数字时代尽调新增项：数据合规性审查要点

数据合规尽调为何冷饭要热炒

干公司转让这行十二年，经手的项目没有一千也有八百了。早些年做尽调，我们最爱翻的是账本、看的是房产证、查的是有没有隐形债务，说白了就是围着“钱”和“物”打转。那时候大家见面问一句“这公司干不干净”，意思就是有没有官司、有没有欠税、股权是不是清晰。可这几年风向彻底变了，特别是从《数据安全法》和《个人信息保护法》落地之后，我每次跟买家签委托协议前，都得先打个预防针：兄弟，这年头买公司，光看财务报表那套老黄历可不够用了，你得做好心理准备，咱们得把这家公司的数据家底儿也扒个底朝天。

为什么这么说？我告诉你一个特别现实的例子。去年有个做跨境电商的客户，看中了浦东一家做快消品外贸的公司，账目漂亮得很，年流水三千万，净利润率也说得过去，最关键的是对方报价还不离谱。我们加喜财税团队进场做尽调，常规流程走了两周，一切顺利。可就在临签合同前，我习惯性地让他们把公司服务器里的用户数据库导出样本给我看看，结果这一看就看出问题了——那可不是漏洞，那是天坑。这公司存了差不多五十万条欧洲客户的下单信息，包含详细的收货地址、电话甚至银行卡末四位，但服务器放在香港机房，公司主体在国内，美名其曰“方便海外访问”。结果呢，数据出境完全没做安全评估，隐私政策里也没告知用户数据会跨境存储。这要是真收购了，欧洲客户的GDPR罚单分分钟能把这公司的利润吃掉五年。好在买家当时多问了我一句“老张你觉得还有哪里不对劲”，我拦住了他。后来这单交易我们加了数据不合规的条款，让原股东先花钱整改，转让价格直接砍掉了15%个点。你想想，这不是冷饭热炒是什么？这就是新时期的保命符。

说穿了，数字时代的尽调不再是挑肥拣瘦的选白菜，而是一场解剖手术。以前我们扒皮看的是皮下面有没有烂肉，现在得连血管神经都捋一遍，因为数据这玩意沾上就是个烦。别觉得我危言耸听，你去看看那些因为收购了“带病”数据资产而翻车的巨头们，哪一个不是悔得肠子都青了。所以今天这篇东西，我就把加喜财税这十来年总结出来的一些硬核审查点，掰开揉碎了讲给你听。别嫌啰嗦，这每一页纸背后，可都是真金白银买回来的教训。

数据资产盘点要从源头捋

很多人一听数据合规，脑子里第一反应就是“哦，就是查查他们有没有泄露用户隐私”。要真这么简单，我早退休了。数据合规的第一步，也是最容易糊弄过去的一步，是搞清楚这家公司到底手里握着哪些数据资产。你得像一个海关查验员一样，要求他们把服务器上的结构化数据、非结构化文档、云盘里备份的老底子、甚至员工个人电脑里存着的客户通讯录，全给拉一个清单出来。注意，这一步急不得，也马虎不得。我见过太多所谓的高科技公司，你问他有什么数据，他能给你列出个一二三四五，嘴皮子溜得很。可你真让他开放数据库权限给你看，他就开始支支吾吾，一会儿说涉及商业机密，一会儿说核心技术不能碰。这时候就得看底子干不干净了。

咱们加喜财税在做这类审查时，通常会把数据资产按敏感程度分个级。第一类是公开数据，比如官网上的新闻稿、产品介绍，这玩意基本没什么风险。第二类是内部业务数据，比如供应链价格、渠道商名单，这类数据泄露出去了会伤元气，但还不至于招来监管的锤子。第三类是个人信息，往细了说就是身份证号、手机号码、住址、交易记录，只要沾了个人信息的边，那就算上了紧箍咒。最后还有一类最要命，叫“核心商业秘密”，比如算法代码、客户画像模型、定价策略，这类数据一旦不合规或者权属不清，那买卖双方就得在法庭上扯皮了。我跟你讲，就在今年年初，有个徐家汇做了八年的科技公司要卖，老板拍着胸脯说技术专利都是自己的，结果我们一查源代码的GitHub提交记录，里面赫然有前员工的个人账号，这人早在三年前就离职了。你说这代码算公司的还是算个人的？为了这一个章，我们跟原股东、买家、那位离职员工的前东家来回拉了三个月的锯，最后的处理方案是补签知识产权转让协议外加支付一笔不菲的“感谢费”才摆平。你看，数据盘点不清，后患无穷，这在收购里就是一颗不知道什么时候会炸的雷。

