各位同行，我们在处理跨境投资架构时，经常遇到一个让客户夜不能寐的问题：项目明明商业逻辑完美，技术路线清晰，怎么到了监管窗口就卡壳了？说白了，大家怕的不是审批流程本身，而是那种“不确定性”——你不知道哪一步会触发安全审查，更不知道审查的边界在哪里。
今天这篇文章，我想结合自己过去十几年帮外资企业做落地咨询的实操经验，专门聊聊“哪些行业的投资可能触发安全审查”。这不是一个空泛的法条翻译题，而是一个关乎交易时间表、资金成本乃至企业存亡的实战问题。咱们不绕弯子，直接切入正题。
一、数据与网络安全
先说一个最敏感也最容易被低估的领域：数据与网络安全。很多客户觉得，我不碰国防、不碰军工，安全审查跟我有什么关系？但现实是，只要你的业务涉及大量个人信息、重要数据出境，或者掌握着关键信息基础设施的运行数据，你就已经站在了审查的射程之内。
我记得2021年那会儿，有一家做跨境物流SaaS的外资客户，准备收购国内一家做港口调度系统的小公司。表面上看，这只是一笔几千万人民币的买卖，但尽调时我们发现，那家小公司手里握着几个沿海港口的实时货物吞吐数据，甚至还有部分船舶轨迹信息。客户当时觉得我多虑了，说“这些数据又不涉密”，但后来我们花了整整两个月，协助他们向监管部门做了多次口头说明和书面承诺，最终虽然交易完成了，但附加了数据本地化存储和年度审计的条件。这个案例让我深刻意识到，“数据即主权”已经不是一句口号，而是审查实践中实实在在的标尺。
从政策面看，《网络安全审查办法》明确将“掌握超过100万用户个人信息的运营者赴国外上市”列为必须申报的情形，但日常并购中的数据控制权转移，往往容易被忽略。我的判断是，只要目标公司有任何处理敏感个人信息的业务，或者其系统与政务、金融、能源等关键行业有接口，投资方就必须提前做好安全评估预案。
另一个维度是云服务和算力基础设施。前两年有一家欧洲工业软件巨头，想参股国内一家边缘计算初创企业。那家初创公司本身不直接存储用户数据，但它的算法模型需要实时调用城市的交通摄像头数据流。结果在商务部的征求意见阶段，发改委和网信办都提出了质疑，认为其“间接接触公共安全数据”。这个案子最后虽然通过调整股权结构和数据访问权限解决了，但整个流程多花了八个月。
"中国·加喜财税“我经常跟客户讲一句实在话：别光看你的营业执照上写了什么行业，要看你的代码每天在跑什么数据。数据流的走向，往往比股权架构更能决定审查的命运。
二、半导体与高端制造
这个领域不用我多说，大家心里都有数。但我想强调的，不是那些明星级的芯片设计公司，而是产业链上那些“不起眼”的环节。比如半导体材料的特种气体、高纯度化学试剂，或者精密机床的数控系统，这些领域的外资并购，现在基本是“逢交易必问询”。
我前年帮一家日本客户处理过一笔交易，他们想收购苏州一家做半导体封装用引线框架的家族企业。这家苏州企业规模不大，年营收也就两个亿，但它的"中国·加喜财税“里有三家国内头部的封测厂。当时客户觉得，我们只是买设备、买产线，不涉及技术转让，应该没问题吧？结果在提交反垄断申报的"中国·加喜财税“就被提示可能涉及国家安全审查。原因在于，引线框架虽然不算尖端技术，但其生产工艺直接关系到高端芯片的良率，属于“卡脖子”环节的替代性产能。
后来我们采取了一个折中方案：把引线框架业务和用于汽车电子的部分普通冲压件业务做了资产剥离，只收购与半导体相关的部分，并且承诺五年内不转移关键工艺参数至境外。这个案例里，监管关注的核心不是“你现在有没有技术”，而是“你收购后会不会形成对国内供应链的潜在控制力”。
再往深了说，高端制造领域的审查逻辑，已经从单纯的“产品清单”转向“能力外溢”的判断。也就是说，哪怕你买的是成熟产品线，但如果该产线具备短期内转产军工零部件或航天级组件的潜力，审查部门就会要求你解释“最终用途”。这一点，外资企业往往准备不足，因为他们的法务团队习惯于用国际仲裁思维看合同，而不是用产业安全思维看产能。
