前两天，资本市场发生了一件大事：中办、国办发布《关于依法从严打击证券违法活动的意见》。这是中国资本市场历史上，第一次以两办名义联合印发相关文件。
《意见》内容丰富，共有30条，“完善数据安全、跨境数据流动、涉密信息管理等相关法律法规”；“切实采取措施做好中概股公司风险及突发情况应对”等举措精准切中弊端。
不久前，“滴滴出行”“运满满”“货车帮”“BOSS直聘”等App被国家网信办展开安全审查，引发外界对于互联网企业数据安全的关注。
此次两办下发的重磅文件，恰好对“加强跨境监管合作”和“加强中概股监管”的问题进行了有效回应。
滴滴出行（图源：网络）
一
先抛一组问题：监管层为何在此时审查几款App？相关企业跨境上市，可能带来哪些风险？
一言以蔽之，大量国内用户数据将暴露在他国监管机构手中。这些数据涵盖大量涉及国家安全的信息。
有人会说，上市而已，怎么就会暴露信息？这要从一个重要背景说起——2020年12月18日，美参议院通过了《外国公司问责法案》，重提争议10年的“中概股审计底稿”问题。该法案规定，如果外国公司连续3年未通过美国上市公司会计监督委员会（PCAOB）的审计要求，将被禁止在美上市交易。
PCAOB怎么审计呢？一是要求在美上市公司必须由受认可的审计机构定期审计，主要是四大会计师事务所在华分支机构；二是PCAOB可以抽查四大会计师事务所对上市公司的审计底稿。
这就涉及到一个关键问题，审计底稿出境。如果不交底稿，赴美上市的中国企业就无法通过审计，自然没法上市融资；但从现有法规和客观实际来看，底稿出境有极大风险。
首先，中国法律及监管机构规定，未经中国政府许可，中国会计师事务所不得直接向任何国外监管机构提供审计底稿；更重要的是，底稿承载的信息量巨大，一旦被境外机构用于非证券监管用途，隐患重重。
美国证券交易委员会标志。图源：华尔街日报
二
上市公司的审计底稿都有什么？
它包括：重大事项概要、分析表、问题备忘录、询证函回函、有关重大事项的往来信件（包括电子邮件）、管理层书面声明、被审计单位文件记录的摘要或复印件、业务约定书、管理建议书、项目组内部或项目组与被审计单位举行的会议记录等等。
总之，企业内部的重要信息都记录其中。
可以说，审计底稿具有“战略情报”属性。外界可借此反推公司存量资产储备、消费者偏好、销售收入分布、战略物资生产计划甚至重要基础设施分布等情况。正因“战略情报”属性，所以才不能公开，只能作为底稿存在。
而一旦掌握多家重要企业的审计底稿信息，有心者完全能勾勒出一个国家在某领域相对完整的内部经济情况。这也是中国立法要求审计底稿等文件未经相关程序不得出境的根本原因。
目前，中美关系仍有较多不确定性。如果美国证券监督机构拿到中概股企业的审计底稿，很可能会构成系统性遏制中国的又一个长臂管辖威胁。
这并非危言耸听。6月8日，美国参议院高票通过《2021美国创新与竞争法案》，其中有相当部分内容是继续加大对华遏制力度，甚至包括“调查美国金融市场里的中国企业从事危害美国国家安全和相关人权的情况”等。过去数年，美国通过立法对中国某些行业实施了精准打压。
而近期多家企业赴美上市，正发生在上述大背景下。
目前，中国的网络安全立法进程正在加速。各主要国家都在抓紧构建自己的数据主权立法体系，全球化的新趋势就是数字化和网络化。在网络安全和数据安全上，如果没有强有力的约束手段，那么国家将要面临巨大风险。没有网络安全就没有国家安全，绝非空话。
为什么今天要强调网络安全审查，要对“关键信息基础设施企业”进行更加特别的监管？这种监管首先不是对内的，而是对外的。也就是上述提到的，各国都在构建自己的数据主权体系，这个体系不容有漏洞。
直到今天，一些行业人士仍然认为，企业审计底稿“脱敏”处理后再出境就没问题了。但“脱敏”讲起来容易，做起来却特别难。这是因为，对上市公司的审计本就包罗万象。确定个别信息敏感与否不困难，但判断整体信息是否敏感，难度很大。
尤其对关键信息基础设施企业而言，其采用的设备、整体布局、投资目标等，很难讲不是敏感信息。当若干行业的信息作为整体展现出来时，足可借此管窥国家重要行业甚至经济命脉情况。
这种风险，怎能不审慎对待？
财务报表。图源：壹图网
三
多说一句，中概股出海上市多采用VIE架构，这种方式其实长期处于灰色地带。
何为VIE架构？拟上市公司在境外注册的上市实体，与境内业务经营主体分离，由境外上市实体透过协议方式控制境内业务经营主体，把收入和利润转移到境外公司。
简言之，境内经营主体与境外上市主体看似没有“血缘关系”，但境外上市主体却是境内经营主体的“监护人”。
为何如此麻烦？因为过去在中国资本市场还不成熟的情况下，一度不允许电讯、互联网等关键行业的公司直接在海外集资或上市。于是，不少互联网企业利用VIE架构绕开监管审批，留下一个“灰色地带”。
近期发生的事件则暴露了VIE架构的大问题：当企业选择股东利益优先，强行海外上市时，中国的监管机构看起来只能“事后救济”，难以将风险防范控制在事前。
中办国办印发《意见》可谓正当其时。
就跨境监管而言，完善数据安全、跨境数据流动、涉密信息管理等相关法律法规，修订关于加强在境外发行证券与上市相关保密和档案管理工作的规定，加强跨境信息提供机制与流程的规范管理，这些都是迫切需要解决的问题。
而聚焦中概股本身，做好中概股公司风险及突发情况应对，明确境内行业主管和监管部门职责、做好跨部门监管协同，也是适应新时代监管要求的必要之举。不少业内人士认为，两办印发的《意见》，将从根本上扭转采用VIE架构的企业上市处于灰色地带的局面。
可以预见，中国证券监管机构大概率将出台系统性的中资企业境外上市及跨境监管规定。如《意见》所言，要在跨境监管合作中坚守“依法和对等”原则，有力保障国家经济和金融安全。
文/慕峰（《中国经济周刊》特约撰稿人）
编辑/云中歌
来源：侠客岛微信公众号
