证监会近期的纪律处分行动反映监管机构提高对网络保安管治、营运韧性及事故应变能力的要求。

传统上网络保安一直被视为由资讯科技部门负责的技术职能。然而，近期监管发展显示，此观念已不足以应对当前的监管要求。证券及期货事务监察委员会（「证监会」）日益将网络韧性视为企业管治、营运韧性及监管合规的事宜，并明确期望高级管理层积极承担管理网络保安风险的责任。

证监会近期就一宗勒索软件攻击事件对持牌法团采取纪律处分，充分说明这些监管期望如何在实际运作中体现。结合证监会更广泛的网络保安监管措施以及其就人工智能驱动网络攻击所发布的最新指引来看，一个清晰的监管趋势已逐渐形成：监管机构未来不仅关注企业是否遭受网络事故，更关注其是否已建立足够及有效的网络保安措施、是否实施适当监督，以及是否具备抵御及从网络威胁中恢复的能力。

有关启示不仅适用于持牌法团，亦适用于越来越依赖科技、遥距接达安排及第三方服务供应商的资产管理公司、家族办公室及私人财富管理架构。

近期监管警示

有关纪律处分源于一家香港持牌法团于2022年9月通报的一宗勒索软件攻击事件。根据证监会的调查结果，黑客利用该公司遥距接达环境中的漏洞，干扰其关键资讯科技基础设施，包括档案服务器、电邮服务器、网域控制器、交易应用程序服务器及会计服务器。整个恢复过程历时约三星期。

在该期间，客户无法使用该公司的互联网平台及流动交易应用程序，只能透过客户主任发出交易指示。

值得注意的是，本案的重要性恰恰在于事故并未造成许多人原本担心的后果。证监会明确指出没有证据显示发生未经授权交易、客户财务损失、客户资产被挪用、客户资料外泄或收到客户投诉。

尽管如此，证监会在认定该公司的网络保安控制措施及管治安排存在不足且未能符合适用的监管规定后，仍公开谴责该公司并处以罚款。

因此，该案件显示，即使网络事故最终未导致客户损失，监管机构仍有可能采取纪律行动。监管机构聚焦于机构是否已建立及维持足够的系统及监控措施，以及有关缺失是否导致其未能抵御事故。

证监会对韧性及控制缺失的关注

是次纪律处分的一项值得注意之处在于证监会所提出的批评不仅单纯针对发生勒索软件攻击一事，而是针对该公司缺乏网络韧性。

根据证监会的调查，该公司在网络保安控制、用户权限及特权帐户管理、操作系统、防毒保护、遥距接达安排、密码管理、网络保安意识培训及外部装置保安等方面均存在缺失。

证监会认为该等缺失既导致该公司未能抵御有关攻击，亦加剧事故所造成的影响。其中，备份及复原安排的不足尤为严重。公司的每日备份储存于外置硬盘中，但有关装置并非一直与网络断开连接，导致备份文件于事故期间一并遭受破坏。此外，公司的业务延续计划亦有不足，未能充分应对勒索软件及资料遗失等情景，严重妨碍复原工作。

因此，是次纪律处分传达出更广泛的信息：监管机构日益重视营运韧性及应变准备，而非仅着眼于技术层面的预防措施。

网络韧性成为日益重要的监管重点

近期的纪律处分不应被视作一宗独立事件。

2023年9月，证监会公布就部分持牌法团展开全行业网络保安主题检视，明确指出网络保安为其监管工作的重点范畴。该检视涵盖网络保安管治、事故汇报、云端保安、遥距接达控制、技术生命周期管理及第三方科技供应商风险等范畴。

证监会一直指出业界存在若干反复出现的弱点，包括使用生命周期已结束的软件、遥距接达控制不足、容易受仿冒诈骗攻击，以及第三方科技安排存在缺失。

值得留意的是，近期纪律处分个案所揭示的多项缺失，包括遥距接达控制、身份验证控制、修补程序管理及员工保安意识不足，均与证监会于2020年就遥距工作安排发出的通函，以及其2025年网络保安主题检视报告所强调的风险高度一致。这显示监管指引最终可能成为评估机构系统及监控措施是否足够的重要基准。

