Tax100 税百

  • 在线人数 1259
  • Tax100会员 27984
查看: 766|回复: 5

国家互联网信息办公室关于《网络安全审查办法(修订草案征求意见稿)》公开征求意见的通知

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

2021-7-12 17:18:02 | 显示全部楼层 |阅读模式

依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规,我办会同有关部门修订了《网络安全审查办法》,现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见:


1.登录中华人民共和国司法部 中国政府法制信息网(www.moj.gov.cnwww.chinalaw.gov.cn),进入首页主菜单的“立法意见征集”栏目提出意见。

2.通过电子邮件方式发送至:shencha@cac.gov.cn

3.通过信函方式将意见寄至:北京市西城区车公庄大街11号国家互联网信息办公室网络安全协调局,邮编100044,并在信封上注明“网络安全审查办法征求意见”。


意见反馈截止日期为2021年7月25日。


附件:网络安全审查办法(修订草案征求意见稿)


国家互联网信息办公室
2021年7月10日

(修订草案征求意见稿)

第一条 为了确保关键信息基础设施供应链安全,维护国家安全,依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》,制定本办法。


第二条 关键信息基础设施运营者(以下简称运营者)采购网络产品和服务,数据处理者(以下称运营者)开展数据处理活动,影响或可能影响国家安全的,应当按照本办法进行网络安全审查。


第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合,从产品和服务安全性、可能带来的国家安全风险等方面进行审查。


第四条 在中央网络安全和信息化委员会领导下,国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、中国证券监督管理委员会、国家保密局、国家密码管理局建立国家网络安全审查工作机制。

网络安全审查办公室设在国家互联网信息办公室,负责制定网络安全审查相关制度规范,组织网络安全审查。


第五条 运营者采购网络产品和服务的,应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的,应当向网络安全审查办公室申报网络安全审查。

关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。


第六条 掌握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查。


第七条 对于申报网络安全审查的采购活动,运营者应通过采购文件、协议等要求产品和服务提供者配合网络安全审查,包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备,无正当理由不中断产品供应或必要的技术支持服务等。


第八条 运营者申报网络安全审查,应当提交以下材料:

(一)申报书;

(二)关于影响或可能影响国家安全的分析报告;

(三)采购文件、协议、拟签订的合同或拟提交的IPO材料等;

(四)网络安全审查工作需要的其他材料。


第九条 网络安全审查办公室应当自收到审查申报材料起,10个工作日内确定是否需要审查并书面通知运营者。


第十条 网络安全审查重点评估采购活动、数据处理活动以及国外上市可能带来的国家安全风险,主要考虑以下因素:

(一)产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏的风险;

(二)产品和服务供应中断对关键信息基础设施业务连续性的危害;

(三)产品和服务的安全性、开放性、透明性、来源的多样性,供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险;

(四)产品和服务提供者遵守中国法律、行政法规、部门规章情况;

(五)核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的风险;

(六)国外上市后关键信息基础设施,核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险;

(七)其他可能危害关键信息基础设施安全和国家数据安全的因素。


第十一条 网络安全审查办公室认为需要开展网络安全审查的,应当自向运营者发出书面通知之日起30个工作日内完成初步审查,包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门征求意见;情况复杂的,可以延长15个工作日。


第十二条 网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门应当自收到审查结论建议之日起15个工作日内书面回复意见。

网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门意见一致的,网络安全审查办公室以书面形式将审查结论通知运营者;意见不一致的,按照特别审查程序处理,并通知运营者。


第十三条 按照特别审查程序处理的,网络安全审查办公室应当听取相关部门和单位意见,进行深入分析评估,再次形成审查结论建议,并征求网络安全审查工作机制成员单位和相关部门意见,按程序报中央网络安全和信息化委员会批准后,形成审查结论并书面通知运营者。


第十四条 特别审查程序一般应当在3个月内完成,情况复杂的可以延长。


第十五条 网络安全审查办公室要求提供补充材料的,运营者、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。


第十六条 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务、数据处理活动以及国外上市行为,由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后,依照本办法的规定进行审查。


第十七条 参与网络安全审查的相关机构和人员应严格保护企业商业秘密和知识产权,对运营者、产品和服务提供者提交的未公开材料,以及审查工作中获悉的其他未公开信息承担保密义务;未经信息提供方同意,不得向无关方披露或用于审查以外的目的。


第十八条 运营者或网络产品和服务提供者认为审查人员有失客观公正,或未能对审查工作中获悉的信息承担保密义务的,可以向网络安全审查办公室或者有关部门举报。


第十九条 运营者应当督促产品和服务提供者履行网络安全审查中作出的承诺。

网络安全审查办公室通过接受举报等形式加强事前事中事后监督。


第二十条 运营者违反本办法规定的,依照《中华人民共和国网络安全法》《中华人民共和国数据安全法》的规定处理。


第二十一条 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。

本办法所称网络产品和服务主要指核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务,以及其他对关键信息基础设施安全有重要影响的网络产品和服务。


第二十二条 涉及国家秘密信息的,依照国家有关保密规定执行。


第二十三条 本办法自2021年 月 日起实施,《网络产品和服务安全审查办法(试行)》同时废止。


来源:“网信中国”微信公众号

审核:赵 娟

编辑:赵雅琪

校对:陈金丹






本帖被以下淘专辑推荐:

回复

使用道具 举报

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

 楼主| 2021-7-13 08:59:20 | 显示全部楼层
网络安全审查办法(修订草案征求意见稿)》为什么这样改?重点解读、前后对比

出品丨自主可控新鲜事

本文内容来源于金杜研究院、中国信息安全研究院

正文共6637,建议阅读时间15分钟


2021年7月10日,国家网信办官网发布了《网络安全审查办法(修订草案征求意见稿)》(以下简称《修订草案》),向社会公开征集意见。


正值国家网信办对滴滴等企业实施网络安全审查期间,故《修订草案》的公布引发了社会强烈关注,各方纷纷对比新旧文件的差别。


网络安全审查办法》修订基于何种考虑?代表了什么政策趋势?除正被审查的企业外,已在国外上市或重要数据、个人信息处理者会受到什么影响?企业今后如何化解合规风险?这成为当前业内十分关心的问题。


今天,小编带大家一起解码《修订草案》。


重点内容解读

本解读主要关注意见稿中的两方重点内容,一是本次重点新增问题,其二是基础问题。


一、重点新增问题

1)意见稿的适用对象?

意见稿适用对象包括关键信息基础设施运营者以及数据处理者。鉴于其中的数据处理者为新增主体,因此我们理解,即使企业不落入或者不确定是否落入关键信息基础设施运营者范围,若开展数据处理行为且达到影响或可能影响国家安全的标准,也有较高概率落入意见稿的监管范围。


2)主体适用的情况下,满足什么条件需要申报网络安全审查?

如果企业为关键信息基础设施运营者或者数据处理者,则满足以下条件之一即需要申报或通过网络安全审查:


自行申请

  • 关键信息基础设施运营者采购网络产品和服务,影响或可能影响国家安全的;
  • 掌握超过100万用户个人信息的运营者(关键信息基础设施运营者及数据处理者)赴国外上市的。


主动审查

  • 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务、数据处理活动以及国外上市行为的;


3)拟在港股上市,是否需要申请网络安全审查?是否也要符合数据出境等合规要求?

意见稿中所使用的表述为“国外上市”而非“境外上市”,我们理解,二者之间可能存在部分差别。


根据《中华人民共和国出境入境管理法》第八十九条,出境是指由中国内地前往其他国家或者地区,由中国内地前往香港特别行政区、澳门特别行政区,由中国大陆前往台湾地区;入境是指由其他国家或者地区进入中国内地,由香港特别行政区、澳门特别行政区进入中国内地,由台湾地区进入中国大陆。由此我们理解,“境外”实际上包含港澳台地区。


而对于“国内”、“国外”的区分,我们理解从文义解释,“国内”通常而言应当包含港澳台地区,而“国外”指“中华人民共和国以外的国家和地区”。


在上述理解的前提下,我们理解港股上市被认定为“国外上市”的可能性相对较低。但是鉴于我们上述对“境外”和“国外”的解读源于对其他领域法律的研究和参考,且本意见稿中并未对相关术语进行明确,我们仍无法排除相关概念有其他含义的可能性,建议对相关法律动态保持跟踪和关注。


对于港股上市过程及上市后数据传输至香港而言,参照《信息安全技术 数据出境安全评估指南》内“数据出境”的定义,其主要指“网络运营者通过网络等方式,将其在中华人民共和国境内运营中收集和产生的个人信息和重要数据,通过直接提供或开展业务、提供服务、产品等方式提供给境外的机构、组织或个人的一次性活动或连续性活动”,因而从“境内”、“境外”划分的角度并结合上述对概念的解读,我们理解,数据传输至香港仍应属于数据跨境,因此企业需要满足我国《网络安全法》、《数据安全法》及配套措施内有关数据跨境的规定。


4)100万用户个人信息是指100万条个人信息还是100万人的个人信息?

与此要求类似的规定可见于《国家网络安全检查操作指南》中“认定关键信息基础设施”部分。在认定关键信息基础设施时所考查的因素包括“注册用户数超过1000万”、“日均访问量超过100万人次”、“造成超过100万人个人信息泄露”等,均从个人信息主体数量而非个人信息数量的角度进行规定。


鉴于《国家网络安全检查操作指南》与意见稿具有类似的立法目的,即对可能影响个人数量较多的实体或者活动(包括但不限于赴国外上市)进行严格监管,以保障经济和民生利益,我们理解,意见稿中的“100万用户个人信息”指100万自然人个人信息的可能性较高。


5)如何理解“掌握”个人信息,如仅提供存储或传输服务,或委托云服务商等其他第三方处理,是否落入监管范围?

我们理解,“掌握”个人信息这一表述与“控制者”的概念存在相似之处,因此对其的解读可以参考对控制者的定义。但鉴于我国目前在法律层面尚未进行控制者和处理者的明确区分,从监管趋严的角度而言,我们建议企业将物理上的数据的控制以及法律上对数据的处置均纳入此范畴并申请网络安全审查。


6)申报网络安全审查需要提交什么材料,IPO材料需要提供多少?

申报材料应当包括:

(一)申报书;

(二)关于影响或可能影响国家安全的分析报告;

(三)采购文件、协议、拟签订的合同或拟提交的IPO材料等;

(四)网络安全审查工作需要的其他材料。


具体而言,参考数据安全等相关立法,我们理解分析报告可能包含供应链安全、数据安全及合规、数据出境、司法管辖冲突解决机制等多项内容。出于审查目的考虑,我们理解IPO材料可能包括招股书等,但是否包括工作底稿还有待确定。


7)网络安全审查需要多长时间,是否会影响上市进程?

根据意见稿的规定,网络安全审查办公室应当自收到审查申报材料起,10个工作日内确定是否需要审查并书面通知运营者。如果认为需要开展网络安全审查的,自向运营者发出书面通知之日起30个工作日内完成初步审查,情况复杂的可以延长15个工作日。网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门自收到审查结论建议之日起15个工作日内向运营者书面回复意见。网络安全审查工作机制成员单位意见不一致的,按照特别审查程序处理,特别审查程序一般应当在3个月内完成,情况复杂的可以延长。


总得来说,一般程序所需时间,自申报开始,最长需要10+30+15+15=70个工作日。而对于特别审查程序,最长为:70个工作日+3个月+n≈135+n个工作日,即实际所需自然日可能达到180日(6个月)以上。



二、基本问题

1)什么是关键信息基础设施运营者?

关键信息基础设施包括公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的,但其具体范围和安全保护办法暂未正式出台。


在2020年公安部发布的《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》中,公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的主管、监管部门应制定本行业、本领域关键信息基础设施认定规则并报公安部备案。同时应将符合认定条件的基础网络、大型专网、核心业务系统、云平台、大数据平台、物联网、工业控制系统、智能制造系统、新型互联网、新兴通讯设施等重点保护对象纳入关键信息基础设施。


2)网络安全审查的主管机构有哪些?

主要包括国家网络安全审查工作机制和网络安全审查办公室。


网络安全审查办法(修订前后对比)




为什么这样改?

1、问:7月10日,网信办发布了《网络安全审查办法(修订草案征求意见稿)》,开始征求意见。之前,网信办陆续公布了滴滴等企业接受网络安全审查的消息,结合此消息,该如何看待此次该办法修订的背景?

左晓栋(中国信息安全研究院副院长):《网络安全审查办法》的修订,发生在对滴滴等赴美上市企业审查期间,且其条款针对企业赴国外上市作了明确规定,所以大家很容易将这两件事关联起来,公众的关注点也很容易停留在这上面。事实上,这次修订是一次重大制度设计。


首先,《修订草案》中相关上市要求条款是在落实最近中办、国办最近印发的《关于依法从严打击证券违法活动的意见》精神。该意见要求“加强跨境监管合作。完善数据安全、跨境数据流动、涉密信息管理等相关法律法规”。


其次,更重要和更实质性的,《修订草案》是为了落实《数据安全法》第二十四条的要求。该条提出,国家建立数据安全审查制度,对影响或者可能影响国家安全的数据处理活动进行国家安全审查。企业赴国外上市只是可能出现数据安全风险的一种具体情形,所以从整体上说,《修订草案》是为了建立数据安全审查制度。


数据安全法》将在2021年9月1日实施,此次审查办法的修订,表明数据安全法进入实施前紧锣密鼓的准备阶段,法律中设立的各项重大制度将逐步通过法规和细则予以落实。


2、问:《修订草案》在数据安全法颁布后即刻发布,我们应该怎么看待网络安全审查制度和数据安全审查制度的关系?两者是否合并实施了?

左晓栋:关于网络安全审查制度和数据安全审查制度的关系,社会上有几种疑问。一是:这两个制度是同一个部门实施吗?在网络安全审查制度已经由国家网信部门实施的情况下,数据安全审查制度是否由中央国家安全领导机构的办事机构或国家安全机关实施?二是如果数据安全审查制度也由国家网信部门实施,那么网络安全审查制度和数据安全审查制度会合并实施吗?


这些疑问涉及到部门职责,需要权威部门给出解答。但有几个事实是清晰的。一是中央网信办已经成立了一个新的局,即“网络数据管理局”,最近的新闻中已经披露了该局的一些公开活动;二是《修订草案》所有新修订内容都明确指向了对数据处理活动影响国家安全风险的审查,且在《修订草案》中这本身属于网络安全审查的一部分。这两个事实应该能够部分回答社会上的上述疑问。


另外,从技术上讲,至少有以下三点也是明确的:

(1)《数据安全法》第二十四条提出数据安全审查制度的立法宗旨,就是防范数据处理活动带来的国家安全风险,这与《修订草案》的变动是一致的。

(2)网络安全和数据安全不可能绝对剥离,且很多网络安全风险来自数据处理活动,网络安全审查制度天然应当包括对数据处理活动的审查。即使在修订之前的《网络安全审查办法》中,也已经考虑了“重要数据被窃取、泄露、损毁的风险”。因此,如将两者严格分开甚至放在不同部门,本身有违科学规律。

(3)在国家已经建立了整套网络安全审查制度的前提下,不太可能也没有必要另起炉灶重新建立一个数据安全审查办公室、重新指定技术支撑机构,这在资源上也是浪费,且因技术上的部分重合必然带来职责交叉。


当然,数据安全审查制度的建立是一个需要不断探索的过程,我认为这次只是一个开头,并不表明这个制度已经完全建立起来了、所有的问题都解决了。但是其迈出了最重要的第一步,相信这个制度会随着时间发展不断健全完善。


3、问:滴滴等企业宣布被审查后,《修订草案》才发布,此刻数据安全法还没有正式生效,对此次审查的法律依据您如何评价?

