《赴美上市操作指南及典型案例》(三）

原创 李桂松等云阿云智库证券项目组

导读：本指南提供赴美上市全流程实操指引，通过典型案例解析核心风险与应对策略，强调财务真实性与合规管理，助力企业稳健上市。全文50000余字，由北京云阿云智库证券项目组原创出品。

云阿云智库证券项目组成员名单：

作者：李桂松 | 北京云阿云智库平台理事长

作者：李国熙 | 北京云阿云智库平台全球治理研究中心主任

作者：李富松 | 北京云阿云城市运营管理有限公司副总裁

作者：李国琥 | 北京云阿云智库平台证券院长

作者：李嘉仪 | 北京云阿云智库平台金融院长

作者：段小丽 | 北京云阿云智库平台公共关系总裁13811016198

云阿云智库全球合作

公共关系总裁：段小丽

联系电话：13811016198

联系邮箱：duanxiaoli2005@163.com

官方网站： http://yayqq.com

公司地址：中国•北京•西城

报告发布日期：2026年 3月5日

研究团队：云阿云智库证券项目组

报告关键词

中概股、赴美上市、VIE架构、外国公司问责法案、风险应对

目录

第一章 赴美上市基础认知

一、什么是中概股？

（一）定义与范围

1、狭义：中国运营、境外注册、美国上市

2、广义：含VIE架构、红筹架构企业

二、为什么选择美股？

（一）核心优势

1、融资效率高（6–9个月可完成IPO）

2、估值弹性大（尤其对高增长、未盈利企业）

3、退出路径明确（并购、转板、私有化机制成熟）

（二）主要劣势

1、监管严（美国证券交易委员会+PCAOB+做空机制）

2、地缘政治风险高

3、持续合规成本高（年均200–500万美元）

三、适合赴美上市的企业画像

（一）行业偏好

1、互联网平台、SaaS、AI、新能源车、生物科技

2、避开敏感领域：数据密集型、国防相关、教育（K9）

（二）财务门槛（以纳斯达克为例）

1、标准一（盈利）：净利润≥110万美元，市值≥1.1亿美元

2、标准二（收入）：营收≥2500万美元，市值≥1.8亿美元

3、标准三（资产+现金流）：总资产≥7500万，现金流入≥2500万

第二章 上市路径选择与架构搭建

一、主流上市方式对比

（一）首次公开发行（IPO）

1、适用：成长期、需品牌曝光、融资规模大

2、流程周期：6–12个月

（二）SPAC合并上市

1、适用：急需确定性融资、规避传统IPO路演不确定性

2、风险：估值折让、PIPE融资失败、公众股东赎回

（三）直接上市

1、适用：无需募资、已有知名度（如Slack、Spotify）

2、中概股暂无成功先例，不推荐

二、股权架构设计

（一）红筹架构搭建步骤

1、创始人设立BVI公司

2、BVI控股开曼母公司

3、开曼设WFOE（外商独资企业）

4、WFOE通过协议控制境内运营实体（VIE）

（二）VIE协议包核心文件

1、独家业务合作协议

2、股权质押协议

3、借款协议
4、配偶同意函

5、期权授予协议（用于员工激励）

（三）关键注意事项

1、避免实际控制人变更（影响IPO连续性）

2、员工期权池预留10%–15%

3、外汇登记（37号文登记必须完成）

第三章 IPO全流程操作手册

一、前期准备阶段（T-12至T-6个月）

（一）中介机构选聘

1、投行（承销商）：高盛、摩根士丹利、花旗等

2、律所：美国（世达国际律师事务所、Davis Polk）、中国（金杜、方达）

3、审计：四大（普华永道、德勤等，需PCAOB注册）

4、财经公关：博然思维、FTI等

（二）尽职调查启动

1、法律尽调：股权、合同、知识产权、诉讼

2、财务尽调：收入确认、关联交易、内控缺陷

3、业务尽调：市场地位、用户数据、供应链

二、申报与审核阶段（T-6至T-1个月）

（一）F-1注册声明核心内容

1、招股书（Prospectus）：业务、风险、财务、管理层讨论

2、附录：审计报告、法律意见书、VIE协议摘要

（二）美国证券交易委员会反馈常见问题

1、“中国风险”披露是否充分？

2、VIE控制是否有效？

3、收入真实性（尤其线上交易）

4、数据安全与网络安全合规

（三）应对策略

1、首轮回复控制在3周内

2、重大问题提前与美国证券交易委员会预沟通

3、避免频繁修改财务数据

三、路演与定价（T-3周至T日）

（一）路演安排

1、线上+线下结合（纽约、波士顿、旧金山为主）

2、重点覆盖长线基金、行业专注型买方

（二）定价逻辑

1、基于可比公司P/S或EV/Revenue

2、绿鞋机制（15%超额配售）必设

3、发行价通常为价格区间中位数

四、挂牌与后续合规

（一）上市首日操作

1、开盘价由做市商撮合

2、股票代码生效（如PDD、XPEV）

（二）持续义务

1、年报（20-F）、季报（6-K）

2、重大事件披露（并购、高管变动、监管处罚）

3、内控审计（SOX 404，视市值而定）

第四章 关键风险与应对措施

一、审计底稿无法提供风险

（一）现状：PCAOB已获检查权，但未来可能反复

（二）应对：

1、选择PCAOB注册会计师事务所

2、保留完整审计轨迹（邮件、底稿、签字记录）

二、外国公司问责法案退市风险

（一）识别信号：

1、连续两年被美国证券交易委员会认定“无法审计”

2、列入“预摘牌名单”

