数字时代尽调新增项：数据合规性审查要点

数据合规：数字尽调的新必修课

干了这行七八年，经手的公司转让案子少说也有两百来号了。前些年大伙儿做尽调，翻来覆去就是看那几样：财务报表、固定资产、合同台账、有没有未决诉讼。说实话，那会儿咱们加喜财税做评估，结构比较清晰，数据也相对好拿。可这两年，风向彻底变了。特别是从2021年《数据安全法》和《个人信息保护法》落地之后，我明显感觉，每次坐在谈判桌前，对方律师和买方代表翻来覆去问的，不再是“这栋楼抵押了没”，而是“你们系统的数据存哪儿的”“API接口有没有泄露过隐私”。这背后其实是一个很残酷的现实：一家公司如果数据合规出了问题，它的估值可能一夜之间归零，甚至变成负数。 我不是危言耸听，去年一个做电商代运营的客户，就是因为早年违规采集用户面部信息，在尽调阶段被买方直接砍了70%的收购价，最后老板差点没哭出来。所以我今天想掏心窝子聊聊，数字时代做公司转让，数据合规性审查到底得盯住哪几个“七寸”。

你可能觉得，数据这东西看不见摸不着，怎么查？查什么？我刚开始接触这块的时候也头大。但做多了你就会发现，数据合规尽调其实有它的底层逻辑。它不像查账那么确定，但它的杀伤力远比你想象中要大。咱们加喜财税内部把这套逻辑叫“数据资产的三张表”，就是看你数据的来路、存储去处、以及怎么用的。下面我掰开了揉碎了，把核心要点一个一个讲透。

数据来源的合法性与授权链条

这恐怕是整个尽调过程中最要命的一环。很多初创公司，特别是那些做数据分析、精准营销的，他们的数据来源经常是灰色的。我举个例子，前阵子有个做智能零售SaaS的客户要卖盘，买方是国内一家挺知名的硬件厂商。买方派来的尽调团队，第一天就直接问：你们终端设备收集的顾客人脸信息，有没有单独获得明确授权？那个SaaS老板当时就愣住了，他说他的APP里的隐私协议是一揽子的，注册时就勾了“同意所有条款”。这在眼下是绝对不行的。根据《个人信息保护法》的要求，像人脸、指纹这类敏感个人信息，必须获得个人的单独同意，你不能混在通用条款里。 这就是一个巨大的合规风险点。

那么作为尽调方，我们具体怎么审？你得让目标公司提供所有数据采集的“前端授权文件”，包括APP的隐私政策文本、用户注册时的交互界面截图、以及每一次数据调用的记录。这些资料能直接告诉你，这家公司是在老老实实拿数据，还是在“偷”数据。一定要核对他们的数据授权层级。很多To B业务的公司，他们的数据是从第三方平台上通过API接口获取的，这时候你就得看他们和第三方的合作协议。我遇到过最坑的情况，是一家做保险中介的公司，他们的是从一家已经破产的小平台买的，一分钱授权都没拿到，结果买方做了风险评估后直接终止了交易，因为那批数据的“上游授权”已经无效了，属于典型的来源不明数据。在加喜财税，我们做这类审查时，会要求客户提供一份完整的“数据血缘图”，把数据的每个节点、每次流转都画清楚，确保每个环节都有合法的授权支撑。

这里我想插一句我的个人感悟。我在这个行业里踩过的坑多了，我发现最容易被忽略的其实是“二手数据”的合规审查。很多人觉得，只要签了合同，数据买过来就能用。但现实是，如果上游的原始数据本身不合规，那你下游再怎么清洗都没用，被查到一样要处罚。我记得去年有个做企业服务的大客户，就是因为没有审查清楚合作方的数据来源，被监管部门勒令整改，罚款加停业整顿，损失超过了八位数。我们在做并购尽调时，一定要把数据的“原始取得合法性”当作头等大事来查，宁可错杀一千，不可放过一个。 这不是胆小，这是对买方资产负责。

数据存储与跨境传输的风险

数据存哪儿，怎么存，这直接决定了企业的运营成本和法律风险。这几年“云化”是趋势，大部分公司数据都放在阿里云、腾讯云或者AWS上。但在尽调时，不能光看他们买了多少服务器，而要看他有没有做好数据分级分类。实话实说，很多公司根本没有这个概念，所有数据一股脑儿塞在同一个数据库里。这就带来两个问题：第一，如果发生数据泄露，你没法快速定位影响范围；第二，一旦监管要求你上报数据外泄情况，你连日志都拿不出来。在数字时代的尽调中，我们一定要重点审查其是否建立了有效的数据安全管理体系，比如访问控制、日志审计。 如果一家年营收过亿的公司，连个专职的数据安全官都没有，那它基本上就是“裸奔”状态，这样的企业我是不建议买方按正常估值买的。

