文|慕峰

7月6日，中办、国办公布《关于依法从严打击证券违法活动的意见》，其中对“加强跨境监管合作”和“加强中概股监管”这一热点问题，进行了有效回应。

《意见》明确，要“抓紧修订关于加强在境外发行证券与上市相关保密和档案管理工作的规定，压实境外上市公司信息安全主体责任。加强跨境信息提供机制与流程的规范管理。坚持依法和对等原则，进一步深化跨境审计监管合作”，要“切实采取措施做好中概股公司风险及突发情况应对，推进相关监管制度体系建设。修改国务院关于股份有限公司境外募集股份及上市的特别规定，明确境内行业主管和监管部门职责，加强跨部门监管协同”。

这是资本市场历史上第一次以中办、国办名义联合印发打击证券违法活动的专门文件，其意义和影响不言而喻。

在此之前，“滴滴出行”APP因存在严重违法违规收集使用个人信息问题遭国家网信办责成下架整改；而网络安全审查办公室也发布公告，对“运满满”“货车帮”“BOSS直聘”实施网络安全审查，审查期间APP停止新用户注册。

这几款APP背后的运营企业均于近期赴美上市。监管层为何对这些企业出手？在愈发严格的全球网络安全监管环境下，这些掌握了庞大数据的企业跨境上市带来哪些风险？

美国的证券长臂监管

这还得从美国的《外国公司问责法》关于美国公众公司会计监督委员会（PCAOB）对中概股公司审计底稿的跨境审查要求说起。

简单讲，根据美国2020年12月18日通过的《外国公司问责法》，外国公司连续三年未能通过PCAOB审计，将被禁止在美国任何证券交易所上市。反过来，如果中概股公司要保持美国证券市场的上市地位，那么就需要接受PCAOB的审计，或者在三年内从美国退市。

PCAOB的审计方式是：一是要求在美上市公司必须由受认可的审计机构进行定期审计，所谓受认可的审计机构对中概股企业而言，主要就是四大会计师事务所（“四大”）在中国的分支机构。二是规定PCAOB可以抽查“四大”对上市公司的审计底稿。这就涉及一个关键问题，即审计底稿出境。

而中国证监会、国家保密局、国家档案局早在2009年曾联合发布《关于加强在境外发行证券与上市相关保密和档案管理工作的规定》，要求“在境外发行证券与上市过程中，提供相关证券服务的证券公司、证券服务机构在境内形成的工作底稿等档案应当存放在境内”。

2019年修订的《证券法》在第一百七十七条针对证券跨境监管事宜也作出了明确规定，即“境外证券监督管理机构不得在中华人民共和国境内直接进行调查取证等活动。未经国务院证券监督管理机构和国务院有关主管部门同意，任何单位和个人不得擅自向境外提供与证券业务活动有关的文件和资料”。

这其实就形成了一个法律冲突：美国证券监管机构要求能够直接审查“四大”在对中概股公司审计过程中形成的审计底稿，而中国法律则要求审计底稿出境前需要事先经得有关主管部门的同意。

这个问题，需要得到解决。

中国证监会与美国证监会（SEC）一直就上述问题进行协商，历次沟通情况在中国证监会的官网上都有公开披露。2013年，中国证监会、财政部和PCAOB签署了一份执法合作谅解备忘录，“探讨如何以各方认可的方式对为在美上市公司提供审计服务的中国会计师事务所进行日常监管”。尽管此后在审计监管问题上双方有所反复，但总体上仍在推进协商合作。

然而，2020年美国新颁布的《外国公司问责法》首次明确了外国发行人连续三年不能满足美国PCAOB对会计师事务所检查要求，即禁止相关公司继续在美上市交易。这一规定事实上使双方监管协商陷入了不对等的局面。

按中国的有关规定，审计底稿不能直接出境，必须经由双边协调机制，PCAOB可以选择检查项目，但检查应当联合开展，并厘定双方认可的工作流程和标准。审计底稿和其他文件需在中方监管机构同意的前提下，才能由会计师事务所传送到PCAOB，且相关文件的传递应当遵循必要性原则。

SEC和PCAOB却寸步难让，其理由是，在美上市的几乎所有国家的企业，都应遵守PCAOB能够直接检查的要求。

然而，自特朗普时代后，美国对中国的打压已呈现全方位和系统性态势。在对华关税、对中资企业出口管制制裁等问题上，已经远远突破了边界，《外国公司问责法》也正是在这个背景下出台的。这很难不令人联想，在此大背景下，美国步步紧逼的证券长臂监管要求另有深意。

为什么不能让审计底稿出境？

一家上市公司的审计底稿，包括：重大事项概要、分析表、问题备忘录，核对表；询证函回函、有关重大事项的往来信件（包括电子邮件）、管理层书面声明、被审计单位文件记录的摘要或复印件；业务约定书、管理建议书、项目组内部或项目组与被审计单位举行的会议记录等企业内部重要信息。正是因为审计底稿有战略情报属性，可以反推公司的存量资产储备、消费者偏好、销售收入分布、战略物资生产计划甚至重要基础设施分布等，所以才不能公开，只能作为底稿存在。而一旦掌握了多家企业的审计底稿信息，有心者完全能够勾勒出一个国家在某个领域相对完整的内部经济情况。这也是我国立法要求审计底稿等文件未经相关程序不得出境的根本原因。