（二）应对策略：

1、提前规划港股双重主要上市

2、准备私有化资金（银团贷款+PE支持）

三、做空攻击防范

（一）高危特征：

1、收入增速异常高于同行

2、关联交易复杂

3、前十大客户集中度高

（二）防御措施：

1、建立IR快速响应机制

2、聘请第三方验证机构（如用户数、GMV）

3、储备法律反制资源（起诉恶意做空）

四、数据与网络安全合规

（一）必须完成事项：

1、通过中国网络安全审查（如掌握100万以上用户数据）

2、招股书披露数据跨境传输安排

3、避免在招股书中夸大用户隐私保护能力

第五章 典型案例解析

一、成功案例：拼多多（NASDAQ: PDD）

（一）关键操作

1、2018年IPO，募资16亿美元

2、采用标准VIE架构，开曼控股

3、路演强调“下沉市场+社交裂变”故事

（二）启示

1、用增长换估值，容忍短期亏损

2、创始人黄峥保持绝对控制权（AB股）

二、危机案例：瑞幸咖啡（NASDAQ: LK → OTC）

（一）失败原因

1、虚增收入22亿元（2019Q2–Q4）

2、内控失效，COO主导造假

3、未及时回应做空报告

（二）教训

1、财务真实性是生命线

2、做空后48小时内必须回应

三、转型案例：蔚来汽车（NYSE: NIO）

（一）应对策略

1、多次ATM发行补充现金流

2、在港交所双重主要上市（2022）

3、主动披露电池租用（BaaS）收入拆分

（二）效果

1、规避外国公司问责法案退市风险

2、港股流动性提升30%

四、SPAC案例：法拉第未来（FFIE）

（一）操作过程

1、2021年与房产解决方案收购公司合并

2、估值10亿，募资10亿（含PIPE）

（二）结果反思

1、量产延期导致股价暴跌90%

2、SPAC不适合技术未验证企业

第六章 替代方案与退出机制

一、回流港股实操路径

（一）二次上市（简化版）

1、要求：已在合格交易所上市≥2年

2、优势：豁免部分披露，成本低

（二）双重主要上市

1、需满足港交所全部上市条件

2、可纳入港股通，吸引南向资金

二、私有化操作要点

（一）流程

1、董事会特别委员会评估

2、签署合并协议

3、召开股东大会（需超2/3投票权通过）

（二）资金来源

1、创始人+PE联合财团（如智联招聘、58同城）

2、银行并购贷款（杠杆率≤60%）

三、转板或退市至OTC

（一）OTC市场特点

1、流动性差，估值折价50%+

2、仅适合过渡或等待重组

（二）适用场景

1、暂时无法满足主板维持标准

2、准备私有化前的缓冲

第七章 实用工具与清单

一、赴美上市自查清单（10项）

1、是否完成37号文外汇登记？

2、VIE协议是否经中国律师合规审查？

3、近3年是否存在重大行政处罚？

4、核心数据是否涉及国家安全？

5、审计师是否在PCAOB注册？