左晓栋:滴滴被审查之初,的确很多人猜测是因为滴滴被列为了关键信息基础设施。因为网络安全审查的启动条件是关键信息基础设施运营者采购产品和服务时可能影响国家安全。甚至为此还引发了很多“阴谋论”。


事实上,这与滴滴是否被列为关基没有必然关系,因为网络安全审查的启动还有第二种条件,即网络安全审查机制成员单位认为网络产品和服务可能影响国家安全。数据处理活动,显然是一种“网络服务”。


因此,对滴滴等企业启动安全审查,法律依据是充分的。


不同的是,滴滴等这些企业存在的网络安全风险,主要是数据安全风险,且因企业赴美上市而引发。因此,虽然法律依据充分,但举一反三,尽快建立我国数据安全审查制度,针对特定领域的安全风险作出制度性安排,并针对企业赴国外上市等特殊场景明确制度细则,就成了当务之急。


数据安全法的确还没有生效,但审查办法的修订也有一个过程。修订完成开始实施时,一定会和数据安全法的生效日期保持协调,也就是2021年9月1日。


4、问:《修订草案》中的“数据处理者”适用于哪些企业?《修订草案》通过后,已经在境外上市的互联网企业是否还需要进行网络安全审查?还有哪些企业在处理数据时要主动申报网络安全审查?

左晓栋:应当从数据安全法的实施范围出发去理解“数据处理者”。《数据安全法》规定,数据处理包括数据的收集、存储、使用、加工、传输、提供、公开等。这意味着,所有涉及上述数据处理活动的主体,只要其活动影响或可能影响国家安全,都应当接受网络安全审查。从这个角度而言,修订后的网络安全审查办法的规范对象较广。


当然,对实施范围的理解也要结合网络安全审查办法的特性。网络安全审查是一种重要的威慑手段,既然是“威慑”,那就不可能轻易、频繁使用。所以,虽然没有规定哪类数据处理活动一定可以豁免网络安全审查,但也不可能每一次的数据处理活动都要进行审查。但我个人认为,今后在这个问题上有必要制定进一步的细则。《修订草案》第六条规定,掌握超过100万用户个人信息的运营者赴国外上市要申报网络安全审查,这是一种明确的启动条件。但其他情形下数据处理活动进入网络安全审查程序的启动条件是什么呢?评判标准是什么呢?这有待后续明确。


至于审查办法的修订稿实施后,哪些企业需要补充申报网络安全审查,或者主动申报网络安全审查,需要等待政策进一步的规定。但可以明确的是,从现在起,所有的数据处理者,特别是掌握了批量个人信息或重要数据的大型互联网企业、公共服务机构,以及已经在国外上市的互联网企业,要自行组织或者委托专业机构对本企业数据处理的合规性,特别是其数据处理是否可能影响国家安全,抓紧开展自查。


即使没有网络安全审查制度,相关企业也应该重视这项工作。因为《数据安全法》第三十条已经对重要数据处理者规定了“定期开展风险评估”的义务。《个人信息保护法(二审稿)》第五十四条也规定了“合规审计”的义务,第五十五条规定了“事前进行风险评估”的义务。


5、问:《网络安全审查办法》在2020年刚刚印发实施时,很多人认为这个制度是“对外”的,但首次公开实施即针对国内企业。特别是新增的第六条“掌握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查”,这更是针对国内企业,怎么理解这一情况?另外,第六条规定的100万用户的门槛并不高,是否意味着所有赴国外上市的企业都需要接受网络安全审查?

左晓栋:有必要指出,网络安全审查制度的实施从来就不是只“对外”或者“对内”。这个制度一视同仁,目的是建立在开放环境下维护国家安全的能力。所谓“开放环境”,是指在全球化条件下,不可能闭关锁国拒绝国外网络产品和服务,但也不意味着国内产品和服务就没有风险。


另外还要指出,很多人将注意力放在审查滴滴是网络安全审查制度首次彰显威力,这种论断有吸引眼球的嫌疑。加上前期的三年试行、去年一年的正式实施,这项制度已经有四年之久的历史了,怎么可能是第一次实施呢?又怎么可能只盯着国内企业呢?因此,社会上炒作“首次”和“国内企业”毫无意义。


《修订草案》第六条的规定的确针对的国内企业,因为在国外上市是一种特定的可能导致数据安全风险的活动,是当前的一个热点问题,国外企业在美国上市管他干什么?但这不是《修订草案》新增审查内容的全部。甚至根据《数据安全法》第二条的规定,不但境内的国外、国内企业开展数据处理活动要管,甚至境外的数据处理活动如果影响我国国家安全,不排除也要进行审查。


100万的确不是一个高门槛,对目前主流互联网服务而言,用户可以轻易超出100万。特别是企业到了可以上市的程度时,其用户量更为可观。但这个100万的数字并不是从企业经营规模或经济实力考虑的,而是综合考虑了我国互联网产业发展的实际情况、批量个人信息泄露后对国家安全和公共利益带来的影响而确定的标准,主要考虑的是社会影响。实践中,100万用户已经是很大的群体,发生个人信息安全事件的影响已经相当严重,所以说这个门槛是相对合适的。


6、问:特别审查程序从之前的45个工作日改为了3个月内完成,相当于在过去的基础上增加了半个月时间。这是否意味着审查程序会比过去更为复杂?这会不会对审查的技术准备工作带来挑战?

左晓栋:审查办法修订后,需要审查的情形增多,有的比较复杂,例如在国外上市这种情况。这次审查机制成员单位增加了证监会,针对的也是这类情况。因此,特别审查程序的时间需要适当延长。


出于效率的考虑,常规审查程序的时长没有变化。所以总体而言,审查程序没有本质变化。


但也要看到,《修订草案》毕竟扩展了数据安全审查内容,所以在具体的审查标准、技术手段、工作流程等方面,应当会做一些新的准备。


当然,一些人可能会关心,将来审查办或审查技术与认证中心是不是会“忙不过来”?新增的工作肯定会有,但我认为也不至于出现忙不过来的情况。这里面可能有个认识上的误区。如前所述,“审查”是一种非常规手段,不是“审计”,不是“评估”,不会事事审、时时审。


END


免责声明:本文系网络转载,版权归原作者所有。但因转载众多,或无法确认真正原始作者,故仅标明转载来源,如涉及作品版权问题,请与我们联系,我们将在第一时间协商版权问题或删除内容!内容为作者个人观点,并不代表本公众号赞同其观点和对其真实性负责。


回复

使用道具 举报

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

 楼主| 2021-7-13 09:49:39 | 显示全部楼层
赴美上市企业姓“中”还是姓“外”? 这个问题从未像今天这样尖锐

作者:冷静

华东政法大学国际金融法律学院教授

中国法学会证券法学研究会常务理事


【导读】低调赴美上市的滴滴于2021年6月30日成功在纽交所挂牌之后,仅过三天便遭遇到了国家互联网信息办公室(“国家网信办”)下设的国家网络安全审查办公室启动的网络安全审查,之后又因个人信息收集和使用方面的严重违法违规问题被国家网信办施以“滴滴出行”App(由在天津注册的滴滴出行科技有限公司运营)下架、暂停新用户注册的整改措施。滴滴股价应声下跌,迄今已经跌破了发行价,这又引发了一轮华尔街律所召集的美股市场投资者集团诉讼,并连带重挫了在美上市中概股集体板块的股价,从而再次将2020年4月以来由瑞幸咖啡巨额财务造假事件引爆的中概股危机推向了新的严峻态势(参见冷静:《超越审计纠纷:中概股危机何解?》,《中国法律评论》2021年第1期策略(第179-193页))。


7月8日,滴滴又遭《外国公司问责法案》发起人之一的民主党参议员Chris Van Hollen呼吁由SEC启动调查。7月9日,国内监管风暴再度升级:国家网信办公告,同样出于个人信息收集使用方面的严重违法违规问题,通知应用商店下架“滴滴企业版”等25款App,运营主体均为由创始人程维控制的北京小桔科技有限公司,并责令各网站和平台不得为其提供访问和下载服务,其监管力度之大、整改范围之广令各界瞩目。而7月10日国家网信办所发布的《网络安全审查办法》的修订征求意见稿,则直接针对中概股境外上市事项,要求“掌握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查”。在滴滴事件所涉的数据安全、网络安全、国家安全之风险防范的议题从网络法和数据法的角度得到大量讨论的同时,本文关注的是本次事件所涉的同样敏感、同样重要的跨境证券活动规制问题:红筹上市的境内监管体制即将发生重大转向,极有可能启动纳入信息安全、数据安全和国家安全考量的前置审批及事后合规要求,并凸显出敏感行业中的民营中概股赴境外红筹上市即将面临证券监管机构及行业主管机关同时主张与收紧属地管辖权的前景。


中概股姓“中”还是姓“外”?


目次

一、法律风险、市场风险、还是政治风险?

二、中概股出海合规关切的变焦:从美方域外执法管辖到中方境内属地管辖

三、中概股姓“中”还是姓“外”?:公司法中的“外国公司” vs 证券法中的“境内企业”

四、关于红筹上市的境内审批监管政策的四个阶段

结论:境外上市监管前景——敏感行业中概股出海的境内管辖全面收紧


一、法律风险、市场风险、还是政治风险?

滴滴接受网络安全审查的直接法律依据是2020年6月1日施行的《网络安全审查办法》,且是该办法出台以后的第一案。无独有偶,滴滴遇查之后,互联网平台企业满帮集团(由运满满和货车帮合并而成)及BOSS直聘也接到国家网信办依照该法实施网络安全审查的通知,并在接受审查期间停止新用户注册。运满满、货车帮和BOSS直聘同样在今年6月实现了赴美上市,市值都超过百亿美元,均为互联网平台中的头部企业,也如滴滴一样掌握着海量的用户、车辆及道路管网数据。这补证说明了赴美上市中概股中经营敏感行业的企业正在越来越受到境内行业主管部门的严密审视,并正在从陡然升温的监管措施中体会到了严格的境内合规要求和国家安全红线。合规事项包括且不限于收集和使用境内用户个人信息行为的合法性和适度性、国家数据安全的维护以及反垄断考量等。如滴滴一样,这三家企业因遭遇境内监管措施而引发的股价下跌导致后续的美股市场投资者集团诉讼预计也将是大概率事件。


由此来看,中概股赴美上市多重风险中的法律风险、市场风险正在呈现出与国际国内政经大气候下的政治风险杂糅在一起的发展趋势。法律风险主要体现为美国证监会(SEC)和公众公司会计监督委员会(PCAOB)就信息披露和财务审计违规事项采取的执法措施,以及投资者的证券欺诈集团诉讼。市场风险主要体现为做空机构的狙击、行业监管政策和竞争版图的调整带来的业务和股价波动、以及中概股的概念内核发生重构时的投资者信心起伏和估值升跌。政治风险主要体现为在中美关系面临极大考验的严峻局势下,美方在双边竞争和国家安全考量促动下的各项限制、制裁和“脱钩”措施,以2020年底出台的旨在强化中概股的信息披露义务和PCAOB审计底稿查询权的《外国公司问责法案》为里程碑事件,以及中方在国家安全考量促动下的境内监管法律和政策调整。


以滴滴事件为例,从中概股在美危机的整体特征来看,法律风险直接由政治风险催生的现象不再鲜见,而且个案情况均具有相当的复杂性,常常体现为境内产品和服务市场中的违规行为引发了监管措施,其效应进而溢出到境外资本市场,由此促发了彼岸的监管措施和投资者诉讼。境内、境外两个不同质的市场——境内的产品市场和服务市场,以及境外的资本市场——就此以独特的共振和传导方式紧密联结了起来。


仅从自2020年初瑞幸咖啡造假事件爆发至2021年上半年为止,美股市场提起的多起针对中概股的集团诉讼的缘起来看,在相当一部分案件中,由于在诉讼初期处于信息地位的劣势,原告起诉的初始举证证据来源除了做空机构的做空报告,就是从中国境内监管机构的监管和处罚措施中发掘的(参见表一和表二)。从表格信息可见,爱奇艺、跟谁学、百度、斗鱼、趣头条、阿里巴巴、滴滴……互联网头部企业在美遇诉的来由莫不如此。


另一个相当突出的诉讼起因,是由于维持在美上市地位的成本高昂(特别是遭遇了首次集团诉讼以后)而选择退市,而在此过程中买断美股投资者的报价又被指过低。此类诉讼占到了表一和表二的将近四分之一的比例,不可不谓是中概股在美法律风险中相当主流的一个类别。可见是“去不难”,“走却难”。


表一:2020年中概股在美遭遇集团诉讼情况(24股)

数据来源:Stanford Law School, Securities Class Action Clearinghouse: http://securities.stanford.edu/