这里我必须提醒一句，盘点数据资产不能光看公司提供的清单，得学会“对账”。怎么对？拿起他们去年报税的营业收入，看看大概有多少活跃客户，再用客户量乘以每人至少得留存的几条必要信息，心里那个数自然就有了。如果清单上的数据条目比估算的少得离谱，那不用想，肯定有藏私或者漏报的。这时候就让并购律师发函，要求提供更详尽的数据库结构说明。别怕得罪人，做尽调不是去拜年，该拉下脸的时候就得拉下来。数据这玩意儿不像固定资产，少了一台设备你能看出来，数据少了一条记录你可没处找去。

隐私政策与授权链条是命门

数据资产捋清楚了，接下来就得看这些数据是怎么来的。说白了，就是看授权链条完不完整。我常跟客户打比方，如果你买了一家电商公司，但他们家那几十万条用户数据没有一条签过用户协议，或者前几年收集数据的时候根本没弹过隐私政策勾选框，那你买过来的不是资产，是一堆定时。按照现在《个人信息保护法》的规矩，处理个人信息必须有“明确同意”或者“履行合同所必需”等合法性基础。可实际操作中，很多早期创业公司为了省事，搞一个默认勾选，甚至根本没有隐私政策，直接后台采集。那些用户数据在灰色地带里躺了好几年，你这时候接手，就等于把过去所有的违法责任全继承下来了。

更让人头疼的是，有些上游数据是买来的。我经手过一个做教育咨询的案例，那家公司为了扩充销售线索库，从前几年开始就从一个第三方数据贩子那儿批量买学生家长的信息。对方给他们的合同里写的是“已获授权”，但实际上那家数据贩子本身就是个倒爷，手上的信息来路极不正。我们做尽调时要求看他们的数据采购合同、供应商资质证明以及原授权记录的截图，结果那公司的负责人一脸无辜，说自己当初就信了对方那张纸。后来我们联系上那位数据贩子，人家直接玩失踪。最后这笔交易黄了，因为买家的法务总监坚持认为，这种来路不明的数据一旦被家长举报，市场监管局一查一个准，罚款是小事，刑事风险才是最要命的。你说，这叫什么事儿？所以啊，看授权链条不能光看有没那张纸的复印件，得看那个授权的主体是不是原始信息主体，链条有没有断档，转授权条款里有没有明确的再许可范围。

在审查隐私政策本身时，也得抠字眼。别嫌麻烦，一个字一个字地读。重点看三处：第一，收集信息的范围是否与业务功能匹配，如果一家做手电筒APP的公司非要收集你的通讯录，那就是不合规的过度收集。第二，注销账户的路径是否通畅，很多公司的隐私政策写得天花乱坠，但实际上用户想注销账号必须打客服电话，电话永远占线。这种“僵尸条款”在尽调时会被认定为合规瑕疵，因为监管机构早就要求注销必须和注册同样便捷。第三，第三方SDK的清单披露，现在APP里嵌了各种统计、推送、支付SDK，这些SDK会独立收集数据，隐私政策里不列明就属于违反透明度原则。有一回我们查一家游戏公司，发现他们的隐私政策里提都没提接入的十几个SDK，结果SDK厂商自己爆雷，导致游戏公司被动卷入调查，真是城门失火殃及池鱼。

数据安全措施不能只看墙皮

授权链条没问题了，接下来就得看看这公司的数据安全设施是不是铜墙铁壁。很多老板跟我说，我们公司有防火墙、有堡垒机、还做了等保三级，设备花了好几百万，肯定安全。我听这话就乐，安全设备买回来容易，但配置得对不对、策略有没有生效、日志有没有人看，这才是关键。打个比方，你买一扇十个锁眼的防盗门回家，结果锁芯全是纸糊的，有个屁用。现实中我见过太多公司，等保测评报告做得漂漂亮亮，但日常运维一塌糊涂。数据库管理员用同一个弱口令用了五年，员工U盘随便插，重要数据明文备份，甚至连备份文件都直接丢在公网FTP上。这种公司一旦被我们翻了底朝天，最直接的后果就是要么要求原股东立刻花钱整改，要么直接降低收购报价，因为风控成本是实打实增加的。