近期证监会亦警告持牌机构须关注人工智能驱动网络攻击所带来的风险。根据证监会的观察，人工智能技术的进步不但增加网络威胁的复杂性及频率，亦缩短机构就潜在漏洞作出回应的时间。就此，证监会再次强调修补程序管理、接达监控、监控、第三方监督及事故应变准备的重要性。

从上述背景观之，与其说近期的纪律处分是一宗个别的执法案件，倒不如说是证监会更广泛的监管计划的一部分，其旨在提升整个金融服务业的网络保安韧性。

为何这不仅是资讯科技部门的责任

近期证监会的多份刊物均贯彻一项主题：网络韧性本质上为管理层的责任。

证监会于2017年发布的网络保安指引及其相关刊物均要求高级管理层负责建立网络保安框架、批准相关政策、分配资源，以及监督应急及应变规划。证监会亦明确强调高级管理层（包括资讯科技主管人员）须就持牌机构所面对的网络保安风险承担最终责任。

这反映出日益普遍的监管观点：网络韧性应与营运风险、合规及业务延续安排一样被视为核心管治议题。

科技专才固然不可或缺，但监管机构所关注的许多事项已超越纯技术范畴并延伸至企业管治架构、管理层问责、外判安排、供应商合约、事故通报、升级汇报程序、业务延续计划及监管合规等方面。

近年于证监会刊物中反复强调的主题为日益重要的第三方科技风险。许多机构高度依赖云端服务供应商、软件供应商及托管服务供应商，但外判并不代表监管责任将随之转移。证监会一再强调供应商尽职审查、接达监控、持续监察、风险集中评估及合约内订明事故通知要求的重要性。

因此，有效的网络韧性框架必须由管理层、合规人员、法律顾问及技术专才共同协作配合。

家族办公室可汲取的启示

虽然家族办公室一般不受持牌法团所适用的同一监管框架规管，但其面对的风险往往相若。业界刊物指出，由于家族办公室通常持有庞大资产及敏感信息，但往往以较精简的团队运作且相对缺乏较制度化的网络保安框架，其正逐渐成为网络攻击的目标。

此外，网络威胁形势亦正不断演变，并已超越传统黑客入侵手法。家族办公室尤其容易受到商业电邮诈骗、付款指示诈骗、冒充专业顾问、利用人工智能技术进行的声音模仿及深度伪造诈骗所影响。

启示

证监会近期的网络保安执法行动再次强调一项更广泛的监管信息：网络韧性现已从根本上成为企业管治议题。技术层面的控制措施固然重要，但监督机制、决策架构、事故应变准备及管理层问责同样不可或缺。

若结合证监会有关遥距工作安排的指引、全行业网络保安检视，以及近期就人工智能驱动网络威胁发出的警示一并考虑，可见其以韧性、应变能力及问责为核心的监管框架正日趋成熟。

对持牌法团、资产管理人及家族办公室而言，关键问题已不再只是其系统能否完全防止每一宗网络事故，而是其能否证明其已采取足够及有效的措施，在按照不断演变的监管期望下管理网络风险、以维持足够韧性、有效应对事故，以及妥善恢复运作。

本文讨论证监会于2026年7月28日公布的一宗纪律处分行动，内容涉及在一宗勒索软件事故后所发现的网络保安控制缺失以及相关的证监会网络保安指引及监管刊物。读者如欲了解更多资料，建议参阅证监会的原有文件。

连结：https://apps.sfc.hk/edistributionWeb/api/news/openAppendix?lang=TC&refNo=26PR118&appendix=0

香港联合交易所有限公司（「联交所」）及/或香港证券及期货事务监察委员会（「证监会」）近期刊发多份指引文件，内容涵盖(其中包括):(1)预计将于2026年11月16日实施无纸证券市场（Uncertificated Securities Market，「USM」）监管改革，以及(2)计划于2026年第四季度推出全新的发行人通讯平台–「香港交易所联讯通」（Issuer Access Platform (IAP)，「联讯通」）。

1. 无纸证券市场（USM）制度

香港USM制度旨在废除纸本股票，实现证券电子化持有与转让。该制度的核心是由核准证券登记机构（「ASR」）透过其无纸证券登记及转让系统予以证明及转让证券，使投资者可直接以个人名义无纸持有参与证券并直接享有股东权利。