诉讼发起时间
中概股名称
原告诉由
2020年1月15日
500彩票网
500.com Limited (NYSE: WBAI) 被指控于2018年4月27日至2019年12月31日期间涉嫌就其日本分公司违反美国《反海外腐败法》行贿日本官员的操作作出了虚假陈述。
2020年1月22日
趣店集团
Qudian Inc. (NYSE: QD) 被指控对于公司的业务、运营和合规政策作出了重大的虚假和误导性陈述,特别是关于中国网络消费信贷规制趋严对其业务和营收带来的负面影响。
2020年2月13日
瑞幸咖啡
Luckin Coffee Inc.(NASDAQ: LK)涉嫌伪造交易和巨额财务造假。
2020年2月13日
瑞丽集团
SORL Auto Parts, Inc.(NASDAQ: SORL)被指控在私有化退市过程中征集股东投票权时所提交的代理须知(proxy statement)遗漏了重要信息。
2020年3月4号
嘉楠科技
Canaan, Inc.(NASDAQ: CAN)被指控在以下事实上作出了虚假和/或误导性陈述,和/或未予披露:
(1)所谓的“战略合作”实际上是与关联方的交易;
(2)公司财务状况较实际披露的状况恶劣;
(3)公司最近在首次公开募股前从其网站上删除了大量分销商的名单,其中许多是小型或可疑的企业;
(4)前几年公司最大的几个中国客户的主业并非比特币采矿,因此不可能是公司的长期客户。
2020年3月24日
斗鱼
DouYu International Holdings Limited(NASDAQ: DOYU)被指控在公司业务、运营及合规方面的披露内容存在虚假/误导性/隐瞒性陈述,特别是关于网红博主直播内容的合规风险与吸引网红博主驻站的财务成本、以及“幸运宝藏”活动因涉赌被下线所带来的负面财务后果。
2020年4月9日
易居
E-House (China) Holdings Limited(NYSE: EJ)被指控在2016年的私有化退市交易中公开征集 ADS 持有人的投票权时存在多处遗漏、虚假和误导性陈述。
2020年4月16日
爱奇艺
iQIYI, Inc.(NASDAQ: IQ)被指控对于公司的业务、运营及合规方面的披露存在虚假/误导性/隐瞒性陈述,特别是夸大了用户数量丶收入和收购对价,以及虚报了收入。
2020年4月17日
跟谁学
GSX Techedu Inc.(NYSE: GSX)被指控对于公司的业务、运营及合规方面的披露存在虚假/误导性/隐瞒性陈述,特别是虚报了盈利、收入、学员报名人数、教师资质以及教师选聘程序,并由此可能带来负面的财务后果。
2020年4月21日
聚美优品
Jumei International Holding Limited(NYSE: JMEI)被指控在私有化退市交易中不公平地压低了报给投资者的收购价格和低估了公司价值。
2020年4月21日
百度
Baidu, Inc.(NASDAQ: BIDU)被指控对于公司的业务、运营和合规政策作出了重大的虚假和误导性陈述,所涉未披露信息包括其推送服务因不符合中国的监管标准而被网信办认定为“低俗信息”( “low-brow content”)并责令整改。
2020年4月24日
蛋壳公寓
Phoenix Tree Holdings Limited(NYSE: DNK)因涉嫌受疫情影响业绩不佳未予披露被诉。
2020年7月6日
鑫达集团
China XD Plastics Company Limited(NASDAQ: CXDC)因涉嫌在私有化退市交易中向投资者提供的价格不合理地偏低而被诉。原告于2020年10月16日自愿撤诉。
2020年7月17日
天花阳光
Sky Solar Holdings, Ltd.(NASDAQ: SKYS)被指控在私有化退市交易中存在着重大的误导和披露不足从而压低了向投资者的报价。
2020年7月24日
稳胜金融
Wins Finance Holdings Inc (NASDAQ: WINS)被指控在以下事实上做出了重大的虚假和/或误导性陈述,和/或未予披露:
(1)贷给国宏资产管理公司的一笔金额高达5.8亿元人民币的贷款(国宏贷款)因其最终还款金额高度不确定,成为坏账的可能性很大;
(2)国宏贷款成为坏账将对本公司的财务及经营状况产生重大不利影响;
(3)尽管公司一再向投资者保证其正在采取措施纠正不足,但公司对其财务报告的内部控制仍然薄弱;
(4)可以预见独立审计师辞职的可能性。
2020年8月19日
百度
Baidu, Inc (NASDAQ: BIDU) 作为爱奇艺的控股股东,被指控在以下事实上存在着虚假和/或误导性陈述,和/或未予披露:
(1)百度歪曲了爱奇艺的财务和经营状况;
(2)爱奇艺对于财务报告的内控不力。
这是百度于2020年度遭遇的第二次集团诉讼。
2020年8月20日
趣头条
Qutoutiao Inc (NASDAQ: QTT) 被指控在以下重大不利事实上存在着重大的虚假和/或误导性陈述,或者未予披露:
(1)趣头条用关联方取代了原来的广告代理商,从而绕过了第三方对其广告内容和质量的监督;
(2)关联方在其手机APP上发布了减肥产品、“伟哥”等有问题的产品广告,其根据相关的适用法规被视为虚假广告;
(3)公司的上述行为将引发越来越多的后续监管调查和声誉损害;
(4)公司的广告收入因此存在着下降的可能性;
(5)公司的虚假陈述造成了事实真相暴露时的股价下跌给投资者带来的损失后果。
2020年9月9日
乐信
Lexinfintech Holdings, Ltd (NASDAQ: LX) 被指控在以下事项上做出了虚假和/或误导性陈述,和/或未予披露:
(1)LexinFintech通过向借款人提供周转资金协助其还款从而人为地降低了拖欠率;
(2)公司的业务模式通过优先考虑向中国的贷方进行表外贷款并在披露中淡化其违约风险而使股东蒙受了巨大损失;
(3)公司夸大了用户群的规模;
(4)公司为违反中国法律的P2P贷款提供了便利;
(5)公司未披露关联交易;
(6)公司缺乏充分的内部控制。
2020年9月29日
品钛
Pintec Technology Holdings Limited (NASDAQ: PT) 被指控提交了虚假和误导性的IPO注册声明,在以下事项上遗漏了对于重大事实的陈述,或者未予披露:
(1)公司错误地记录了某些技术服务费的净收入而不是毛收入;
(2)Pintec对于财务报告的内部控制存在重大缺陷,涉及在正常业务范围之外向关联方Jimu Group的现金透支以及与第三方Plutux进行的非常规贷款融资交易;
(3)由于上述原因,该公司2017年和2018年的财报出现了错误披露,导致真实的净收入比之前披露的金额大幅降低;
(4)由于上述原因,被告对公司的业务、运营和前景所作出的肯定性声明是虚假的和/或误导性的。
2020年11月13日
阿里巴巴
Alibaba Group Holding Limited (NASDAQ: BABA) 作为蚂蚁集团的大股东,被指控在以下事项上存在着重大的虚假和/或误导性陈述,或者未予披露:
(1)蚂蚁集团在某些重大事项上不符合相关市场的上市资格或披露要求;
(2)金融科技监管环境中即将发生的某些变化将影响蚂蚁集团的业务;
(3)由于上述原因,蚂蚁集团在上交所和港交所的IPO很有可能被暂停;
(4)由于上述原因,被告对公司的业务、运营和前景的正面陈述存在着重大误导和/或缺乏合理依据。
2020年11月20日
欢聚时代
JOYY Inc (NASDAQ: YY) 被指控在以下事项上存在着虚假和/或误导性陈述,和/或未予披露:
(1)JOYY夸大了其来自实时流媒体来源的收入;
(2)在任何给定时间,大多数用户是机器人;
(3)公司利用这些漫游器实施了往返计划,从而制造了虚假的收入;
(4)公司现金储备过高;
(5)公司对Bigo的收购主要是为了使内部人受益。
2020年11月20日
贝利石油
Berry Corporation (NASDAQ: BRY) 被指控在发行文件中纳入了虚假的重大事实陈述,以及未进行必要披露。此外,就公司的业务、运营和合规政策做出了重大的虚假和误导性陈述:
(1)Berry实质上夸大了其运营效率和稳定性;
(2)公司对于其运营效率低下和缺乏稳定性的现状将不得不进行可以预见的改进,由此带来对公司生产力的冲击并增加运营成本;
(3)前述情况将对公司的收入产生负面影响;
(4)因此,要约文件和公司的公开声明在实质上是虚假和/或误导的,并且未予披露要求必须披露的信息。
2020年12月8日
畅游
Changyou.com Limited (NASDAQ: CYOU) 涉嫌在其大股东搜狐主导的私有化退市交易中所提交的13E-3交易声明中纳入了关于注册地开曼群岛法律所赋予的异议股东权利(也称为评估权)的虚假和误导性的陈述,尤其是遗漏了就某些重要的小股东权利的告知。
2020年12月10日
中芯国际
Semiconductor Manufacturing International Corporation (OTC-BB: SMICY) 被指控作出虚假和/或误导性陈述和/或未能披露:
(1)存在“不可接受的风险”,即提供给中芯国际的设备将用于军事目的;
(2)可预见面临美国法律限制的风险;
(3)由于美国商务部的限制,中芯国际的部分供应商将“难以获得”个人出口许可证;
(4)因此,公司的公开声明存在重大虚假和/或误导性。
  

表二:2021年中概股在美遭遇集团诉讼情况(10股)

诉讼发起时间
中概股名称
原告诉由
2021年1月20日
荔枝
Lizhi Inc. (NASDAQ: LIZI) 被指控于2019 年 8 月 6 日向美国证券交易委员会提交的关于 F-1 表格的秘密注册声明中包含虚假和/或误导性陈述和/或未能披露:
(1)在首次公开募股时,冠状病毒已经在中国肆虐、影响了公司总部、主要市场和重要枢纽、其员工及客户;
(2)与冠状病毒相关的并发症已经对荔枝的业务产生了负面影响,因为员工和客户感染了病毒、失业或在制作、发布对荔枝平台至关重要的内容方面遇到困难;
(3)在首次公开募股之前,公司员工和客户就有投诉公司的情况,损害了公司的声誉和财务状况、前景;
(4)因此,公司的注册声明存在重大虚假和/或误导性。
2021年1月20日
玖富
9F Inc. (NASDAQ: JFU) 被指控对于上市材料作出虚假和/或误导性陈述和/或未能披露:
(1)鉴于 9F 与中国人财保险公司(“PICC”)就合作协议项下的服务费支付发生持续的合同纠纷,公司金融合作伙伴及其三方合作业务模式所声称的价值、利益实际上不存在和/或被严重夸大;
(2)人保根据合作协议欠9F服务费的可收回性存在疑问,存在严重拒付风险;
(3)存在人保财险不再为投资者和机构资金合作伙伴提供信用保险和担保保护的重大风险;
(4)由于上述原因,公司的平台、商业模式、声誉和财务业绩受到重大损害;
(5)因此,公司关于业务、运营和前景的陈述存在重大虚假和误导性和/或缺乏合理依据。
2021年2月17日
简普科技
Jianpu Technology Inc. (NYSE: JT) 被指控作出了重大虚假和/或误导性陈述,并且未能披露有关公司业务、运营和前景的重大不利事实。具体而言:
(1)公司信用卡推荐业务部进行的部分交易涉及未公开的关系或缺乏业务实质;
(2)因此,公司 2018 和 2019 财年的收入和成本费用被高估了;
(3)财务报告内部控制存在重大缺陷;
(4)由于上述原因,公司 2018 年的财务表格 20-F 有合理可能被要求重述。
2021年2月17日
亿航智能
EHang Holdings Limited (NASDAQ: EH) 被指控通过歪曲和/或未披露以下内容误导投资者:
(1)公司声称在欧洲和北美获批的 EH216 实际用于无人机,而不是用于载客;
(2)与其声称的主要客户的关系是虚假的;
(3)其存托凭证于 2019 年 12 月开始在纳斯达克交易以来,亿航仅实际收取了其报告销售额的一小部分;
(4)公司的生产设施几乎空置,且缺乏存在先进的生产设备或员工的证据;
(5)因此,公司的公开声明存在重大虚假和误导性。
2021年3月1日
速汇金国际
MoneyGram International, Inc. (NASDAQ: MGI) 被指控作出虚假和/或误导性陈述和/或未能披露:
(1)XRP,即速汇金用作其Ripple合作关系的一部分的加密货币,被视为未注册,因此在SEC监管下是违法的;
(2)如果 SEC 决定对 Ripple 执法监管,速汇金可能会失去利润丰厚的市场发展费,而这对其财务业绩至关重要;
(3)因此,公司的公开声明存在重大虚假和/或误导性。
2021年4月8日
亿邦国际
Ebang International Holdings Inc. (NASDAQ: EBON) 被指控作出重大虚假和/或误导性陈述,并且未能披露有关公司业务、运营和前景的重大不利事实。具体而言:
(1)亿邦公开发行的收益用于向承销商和关联方偿还低收益的长期债券,而非用于发展公司业务;
(2)亿邦的销售额在下降,公司夸大了报告的销售额,计入了销售有缺陷产品的销售额;
(3)亿邦因涉嫌挪用投资者资金和夸大销售数字而未能在香港上市;
(4)所谓的加密货币交易仅仅是购买了开箱即用的加密货币交易;
(5)以上,对公司业务、运营和前景的正面陈述具有重大误导性和/或缺乏合理依据。
2021年4月15日
嘉楠科技
Canaan Inc. (NASDAQ: CAN) 被指控发布了严重虚假和误导性的陈述,并遗漏了所必需的重要事实,从而人为抬高了价格:嘉楠隐瞒了由于持续的供应链中断和公司新一代A12系列比特币采矿机的推出,与2019年第四季度的销售额相比,嘉楠第四季度的销售额同比下降了93%以上,与2020年第三季度的销售额相比,同比下降超过93%。
2021年6月9日
雾芯科技
RLX Technology Inc. (NYSE: RLX) 被指控在F-1注册声明(包括对其作出的所有修订)和招股说明书中错误陈述和/或遗漏了有关公司当时存在的事实:
即公司处于中国正在进行的建立电子烟国家标准的背景下,这将使其面临与普通香烟法规保持一致的要求,并且公司报告的财务状况并不像发行材料预测的那么强劲。
因此,投资者指控其人为抬高了股票价格。
2021年6月22日
达内科技
Tarena International, Inc. (NASDAQ: TEDU) 被指控作出虚假和/或误导性陈述和/或未能披露:
(1)某些员工在某些时期干扰了其财务报表的外部审计;
(2)公司的收入和费用不准确;
(3)公司与其员工或其家庭成员拥有、投资或控制的组织开展商业交易,而公司对此没有适当披露;
(4)由于上述原因,公司从2014 年至今的财务报表不准确;
(5)因此,关于其业务、运营和前景的陈述存在重大虚假和误导性和/或缺乏合理依据。
未定
滴滴
7月4日滴滴发布了宣布“应用程序在中国下架”的新闻稿,其中称“确认‘滴滴出行’应用程序存在违反中华人民共和国相关法律法规收集个人信息的问题。”随后美国多家律所开始争相发布征集投资者提起集团诉讼的信息。
根据律所的集团诉讼征集调查,发行人或被指控公司向市场作出虚假、误导性陈述的事项如下:
(1)滴滴可能“存在违反中国相关法律法规收集个人信息的问题”。
(2)公司应用程序将接受中国国家互联网信息办公室(“CAC”)的网络安全审查,其应用程序在全国所有应用商店内被下架。
(3)基于以上事实,公司的公开声明在IPO期间存在虚假陈述并具有重大误导性。
投资者信息征集截止日期为2021年9月7日。
7月6日,诉讼已经在美国纽约南区法院Espinal v. DiDi Global Inc. f/k/a Xiaoju Kuaizhi Inc., No. 21-cv-05807和加利福尼亚中心地区法院Franklin v. DiDi Global Inc., No. 21-cv-05486两案中被提起。
  

而滴滴事件之后的境内监管口径改变,预示着今后“去也难”(红筹上市前置审批“路条”或者“无异议函”制度可能重启)、“留也难”(维持美股上市的合规成本高昂,特别是在《外国公司问责法案》项下的信息披露和审计底稿受查环节的合规风险大幅增加)、“走也难”(私有化退市不易)将成为几条并行的中概股赴美上市监管图景的主色调。诚若如此,则具有产业融资刚需和按照国际商务和投资惯例需履行协助风险投资者套现退出以实现合理财务回报之合同义务的中概股将何去何从?