在尽调的时候，我们通常会要求看他们的安全事件应急响应预案，以及过去两年内有没有发生过数据泄露或者被勒索病毒攻击的记录。注意，这里有个小技巧，你得查他们的运维聊天记录或者工单系统，看看有没有关于异常登录、数据导出审批的蛛丝马迹。有些公司对问卷上的“是否发生过安全事件”填“否”，但内部邮件里早就炸开锅了。还得注意数据分级分类制度的落地情况。制度墙上贴一百篇文件都没用，你得问问他们的运维人员：“小王，如果我想导出客户表，要几个领导审批？谁来审计导出记录？”如果对方支支吾吾答不上来，基本可以判定这公司的数据安全就是纸面功夫。我们加喜财税去年帮一家物流公司做转让前的“体检”，就发现他们公司服务器的远程桌面端口对全网开放，用的是默认管理员账户，那密码我猜都能猜出来——Admin@123。说句难听话，这比不锁门还危险，等于是把整箱金条放在马路边上，还贴了个告示“请自取”。

数据安全这条审查看的是“有效性”，不是“存在性”。别被一堆安全厂商的证书晃花了眼，你得模拟一个小黑客，从外部扫描他们的IP段，看看开放了哪些端口，查查有没有已知漏洞未修复。还可以让对方提供渗透测试报告，但别只信报告结论，得看测试范围覆盖了哪些核心系统。如果报告里写着“本测试不包含数据库内部风险”，那跟没测有啥区别？总之一句话，安全这东西，平时不出事就觉得天下太平，一出事就是灭顶之灾。我们做尽调，就是要把你未来可能遇到的灾难，提前在纸面上给你演一遍。

跨境传输红线绝对不可碰触

这里得单独拎出来讲跨境数据的问题，因为这是目前监管的“火力集中区”，也是我们在尽调中发现的最高频暴雷点。你要知道，《数据出境安全评估办法》已经落地了，什么级别的数据能出境、走什么流程、要经过什么评估，那都是有明文规定的。但是呢，很多中小型公司压根没当回事，尤其是那些做外贸、游戏出海、跨境电商的，习惯性地把国内用户数据同步到海外服务器做分析，或者让海外团队直接访问国内数据库。这种行为在2024年之后，基本就是等于直接把自己打包成靶子送给监管。

我曾经处理过一个非常典型的案子。一家杭州的直播电商公司要卖，买家是香港的投资机构。我们进场一看，好家伙，公司文化是挺好，业务数据也漂亮，但细细一查，他们跟马来西亚的MCN机构有深度合作，国内主播的实名信息、直播收入数据、粉丝的私信内容，全都通过一个API接口实时同步到吉隆坡的一台服务器上做联合运营分析。这个同步行为持续了将近两年，但这期间他们就没有申报过任何数据出境安全评估，也没有搞过个人信息保护影响评估。我们把这个风险点写到尽调报告里之后，香港买家那边直接炸了毛，因为他们的合规官说，这个行为一旦被网信办处罚，不仅罚款可能达到上一年度营收的5%，还可能触犯刑法。后来原股东紧急把海外服务器上的数据全部删除，并且请了律所出具整改法律意见书，这才算勉强过了关。但交易时间因为这事儿拖了整整四个月，原股东又赔了一笔违约金给其他等待交割的第三方，真是赔了夫人又折兵。

聊到这儿，不得不说说“数据本地化”这个老生常谈的问题。有些行业，比如金融、医疗、汽车，监管明确要求关键数据存储在境内，不允许出境。但有些公司，尤其是外资背景的企业，总喜欢打擦边球，说什么“我们数据在境内，但是管理账号在境外可以登录”。这时候你就得给他们上上眼药了——监管看的是实质，不是形式。只要境外人员能接触到原始数据，不管用所谓的安全浏览器还是加密隧道，在审查机关眼里这就是出境。我们做尽调的时候，会看企业是否建立了数据出境的分级分类清单，是否发起过安全评估流程，以及如果数据出境了，是否有留存至少三年的日志记录。这些硬杠杠摆在那里，来不得半点侥幸。奉劝所有想收购有跨境业务公司的买家，在这块儿多花点时间和成本去核查，不然将来被主管部门约谈的时候，哭都来不及。