6、是否具备稳定CFO及IR团队？

7、是否预留足够现金覆盖上市成本？

8、是否制定做空应急预案？

9、是否评估过外国公司问责法案退市影响？

10、是否有备选上市地（如港股）？

二、中介机构联络速查表

三、关键时间节点甘特图

第四章 关键风险与应对措施

对中概股而言，赴美上市的最大挑战已非融资效率或估值高低，而是能否在中美监管博弈的夹缝中持续合规生存。2020年以来，《外国公司问责法案》（外国公司问责法案）与PCAOB审计检查权争议，已成为悬在所有中概股头顶的“达摩克利斯之剑”。本章聚焦两大核心风险：审计底稿无法提供风险与外国公司问责法案强制退市风险，系统解析其现状、触发信号及应对策略，为企业提供“预警—防御—退出”全链条解决方案。

一、审计底稿无法提供风险

审计底稿是美国证券交易委员会判断上市公司财务真实性的核心依据。由于中国法律曾长期禁止会计师事务所向境外监管机构提供工作底稿，导致PCAOB无法履行法定检查职责，进而引发系统性信任危机。尽管2022年中美达成临时协议，但该风险并未根除，仍具高度不确定性。

（一）现状：PCAOB已获检查权，但未来可能反复

1. 历史背景：从对抗到有限合作

（1）2011–2020年：僵局期。PCAOB多次要求检查中概股审计底稿，均遭中国证监会以“国家秘密”“数据主权”为由拒绝。2013年双方签署备忘录，但无实质进展。期间，超200家中概股处于“无法审计”状态，成为做空机构主要攻击点。

（2）2020年：立法施压。美国通过《外国公司问责法案》（外国公司问责法案），规定：若PCAOB连续三年无法检查某发行人审计底稿，则强制退市。该法案直接针对中概股。

（3）2022年8月：突破性协议。中美签署《关于审计监管合作的协议》，中方同意PCAOB在“不依赖中方协助”的前提下，对在港存放的审计底稿进行直接检查。

（4）2022–2024年：执行窗口期。PCAOB对普华永道、德勤等四大会计师事务所完成检查，并于2023年12月宣布“2023年度检查完成，相关公司不再被认定为‘无法审计’”，150余家中概股暂时移出退市风险名单。

2. 当前脆弱平衡：合作可持续性存疑

（1）尽管表面缓和，但风险远未解除，原因有三：

①政治周期影响：美国大选年（如2024、2028）常伴随对华强硬政策回潮，审计合作可能被重新政治化；

②检查范围受限：PCAOB仅能检查“已完成项目”的底稿，无法实时介入正在进行的审计；

③敏感行业排除：涉及国防、金融、关键基础设施的企业，底稿仍可能被中方拒绝提供；

（2）法律冲突未解：中国《数据安全法》第36条仍规定“非经主管机关批准，不得向境外提供重要数据”，与PCAOB要求存在根本张力。

（3）权威判断：美国美国证券交易委员会主席Gary Gensler在2024年国会听证会上明确表示：“当前安排是临时的，若中方未来限制检查，我们将立即重启外国公司问责法案程序。”

