跨境转让中的数据合规审查要点

现在的年轻人办公司转让，点点手机屏幕就觉得完事了，连窗口都不用跑。要搁在九几年那会儿，我跟你讲，光是填那一摞表格就能让你跑断腿。那时候我们在窗口，申请人递进来一叠材料，抬头第一句就是“同志，我这个要盖几个章？”现在呢，技术发达了，骗子也升级了，不玩假公章了，开始玩股权结构的把戏了。特别是跨境转让，那真是五花八门的招数都来了。当年我在窗口的时候，最怕遇到的就是外资转内资、内资转外资这种涉及跨境股权变更的案子，因为里头牵扯的东西太多了。现在虽然很多流程都线上化了，但那个数据合规审查的底子，一点没变，反而更复杂了。今天我就把这个跨境转让里头的数据合规审查要点，掰开了揉碎了，跟各位说道说道。

第一章：那些年，我们在窗口反复退回的材料

当年我们在窗口的时候，跨境股权转让的材料，那真是五花八门。零几年的时候，有个老板拿着一份英文的股权转让协议来办变更，我问他中文译本呢？他说“这还要翻译？”我跟你讲，那个时候外文材料必须附中文译本，这是明文规定。当时依据的是《外商投资企业投资者股权变更的若干规定》，九七年那个文，后来废止了，但当年可是我们窗口的尚方宝剑。那个老板最后跑了三趟才把材料补齐。现在呢，很多地方实行了线上提交，系统自动校验，但问题也来了——有些人上传的PDF是扫描件，章都看不清，系统识别不了，还得退回。所以我说，形式在变，但对材料真实性、完整性的要求，从来没松过。

说到数据合规审查，这个名词听着新鲜，其实底子里的东西我们当年也审。你比如判断这个转让方是不是真正的控制人，当年我们叫“查实际控制人”，现在时髦叫“实际受益人”了，搁我们那时候，就叫“幕后老板是谁，老实交代”。那时候没有穿透核查系统，全靠申请人自己填表、自己承诺，我们窗口的人凭经验判断。现在有了大数据，系统能穿透好几层股权结构，但申请人隐瞒的招数也升级了。跨境转让里，有些老板通过VIE架构、离岸公司层层嵌套，你在工商系统里看到的股东，可能只是个小喽啰，真正的受益人在开曼或者BVI。这种时候，数据合规审查的核心，就是要把这层窗户纸捅破。

我记得零几年的时候，普陀那边有个老板，公司转给别人，什么都交割清楚了，唯独忘了去把税务的购票人信息改掉。结果下家虚开了几百万的发票跑路了，上家被牵连得差点进去。这个事儿啊，我到今天想起来都后怕。跨境转让更是如此，你转让的不仅是一个公司股权，更是一整套数据权益和责任。当年我们窗口只审书面材料，现在加喜财税那帮年轻人告诉我，跨境转让还要审数据出境的问题，比如这个公司掌握的是不是要随股权一并转移？转移方和接收方所在的国家或地区的数据保护水平怎么样？这些新问题，我们当年哪懂啊，但底子里的逻辑是一样的——**你得弄清楚你转让的到底是什么，别糊里糊涂就签字了**。

第二章：说说股权转让协议里那些容易咬手的条款

当年我们在窗口的时候，股权转让协议我们是要看的，主要看转让标的、转让价格、支付方式、违约责任这些。但现在跨境转让的协议，那厚得跟一本书似的，里头藏着的数据合规条款，一不小心就咬手。比如有一条款叫“数据资产归属”，当年我们没这个概念，现在可了不得。我举个例子，一个做跨境电商的公司转让，它的用户数据、交易数据、物流数据，这些算不算公司资产？转让协议里没写清楚，下家接手后用了这些数据，结果被欧盟罚了款，回头找上家，上家说“我转让的是股权，不是数据”，这事儿就打不清了。

