网络安全供应商尽职调查要点
随着香港生产力局”TVP 科技券计划”、数码港”易达通”、以及”BUD 专项基金”等政府资助陆续将网络安全纳入可报销范畴，越来越多的中小企业在申请项目时，会将”采购网络安全服务或解决方案”列为预算条目。然而，资助方对支出合理性、合规性与可审计性的要求日益严格——一份合格的尽职调查记录，往往直接决定了拨款能否顺利落地。
本文从申请香港政府资助的中小企业视角出发，整理网络安全供应商尽职调查的五大核心维度，帮助企业在递交申请前就把供应商”摸清摸透”，既降低项目执行风险，也避免审计时被要求补件或撤资助。
一、为什么政府资助项目特别强调供应商尽调？
政府资助的逻辑是”公帑使用须可追溯、可验证”。当资助款项用于购买第三方网络安全产品或服务时，审批与审计部门通常会审视以下几点：
- 供应商是否具备真实履约能力，而非皮包公司或转包商；
- 报价是否合理，有无虚高以套取资助；
- 服务或产品来源是否合规，尤其涉及跨境数据传输、加密功能时；
- 是否构成利益冲突，申请企业、供应商与顾问之间是否存在关联；
- 交付物能否量化验收，以匹配资助项目 KPI。
换言之，尽调不是为了”走流程”，而是把”花钱有据、验收有据、追责有据”前置到合同签订之前。
二、尽职调查的五大核心维度
1. 公司资质与背景
- 商业登记证、有效注册文件、最近一期周年申报表（可透过公司注册处查阅）。
- 成立年限、注册资本、办公地址（实地或虚拟办公室需区分）。
- 股东与董事结构，是否与申请企业存在关联关系（避免被认定为关联交易）。
- 是否有母公司、子公司或分包商生态，须在标书中如实披露。
- 是否涉及任何正在进行的诉讼、仲裁或监管调查。
2. 行业资质与认证
针对网络安全这一垂直赛道，建议核查以下任一类资质（具体以官方最新公布为准）：
| 资质 / 认证 | 颁发机构 | 适用场景 |
|---|---|---|
| ISO/IEC 27001 信息安全管理体系 | 国际标准化组织 | 通用的安全治理基线 |
| ISO/IEC 27701 隐私信息管理 | 国际标准化组织 | 涉及个人数据处理 |
| 信息系统安全专业认证系列 | 国际信息系统安全认证联盟 | 技术团队人员能力 |
| 注册信息安全专业人员系列 | 中国信息安全测评中心 | 内地背景供应商常用 |
| 渗透测试 / 红队服务相关认证 | 各专业机构 | 安全测试类项目 |
| 香港本地资历框架相关课程认证 | 香港资历架构 | 培训类服务 |
若供应商在投标阶段声称具备上述资质，应要求其提供证书扫描件、颁发机构公开查询链接，以及最近一次年审记录。
3. 合规与跨境数据能力
香港《个人资料（私隐）条例》是底线，但若项目涉及以下情形，须额外核查：
- 跨境数据传输：供应商在中国内地或其他司法管辖区设有服务器或团队时，需说明数据流向、存储位置与备份策略。
- 加密功能：部分加密算法受香港《进出口（战略物品）规例》管制，供应商如提供含加密模块的产品，须确认是否需要申请战略物品许可证。
- 行业附加要求：金融业受金管局监管、医疗数据受相关条例约束，供应商是否熟悉该行业的额外合规义务。
4. 技术能力与过往案例
- 人员背景：核心工程师是否持有公开可验证的认证（如 CISSP、OSCP、CISM 等），团队规模与稳定性。
- 过往案例：要求提供至少 3 个可核实的客户案例（最好有香港本地或大湾区企业），并允许申请方抽样联系参考客户。
- 应急响应能力：是否提供 7×24 小时的本地响应，事件响应 SLA 多少分钟到场、几小时出报告。
- 工具与平台透明度：是否会使用开源工具、是否会引入第三方扫描器（如云端扫描器涉及数据出境）。
5. 商务条款与合同结构
- 报价明细：是否拆到”人月 / 工时 / 模块”层级，便于资助审计核对。
- 付款节点：建议采用”30-30-30-10”分期（启动 / 中期 / 验收 / 质保），与项目里程碑挂钩。
- 知识产权归属：定制开发的脚本、报告、策略文档，版权归谁？是否允许申请方在内部使用？
- 保密与数据销毁：项目结束后，供应商是否承诺在 N 日内销毁所有客户数据，并提供销毁证明？
- 责任上限与赔偿：网络安全事件一旦发生，赔偿条款如何界定？是封顶于合同金额，还是另有保险兜底？
- 终止权与替换条款：若供应商履约不力，申请方能否在支付合理费用后单方终止，并要求交接给第三方。
三、实操流程：六步走完尽调
以下流程可作为申请 TVP / 易达通 / BUD 等资助时的标准动作：