因此，企业必须将“审计底稿风险”视为长期、动态、可反复的监管变量，而非一次性解决的历史问题。

（二）应对策略

面对这一结构性风险，企业不能被动等待政策变化，而应主动构建“审计合规韧性”。

1. 选择PCAOB注册会计师事务所

这是最基本也是最关键的防线。

（1）唯一合规选项：截至2025年，仅有四大会计师事务所（普华永道、德勤、安永、毕马威）及其中国成员所同时满足：

在PCAOB注册；

被纳入中美审计合作检查范围；

具备处理复杂VIE架构的经验。

严禁使用非四大或地方所
即使某地方所声称“可转交底稿”，美国证券交易委员会亦不认可其独立性。2023年一家生物科技公司因使用区域性会计师事务所，虽收入达标，仍被美国证券交易委员会拒绝受理F-1申请。

（2）切换成本警示：若历史审计非四大，需重审最近3年财报，耗时6–9个月，且可能暴露历史会计差错。建议企业在Pre-IPO轮即锁定四大。

（3）实操建议：

与审计师签订合同时，明确约定“若因底稿无法提供导致退市，事务所需承担部分责任”；

要求审计师每年出具《PCAOB检查准备状态报告》。

2. 保留完整审计轨迹（邮件、底稿、签字记录）

即使使用四大，若底稿本身存在瑕疵或缺失，仍可能被PCAOB认定“检查无效”，进而触发外国公司问责法案。

（1）审计轨迹定义：指支持财务报表每一项认定的完整证据链，包括：

原始凭证（合同、发票、银行流水）；

审计工作底稿（测试样本、计算表、访谈纪要）；

内部沟通记录（邮件、会议纪要、审批日志）；

签字确认文件（项目经理、合伙人复核签字）。

（2）关键保存要求：

电子化归档：所有底稿需以PDF/Excel格式存于加密服务器，保留至少7年；

版本控制：禁止覆盖修改，每次更新需生成新版本并标注原因；

跨境存储：底稿副本应同步存于香港或新加坡服务器（避免仅存中国大陆）；

权限管理：仅审计项目组可访问，IT部门不得擅自删除。

（3）案例教训：2023年PCAOB检查某中概股时，发现其收入测试样本中30%的订单无物流签收记录，且审计师未留存替代性证据（如用户确认截图），最终认定“内控缺陷重大”，虽未立即退市，但被列入重点监控名单。

（4）最佳实践清单：

所有线上交易订单自动关联物流/服务完成凭证；
审计期间禁用个人微信沟通业务事项（改用企业邮箱）；
每季度由CFO牵头自查底稿完整性；
与审计师共同制定《底稿交付SOP》，明确格式、路径、时限。

（5）技术工具推荐：使用审计管理系统（如TeamMate+、审计板 / 审计委员会平台）实现底稿全流程数字化，确保可追溯、不可篡改。

二、外国公司问责法案退市风险

外国公司问责法案是中概股面临的最直接、最具杀伤力的退市机制。其执行逻辑清晰、后果严重，企业必须建立“早识别、早行动”的应急体系。

（一）识别信号

外国公司问责法案退市非突发性事件，而是分阶段推进。企业可通过以下信号提前预警：

1. 连续两年被美国证券交易委员会认定“无法审计”

（1）认定流程：美国证券交易委员会每年根据PCAOB检查结果，发布《外国公司问责法案认定名单》。若某公司在2023年、2024年均被认定“无法审计”，则2025年将启动退市程序。

（2）关键时间点：

①每年12月：PCAOB公布年度检查结果；

②次年1–2月：美国证券交易委员会更新认定名单；

③连续第三年：强制摘牌（通常在财年结束后）。

④查询方式：企业IR团队应每月登录美国证券交易委员会官网（美国证券交易委员会.gov/外国公司问责法案），核查自身是否在列。

（3）现状（截至2025年2月）：
因2022–2024年检查完成，暂无中概股被连续认定。但若2025年检查受阻，2026年将出现首批强制退市案例。

2. 列入“预摘牌名单”