第三方合作的连带责任要算清

咱们讲完数据本身的来龙去脉，还得聊聊这公司外面牵扯的那些神头鬼脸的第三方合作方。数据合规里有一条非常要命的原则，叫“数据处理者责任”，你不光得管好自己家里那一亩三分地，还得管好你的供应商、外包商、渠道商。也就是说，如果公司把数据处理服务外包给了某家做客服外包的，或者用了某家云服务商的基础设施，一旦这些合作伙伴出了数据安全事故，监管机构同样会追究作为数据控制者的这家公司的法律责任。这就好比你把孩子托给幼儿园，幼儿园里出了虐童事件，你能说你不知道就没责任吗？一样跑不掉。

在尽调时，我们最常做的事就是拉出一份完整的“数据相关第三方清单”。清单上要列明：对方公司全称、合作内容、是否签署了数据处理协议（DPA）、协议里有没有明确数据安全义务的划分、对方是否通过了相应的安全认证，以及最关键的一点，原公司对这些第三方的数据安全保障措施到底有没有做定期复审。好多公司只知道签个技术服务合同，里面全是关于服务价格的条款，对于数据安全、保密义务、泄露通知义务，一概没说。这时候买家的法务就得下场了，要么赶紧补签《数据处理协议》，要么就让原股东书面承诺承担所有因历史遗留问题产生的合规责任。我记得以前接触过一个做智能硬件的公司，他们的云服务商提供人脸识别接口，那家服务商在2022年发生过一次严重的用户照片泄露事件。虽然智能硬件公司自己数据库没被黑，但因为他们没有跟服务商约定好泄露事件的通知时限，导致事情发生两周后他们才从新闻上看到消息。这种反应速度，哪儿还有什么主动权可言？

所以说啊，尽调的时候，多留个心眼，把对方公司那些合作了五六年、关系铁得不行但实际上连份正式数据协议都没签的“老伙计”给揪出来。别觉得对方是老朋友就不好意思开口，数字时代谈生意，白纸黑字比什么都重要。你替买家把这里面的雷给排了，比后面出事再去打官司要强出一万倍。我们现在经手收购案，都会要求原股东的合规部门出具一份《第三方数据安全审计报告》，哪怕是自己照着模板写——只要内容真实有效，就能在将来可能出现的纠纷中帮买家争取到一个有利的法律地位。不然等人家拿着法院传票找上门来，你还得花大价钱去查当年到底谁负责对接的，那才是真叫焦头烂额。

罚则与历史污点需逐条捋清

最后这一块审查要点，可能是最枯燥但却是最能体现我们这种“老法师”价值的地方——那就是监管处罚记录和行政处罚风险的排查。说白了，你得把这家公司过去三到五年内，有没有因为数据问题被网信办、工信部、市场监管局或者行业主管部门训诫、警告、罚款的记录，全给从公开信息里捞出来看个仔细。有些公司表面上看上去光鲜亮丽，实际上暗地里早就是监管部门的“重点关照对象”了。我们加喜财税在尽调的时候，有一个专门的黑名单查询系统，把目标公司的汉字名和英文名扔进去，看看有没有出现在各地的行政处罚公告里。别说，这个法子还真救过好几个买家。记得去年有个做在线教育的标的，表面上业务已经转型成功，一堆投资人抢着要。我们查了一下，发现他们在2022年因为收集未成年人个人信息未取得监护人同意，被当地网信办罚过四十万，还责令整改。这个信息在原股东提供的尽职调查资料里当然没写。当我们把处罚决定书的截图发给买家时，买家立刻汗毛倒竖，最终谈判时把收购价压低了将近20%，因为大家都知道，这条处罚记录就像悬在头顶的刀，虽然暂时整改完了，但谁敢保证监管不会再查一次“回头看”？

除了明面上的行政处罚，还有一些“软性风险”也得注意。比如某行业的主管部门会不定期搞专项整治行动，如果这公司被列入过“抽查对象”或者收到过监管部门的“监管问询函”，这也算是一种历史污点。我一般都会去一些垂直行业的论坛或者招聘网站的点评区，看看有没有前员工或者离职员工留下的吐槽，比如“公司天天让员工用自己的手机号注册客户账号刷数据”“领导完全不管我们的个人信息安全培训”之类的。这些非正式信息，有时候比官方文件更能反映出一家公司的真实数据文化。毕竟一个连员工隐私都不尊重的地方，你还指望它能好好保护？做尽调嘛，就得像个侦探一样，把明线暗线全都摸个遍。