二、中概股出海合规关切的变焦:从美方域外执法管辖到中方境内属地管辖

滴滴事件引发的此轮中概股风波呈现出了新的特点:中概股赴美上市所涉的热点法律和政策议题,从此前凸显的美国证监机构意图实施域外管辖权遇阻和中美跨境证券监管协作僵局(尤其体现为跨境审计纠纷)(参见冷静:《超越审计纠纷:中概股危机何解?》,《中国法律评论》2021年第1期策略(第179-193页)),演化到中国境内监管机构就中概股出海上市进行资格审批和合规审查的属地管辖权是否即将面临着全面激活和强化的问题。甚至有论者推断,中断已达十七年之久的“红筹出海路条”(中国证监会出具的就民营企业以小红筹方式赴境外市场间接发行上市表示放行的“无异议函”)即将重回境内监管图景的中心。而这并非危言耸听:滴滴事件之后,中共中央办公厅和国务院办公厅于7月6日联合发布的《关于依法从严打击证券违法活动的意见》(下称“《意见》”),全面收紧中概股赴境外上市的境内审批和监管口径已是大势所趋,并在规范修订和制度补强的任务方面具有相当的紧迫性。


同时,要帮助中概股应对当前在境外市场所遭遇到的空前紧张的、且正在呈现汇聚合流态势的政治风险、市场风险和法律风险(而政治风险又是最为凸显、处理最为棘手的),仅从把关甚至收紧其出海融资放行的门槛着力是不够的。还是要从大力激活和扩容境内资本市场以及港股市场的融资功能入手,回应中概股所涉行业的企业融资需求和开辟其境内境外投资者套现退出以获得合理财务回报的通道,方是治本之策。否则,中概股出海融资的境内监管便缺乏有效的抓手。


此次滴滴上市,从2021年4月9日向SEC秘密递交发行注册表Form-1到6月30日挂牌纽交所,历时仅两个多月,创下了中概股赴美上市速度的新纪录——2014年阿里巴巴赴纽交所上市的注册审批程序共耗时四个半月,在当时已堪称神速。这从侧面印证了滴滴向美股市场监管机构和交易所分别进行发行注册申请和上市注册申请的合规工作做得相当严谨规范,这从滴滴应SEC的要求仅仅修改过两次注册表就能一窥端倪(阿里巴巴2014年8月赴纽交所上市是七改注册表)。40多亿美金的筹资总额在滴滴簿记建档首天即获全额认购,这也说明了在严谨规范的招股书之外,滴滴向投资者展示的路演内容也相当精彩,极具有说服力。例如,17分钟的路演视频中,滴滴出行的创始人程维、总裁柳青和副总裁兼国际业务负责人朱景士(这三位创始人均为在滴滴上市后的公司治理架构中为保持控制权而享有超级投票权的“合伙人”,即partners)先后出镜,在真实场景与动画画面交互的背景中以流利的中英文轮番介绍滴滴的商业模式、企业文化和发展愿景,尤其提到了未来在人工智能(AI)技术和海量交通数据支持下的智能汽车和自动驾驶出行生态的普及化场景,颇为打动投资人。并且,国内网约车App“滴滴出行”的运营实体——滴滴科技有限公司——的官网,在上市之前从http://didichuxing.com升级到了中英双语界面的https://www.didiglobal.com。换言之,滴滴及协助其上市的中介服务机构与美股市场的监管者、交易所及投资者的沟通应该说是相当充分有效的。


那么,在与境外监管机构和投资者顺利沟通、对境外法律严格遵守的同时,滴滴赴美上市流程中的境内监管沟通和境内合规举措及其效果又如何呢?这里涉及两个问题。首先,滴滴赴美上市是否需要征得中国境内证券监管机构——主要是中国证监会——的放行批准?这可体现为“打招呼”式的形式性备案(上市之后)和“拿批文”式的实质性核准(上市之前)两种模式。其次,在赴美上市之前,滴滴是否需要在满足行业运营合法合规要求的基础上得到境内业务运营主体的主管部门——如国家网信办、国家市场监督管理总局和交通部——的出海批准并做出一定的合规承诺、且体现在发行人律所出具的法律意见书中?这可体现为IPO事前、事中和事后各个时段的合规承诺。对于中概股而言,更加具有普遍意义的问题是:如滴滴这样可能具有中国《网络安全审查办法》项下的“关键信息基础设施运营者”属性的互联网平台企业以及运营于其他敏感行业的企业,如果被定性为上市主体的注册地在境外且股权结构中的外资占比偏高的“真外资”中概股(分别归属于中国《公司法》项下的“外国公司”和中国《证券法》项下的“境外企业”),是否需要就其境外上市行为向境内监管部门报批,并以获批作为赴境外上市的前置条件?之所以说这些企业是“真外资”而不是“假外资”,是从出资来源和股权结构来认定的。例如,经过上市前的几轮风险融资,阿里巴巴和滴滴上市之际的股权结构中,境外投资者的持股比例都是远远超过管理层团队的,且上市后管理层团队持股比例被进一步稀释。这也是两家企业均采取了有别于双重股权架构的“合伙人制度”(partnership)以维系上市后管理层团队控制权的一个重要原因,且在滴滴的机制设计中还同时嵌套了同股不同权的双层股权架构,可谓是“双保险”。然而,因为关键性的主营业务、盈利来源、消费者及产品和服务市场均位于境内并由境内注册的实体予以掌握,这类中概股是否均需要就其出海融资行为向境内监管部门报批,并以获批作为赴美上市的前置条件?


第二个问题相对简单一些。鉴于滴滴这样的中概股的国内实体主管机构握有事实上的举足轻重的行业监管权限,其处于敏感行业的属性也决定了赴美上市前必然主动寻求与国家网信办等监管机构的对话和沟通,以达成共识并获得监管放行(无论是明示还是默示)作为铺陈上市操作事宜的前提,以至于《华尔街时报》这样的外媒曾经登载过国内监管部门“希望滴滴推迟上市”的报道,那么行业监管机构要求发行人的国内实体就合规事项做出承诺也是题中应有之义。当然,这样的权限在当前的主体证券法律法规中还没有得到清晰的确认和梳理,未来在两办的《意见》基础上有望和证券法的相关制度加以有效整合。如果该项制度得以确立,则发行人招股书的信息披露(包括法律意见书)必然要对此做出体现。


对于第一个问题,即境内证券监管机构的放行管辖权问题,目前我国境内相关证券法律法规及其适用实践所作出的回答是相对宽松的,但同时又是相对缺乏清晰指引的,在实务中主要靠发行人及其上市服务中介机构根据当时所适用的监管政策宽严口径来进行个案研判。


无论是旧《证券法》施行时期的阿里巴巴赴美上市,还是修订后的新《证券法》施行时期的滴滴赴美上市,证券法的相关条文均未明确提出对注册于中国境外的民营中概股以红筹模式出海融资报中国证监会批准的前置程序要求。相较之下,国营企业以“大红筹”模式实现境外间接上市一直接受着中国证监会国际部的前置审批管辖。间接上市是相对于直接上市(即H股模式上市)而言的。表三列出了直接上市的H股模式与间接上市的红筹模式的特征比较,体现出两类模式对于发行人的相对优点和相对缺点。


表三:直接上市和间接上市的特征比较

比较方面
H股模式
红筹模式
发行方式
以在中国内地设立的股份有限公司运营资产及业务,并申请在境外市场上市
以在境外 (百慕大、开曼群岛、英属维京群岛)设立的公司,通过直接设立或返程收购的方式来控制中国内地的运营资产及业务,并申请在境外市场上市
优点
无需在境外成立公司进行返程收购;避免境内外重组带来的税务负担
现有大股东的禁售期很短(6-12个月),期后可自由转让,套现方便;后续融资方便,董事会每年有总股本一定比例的一般发行授权,配股、供股等资本市场运作的灵活性相对较高;审批程序相对简单
缺点
中国证监会可能要求公司大股东作出一年以上的禁售承诺,不利于套现;H股全流通试点短期内对大股东未来套现具有相当的风险;后续融资需中国证监会审批,加大了发行的难度和不确定性
对于内地股东而言,需要搭建不受“10号文”限制的红筹架构;返程收购的审批和重组程序比较繁琐;重组时可能面临较高的税费
境内审批程序及要求
可直接向中国证监会提交申请,近年也简化了申请文件的要求;核准文件的有效期为12个月
根据“10号文”的规定,重组中的返程收购需经商务部及中国证监会核准,同时需要符合允许的红筹架构的要求
上市后流通量
只有H股为流通股,其他为不流通的内资股,直至2018年4月H股全流通试点正式开闸
新旧股全部为流通股,大股东可以在禁售期结束后自由买卖股票
   

关于中国证监会对民企中概股境外红筹上市的审批管辖权限,具体而言,阿里巴巴上市时点适用的旧《证券法》第二百三十八条规定:“境内企业直接或者间接到境外发行证券或者将其证券在境外上市交易,必须经国务院证券监督管理机构依照国务院的规定批准。”换言之,“境外企业”——例如注册于开曼群岛的Alibaba Group Holding Limited(阿里巴巴集团)和Didi Global Inc.(滴滴全球公司)——作为发行人不需要受到这一条的规管,至少从本条款的字面意义上讲,不必就其在境外开展的IPO活动向中国证监会报批。而滴滴上市时点适用的新《证券法》第二百二十四条则规定,“境内企业直接或者间接到境外发行证券或者将其证券在境外上市交易,应当符合国务院的有关规定。”本条属委任性规范,明确我国境内企业境外融资活动的监管规则由国务院制定。当前,这类规则的发布主体包括国务院及其所属行业主管部门,主要有商务部、国家外汇管理局、发改委、国资委和证监会。当然,国务院所属部门发布的各项规范性文件是否可以被扩大解释为“国务院的有关规定”可以讨论,但实践中,国务院的原则性、概括性规定在部门规章及规范中得到细化是普遍现象,也是证券监管及执法的重要依据。


新法第二百二十四条大幅放宽了境内企业跨境融资活动的管制尺度——从旧法规定的“必须经国务院证券监督管理机构依照国务院的规定批准”,到新法的“应当符合国务院的有关规定”。文字上的变化虽小,只是删除了需经中国证监会“批准”的字样,但是在制度改革层面却意味深长。一方面,新法第二百二十四条继续确认了境内企业跨境融资活动应当受制于境内监管的制度安排,由国务院作为主管部门,以其颁布的各项规定作为监管依据。换言之,本条在删除由证监会进行“批准”字样的同时,并未否定依照国务院规定仍然需要履行的审批程序,涉及到报送、审查和批准各个步骤,也涉及到外汇管理、税务管理、国有股权管理、行业监管、外资并购监管等各个方面。另一方面,本条从文字上淡化了境内监管以事前的实质审核为主要方式的强制性色彩(“必须”改成了“应当”),呼应了其在实践中正在逐渐转向事后的备案制、以及事前的报告制的改革趋势。本条修订的目的是为了顺应政府改革及国务院机构改革简政放权的目标,尽量减少行政许可事项、或者简化行政许可程序,以此改善境内的营商环境,同时鼓励和便利境内企业赴境外开展融资活动,为我国实体经济的发展和产业结构的转型吸纳丰富的国际资本。


但是,从新法第二百二十四条相对于旧法第二百三十八条的修订也可以看出其局限:其仍然承继了旧法体例(就跨境证券监管事项没有单列专章,而主要规定于《附则》章节)和内容(仅覆盖了境内企业的跨境和涉外证券活动,未纳入境外企业在境内和境外两个市场上进行的证券发行、上市和交易活动)。对此可以在解释论意义上提供规则补强的是,《新证券法》的第二条第四款首次写入了证券法的域外适用条款,为包括中国证监会在内的境内监管机构确立、主张和行使针对境外市场上发生的证券活动的管辖权提供了法律依据,而无论相关主体是在境内还是境外注册,只要满足了“扰乱”境内市场秩序、“损害”境内投资者合法权益的适用前提即可启动管辖,即按照证券法相关规定“处理”并“追究”法律责任。但是,第二条第四款明显是针对境外上市事实已经发生后的事后场景来配置境内机构的属地管辖权的——否则就谈不上“扰乱”和“损害”的适用前提,更适合于应用于瑞幸咖啡造假事件带来国内市场负面后果这样一类的事实场景,而对于滴滴赴美上市之前是否出于国家安全和其他监管考量需要进行事前审批管辖,则没有直接的适用意义。


同样地,新《证券法》第二百二十四条再次如旧法一样出现了“境内企业”、“境外”这两个概念。如同旧法一样,新法仍然未对这两个名词进行明确的定义。以修法之前附则相关条款的解释和适用情况来理解,第二百二十四条中的“境内企业”主要是指依据中国内地法律的规定,经工商行政管理部门注册成立的企业,并且并未区分国有企业与民营企业。问题在于:那些虽然不在中国内地注册,但核心资产、主营业务利润来源和关键高级管理人员均位于中国内地的红筹企业,即使具备前述的“真外资”股权结构特征,是否应当被认定为证券法意义上的“境内企业”、从而纳入第二百二十四条的调整范围?如果第二百二四十条的立法本意即非管住这部分中概股的出海,那么是否在第二条第四款的“域外适用条款”之外(这一条款很难扩张解释到赋予了中国证监会针对红筹出海的前置审批权),再补充修订证券法,纳入针对这类中概股境外上市的境内审批管辖的条文?


三、中概股姓“中”还是姓“外”?:公司法中的“外国公司” vs 证券法中的“境内企业”

本文认为,将滴滴这类在公司法意义上依照注册地所在而被认定为境外法人或者外国企业的红筹企业界定、或者比照为《证券法》第二百二十四条语境中的“境内企业”,对其境外上市的行为进行境内属地管辖(审批和监管),是一种兼顾到对发行人身份进行真实界定的国际经验以及我国境内证券市场的监管成本和公平秩序而采取的可取径路。其主要目的是防止注册地在境外离岸市场、由中国法人或自然人实际控制、国内实体的总资产、净资产、营业收入、利润等指标中的任何一项超过关键比例(有实务专家建议定为50%)的中概股企业,特别是那些处于“关键信息基础设施运营者”、“关键金融基础设施运营者”等敏感行业内的企业,在日益复杂严峻的国际竞争和地缘政治斗争格局下,于出海上市过程中触碰数据安全和国家安全红线,也可帮助此类企业明确境内合规事项的内容、范围、标准和救济通道,从而提升防范风险和应对突发情况的能力。换言之,将此类企业的境外上市“管起来”,并不仅仅是一种限制和监督,而同时也是一种保护和帮助。


因此,由于适用范围和功效的不同,我国《证券法》界定第二百二十四条语境下“境内企业”的方式,应与现行《公司法》第一百九十一条界定“外国公司”(即“依照外国法律在中国境外设立的公司”)的方式,在标准上区别对待。换言之,第二百二十四条的“境内企业”,除了依照中国法律在中国内地设立的公司以外,也应包括50%以上的总资产、净资产、营业收入、利润来源(任何一项指标满足比例即可)位于中国内地的红筹企业。如果按照这一标准,则滴滴的上市主体即使采用了外资占比较大的股权结构,是“真外资”,也可被视为证券法项下的“境内企业”受到境外上市环节的监管。


虽然滴滴事件的事实尚待查明,但很难想象企业在关系到数据出境安全和国家安全的大是大非问题上会草率行之。而监管部门更可能的现实担忧来自于企业在美国证券法律法规、尤其是《外国公司问责法案》关于信息披露和审计底稿受查的要求下,披露相关营运和财务信息(例如供货商名单)所可能带来的、在向境内境外供货商采购关键信息基础设施的产品和服务的环节中,关系到国家安全和信息和数据有可能遭到泄露的风险。例如,滴滴境内数据存储器某个关键元件的境外供应商在某些极端情形下应境外监管部门的要求,就关系到中国国家安全的数据的读取为其“开后门”,并不是一种臆想出来的杞人忧天。应该说,滴滴不上市就没有相关事项的信息披露义务,则境外监管机构也无从获取其供应商的名单、交易条目甚至资金往来细节,更不可能以此为抓手获得对滴滴存储于境内的数据的读取准入。


实际上,滴滴上市招股书中所附的律师出具的法律意见书也载明,此次发行不存在中国法意义上的不合法与不合规事项,尤其指出:(1)中国证监会尚未就本次发行是否符合《外国投资者并购境内企业的规定》(即后文以及“表三”中所言的“10号文”)中所提到的中国证监会审批程序发布任何最终规则或解释;(2)根据《外国投资者并购境内企业的规定》,本次发行不需要获得中国证监会的事先批准;(3)《外国投资者并购境内企业的规定》如何解释和实施仍存在不确定性,上述意见受到任何新的法律、法规和条例或与并购规则相关的任何形式的详细实施规则和解释的约束。


滴滴事件发酵之后,各界关于如何解释《关于外国投资者并购境内企业的规定》(“10号文”)项下的前置报批条款,以及该《规定》是否亟需修订、以应对正在经历迅速和复杂变迁的局势的讨论,预计将再次掀起热潮。