这是最直观的早期预警信号。

（1）列入标准：只要美国证券交易委员会初步认定某公司“可能无法审计”，即可将其加入预摘牌名单。

（2）市场影响：

股价平均下跌25%–40%；

被主流指数剔除（如MSCI China Index）；

券商限制融资融券。

（3）移出条件：提交PCAOB认可的审计报告，或完成双重主要上市。

（4）历史数据：2022年3–8月，超150家中概股被陆续列入预摘牌名单。其中85家通过提交2021年审计报告移出，65家选择回流港股。

3.监控建议：

设置Google Alert关键词：“[公司英文名] + 外国公司问责法案 + delist”；

订阅彭博终端外国公司问责法案 Tracker功能；

每月与美国律所确认监管动态。

（二）应对策略

一旦识别风险信号，企业需在6–12个月内启动应对，否则将丧失主动权。

1. 提前规划港股双重主要上市

这是目前最主流、最有效的风险对冲方案。

（1）为何必须是“双重主要上市”？

二次上市（美国证券交易委员会）：仅满足简化披露，不被港交所视为“主要上市”，无法纳入港股通，且美股退市后仍可能被港交所质疑；

双重主要上市：完全满足港交所所有上市条件，可独立存在，且自动豁免外国公司问责法案退市后果（因已具备合格交易所地位）。

（2）港交所政策支持：

2022年10月推出“特专科技公司”18C章节，允许未盈利硬科技企业上市；

对已美股上市企业，可豁免部分历史披露，审核周期缩短至4–6个月。

（3）成功案例：

蔚来（2022年）、小鹏（2023年）、哔哩哔哩（2022年）均完成双重主要上市；

上市后，南向资金日均交易占比达15%–30%，显著提升流动性。

（4）操作要点：

①时机：应在被列入预摘牌名单前启动，否则港交所可能质疑动机；

②架构：需将开曼母公司直接作为港股发行人，无需新设主体；

③成本：中介费约800–1200万港元，低于美股IPO。

（5）决策树：若企业满足：

年收入>5亿人民币；

市值>80亿港元；

行业非敏感（非K9教育、非涉军）；

→ 立即启动港股双重主要上市。

2. 准备私有化资金（银团贷款+PE支持）

若企业认为美股估值长期被压制，或无法满足港股上市条件，私有化是终极退出路径。

（1）私有化优势：

彻底规避外国公司问责法案与做空风险；

获得经营自主权，专注长期战略；

未来可择机回归A股或港股。

（2）资金结构：典型私有化交易采用“创始人+PE+债务”组合：

①创始人出资：10%–20%，体现信心；

②PE财团：40%–60%（如高瓴、红杉、博裕）；

③银团贷款：30%–50%，由中资银行（如工行、招行）牵头。

（3）关键条款：

①对价：通常为公告前30日均价的20%–30%溢价；

②锁定期：PE资金承诺3–5年不退出；

③过桥融资：若银团审批慢，可先由PE提供短期贷款。

（4）时间与成本：

①流程：6–9个月（含特别委员会评估、股东投票）；

②成本：交易额的3%–5%（含中介、律师、D&O保险）。

（5）成功案例：

①58同城（2015年）：44亿美元私有化，由腾讯、云锋基金联合出资；

②智联招聘（2017年）：17亿美元，高瓴主导；

③新氧（2023年）：3.5亿美元，创始人+奥博资本完成。

（6）启动信号：

股价长期低于净资产（PB<1）；

日均交易量<10万股，流动性枯竭；

机构股东持股比例下降至<30%。

风险提示：私有化需超2/3投票权通过。若存在大量散户或敌意股东，可能失败。建议提前与主要机构沟通意向。

（三）综合风险管理框架

除上述专项措施外，企业应建立三层防御体系：

