三年前，一家做工业软件的中国企业计划收购一家法国同行。在初步接触阶段，法方要求中方提供详细的财务报表、客户名单和核心技术架构文档，作为评估"合作兼容性"的基础。中方负责人觉得对方的态度很诚恳，就把核心数据发了一大半过去。结果法方拿到数据之后明显放慢了谈判节奏，开始用中方的数据去跟另一家潜在的美国收购方谈条件。最终中国企业的核心数据被用来抬高了另一家的报价，自己却被排出了交易。这个故事再一次证明了一个老问题：在海外尽调中，信息披露的节奏比信息本身的价值更关键。
海外尽职调查中敏感信息的分级披露，本质上是一个风险控制策略。收购方或者合作方在尽调过程中需要提供足够的信息让对方做出决策，但同时要避免在关键时刻之前就把全部底牌暴露出去。分级披露的核心就是决定什么信息在什么阶段以什么方式披露给什么级别的人。
信息分级的首要步是自己先做内部评估。把企业拥有的所有信息按敏感程度分成几个等级。最简单实用的分级方式是四级：公开级、内部级、保密级和核心级。公开级的信息谁都可以看，包括产品介绍、公司公开业绩、行业荣誉等。内部级的信息限制在公司内部员工范围内，包括内部管理文档、一般性技术资料等。保密级的信息只限参与项目的特定团队接触，比如具体的财务数据、详细的技术参数和客户合同信息。核心级的信息是企业的最高机密，只有核心决策层和关键技术人员才能掌握，包括源代码、核心配方、成本结构、定价策略和企业战略规划的完整版。
信息的保密分级制度在企业出海之前就应该建立起来，而不是等到了海外尽调开始之后才临时现做。分级制度建立之后，在尽调过程中，按照分级标准来决定哪些信息可以提供给对方。公开级的信息完全开放，内部级的信息签署基本保密协议后开放，保密级的信息在签署严格的保密协议并且有明确的合作意向后才逐步开放，核心级的信息只有在交易接近尾声且双方信任基础非常牢固的时候才能考虑披露。
信息披露还要考虑到对方的身份和权限。尽调团队中的不同成员应该被授予不同的信息访问权限。尽调团队的负责人和核心成员可以接触保密级的信息，普通的尽调人员或者外包的审计人员只能接触内部级及以下的信息。不同角色看到的尽调数据集应该是不同的，这需要数据室支持精细化的权限配置。
在尽调过程中，有一种常见的软性信息泄露方式值得特别注意：回答提问。对方在尽调过程中提出的问题本身就是搜集信息的一种策略。比如他们问"你们公司的客户主要集中在哪个行业"，这个问题看起来是很常规的市场了解，但如果你们的客户信息高度集中在某个特定行业，你们对这个行业的依赖程度和议价能力就等于暴露给了对方。所以在准备尽调问题回答时，不仅要注意答案本身的信息边界，还要注意问题的意图分析和回答策略的设计。
信息加密在披露过程中是首要道防线。所有对外发送的保密级和核心级文件，即使是在有限范围内发送，也应该进行加密。加密的方式可以根据信息的重要程度设置不同级别。最低级别是PDF密码保护，密码通过另外的通讯渠道发送。更高级别是使用专门的加密文档管理系统，文件在用户设备上实时解密但无法保存副本，关闭后自动从缓存中清除。高级别是使用数字权限管理系统，对文档的每一个操作都进行追踪和控制。
信息水印是第二道防线。每一份对外披露的文件都打上接收方信息的数字水印，可以是明水印直接在页面上显示接收方的公司名和日期，也可以是暗水印隐藏在文档中肉眼不可见但可以通过软件提取。水印的作用不是防泄漏，而是溯源。泄密事件发生后能迅速定位到泄密源头，这个威慑作用本身就能有效降低泄密的概率。
信息的回收机制也不能忘记。尽调过程中，如果合作中断或者交易失败，需要确保之前披露的所有敏感信息都能被回收或者销毁。保密协议中应该明确约定信息回收的流程和时限，以及如果对方拒绝或者拖延履行信息回收义务的违约责任。信息回收的执行需要记录和验证，不能只靠对方的口头承诺。
信息分级披露的整体策略用一个简单的原则来概括就是：能不给就不给，不能不给的晚点给，必须给的只给最小必要量，给了之后能够追踪和回收。这个原则看起来很简单，但在实际的尽调过程中，因为谈判压力、人际关系和对交易的渴望，很容易被突破。所以在启动海外尽调之前，把信息分级的标准和披露流程提前定好，再找一个懂安全的人全程盯住执行，这个策略才能真正落地。