四、关于红筹上市的境内审批监管政策的四个阶段

商务部、国家外汇管理局、发改委和证监会等各个监管部门,在不同时期针对民营企业出海融资、或者中概股通过境内返程投资实现境外红筹上市,实行了宽严尺度不一、动态调整的监管规则。概括而言,境内主管机构对民营企业(包括中概股民企)以红筹模式(俗称“小红筹”模式,有别于国企境外上市的“大红筹”模式)境外间接上市的态度,经历了从几乎完全放任,到试图严格监管,再到支持松绑,再到滴滴事件之后的预期再度收紧四个阶段。


(1)区别对待、优惠待遇、“无障碍时期”(1998-2005年)

这一时期,与境外上市有关的文件仅针对国有企业,私人企业红筹模式境外上市的监管并不明确,存在操作空间。因此, 从1999年到2005年的这段时间, 国内出现了私人企业采用红筹模式到海外上市的浪潮, 从早期的新浪、搜狐, 到后来的百度、新东方, 都采用了红筹模式到海外上市。


值得注意的是,在这一宽松监管的时期,中国证监会曾于2000年6月9日出台了《关于涉及境内权益的境外公司在境外发行股票和上市有关问题的通知》。这份文件对于涉及境内权益的境外公司在香港创业板和美国纳斯达克等境外市场发行股票和上市过程中的发行人合规行为做出了规定,要求境内律师就此类股票发行和上市事宜向中国证监会进行查询或报送法律意见书时必须载明有关发行人的重要事项,并规定了15日的证监会“无异议函”(即出海放行批示)出具期间。


然而,随着2002年出台的《行政许可法》要求未经法律和行政法规授权则不得设立行政许可项目,“无异议函”事项被取消,上述通知也随之被废止。随着这份规定的失效,对于阿里巴巴和滴滴这样的中概股企业赴境外市场的发行与上市行为,即使在2019年新《证券法》出台之后,目前有效适用的关键性境内法律规范仍然是1997年颁布的《国务院关于股份有限公司境外募集股份及上市的特别规定》,也是前述两办于7月6日发布的关于加强中概股监管的联合通知所指出要重点修订的法律。


总结而言,这段时间的监管立场可以概括为从友好实行“无异议函”制度到彻底取消“无异议函”的“无障碍时期”的到来。在无障碍时期,民营企业境外红筹上市,不受境内任何证券监管机构的审批限制。


(2)限制(2006年-2013年)

这段时期的监管态度以2006年由六部委出台的《关于外国投资者并购境内企业的规定》(下称“10号文”)为标志,要求特殊目的公司境外上市须经中国证监会批准(即事前核准)。这一阶段,于2006年1月出台的《证券法》的第二百三十八条将境外上市的审批权力配置给了中国证监会;同年9月,“10号文”的出台则成为了证监会行使该权力的操作办法:境内私人企业设立或控制境外公司的核心目的,在于购买境内公司股东的股权或者境内公司增发的股份,以实现境外公司的上市,该操作需要符合“10号文”的要求,通过证监会的审批。也就是说,从逻辑上讲,于开曼设立的阿里巴巴集团控股公司和滴滴全球公司,如果在这一阶段作为上市主体赴美上市,在“10号文”的要求下必须经中国证监会审批。但事实上, “10号文”出台后从未真正实施,中国证监会迄今也没有根据该文件审批过任何一单中国企业境外上市的先例。然而,没有真正实施、以及没有审批先例,并不意味着这份文件失效。在严格的意义上,如果中国证监会在2021年6月滴滴赴美上市之前依据“10号文”对其行使事前审批,可以说是行使了合法有据的管辖权。


(3)再度松绑、再度支持(2014年-2021年6月)

这一时期的代表性事件有两件。一是《证券法》修订进程中所体现出来的对中国企业间接上市的监管松绑。2015年4月公布的修订草案一审稿曾经在第四章“跨境证券发行与交易”中,规定境内企业境外上市实行向中国证监会的备案制和报告制,不再实行核准制。二是《外商投资法》修订进程中,立法者曾经试图在草案中创设“中国人控制”的概念——规定由中国人控制的境外实体、包括“特殊目的公司”(SPV),如阿里巴巴、百度和滴滴,应被认定为“中国公司”而非“外资企业”,以此便利其返程收购境内中资企业。但是,2019年3月正式出台的《外商投资法》却并未纳入草案的这一尝试,仍然在VIE架构的合法性问题上留白,继续维持了立法层面的不确定性。这也是实务中协助中概股境外上市的中介机构在审视发行人的合规事项时不易把握的一个环节。


政策层面同时值得关注的一点动向是,在这一时期,国家外汇管理局曾于2015年2月15日发布的《2014年中国跨境资金流动监测报告》将阿里巴巴这样的中概股公司定义为“外资企业”。在题为“阿里巴巴不含在我境内企业境外上市统计中”的专栏里,国家外汇管理局指出:2014年,在美国上市的阿里巴巴、京东、陌陌等14家企业,在统计口径上,属于境外企业而非境内企业,因此不属于境内企业海外上市范畴。阿里巴巴之所以被国家外汇管理局认定为境外企业,是因为在纽约证券交易所上市的主体是“Alibaba Group Holding Ltd”(阿里巴巴集团控股有限公司),该公司注册在开曼群岛,是特殊目的公司(Special Purpose Vehicle或SPV)。《报告》进一步指出,:“境内企业境外上市的统计对象是指在中国大陆注册的法人机构,而非中国背景的公司。” 换言之,再次强调阿里巴巴这样的中概股公司不是“境内企业”。


可见,国家外汇管理局作为境内企业境外上市过程中外汇事项的监管机构,与作为境外上市资格审批机构的中国证监会对于何为“境内企业”的理解,有着微妙的差异。不论“境内企业”如何定义,证监会将红筹模式境外间接上市纳入监管已经是近年以来的执法实践,只是执法尺度的宽严在历年间有所起伏。阿里巴巴2014年纽交所上市未向中国证监会报批的商业决定,恰恰与当时处于“宽松监管”阶段的民企海外上市放行政策在方向上不谋而合,虽然“到底是否需要报批”仍然是一个可以讨论的问题。而2021年滴滴在纽交所上市同样未向中国证监会报批的商业决定,在上市之后的国内监管风暴中遭到了拷问,也预示着下一阶段的监管政策和法律即将发生重大变动和转向。虽然中国证监会在滴滴事件中尚未明确表态,证监会主席易会满在7月6日就两办联发《意见》接受的新华社专访中,也主要聚焦于对国内证券市场违法违规行为的“零容忍”,而未特别提到中概股监管问题,但中国证监会下一阶段应两办《意见》,就中概股境外上市的境内管辖和跨境监管合作投入更多的监管资源,是完全可以预期的。


(4)全面收紧(2021年6月30日滴滴赴美上市之后)

如前所述,国家网信办的国家安全审查和随后的两办关于加强中概股监管的联合《意见》,均体现出限制敏感行业的中概股绕过国内审批和监管流程进行海外上市的政策调整趋势。此次中办和国办联合发布的《意见》提出,要加强中概股监管,切实采取措施做好中概股公司风险及突发情况应对,推进相关监管制度体系建设,并修改《国务院关于股份有限公司境外募集股份及上市的特别规定》,明确境内行业主管和监管部门职责,加强跨部门监管协同。


其中,中国证监会作为跨境证券事务的前沿监管机构,其与境内其他的“行业主管和监管部门”加强“跨部门监管协同”的机制和流程如何设计和落实,也是急需研究的紧迫议题。例如,此次滴滴事件中,作为行业主管的国家网信办,如果是在滴滴赴美上市之前已经开始与发行人进行了监管沟通,并且在涉及数据出境安全和国家安全的重大事项上已经提出了明确的合规要求,则是否要知会配置了中概股出海上市审批权的中国证监会?中国证监会又如何行使审查、把关、放行的相关权限?在接受SEC注册申报审批和正式挂牌上市的过程中,发行人是否需要、以及如何将上述事实披露于招股说明书和相关信息披露文件?


结论:境外上市监管前景——敏感行业中概股出海的境内管辖全面收紧


根据《意见》,在跨境证券监管协作的条目下,两办提出要“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规。抓紧修订关于加强在境外发行证券与上市相关保密和档案管理工作的规定,压实境外上市公司信息安全主体责任。加强跨境信息提供机制与流程的规范管理。坚持依法和对等原则,进一步深化跨境审计监管合作。”


其中,相对于常见的“信息披露主体责任”,境外发行人的“信息安全主体责任”概念在跨境上市监管的语境中还是第一次被提出。并且,就这一概念可以进一步解读为处于某些敏感行业——例如关键性金融基础设施、关键性信息基础设施的发行人相较于处于一般行业的发行人负有更为重大的“信息安全主体责任”。


可以预见,滴滴事件之后,我国跨境证券活动监管体制的重大转向前景:敏感行业中的民营中概股出海赴境外红筹上市即将面临境内审批和监管的全面收紧。至于如何收紧,目前实务专家提出的一个可供考虑的思路是“负面清单+事后备案”的模式。例如财新网的专栏作者、中概股境外上市实务专家李寿双律师建议,不宜将具有“真外资”股权结构特征的中概股赴境外上市的审核机制等同或者类似于H股的审核机制而纳入中国证监会国际部的审核范围,而是呼吁由行业主管机关(如网信办和教育部)和证券监管机关建立分类分级的负面清单,对于存在禁止事项的不允许境外上市的主体(例如义务教育阶段的学校),以及对于存在限制类事项的主体(比如涉及数据安全和国家安全的关键信息基础设施运营者),需经主管机关、证券监管机关同意后方可上市。这类似于目前对H股出海上市采取的主管部门“出门条”的做法,并对审核时限和审核流程做出清晰规定,尽量避免“一管就死”、进而将出海大门完全关紧的保守监管倾向。而对于那些不存在负面清单事项的中概股发行人,则不需要特别审核。李寿双律师还指出,可从行业监管和特殊事项监管的角度对发行人的境内实体设置若干禁止性要求,比如数据出境限制、审计底稿出境限制等,并由境内实体在中国证监会进行事后的备案,并同意在特定情况下接受中国证监会对若干事项的管辖,逐步建立起两办《通知》所强调的加强中概股监管、防范中概股公司风险和突发情况的制度体系。本文认为,以上思路具有兼顾维护国家安全红线和照顾重点行业的中概股企业利用国际国内两个市场获得融资支持以获得长远发展之双重现实需求的考量,颇有为继续探讨制度空间提供合理策略的价值,值得关注。


而7月10日国家网信办所发布的《网络安全审查办法》的修订征求意见稿的直接修订事项就是启动对中概股境外上市事项的网络安全审查,可谓是直接由滴滴事件促生的重大规制调整。其中,征求意见稿的第六条要求“掌握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查”。而在第四条列举的十余家与国家网信办会同行使国家网络安全审查工作机制的机关清单中,特别增补了中国证监会。其他各家单位分别是发改委、工信部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、广电总局、保密局和档案管理局。第十条在提到就境外上市所带来的国家安全风险进行审查所需考量的因素中,特别增补了“国外上市后关键信息基础设施,核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险”,充分揭示了监管层对于当前严峻的国际政治局势可能通过境外资本市场监管机制(例如《外国公司问责法案》项下的额外信息披露和审计底稿查询要求)的传导危及国家安全具有清醒的认识。


可见,未来对具有“关键信息基础设施运营者”属性的敏感行业中概股境外上市收紧境内监管、强化属地管辖已是大势所趋。中概股境外上市的境内合规举措和中介机构的相关尽职调查必将成为新的行业关切和市场关切焦点,就此审慎做出商业决定和法律研判将是中概股所集体面临的大考题。


回复

使用道具 举报

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

 楼主| 2021-7-13 13:53:40 | 显示全部楼层
对《网络安全审查办法(修订草案征求意见稿)》有关企业上市相关问题的分析与建议

大望路观察家


2021年7月10日,国家互联网信息办公室(以下简称“网信办”)公布了《网络安全审查办法(修订草案征求意见稿)》(以下简称“《征求意见稿》”),向社会公开征求意见。由于该《征求意见稿》公布的时间特殊,引发了较多的社会关注。现就该《征求意见稿》中有关企业上市相关的若干问题,分析与讨论如下。


一、该《征求意见稿》何时会变为正式的部门规章

目前,考虑到政策的不确定性,大多数中国企业的美国IPO工作都处于观望状态,很多可能涉及网络与数据安全的企业都在等待明确的政策出台,以避免出现违规上市的情况。该《征求意见稿》的出台可以算是一只靴子落了地。相比于《征求意见稿》的内容,人们首先会关注该《征求意见稿》何时会变为正式的部门规章。


在笔者看来,该《征求意见稿》变更为正式部门规章的时间,应不会早于2021年9月1日。原因很简单,相比现行有效的《网络安全审查办法》(以下简称“现行办法”),该《征求意见稿》增加了一个规章制定依据,即《中华人民共和国数据安全法》(以下简称“《数据安全法》”)。《数据安全法》规定了数据处理的概念,并对数据处理者的责任进行规定,这对于该《征求意见稿》非常重要。因为相比现行现行办法,《征求意见稿》最显眼的变化之一,就是将“数据处理者”追加为可能需要网络安全审查的“运营者”。


数据安全法》于2021年6月10日通过,其生效日为2021年9月1日。有鉴于此,考虑到《征求意见稿》的重要法律依据之一便是这个《数据安全法》,而《征求意见稿》本身规定的征求意见的截止日期是2021年7月25日,那么,在征求意见截止日至9月1日之间,不过是一个月的时间,网信办没有道理让《征求意见稿》在《数据安全法》生效之前抢跑成为正式规章从而引发较为严重的法律争议。


因此,笔者判断《征求意见稿》最早会在2021年9月1日成为规章。而在2021年9月1日之前,现行办法仍然是有效的规章。


二、掌握超过100万用户个人信息的运营者上市问题

《征求意见稿》最引人关注的是第六条“掌握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查”。就该条而言,有以下几点值得讨论:


1.“国外上市”还是“境外上市”

《征求意见稿》第六条的“国外上市”,是以前的证券法律、法规很少见的用法。以前的证券法律、法规最常用的词是“境外”。例如,《证券法》第二百二十四条规定,“境内企业直接或者间接到境外发行证券或者将其证券在境外上市交易,应当符合国务院的有关规定”,其用词为即“境外”。“国”外和“境”外,一字之差,天壤之别。


在中国的法律体系下,“国外”是“境外”的子集,“境外”包括了中华人民共和国香港特别行政区、澳门特别行政区、台湾地区这三个中国领土不可分割的部分,以及“国外”。虽然很多香港澳门同胞经常喜欢用“国内”来指代相对于香港的中国内地地区,但是从法律角度来看,香港根本不可能是“国外”。这是一个涉及国家根本的问题,因此,这里的国外上市,只可能指的是企业在美国、英国、新加坡等外国的资本市场上市。香港特别行政区不是国外,所以企业赴香港联交所上市,不是“赴国外上市”,无须“向网络安全审查办公室申报网络安全审查”。


我相信,《征求意见稿》的起草者,不可能在这种涉及国家主权和领土完整的大是大非问题上有半点含糊的,至少从他们的立场来看,他们是不希望将企业去香港上市纳入安全审查范围的,所以才会在字斟句酌的时候,没有用“境外”而用了“国外”。


然而,也有部分证券业内人士对此仍有疑虑,理由是:


第一,《证券法》的用词是“境外”,“国外”这个词,确实系首次出现什么的,“没有先例”。此外,《数据安全法》的规定也有点“冲突”,一方面,《数据安全法》第三十一条在提到“关键信息基础设施运营者“和”“其他数据处理者“的数据出境的时候,用的是“境外”,而第三十六条涉及外国司法和执法机关调查的时候,用的又是“国外”。两边都有点关系,两边范围略有不同。这可能引发了一些业内人士的困扰(如果他们在解读《征求意见稿》的时候时候同时也看了《数据安全法》的话)