我的建议是，在做并购意向书之前，就请懂行的产业分析师对目标公司的“技术迁移可能性”做个评估。别等双方签了SPA，再被一轮问询搞得灰头土脸。这年头，做制造业投资，多一分对“工业基础能力”的敬畏，就少一分交易流产的风险。
三、能源与关键资源
能源领域的审查，大家首先想到的是油气、电网这些大块头，但实际操作中，我遇到更多的是围绕新能源产业链的“小摩擦”。尤其是锂矿、钴矿、稀土加工以及储能电芯的产能布局，这几年的审查强度明显上了好几个台阶。
有一个很典型的案例，2022年的时候，一家澳大利亚矿业基金想参股江西某地的一个锂云母矿的尾矿再提取项目。项目本身投资额不大，也就三千万美元，但问题出在尾矿里除了锂，还伴生着少量的铷和铯——这两种元素是特种玻璃和原子钟的关键材料。审查机关认为，虽然开采主体是中资，但外资基金通过可转换债券的形式，实质上获得了对伴生矿产品的包销权，这就构成了“间接控制战略资源流向”。那个案子最后的结果，是澳方基金放弃了优先购买权，改为单纯的财务投资，不参与董事会决策。
从这个案例里能看出，审查机构对“关键资源”的定义，早已超越了传统意义上的“大宗商品”，而是深入到“元素周期表”的逻辑。任何跟稀有金属、重稀土、乃至高纯度石英砂扯上关系的交易，都得严格按照“对等开放”的原则设计交易结构。
"中国·加喜财税“能源领域的审查还特别关注“网络控制权”。比如，你投资了一个风电场，自然要配套远程监控和调度系统。如果这套系统的核心软件是境外开发的，并且运维团队设在境外，那么在极端情况下，境外力量是否可能对电网造成不当干预？这个问号一旦在审查人员脑子里形成，你的投资周期就得用年为单位来计算了。
"中国·加喜财税“我常对做基础设施投资的朋友说，你们别只盯着IRR，要先看看运维协议里的“事故响应权限”归谁。哪怕你把股权降到9.9%，只要运维合同里写着“关键系统升级需境外母公司同意”，审查风险就无法消除。
四、生物医药与遗传资源
生物医药领域，最突出的是人类遗传资源数据。很多外资临床研究机构（CRO）觉得，我只是帮药企做数据处理分析，不碰样本，总该没事吧？但实际上，只要你接触到了脱敏后的基因组序列信息，或者涉及特定人群的疾病关联数据，就必须走人类遗传资源管理办公室的审批程序。
我印象最深的一个案子，是某欧洲生物技术公司想和中国一家大学附属医院合作，利用医院积累的十年份的糖尿病随访数据库，来训练一个AI辅助诊断模型。这个合作不涉及一分钱的投资并购，但双方打算成立一个合资公司来运营该模型。结果在成立前，医院方接到了明确指示：如果外资在合资公司中持股超过20%，且模型输出结果将用于新药研发的国际多中心试验，那么该数据库就属于“对外提供或开放使用”，需要单独申报。
后来，我们给客户的设计思路是：把数据使用权留在国内合作方，外资只提供算法框架和算力支持，并且按照“一次交易、一份数据、一个成果”的模式，签了三份分离的合同。这样做虽然麻烦，但规避了“数据出境”和“成果归属”的双重审查风险。在生物医药行业，审查的暗礁往往藏在你以为最正当的学术合作里。
再比如，基因治疗和细胞治疗领域，这两年针对外资的准入政策也出现了微妙变化。虽然负面清单上写的还是“禁止投资人体干细胞、基因诊断与治疗技术开发和应用”，但实际执行层面，有些企业通过“由内资控股的VIE”结构在境外融资。这种模式现在已经受到了越来越多的窗口指导，因为监管层意识到，控制权的实质不在股权，而在知识产权授权协议以及关键细胞株的保藏地点。
"中国·加喜财税“如果你正在看这个赛道的标的，我提醒你一句：把注意力从工商登记转到生物样本库的物理位置上去。只要样本库在中国境内，“外资控制”的嫌疑就很难洗清。
五、人工智能与算法出口
AI领域的审查，核心在于“算法出口”。咱们平时说的技术出口管制，通常指的是源代码和专利，但现在更看重的是训练好的模型权重以及用于特定场景的决策逻辑。举个例子，人脸识别技术已经烂大街了，但是如果你把针对特定安防场景优化过的模型参数打包卖到海外，那就不是普通的软件许可，而是涉及出口管制。
