美国CFIUS审查应对指南：以香港为跳板的内地企业必读

CFIUS（美国外国投资委员会，全称 Committee on Foreign Investment in the United States）是美国审查外国投资的国家安全监管机构。近年来，其审查范围已从传统的并购（M&A）扩展到合资公司、绿地投资（Greenfield）、知识产权许可、敏感数据访问等”非控制性交易”。以内地为背景、通过香港平台出海的企业，在对美投资或与美国主体合作时，几乎都会与CFIUS打交道——无论是主动申报还是被动应对。本文从实务角度梳理一份完整的应对指南。

一、CFIUS审查什么？核心管辖逻辑

CFIUS并非审查所有外国投资，其触发需满足两个核心条件：（1）交易涉及外国投资人对美国企业的”控制”或重要权益；（2）涉及”国家安全关切”的领域。

1. 受管辖交易类型

控制权交易（Covered Transactions）：外国投资人获得美国企业的控制权，包括并购、合资、长期租赁、设立子公司等
重要权益变更（Substantial Interest Changes）：美国企业控制权发生变更，即便买方为美国人，若背后有外国资本穿透也可能触发
TID U.S. 业务：涉及美国关键技术（Critical Technologies）、关键基础设施（Critical Infrastructure）、敏感个人数据（Sensitive Personal Data） 的非控制性投资（即 FIRRMA 法案扩展范围）

2. 强制申报情形

根据 FIRRMA 法案及其实施细则，下列交易必须申报：

涉及关键技术且外国政府持有 25% 以上表决权
涉及关键技术且触发 CFIUS 例外清单之外的交易（以美国财政部最新公布的”强制申报规则”为准）
涉及关键基础设施或敏感个人数据，且触发特定门槛

3. 豁免情形

部分”例外国家”（目前仅限澳大利亚、加拿大、新西兰、英国）的投资人参与的交易享有一定豁免。中国（含香港）投资人不适用该豁免。

二、香港作为出海跳板的特殊考量

很多内地企业选择先在香港设立 SPV（特殊目的公司）再对美投资，以利用香港的法律环境、税收协定和融资便利。但需注意：

穿透审查：CFIUS 审查会穿透至最终受益人（UBO），香港公司架构并不构成”缓冲”
敏感国别标签：内地背景的投资人在审查中会被纳入”特别关注国别”评估，审查周期更长、被要求签署缓解协议（Mitigation Agreement）的概率更高
香港平台的双重身份：若香港公司同时涉及内地资产或人员，CFIUS 还会评估其与内地的”实质性关联”

三、是否申报？两种路径对比

CFIUS 提供”自愿申报”与”不申报接受抽查”两种路径，选择需谨慎。

维度	自愿申报（Voluntary Declaration）	不申报 / 简短申报
触发方式	主动提交书面通知	自行完成交易，事后被抽查
审查周期	初审 30 天，调查 45 天，总计可达 75 天	抽查无固定周期
结果确定性	完成后获得”安全港”保护（Safe Harbor）	永久存在被追溯审查的风险
缓解义务	可通过协商签署缓解协议	抽查后只能被动接受
适用场景	涉及关键技术、关键基础设施、敏感数据	看似边缘、无敏感触角的常规交易

实务建议：只要交易存在以下任一要素，建议主动申报而非侥幸：

投资人具有内地背景，且交易额超过 5000 万美元
标的涉及美国半导体、AI、生物、新能源、量子等受关注技术
标的持有美国用户的健康、金融、地理、生物识别等敏感个人数据
标的位于美国政府设施周边（如军事基地周边 100 英里内的关键基础设施）

四、申报前准备：尽调清单

申报 CFIUS 需要提交的材料达数百页，常见模块包括：

投资人侧信息：股权结构、UBO、董事会构成、是否有政府持股或补贴关系
标的侧信息：业务模式、技术清单、客户名单、数据处理流程、是否位于敏感设施附近
交易结构：估值、对价形式（SaaS、IP 许可、合资比例等）
政府关系说明：与各级政府的合同、补贴、采购往来
网络安全与出口合规：是否受 EAR（出口管理条例）约束、是否持有 ITAR 受控物项

关键细节：CFIUS 越来越关注”非物理性访问”——即美国数据是否被传输、远程访问至外国服务器。内地企业即使不派人去美国，只要涉及数据回传或云端访问，同样会触发审查。

五、缓解协议（Mitigation Agreement）核心条款

当 CFIUS 认为交易存在国家安全风险但不否决时，通常要求签署缓解协议。常见条款包括：

数据隔离：在美国境内建立独立数据服务器，禁止向境外传输美国用户敏感数据
人员隔离：涉及敏感项目的美国员工与外国母公司物理隔离
技术隔离：限制外国母公司对美国技术的访问权限
审计权：CFIUS 派员进行定期合规审计（一般为交易完成后 3-5 年）
通知义务：标的任何重大变更（如控制权变更、新业务线、IPO）需提前通知 CFIUS
违约后果：违反缓解协议可能导致罚款（金额以个案处罚为准）、强制剥离（Divestiture）、刑事追责

