文/ Cheng Lim James Walsh 編輯/丁小珊

?

直面并購交易中的網(wǎng)絡(luò)安全

文/ Cheng Lim James Walsh 編輯/丁小珊

網(wǎng)絡(luò)盡職調(diào)查在企業(yè)并購交易中的地位越來越重要，交易參與方應(yīng)從了解、管理、審查等七個維度著手，完成一份更具實用價值的調(diào)查報告。

彭博社近期公布的數(shù)據(jù)顯示，全球并購交易量在2015年創(chuàng)下歷史新高，較2014年增長了近11%。當(dāng)前，市場對網(wǎng)絡(luò)安全的關(guān)注程度與日俱增，然而，大部分并購交易的購買方并沒有采取足夠的措施去了解其目標(biāo)公司所面臨的網(wǎng)絡(luò)安全風(fēng)險，也未認(rèn)真考慮收購后如何應(yīng)對網(wǎng)絡(luò)安全問題。這樣的疏忽可能給企業(yè)日后的經(jīng)營帶來嚴(yán)重的負(fù)面影響。因此，企業(yè)要重視網(wǎng)絡(luò)安全，更要將其落實在行動中。其中的第一步就是要完成一份完善、有效的網(wǎng)絡(luò)盡職調(diào)查報告。

網(wǎng)絡(luò)盡職調(diào)查尚未被重視

近年來，數(shù)據(jù)泄露的新聞廣泛見諸于世界各地的媒體，并引發(fā)社會輿論的關(guān)注。在零售、健康和技術(shù)行業(yè)，網(wǎng)絡(luò)安全已被企業(yè)列為五大業(yè)務(wù)風(fēng)險之一。在這樣的環(huán)境背景之下，市場的本能反應(yīng)會認(rèn)為并購交易的收購方理應(yīng)開展詳盡的網(wǎng)絡(luò)盡職調(diào)查。然而，根據(jù)富而德律師事務(wù)所于2014年開展的一項針對并購交易網(wǎng)絡(luò)安全的調(diào)查，現(xiàn)實狀況卻令人擔(dān)憂：78%的受訪者認(rèn)為，在他們參與的并購交易中并未對網(wǎng)絡(luò)安全進行詳盡分析，盡管這些受訪者已十分清醒地認(rèn)識到了網(wǎng)絡(luò)安全缺陷會擾亂并購交易，甚至對標(biāo)的額產(chǎn)生負(fù)面影響。

在并購過程中，如果交易企業(yè)設(shè)置了網(wǎng)絡(luò)安全盡職調(diào)查環(huán)節(jié)，則此項工作一般由收購方內(nèi)部的IT團隊開展。但是，這種由技術(shù)團隊開展的盡職調(diào)查存在調(diào)查范圍籠統(tǒng)、粗略的問題：就盡職調(diào)查文件的內(nèi)容來看，交易文件中涉及網(wǎng)絡(luò)安全的聲明基本只針對企業(yè)的較高層級，且傾向于聚焦過去已發(fā)生的事件，而很少預(yù)測和防范未來可能發(fā)生的問題。例如，已有的網(wǎng)絡(luò)盡職調(diào)查文件大都主要針對目標(biāo)公司是否曾出現(xiàn)數(shù)據(jù)泄露事件，且范圍基本局限于已告知監(jiān)管當(dāng)局和客戶的泄露事件。就盡職調(diào)查文件所提出的要求來看，這些條款僅停留在初級層面，即保證目標(biāo)公司已針對其所在行業(yè)的特性，部署了合理的信息安全系統(tǒng)、流程和程序。只有在極少數(shù)情況下，買家會要求賣家對交易完成之后的網(wǎng)絡(luò)數(shù)據(jù)安全做出保證，將出現(xiàn)數(shù)據(jù)泄露的可能性控制在可控范圍內(nèi)。

企業(yè)需要明確的是，這樣簡略的方案是否足以應(yīng)對當(dāng)前的數(shù)字環(huán)境？如果收購方?jīng)]有開展網(wǎng)絡(luò)盡職調(diào)查或開展的力度有限，那么收購方負(fù)責(zé)人是否存在失職之嫌？如果由目標(biāo)公司全權(quán)控制或處理重要數(shù)據(jù)，收購方能否負(fù)擔(dān)得起不開展網(wǎng)絡(luò)盡職調(diào)查的后果？如果在收購之前未開展范圍適當(dāng)?shù)谋M職調(diào)查，又會產(chǎn)生怎樣的后果？