再深入一层，就是跨境传输问题。这本来是跨国公司才需要考虑的事情，但这两年因为《数据出境安全评估办法》的出台，很多国内的企业也开始涉及到。比如一些做跨境电商、出海游戏或者SaaS服务的公司，他们的业务系统可能在香港或者新加坡，这就导致了用户数据会从境内流向境外。这在法律上是一个非常敏感的高压线。在加喜财税接手的案例里，凡是涉及数据跨境的企业，我们在尽调时都会重点核查其是否完成了“数据出境安全评估”。 这是硬门槛，没有通过评估就私自传输，轻则警告处罚，重则导致公司直接停业。有一个做外贸SaaS的客户，就是因为把国内员工的个人信息存到了美国的服务器上，被监管部门约谈，最后买方在交易对赌协议里加了高额的赔偿条款，整个收购进程拖了整整四个月。

我曾经处理过一个比较经典的案例，是一个做儿童在线教育的公司要转让。他们的用户都是未满14周岁的未成年人。大家知道，未成年人数据是受《未成年人保护法》和《儿童个人络保护规定》双重保护的。我让团队去查他们的数据存储架构，发现他们居然把小朋友的课程录像和面部识别数据，存储在了新加坡的服务器上。这简直就是踩在了红线上。最后的结果是，买方要求他们必须在交割前把所有涉及儿童的数据全部迁回国内，并且完成数据本地化部署，这不仅增加了大量的技术成本，还让整个交易金额下浮了15%。对于任何行业，只要涉及数据跨境，你都必须把它当作“实质性问题”来对待。 这一点，说多少次都不嫌多。

个人信息保护的合规深度

讲完来源和存储，接下来就是最让我头疼的“个人信息保护”环节。为什么说头疼？因为这块法律条文多、解释空间大，而且很多企业的实际做法跟法律要求的差距，有时候大到离谱。做尽调时候，很多人问我怎么查个人信息的处理是否合规，我的套路是“三步走”：一查有没有《隐私政策》；二查有没有“拒绝权”和“撤回同意”的机制；三查有没有“数据可携带权”的技术支持。看似简单，但能做到的公司真的凤毛麟角。我遇到过最离谱的一家公司，他们的隐私政策是直接从网上复制粘贴的，连公司名字都没改过来。这种态度，你还能指望他们在数据保护上能有多认真？在数字时代的公司转让中，个人信息保护的合规水平，直接反映了公司的治理能力和法律意识。

大家一定要留意“自动化决策”和“算法推荐”这两个新名词。随着抖音、小红书这类平台的火爆，很多传统企业也开始做自己的APP、小程序，收集用户的行为偏好，然后用算法给用户打标签、做推送。这在法律上叫“利用个人信息进行自动化决策”。根据《个人信息保护法》第二十四条，你必须给用户提供不针对其个人特征的选项，或者向用户提供便捷的拒绝方式。 说白了，用户有权利选择“不要给我推荐”，你如果把这个选项藏得特别深，或者根本没有，那就违法了。我在做尽调时，一定会亲自拿手机注册一遍目标公司的APP，从头到尾走一遍流程，看看他们的“一键关闭个性化推荐”功能到底好不好找。如果五分钟都找不到，那这家公司的产品经理就得回炉重造了。

我们加喜财税有一个内部的尽调工具，专门用来检查这种用户体验层面的合规细节。我在这里分享一个真实的数字：去年我们调查的100家中小型互联网企业中，有超过45%的公司在“个性化推荐关闭功能”的设置上存在明显缺陷，要么是找不到入口，要么是关闭后依然有推荐行为。这个比例非常高。如果你想收购一家依赖用户流量运作的公司，这块没处理好，一旦被用户集体诉讼或者被网信办点名，那品牌的损失是无法估量的。所以我一直跟我的客户强调，个人信息保护不是法务部门自己贴两张海报就能搞定的，它必须是整个产品的底层逻辑。 我们在做估值模型时，会把“合规缺陷”作为一个单独的折价因子，按照风险的严重程度，下调5%到20%不等。