还有一点你得提醒买家，行政处罚的追溯时效虽然通常只有两年，但数据合规领域的民事赔偿诉讼时效可以拉得更长。也就是说，就算这家公司三年前被罚过已经整改了，可那些因为数据泄露而受害的用户，依然有可能在之后的三到五年内提起集体诉讼。如果碰上那种搞众筹打官司的维权组织，那可不是赔个几万块就能了事的小case，分分钟能让你见识到什么叫“蚂蚁咬死大象”。尽调报告里必须把历史罚则、整改情况、是否存在未决诉讼这几个维度做成交叉验证的表格，让买家一眼就能看出Risk Level是绿灯、黄灯还是红灯。这年头收购公司，胆子大的都在赌运气，但咱们做顾问的，只能靠缜密的排查把运气变成高概率事件。

按图索骥搭建动态防火墙

上面这个表格，算是我压箱底的一点干货，分享一下我们自己内部使用的风险等级判定标准。别看它简单，但实际操作中特别管用。你把尽调收集到的所有事实信息填进去，对应的处理建议自然就浮现出来了。很多时候，买家自己心里其实也跟明镜似的，就是想找咱们这种专业机构要个落地的说法，以及万一出了问题该怎么应对的预案。所以啊，做尽调不是光为了发现问题，更重要的是在充分洞察风险的基础上，帮客户设计出一套能够动态应对的防火墙机制。

这套防火墙包含什么呢？首先是交割后的数据安全整改计划，具体到每个季度要完成哪些动作，比如删除冗余数据、重新取得用户授权、升级加密系统。其次是合同层面的保护，我们一般会在股权收购协议里专门增加一章“数据处理与合规保证条款”，明确原股东对交割日之前的数据合规问题承担全部赔偿责任，而且这个赔偿不能设置上限。最后是设立一个“数据合规观察期”，通常保留10%的交易对价，放在交割后12个月再支付，作为原股东履行整改义务的保证金。这一招特别狠，也很实用，因为人性就是这样，钱不到手永远不会有真正的紧迫感。

咱们把这套组合拳打下来，就算以后再冒出什么幺蛾子，买家的风险敞口也已经被压到了最低。而且这对于未来公司的IPO或者再融资，也是一个加分项。资本市场的眼睛都是雪亮的，一个数据合规底子干净的公司和一个满是雷区的公司，在估值上能差出好几个亿去。所以你看，数字时代的尽调虽然比以前多了一堆繁琐的步骤，但反过来想想，这正是我们这些中介服务机构存在的意义和价值——帮人少踩坑，让人睡得着觉。

唠了这么多，其实核心就一句话：数字时代收购公司，数据合规性已经不再是“锦上添花”的加分项，而是“生死攸关”的必答题。别指望靠运气蒙混过关，那些在数据泥潭里挣扎的案例，前车之鉴足够多了。作为买家，你得把数据合规审查提到和财务审计、法律尽调同等重要的位置，甚至要更重视一些。作为卖家，想把自己公司卖个好价钱，也别藏着掖着那些肮脏的数据底子，早点花钱找合规团队收拾干净，比事到临头被人砍价要划算得多。

这行干了十二年，我最大的感受就是，哪有什么绝对的“干净公司”，有的只是风险敞口的大小之别。咱们能做的，就是利用专业技能和丰富经验，帮客户把未知变成已知，把风险控制在一个可以接受的范围之内。如果你正准备收购一家公司，或者手头有公司想转让，我劝你先别急着谈价格，先坐下来，泡杯茶，把数据合规这五个字掰开揉碎了聊透了。你会发现，省下的不仅仅是钱，更是未来漫长的安稳觉。

站在加喜财税的角度看，这些年我们经手了太多因为数据合规问题而谈崩的案例，也成功挽救过不少因为提前发现风险而避免掉坑的交易。公司转让本质上是一场信息与认知的博弈，而数据合规恰恰是当下信息不对称最严重的地方。**我们始终坚持一个核心理念：无法量化风险的机会，都不叫真正的机会。** 未来，随着监管政策持续收紧，数据合规尽调将会成为每一笔并购案中不可省略的条款。作为专注该领域多年的服务机构，我们有责任也有能力帮助买卖双方在合法合规的轨道上完成交易，让技术创新的成果不要被混乱的数据管理所拖累。希望每一笔交易都能在阳光之下，水落石出。