第二,现在《征求意见稿》毕竟只是征求意见稿,正式生效后,为了堵上香港上市这个“口子”,上述第六条会从“国外”改为“境外”,或者在规章结尾加个港澳台地区参照适用的补丁,届时,赴香港上市就同样要纳入网络安全审查了,这就会对中国互联网行业产生极其深远的影响了。


在我看来,这样的担心有一定道理,但可能性不大,具体原因如下:


首先,从法律上看,《中华人民共和国香港特别行政区维护国家安全法》(以下简称“《港区国安法》”)已经生效并有效实施,香港证监会、香港联交所以及香港上市过程中的相关香港中介机构作为香港特区的机构、组织和个人,都有义务遵守《港区国安法》。《港区国安法》第二十九条规定“为外国或者境外机构、组织、人员窃取、刺探、收买、非法提供涉及国家安全的国家秘密或者情报的……属犯罪”。《征求意见稿》对运营商所拥有的信息,完全可以界定为涉及国家安全的国家秘密或情报,那么香港方面的证券监管机构以及证券中介机构和个人,也都附有对该等信息保密的义务。这和美国SEC等国外证券监管机构等有根本区别。从这个意义上来看,《港区国安法》确实给香港资本市场设定了相对于外国资本市场更高的义务,但也相应的应当赋予了外国证券市场所没有的“特权”。


其次,从政治上来看,香港特别行政区虽然属于“境外”,但毕竟仍然是一个中国政府有效行使主权的特别行政区。尤其是在,如果把香港证监会和香港联交所和国外的证券监管机关以及证券交易所同等对待,那么看起来就有点像是否定《港区国安法》对立法和实施成果了。尤其是在《征求意见稿》已经明确限定在“国外”上市的情况下,如果最终生效版本把“国外”改为“境外”,那么难免会给境外敌对势力借题发挥、造谣生事、挑拨离间创造了机会。这就等于是给境外敌对势力递刀子了。


接下来,从规章修改的起因来看,直白说就是为了应对来自美国方面对在美上市的“中概股”所提出的各种挑战。香港证监会、香港联交所与此毫不相关,而且香港方面和内地方面也有着顺畅的沟通和配合机制,没有道理把针对美国方面的挑战而设定的网络安全审查机制扩展到香港。


最后,从反垄断的角度来看,还是要给《征求意见稿》所监管的企业留有发展空间。虽然这些年,部分企业在隐私保护、数据安全等方面也发生过这样那样的问题,但是从生产力发展的角度来看,整个行业仍然还是有存在和发展必要的,也还是应该给业内企业一条出路。在腾讯、阿里等行业巨头已经上市并发展成接近垄断等巨无霸企业等情况下,如果对于行业内未上市的新兴公司的上市相关审查过于严苛,那么也就意味着行业内将很容易维持强者恒强的垄断局面,并进而形成一些企业“大到不能倒”,反而不利于国家安全。如果能够在政策上保留一定的灵活性,即对确实可能存在安全风险的国外上市,进行事先的国家安全审查,对于已经有《港区国安法》保障国家安全的香港上市不做事先的国家安全审查,可能从整体来说,对整个行业更为有利。


因此,我理解,现有《征求意见稿》的“国外上市”不可能包括香港上市,这是大是大非问题,根本无需讨论。其次,综合以上分析,我认为未来《征求意见稿》将审查范围扩展到香港的可能性也不大。


如果说有什么地区需要关注的话,那可能就是台湾地区。台湾地区毫无疑问是“国内”,台湾地区同样也有证券交易所。目前,台湾地区证券交易所并不接受实际控制人为大陆人的公司去台湾证券交易所上市,但是却不禁止在大陆地区有业务的台资企业回台湾证券交易所上市。这些台资企业虽然不至于经营关键网络基础设施相关的业务,但是以目前大陆地区的电子商务发达程度和对外开放程度,难免有台资企业“掌握超过100万用户个人信息”。考虑到目前两岸关系,从数据隐私安全等角度来看,这些台资企业的风险可能远高于在美国上市的普通红筹/VIE结构企业。因此,建议在规章的最后,将赴台湾地区做参照性规定,以避免出现监管漏洞。


2.“上市”?

人们常说的“上市”,比如,BB公司赴美“上市”,其实是狭义理解的上市,其实际上分成了两个阶段,第一个阶段是BB公司的股票/ADR首次在境外的市场上公开发行(就是IPO),第二个阶段是完成了公开发行后的BB公司的股票/ADR在美国的证券交易所上市(就是Listing)。A股也是这样的,我们的A股主板“上市”的重要的规章叫什么?——《首次公开发行股票并上市管理办法》。


然而,如果上市做广义的,或者法律意义上的理解,可就宽泛了。首次公开发行股票之后,股票上市,这是上市。公司在“上市之后”增发新股,然后新股在证券交易所上市,这样是上市。公司发行了股票期权之类的衍生品,这些衍生品也可以在证券交易所上市。最后,更重要的是,公司如果发行的不是股票而是债券,这些债券同样也会在交易所上市。外国交易所里的新加坡交易所和爱尔兰交易所,就承揽了挺多中国公司的美元债券或欧元债券的上市,而且还是国外上市。


那么问题来了,这些“首次公开发行股票并上市之后”的国外上市,尤其是公司债券的国外上市,《征求意见稿》第六条及相关条款是否适用呢?如果也适用,可就不是简单的互联网公司的事了。比如说,中石油、 中石化这些央企以及中国银行这样的商业银行就经常在境外发行美元债、欧元债并在国外的交易所交易,这些机构就算不是关键信息网络基础设施运营商,但就掌握100万用户个人信息来说,是非常简单的事儿(不说别的中石油、中石化的加油卡就包含了多少人的多少信心?),他们的每次的债券发行后,如果在新加坡、爱尔兰这样的交易所上市,需要适用《征求意见稿》第六条么和相关配套规定么?


对于已经在国外上市的互联网公司等大量掌握用户个人信息的公司,他们在国外每次增发股票和上市,也需要适用《征求意见稿》第六条和相关配套规定么?


单看《征求意见稿》的第六条,在国外的债券上市和增发股票上市,都需要申报安全审查。但是如果综合征求意见稿上下文来看,似乎立法本意是——不需要。


《征求意见稿》第八条提到,“运营者申报网络安全审查,应当提交以下材料“(三)采购文件、协议、拟签订的合同或拟提交的IPO材料等”。这里的用词是,“IPO”,也就是我前面说的,“首次公开发行股票”(没有人把首次公开发行债券叫IPO)。用的措辞并不是“发行上市资料”。


至于为什么这么写,我不做评论,但是从这一条可以看出,网信办在起草征求意见稿的时候,其脑海中想的,或者说“立法本意”,其实管的是“首次公开发行股票并上市”。应该没有想过要管其他证券在国外发行上市。


这是有道理的。


首先,就在国外公开发行债券并上市来说。我相信这不是立法本意,而且业务监管必要。债券发行的信息披露极其有限,核心在于还本付息,这和高度依赖信息披露,证券价值与信息披露质量高度相关的股票还是有本质区别的。目前发改委、国家外管局等机关对于企业在国外的债券发行和上市已经有了比较成熟的事前审核,应当无需再增加审核环节。如果真要每次债券发行上市都要披一次,那么几乎每年都要发行债券,借新债还旧债的的那些掌握大量用户信息的巨无霸和证券公司们,估计都要崩溃掉。网信办的工作压力也会骤增。


其次,就在国外公开增发股票或存托凭证或者期权之类的衍生品并上市来说。增发时的信息披露和IPO时差别也很大。比如在美国增发股票并上市的时候甚至都无需审计师出具正式审计报告,只要出具个审阅稿即可,相关信息披露也极有限,简单说,增发的时候实在是审不出来什么东西。而且,公司IPO了,已经纳入外国证券监管部门监管了,“风险”已经形成了,重点就真的不应该是怎么管公司再融资了,而是怎么防范风险的真的发生。


然而,这一条还真的得改一下。立法本意是一回事儿,规章的文本解释又是另一回事。如果这一条在正式版的时候不改动,网信办又不做书面的解释说明(最好别是很难评估其效力的答记者问),那么将来一定乱套了。中石油、中石化公开发行债券和上市的时候,所有人一定都会难为律师,让律师出意见。而且一定是有的律师敢出意见、有的律师不敢出意见。券商经历了这么多事件后,估计也不敢大意,肯定还是会要求发行人安排去访谈一下网信办。但是访谈谁、什么流程、怎么接待?经历了这么多事儿后,可能也没那么简单。而且,万一遇到网信办相关部门的同志因为各种客观原因来不及接待怎么办(比如集中学习、出差什么的)?等着么?中石油、中石化这样的向来硬气,估计该上还是会上。那些民营企业咋办呢?


从避免混乱,以及避免相关部门具体工作的同志犯错误的角度出发,我建议这一条还是从简单的“上市”,修改为“首次公开发行股票或存托凭证并上市”。相应的,第八条的“IPO”也改为“首次公开发行股票或存托凭证并上市”。因为IPO从严格意义上来说,只包含股票发行,不包含上市,而股票发行完毕到上市期间,企业还是可能调整信息披露文件,回答国外证券监管机关问题的。


3.“掌握超过100万用户个人信息的运营者”?

为了上市,需要申报安全审查的主体是“掌握超过100万用户个人信息的运营者”。这一条很有意思,和我之前预测的不大一样。


在《征求意见稿》出来之前,我以为,在现在的形势下,“关键信息基础设施运营者”,要到“国外”上市,都应该管起来。“数据处理者”,如果要管,应该根据数据收集的性质、体量等因素,区别对待。最科学的做法是把达到一定体量、处理一些特定性质数据的“数据处理者”定义为“关键信息基础设施运营者”。现在看起来,网信办比较在乎的是“个人信息”,他们概念里的一定体量,是“100万用户”。那么问题来了,会不会有不收集用户个人信息,但又很关键的关键信息基础设施运营者呢?这些企业如果去国外上市,就可以不用网信办审查么?还是说,这些企业,基本上按照国家现行的市场准入的规则或者惯例,其实也不会像某公司那样去国外上市?


其实这一条这么写,有个好处,是什么好处呢?就是在一定意义上保护了我们的关键信息基础设施运营者。因为判断标准比较直接“100万用户个人信息”(具体怎么断句这个事儿我接下来再谈),所以境外敌对势力也搞不清楚,到底这去美国上市的,是关键信息基础设施运营者,还是数据处理者。如果非要明确告诉资本市场,这个上市公司是国家认定的关键基础设施运营者,那么万一三年后那个金头发的人又回华盛顿了……这里换一个标准,有价值。


接下来是,“100万用户个人信息”。友商们做了不少解读,我个人理解肯定是100万用户。但是等到真的IPO的时候,到底是100万个用户,还是100万条个人信息,这个还真是个问题,网信办最好到时候解释一下,或者最高根据立法本意打磨一下条款文本,我这里就不猜了。这次修改的条款文本要打磨的地方也不止这一处。


其实真正值得讨论的是,何为“掌握”?因为这直接影响到大方向。


收集用户数据等,不光是互联网公司,甚至是线下的杂货店、快餐店、玩具店这些零售企业,生产销售数码产品的硬件企业,甚至运动鞋生产企业,最低层次要注册个会员收集个姓名电话吧,更高级一点比如智能手表啥的,处理的信息海了去了,而且基本都是个人信息,数量随随便便就几千万上亿。这些企业如果去美国、新加坡之类的地方上市,都要经过安全审查么。如果,我是说如果,万一征求意见中有个如郭图般多智的谋士说服大家把“国外”改成“境外”,把香港上市也管起来,这动静就有点大了。


所以,包括我在内不那么足智多谋的律师们,第一时间想到一个笨办法,就是剥离数据。老师在那里嘛,在中国,有云上贵州和苹果,在美国,有TikTok。企业可以把数据,放到上市公司之外的机构来掌握。如果是去美国上市,对于什么关联交易、同业竞争、大股东依赖性通通不要求,只要披露即可通过的,那就由企业的创始人自己设立个全内资企业,也不签VIE协议,把数据签过去,做个关联交易就好了。美国律师们也别太push,逼着要这个要那个的(逼得很了以后也就没什么美国上市这个生意了)。


应该也就差不多了。香港上市,合规要求高,那就看看是不是找云上贵州之类安全可靠的供应商,学习苹果在国内的做法。应该是个出路。


那么就要看“掌握”怎么定义,或者说,什么样的情况,可以不算掌握。我理解,对于现在国内公司去美国上市,在判断“掌握”的标准时,拿云上贵州做个参考吧,也便于网信办的同志们把关。苹果是根蓝苗正的美国公司,也是上市公司,苹果掌握的数据理论上可以引导美国巡航导弹过来定点炸人了,如果苹果的云上贵州方案都可以被接受和认可,那么那些根红苗正的中国创业者的公司的类似方案,似乎也没有道理不被认可。


这可能是实务中真正值得讨论和关注的问题。


三、总结

由于时间关系,虽然《征求意见稿》里还有不少事项琢磨起阿里很有意思,但是我也不好意思找我团队的合伙人、律师和律师助理们捉刀(大家都忙得很,真强迫安排下去了估计也不会好好思考认真写),所以我对有关《征求意见稿的》的分析和建议也就是这些了,肯定不全面。接下来说点笼统的建议:针对市场从业者的。


第一,还是要去提意见。尤其是相对客观中立的律师们,还是要提意见。如果方向性的事情不方便议论,至少帮助网信办的同志,在文本上更好的打磨这个办法。比如说“第二条 关键信息基础设施运营者(以下简称运营者)采购网络产品和服务,数据处理者(以下称运营者)开展数据处理活动,影响或可能影响国家安全的,应当按照本办法进行网络安全审查”,这样的虽然把事儿说清楚了,但是如果遇到处女座读者,肯定觉得要改改的。不如就再改一下。改成诸如“第二条 关键信息基础设施运营者采购网络产品和服务,数据处理者开展数据处理活动,影响或可能影响国家安全的,应当按照本办法进行网络安全审查。前述关键信息基础设施运营者、数据处理者以下统称运营者”或者更精确的。诸如此类。


第二,要关注法律的体系,而不是规章本身。读这个规章,以后运用这个规章,一定要看上位法,比如《国家安全法》、《数据安全法》、《网络安全法》什么的。


第三,要关心政治、关心大趋势和大方向,别光顾学英语了,还是要多学习,做出的商业决定或者法律判断不要和主流不一致,更也不要逆主流来。尽量在符合主流大趋势的基础上寻找解决问题的办法。


以上,与大家共勉。

回复

使用道具 举报

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

 楼主| 2021-7-13 14:45:51 | 显示全部楼层
图片丨Bing

大而不从

核心观点

1、从,两个意思:听从和遵从。

2、大而不从的意思是,公司大了,觉得自己有足够的资格和资本,可以不听从政府的建议意见、不遵从法律法规了。

3、大而不从,并非意味着大而不倒…

4、这个事件是划时代的,标志着一个时代的终结。野蛮生长成为过去式,守法合规成为潮流。

5、中国政府在公平和效率之间寻求再平衡,是目前发展的大背景。

6、我们需要有人能够用西方的思维和逻辑,用他们的语言把中国的情况解释清楚。

7、中美的密不可分有赖于健康的经贸合作和活跃的资本市场沟通,是中美关系最实质、最沉甸甸的压舱石。


含义

从,两个意思:听从和遵从。


大而不从的意思是,公司大了,觉得自己有足够的资格和资本,可以不听从政府的建议意见、不遵从法律法规了。


大家都以为自己知道在说哪家公司。事实上,远不止一家。


最近一周多时间推出的监管政策,震惊了全球资本市场。


但冰冻三尺非一日之寒。


时间线

去年,一家在线借贷平台在 printer 准备递交香港上市的A1表格时,央行致电投行,明确表示不能上市。后来这家公司在美国上市。央行震怒。这是种子。


上半年有家中国公司退市,商业模式不成立,去美国割韭菜去了。这是trigger。为杜绝这种情况再发生,针对VIE架构去海外上市的公司,有关部门准备起草规定。彭博有报道。