1.第一层：预防

选用四大审计；

完整保存审计轨迹；

定期模拟PCAOB检查。

2.第二层：监测

每月核查外国公司问责法案名单；

订阅监管政策简报；

与中美律所保持季度沟通。

3.第三层：应对

预设港股上市/私有化预案；

储备应急资金（至少覆盖6个月合规成本）；

建立危机公关小组（含中英声明模板）。

小结：风险应对 合规清单

是否使用PCAOB注册的四大审计？

审计底稿是否电子化、跨境备份、权限隔离？

是否每月核查美国证券交易委员会 外国公司问责法案名单？

是否已启动港股双重主要上市可行性研究？

是否与2–3家PE签署私有化意向书？

记住：在中美金融博弈时代，合规不是成本，而是生存资本。
最危险的不是风险本身，而是对风险的无知。

三、做空攻击防范

做空机制是美股市场的重要组成部分，本意在于揭露财务欺诈、提升市场效率。然而，对信息透明度较低、治理结构复杂的中概股而言，做空已演变为一种高概率、高破坏性的系统性风险。2010–2025年，超70家中概股遭做空机构狙击，平均股价跌幅达45%，其中32家最终退市或私有化。本节从“识别高危特征”与“构建防御体系”两方面，为企业提供实战级反做空指南。

（一）高危特征

做空机构并非随机攻击，而是通过量化模型筛选“脆弱目标”。企业若具备以下任一特征，即进入高危名单：

1. 收入增速异常高于同行

这是最核心的预警信号。做空机构会横向对比行业增速，若某公司收入增长率持续高出同行2倍以上，即触发深度调查。

（1）典型场景：

行业平均增速30%，该公司报告120%；

用户增长停滞，但GMV翻倍；

新业务上线3个月即贡献50%收入。

（2）做空逻辑：

高速增长需匹配资源投入（营销、人力、产能）。若财报显示“高增长+低费用”，则涉嫌虚增收入。例如浑水做空跟谁学时指出：“其教师人数仅增长20%，但学生数增长400%，人均服务比率达1:2000，远超行业极限。”

（3）数据验证点：

营销费用/GMV比率是否显著低于同行？

应收账款周转天数是否异常延长？

现金流收入比（经营现金流/营业收入）是否<0.5？

（4）阈值建议：若连续两个季度收入增速 >（行业平均 + 50个百分点），应启动内部自查。

2. 关联交易复杂

VIE架构天然伴随关联交易（如WFOE向VIE收取技术服务费），但若交易链条过长、定价不透明，则极易被质疑利益输送或利润操纵。

（1）高危模式：

创始人亲属控制的公司成为Top 3供应商；

境内VIE以“咨询费”名义向境外支付大额款项；

员工持股平台频繁与主体公司发生资金往来。

（2）做空切入点：

做空报告常以“隐藏关联方”为题，指控企业通过非披露关联方虚增收入或转移资产。例如香橼做空新东方时，质疑其“特许学校”实为创始人控制的体外公司，用于分流利润。

（3）监管红线：美国证券交易委员会要求招股书单独章节披露所有重大关联交易，包括交易内容、定价依据、年度金额。若遗漏，即构成信息披露违规。

（4）自查清单：
是否存在未披露的5%以上股东控制的企业？
所有关联交易是否经独立董事批准？
定价是否参考第三方市场价（如云服务按AWS报价）？

3. 前十大客户集中度高

客户集中度过高，不仅反映业务脆弱性，更易被做空机构实地验证造假。

（1）危险阈值：

前三大客户占比 > 50%；

单一客户占比 > 30%；

客户名称模糊（如“某省级代理商”）。

（2）做空手段：

做空机构会派调查员赴客户所在地，核查合同真实性、付款记录、仓库库存。例如浑水做空瑞幸时，雇佣92名全职+1418名兼职人员，记录981个工作日门店流量，证明其订单量虚增69%。