在并購交易當(dāng)中發(fā)生數(shù)據(jù)泄露的情況并不鮮見。2015年1月，澳大利亞電信巨頭Telstra收購泛亞洲網(wǎng)絡(luò)供應(yīng)商PacNet，在簽署協(xié)議之后到交易完成之前的這段時間內(nèi)，Telstra發(fā)現(xiàn)PacNet的企業(yè)IT系統(tǒng)存在安全漏洞，這意味著客戶信息可能已被竊取。這對于Telstra來說無疑會產(chǎn)生重大影響。值得肯定的是，Telstra公司在發(fā)現(xiàn)該事件后立即將可能發(fā)生的數(shù)據(jù)泄露告知了受影響客戶，以協(xié)助其采取自我保護措施。

網(wǎng)絡(luò)盡職調(diào)查價值何在

2014年，美國國家經(jīng)濟研究協(xié)會經(jīng)濟咨詢公司開展了一項針對數(shù)據(jù)泄露與公司價值的研究。該研究發(fā)現(xiàn)，網(wǎng)絡(luò)事件在中長期并不會對股票價格造成顯著影響，即使披露對象的股票價格會有所下跌，也往往會很快回升。

盡管網(wǎng)絡(luò)信息泄露對公司顯性價值影響并不明顯，但對于處在并購交易當(dāng)中的公司來說，網(wǎng)絡(luò)盡職調(diào)查仍極為重要。這是因為購買方可決定是否應(yīng)基于網(wǎng)絡(luò)信息泄露風(fēng)險降低收購標(biāo)的的估價。

例如，如果目標(biāo)企業(yè)是一家擁有大量知識產(chǎn)權(quán)的公司，且知識產(chǎn)權(quán)是其核心價值，那么一旦該公司存在網(wǎng)絡(luò)安全漏洞，購買方必須考慮知識產(chǎn)權(quán)被竊取的可能性。因為這意味著目標(biāo)企業(yè)的專有性或商業(yè)秘密可能已經(jīng)受損，收購者通過交易所能獲得的利益將大打折扣。

如果目標(biāo)企業(yè)有處理信用卡交易的權(quán)限，但在運用過程中未遵守第三方支付行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)（PCIDSS），則購買方在制定收購決策時，必須將目標(biāo)企業(yè)遭到銀行卡組織的重大罰款、調(diào)查和審計的風(fēng)險考慮在內(nèi)，且需意識到，如果情況持續(xù)得不到改善，那么目標(biāo)企業(yè)可能最終會喪失處理銀行卡交易的權(quán)限。

如果目標(biāo)公司已經(jīng)發(fā)生了數(shù)據(jù)泄露，購買方還應(yīng)該對監(jiān)管風(fēng)險、顧客賠償成本和補救費用進行評估。在此情況下，購買方必須在收購后優(yōu)先建立周全詳細的網(wǎng)絡(luò)彈性（cyber-resilience）審查改進計劃，并可以借此盡量壓低購買價格，或向賣方索取賠償，以彌補實施此類補救行為的支出。

如果網(wǎng)絡(luò)盡職調(diào)查表明，目標(biāo)企業(yè)已經(jīng)采取了合理并符合行業(yè)標(biāo)準(zhǔn)的措施，并確保了自身的網(wǎng)絡(luò)彈性，且無任何警告信號表明目標(biāo)企業(yè)已受到威脅，則購買方無需調(diào)整估價，并可專注于一般性的收購后整合工作。另外，基于商業(yè)操作流暢性的考慮，買者在這種情況下無需急于執(zhí)行周全詳細的網(wǎng)絡(luò)彈性審查改進計劃。但是，購買方也必須認(rèn)識到，盡職調(diào)查報告無瑕疵并不代表企業(yè)的網(wǎng)絡(luò)系統(tǒng)一定不存在問題，更無法確保其未來的安全性。因此，設(shè)置全面、有效的應(yīng)急預(yù)案很重要。