二季度,有家公司不顾主管部门的建议,业务关停未被验收就强行上市。监管机构震惊之余,后续和相关部门有持续沟通。这是加速器。


6月30号的美国上市,最后推了一把。


在这期间,在线教育行业面临严肃监管和整改,但仍然有一家行业公司不考虑行业现状,完成美国上市,另外一家同行业公司也公开递交。


了解资本市场的朋友都知道是哪些公司。


一个个的公司不听从监管的建议和劝阻,一而再、再而三地刺激监管的神经。


大而不从!完全漠视政府和监管的意见。


现在,结果大家都看到了。


所以,监管意味深长地提醒我们,大而不从,并非意味着大而不倒…


命运和意义

阿里是政治问题,它既有政治问题,又有法律问题。


这个事件是划时代的,标志着一个时代的终结。


野蛮生长成为过去式,守法合规成为潮流。


一级市场

LP 非常关心 VIE 架构的中国企业去美国上市的前景。如果受限,美元基金的投资就会减少,他们在考虑是否需要削减对中国的配置。


他们同时要求,现在一定要把业务合法合规当做最重要的投资考量因素。ESG中的G (governance) 公司治理,一直都被认为是很白左的指标。现在看,有了非常真切的定义和落地。


从一开始创业,公司业务就必须合法合规,一开始就要“从”,不要妄想把业务做大了之后再“从”,因为监管可能并不会给你长大的机会。


一级市场投资需要切实落实 ESG,把尽调中的法律合规问题,放在首要位置,先考虑“从”,然后再讨论投资的可能性。


看征求意见稿,境外 IPO 审批流程变长。所以市场预期美国 IPO 变少,香港 IPO 增加。但香港联交所对合规要求高,即便被允许香港上市,很多互联网企业也无法满足合规要求。所以,创业从一开始就要业务合法合规,要“从”。


二级市场和外媒

基金经理关心两个问题:已上市的中概股是否需要回补审批;下半年排队美国 IPO 的公司,已经秘交或者公开递交,是否需要批准。


未来的 IPO 中,监管审批和法律和合规问题,会被首当其冲问到。因为这些是一,业务情况/财务指标是后面的零。没有前面的一,后面的提问毫无意义。


有基金开始考虑调整中概股的配置,如果成真,中概股的股价将进一步受压。


对冲基金的仓位调整快。相比之下,中长期的投资机构,比如养老金和国家主权财富基金等,调整一个大类的配置之前,通常需要首先做全盘考虑和调整全面的资产配置方案,策略一旦改变并启动,需要几年时间完成。他们对中国的关切不仅影响到在二级市场对中概股的配置,同时也会影响在一级市场对 PEVC 的配置。


近年来,全球机构投资者都在采取“牺牲流动性、换取高收益”的资产配置策略,增加对 PEVC 的配置,因为美国市场已足额配置,中国是其他唯一可选的市场。为了在中国开始配置或者增加配置,于是他们请求 Preqin 撰写中国行业报告,为他们的投资提供依据。2019 年,Preqin 首次出版了中国 PEVC 行业的旗舰报告。


全球机构投资者刚刚开始考虑大幅增加在中国的配置,这个进程才开始,就有可能被打断…


PAC 作为中国唯一的基金参与了 2019 年报告的撰写,当时就指出了监管的重要性,建议公司要主动拥抱监管,业务获得监管的理解,和监管建立互信。(关注公号,后台回复“2019”,获得 2019 年 Preqin 中国 PEVC 行业旗舰报告)


今年 2 月,PAC 第四次作为中国唯一的基金参加了 Preqin 首次出版的 APEC 地区 PEVC 报告的撰写 (6月份已出版),针对外媒反复提到的中国政府打压科技行业的说法,PAC 提出监管的正常化和常态化的概念 (normalization),鼓励投资机构引导被投企业和监管对接,“积极主动”地和监管对话。只有获得监管的认可,公司才能健康发展。(关注公号,回复 APEC,获得 Preqin 首次出版的 APEC PEVC 行业报告)


外媒的反应迅速而敏感。全球所有的主流媒体都刊登了近期的消息,华尔街日报和金融时报都是头版,主题都是中国打压互联网和科技行业。


他们没有意识到,中国互联网行业过去 20 年的发展和繁荣有赖于极其宽松的监管环境。他们之所以认为中国互联网行业被打压,是有幻觉并错误地认为,过去宽松的政策应该持续。


他们没有意识到,中国政府在公平和效率之间寻求再平衡,是目前发展的大背景。不论是针对教培行业的政策,还是对扬子江药业反垄断的罚款,还是社区团购挤压社会平民阶层的生存,无一不是这种大背景下的几朵浪花。


看看小扎在参议院听证会上狼狈不堪的样子,读读新任美国联邦贸易委员会主席 Linda Khan 那篇著名的法律论文,怎么利用反垄断法遏制亚马逊的业务扩展到新领域,他们就能知道,如何有效监管互联网行业是全球各国政府的任务,中国当然也不例外。


所以,他们的认知有问题。


但很遗憾,我们没有人在外媒上发声。我们需要有人能够用西方的思维和逻辑,用他们的语言把中国的情况解释清楚。


前不久,Andrew Sorkin (《大而不倒》的作者、纽约时报记者、CNBC 主持人)采访蔡崇信的视频,被广泛传播。大家喜欢这种自信、理性、逻辑清晰、不卑不亢的事实陈述,这种讲好中国故事的人,多多益善,这种场合,越多越好。


现在,一级市场需要“讲好中国故事”的意见领袖。


享尽 20 年互联网发展红利的投资人,需要义不容辞地承担这样的义务。国家和行业都在呼唤你。


市场的担忧,开始超越经济层面

市场有担心,事态持续发展,有可能超越经济层面,对中美关系产生影响。


过去 20 年,所有中国头部的互联网公司全都获得了美元基金的投资,绝大部分通过美国上市实现了跨越式的发展,促进了科技进步和行业发展。无论从消费领域的电商到支付,还是各行各业从数字化到智能化,美元基金支持的互联网行业和科技行业,在过去二十年,一直引领着全球的潮流。也成为国家和人民骄傲和自豪的一个来源。


90 后和 00 后,尤其是在国外学习生活之后,感受到国家的迅速发展,大大提升了国家认同感,在社交媒体上也昂扬着民族自豪感,这些都时时在映射着通过技术改变生活的互联网公司的身影。


美元基金的 LP 中包括非常多的美国养老金、大学捐赠基金和其他美国机构投资者。说美国人的钱促进了中国互联网行业的发展,并不夸张。当然,投资中国互联网行业获得了良好的回报,反过来也促进了美国养老金的收益和有效覆盖。这形成了中美两国不能轻易 decoupling 的重要环节,也是在两国关系每每出现紧张局势时,为什么总是华尔街冲在最前面、愿意提供沟通、愿意为我们说话的重要原因。


今年华尔街日报有篇文章,用数字说明了这个互惠互利的情况。


从高盛的鲍尔森在非典期间访问北京,到黑石的苏世民,到摩根大通的杰米·戴蒙,华尔街从来不缺愿意在危机时刻力挺中国的领袖人物。


领导人从战略高度管控和引领中美关系,认为中美关系的重要性,怎么强调也不过分。作为全球最重要的双边关系,中美的密不可分有赖于健康的经贸合作和活跃的资本市场沟通。毫无疑问这是中美关系最实质、最沉甸甸的压舱石。


一周时间来,从纽约到 DC 到伦敦,境外投资机构纷纷致电全球知名的政策咨询公司,希望了解事态进展并表达了不同程度的担心:如果中国企业赴美上市困难,机构投资者就会削减在中国的 PEVC 配置和在二级市场对中概股的配置,通过资本市场建立的强纽带关系就会开始弱化。资本市场担心,中国和华尔街的关系一旦开始出现裂纹,压舱石被动摇,中美关系就会受到影响。


这也是全球如此关注这个事件的底层原因。


基金经理的隐忧,虽远,但也并非毫无道理。


他们 6 月份一个轻狂的决定,没想到竟然成为了中国创业企业、互联网行业和中美关系的千夫所指!


一个时代的终结,总意味着一个新时代的开始。


配合 6 月份国常会对双创的倡导,中国需要有一个活跃的创新创业行业。


创业企业遵从法律法规,资本市场健康规范,中美关系有坚实的压舱石,这一切都是中国市场和全球投资者的期盼。


我们心怀期许,一起等待。


回复

使用道具 举报

2万

主题

3万

帖子

3万

积分

专家团队

Rank: 10Rank: 10Rank: 10

积分
36008

2020税务高考

 楼主| 2021-7-19 09:44:45 | 显示全部楼层
咨询洞察 |《网络安全审查办法(修订草案征求意见稿)》修订内容全文解读
赛博星人


引言

  随着信息技术的发展,新型智能设备及数字化产品等先进制造业发展加快,互联网、大数据、人工智能和实体经济深度融合,数据得到了广泛的应用,数字经济正发展得如火如荼。2012年联合国就曾发布大数据政务白皮书,指出数据对于联合国和世界各国政府来说是一个历史性机遇。数据正成为一种宝贵的资源甚至是新的生产要素是颠扑不破之事实。
  在全球化格局不断变化重组的当下,数据也逐步成为国家安全面临的新局面新情况。基于我国统筹传统安全与非传统安全的国家安全方针,数据安全是非传统安全的核心部分,是国家安全制度体系及国家安全能力建设的重点内容。如上一期我们分享的《数据安全法》解读内容所示(见图1),国家的领域空间不再只包含传统的物理空间,网络空间已成为与物理空间并列的重要领域范围,而数据作为网络空间中的必要要素,其主权特性在各种领域、事件或研究中得到增强。
  数据安全已成为国家安全的重要内容,世界多国也纷纷将数据安全上升至国家安全高度,不断建立完善数据安全制度,加快数据安全保护及安全监管。


图1:《数据安全法》解读内容


近日,滴滴赴美上架后被进行网络安全审查,并被要求下架整改。随后,国家网信办依据《国家安全法》、《网络安全法》及《数据安全法》修订了《网络安全审查办法》向社会公开征求意见。修订草案拟新增规定,要求掌握超过百万用户个人信息的运营者赴国外上市,必须申报网络安全审查。该修订是对当下热点问题的及时回应,从中我们可以感知到国家正逐步完善数据安全保护和安全监管的体系建立,数据安全不再单单只关注个人和企业组织的权益、利益,已经被提升到国家层面,对于此相关企业组织需要重点关注并遵守相关规定。
  针对此次的修订草案,普华永道数据安全及隐私保护服务团队进行了全文对比解读,并梳理了网络安全审查的审查期限流程图,供企业客户及广大读者交流之用。如需转载请联系我们获得授权并注明出处。


01


网络安全审查办法》2020年版
第一条 为了确保关键信息基础设施供应链安全,维护国家安全,依据《中华人民共和国国家安全法》、《中华人民共和国网络安全法》,制定本办法。
网络安全审查办法(修订草案征求意见稿)》
第一条 为了确保关键信息基础设施供应链安全,维护国家安全,依据《中华人民共和国国家安全法》、《中华人民共和国网络安全法》《中华人民共和国数据安全法》,制定本办法。
修订内容解读
增加了《数据安全法》作为上位法依据,《数据安全法》已经正式公布,将于2021年9月1日正式施行,该修订符合《立法法》中部门规章制定的要求。同时,也反映了修订本办法的主要目的是应对数据安全问题对国家安全的影响,数据安全将是网络安全审查中的重要内容。

02

网络安全审查办法》2020年版
第二条 关键信息基础设施运营者(以下简称运营者)采购网络产品和服务,影响或可能影响国家安全的,应当按照本办法进行网络安全审查。
网络安全审查办法(修订草案征求意见稿)》
第二条 关键信息基础设施运营者(以下简称运营者)采购网络产品和服务,数据处理者(以下称运营者)开展数据处理活动,影响或可能影响国家安全的,应当按照本办法进行网络安全审查。
修订内容解读
增加了主体,实则是扩大了规章的适用对象及行为范围。实务中许多企业组织并不确定自身是否属于关键信息基础设施运营者,暂无生效的规定对该主体映射的企业类型进行明确定义,2020年4月就《网络安全审查办法》答记者问时,相关负责人提到在电信、广播电视、能源、金融、公路水路运输、铁路、民航、邮政、水利、应急管理、卫生健康、社会保障、国防科技工业等行业领域的重要网络和信息系统运营者在采购网络产品和服务时,应当按照《办法》要求考虑申报网络安全审查,而实务中不少涉及大量数据使用或网络安全的非属此几类领域的企业,原有的规定不明确的同时也形成了规制的“窟窿”。
行为方面,原条款只规定了采购网络产品和服务的行为,不能有效评价其他会产生安全风险的行为。修订增加数据处理者的主体,能囊括评价更多的企业组织,只要有开展数据处理活动的运营者,则会落入规章的规制范围。大大提高了监管的范围及力度。

03网络安全审查办法》2020年版
第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合,从产品和服务安全性、可能带来的国家安全风险等方面进行审查。
网络安全审查办法(修订草案征求意见稿)》
第三条 网络安全审查坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合,从产品和服务安全性、可能带来的国家安全风险等方面进行审查。
修订内容解读
未进行修订。

04

网络安全审查办法》2020年版
第四条 在中央网络安全和信息化委员会领导下,国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局建立国家网络安全审查工作机制。网络安全审查办公室设在国家互联网信息办公室,负责制定网络安全审查相关制度规范,组织网络安全审查。
网络安全审查办法(修订草案征求意见稿)》
第四条 在中央网络安全和信息化委员会领导下,国家互联网信息办公室会同中华人民共和国国家发展和改革委员会、中华人民共和国工业和信息化部、中华人民共和国公安部、中华人民共和国国家安全部、中华人民共和国财政部、中华人民共和国商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、中国证券监督管理委员会、国家保密局、国家密码管理局建立国家网络安全审查工作机制。网络安全审查办公室设在国家互联网信息办公室,负责制定网络安全审查相关制度规范,组织网络安全审查。
修订内容解读
增加了网络安全审查工作机制建立的监管单位主体。
证监会的加入是对上市企业的网络安全审查加严的重要信号,自此,相关部门由12个增加到13个。
网络安全审查办公室的设置依然保留,此机构的设置也意味着网络安全审查本身是常态化工作,属于监管机关重点关注内容。但具体的审查动作由什么部门或机构来执行暂未在本办法中明确,机制和制度规范的具体落地执行不清晰,但通过对本办法第九条的规定分析,我们认为网络安全审查办公室是一手处理者,是企业申报过程中需要对接的首要“窗口”。

05

网络安全审查办法》2020年版
第五条 运营者采购网络产品和服务的,应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的,应当向网络安全审查办公室申报网络安全审查。关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。
网络安全审查办法(修订草案征求意见稿)》
第五条 运营者采购网络产品和服务的,应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的,应当向网络安全审查办公室申报网络安全审查。关键信息基础设施保护工作部门可以制定本行业、本领域预判指南。
修订内容解读
未进行修订。但该条款未进行修订与本办法第二条的修订脱节。条款保留原有条款的表述,缺失了数据处理者开展数据处理活动的情形,是草案的瑕疵之处。

