跨境并购中目标公司员工恶意泄露技术尽调报告

二零二一年六月，一家上海的生物医药上市公司正在收购德国一家拥有独家生物反应器技术的家族企业。收购价格估算在八千万欧元左右，双方已经完成了初步意向书的签署，进入了为期两个月的技术尽职调查阶段。按照协议安排，上海公司派出了一支由六名技术专家和两名法务人员组成的尽调团队，飞赴德国对目标公司进行现场尽调和资料审核。

尽调团队在德方的配合下逐一核查了生物反应器的技术文档、实验记录、专利档案和质量控制体系。整个过程中，上海公司对涉密信息的管理非常严格，尽调文件在酒店和会议室之间均使用加密硬盘传输，每天晚上由专人锁入酒店的保险柜。然而就在尽调工作接近尾声时，一名德国本地的技术人员在未经授权的情况下，将尽调团队提交的一份技术评估预报告拍照后发送给了自己的私人邮箱，并将照片内容转发给了上海公司的一家国内竞争对手。

这名技术人员在目标公司工作超过十年，是生物反应器控制系统的开发骨干。按照原计划，并购完成后他将继续留任并享受新公司的股权激励。但他私下对上海公司的技术能力持怀疑态度，担心并购后公司的研发方向被中国团队主导，自己多年的技术成果会被忽视。在一次和国内竞争对手的线上交流中，对方暗示可以为他提供更好的职业发展机会，条件是需要一些"技术资料作为参考"。他于是利用自己在目标公司的系统权限，将尽调期间向上海团队展示的技术资料和在会议室角落拍摄的尽调评估报告照片，一并收集后发给了对方。

这件事的暴露过程其实非常偶然。国内竞争对手的一名商务人员在向客户推广产品时，引用了不该引用的一条技术数据，而那条数据恰好与上海公司尽调报告中记录的德方技术参数高度吻合。上海公司的项目负责人得知这条信息后立即警觉，启动了紧急内部调查。通过对邮件系统和会议室附近Wi-Fi接入日志的追溯，最终锁定了那名德方技术人员在尽调期间的非正常数据访问行为。

跨境并购的信息安全挑战在于，交易的执行涉及不同国家的司法管辖区和不同的法律环境，调查取证和人员追责的难度远高于国内案件。那台用于发送邮件的个人邮箱服务器注册在海外，邮件的接收方也在国内，数据流转路径跨越了多个司法管辖区。上海公司的法务团队花了近四个月的时间，才通过德国当地律师和法院取得了初步的证据保全。而那家获得信息的国内竞争对手在被约谈后虽然承诺删除相关资料，但已经消化利用的技术情报就像泼出去的水，不可能再完全收回了。

这起事件让上海公司重新审视了自己在跨境并购中的信息安全管理策略。尽调过程中提供给目标公司的技术评估和部分分析的脱敏处理，是降低信息泄露风险的一个重要手段。在跨境并购的尽调阶段，所有提供给目标公司或第三方的评估文件中，涉及收购方自身技术能力、商业策略和估值判断的核心内容，应当提前做脱敏处理。评估报告可以采用分段管理的方式，技术结论和商业结论分开撰写，即使某一部分被泄露，也不至于让对方掌握完整的收购决策逻辑。

北京企密安在服务跨境并购客户时，还会特别提醒收购方注意目标公司内部人员的情绪和动机管理。尽调过程中外国团队对收购方的排斥或怀疑情绪是客观存在的，如果不加以引导和管理，就可能转化为主动或被动的信息泄露行为。在尽调团队进驻之前，通过与目标公司管理层做好沟通，让关键技术人员了解并购后的职业发展路径和利益保障方案，可以在一定程度上减少因人员情绪波动引发的信息安全事件。