上市公司收到证券监管部门或者证券交易所的问询后，往往会遇到一个现实问题：监管要求充分说明情况，但拟回复的技术参数、客户信息、供应商信息、成本结构、报价体系、研发进展等内容，本身又可能属于公司的商业秘密。
这并不是简单的“披露还是不披露”问题。
正确的处理逻辑应当是：监管问询必须认真、真实、准确、完整地回应；与此同时，对确实符合商业秘密或者保密商务信息条件的内容，应当依据现行信息披露规则采取暂缓、豁免、代称、汇总概括或者隐去关键信息等合规方式处理。
2025年7月1日起施行的中国证监会《上市公司信息披露暂缓与豁免管理规定》，已经对此建立了统一的制度框架。该规定明确将商业秘密或者保密商务信息纳入可以依法暂缓、豁免披露的范围，并规定了相应的处理方式、内部审核和登记管理要求。
因此，上市公司面对监管问询时，既不能简单地说“这是商业秘密，所以不回答”，也不宜为了证明自己“充分回复”，把本来没有必要公开的核心技术和经营敏感信息全部披露出去。
一、先解决一个基本问题：商业秘密不是拒绝回复问询的通行证
监管问询是资本市场信息披露监管的重要机制。监管机构或者证券交易所通过问询，要求上市公司对特定事项进行说明、补充、核实或者澄清。
因此，公司首先应当回答的是：
监管机构究竟在关注什么事实？
例如监管关注某项新技术是否已经产业化，核心问题可能是技术是否真实存在、是否达到相关阶段、是否已经产生收入以及对公司经营是否构成重大影响。
此时，公司不能简单以“涉及核心技术秘密”为由完全回避这些问题。
但是，回答上述问题，也不意味着必须进一步公开完整技术方案、工艺参数、源代码、配方、设备参数或者其他足以使竞争对手复制技术的信息。
这实际上形成了监管问询回复中非常重要的一条边界：
应当充分回答监管真正需要核实的事实，但不应无边界扩大敏感信息的公开范围。
也就是说，商业秘密保护不能成为规避信息披露义务的工具；信息披露义务同样不意味着企业必须主动公开所有商业秘密。
二、现行规则已经建立商业秘密暂缓和豁免披露制度
中国证监会发布的《上市公司信息披露暂缓与豁免管理规定》自2025年7月1日起施行。
根据证监会公开说明，《规定》将可以暂缓或者豁免披露的信息主要划分为两类：一类涉及国家秘密或者其他公开后可能违反国家保密规定、管理要求的信息；另一类涉及商业秘密或者保密商务信息。
制度设计并不是简单的“公开”与“不公开”二选一，而是提供了不同层级的处理工具，包括：
豁免按时披露临时报告，即符合条件情况下暂缓披露；
豁免披露临时报告；
对定期报告、临时报告中的特定敏感内容，可以依法采用代称、汇总概括、隐去关键信息等方式处理。
这一点对监管问询回复尤其重要。
很多情况下，公司真正需要保护的并不是“整个事项”，而只是事项中的若干敏感字段。
例如监管需要了解公司前五大客户集中度，并不当然意味着每一种情况下都必须把涉及商业秘密的交易安排、内部价格政策、技术接口、采购条件等全部展开披露。
因此，实务中的重点应当从：
“这个问题能不能不回答？”
转变为：
“监管需要确认哪些核心事实，其中哪些敏感内容符合规则规定的暂缓或者豁免条件，应当采用什么合规方式处理？”
三、哪些信息应当重点进行商业秘密识别？
收到监管问询后，公司不宜直接由证券事务人员单独起草回复，而应先对问询涉及的信息进行一次敏感性识别。
特别应当关注几类内容：
技术类信息，例如尚未公开的技术路线、研发参数、算法、配方、工艺流程、产品架构、源代码以及技术诀窍。
客户及供应商信息，例如未公开的重要客户名称、供应商名称、采购关系、供应链结构、采购数量及合作条件。