06

网络安全审查办法》2020年版
无对应条款
网络安全审查办法(修订草案征求意见稿)》
第六条 掌握超过100 万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查。
修订内容解读
新增条款,是本次修订的最大亮点和关注点。该新增条款是对原第五条中主动申报审查情形的增加,单独作为一条条款,体现了上市企业的网络安全审查重要性。条款的核心内容主要有以下三部分:
“掌握超过100万”:强调对数据的控制性和控制量。基于本办法的定位和与个人信息保护的统一性,我们分析认为100万对应的应是个人信息的主体数量,而非信息的条数。对于大多数涉及个人信息使用的企业组织,100万个用户是个较低的门槛,意味着监管的范围之大。其中掌握的描述承袭了GDPR中控制者的表述,与本办法第二条的数据处理表述有不衔接的瑕疵,第二条表述是采用了类似GDPR中处理者的表述。从监管的目的出发,我们分析认为处理(包括存储、传输、共享或加工)等均应进行安全审查,无论其是否是控制者,只要是有处理活动的皆应纳入本办法的规制范围,表述为“处理超过100万”会更为恰当。
②“用户个人信息”:我国的《个人信息保护法》仍未正式公布,根据GB/T 35273-2020,个人信息定义为“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。”,此处对于个人信息的理解可以参见该标准规范。
但该国标同时规定了个人信息经匿名化处理后所得的信息不属于个人信息,在此前公布的《个人信息保护法(草案)》中也规定了个人信息不包括匿名化处理后的信息。基于本办法的目的,我们分析认为虽然个人信息的识别定义可以参见相关规定,但对于匿名化后非个人信息的相关规定不适用于本办法,或许本办法需要表明判定标准不考虑是否采取了匿名化措施。
③“国外上市”:根据该表述,我们分析认为满足该条件进行上市时要主动申报不包含在香港上市的情形,这也给上市的选择留下了一个“缺口”,当证券交易所所在地的安全属于《国家安全法》、《网络安全法》及《数据安全法》的有效管辖范围时,无需做单独的网络安全审查申报,相反,则应被纳入。
但需要注意,不进行网络安全审查申报,并不代表无需遵循相关法律法规的规定,在国标《信息安全技术数据处境安全评估指南(征求意见稿)》的规定中,依旧是区分境内境外,而非国内与国外,我国证券法也采用的是境内境外的区分标准。因此,如果是在港上市,其中涉及到数据的相关安全与合规仍需要满足我国《国家安全法》、《网络安全法》、《数据安全法》及相关法律法规的要求。

07

《网络安全审查办法》2020年版
第六条 对于申报网络安全审查的采购活动,运营者应通过采购文件、协议等要求产品和服务提供者配合网络安全审查,包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备,无正当理由不中断产品供应或必要的技术支持服务等。
《网络安全审查办法(修订草案征求意见稿)》
第七条 对于申报网络安全审查的采购活动,运营者应通过采购文件、协议等要求产品和服务提供者配合网络安全审查,包括承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备,无正当理由不中断产品供应或必要的技术支持服务等。
修订内容解读
未进行修订。

08

《网络安全审查办法》2020年版
第七条 运营者申报网络安全审查,应当提交以下材料:
(一)申报书;
(二)关于影响或可能影响国家安全的分析报告;
(三)采购文件、协议、拟签订的合同等;
(四)网络安全审查工作需要的其他材料。
《网络安全审查办法(修订草案征求意见稿)》
第八条 运营者申报网络安全审查,应当提交以下材料:
(一)申报书;
(二)关于影响或可能影响国家安全的分析报告;
(三)采购文件、协议、拟签订的合同或拟提交的IPO 材料等;
(四)网络安全审查工作需要的其他材料。
修订内容解读
增加了“拟提交的IPO 材料”。
IPO材料属于泛述性表达,根据上市地区的不同,IPO材料有所差异。以我国境内上市为例,IPO材料一般包含报告书、公司章程、股东会决议、公司执照、招股说明书、财务会计报告、法律意见书、证券机构推荐书、承销协议及保荐协议等材料。
分析本办法维护国家安全的目的,需要审查网络及数据相关的内容,一般披露的IPO材料并不能有效达成该目标,是否包含一些会计或审计工作底稿,对于此也有较大争议,将对上市过程中的材料准备及审核工带来“未知数”。

09

《网络安全审查办法》2020年版
第八条 网络安全审查办公室应当自收到审查申报材料起,10 个工作日内确定是否需要审查并书面通知运营者。
《网络安全审查办法(修订草案征求意见稿)》
第九条 网络安全审查办公室应当自收到审查申报材料起,10 个工作日内确定是否需要审查并书面通知运营者。
修订内容解读
未进行修订。
具体的审查期限参见文末图片。

10

《网络安全审查办法》2020年版
第九条 网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险,主要考虑以下因素:
(一)产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏,以及重要数据被窃取、泄露、毁损的风险;
(二)产品和服务供应中断对关键信息基础设施业务连续性的危害;
(三)产品和服务的安全性、开放性、透明性、来源的多样性,供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险;
(四)产品和服务提供者遵守中国法律、行政法规、部门规章情况;
(五)其他可能危害关键信息基础设施安全和国家安全的因素。
《网络安全审查办法(修订草案征求意见稿)》
第十条 网络安全审查重点评估采购活动、数据处理活动以及国外上市可能带来的国家安全风险,主要考虑以下因素:
(一)产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏的风险;
(二)产品和服务供应中断对关键信息基础设施业务连续性的危害;
(三)产品和服务的安全性、开放性、透明性、来源的多样性,供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险;
(四)产品和服务提供者遵守中国法律、行政法规、部门规章情况;
(五)核心数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或出境的风险;
(六)国外上市后关键信息基础设施,核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险;
(七)其他可能危害关键信息基础设施安全和国家数据安全的因素。
修订内容解读
增加了“数据处理活动及国外上市”的情形,并将数据风险单独作为考虑因素之一。同时,国外上市后的数据安全风险作为主要的考虑因素。数据处理活动及国外上市情形的增加是本办法此次修订的最大亮点。
对比法条,我们可以发现本办法2020年版的规定中,已经出现了数据安全相关的规定,彼时仅规定了重要数据的类型。而在修订的草案中,数据类型范围被扩大,包含了核心数据、重要数据及个人信息。体现了审查内容有将侧重点放在数据安全上的趋势,也特别强调了国外上市这一重点审查情形,对于上市后的数据最低标准的限制即有被外国政府影响的风险就纳入考虑因素。
审查内容的增加将对有国外上市计划的企业带来更长的准备时间,无论是从法律法规的查明、业务场景的分析层面,还是对于是否影响国家安全的全面判断上,都需要更长的自查评估和配合审查时间。

11

网络安全审查办法》2020年版

第十条 网络安全审查办公室认为需要开展网络安全审查的,应当自向运营者发出书面通知之日起30 个工作日内完成初步审查,包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门征求意见;情况复杂的,可以延长15 个工作日。
《网络安全审查办法(修订草案征求意见稿)》
第十一条 网络安全审查办公室认为需要开展网络安全审查的,应当自向运营者发出书面通知之日起30 个工作日内完成初步审查,包括形成审查结论建议和将审查结论建议发送网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门征求意见;情况复杂的,可以延长15 个工作日。
修订内容解读
未进行修订。

12

《网络安全审查办法》2020年版
  第十一条 网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门应当自收到审查结论建议之日起15 个工作日内书面回复意见。网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门意见一致的,网络安全审查办公室以书面形式将审查结论通知运营者;意见不一致的,按照特别审查程序处理,并通知运营者。
《网络安全审查办法(修订草案征求意见稿)》
第十二条 网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门应当自收到审查结论建议之日起15 个工作日内书面回复意见。网络安全审查工作机制成员单位、相关关键信息基础设施保护工作部门意见一致的,网络安全审查办公室以书面形式将审查结论通知运营者;意见不一致的,按照特别审查程序处理,并通知运营者。
修订内容解读
未进行修订。

13

《网络安全审查办法》2020年版
  第十二条 按照特别审查程序处理的,网络安全审查办公室应当听取相关部门和单位意见,进行深入分析评估,再次形成审查结论建议,并征求网络安全审查工作机制成员单位和相关关键信息基础设施保护工作部门意见,按程序报中央网络安全和信息化委员会批准后,形成审查结论并书面通知运营者。
《网络安全审查办法(修订草案征求意见稿)》
第十三条 按照特别审查程序处理的,网络安全审查办公室应当听取相关部门和单位意见,进行深入分析评估,再次形成审查结论建议,并征求网络安全审查工作机制成员单位和相关部门意见,按程序报中央网络安全和信息化委员会批准后,形成审查结论并书面通知运营者。
修订内容解读
未进行修订。

14

《网络安全审查办法》2020年版
第十三条 特别审查程序一般应当在45 个工作日内完成,情况复杂的可以适当延长。
《网络安全审查办法(修订草案征求意见稿)》
第十四条 特别审查程序一般应当在3 个月内完成,情况复杂的可以延长。
修订内容解读
修订了特别审查程序的期限,由45个工作日延长为3个月。
此次修订草案中对一般审查程序期限未做变动。一方面本办法第十二条中对特别审查程序的启动机制中,设置了意见不一致时可以启动特别审查的程序,无需修订一般审查程序的期限也能有效控制审查,也给监管机构留足了适用的空间。
审查期限的延长将对企业经营过程中的一些活动,特别是上市,产生较大的“阻碍”作用。我们分析认为,企业有计划进行国外上市的,更需要建立完善的数据安全和网络安全制度体系,以更好地应对监管的要求,保障企业的经营与发展。


15

《网络安全审查办法》2020年版
第十四条 网络安全审查办公室要求提供补充材料的,运营者、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。
《网络安全审查办法(修订草案征求意见稿)》
第十五条 网络安全审查办公室要求提供补充材料的,运营者、产品和服务提供者应当予以配合。提交补充材料的时间不计入审查时间。
修订内容解读
未进行修订。

16

《网络安全审查办法》2020年版
第十五条 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务,由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后,依照本办法的规定进行审查。
《网络安全审查办法(修订草案征求意见稿)》
第十六条 网络安全审查工作机制成员单位认为影响或可能影响国家安全的网络产品和服务、数据处理活动以及国外上市行为,由网络安全审查办公室按程序报中央网络安全和信息化委员会批准后,依照本办法的规定进行审查。
修订内容解读
增加了需要进行网络安全审查的情形。解读与第二条一致。

17

《网络安全审查办法》2020年版
第十六条 参与网络安全审查的相关机构和人员应严格保护企业商业秘密和知识产权,对运营者、产品和服务提供者提交的未公开材料,以及审查工作中获悉的其他未公开信息承担保密义务;未经信息提供方同意,不得向无关方披露或用于审查以外的目的。
《网络安全审查办法(修订草案征求意见稿)》
第十七条 参与网络安全审查的相关机构和人员应严格保护企业商业秘密和知识产权,对运营者、产品和服务提供者提交的未公开材料,以及审查工作中获悉的其他未公开信息承担保密义务;未经信息提供方同意,不得向无关方披露或用于审查以外的目的。
修订内容解读
未进行修订。

18


《网络安全审查办法》2020年版
第十七条 运营者或网络产品和服务提供者认为审查人员有失客观公正,或未能对审查工作中获悉的信息承担保密义务的,可以向网络安全审查办公室或者有关部门举报。
《网络安全审查办法(修订草案征求意见稿)》
第十八条 运营者或网络产品和服务提供者认为审查人员有失客观公正,或未能对审查工作中获悉的信息承担保密义务的,可以向网络安全审查办公室或者有关部门举报。
修订内容解读
未进行修订。

19


《网络安全审查办法》2020年版
第十八条 运营者应当督促产品和服务提供者履行网络安全审查中作出的承诺。网络安全审查办公室通过接受举报等形式加强事前事中事后监督。
《网络安全审查办法(修订草案征求意见稿)》
第十九条 运营者应当督促产品和服务提供者履行网络安全审查中作出的承诺。网络安全审查办公室通过接受举报等形式加强事前事中事后监督。
修订内容解读
未进行修订。

20

《网络安全审查办法》2020年版

第十九条 运营者违反本办法规定的,依照《中华人民共和国网络安全法》第六十五条的规定处理。
《网络安全审查办法(修订草案征求意见稿)》
第二十条 运营者违反本办法规定的,依照《中华人民共和国网络安全法》《中华人民共和国数据安全法》的规定处理。
修订内容解读
增加了《数据安全法》作为处罚依据,对《网络安全法》的法律责任引用也扩大了范围,不再局限于第六十五条。《数据安全法》将于2021年9月1日施行,该法设定了多重法律责任,本办法将其作为依据,也体现了对违反网络安全审查要求的惩罚力度之大。这将有效震慑相关违法违规行为,有效督促相关企业完善自身的数据安全及网络安全体系制度,特别是建立完善内部的安全审查配合工作流程。

21

《网络安全审查办法》2020年版
第二十条 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。
本办法所称网络产品和服务主要指核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务,以及其他对关键信息基础设施安全有重要影响的网络产品和服务。
《网络安全审查办法(修订草案征求意见稿)》
第二十一条 本办法中关键信息基础设施运营者是指经关键信息基础设施保护工作部门认定的运营者。本办法所称网络产品和服务主要指核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务,以及其他对关键信息基础设施安全有重要影响的网络产品和服务。
修订内容解读
增加了需要进行网络安全审查的情形。解读与第二条一致。

22

《网络安全审查办法》2020年版

第二十一条 涉及国家秘密信息的,依照国家有关保密规定执行。
《网络安全审查办法(修订草案征求意见稿)》
第二十二条 涉及国家秘密信息的,依照国家有关保密规定执行。
修订内容解读
未进行修订。

23

《网络安全审查办法》2020年版
第二十二条 本办法自 2020年6月1日起实施,《网络产品和服务安全审查办法(试行)》同时废止。
《网络安全审查办法(修订草案征求意见稿)》
第二十三条 本办法自 2021 年起实施,《网络产品和服务安全审查办法(试行)》同时废止。
修订内容解读
2021年的修订草案中将时间的年份明确为2021年,因此分析预计本办法的正式施行日期将会在本年度内。而本办法修订草案出台日期为2021年7月10日,需在余下不到半年的时间内完成,可以看出其重要性。
快速的修订能有效回应当下的热点问题,亦体现了数据安全、网络安全及国家安全的紧迫性。对于本年度计划国外上市的相关企业而言,是一个正当头的“暂停键”。即使是暂无国外上市计划的相关企业,只要涉及到数据处理的,应当及时地针对性地开展安全合规的配合工作。


附:审查期限流程梳理


结语

总而言之,网络安全审查办法的修订不是数据安全的起点,也不是终点。对于国家而言,数据主权不再是抽象化的概念,而是已经建立并被不断完善、逐步落地执行的国家主权内容。对于企业的安全与合规而言,构建完善的安全与合规体系,打造和运用安全合规的技术和产品,经营过程中严格遵守相关法律法规,是新的趋势要求亦是必要的发展方针。






回复

使用道具 举报

Copyright © 2001-2013 Comsenz Inc. Powered by Discuz! X3.4 京公网安备 11010802035448号 ( 京ICP备19053597号-1,电话18600416813,邮箱liwei03@51shebao.com ) 了解Tax100创始人胡万军 优化与建议 隐私政策
快速回复 返回列表 返回顶部