本文来自微信公众号： 金杜研究 ，作者：宁宣凤 吴涵 等，原文标题：《对外投资合规系列（六）丨从资本出境到能力出境：中国企业出海的合规新维度》
中国企业出海已步入新阶段，对外投资不再限于资金的跨境往来。过去谈及对外投资（Outbound Direct Investment，以下简称“ODI”）合规，所关注者多为投资主体、投资路径、资金出境、外汇登记、税务安排与行业准入，审查的落点始终在于“资本是否以及如何出境”。但近年来的出海项目令我们愈发清楚地看到，对于以数据、技术及人工智能驱动的企业而言，真正敏感的往往不是“钱投向何处”，而是数据、系统、算法、模型、人员经验乃至持续技术支持能力，是否随这笔交易一并转移至境外。
2026年5月5日，国务院公布《国务院关于对外投资的规定》（以下简称“《规定》”），自2026年7月1日起施行。《规定》明确适用于中华人民共和国境内投资者对外投资，包括中国境内的企业、其他组织和居民个人。《规定》并未将外商投资企业或外商独资企业排除在适用范围之内，凡在中国境内依法设立的企业开展境外投资的，原则上均适用《规定》。同时，境内投资者赴香港特别行政区、澳门特别行政区、台湾地区投资的，参照适用《规定》。
纵观《规定》以及相关制度演变历程，一条清晰的脉络贯穿其中：对外投资的合规审查，正沿“资本出境—数据出境—能力出境”拾级而上、层层递进。最初关注的，是资本是否出境；数据跨境流动进入监管视野后，审查对象延伸至数据是否出境；而在数据、系统、算法、模型、接口、研发人员与持续技术支持彼此交织、日益难分的今天，真正值得审视的，是上述要素组合而成的业务能力、技术能力与安全敏感能力，是否随交易被转移、复制至境外或被持续调用。
这一问题在近期部分交易中尤具代表性。当模型、工程团队、产品接口、用户反馈机制及持续迭代能力随组织调整和并购安排向境外转移时，交易涉及的可能已不只是股权、代码或某项单一技术，更是一套能够独立运行并持续演进的完整能力体系。
换言之，审查的落点正由“资本是否出境”的静态判断，转向“数据、系统与能力如何随交易持续流动”的动态考察。我们理解，数据合规由此可能成为牵动交易结构、投后安排乃至国家安全风险判断的主线。
本文循此分两部分展开。第一部分按尽职调查、境外监管申报、签约交割、投后运营至争议解决的顺序，逐一梳理对外投资全流程中的数据出境场景及其合规要点；第二部分则以“能力出境”为核心视角，试明这一视角如何落到境外投资安全审查对象的界定、高风险交易安排的识别防控与合规审查的具体展开。
01
对外投资全流程中的数据出境
谈及对外投资中的数据出境，实务中较常见的是尽职调查阶段数据室材料向境外投资人开放所生的出境风险。但《规定》第14条已经明确，对外投资涉及跨境数据流动、网络安全监管、出口管制等的管理，依照有关法律、行政法规和国家有关规定执行。我们理解，这一衔接条款所传递的信号极为明确：数据跨境流动并非交易中的局部插曲，而是贯穿对外投资全生命周期的一条合规主线。
数据跨境流动本身不必然引发合规义务。是否产生义务、产生何种义务，取决于相关数据是否属于个人信息、重要数据、国家秘密或受特定行业监管约束的数据，以及对应跨境场景所适用规则。只有在准确识别数据类型、流转路径与访问主体的基础上，才能进一步判断是否需履行出境、出口管制或其他专项合规义务。
对出海企业，我们建议将数据跨境传输与跨境系统访问作为贯穿交易全流程的审查维度，在交易结构设计和投后治理阶段引入合规视角。数据合规的核心，从来不在于阻断跨境流动，而在于充分识别风险之后，于业务发展与合规要求之间求得合理平衡。
1. 尽职调查阶段
一般认为，在尽职调查阶段，数据流动仅为单向流转，即由境外标的向中国投资方提供资料，但境外交易对方、标的公司、共同投资人或融资方也可能关注交易确定性、资金来源、履约能力及合规状况，对中国投资方开展反向尽调。中国投资方通过电子数据室、电子邮件、云端平台或其他方式向境外交易参与方及其律师、财务、技术等专业顾问提供境内数据，或者允许其自境外访问境内存储的数据，均可能涉及数据出境。
