作者：刘婧（大成律师事务所合伙人），原文标题：《境外上市监管框架已重置，三重监管哪条都要做到位》，头图来自：视觉中国
2022年开年第一天，《网络安全审查办法》修订稿正式发布，据此，中国企业赴境外上市有了新的网络/数据监管要求。
实际上，真正框定中国企业境外上市的最新监管框架，不仅有上述规章，还有最近三个月来国家发展和改革委员会、商务部、中国证券监督管理委员会、国家互联网信息办公室等十三部门发布的一揽子监管要求。有些监管要求/办法还处于征求意见稿阶段，尚未落地。游戏规则变了，需要马上学习。
前言
近期，中国相关政府监管部门针对境内企业赴境外上市发布了一系列相互配套的规定及征求意见稿，且预计仍有相关规定和/或征求意见稿即将出台。
笔者此前曾撰文从我国现有证券监管角度关于境外上市的基本监管框架进行了总结1。
其中，对于通过小红筹架构（包括直接持股及VIE结构）境外间接上市的中国企业，无论选择在美国或中国香港上市，实践中并不向境内证券主管部门履行审批和/或备案程序。
在实践中比较明确的是，对设立境外特殊目的公司（SPV）持股上市主体的境内居民个人需按规定办理37号文登记，但其他规则的具体适用则在不同程度存在规定与实践之间的理解差异。
近期出台的下述一系列新规和/或征求意见稿，则改变了原有的监管框架与规则。笔者的理解是，这是相关部门对境内企业境外上市的原监管框架从多角度进行了考量和完善。
具体内容如下：
中国证券监督管理委员会（以下简称“证监会”）于2021年12月24日发布的《国务院关于境内企业境外发行证券和上市的管理规定 （草案征求意见稿）》（下称“《境外发行证券和上市规定征求意见稿》”）
证监会于2021年12月24日发布的《境内企业境外发行上市备案管理办法（征求意见稿）》（下称“《境外上市备案管理办法征求意见稿》”）
国家互联网信息办公室（“网信办”）、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、证监会等多部门于2021年12月28日发布的《网络安全审查办法》，将于2022年2月15日生效（2020年4月13日公布并于2020年6月1日生效的《网络安全审查办法》同时废止），此前国家互联网信息办公室于2021年7月10日发布《网络安全审查办法（修订草案征求意见稿）》（下称“《网络安全审查办法征求意见稿》”）
国家互联网信息办公室于2021年11月14日发布的《网络数据安全管理条例（征求意见稿）》
国家发展和改革委员会、商务部于2021年12月27日发布并于2022年1月1日生效的《外商投资准入特别管理措施负面清单（2021年版）》（下称“2021负面清单”），替代此前2020年7月23日生效的《外商投资准入特别管理措施负面清单（2020年版）》（下称“2020负面清单”）
基于现有的规定和/或征求意见稿内容，笔者理解对于红筹架构企业境外上市（落入境内企业赴境外间接上市的范围）的监管要点，可以从证券监管、网络/数据安全监管、行业监管三层面去准确把握。
证券监督管理机构监管要点
红筹架构境外上市明确纳入监管范围。明确将境内企业境外间接（发行）上市纳入监管范围，即前述提及的以民营企业较多选择的“小红筹”结构开展境外上市活动时将直接受到影响，被纳入正面监管的范围；
适用对象为主要业务经营活动在境内的企业。《境外发行证券和上市规定征求意见稿》对于适用对象“限定”为“主要业务经营活动在境内”，但将具体的标准留待证券监督管理机构进一步规定；《境外上市备案管理办法征求意见稿》则明确两项标准——境内企业在集团内的财务数据贡献值（超过50%）以及经营活动与境内强关联（多数高级管理人员是否与中国强关联（中国公民或经常居住于境内）、主要经营活动场所是否位于境内或境内开展业务），但择一适用还是需同时满足尚不确定，且其中仍使用了多数、主要等词语，判断标准仍有待明确，且也同时规定了“兜底条款”（即认定境外间接发行标准应遵循实质重于形式的原则）；