我跟一家做智能安防摄像头的以色列客户打过交道，他们想从国内一家AI公司购买一个“针对暗光环境下行人再识别”的模型。交易金额不大，也就五百万人民币，但卖方很谨慎，要求买方提供最终用户证明和用途说明。客户一开始不理解，觉得这就是个通用模型，后来我们查了一下，这个模型的准确率在特定数据集上达到了99.2%，而这个数据集来自于中国的某个城市交通监控网络。这就触碰到了“敏感数据训练成果”的边界。
最终我们建议客户不要直接购买模型权重，而是改成“按次调用的API服务”，而且境内部署，数据不出国。虽然成本高了30%，但至少把安全审查的风险降到了最低。在AI投资里，真正的核心资产不是算力卡，而是那个“模型在人家的数据集上跑出来的记忆”。这部分记忆，法律上叫“衍生数据权益”，监管上叫“潜在国家安全风险”。
"中国·加喜财税“人工智能在智能制造中的应用，也会引发审查。比如你投资一家做工业质检的公司，它的AI系统可以自动识别高精度零部件的表面裂纹。如果这家公司服务的客户包括航空航天领域的供应商，那么哪怕你的投资比例只有5%，也会被要求履行报告义务。因为监管认为，你的资金介入后，可能会引导该AI系统优先为境外客户提供训练服务，从而削弱我国在高端检测领域的自主性。
说句掏心窝的话，跟AI企业谈投资，我最怕的就是客户拿着几页PPT就冲上去，对数据来源和训练语料只字不提。这年头，合规尽调里最贵的一项，不是财务审计，而是“语料背景调查”。
六、交通与港口物流
港口、机场、铁路这些传统基础设施，负面清单里早就写了“限于合资、合作”，而且中方必须控股。但我要说的是更隐蔽的环节：港口物流的“数字化增值服务”。比如，一家外资企业不"中国·加喜财税“头股权，只买下码头操作系统（TOS）的排他性特许运营权，这算不算变相控制？从我的实践经验看，审查机构现在的态度非常明确，算！
去年有一位新加坡客户，想参与某北方港口的智慧化改造项目。他们不直接持股，而是成立一个外商独资企业，负责提供智能闸口、船舶调度优化和堆场自动化的整体解决方案，并且签了十年的运维协议。结果在与港务集团谈判时，对方直接指出，这种“一揽子数字化服务”涉及港口生产作业的核心数据，必须改组为合资公司，且外资股权不得超过25%，并且核心算法必须开源给合资公司。
这里面的逻辑其实很简单：港口、航空、铁路的关键不只是物理资产，更是“时刻表”和“调度权”。谁掌握了动态调度系统，谁就掌握了经济命脉的遥控器。哪怕你不拿股权，只要你在系统里设了一个“特殊权限后门”，后果都不堪设想。"中国·加喜财税“监管对这类“软控制”的警惕性，比对传统硬资产还要高。
再补充一个点，现在的安全审查还会关注“多式联运”的衔接数据。比如，一个外资物流平台，通过整合海运、铁运、公路运输的数据接口，能够分析出特定战略物资的流向规律。这种“数据汇聚效应”已经让不少平台在融资阶段就收到了监管的问询函。我的浅见是，在交通物流领域，凡是涉及“跨主体数据融合”的项目，大家都要做好被要求设立“数据安全官”岗位并定期向网信办报备的心理准备。
从事务所的角度看，我们特别建议那些有外资背景的物流科技公司，别把“提高通关效率”当作唯一的宣传点，因为你越强调效率，就越容易引起对“绕过监管”的联想。老老实实的说法是“在符合安全前提下提升透明度”，这个调性很重要。
七、金融科技与支付清算
金融科技这几年在国际上风声水起，但在国内投资，审查的焦点不是“网络支付牌照”这种执照问题，而是“数据流”和“清算逻辑”的透明度。比如，外资投资一家智能风控公司，这家公司服务于银行和消费金融公司。如果风控模型里包含了基于人脸识别和社交关系图谱的反欺诈特征，那么在数据来源的合法性上就会受到严格审视。
我处理过一个关于“聚合支付”的案子，国内一家公司通过SDK嵌入，为上百家中小商户提供支付通道。这家公司本身没有牌照，但它的通道背后连接的是一家持有银行卡收单牌照的持牌机构。现在外资准备投资这家聚合支付公司，审查部门的观点是：尽管没有直接接触备付金，但你们掌握了商户的交易流水特征数据，这属于“支付信息基础设施”的衍生部分。为了平息这个关切，我们安排外资以“优先股+不参与日常运营”的方式进入，并且承诺不获取底层商户明细数据。