这一阶段需重点关注的材料大致可分为三类。其一，包含董监高、实控人、员工、客户或其他自然人个人信息的材料。其二，行业监管认定的重要数据，例如汽车行业的驾驶自动化相关数据、医药行业的人类遗传资源信息及临床试验数据。其三，可能触及技术出口管理或出口管制的系统架构说明、核心算法、源代码及研发文档。集团架构图、财务摘要、合规情况说明或一般商业介绍这类普通商业信息，通常不落入高敏感范围。
实务中，企业常通过签署保密协议、设置数据室访问权限、关闭下载功能等方式管控相关风险。这些安排在商业保密与安全管理层面是必要且有效的，但它们与中国法下的数据出境合规要求分属不同层面，二者可以互补，但不能相互替代。因此，材料确实涉及个人信息、重要数据或其他受监管数据的，除上述商业措施外，企业宜按数据类型、规模和具体传输场景，评估是否触发出境合规义务并相应履行。
2. 境外监管申报阶段
达到申报门槛或涉及特定行业的境外投资，需要在一个或多个法域接受反垄断、外资安全审查或行业审批。申报材料如由境内主体向境外监管机构、交易对方或外部顾问提供，可能同时形成数据出境场景，因此有必要在申报准备阶段同步识别相关数据及合规要求。
不同申报对数据与信息的关注点各有侧重。境外反垄断申报通常围绕交易结构、集团营业收入、相关市场、市场份额及竞争关系展开；在完整申报或存在受影响市场的情况下，还可能要求提供主要客户、供应商及相关联系人信息。相关材料总体以商业和市场信息为主，但其中如包含自然人联系方式或其他可识别信息，仍需考虑个人信息跨境提供的要求。
欧盟《外国补贴条例》（Foreign Subsidies Regulation）下的外国补贴审查主要要求披露交易相关主体获得的第三国财政性贡献，在经营者集中申报中还需就交易结构、融资安排及有关支持措施作出说明。此类材料通常不以个人信息为核心，但仍可能包含联系人、管理人员信息，以及政府支持信息等敏感资料，乃至落入重要数据的范畴。
此外，特定行业的牌照变更、控制权审批或国家安全审查，均可能要求披露投资方背景、目标企业业务、关键资产或技术、数据处理和网络安全安排等信息。具体披露对象和深度取决于相关法域、审批类型及交易安排，此处不做进一步展开。
境外监管申报所依据的当地法律，并不会当然排除中国法对境内数据向境外提供的规制。企业仍需结合申报材料的来源、内容、接收方和提供方式，分别判断是否涉及个人信息出境、重要数据出境。因此，在交易启动阶段即同步评估可能触发的境外申报、将申报材料准备纳入整体数据合规流程，通常会比临近申报期限再集中处理更为从容。
3. 签约与交割阶段
签约与交割阶段的数据合规风险，并不限于交易文件本身的跨境传递。协议约定的各类持续性安排，签约时未必立即实施，却可能在交割后持续形成跨境数据共享、系统访问或接口连接，因而有必要在交易设计阶段提前识别。
在涉及境内外业务拆分、系统迁移或集团服务过渡的交易中，过渡服务协议（Transition Services Agreement）可能约定交易一方或其关联方在一定期限内继续提供IT支持、财务共享、人力资源管理、供应链协同或其他后台服务。相关服务可能导致境内运营中收集和产生的数据被传输至境外，或者使位于境外的人员能够远程访问中国境内的系统和数据。
根据我们的观察，许多数据出境风险并非在交割后才产生，而是在交易文件签署时，便已通过过渡服务、信息权、审计权、技术支持和系统访问等安排被预先埋下。因此，审阅交易协议时，除关注价格机制、交割条件和治理结构外，也应识别其中可能导致跨境数据流动的权利与义务，并提前评估交割后的实施条件和合规影响。
4. 投后运营阶段
交割完成后，企业进入投后运营阶段。境外主体对中国境内系统和数据的长期、持续远程访问，是这一阶段最易被低估的数据出境风险。此类访问大体沿两条线索展开：整合期的系统对接，以及稳态运营中的常态化访问。以下分别简述其可能触发数据出境的情形。
其一是整合期的系统对接。集团统一部署ERP、CRM、HR、财务管理或数据分析平台，或推进系统迁移、接口联调时，境内运营中收集和产生的数据可能被境外团队访问，境内外系统之间亦可能形成持续的数据接口。其中尤需关注科技、人工智能企业的研发系统和代码库，所涉数据可能包含模型训练数据、测试数据集、研发文档或源代码等敏感技术资料。