递交境外上市申请后提交备案材料。境内企业应当指定一家主要境内运营实体于境外递交首次公开发行申请文件（于中国香港上市而言，即递交A1申请）后3个工作日内向证监会提交备案材料；
备案申请可能存在的前置程序。备案材料中涉及的（1）行业主管部门监管意见、备案或核准等文件；（2）有关部门出具的安全评估审查意见；（3）境内法律意见书；
备案审核时间可能延长。证监会对于备案材料完备、符合规定要求的将在20个工作日内出具备案通知书，并通过网站公示备案信息，但是如果需补充材料，补充的时间不计算在内；以及若发行人存在《境外发行证券和上市规定征求意见稿》第七条规定的情况，证监会可能征求有关主管部门的意见，时间不计算在内；
备案有效期。备案后有效期为一年；
备案可能被撤销。若上市前发现企业存在《境外发行证券和上市规定征求意见稿》第七条情形，可以要求暂缓或终止境外发行上市，且可以撤销已经完成的备案。
网络及数据安全主管部门监管要点
自2021年7月10日网信办发布《网络安全审查办法（修订草案征求意见稿）》（“7月征求意见稿”），将掌握用户个人信息超过100万的运营者赴国外上市需向网络安全审查办公室申报网络安全审查4引入大众视野起，关于何种情况下需先申报并完成网络安全审查方可赴境外上市引起广泛的讨论。
尽管理解该7月征求意见稿使用了“国外”二字，解读方向为将香港上市排除在该规定适用之外，但倾向于判断对于涉及掌握大量用户个人信息的互联网企业将很有可能面临境外上市前网络安全审查的前置要求。
至2021年11月14日网信办发布的《网络数据安全管理条例（征求意见稿）》，将赴香港上市是否需要前置审查的问题进行了一定程度的阐明：
100万用户个人信息的门槛不适用香港上市：处理一百万人以上个人信息的数据处理者赴国外上市的应申报网络安全审查；
影响或可能影响国家安全的数据处理者赴香港上市，应申报网络安全审查。但是影响或可能影响国家安全的标准并不清晰，有待进一步观察，准备赴香港上市的企业也开始积极梳理数据合规及聘请数据专业律师出具相关的法律意见。
进一步的，网信办等多部门于2021年12月28日正式发布的《网络安全审查办法》（将于2022年2月15日生效）第七条将需网络平台运营者掌握超过100万用户个人信息的申报网络安全审查的对象明确为“赴国外上市”，基于前述理解，该范围不包括“赴香港上市”。
市场上也有诸多分析认为靴子落地——赴港上市企业不再需要进行网络安全审查，笔者认为，已结束征求意见但尚未正式出台的《网络数据安全管理条例》保留关于“影响或可能影响国家安全”或以其他标准或方式覆盖赴香港上市需事先进行网络安全审查情形的可能性仍然存在。
行业主管部门监管要点
如前所述，行业主管部门监管意见、备案或核准等文件是发行人向证监会申请备案的材料之一，但该事项备注为“如适用”，在实操中的适用范围将进一步观察；且若发行人可能存在《管理规定》第七条的情形，证监会将可能主动征求有关主管部门意见。
结合证监会有关负责人答记者问5、近期出台的2021负面清单6以及发改委、商务部答记者问等与境外上市相关的内容，笔者认为：
1. 行业主管部门的意见整体而言将可能成为境外上市的前置程序；
特定行业领域主管部门以制度规则明确要求企业境外上市前履行监管程序的,企业提交备案申请前应当取得主管部门出具的监管意见、备案或核准等文件；
证监会收到备案申请后，将根据需要与有关主管部门加强沟通或征求意见。
2. 对于从事负面清单禁止类业务的境内企业，取得有关主管部门的同意（审核同意境内企业赴境外上市不适用负面清单禁止性规定 ）为境外上市的前置程序。
