足以应对当前的监管要求。证券及期货事务监察委员会（「证监会」）日益将网络韧性视为企业管治、营运韧性及监管合规的事宜，并明确期望高级管理层积极承担管理网络保安风险的责任。

证监会近期就一宗勒索软件攻击事件对持牌法团采取纪律处分，充分说明这些监管期望如何在实际运作中体现。结合证监会更广泛的网络保安监管措施以及其就人工智能驱动网络攻击所发布的最新指引来看，一个清晰的监管趋势已逐渐形成：监管机构未来不仅关注企业是否遭受网络事故，更关注其是否已建立足够及有效的网络保安措施、是否实施适当监督，以及是否具备抵御及从网络威胁中恢复的能力。

有关启示不仅适用于持牌法团，亦适用于越来越依赖科技、遥距接达安排及第三方服务供应商的资产管理公司、家族办公室及私人财富管理架构。

近期监管警示

有关纪律处分源于一家香港持牌法团于2022年9月通报的一宗勒索软件攻击事件。根据证监会的调查结果，黑客利用该公司遥距接达环境中的漏洞，干扰其关键资讯科技基础设施，包括档案服务器、电邮服务器、网域控制器、交易应用程序服务器及会计服务器。整个恢复过程历时约三星期。

在该期间，客户无法使用该公司的互联网平台及流动交易应用程序，只能透过客户主任发出交易指示。

值得注意的是，本案的重要性恰恰在于事故并未造成许多人原本担心的后果。证监会明确指出没有证据显示发生未经授权交易、客户财务损失、客户资产被挪用、客户资料外泄或收到客户投诉。

尽管如此，证监会在认定该公司的网络保安控制措施及管治安排存在不足且未能符合适用的监管规定后，仍公开谴责该公司并处以罚款。

因此，该案件显示，即使网络事故最终未导致客户损失，监管机构仍有可能采取纪律行动。监管机构聚焦于机构是否已建立及维持足够的系统及监控措施，以及有关缺失是否导致其未能抵御事故。

证监会对韧性及控制缺失的关注

是次纪律处分的一项值得注意之处在于证监会所提出的批评不仅单纯针对发生勒索软件攻击一事，而是针对该公司缺乏网络韧性。

根据证监会的调查，该公司在网络保安控制、用户权限及特权帐户管理、操作系统、防毒保护、遥距接达安排、密码管理、网络保安意识培训及外部装置保安等方面均存在缺失。

证监会认为该等缺失既导致该公司未能抵御有关攻击，亦加剧事故所造成的影响。其中，备份及复原安排的不足尤为严重。公司的每日备份储存于外置硬盘中，但有关装置并非一直与网络断开连接，导致备份文件于事故期间一并遭受破坏。此外，公司的业务延续计划亦有不足，未能充分应对勒索软件及资料遗失等情景，严重妨碍复原工作。

因此，是次纪律处分传达出更广泛的信息：监管机构日益重视营运韧性及应变准备，而非仅着眼于技术层面的预防措施。

网络韧性成为日益重要的监管重点

近期的纪律处分不应被视作一宗独立事件。

2023年9月，证监会公布就部分持牌法团展开全行业网络保安主题检视，明确指出网络保安为其监管工作的重点范畴。该检视涵盖网络保安管治、事故汇报、云端保安、遥距接达控制、技术生命周期管理及第三方科技供应商风险等范畴。

证监会一直指出业界存在若干反复出现的弱点，包括使用生命周期已结束的软件、遥距接达控制不足、容易受仿冒诈骗攻击，以及第三方科技安排存在缺失。

值得留意的是，近期纪律处分个案所揭示的多项缺失，包括遥距接达控制、身份验证控制、修补程序管理及员工保安意识不足，均与证监会于2020年就遥距工作安排发出的通函，以及其2025年网络保安主题检视报告所强调的风险高度一致。这显示监管指引最终可能成为评估机构系统及监控措施是否足够的重要基准。

近期证监会亦警告持牌机构须关注人工智能驱动网络攻击所带来的风险。根据证监会的观察，人工智能技术的进步不但增加网络威胁的复杂性及频率，亦缩短机构就潜在漏洞作出回应的时间。就此，证监会再次强调修补程序管理、接达监控、监控、第三方监督及事故应变准备的重要性。

从上述背景观之，与其说近期的纪律处分是一宗个别的执法案件，倒不如说是证监会更广泛的监管计划的一部分，其旨在提升整个金融服务业的网络保安韧性。

为何这不仅是资讯科技部门的责任

近期证监会的多份刊物均贯彻一项主题：网络韧性本质上为管理层的责任。

证监会于2017年发布的网络保安指引及其相关刊物均要求高级管理层负责建立网络保安框架、批准相关政策、分配资源，以及监督应急及应变规划。证监会亦明确强调高级管理层（包括资讯科技主管人员）须就持牌机构所面对的网络保安风险承担最终责任。

这反映出日益普遍的监管观点：网络韧性应与营运风险、合规及业务延续安排一样被视为核心管治议题。

科技专才固然不可或缺，但监管机构所关注的许多事项已超越纯技术范畴并延伸至企业管治架构、管理层问责、外判安排、供应商合约、事故通报、升级汇报程序、业务延续计划及监管合规等方面。

近年于证监会刊物中反复强调的主题为日益重要的第三方科技风险。许多机构高度依赖云端服务供应商、软件供应商及托管服务供应商，但外判并不代表监管责任将随之转移。证监会一再强调供应商尽职审查、接达监控、持续监察、风险集中评估及合约内订明事故通知要求的重要性。

因此，有效的网络韧性框架必须由管理层、合规人员、法律顾问及技术专才共同协作配合。

家族办公室可汲取的启示

虽然家族办公室一般不受持牌法团所适用的同一监管框架规管，但其面对的风险往往相若。业界刊物指出，由于家族办公室通常持有庞大资产及敏感信息，但往往以较精简的团队运作且相对缺乏较制度化的网络保安框架，其正逐渐成为网络攻击的目标。

此外，网络威胁形势亦正不断演变，并已超越传统黑客入侵手法。家族办公室尤其容易受到商业电邮诈骗、付款指示诈骗、冒充专业顾问、利用人工智能技术进行的声音模仿及深度伪造诈骗所影响。

启示

证监会近期的网络保安执法行动再次强调一项更广泛的监管信息：网络韧性现已从根本上成为企业管治议题。技术层面的控制措施固然重要，但监督机制、决策架构、事故应变准备及管理层问责同样不可或缺。

若结合证监会有关遥距工作安排的指引、全行业网络保安检视，以及近期就人工智能驱动网络威胁发出的警示一并考虑，可见其以韧性、应变能力及问责为核心的监管框架正日趋成熟。

对持牌法团、资产管理人及家族办公室而言，关键问题已不再只是其系统能否完全防止每一宗网络事故，而是其能否证明其已采取足够及有效的措施，在按照不断演变的监管期望下管理网络风险、以维持足够韧性、有效应对事故，以及妥善恢复运作。

本文讨论证监会于2026年7月28日公布的一宗纪律处分行动，内容涉及在一宗勒索软件事故后所发现的网络保安控制缺失以及相关的证监会网络保安指引及监管刊物。读者如欲了解更多资料，建议参阅证监会的原有文件。

连结：https://apps.sfc.hk/edistributionWeb/api/news/openAppendix?lang=TC&refNo=26PR118&appendix=0