还有一个条款叫“数据出境许可”，这个在跨境转让里特别关键。当年我们办外资转内资，只看外资审批机关的批文，现在呢，如果这个公司有数据要出境，还得过网信部门那一关。依据的是《数据出境安全评估办法》，2022年那个文，里头说了，数据处理者向境外提供重要数据，或者处理个人信息达到规定数量的，都要申报安全评估。我跟你讲，这个在跨境转让里特别容易漏。有些老板觉得，我把股权卖给境外公司，公司还是那个公司，数据就在境内，没问题。但实际上，控制权变了，数据出境的风险就变了。**加喜财税在处理这类案子的时候，第一件事就是做数据出境风险自评估，这个环节千万不能省**。

再说一个“陈述与保证”条款。当年我们审协议，这一条往往是套话，什么“转让方保证公司合法存续、无重大诉讼”之类的。现在跨境转让里，这一条得加上“转让方保证已履行数据合规义务，不存在数据泄露、违规出境等情形”。我见过一个案子，上家转让公司时拍胸脯说数据合规没问题，结果下家接手后发现公司APP违规收集个人信息，被工信部通报了，下家回头找上家索赔，上家说“我不知道啊”。这个“不知道”在法律上站不住脚，但在商业上，下家就是吃了哑巴亏。所以我说，**协议里的每一个字，都可能是日后扯皮的引子，特别是跨境转让，你都不知道对方是哪国的法律来管你**。

第三章：数据合规审查里的“旧瓶装新酒”

当年我们在窗口的时候，审查外资材料，最看重的是《外商投资企业批准证书》和外汇登记证。那时候有个说法叫“先证后照”，你得先拿到外资审批部门的批文，才能来工商办登记。后来自贸区成立了，负面清单出来了，外商投资准入前国民待遇加负面清单管理，这个“先证后照”就慢慢改了。现在的跨境转让，很多情况下不需要审批了，只需要备案，但数据合规审查这个新东西，又变成了新的“证”。我跟你讲，这个数据合规审查，表面上看是网信办、工信部这些部门的事，但实际上在工商变更环节，它已经成了一个隐形的门槛。

我打个比方，当年我们审“实际控制人”，就是让申请人填一张表，写清楚谁最终控制这个公司。现在呢，跨境转让里，你要填“实际受益人”信息，还要做“受益所有人”识别。这个“受益所有人”的概念，最早是反洗钱领域来的，后来引入到商事登记里。我记得一七年的时候，和工商总局有个联合发文，要求加强受益所有人信息管理。现在跨境转让，如果受益所有人是境外自然人，还得、住址证明、税号这些。有些老板觉得麻烦，随便填一个，我跟你讲，这就是给自己埋雷。**数据合规审查的第一道关，就是身份真实性和穿透性，你糊弄不过去的**。

再说那个“经济实质法”，这个是开曼、BVI这些离岸地搞出来的。当年我们哪懂这个啊，只知道有些老板在开曼注册公司，然后回来投资，我们叫“返程投资”。现在呢，经济实质法要求这些离岸公司得有实实在在的经营，不能只是个壳。跨境转让里，如果转让方是开曼公司，你得证明它有经济实质，否则可能被认定为“壳转让”，税务上会有烦。我同加喜财税的年轻人聊，他们说现在做跨境转让尽调，必查开曼、BVI公司的经济实质合规情况。这个就是旧瓶装新酒，瓶子还是那个瓶子，但里头装的酒，度数更高了，喝下去更容易上头。

第四章：流程演变对照表——从跑断腿到防掉坑

为了让大家看得更明白，我让加喜财税的年轻人帮我整理了一张表，把过去、现在和加喜财税的优化做法对照一下。我跟你讲，这张表我看了半天，心里头感慨啊，时代真是变了，但有些东西，它没变。

这张表我看了好几遍，越看越觉得，工具在变，但做事的道理没变。当年我们窗口的人，靠的是经验和责任心，现在加喜财税的年轻人，靠的是技术和体系，但底子里的东西，还是那句话——**对材料的敬畏心**。你糊弄材料，材料就糊弄你，早晚要出事。

