互联网企业香港IPO内控问题之所见

本文来自“瑞恩资本RyanbenCapital”微信公众号，最初来源为甫瀚咨询Protiviti。

拟在香港上市的企业，根据香港联交所《上市规则》第21项应用指引(简称 “PN21”))的要求，保荐人必须就首次上市的申请进行内部控制尽职审查并作出相关声明，该声明是上市申请人取得联交所上市批准的必要条件之一。

“同股不同权”之于互联网企业的意义

2017年12月15日，香港联合交易所有限公司(以下简称“联交所”)宣布正式拓宽现行上市制度，允许“同股不同权”的公司在主板上市，这是活化港股市场的一项重大改革。对于某些互联网公司，随着企业的发展不断在融资，创始人的股权正在不断地被摊薄。但其创始人团队的商业才干和控制能力决定着整个公司的未来发展，不能失去公司的话语权。此次“同股不同权”的改革恰是为科技类和互联网企业的赴港上市扫清了路障。2018年伊始，互联网企业们纷纷摩拳擦掌、跃跃欲试。

互联网企业IPO内控要点解析与洞见

互联网企业，除了“创始人团队”的显著特征外，还有一系列不同于传统企业的特征，这些特征会直接影响到该类企业上市过程中的节奏和审阅重点：

互联网企业的特征

业务及组织变化快

合规和监管要求新

涉及范围广，产品种类多

系统依赖性强，信息安全要求高

互联网企业生态环境丰富复杂，我们总结了几个共性较强的内控重点如下：

互联网资质证照管理

阐释：相关监管要求互联网企业从事某类业务须具备相关资质证照，以及网络游戏产品上线后应及时向管理部门备案。绝大部分的企业在上市前互联网证照齐全，但也有企业由于在过去某一阶段缺少某类证照或证照展期不及时而造成不合规。

观点：需特别关注企业当前是否已建立完善的《证照管理制度》，包括证照的申请、完整性检查、更新机制及台账的管理。

特别提醒：监管机构通常会要求企业披露不合规期间内的收入数据，因此提前做好财务数据的梳理很重要!

游戏备案机制

阐释：监管规定要求网络游戏产品上线后应及时向管理部门备案。而事实是，大部分游戏公司的产品备案情况没有那么乐观，在备案管理方面亦不尽完善。

观点：不仅需关注企业是否已建立相关的《网络游戏备案管理制度》，明确游戏产品备案的时间和负责人，同时还要关注是否实施了专职人员对备案结果定期的审核和监督等内控措施。

内容审核机制

阐释：内容审核是监管机构特别关注的领域之一，亦是互联网企业管理最为严格的领域之一，“快播事件”之前，无人敢于挑战这条红线。对于内容类的互联网企业(比如阅读、直播)，监管机构一般会特别关注该企业的内容审核机制，保证在线内容的合法合规性。

观点：内容类的互联网企业通常已经建立了一整套完善的《内容审核管理制度》，需特别关注企业有否建立或聘请一个具有一定规模的团队来实时进行内容审核。对于很多企业已经开始通过使用各类软件工具的识别、扫描功能同步实施内容审核的，通常也会把这部分工作纳入到企业的内控范畴内。

虚拟货币的管理

阐释：互联网企业会在网站或App上发行虚拟货币，用于购买虚拟物品和赠送。对于该类企业，监管机构一般会特别关注企业是否已经建立足够的内控措施保证虚拟货币的合规性，并根据情况要求披露。

观点：需关注虚拟货币的发行、购买、提现和系统记录准确性的管理。同时对于用户账户的虚拟货币，企业可采取“金融拉黑”的操作禁止黑名单用户的提现，亦要关注其系统操作是否得当。

信息系统管理

阐释：在绝大部分互联网企业的招股书中，均披露了企业在数据安全、数据备份、用户信息使用方面的内控措施。

观点：在该类企业信息系统审阅中，我们认为至少应涵盖信息系统政策、信息系统规划、信息安全控制、应用系统和数据库的实施及维护、系统软件/硬件及网络支持、灾难恢复及持续经营计划等方面。

收入核算及系统支持

阐释：对于传统企业，收入的数据均能追溯到明确的交付事实，或产品的出库、或服务的结案、或工程的验收。但对于互联网企业，大量的收入数据均来自于信息系统运营。收入数据的真实性和准确性，是保荐人在尽职调查中重点关注的领域。

观点：我们认为在收入流程的审阅中，不仅要从业务流程入手评估收入确认的内控措施，同时还应关注业务流程中的控制措施在系统工作流和数据流中是否得到妥善的设计和实施。

互联网金融企业反洗钱、反恐怖融资制度的建立或完善

阐释：互联网金融企业的监管要求与传统金融行业不尽相同，风险管理的手段也各有特色，在合规管理方面有着鲜明的互联网企业的特征。然而监管机构对于诸如反洗钱、反恐怖融资管理的要求也从未松懈，这些方面定会被纳入管理要求和内控审阅范畴。

观点：反洗钱、反恐怖融资工作有赖于体系化的管理机制。我们认为互联网企业可以从建立有关制度着手，包括客户身份识别、保存客户身份资料和交易记录，及报送可疑交易报告等内容，全面建立健全反洗钱、反恐怖融资管理体系。