境外投资者不得参与企业经营管理
境外投资者持股比例参照境外投资者境内证券投资管理有关规定执行7
进一步的，该等内容将VIE架构企业的境外上市前景变得扑朔迷离。
VIE架构在融资（美元融资）以及境外上市的实操中均频繁应用，而使用该等VIE架构的企业大多集中于外商投资限制类或禁止类行业，且香港联合交易所对于“VIE结构”采取“Narrowly Tailored”的原则，即必要情况下（相关业务需为外商投资限制类或禁止类），才可以使用VIE架构。
概括来说，“Narrowly Tailored”原则在操作中可以理解为：（1）上市业务中外商投资限制类或禁止类业务进入或保留在VIE体系；（2）上市业务中外商投资允许类或鼓励类业务进入或保留在搭建红筹架构后的WFOE体系。
对于证监会有关负责人答记者问中提及的“在遵守境内法律法规的前提下，满足合规要求的VIE架构企业备案后可以赴境外上市”未来在实操中的落地，VIE架构企业是否需先取得行业主管部门的同意意见，方可向证监会提交赴境外上市的申请备案，若处于负面清单禁止类行业，需获得主管部门同意“境内企业赴境外上市不适用负面清单禁止性规定”，其可操作性在实操中很难预判。
典型VIE架构示意图
结语
总体而言，将境内企业于境外上市纳入监管范畴亦是应有之义，也将促进境内企业更科学、规范化利用境外资本市场。
尽管前述相关规定的生效版本较相关征求意见稿可能会进一步调整，且相关规定可能进一步陆续出台，但基本已形成证券监督管理机构、网络安全及数据安全管理部门、行业主管部门等并轨监管境外上市活动的框架。
我们也将继续观察相关规定的落地，并跟进解读。
注释：
1.刊载于2021年8月5日大成律师事务所微信公众号（ID：bjdacheng）
2.境内企业间接在境外发行证券或者将其证券在境外上市交易，是指主要业务经营活动在境内的企业，以境外企业的名义，基于境内企业的股权、资产、收益或其他类似权益在境外发行证券或 者将证券在境外上市交易。
3.第七条：存在下列情形之一的，不得境外发行上市: (一)存在国家法律法规和有关规定明确禁止上市融资的情形；(二)经国务院有关主管部门依法审查认定，境外发行上市威胁或危害国家安全的； (三)存在股权、主要资产、核心技术等方面的重大权属纠纷；(四)境内企业及其控股股东、实际控制人最近三年内存在贪污、贿赂、侵占财产、挪用财产或者破坏社会主义市场经济秩序的刑事犯罪，或者因涉嫌犯罪正在被司法机关立案侦查或涉嫌重大违法违规正在被立案调查； (五)董事、监事和高级管理人员最近三年内受到行政处罚且情节严重，或者因涉嫌犯罪正在被司法机关立案侦查或涉嫌重大违法违规正在被立案调查； (六)国务院认定的其他情形。
4.第六条 掌握超过100万用户个人信息的运营者赴国外上市，必须向网络安全审查办公室申报网络安全审查。
5.http://www.csrc.gov.cn/csrc/c100028/c1662240/content.shtml
6.六、从事《外商投资准入负面清单》禁止投资领域业务的境内企业到境外发行股份并上市交易的，应当经国家有关主管部门审核同意，境外投资者不得参与企业经营管理，其持股比例参照境外投资者境内证券投资管理有关规定执行。
7.系指境外投资者通过合格境外机构投资者(QFII)、人民币合格境外机构 投资者(RQFII)、股票市场互联互通机制等投资境内证券市场相关规定。现行规定要求单个境外投资者及其关联人投资比例不超过公司股份总数的10%，所有境外投资者及其关联人投资比例合计不超过公司股份总数的30%。对于从事负面清单禁止领域业务的在境内外同时上市的企业，境外投资者持有同一企业的境内外上市股份合并计算。