今天审计底稿出境的风险在于，在美国对华全面打压的大背景下，如果PCAOB能够直接获得中概股企业的审计底稿，则很可能会构成系统性遏制中国的又一个长臂管辖威胁。这并非是危言耸听，就在6月8日美国参议院高票通过的《2021年美国创新与竞争法案》，有相当部分内容是在继续加大对中国遏制的力度，其中甚至包括“调查美国金融市场里的中国企业从事危害美国国家安全和相关人权的情况”这样的内容。

近期多家企业赴美上市正是发生在上述大背景之下。中国的网络安全立法进程正在加速，各主要国家都在抓紧构建自己的数据主权立法体系，全球化的新趋势就是数字化和网络化，在网络安全和数据安全上如果没有强有力的约束手段，那么国家将要面临巨大风险。没有网络安全，就没有国家安全。

可以看到，过往数年，美国通过立法对中国某些行业的打压是十分精准的。为什么今天要强调网络安全审查，要对“关键信息基础设施企业”进行更加特别的监管。这种监管首先不是对内的，而是对外的。也就是上述提到的，各国都在构建自己的数据主权体系，这个体系是不容有漏洞的。

直到今天，一些行业人士仍然认为，企业的审计底稿信息经过脱敏处理之后出境没有问题。但“脱敏”二字讲起来容易，做起来却特别难。因为对上市公司的审计本身就是包罗万象的，在实务中的感受是，确定个别信息敏感是容易的，但整体信息本身是不是敏感，才是最大的问题。尤其对关键信息基础设施企业而言，其采用的关键设备、整体布局、投资目标等，很难讲不是敏感信息。当若干行业的整体信息全部呈现出来的时候，也许就能够充分了解这个国家的经济命脉。

而只要赴美上市，主动权就会在美国手中。当PCAOB要求让审计底稿出境时，这其实不是上市企业能决定的，因为PCAOB只会去检查会计师事务所，而不会去检查上市公司，且美国可以随时修改自己的规则。

为什么明知故犯赶着赴美上市？

因此，站在超越单个企业的层面，站在国家层面，成本最低的方案是什么？就是那些可能导致风险不可控的企业，尤其是目前涉及网络安全和数据安全的企业，暂时不要去美国上市。这对企业来讲有点为难，因为中国现行证券监管框架下，以VIE架构赴美上市其实是不需要境内特别审批的。也就是，从法律上，要不要赴美上市，企业有选择权。但在作选择的时候，企业面临的其实是国家利益优先还是股东利益优先的问题。

事实上，中国互联网企业赴海外上市，都是以VIE架构去绕开了国内的牌照监管问题，这个架构是历史的产物，对中国互联网经济的发展起到了重要作用。但它也是在当时中国资本市场还不成熟的情况下，在利用外资和维护安全之间博弈后，形成的一个灰色地带。

近期发生的事件暴露了VIE架构的一个大问题，就是当企业选择股东利益优先，要强行海外上市的时候，中国的监管机构看起来只能做事后救济，而难以将风险防范控制在事前。

近两年来，尽管有美国《外国公司问责法》的高压，也有中美经贸激烈斗争的大背景，却仍有大量中概股企业赴美上市，它们的心思是什么呢？其实很简单，就是利用美国资本市场仍然处于高位，赴美上市在合规性要求方面比境内A股和港股更弱，且赴美上市更快，从而先在美国资本市场套现，给先期投资者（其中有相当部分是美资背景的PE/VC）一个交代，然后大不了再从美国退市，回到港股或者A股上市。这是当前还在排队赴美上市的绝大部分中概股企业的小心思。这些企业有长远在美上市的意愿吗？很难讲。这些企业有意识到中国监管机构与美方艰难谈判争取利益有多不容易吗？也很难讲。这是金融资本的趋利本性所决定的。

近期事件带来的思考是：一、如果美国严格执行《外国公司问责法》，在审计底稿需要出境的情况下，未来哪些中资企业还能够赴美上市或继续维持在美上市地位，而不会对仍在构建完善的安全体系造成冲击？二、历史形成的VIE架构赴美上市模式，是否到了需要变革的时点？三、中国自身资本市场的有效建构是否也到了一个关键时点？

中办、国办印发的上述《意见》可谓正当其时。业内认为，《意见》中的有关要求将从根本上扭转长期以来中概股企业VIE架构上市处于灰色地带的局面。可以预见的是，我国证券监管机构将会很快出台系统性的中资企业境外上市及跨境监管规定，同时坚守对美证券监管协商谈判“依法和对等”的底线原则，有力维护国家安全。

（本文刊发于《中国经济周刊》2021年第13期）

2021年第13期《中国经济周刊》封面