缓解协议一旦签署即具有法律约束力，且无法”用钱买平安”——历史上曾出现违规后被强制出售美国资产、罚没上亿美元的案例。

六、内地企业常见误区

误区 1：交易规模小就不需申报

真相：CFIUS 不设最低交易额门槛，即使是 100 万美元的小额股权投资，只要涉及关键技术或敏感数据，仍会触发审查。

误区 2：纯绿地投资不归 CFIUS 管

真相：2018 年 FIRRMA 法案修订后，从零开始在美国设立的子公司、研发中心，若涉及关键技术领域且与外国政府有”实质性利益”，同样在管辖范围内。

误区 3：申报后就一定能通过

真相：CFIUS 在 2023-2024 财年的否决与强制撤回比例上升（具体数字以美国财政部年度公开报告为准），”申报即通过”的认知需修正。

误区 4：通过香港 SPV 就能规避身份审查

真相：CFIUS 穿透审查至 UBO，香港注册地不构成豁免理由。

误区 5：签署 NDA 就能避免数据暴露

真相：CFIUS 申报材料属于机密信息，但 NDA 仅约束交易对手，不能阻止 CFIUS 的法定调查权。

七、实操建议清单

内地企业（含香港平台）在与美方合作前，建议按以下顺序准备：

交易前 6 个月：委托外部 CFIUS 顾问（律所）进行预评估（Pre-screen）
交易前 3 个月：完成标的安全尽调（国家安全维度）
签约前 1 个月：决定申报路径（正式通知 vs 简短声明 vs 不申报）
签约时：在 SPA 中加入 CFIUS 反向终止权与监管风险分配条款
签约后 30 天内：提交 CFIUS 通知
签署缓解协议后：建立合规团队，按季提交合规报告
持续期（一般 3-5 年）：保留审计通道，定期与 CFIUS 工作人员沟通

八、与香港的关联：合规与争议解决

由于内地企业多通过香港 SPV 持股美国资产，CFIUS 缓解协议中往往包含”争端适用美国法律”的条款。但仍有以下香港维度可用：

争议仲裁地选择：交易文件中的争议解决条款，可争取约定香港国际仲裁中心（HKIAC）或新加坡国际仲裁中心（SIAC）
数据本地化合规：香港《个人资料（私隐）条例》与 CFIUS 数据隔离要求并不冲突，可借机建立统一的数据治理框架
税务协调：香港与美国之间没有全面税收协定，间接投资架构需提前评估美国资本利得税穿透风险

CFIUS 审查已从”被动的安全防御”演变为”主动的产业政策工具”，对涉及半导体、AI、生物技术、量子计算、清洁能源等领域的内地资本尤其审慎。以香港为跳板出海的企业，应将 CFIUS 评估纳入每一笔对美投资的标准前置流程，而非”事后补救”。合规成本远低于被强制剥离或天价罚款的代价。

香港大全持续更新香港作为出海跳板的合规、架构与融资相关指南，建议收藏并在规划对美投资前系统查阅。

常见问答

CFIUS 审查一般需要多长时间？

正式自愿申报的标准流程包括 30 天初审与 45 天调查两个阶段，总计可达 75 天左右；若进入更深层调查或被要求签署缓解协议，周期会进一步延长。若选择不申报而事后被抽查，则不存在固定周期，企业将长期处于被追溯审查的不确定状态中。

香港公司作为持股平台能否规避 CFIUS 对内地背景的识别？

不能。文章明确指出，CFIUS 实行穿透审查，会追溯至最终受益人（UBO）。香港注册地本身不构成豁免理由，内地背景的投资人仍会被纳入”特别关注国别”评估，且若香港公司同时涉及内地资产或人员，CFIUS 还会评估其与内地的”实质性关联”，审查周期与被要求签署缓解协议的概率都会更高。

内地企业赴美投资金额很小，是否仍需申报 CFIUS？

仍可能需要。文章在”误区 1”中专门澄清：CFIUS 不设最低交易额门槛，即使是 100 万美元的小额股权投资，只要涉及关键技术、关键基础设施或敏感个人数据等受关注领域，仍会触发管辖权。因此判断是否申报不能仅以金额为标准，应回到行业、数据、地理位置等实质要素。

纯绿地投资在美国设立研发中心是否需要申报 CFIUS？

视情况而定。文章在”误区 2”中说明，自 2018 年 FIRRMA 法案修订后，从零开始在美国设立的子公司、研发中心若涉及关键技术领域且与外国政府存在”实质性利益”，同样落在 CFIUS 管辖范围内；若不涉及上述要素，则未必触发申报，具体以个案与最新法规为准。

CFIUS 缓解协议一旦签署，是否可以用一次性了结方式解除？

不可以。文章强调，缓解协议具有法律约束力，且”无法用钱买平安”：协议一般覆盖交易完成后 3 至 5 年的持续期，期内需接受定期合规审计、履行通知义务，标的任何重大变更（如控制权变更、新业务线、IPO）都需提前通知 CFIUS。违规可能导致罚款、强制剥离乃至刑事追责，具体处罚金额以个案裁定为准。