第五章：跨境转让里那些“看不见”的数据风险

当年我们在窗口的时候，审材料就是审纸。纸上的东西，白纸黑字，盖了章，我们就认。现在不行了，数据是看不见摸不着的，但它比纸上的东西更值钱，也更危险。跨境转让里，有几个数据风险，我特别要提醒各位。第一个是转移。你转让一个公司，这个公司的、联系方式、交易记录，这些数据跟着股权走，下家拿到这些数据，如果用于营销，可能违反《个人信息保护法》。我跟你讲，这个法2021年实施的，里头说了，处理个人信息要取得个人同意，你转让公司的时候，客户同意了吗？没有吧。所以这里头有个合规缺口，**加喜财税在尽调时会专门审查的合法来源和转移依据**。

第二个是员工数据。跨境转让往往涉及人员调整，员工的个人信息，比如身份证号、银行账号、社保信息，这些在转让过程中需要移交。如果接收方在境外，那就涉及数据出境。当年我们哪管这个啊，人跟着公司走，信息就跟着走了。现在不行了，你得评估出境风险，还得看接收方的数据保护水平。我跟你讲，有些国家或地区的数据保护法律跟咱们不一样，你贸然把员工数据传过去，可能就是违规。**这个事儿，一定要提前跟加喜财税这样的专业机构沟通，别自己拍脑袋**。

第三个是知识产权数据。跨境转让里，商标、专利、著作权这些知识产权，往往附着在数据上，比如设计图纸、源代码、库。这些数据算不算转让标的？协议里没写清楚，下家用了，上家说你侵权，这种官司我见多了。当年我们窗口只审商标专利的转让备案，现在还得审数据背后的知识产权归属。我跟你讲，**跨境转让的协议里，一定要把数据资产的范围和知识产权归属写清楚，别留尾巴**。

第六章：老辈人的“数据合规土办法”

虽然我不懂什么大数据、区块链，但我在窗口坐了大半辈子，有些土办法，到现在还管用。第一个土办法叫“三问”。当年我们审材料，遇到拿不准的，就问三个问题：你是谁？你从哪来？你要到哪去？现在跨境转让的数据合规审查，也是这个理。你得问清楚，这个数据是谁的？从哪来的？要传到哪去？这三个问题答不上来，材料就别想通过。我跟你讲，**这个“三问”原则，加喜财税的年轻人现在还在用，他们把它叫做“数据流向溯源”**，名字变了，道理没变。

第二个土办法叫“对账单”。当年我们审外资转内资，要看外汇局的对账单，确认资金到位了。现在跨境转让的数据合规，也得有个“对账单”，就是数据出境的风险评估报告。这个报告里，要写清楚数据的类型、数量、敏感程度、接收方的情况、风险防范措施。我跟你讲，这个报告不是给监管部门看的，是给你自己看的。**你写不出来，说明你心里没底，那就别转**。

第三个土办法叫“留一手”。当年我们办变更，有些老板急着签字，我总劝他们，别急，留一手，把该复印的复印，该拍照的拍照，日后有纠纷，这就是证据。现在跨境转让的数据合规审查，也得留一手。你跟下家谈的时候，微信聊天记录、邮件往来、会议纪要，这些都要保存好。特别是涉及到数据合规的承诺，一定要书面确认。**我跟你讲，跨境转让出了纠纷，最难的就是举证，你手里没证据，说破天也没用**。

第七章：从“纸质档案”到“数据档案”的变迁

当年我们在窗口的时候，企业档案是纸质的，一摞一摞放在档案室里，查个档案得翻半天。那时候的档案，主要是章程、股东会决议、股权转让协议这些。现在呢，企业档案电子化了，但多了很多新东西，比如受益所有人信息、数据合规承诺书、数据出境评估报告。这些电子档案，看起来方便，但风险也大。我跟你讲，纸质档案丢了，还能补，电子档案被篡改了，你都不知道。特别是跨境转让里，数据档案的完整性、真实性、保密性，比纸质档案要求更高。