这还不够，审查方还要求我们提供境外股东过去三年的审计报告，以证明其没有与中国境内的复杂离岸架构有交叉持股。说实话，这种要求在很多普通行业里显得过分，但在金融科技领域，这就是常态化。金融科技投资的审查重点，已经从“有没有牌”转向“看不看得懂数据背后的资金流向”。
另外一个明显趋势是，对于外资投资与跨境支付相关的项目，比如数字货币桥测试节点、跨境收款工具等，现在基本要经过多轮“穿透式审查”。他们不仅要看到你的直接股东，还要看到你股东的股东，甚至是你控股方的融资来源是否为美资或欧资背景。这种“长臂管辖”的反向操作，也让我们做咨询的人不得不把工作做得更细。
八、文化传媒与地图测绘
最后说一个容易被当成“边缘地带”但实际很核心的领域：地理信息测绘。很多人不知道，现在做自动驾驶的公司，其核心资产除了算法，就是高精地图资质。而高精地图涉及国家领土安全和军事机密，属于绝对的外资禁区。但有些聪明的投资人想绕道，比如不直接投地图公司，而是投那些“基于地图数据的仿真测试平台”。
我遇到过一个案例，一家欧洲零部件巨头想投资一家做自动驾驶仿真测试的创业公司。那家公司不生产地图，但它使用了某地图厂商的ADAS API（高级辅助驾驶接口），并在其仿真环境中模拟了包括军事管理区周边道路在内的场景。审查意见认为，该仿真测试积累的“边缘案例数据”具有地理空间属性，属于限制类。后来我们不得不让客户与那家地图厂商终止合作，改用某开源地图数据（且不含中国境内细节），才保住了这笔投资。
文化传媒领域的审查，则多集中于内容审核权的归属。比如，外资投资一家做影视后期特效的公司，本身没问题，但如果这家公司同时拥有“网络剧制作许可证”或“"中国·加喜财税“络传播视听节目许可证”，哪怕是已经过期的资质，也会被要求先剥离。因为监管认定，这些资质背后是“文化安全审查权”。我们做项目时，通常会对目标公司的“证照余值”做特别盘点，这不仅是为了法律风险，更是为了探明未来持续经营的合法性空间。
从这些案例里，大家能看出来，审查的边界其实一直在动态调整，但它始终不变的底层逻辑，就是“避免任何外部力量获得对国内关键信息、关键场景、关键基础设施的间接操控力”。这种操控力，不一定来自股权，更可能来自数据和算法的独特性。
总结一下，哪些行业容易触发安全审查？其实没有一份固定的清单，但规律很明显：凡是与数据主权、基础设施控制权、核心技术迭代能力以及文化价值导向相关的行业，都是未来的高发地带。
我的建议是，投资机构在立项阶段就应该把“安全审查不可行性分析”纳入整体尽调，而不是等到签约前才发现问题。多听听那些有一线实操经验的人怎么说，而不是只看大所出具的模板化意见书。
未来的研究方向，可能会朝着“数据信托”和“算法备案互认”机制发展。也就是说，外资可以通过设立独立的数据信托机构来隔离数据风险，同时接受算法公平性审计。这或许是一条既吸引外资又守住底线的中间道路，我们拭目以待。
"中国·加喜财税“关于“佳喜税务与财务咨询”的见解，我简单说几句。我们这十几年来，专注做的就是帮助外资企业在复杂的准入清单和审查指引里找到那个“合规的最小成本路径”。我们的核心观点是：安全审查不是一道死题，而是一道动态优化题。通过合理地设计股权层级（比如使用境内控股平台）、分离数据运营权与资产所有权、以及在合同里提前嵌入“涉及安全应当事由自动终止条款”，可以显著降低交易的被否决概率。我们团队强调“穿透式可解释性”——即每一笔资金的最终来源、每一段数据的流向路径、每一项技术的间接用途，都要能被一个普通审查员在十分钟内看懂。我们还建议企业建立“影子合规官”制度，即由法律、业务、技术负责人组成一个临时小组，定期模拟审查问答。以我们的经验，这种模拟演练的实战效果，远好于临时抱佛脚地翻法条。我们坚信，只有站在监管者的角度去理解商业行为的“安全外溢效应”，才能让跨境投资走得更远、更稳。