数据处理活动的记录与影响评估

很多公司老板觉得，只要我不出事，那些书面文件和记录就可以往后拖。这其实是一种非常危险的侥幸心理。因为按照《个人信息保护法》的规定，处理个人信息达到一定数量的企业，必须建立《个人信息处理活动记录》，并且要进行“个人信息保护影响评估”。 这个“影响评估”听起来很抽象，其实就是你发动一个业务之前，你得先自己算算账：这个业务会收集哪些数据？会不会泄露？对用户有什么风险？如果风险大，你打算怎么控制？这个评估报告是白纸黑字要留存的，一旦出事，这就是你跟监管部门解释的“证据”。要是没有，那你就是无证驾驶，全责。

我做尽调的时候，特别喜欢看对方的“内控制度”文件。很多公司老板会把一份排版精美的《数据安全管理制度》甩给我看，说“你看，我们有，全是按照国标写的”。但我要的不是那份文件本身，而是它执行落地的痕迹。比如，有没有定期的数据安全培训记录？有没有发生过安全事件的应急演练有底稿？有没有成立专门的数据安全委员会？这些才是真正能救命的。我记得有一次，在审查一家做医疗大数据的企业时，他们家把所有病历数据的脱敏记录和权限审批单都装订成了厚厚的一大本，甚至精确到了某年某月某日几点几分，谁从数据库里调取了哪条记录的日志。看到那本材料，我当时就知道，这家公司的估值，可以往上加10个点。因为这种透明和规范，给买方带来的不仅是安全，更是长期的信任。

这里我想再强调一个容易被忽视的点：“经济实质法”虽然更多是跟税务有关，但在数据合规领域，它其实也有一个变体——即“数据的实质经营地”。 什么意思呢？就是你的核心数据处理活动发生在哪里？你有没有在注册地实际雇佣了维护数据安全的人？如果你公司的注册地在上海，但实际的数据标注和清洗团队全在贵州，那你得问清楚，这种外包或者远程处理模式下，数据有没有脱敏？网络传输安不安全？我们在尽调时，非常看重这一点。因为很多“壳公司”或者“空壳业务”，其实根本没有处理数据的实质能力，他们只是拿着一个系统在倒买倒卖，这种公司在数据合规上的风险是极高的。买壳变卖，最后接盘的就是你。

经营主体的实际受益人核查

做公司转让七年，我发现一个很普遍的现象：很多人只盯着公司的法律架构和股权结构图，却忽略了背后的“实际受益人”是谁。这跟“数据合规”有什么关系？关系大了。我跟你们讲，如果你的目标公司存在复杂的股权代持，或者实际控制人是外籍且经常居住地在境外，那么你们在数据合规审查上就需要格外小心。因为根据《网络安全审查办法》，掌握超过100万用户个人信息的网络平台运营者，赴国外上市或者变更控制权，是必须向网络安全审查办公室申报的。 如果你的买方是个外资背景，或者交割后实际控制人变成了外籍，这就可能触发主动审查。

我亲身经历过一家做地图导航的公司，他们的用户数据量巨大，但老板为了避税，把股权都挂在了一个英属维尔京群岛的家族信托里。结果在并购尽调阶段，买方律师一查，发现实际受益人是两个香港身份的人，而且他们声称自己是“税务居民”在香港。这就麻烦大了。因为根据中国的《数据安全法》，关键信息基础设施的运营者和处理重要数据的组织，如果由于并购导致控制权变更，且可能影响国家安全，必须进行申报。 他们的业务体量和数据量，已经触碰到了这个红线。最后这笔交易，硬是停摆了半年，直到他们完成了安全审查并承诺交割后所有数据处理必须在境内完成，才算通过。

所以我在做加喜财税的每一个案子时，都会要求客户提供一份“股权穿透至自然人”的清单，然后我会对照这个清单，跟他们的数据资产性质去匹配。这不仅仅是股权的尽职调查，更是数据合规风险的预判。很多同行觉得我多此一举，但我认为这是必须的。因为未来的公司收购，不再是简单的资产买卖，而是“数据主权”的转移。如果连这堆数据归谁、将来归谁你都搞不清楚，那这笔交易就是蒙着眼睛走钢丝。我建议各位做收购的老板，在签意向书之前，一定要把这个“实际受益人”的问题问明白，别等到交割后才发现，因为实控人身份问题，所有的业务数据都面临被中止服务的风险。