对于上市发行人而言，有关USM制度的关注重点请參阅下文：

2. 香港交易所联讯通（IAP）

联讯通为联交所新设的网上通讯平台，旨在统一处理上市发行人与联交所之间的监管文件提交、公开申报及与联交所进行双向沟通。有关联讯通的摘要，请參阅下文。

联讯通将整合多项功能。一般而言，用户可通过联讯通作出的文件提交及审批具体类别包括但不限于：

发行人的授权代表、相关员工、专业顾问、印刷商及其他经发行人指定的市场参与者，均可于联讯通注册及登记账户并处理相关事宜。

待联讯通推出后，其将与电子呈交系统（「ESS」）并行运作，并承接ESS有关电子表格的提交功能。一般而言，联讯通将成为发行人及其顾问处理《上市规则》相关合规事宜的主要平台，并透过与ESS的连接实现相关公告及通函的刊发（例如：须予公布的交易及/或关连交易等）。

联交所预计将于2026年第四季度正式推出联讯通。联讯通的登记及账户开立流程将分阶段进行：

• 顾问可于2026年7月起开立账户；及
• 发行人开立账户的流程将由2026年10月起至2027年第二季度分批进行 (发行人将在过渡至该平台前至少十二个星期收到相关通知)。

在完成过渡至联讯通后，联交所网站将推出重新设计的市场信息页面，整合并展示发行人信息，例如管理层资料、企业活动及其他重要日期等。发行人更新其纪录后，投资者将可接近实时查阅有关信息，从而进一步提升市场透明度。

如需就上述有关(1)USM監管改革，以及(2)联讯通之事宜获取进一步专业意见，欢迎随时与我们联系。

摘要

在 Li Yuhong v oOo Securities (HK) Group Ltd [2025] HKCFI 5270 一案中，香港原讼法庭裁定一名投资顾问／资产管理人，须就一名投资者认购非上市公司债券一事，因作出失实陈述以及多项投资前及投资后的违反责任行为而承担法律责任。法院的裁决理据主要建基于：(i) 被告同时兼具独家配售代理及全权资产管理人的「双重身份」所引致的严重利益冲突；(ii) 关键证据上的重大缺失；以及尤为重要的，(iii) 被告未有传召据称作出关键陈述的客户关系经理出庭作供。

关键事实

原告为一名内地投资者，拟透过资本投资者入境计划（Capital Investment Entrant Scheme，「CIES」）申请香港居留。她最初投资于一项相对较低风险的产品。在投资前接触期间，被告的客户关系经理与原告一家建立互信关系，而被告其后获委任为由 China Agroforestry Low Carbon Holding Company Limited（「发行人」）发行的总值港币5,000万元非上市、未获评级债券（「有关债券」）之独家配售代理，并就配售收取佣金。

其后，原告在被告的游说下，将其整个 CIES 投资转投于有关债券，投资总额为港币1,050万元。双方亦订立一份全权资产管理协议，据此被告须于认购后管理该等债券，并因而赚取额外的管理费及／或表现费。

发行人最终未能于到期时赎回债券，原告因此蒙受几近全数损失。

法院裁定

不利推论及证据缺口

本案一项具决定性的因素，在于法院愿意就缺失的证人及文件作出强烈的不利推论。被告未有传召据称作出关键陈述的前客户关系经理出庭作供；法院形容此遗漏「至为关键，甚至可说是致命的」(“critical if not fatal”)，并就此作出不利推论。法院亦严厉批评被告未能提供任何同期内部纪录，以支持其声称曾进行投资组合监察及检讨。

失实陈述：「提早赎回」及「低风险」保证

法院裁定，被告（透过其客户关系经理）曾作出，且原告确曾依赖，以下两项核心陈述：

1. 提早赎回：债券可于给予通知后提早赎回；及
2. 低风险／安全投资：债券出现违约的风险不高。

就「提早赎回」的陈述而言，法院认为同期制作的《客户分析报告》(“Client Analysis Report”) 属关键证据，因当中载有一项所谓的提早赎回条款，而该条款实际上并不存在于债券的条款及条件之中。法院否定该情况仅属「文书错误」的说法。此外，原告于2018年12月的电邮往来中提及相同的30天通知理解，法院认为该等电邮与有关陈述一致，而被告的员工当时亦未有作出任何澄清或更正。