价格与成本信息，例如成本结构、采购底价、销售折扣、报价规则、毛利形成机制以及尚未公开的商务条件。
战略经营信息，例如未公开的市场进入计划、研发规划、产能安排、投标策略以及重大商务谈判。
第三方商业秘密，尤其需要重视。上市公司掌握的信息并不全部属于自己的商业秘密，其中可能包括客户、供应商、合作伙伴依据合同或者法律要求公司承担保密义务的信息。
所以，对监管问询进行商业秘密审查，不能只问一句：
“这是不是我们公司的秘密？”
还需要进一步判断：
披露这项信息是否会侵犯客户、供应商或者其他合作方依法受到保护的商业利益。
四、不要把“商业秘密豁免”理解成自动不披露
这是实践中容易出现的误区。
某项信息在企业内部被标记为“机密”“核心机密”，并不意味着它在上市公司信息披露规则下当然可以不披露。
公司需要根据适用规则判断：该信息是否确实属于可以暂缓或者豁免披露的商业秘密或者保密商务信息，公开后可能造成什么影响，采取何种处理方式，以及相应条件是否持续存在。
现行制度同时强调上市公司的主体责任。证监会要求上市公司建立信息披露暂缓与豁免制度，明确内部审核程序，并对相关事项实施登记管理和材料报送。
以上交所科创板现行规范运作指引为例，规则进一步要求公司建立内部审核程序；暂缓、豁免事项应履行内部审核程序，并由董事会秘书进行登记管理。对于涉及商业秘密或者保密商务信息的事项，还应登记认定理由、可能产生的影响、内幕信息知情人等相关信息。
因此，公司真正需要建立的不是一个简单的“保密申请表”，而是一条能够留痕和复核的判断链条：
问询事项 → 必须回答的核心事实 → 涉敏信息识别 → 商业秘密认定依据 → 披露影响分析→ 暂缓/豁免条件判断 → 回复方式 → 内部审批 → 登记归档。
五、问询回复最好建立跨部门审核机制
监管问询回复同时涉及证券监管、公司业务和商业秘密保护，仅由单一部门处理容易产生偏差。
比较稳妥的机制是由信息披露事务相关岗位统筹，业务部门负责事实核验和技术解释，法务部门负责法律属性和保密边界审查，必要时由证券律师、保荐机构等专业中介参与判断，并由董事会秘书按照适用规则履行相应职责。
特别是技术类上市公司，一个数据对证券人员而言可能只是普通经营数据，对研发人员而言却可能直接暴露工艺能力；一个客户名称对业务人员看起来很普通，与采购数量、产品型号、单价等信息组合后，却可能暴露企业的重要供应链结构。
因此，商业秘密识别不能脱离具体业务场景。
六、回复文本应掌握“充分回答、必要披露”的尺度
监管问询回复的核心目标不是“少说”，而是准确回答监管问题，同时控制与监管目的无关的敏感信息扩散。
对于必须披露的信息，应当做到真实、准确、完整并且能够验证。
对于符合规则条件的敏感内容，则可以根据具体情况研究采用概括说明、汇总数据、代称或者隐去关键信息等方式。
例如，可以说明某项核心技术已经完成研发并进入特定验证阶段，同时通过必要的事实、数据和第三方证据证明这一结论；但是否需要进一步公开能够直接复制该项技术的完整工艺参数，则应依据问询要求和适用的信息披露规则具体判断。
这比简单写一句“因涉及商业秘密不便披露”更加规范。
同样，也不宜为了显得回复“充分”，主动增加监管问题没有要求、投资者作出判断并不需要、却会明显增加商业秘密泄露风险的大量技术或者商务细节。
七、问询回复本身也需要进行全过程保密管理
商业秘密保护不能只盯着最终公告。
在问询函回复形成之前，内部往往已经产生大量比最终公开文本更加敏感的材料，包括客户明细、合同、技术参数、研发资料、供应商名单、底价、财务测算表以及多轮回复草稿。