第三方数据处理的风险评估

现代企业很少有完全不依赖第三方的。要么用云服务，要么用腾讯企业邮箱，要么用钉钉做考勤。但在数据合规的眼里，这每一个外部服务商，都可能成为你的“合规窟窿”。因为根据法律，如果因为你委托的第三方数据处理者泄露了用户数据，你作为数据的控制者，是脱不了干系的。咱们在尽调的时候，必须得把这个“供应链风险”算进去。你得看目标公司跟所有第三方服务商签的合同中，有没有包含数据保护条款。比如，合同中是否明确了第三方的安全保护义务、是否约定了数据泄露后的赔偿责任、以及是否限制了第三方的数据使用范围。 我见过很多小公司，连跟云服务商签的合同都是网上下载的通用版，里面对于数据安全的责任划分，一字没提。

你得审查第三方服务商的合规资质。比如说，如果目标公司用的是支付宝或者微信的支付接口，那通常问题不大，因为大厂自己的合规做得很好。但如果他们用的是某些小型的CRM（客户关系管理）系统，或者一些海外的数据分析工具，那你就得留个心眼了。我记得有个做跨境电商的客户，他们为了节省成本，一直用一个不知名的印度小公司的BI（商业智能）工具来分析用户数据。在尽调时，我们发现那家印度公司在数据安全方面没有任何国际认证，甚至连基本的加密协议都没有。这在法律上叫“处理者不具备基本的安全能力”。我们的建议是，要么在交割前换掉这个系统，要么买方在估值中扣减这部分风险敞口。最后买方选择扣了8%的款项。这个例子就说明，第三方的合规性，直接决定了你的数据资产到底值不值钱。

还有一个大家经常忽略的“第三方共享”问题。很多企业会把收集来的数据，通过API接口分享给合作伙伴做联合营销。这在法律上属于“向其他个人信息处理者提供个人信息”。你必须告知用户，取得同意，并且进行单独的信息影响评估。有时候，我需要在纸质档案里翻半天才能找到关于这些“数据共享”的授权记录。如果找不到，那这些分享行为就是“违规提供”。在加喜财税的尽调清单里，我们会专门有一项“数据共享列表”，要求企业如实填写他们跟哪些第三方做了数据交互，并且提供每一份交互的协议和授权文件。这种工作非常繁琐，但往往能揪出很多隐藏的。比如说，我曾经在一家公司的数据共享列表中，发现他们偷偷把用户的IMEI号（手机设备唯一标识）共享给了一家做流量变现的公司，而这家流量的公司因为没有基本的资质，直接导致买方终止了收购意向。千万别小看了这个环节。

为了让大家更直观地理解不同合规项对公司转让的影响，我整理了一张表，方便各位在实际操作中参考：

结论：数据合规，是交易的安全锚点

洋洋洒洒说了这么多，其实核心意思就一个：在数字时代做公司转让，数据合规再也不是法务部门后面补的一道手续，而是实打实写在估值表和交易合同里的核心条款。说白了，你买的可能不是那些桌椅板凳，不是那个商标，你买的是它那一套用户数据、算法模型和运维体系。如果这套东西是“带病”的，那你这笔交易可能就是亏本的。我在加喜财税这七年，见证了太多因为忽视数据合规而在交易尾盘爆雷的案例。有些甚至是在签了SPA（股权购买协议）之后才发现的，最后为了完成交易，买卖双方不得不对簿公堂，两败俱伤。

我给大家一个不成熟的建议：如果你准备收购一家公司，尤其是那些有线上业务、积累了用户数据的公司，一定要聘请专业的机构做数据合规专项尽调，千万不要觉得“问两句”就完了。这个领域的专业性非常高，而且法律边界在不断调整。未来几年，随着监管力度的进一步加强，数据合规的成本会越来越高，但合规良好的企业也会获得更高的市场溢价。我希望通过今天的分享，能让你明白，数据合规性审查不是在制造麻烦，而是在帮你发现价值，保护你的投资。 它不是阻碍交易的路障，而是你资产安全的锚点。

加喜财税见解总结

在加喜财税多年的并购服务实践中，我们深刻认识到数据合规已从“锦上添花”变为“生死存亡”的硬指标。单纯依靠报表数据已无法评估企业真实价值。我们建议所有交易方，在尽调初期就应引入专业的数据合规评估团队。今天文章中提到的授权链条、跨境传输、影响评估等，仅仅是冰山一角。真正的挑战在于如何将法律条文转化为可量化、可审计的商业合同条款。咱们加喜财税团队始终认为，一次成功的公司转让，不光是数字对得上，更是在法律与监管的红线内，理清每一比特数据的来龙去脉。 管理好数据风险，就是管理好未来的现金流与品牌声誉。