境外上市防泄密应从长效信息安全做起

　　中国证监会公布的《关于加强境内企业境外发行证券和上市相关保密和档案管理工作的规定（征求意见稿）》日前已停止征求意见。有专家预计，该境外上市公司保密新规则将于明年起开始实施。

　　“《征求意见稿》正式发布生效后，企业将成为信息安全责任主体。”道琼斯公司风险合规专家石龙新告诉记者，其中有部分涉及美国公众公司会计监督委员会的内容，值得出海企业警惕。

　　石龙新还强调，此前有一些中企被美国证券交易委员会列入有退市风险的清单，需要经过美国监管部门《外国公司问责法》下的审理程序，因此企业对照《征求意见稿》升级信息安全合规体系很关键。

　　中伦律师事务所合伙人刘新辉表示，企业需要重点关注以下方面。

　　一是涉密文件的范围。境内企业在《征求意见稿》下的信息安全义务主要针对涉密文件以及敏感文件。《征求意见稿》并未明确涉密文件的概念和范围，仅将其笼统表述为“涉及国家秘密或机关单位工作秘密的文件”。实践中企业通常较难清晰界定涉密文件的范围，因此应当建立一套长效的信息安全保密制度，并提前依照自身情况设计好相应审查原则，及时有效梳理和界定企业涉密文件的范围。

　　二是国家安全和公共利益的界定，《征求意见稿》第四条将敏感文件表述为“泄露后会对国家安全或者公共利益造成不利影响的文件”，如何界定国家安全和公共利益，也是企业较为困扰的问题。一般而言，企业需考虑相关文件资料是否属于政府非公开信息，是否涉及国防、军工、外交、安全等敏感领域。在进行判断时，企业须根据现行法律法规框架对上述领域涉及的具体概念和规定进行逐条筛查。

　　三是网络安全及关键基础设施安全。对于网络平台运营类的企业，网络安全审查也是企业需要重点考虑的范围。网络安全往往与国家秘密、国家安全和公众利益紧密相连，《网络安全审查办法》提出，对于符合条件的运营单位，须向国家网络安全审查办公室申报进行网络安全审查，在必要情况下企业还需采取预防和消减风险的措施。关键基础设施运营企业，即涉及公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的企业，也需根据《关键信息基础设施安全保护条例》等相关规定，考虑企业是否需要按照网信部门以及其他国家机关的要求进行安全评估。

　　同时，《征求意见稿》还完善了跨境监管合作安排，为安全高效开展跨境监管合作提供制度保障。石龙新介绍说，文件删除了《关于加强在境外发行证券与上市相关保密和档案管理工作的规定》中关于“现场检查应以我国监管机构为主进行，或者依赖我国监管机构的检查结果”的表述。并结合《证券法》，明确境外证券监督管理机构及有关主管部门，提出就境内企业境外发行证券和上市相关活动对境内企业以及为该等企业提供相关证券服务的证券公司、证券服务机构进行调查取证或开展检查的，应当通过跨境监管合作机制进行。这或许能为企业开展跨境申报提供制度保障。

　　“待《征求意见稿》正式颁布实施后，企业需尽早建立涉密及涉敏筛查制度，完善内部审核原则和体系，以便能够从容应对其信息安全保密义务与责任。”刘新辉表示。