至于「低风险／安全投资」的陈述，法院认为，在情理上更为可能的是，一名寻求促成大型一级市场配售的客户关系经理，会「描绘一幅乐观前景」(“paint a rosy picture”) 以诱使投资；法院亦指出，并无任何文件证据显示被告曾警告原告发行人属亏损状态。被告唯一的事实证人最终亦承认，他并无任何基础否认该等陈述曾被作出。

法院同时接纳原告的专家证据，认为有关债券属高风险投资，且并不符合原告所主张的投资目标，并指出多项风险特征，包括发行人财务状况薄弱、欠缺独立信贷评级、流动性有限，以及存在高度集中风险。

合约条文未能构成「安全港」

被告依赖配售文件中的不依赖 (non-reliance)／免责 (exemption) 条款，主张失实陈述的申索已于合约上被排除。法院在实质上否定该主张，并强调在欠缺清晰及明确措辞的情况下，欺诈性失实陈述不易被排除；而且即使如此，有关条款亦可能受法例规管。

另外，法院亦考虑到原告无法理解仅以英文撰写的配售函件、签署过程仓促，以及被告未有提供任何解释或翻译，并在该等情况下接纳 non est factum 的分析，以否定被告试图依赖的合约保障条款之效力。

投资后管理：监察失当、退出选项及利益冲突

当债券被纳入全权资产管理架构后，法院裁定被告作为资产管理人／受托人，须承担合约法、普通法、成文法及／或受信责任，包括合理谨慎及专业技能的责任、监察责任，以及避免利益冲突及不得获利的受信责任。

就事实而言，法院裁定并无任何证据显示被告曾作出具实质意义的监察，并认为被告要么延误处理、要么完全忽视原告提出的赎回要求。法院指出，被告的员工甚至曾向发行人查询提早赎回程序，但却没有任何文件证据显示其后曾作出经审慎考虑的决策。

更为关键的是，法院裁定被告未有行使，甚至未有妥善考虑，合约下可供行使的退出权利，而该等权利在风险逐步浮现时，原可对原告的处境带来实质改善。

最后，法院裁定，被告一方面以独家配售代理身份赚取配售佣金，另一方面又以全权资产管理人身份收取管理费及／或表现费，其双重角色在欠缺充分及知情同意的情况下，已构成并违反避免利益冲突及不得获利的受信责任。

实务启示

这是一宗较为罕见的案件，投资者成功就失实陈述及违反责任向其投资顾问／资产管理人提出申索。

整体而言，本判决突显多项重要实务重点。投资顾问在兼具多重角色时，必须对潜在利益冲突保持高度警觉，亦不应假设广泛的不依赖／免责条款，必然能在该等条款被裁定为不合理或显失公平时提供保障。

尽管投资者申索的结果仍高度取决于个别案情，本案清楚显示，当证据纪录未能支持中介机构就其投资建议、持续监察及冲突管理的说法时，法院将对投资顾问及全权资产管理人施加相当严格的责任标准。

本所在协助投资者进行资产追讨，以及协助企业管理及解决涉及金融产品、顾问关系及资产管理安排的复杂争议方面，拥有丰富经验。如需进一步数据，请联络本行的争议解决团队。

完整判决可于此查阅 (仅提供英文版本): legalref.judiciary.hk/lrs/common/ju/ju_frame.jsp?DIS=175819&currpage=T

于2026年1月至4月期间，香港联合交易所有限公司（「联交所」）刊发多项指引，内容涵盖（其中包括）: (1)无纸证券市场（Uncertificated Securities Market，「USM」）、(2)持续公众持股量规定的修订，以及(3)有关核数师委任、罢免及薪酬安排。本篇文章将概述有关最新监管更新的重点内容。

（1）无纸证券市场

香港USM制度旨在废除纸本股票，实现证券电子化持有与转让。该制度的核心是由核准证券登记机构运作并连接至香港中央结算有限公司的平台，投资者可直接以个人名义无纸持有订明证券（「订明证券」）并直接享有股东权利。联交所及香港证券及期货事务监察委员会预计无纸证券市场将于 2026年11月16日实施（「无纸证券市场实施日期」），而相应的《上市规则》修订待相关法例落实后正式生效。有关制度将设有为期五年的分阶段强制过渡安排，以提升证券市场的运作效率及安全性。

