境外并购项目ODI备案安全评估报告撰写要点，控制权与合规风险防控

境外并购项目启动前，企业常把精力放在交易结构设计、估值谈判和融资安排上，却容易低估ODI备案环节中安全评估这一环的实际分量。2025年一季度，商务部对外投资合作信息平台披露的ODI退回补正案例中，近三成与安全评估报告内容不充分、风险识别不聚焦直接相关；同期，部分企业在完成交割后因东道国监管追溯审查，暴露出前期评估对数据本地化、关键技术人员流动限制等细节预判不足的问题。这类情况不是个案，而是提醒：安全评估不是走流程的“背书文件”，而是穿透式识别控制权实质、锚定合规底线的关键抓手。

一、安全评估需紧扣“控制权”实质判断

控制权不能仅看股权比例或董事会席位数字，而应从决策机制、技术路径、供应链依赖、数据流向四个维度做动态验证。

1. 明确标的公司重大事项决策是否需中方主导，包括但不限于核心技术授权终止权、核心服务器迁移权限、客户数据跨境传输否决权；

2. 梳理标的现有技术架构中是否存在中方无法替代的底层模块，如特定EDA工具链、专用测试设备接口协议；

3. 核查其上游三类关键供应商（芯片代工、云服务、基础软件）所在地及合同约束条款，确认是否存在单点断供风险；

4. 提取最近两年标的公司向境外传输的客户行为日志、设备运行参数等数据类型清单，对照我国《数据出境安全评估办法》附件所列标准逐项比对。

二、合规风险防控须覆盖“全周期+双主线”

安全评估报告不是静态快照，要体现从签约到整合各阶段的风险应对逻辑，且同步兼顾中国监管要求与东道国合规义务。

1. 在交割前阶段，重点说明已取得的中方主管部门前置意见（如国资监管批复、行业准入许可），并附上与东道国反垄断机构初步沟通纪要；

2. 在交割后12个月内整合期，明确列出拟调整的5项核心管理制度清单（如网络安全等级保护实施方案、出口管制合规官任命计划、本地员工数据访问权限分级规则）；

3. 针对东道国特别要求，单独说明已聘请当地律所就劳动法适配性、环保设施升级义务、税务稽查高频风险点出具的专项意见；

4. 所有风险应对措施均需标注责任主体（中方项目组/标的管理层/第三方顾问）、时间节点（精确到月）、可验证交付物（如系统日志截图、培训签到表、审计底稿索引号）。

三、报告撰写避免三类常见硬伤

实务中，不少报告因基础操作失当被退回重报。最典型的是：

1. 将通用模板中的“可能涉及敏感技术”泛化表述，未结合标的实际产品型号、专利号、出口管制编码（ECCN）具体列示；

2. 引用东道国法规时仅写“依据当地法律”，未注明具体法条名称、修订年份及生效日期（例如菲律宾《Data Privacy Act No. 10173, as amended in 2025》）；

3. 风险等级判定全部采用“中风险”模糊归类，未按发生概率（高/中/低）与影响程度（财务损失超净资产5%、牌照吊销、刑事调查）交叉矩阵量化呈现。

以上是境外并购ODI安全评估报告中关于控制权界定与合规风险防控的核心要点，希望对你有所帮助。