这些材料在业务部门、证券部门、法务部门以及外部中介之间反复流转，本身就是商业秘密泄露的风险点。
因此，公司应当控制知悉范围和文件权限，对敏感底稿进行分类管理，并保留必要的流转、审核和版本记录。
尤其是在重大交易、重大研发成果、并购重组等敏感期间，还需要同时考虑内幕信息管理要求，不能出现“正式公告保护了商业秘密，内部起草过程中反而把信息扩散出去”的情况。
八、发现披露边界存在争议时，应尽早进行专业判断
实践中最困难的往往不是明显可以公开或者明显应当保护的信息，而是处于两者之间的内容。
例如：
监管要求说明主要客户变化原因，但客户合同存在保密条款；
监管要求解释毛利率明显变化，公司需要说明成本结构，但详细成本数据属于竞争敏感信息；
监管要求说明技术先进性，但进一步展开可能暴露核心工艺；
监管要求披露供应链情况，但供应商名称及采购条件可能属于公司或者第三方商业秘密。
这类问题不宜等到公告文本已经形成后再进行“删敏感词”。
更合理的方法是在收到问询函以后，就同步开展监管回复分析和商业秘密审查，尽早确定事实披露范围以及需要采取特殊处理的内容。
对于复杂事项，还应结合公司具体上市板块、问询性质和适用规则，由证券法律专业人士进行审核。
九、企业真正需要建立的是一套制度，而不是临时应对一次问询
商业秘密与信息披露发生冲突并不是偶发问题。
上市公司在定期报告、重大交易、投资者关系活动、业绩说明会、监管问询、媒体采访以及重大合同披露中，都可能反复遇到类似问题。
因此，更成熟的做法，是把商业秘密保护纳入上市公司信息披露内部控制体系，提前建立：
商业秘密识别标准、信息披露敏感事项清单、暂缓与豁免内部审核程序、登记台账、知情人管理、第三方秘密保护机制以及事后复核制度。
这样，公司面对监管问询时，就不需要临时讨论“这个客户能不能写”“这个技术参数能不能公开”，而是能够依据既定制度进行判断。
证监会2025年出台统一的暂缓与豁免管理规定，本身也体现了监管思路的变化：商业秘密保护并非信息披露制度之外的问题，而应当成为上市公司规范信息披露管理的一部分。
结语
上市公司回复监管问询时，真正需要解决的并不是“监管披露”和“商业秘密保护”谁优先的问题，而是如何依法完成两种义务之间的衔接。
一方面，不能借“商业秘密”之名回避监管关注的核心事实，更不能提供虚假、不准确或者具有误导性的回复；另一方面，也没有必要因为收到监管问询，就无边界公开核心技术、客户资源、供应链结构和其他具有竞争价值的信息。
比较稳妥的原则可以概括为：
核心事实充分回应，敏感信息逐项识别；符合条件依法处理，内部程序完整留痕。
对于上市公司而言，商业秘密保护做得好，不是“尽量少披露”，而是知道什么依法必须披露、什么依法可以保护，以及采用什么方式保护才符合证券监管规则。
常见问题
问：涉及商业秘密的内容是不是可以直接不回复？
不是。首先应判断监管问询要求核实的核心事实以及公司的信息披露义务，再依据现行规则判断其中具体敏感信息是否符合暂缓或者豁免条件，不能仅以“属于商业秘密”为由笼统拒绝回答。
问：商业秘密只能采取完全不披露的方式吗？
不是。现行制度还允许在符合条件的情况下采用代称、汇总概括、隐去关键信息等处理方式，因此应当根据具体信息选择适当方式。
问：公司内部由谁负责判断？
通常需要信息披露、法务和具体业务部门共同参与，并由董事会秘书按照公司适用的证券监管及交易所规则履行相应职责。复杂事项宜由证券律师、保荐机构等专业中介参与审核。