其二是稳态运营中的常态化访问。整合完成后，集团内境外主体通常仍会持续远程访问境内系统，例如境外IT或安全团队远程运维、进入境内研发环境提供技术支持。此类访问所涉数据可能包含客户及研发信息，且与整合期的项目式对接不同，其长期、持续、制度化的特征更需以长效机制加以约束。
面对上述两种主要情形，企业应将跨境访问权限作为投后运营阶段的管控重点。在权限体系中区分境内访问与境外访问，对境外访问设置独立的申请、审批、期限和日志留存要求，并按最小必要原则控制访问范围；同时定期复核境外主体的访问目的、频率、权限及业务必要性，及时关闭不再需要的账户和接口。
5. 境外争议解决与调查阶段
对外投资完成后，企业可能因纠纷被要求向境外仲裁机构、外国法院、境外监管机构或执法机关提供中国境内材料。对此，《规定》第21条鼓励通过协商、调解、仲裁、诉讼等方式化解对外投资纠纷；第22条则进一步要求，境内组织、个人在对外投资相关仲裁、诉讼或境外调查中需向境外提供证据或材料的，应遵守保守国家秘密、数据安全、个人信息保护、技术出口管理、出口管制、国际刑事司法协助等规定，依法须经主管机关准许的，应履行相关法律程序。[1]
针对《规定》第22条，我们理解它并未新增设合规义务，而是对现有规定的整合与重申。无论是依据仲裁、诉讼程序提交材料，还是响应境外调查而提供材料，只要材料存储于中国境内，即应遵守中国法下的数据出境、保密、出口管制等规定，争议解决虽然属于保障企业自身权益的重要手段，但本身并不构成豁免相关合规义务的事由。企业应在拟向境外提供材料之前，就材料是否涉及重要数据、个人信息、受控技术或国家秘密主动作出识别与评估。
虽然《规定》第22条将“仲裁”与“境外司法、执法机构调查”并列，但二者性质并不相同，仲裁属于企业可选的争议解决途径，未必指向司法或执法机构。向仲裁机构提供存储于境内的数据是否需要主管机关批准，应回到第22条末句“依法须经有关主管机关准许”这一限定，而该准许要求最终指向《数据安全法》第36条，即非经主管机关批准，境内组织、个人不得向外国司法或执法机构提供存储于中国境内的数据。[2]
实务中，企业对《数据安全法》第36条的理解常见两类疑问。第一类疑问涉及商事仲裁的定位。有观点将适用范围做过宽解释，将境外商事仲裁机构等同于“外国司法或者执法机构”。但商事仲裁本质上系当事人基于意思自治建立的争议解决机制，仲裁机构通常不属于第36条所称的外国司法或执法机构。因此，一般情况下，企业基于仲裁程序向境外仲裁庭提交证据，并不当然触发第36条的审批要求。但《规定》第22条已明确将仲裁纳入向境外提供材料须遵守数据安全等规定的范围，企业仍需就拟提交材料是否涉及重要数据、个人信息自行作出判断。
此外，企业主动提交材料（例如境外监管申报）与应境外机构要求被动提供，二者并不适用同一规则。实务中一般认为，《数据安全法》第36条主要规制的是境内主体应境外司法或执法机构要求的被动提供。境内主体基于自身需要、经正常出境程序主动向境外监管或仲裁机构提交材料，一般不当然落入《数据安全法》第36条。
《数据安全法》第36条对“主管机关”的表述较为概括。通常而言，在涉及境外刑事司法执法调取时，可结合《国际刑事司法协助法》及其配套规定理解；证券领域则有《证券法》第177条作类似安排。上述法规均为《数据安全法》第36条的报批程序提供了可参照的路径。[3]
《规定》第22条与《数据安全法》第36条共同反映的监管思路，并非针对个案的临时审批，而是要求企业将数据合规审查前置嵌入境外争议解决、监管调查及执法应对机制，把数据分类分级、出境评估、出口管制审查和保密审查纳入标准响应流程。对跨国经营企业而言，事前建立治理机制，往往较事后一案一议更为有效，亦更具可行性。
02
“能力出境”视角下潜在的境外投资安全审查思路
1. 境外投资安全审查对象
《规定》第15条明确建立境外投资安全审查制度，对影响或者可能影响国家安全的境外投资，以及相关资产、权益的转让和处分进行安全审查。由于《规定》并未穷尽列举可能影响国家安全的具体情形，实践中的一个重要问题是如何识别境外投资可能造成的实质性安全影响。