- 建立候选名单：至少邀请 3 家供应商参与比较，避免单一来源。
- 发放 RFI（信息邀请函）：要求统一格式回复资质、案例、人员、报价框架。
- 公开信息验证：透过公司注册处、行业协会、新闻报道、社交平台交叉验证供应商陈述。
- 现场或视频访谈：与项目经理、首席工程师直接对话，评估沟通质量与技术深度。
- 参考客户回访：抽样联系 1–2 个过往客户，了解交付质量与售后态度。
- 尽调备忘录归档：将所有证据扫描存档，作为资助申请附件的一部分。
四、常见踩坑与避坑建议
| 常见踩坑 | 风险描述 | 避坑建议 |
|---|---|---|
| 选用”朋友公司” | 关联交易易被审计剔除 | 即使有合作意愿，也须保留比价记录与独立第三方评估 |
| 报价一次包死、无明细 | 审计时被要求逐项解释 | 合同必须拆细到工时、模块、单价 |
| 承诺”绝对安全” | 违反广告与资助合规原则 | 改用”基于业内最佳实践”、”持续降低风险”等表述 |
| 使用未授权云端扫描器 | 数据可能出境至欧美云端 | 明确要求扫描器本地化部署或选用香港 / 内地合规云 |
| 无书面数据销毁承诺 | 项目结束后数据残留 | 合同写入销毁条款并附《销毁证明》模板 |
| 人员资质仅为口头陈述 | 审计时无法举证 | 要求提供证书复印件 + 颁发机构查询截图 |
五、与资助申请材料的衔接
多数政府资助表格要求在”采购与招标”章节披露：
- 供应商比价过程（至少 2–3 家）；
- 中选理由（价格、技术、经验、合规等加权评分）；
- 合同草拟本或已签署版本；
- 关联关系声明。
提前完成尽调，意味着这些材料可以”现成取出”，而非临时拼凑，大幅提升审批通过率，也降低后期审计被追补材料的概率。
结语
对中小企业而言，网络安全供应商的尽职调查既是项目风险的”前置防火墙”，也是申请政府资助时的”合规护身符”。把资质核查、合规审视、能力验证、合同条款四件事做扎实，再辅以清晰的比价与归档流程，整套动作既能说服审批方，也能保护企业自身。
香港大全 持续整理香港政府资助、签证、税务与创业相关实用指南，欢迎前往查阅更多专题文章。
常见问答
政府资助项目为什么要专门做网络安全供应商的尽职调查？
政府资助款项属于公共资金，审批与审计部门会重点核查供应商是否具备真实履约能力、报价是否合理、服务与产品来源是否合规、申请方与供应商之间是否存在关联交易，以及交付物能否量化验收。把尽调前置到合同签订之前，是为了实现”花钱有据、验收有据、追责有据”，避免拨款落地后被要求补件甚至撤资助。
中小企业尽调网络安全供应商，应该核查哪些核心维度？
文章建议围绕五大维度展开：公司资质与背景（商业登记证、股东与董事结构、是否涉及诉讼等）、行业资质与认证（如 ISO/IEC 27001、信息安全相关人员认证等，具体以官方最新公布为准）、合规与跨境数据能力（涉及《个人资料（私隐）条例》、跨境数据传输、加密管制等）、技术能力与过往案例（人员认证、可核实客户案例、应急响应 SLA 等），以及商务条款与合同结构（报价明细、付款节点、知识产权、保密与数据销毁、责任上限等）。
内地背景的网络安全供应商参与香港资助项目，需要额外注意什么？
需重点关注合规与跨境数据能力这一维度。若供应商在中国内地或其他司法管辖区设有服务器或团队，应要求其说明数据流向、存储位置与备份策略；若产品含加密模块，还需根据《进出口（战略物品）规例》确认是否需要申请战略物品许可证。此外，应核查供应商是否熟悉相关行业在香港的附加合规义务，并警惕使用未经授权的境外云端扫描器导致的数据出境风险。
怎样把尽调结果与资助申请材料衔接起来？
文章建议在递交资助申请前完成尽调，并把相关证据扫描归档。多数政府资助表格要求在”采购与招标”章节披露供应商比价过程（建议至少 2–3 家）、中选理由（价格、技术、经验、合规等加权评分）、合同草拟本或已签署版本，以及关联关系声明。提前做好尽调意味着这些材料可以”现成取出”，既能提升审批通过率，也能降低后期审计被追补材料的概率。
资助申请中最容易踩坑的地方有哪些？
文章列出几类典型问题：选用关联方供应商易被审计剔除、报价一次包死无明细会被要求逐项解释、宣传中承诺”绝对安全”违反合规原则、使用未授权云端扫描器可能导致数据出境、项目结束后未约定数据销毁导致数据残留，以及人员资质仅为口头陈述而无法举证。规避方式包括保留独立比价记录、合同拆分到工时与模块层级、改用”基于业内最佳实践”等表述、明确要求扫描器本地化或选用合规云、写入数据销毁条款并附《销毁证明》模板，以及要求供应商提供证书复印件与颁发机构查询截图。