境外上市背景下的网络安全审查制度演进

近年来，随着中国企业在海外资本市场活跃度的提升，尤其是赴美、赴港等主要交易所进行IPO的案例不断增多，监管层对数据安全与国家安全的关注也日益增强。在此背景下，国家互联网信息办公室（网信办）于2021年发布《网络安全审查办法》，明确将关键信息基础设施运营者和掌握大量个人信息的企业纳入网络安全审查范围。这一政策不仅影响了企业的上市路径选择，更深刻改变了境外上市的合规逻辑。尤其在涉及数据跨境传输、核心技术架构披露以及用户隐私保护等敏感议题时，企业若未提前规划网络安全审查程序，极有可能面临上市进程受阻甚至被否决的风险。

典型案例解析：某科技公司境外上市受阻事件

2022年，一家总部位于中国的中型科技公司在筹备赴美国纳斯达克上市过程中遭遇重大阻碍。该公司主营业务涵盖人工智能算法开发与大规模用户行为数据分析，其核心系统依赖于国内服务器集群处理用户数据，并通过云服务实现部分数据的跨境调用。在向美国证券交易委员会（SEC）提交招股说明书后，美方审计机构要求提供完整的数据存储架构图及数据流转路径说明。与此同时，中国网信办启动网络安全审查程序，重点审查该公司是否存在“数据出境风险”“核心数据被境外实体控制”“可能影响国家安全”等问题。最终，尽管该企业已聘请多家国际律所协助应对，但因未能在申报前完成必要的网络安全评估并提交合规证明，导致上市计划被迫延期。此案成为境内企业境外上市过程中首次因网络安全审查而实质性受阻的标志性事件。

网络安全审查的核心要素与法律依据

根据现行《网络安全审查办法》第二条，网络安全审查的对象主要包括两类：一是关键信息基础设施运营者；二是达到特定规模或处理大量个人信息的网络平台运营者。具体而言，当企业拟在境外上市且存在以下情形之一时，即触发网络安全审查机制：（一）掌握超过100万用户个人信息；（二）数据处理活动涉及重要数据或核心数据；（三）上市可能导致关键数据被境外监管机构获取；（四）存在潜在技术依赖或供应链安全风险。此外，《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等上位法共同构成审查的法律基础。值得注意的是，审查并非仅限于上市申请阶段，而是贯穿整个上市准备周期，包括财务审计、信息披露、技术架构披露等多个环节。

企业应对策略：构建全链条合规体系

面对日益严格的审查环境，企业必须建立覆盖事前、事中、事后的全流程合规管理机制。首先，在项目启动初期，应由专业律师事务所牵头开展“数据资产清查”工作，明确自身是否属于审查对象，识别所有涉及的数据类型、存储位置、跨境流动路径。其次，针对拟披露的技术架构与业务模式，应制定“最小必要披露原则”，避免过度暴露底层算法、数据库结构等敏感信息。第三，建议在申报前主动向网信办提交网络安全审查申请，同时配合第三方机构出具独立的安全评估报告。第四，可考虑采用“数据本地化+有限跨境传输”的架构设计，例如将用户数据集中存储于境内，仅通过加密接口向境外子公司提供聚合分析结果，从而降低直接传输风险。最后，企业还应建立内部合规监督机制，定期开展数据安全演练与应急响应培训，确保在突发审查情况下能够快速响应。

跨境合作中的法律冲突与协调机制

随着中美审计监管合作机制逐步建立，部分企业尝试通过“双轨制”路径缓解合规压力。例如，部分企业选择在港股上市时同步提交符合中国法规要求的资料，并在美股市场通过VIE架构间接持股，同时由境内主体承担实际运营责任。然而，这种模式仍面临多重挑战。一方面，美国《外国公司问责法案》（HFCAA）要求上市公司披露审计底稿，若无法满足则面临退市风险；另一方面，中国监管部门对数据出境实行“一事一议”审批制，即便企业已通过VIE结构实现股权隔离，仍可能因实质控制权归属问题被认定为“变相数据出境”。因此，企业在设计上市架构时，必须充分评估中外监管规则之间的张力，避免陷入“两头合规、两头不通过”的困境。有律所建议，可引入“数据主权协议”或“跨境数据治理框架”作为补充工具，通过合同约定数据使用边界与责任划分，以增强跨国监管互信。

未来趋势展望：合规前置将成为行业标配

随着全球数字经济治理体系的重构，网络安全审查已从单一监管行为演变为影响企业战略决策的核心变量。可以预见，未来更多行业如金融科技、生物医药、智能驾驶等领域将被纳入重点审查范畴。同时，监管机构或将推动建立“网络安全审查白名单”机制，对已完成合规评估的企业给予上市绿色通道。在此背景下，律师团队的角色也将从被动应对转向主动布局，参与企业早期战略规划、数据治理模型设计及跨境交易结构搭建。对于希望实现全球化发展的中国企业而言，唯有将网络安全审查视为上市必经之路，而非临时障碍，方能在复杂多变的国际环境中赢得先机。