对此，可以引入“能力出境”作为一项分析视角。需要说明的是，“能力出境”并非现行法律法规中的法定概念，而是对企业出海和境外投资过程中可能涉及的国家安全风险所作的一种概括。其关注的重点，不是某一项数据、算法或者技术是否形式上跨越国境，而是境外主体是否因投资及其后续安排，实质取得了原本依托境内资源形成的业务能力、技术能力或者安全敏感能力。
这里所称的“能力”，通常并非由单一要素构成。在具有国家竞争优势、战略竞争利益或者安全敏感性的领域，数据、算法、模型、系统、接口、应用场景、运营反馈、工程经验和研发团队等要素相互结合，可能形成一套能够支持业务运行、技术迭代和规模化复制的完整能力体系。单独观察其中某项数据或算法，未必足以识别其安全意义；但当相关要素被组合并投入实际运营后，其形成的整体能力可能具有远高于单项要素的战略价值。
因此，在境外投资安全审查中，需要关注的不仅是传统意义上的资产或技术转让，还包括相关能力是否随着投资实施、投后整合、组织架构调整或者持续运营安排而被转移至境外。例如，境外主体可能通过取得系统接口权限、参与模型调优、调用境内数据和算力，或者获得境内团队持续提供的技术支持，逐步具备独立运行、复制、优化或者控制相关业务和技术的条件。
在这一过程中，相关数据、系统或者模型未必发生物理意义上的离境，知识产权权属也未必发生变更，但其所承载的实际能力可能已经被境外主体掌握。这与出口管制领域对无形技术转移的关注具有相似之处：技术转移并不必然以实物交付或者技术资料的物理出境为前提；人员交流、技术指导、培训协助或者远程访问，如实质上使境外主体获得相关技术资料、技术知识或技术服务，也可能构成技术转移，并触发相应的出口管制要求。
《规定》第13条也体现了对“转移”概念的这一理解。该条将跨境派遣技术人员、跨境提供技术指导以及安排人员跨境培训等纳入禁止或限制出口事项的转移方式，表明监管视角并不局限于有形载体的物理移动。尽管该条直接规范出口管制及相关合规事项，但所反映的实质判断思路，也可为理解境外投资安全审查中的能力转移风险提供参考。
基于“能力出境”的视角，境外投资安全审查不宜仅停留在某项数据是否出境、某项算法是否转让或者某项资产是否发生权属变化，而应进一步考察：相关业务或技术是否处于关系国家竞争优势、产业安全或者战略利益的重要领域；各项要素结合后是否已经形成可独立运行和持续迭代的能力体系；以及境外主体是否可能通过投资、治理安排、系统接入、人员协作或者持续服务，实质实现对该项能力的调用、复制、优化或控制。
换言之，审查对象需要从单项客体进一步延伸至交易完成后的“能力状态”。只有从整体上观察境外投资前后的能力配置及控制关系，才能更准确地识别一项交易是否可能造成具有国家竞争价值或安全意义的能力向境外转移。
2. 现行法规下的既有规则参照
中国现行法虽未直接规定“能力出境”这一审查对象，但在既有的网络安全、数据安全、出口管制及产业监管规则中，已经可以观察到一定的判断脉络。相关规则原本主要从数据、技术等具体要素的跨境流动出发，但其对于行业属性、数据和技术的敏感程度、应用场景以及境外主体实际利用能力等因素的考量，亦可为境外投资场景下的分析提供参考。尤其是在境外投资安全审查的具体标准尚待后续规则进一步细化的情况下，本文尝试从上述既有制度中提炼若干线索，作为识别“能力出境”风险的一种参考思路。
首先，现有监管规则对相关领域释放出较为明确的敏感性信号。例如，相关数据是否被纳入地区、部门或者行业的重要数据目录，相关技术是否列入禁止或者限制出口技术目录，或者是否受到两用物项、技术出口及特定行业规则的管理。此类目录和规则并不当然划定境外投资安全审查的范围，但可以在一定程度上反映监管部门对相关数据、技术及其应用领域之安全价值和产业意义的判断。
重要数据制度可以提供较为直接的分析参照。重要数据的识别并不完全取决于单一字段的内容，而通常需要结合数据所属领域、涉及的对象和区域、数据精度与规模、汇聚程度、使用场景，以及数据遭到泄露、非法获取或者非法利用后可能产生的影响进行综合判断。因此，同类数据在不同行业、不同项目层级和不同使用场景下，可能具有不同的安全意义。行业主管部门发布或者确认的重要数据目录是企业开展判断的重要依据；但从“能力出境”这一分析角度看，数据尚未被正式确认为重要数据，也不当然意味着其不具有支撑特定业务或技术能力的价值。