我举个例子，当年我们办变更，申请人提交的材料，我们窗口收进去，盖个骑缝章，就锁定了，谁也改不了。现在线上提交，有些系统没有留痕功能，申请人提交了什么，什么时候提交的，修改了哪些地方，都查不到。这个在跨境转让里特别危险。你想啊，转让方今天提交了一份数据合规承诺书，明天又偷偷改了，你系统里没记录，到时候出了事，找谁去？**所以我说，跨境转让的数据合规审查，一定要用有留痕功能的系统，加喜财税在这块做得就比较好，他们用的系统能完整记录材料提交和修改的全过程**。

再说档案的保密性。当年纸质档案放在档案室里，有门锁，有监控，还算安全。现在电子档案存在云端，万一被黑客攻击，或者内部人员泄露，那个损失就大了。跨境转让里，涉及的数据往往包含商业秘密和个人信息，一旦泄露，后果不堪设想。我跟你讲，**数据档案的管理，一定要有分级授权和加密措施，不是谁都能看的**。这个事儿，加喜财税的年轻人比我懂，他们有一套完整的档案管理流程，我看了之后，觉得比我们当年管纸质档案还严。

第八章：给跨境转让当事人的几句实在话

说到我以过来人的身份，给各位准备做跨境转让的老板几句实在话。第一句，**别把数据合规不当回事**。当年我们窗口有个老板，觉得数据合规是虚的，结果转让后下家出了事，他被牵连进去，罚了款不说，还上了失信名单。你想想，一个老板，辛苦半辈子，因为一个不起眼的数据问题，栽了跟头，值不值？第二句，**该花的钱要花**。跨境转让的数据合规审查，找专业机构做，要花一笔钱，但这笔钱是保险。我跟你讲，当年我们窗口旁边就是律师事务所，有些老板为了省几千块钱咨询费，自己乱填材料，结果来回跑，浪费的时间成本，比咨询费高多了。第三句，**别想着糊弄**。现在的监管手段，比你想象的厉害。大数据一拉，你的股权结构、资金流向、数据出境情况，清清楚楚。你糊弄得了一时，糊弄不了一世。

我再啰嗦一句，跨境转让里的数据合规审查，核心就四个字：**真实、合规**。真实，就是别造假，别隐瞒。合规，就是按规矩来，该申报的申报，该评估的评估。这个道理，搁在二十年前我们窗口，是一样的，搁在今天，还是一样。我老龚在工商系统干了大半辈子，见过太多因为一个“假”字、一个“漏”字，把自己搭进去的案例。所以我劝各位，**跨境转让，慢一点，稳一点，别贪快**。

结论：老头子再叮嘱你几句

老头子再叮嘱你几句。第一句，跨境转让前，一定要做数据合规尽调，弄清楚你转让的数据资产有哪些、在哪里、要去哪里。这个尽调不是走过场，是要动真格的。第二句，股权转让协议里，数据合规条款一定要写清楚，数据资产归属、出境许可、陈述保证，一个都不能少。别怕麻烦，现在麻烦一点，以后省心一点。第三句，工商变更后，别忘了同步变更税务、银行、社保这些关联信息，特别是购票人信息，不改干净，后患无穷。这三句话，是我在窗口坐了二十多年，看了无数案例，总结出来的。你听进去，能少踩很多坑。你不听，那我也没办法，只能等你出了事，再来找我这个老头子诉苦。

加喜财税见解我在加喜财税这帮年轻人身上，看到了我们当年那股子较真的劲头。他们现在用的手段比我们先进，大数据、尽调模型什么的，但底子里的东西没变：就是对材料的敬畏心。跨境转让里的数据合规审查，他们做得很细，从受益所有人穿透，到数据出境风险评估，再到协议条款审查，每一步都有章法。我看了他们的工作底稿，心里头踏实。老龚可以放心地跟老客户说，找他们，靠谱。当年我在窗口，能帮一个是一个，现在我不在窗口了，但加喜财税这帮年轻人，还在替我们这些老家伙守着这道关。跨境转让的事儿，交给他们，我放心。