于无纸证券市场实施日期后首次上市的发行人，其订明证券须自上市日起以无纸化形式发行；而上市发行人的订明证券，则须于无纸证券市场实施日期起计的五年过渡期内成为参与证券。对上市的发行人而言，上市发行人目前需完成若干准备工作，其中包括（但不限于）：

上市发行人宜及早与核准证券登记机构保持沟通，评估是否需要展开修订组织章程文件等准备工作，以配合USM制度的顺利过渡。

（2）有关持续公众持股量规定的修订

联交所就持续公众持股量规定对《上市规则》作出修订，有关新修订已于2026年1月1日起正式生效，主要就持续公众持股量门槛、定期披露责任，以及公众持股量不足情况下的处理机制作出优化。

新修订在维持原有至少25%公众持股量门槛（适用于非A+H发行人）的同时，引入「替代门槛」，作为持续合规阶段的另一选择。根据替代门槛，发行人须确保其于联交所上市并由公众人士持有的股份类别同时：

1. 具备不少于10亿港元的公众持股市值；及
2. 占该股份类别已发行股份（不包括库存股份）的至少10%（「替代门槛」）。

拟改用替代门槛的发行人，须尽快刊发公告说明理由，并披露其公众持股量的市值及百分比。

就A+H股发行人而言，新修订改为就其H股订立专属的持续公众持股量规定。根据新规定，该等发行人须确保其在联交所上市并由公众人士持有的H股：

1. 达至少10亿港元的市值（即(i)由公众人士持有的H股数目×(ii)所发行的H股于过去125个交易日的成交量加权平均价)；或
2. 占已发行H股（不包括库存股份）总数的至少5%。

除了在年报中确认其具有足够公众持股量的一贯做法外，新修订进一步对发行人引入了月报表及年报层面的持续披露责任。概括而言，有关新增披露要求包括：

在公众持股量不足的处理机制方面，新修订取消仅因公众持股量不足而自动停牌的做法，改以披露及补救为本的监管模式。

就所有公众持股量不足的发行人而言：

1. 须于知悉公众持股量不足后的一个营业日内刊发初步公告（「初步公告」），披露其公众持股量不合规的情况及相关资料；
2. 如初步公告中未能披露恢复公众持股量的计划及预期时间表，则须于其后十五个营业日内刊发后续公告，披露有关恢复计划；
3. 在公众持股量不足的情况持续期间，须每月刊发更新公告，向市场汇报其公众持股量的最新状况，以及恢复所需公众持股量计划的进展；
4. 除非属规则所列的特殊情况（例如：寻求私有化或遵循法庭命令），发行人及其每名董事及监事（如有）不得采取任何可能进一步降低公众持股量百分比的行动。

至于公众持股量严重不足(具《上市规则》第13.32F条所定义)的发行人，除须遵守上述规定外，尚须：

1. 在知悉公众持股量出现严重不足后一个营业日内，刊发公告公布有关情况；
2. 在其上市股份名称中加入特别股份标记「-PF」，以提示市场有关潜在流动性及股权集中的风险，直至其公众持股量恢复至合规水平；
3. 在其根据《上市规则》发出的上市文件、通函、公告或通知的封面或封面内页以标题形式，清楚而明显地刊载警告声明；及
4. 若发行人未能在18个月的补救期（创业板：12个月）内恢复公众持股量，联交所有权将其股份除牌。

（3）有关核数师委任、罢免及薪酬的最新常问问题指引

联交所于近期更新了《常问问题16》（编号 5），就《上市规则》附录A1第17段所载有关核数师的委任、罢免及薪酬的核心股东保障水平作出进一步澄清。

根据有关指引，上市发行人须确保，其核数师的委任、罢免及薪酬安排，均须由大多数股东或独立于董事会以外的其他组织批准。联交所并确认，如上市发行人的组织章程文件允许:

• 董事会委任核数师以填补临时空缺（并仅任职至下届股东周年大会），以及
• 规定核数师的薪酬须经股东大会以普通决议批准或按股东决议中指明的方式厘定，

在有关安排符合适用《公司条例》（或发行人组织章程文件及其注册地适用法律中的相应规定）的前提下，一般将被视为符合核心股东保障水平。

此外，联交所指出，为确保核数师的委任或重新委任是在妥善程序下作出，有关通函中应披露就相关报告期的审计服务而与核数师协定的预估审计费用（可为固定金额或费用范围），并说明其厘定基准及主要假设。