其次，可以考虑相关领域在国家产业政策和技术发展体系中的位置。例如，是否涉及关键产业链和供应链环节、重大科技创新任务、国家或省级重点项目，以及具有较高稀缺性、不可替代性或者长期积累门槛的核心工艺、训练数据、工程经验和运营体系。这些因素本身未必构成独立的法律判断标准，但可以作为观察相关能力是否具有超出一般商业资产之产业价值或竞争意义的参考。
最后，还需要考察交易产生的实际效果。即便相关行业具有较高的政策重要性，也不宜据此直接推定投资必然造成能力外流。仍需进一步判断，境外主体是否会因投资实施、投后整合、系统接入、人员协作或者持续技术支持，而取得运行、复制、改进或者替代相关业务和技术的条件。只有当相关领域的敏感性与交易所产生的实质赋能相结合时，才更有必要从“能力出境”的角度加以审视。
因此，“能力出境”的识别不宜转化为对所谓优势行业的简单标签化判断，而可建立在多项因素的综合考察之上。上述因素中的任何一项可能均不足以单独形成结论，但结合具体交易结构和投后安排进行观察，或可为识别潜在的能力转移风险提供较为清晰的分析路径。
此外，比较法上的发展也可提供有限参考。美国近年来建立的对外投资安全审查机制（Outbound Investment Security Program，依据第14105号行政令，于2025年1月生效），将半导体与微电子、量子信息技术和人工智能等特定技术活动纳入管辖，并根据风险程度设置禁止交易和申报要求。其制度设计不仅关注投资所提供的资本，也关注管理协助、人才以及投资网络等可能附随于投资的“无形利益”。与此同时，仅享有标准少数股东权利、不享有影响管理或投资决策额外权利的部分被动投资，可以在符合特定条件时获得豁免或例外处理。这在一定程度上表明，对外投资风险的判断并不完全取决于持股比例或者资本规模，也与投资是否产生实质性赋能有关。当然，中美两国的制度背景和审查目标并不相同，相关规则更适合作为观察监管思路的比较法材料，而不宜直接移植为中国法下的判断标准。
结语
《规定》的出台，标志着中国企业出海的合规管理正进入更为综合、亦更具安全导向的阶段。对数据、技术和人工智能驱动型企业而言，境外投资已不再只是资本、股权与业务布局的问题，还可能牵动数据、系统、算法、模型、人员经验及持续技术协作能力的跨境转移。企业在开展境外投资以及相关活动时，可在传统ODI合规框架之外，适当引入“能力出境”的审查视角，将数据出境、系统访问、技术支持、境外监管披露及争议解决材料跨境统一纳入出海合规治理，并将数据合规审查前置嵌入交易设计和投后治理。
出海航程中，看得见的是资本与股权的流向，看不见的则可能是数据、系统与能力的去处。只有穿透交易表象，识别相关能力是否以及如何向境外流动，企业才能在业务发展与安全合规之间行稳致远。
向下滑动阅览
脚注：
[1]《规定》第22条原文：“中华人民共和国境内的组织、个人参与对外投资相关的仲裁、诉讼，或者受到境外司法、执法机构调查，需要向境外提供证据或者相关材料的，应当遵守保守国家秘密、数据安全、个人信息保护、技术出口管理、出口管制、国际刑事司法协助等法律、行政法规和国家有关规定；依法须经有关主管机关准许的，应当履行相关法律程序。”
[2] 《数据安全法》第36条原文：“中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。”
[3] 《国际刑事司法协助法》禁止境内主体未经主管机关同意擅自向外国提供证据材料，其配套《关于实施〈中华人民共和国国际刑事司法协助法〉若干问题的规定（试行）》设立“刑事证据出境审查工作机制”（设在国务院司法行政部门），作为境内主体报告的对接部门。《证券法》第177条原文：“境外证券监督管理机构不得在中华人民共和国境内直接进行调查取证等活动。未经国务院证券监督管理机构和国务院有关主管部门同意，任何单位和个人不得擅自向境外提供与证券业务活动有关的文件和资料。”