企业报道

第一百八十二弹:赴港上市企业需关注的通用数据合规问题

 作者：本站编辑  2026-01-26 03:28:50  0

根据2025年度的《境外发行上市备案补充材料要求公示》，证监会对于拟在境外上市企业的数据合规问题关注度逐步攀升，重点关注问题如下：

从审查实践看来，证监会采取“实质重于形式”原则，既关注数据全生命周期管理的合规性，又强调行业差异化监管要求，同时要求上市前后合规措施的延续性、动态监管。

根据2023年11月香港联交所刊发的《新上市申请人指南》，结合港股IPO案例分析，在港股IPO企业上市文件中所需披露的数据合规相关内容主要集中在以下几个方面：

1. 风险因素

披露要求	数据合规风险	应达到的合规标准	合规建议
应紧扣企业核心业务，详细披露可能造成重大影响的数据合规风险，并量化说明潜在影响程度，即使发生概率较低。	数据风险管理	高管对数据风险管理的监管	清晰界定高级管理层在监督数据风险管理方面的责任及问责性。	（1）指定成立一个由资讯保安或数据管理、合规、法律及运作风险职能的代表所组成的数据管治委员会。（2）该委员会负责监督在数据风险管理框架及有关识别和处理数据风险事宜的监控措施方面的实施。（3）该委员会获提供有关重大数据相关事宜的管理层报告，并定期在会议上就此进行讨论。
数据风险事故处理	制定结构完善的规程及时限，以便及时处理并向高管和有关当局（如适用）汇报数据风险事故。	（1）可采用中央系统，以系统的方式追踪就数据风险事故所采取对策的进度及实施补救措施。（2）对员工进行培训和年度演练，模拟发生数据风险事故情况及应对处理。
数据全生命周期管控	数据收集	应从可靠的来源收集数据，并采取适当步骤，以确保所收集数据的质量。	（1）在收集数据作特定商业用途一般会遵守《私隐条例》及其他适用的法律和规例。（2）在获取任何客户数据前，会事先取得客户的同意，及向他们披露收集数据的目的。设法从经认可且可靠的来源（例如商业数据库）取得市场数据等其他类别的数据。（3）为确保数据质量而采用的一些常见方法包括：评估数据来源的可靠性（例如对数据提供者进行尽职审查），及进行以风险为本的数据验证（例如核实关键数据的准确性和完整性）。
数据分类	应按照数据的敏感程度，将所处理的数据合理地分类，并实施相称的保护措施。	（1）制定按照数据的敏感程度和相关风险将数据分类的流程。常见的数据类别包括“高度机密”、“机密”、“内部”及“公开”。（2）数据分类旨在企业能够便利地以风险为本的考虑因素而制定对应的监控措施。一般而言，企业对机密数据将采取更严格的保障措施，例如：数据加密、数据屏蔽等。（3）更进一步实施系统管控，以保护和保障在不同端点、网络和通讯渠道（例如：电子邮件和共用磁碟）的数据。
数据使用	应确保敏感数据只可由获授权人士访问、使用或更改。	（1）为了避免数据遭未经授权使用，企业会依照机密类别，按需向其员工授予获取数据的相应权限，并实施数据获取、访问监控和监察机制。（2）备存各部门存入和取用机密资料的记录并由指定部门进行审查，以识别是否有任何不当处理机密数据的情况。
数据存储	应订立数据存储及备份政策，以确保在指定的期限内妥善保管及提供数据，藉此遵从有关备存记录的监管规定和满足自身业务需要。	（1）一般而言，企业为不同种类的数据（例如：个人身份资料和交易数据）设定最短的保留期限，以同时满足业务需要和符合监管固定。（2）将机密数据（例如：客户、交易和雇员资料）存储在加密储存媒体中。（3）除了在香港，还在多个境外地点保留其数据，特别是在其集团公司的营运所在地，以符合集团层面的数据备份及业务抵御能力规定。
数据传输	应实施充足的保障措施，以防止数据在传输时泄露至非拟定人士，及被弃置的数据遭恶意获取、访问或修复。	（1）企业会在公司内部及与位于香港境内外的第三方服务提供者和集团关联公司转移数据。加密技术是确保数据传输过程安全的最常用方法。（2）禁止在其电脑系统上安装未经授权的软件和硬件。（3）在处置敏感数据时，会粉碎纸质材料、销毁或消磁电子材料。（4）由指定职能（例如：合规）或第三方服务提供者监察敏感数据的处置过程。（5）参考各类数据的内部记录保密期限表，以厘定应何时处置数据。
聘用第三方服务提供者	凡在数据生命周期中聘用服务提供者的，应执行妥善的尽职审查及持续监察，以确保服务提供者有能力保护数据和遵从适用的法律及监管规定。	在终止服务时，通过以下措施，指示服务提供者处置相关数据：（1）指派本公司的适当人员来见证和核实数据处置的过程；（2）要求该服务提供者确认相关数据已获妥善处置。