（3）行业差异：

B2B企业（如芯片、SaaS）客户集中属正常；

B2C平台（如电商、本地生活）若Top 10客户占比高，则极不寻常。

4.应对建议：
若客户集中不可避免（如政府项目），应在招股书中明确说明“单一客户依赖风险”，并提供长期合同作为支撑。

（二）防御措施

面对做空，被动沉默等于认罪。企业必须建立“监测—响应—反制”三位一体防御体系。

1. 建立IR快速响应机制

做空报告发布后48小时是黄金窗口期。延迟回应将导致市场默认指控属实。

（1）响应流程：

①T+0小时：IR团队确认报告内容，法务评估法律风险；

②T+4小时：召开紧急董事会，决定回应策略；

③T+24小时：发布初步声明（即使细节未核实）；

④T+72小时：提交详细反驳文件（含第三方证据）。

（2）声明要点：

①开篇定调：“报告包含大量错误、误导性陈述和未经证实的指控”；

②逐条驳斥：用数据、合同、截图直接反驳关键论点；

③避免情绪化：不使用“诽谤”“恶意”等词，保持专业克制；

④承诺调查：宣布由独立董事牵头成立特别委员会。

（3）成功案例：2021年，好未来遭做空指控“虚增30%收入”，24小时内发布声明，附上银行流水与第三方支付平台对账单，股价当日反弹15%。

（4）团队配置：

常设IR危机小组（含CFO、法务、公关）；

预签媒体声明模板（中英双语）；

建立投资者热线，专人解答疑问。

2. 聘请第三方验证机构（如用户数、GMV）

自我辩护可信度有限，引入独立第三方是破局关键。

（1）适用场景：

用户数、DAU/MAU等运营数据被质疑；

GMV、订单量真实性存疑；

供应链、产能数据需佐证。

（2）主流验证机构：

①技术类：

尼尔森、康姆斯科：验证网站/App流量；

App Annie（现data.ai）：提供全球应用商店下载与收入估算。

②财务类：

四大会计师事务所：出具专项鉴证报告（商定程序业务）；

本地会计师事务所：对特定门店/仓库进行突击盘点。

（3）行业专家：

①格理集团、奥法赛：安排行业专家接受买方电话访谈，佐证商业模式。

②操作要点：

验证范围需覆盖做空指控的核心指标；

报告需由机构直接发送给美国证券交易委员会及主要股东；

③成本可控：单项验证通常5–20万美元。

（4）案例教训：某生鲜电商遭做空称“仓库空置率80%”，因未及时聘请第三方盘点，股价暴跌60%。而同期另一家即时零售企业主动邀请德勤对其10个前置仓突击审计，证实利用率>90%，成功稳住股价。

3. 储备法律反制资源（起诉恶意做空）

对明显捏造事实、操纵市场的做空行为，企业有权提起诉讼，夺回主动权。

（1）可诉由：

①证券欺诈（Rule 10b-5）：做空报告含明知虚假的重大事实；

②商业诋毁：散布不实信息损害商誉；

③市场操纵：先建空仓，再发布虚假报告打压股价。

（2）管辖选择：

①美国联邦法院：依据《证券交易法》起诉，可索赔实际损失+惩罚性赔偿；

②中国法院：若做空机构在中国有资产或合作方，可依据《反不正当竞争法》起诉。

（3）成功案例：

①新氧（2023年）：起诉做空机构Blue Orca Capital，指控其“虚构医生访谈、篡改APP截图”，最终达成和解，对方撤回报告并道歉；

②蔚来（2022年）：在新加坡起诉匿名做空者，获法院禁令禁止传播不实信息。

（4）前期准备：

与美国证券诉讼律所（如波默朗茨律师事务所、罗宾斯・盖勒律师事务所）签订常年顾问协议；

保存做空报告发布前的股价、期权持仓数据（证明操纵意图）；

建立“做空情报库”：记录浑水、香橼等机构历史手法与漏洞。

（5）成本提示：

证券集体诉讼防御成本约200–500万美元，但胜诉后可由保险公司（D&O保单）覆盖80%以上。

四、数据与网络安全合规

数据已成为中美监管博弈的新前线。2021年滴滴事件标志着：掌握大规模用户数据的中概股，赴美上市必须同步满足中国网络安全审查要求。忽视此点，轻则IPO暂停，重则APP下架、高管问责。