尤为重要的是，联交所强调，上市发行人在未取得股东于股东大会上批准的情况下，要求或采取行动促使核数师辞任，并不符合《上市规则》的规定。任何要求或导致核数师辞任的行动，均须事先获得股东批准。联交所并提醒，向现任核数师施压要求大幅调低既定审计费用，不论是直接施压或借助其他核数师的较低报价，均可能被视为变相促使核数师辞任，从而构成违反相关规则。

如需就上述事宜获取进一步专业意见，欢迎随时与我们联系。

在HCA 215/2025一案中，香港高等法院原讼法庭审理了证券及期货事务监察委员会（「证监会」）根据法庭的马雷瓦管辖权及《证券及期货条例》（香港法例第571章）第213条提出的非正审禁制令申请。

该民事程序源于涉及上市公司 KNT Holdings Limited（”KNT“）股份指称的市场操纵行为。KNT 为香港联合交易所主板上市公司。证监会指称，多名被告人于2019年合谋进行一项「唱高散货」（ramp and dump）计划，人为推高 KNT 股价后抛售持股以获取巨额利润，从而令市场投资者蒙受重大损失。于提出民事申请时，证监会已对部分被告人根据《证券及期货条例》第300条提出刑事检控，有关刑事程序仍在进行中。

申请内容

证监会申请非正审禁制令，限制多名被告人处置、交易或缩减其在香港境内的资产，金额上限约为2.19亿港元。申请的目的为保存资产，以确保如最终法庭裁定有关违规行为成立时，可用于作出赔偿及回复命令。

该申请遭多方面反对，包括指称证监会存在延误、平行刑事程序的存在、其他执法措施的存在，以及认为有关民事程序属不必要或重复。

主要裁断

法庭批准有关禁制令申请。

首先，法庭认为证监会就被告人违反《证券及期货条例》第300条提出具体可争辩理由（good arguable case），且在未作出禁制令的情况下，确实存在被告人耗散资产的真实风险。法庭接纳相关证据（包括就交易数据的专家分析）支持有关协调行为的指控，使临时保障措施有理可据。

其次，法庭驳回有关民事程序仅属刑事程序重复的说法。法庭明确指出，《证券及期货条例》第213条的程序具有独立功能，并表示：

“I am unable to agree that the present action only serves as an insurance for the criminal proceedings. This Action has its own utility and function and there is no issue of duplicity. The interlocutory injunctions sought are to ensure that any compensatory and restoration orders granted in the Action would not be rendered nugatory.” （原文）

「我无法同意本案仅是为刑事程序提供保险。本案自身具有实质效用，并不存在程序重复问题。现申请的非正审禁制令，目的在于确保如本案最终作出任何赔偿或回复命令，不会沦为徒然。」（中译）

因此，平行的刑事检控并不会剥夺民事程序的实际效用，亦不构成压迫。

第三，法院指出，延误本身并非拒绝济助的理由，关键仍在于是否存在资产被耗散的真实风险。鉴于指称计划的复杂性及调查资料的规模，法庭接纳证监会就所涉时间的解释，并认为不存在可归责的延误。

法院亦驳回被告人关于其他执法措施已属足够的陈词。法庭指出，有关措施的目的各异，适用门槛不同，且并未涵盖未完全披露的资产。在此情况下，根据《证券及期货条例》第213条申请禁制令仍属必要。

最后，法庭再次确认，证监会作为以公众利益为目的履行法定责任的公共机构，在根据《证券及期货条例》第213条申请禁制令时，毋须就赔偿提供反承诺。

案件启示

此案说明法庭如何处理根据《证券及期货条例》第213条申请的早期民事资产保全济助，即使相关刑事程序已在进行中亦然。判决确认，《证券及期货条例》第213条下的民事执法并非刑事检控的附属程序，而是一项具有独立性、并受司法监督及公法原则规范的法定机制。

对正接受调查的公司及个人而言，此案突显监管风险可同时于多个法律程序中实现，而调查及临时阶段本身即可能带来即时且具在法律上可强制执行的后果。

判决全文连结见此（仅提供英文版本）