港股内控披露，怎样避免只说“制度已经完善”？

内部控制披露最重要的是说明公司怎样识别和处理实际风险，而不是证明有一本厚制度。港交所指南关注现有政策、流程、重大风险管理和持续监督。企业应能解释，谁批准交易、谁复核付款、发现异常后由谁处理，以及这些措施如何在业务中运行。

比如，公司历史上存在由一人同时申请、批准和支付款项的情况，整改不只是增加两张表。还应落实独立复核、权限分离和异常追踪，并说明何时开始实施、如何检验效果。计划采用的控制与已经执行的控制，应明确区分。

聘请外部机构也不能代替董事会责任。应准确说明顾问经验、工作范围和发现；若工作属于向董事提供的私人意见，引用其名称或结论还可能受到限制，不能宣传为外部机构已经保证公司所有内控有效。

内控章节还应对应风险因素及历史不合规。若企业承认客户款项曾流经个人账户，正文就应解释如何停止并防止重现，而不是只写原则性财务制度。让读者看见风险与措施的具体关系，才有助于判断公司是否能承担上市后的持续义务。