網(wǎng)絡(luò)盡職調(diào)查的七個維度表

網(wǎng)絡(luò)盡職調(diào)查的維度

一份優(yōu)秀的網(wǎng)絡(luò)盡職調(diào)查報告應(yīng)從全局角度出發(fā)，并全面審視目標(biāo)企業(yè)的網(wǎng)絡(luò)彈性情況。這一點至關(guān)重要，因為網(wǎng)絡(luò)彈性不僅僅是IT問題，更是商業(yè)和風(fēng)險問題。為從整體角度審視目標(biāo)企業(yè)的整體網(wǎng)絡(luò)彈性，一項優(yōu)秀的網(wǎng)絡(luò)盡職調(diào)查應(yīng)由商業(yè)、法律和技術(shù)顧問來執(zhí)行，并可參照七個維度進行調(diào)查（見附表）。

一份優(yōu)秀的網(wǎng)絡(luò)盡職調(diào)查報告還應(yīng)有助于購買方在以下方面做出決定，并據(jù)此獲得交易籌碼：一是購買方可以準(zhǔn)確評估目標(biāo)企業(yè)的網(wǎng)絡(luò)彈性水平，并獲得適當(dāng)?shù)陌踩珷顩r保證；二是如果由于目標(biāo)企業(yè)交割前的作為或不作為引起網(wǎng)絡(luò)安全事件，則購買方可以獲得正常種類和限額之外的特定網(wǎng)絡(luò)安全賠償，主要針對網(wǎng)絡(luò)事件后續(xù)調(diào)查、補救、監(jiān)管措施和顧客賠償費用等事項；三是購買方中止收購協(xié)議的權(quán)利，即購買方可以要求目標(biāo)企業(yè)承諾將簽署和交割分離，在此情況下，即便網(wǎng)絡(luò)事件產(chǎn)生在簽署和交割兩個程序之間、即便影響并非為重大不利，購買方都應(yīng)有權(quán)終止收購協(xié)議；四是如果交易雙方需要獲得針對網(wǎng)絡(luò)安全事件的保證與賠償（W&I）保單，那么這份網(wǎng)絡(luò)盡職調(diào)查報告需要保證雙方有獲得此類保單的可能性。

電信行業(yè)并購的重中之重

電信公司對網(wǎng)絡(luò)安全問題并不免疫；相反，這些公司可能更容易遭受網(wǎng)絡(luò)問題的威脅。更重要的是，由于很大一部分網(wǎng)絡(luò)數(shù)據(jù)在電信公司運營的網(wǎng)絡(luò)和服務(wù)中傳送，所以在多數(shù)情況下此類公司會因這一獨特地位而受到監(jiān)管者更嚴(yán)格的審查。

在歐洲，電子通訊服務(wù)的供應(yīng)商必須確保其所提供服務(wù)的安全性（相關(guān)條款見《歐盟指令 2002/58/EC》）。如果發(fā)生個人數(shù)據(jù)泄露的情況，無論泄露程度大小，電子通訊服務(wù)供應(yīng)商必須在24小時內(nèi)將這一情況告知國家監(jiān)管機構(gòu)；如果用戶的個人數(shù)據(jù)或隱私有可能遭受損害，供應(yīng)商同樣須告知該用戶，除非可以證明自身已采取了保護數(shù)據(jù)的技術(shù)措施。另外，電信公司一般都會被要求與執(zhí)法機關(guān)合作，因而也就獲得了存儲敏感數(shù)據(jù)的權(quán)利，其中可能包括用戶的電話錄音、電子郵件記錄，以及互聯(lián)網(wǎng)通訊和網(wǎng)站流量的詳細情況，因此，電信公司需要履行更嚴(yán)苛的數(shù)據(jù)和隱私保護義務(wù)。

如果一個電信行業(yè)的目標(biāo)企業(yè)受到網(wǎng)絡(luò)安全漏洞的影響，那么其所面臨的監(jiān)管力度很可能會加大。因此，作為目標(biāo)企業(yè)的電信公司必須有高度成熟的網(wǎng)絡(luò)彈性。這對于收購者而言是必須意識到的問題。

網(wǎng)絡(luò)威脅暫時不會消失，企業(yè)組織需要保持警惕并將之付諸行動，以確保其網(wǎng)絡(luò)的安全性。企業(yè)不僅必須在自己的經(jīng)營范圍內(nèi)落實行動，更要將其擴展至收購業(yè)務(wù)的流程當(dāng)中。而在電信領(lǐng)域的并購中，針對網(wǎng)絡(luò)威脅的預(yù)先籌謀至關(guān)重要。

Cheng Lim系金杜律師事務(wù)所

墨爾本辦公室合伙人

James Walsh系金杜律師事務(wù)所

倫敦辦公室合伙人