（一）必须完成事项

1. 通过中国网络安全审查（如掌握100万以上用户数据）

（1）法律依据：《网络安全审查办法》（2022年修订）第7条明确规定：

“掌握超过100万用户个人信息的网络平台运营者赴国外上市，必须向网络安全审查办公室申报审查。”

（2）审查触发条件（满足其一即需申报）：

用户个人信息 ≥ 100万人；

核心数据（如地理信息、生物特征）涉及国家安全；

平台被认定为“关键信息基础设施运营者”（CIIO）。

（3）审查流程：

初审（10工作日）：材料齐备性检查；

常规审查（30工作日）：评估数据出境风险；

特别审查（45+60工作日）：若发现国家安全风险，启动深度评估。

（4）审查重点：

数据存储位置（是否境内服务器）；

数据跨境传输路径（是否经安全评估）；

外国政府能否通过上市文件获取敏感数据。

（5）现实影响：

滴滴2021年6月30日秘密赴美IPO，7月2日即被网信办宣布“存在严重违法违规收集使用个人信息问题”，APP全网下架，最终退市。此后，所有拟IPO企业均将网安审查列为前置条件。

（6）操作建议：

在F-1提交前至少6个月启动预沟通；

准备《数据资产清单》《数据流图谱》《隐私影响评估报告》；

如不触发100万门槛，也应取得律师“不适用审查”意见书备查。

2. 招股书披露数据跨境传输安排

即使通过审查，美国证券交易委员会仍要求充分披露数据处理实践。

（1）披露内容（招股书“风险因素”及“业务”章节）：

用户数据收集范围（姓名、手机号、位置、生物信息等）；

存储地点（如“用户数据100%存储于阿里云北京Region”）；

跨境场景（如“仅在用户授权下，将订单信息传输至美国服务器用于客服”）；

合规措施（加密、脱敏、访问控制）。

（2）禁止表述：

“我们不向境外传输任何数据”（若实际有跨境云服务）；

“数据完全匿名化”（若仍可关联到个人）；

“符合所有国家隐私法”（过于绝对，易被挑战）。

（3）美国证券交易委员会问询示例：

“请说明若PCAOB要求提供用户交易底稿，是否会违反中国数据出境规定？”
企业需在回复中明确：“审计底稿不含原始用户数据，仅含聚合财务信息，且存放于香港。”

3. 避免在招股书中夸大用户隐私保护能力

过度承诺是重大法律风险源。

（1）常见夸大表述（应删除或弱化）：

“我们的系统绝对安全，从未发生数据泄露”；
→ 改为：“截至2025年，未发生需依法报告的重大数据泄露事件。”

“采用军工级加密技术”；
→ 改为：“采用AES-256等业界标准加密算法。”

“用户可完全控制其数据”；
→ 改为：“用户可通过设置页面行使访问、更正、删除权。”

（2）合规底线：

所有技术描述需有文档或测试报告支撑；

隐私政策链接必须有效且内容一致；

不承诺超出GDPR、CCPA、中国个保法的义务。

（3）案例警示：

2023年某社交App因招股书称“零数据泄露”，但被发现2021年曾发生内部员工盗卖数据事件（未公开），遭美国证券交易委员会指控“重大遗漏”，罚款1200万美元。

4.综合执行清单

（1）做空防御 合规清单

是否监控浑水、香橼等机构最新报告？

IR团队是否演练过48小时响应流程？

是否与1–2家第三方验证机构签署框架协议？

（2）数据合规 合规清单

用户数是否≥100万？如是，是否已启动网安审查？

招股书数据披露是否经中美律师双审核？

隐私政策是否与招股书表述完全一致？

小结

做空与数据合规，表面是技术问题，实质是信任问题。

做空攻击的本质，是对企业透明度的质疑；

数据争议的核心，是对国家主权与用户权益的平衡。

最高级的防御，不是反击，而是让攻击失去理由。
通过真实的数据、干净的财报、坦诚的披露，企业才能在中美双重监管下行稳致远。

数据来源：北京云阿云智库・金融数据库