美国投资人网络安全尽职调查：中国 SaaS 从 Term Sheet 到 Close 的 8 周通关手册
Alexander Sverdlov
高级安全顾问
本文要点
- 投资人的网络安全尽调 跟美国客户的 TPRM 不是一回事。客户问的是「你会不会泄露我的数据」，投资人问的是「你身上有没有让我估值打折的隐藏负债」
- 美元基金通常委托三家事务所之一执行：Kroll、Stroz Friedberg、Mandiant。每一家都有自己的清单格式，但都围绕 5 个核心视角展开
- 网络安全尽调的常见结果不是「通过/不通过」，而是 估值下调、Escrow 比例提高、或新增 Reps & Warranties。一个未披露的事件可能让 close 价格下调 5 至 12%
- 6 个最常见的「红旗」：未加密的生产数据库、代码仓库里的密钥、未披露的历史事件、缺少美国主体隔离、创始人账号无 MFA、SOC 2 没有时间表
- 中国 SaaS 在美元基金尽调里有一个特殊维度：地缘政治风险评估。CFIUS、实体清单暴露、数据出境合规都会被单独评估
- 从 Term Sheet 到 Close 通常 6 至 10 周。如果在 Term Sheet 之前就有「投资人就绪态」（investor-ready posture），整个过程可以压缩到 4 周
2026 年 2 月的一个周一，上海一家做企业级 AI 数据治理的 SaaS 公司创始人发来微信：他们刚拿到一家 Tier-1 美元基金的 Term Sheet，B 轮领投，pre-money USD 1.8 亿，董事会席位、参与权、Pay-to-Play 条款都谈妥了。问题是 Term Sheet 第 8 页有一行：「Closing conditional on satisfactory completion of cybersecurity due diligence by Investor-selected third party」。这家「第三方」是 Kroll，估值已锁，时间表写死，21 天内必须完成。
他们之前过过一次美国客户的 SIG 问卷，但这次完全不同。Kroll 的清单第一页就要求提供：过去 36 个月的所有安全事件清单（含未对外披露的）、所有代码仓库的访问日志、创始人和高管的个人邮箱使用记录、CTO 私人 GitHub 账号的安全设置、子公司间的资金和数据流向图。微信对话最后一句是：「这个尺度我们没见过。请帮忙。」
21 天后他们如期 close。估值没有下调，新增了三条 Reps & Warranties，Escrow 比例从 8% 调整到 10%。融资 USD 4500 万到账，比原计划晚 4 天。下面是这套打法。
第一步
投资人尽调与客户尽调：你以为差不多，其实完全不同
很多中国 SaaS 创始人第一次面对投资人侧的网络安全尽调，会把它当成「再过一次客户的 SIG 问卷」处理。这是最大的误区。客户和投资人想看的根本不是同一件事：客户在乎你能不能保护他们的数据；投资人在乎你身上有没有未披露的负债、能不能在 5 年后退出、退出时这家公司的「数字资产」是不是干净的。下面这张表是 14 家客户走过来后总结的核心差异：
这个差异在中国 SaaS 这边经常被低估。客户尽调失败的成本是丢一个合同，最多 10% 的年度收入；投资人尽调失败的成本是估值打折、Escrow 拉高、或者干脆撤回 Term Sheet 重新谈。同样是 247 道题，背后的资金风险差一个数量级。
另一个常被忽略的点：投资人侧的尽调发现的问题，会写进 Disclosure Schedule。这是交易文件的一部分，永久保存，未来的 acquirer、IPO 承销商、二级市场尽调都能看到。客户问卷答错了下次重做就行；Disclosure Schedule 错了，是你公司估值的一部分。
第二步
美元基金评估网络风险的 5 个视角
不管尽调清单看起来多复杂（247 题、328 题或 412 题），背后都是同一套 5 个视角。Kroll、Stroz Friedberg、Mandiant 三家执行机构的清单 80% 重合，差异主要在权重。理解这 5 个视角，你就能预判他们要问什么，提前把答案准备到 90% 完成。
视角 5 是中国 SaaS 创始人最容易忽略的。美元基金做完公司层面的尽调，会单独看 创始人与核心高管的个人安全态势：你的私人邮箱有没有被列在过往泄露库里、你的手机号 SIM 卡有没有被换过、你的 GitHub 私有仓库 token 在哪、你过去 12 个月去过哪些会议（地缘政治敏感）、你的家人有没有公职身份。这些都不会出现在最终报告的「公司风险」段落里，但会进入投资委员会内部备忘录的「关键人物风险」（Key Person Risk）部分。一个 14 个客户里的真实案例：创始人的个人 Gmail 在过往一次大规模 LinkedIn 泄露事件里出现，且账号长期没有开 MFA。这一项让 Term Sheet 多了一条 Key Person 保险条款，年保费 USD 18,000。
第三步
从 Term Sheet 到 Close 的 4 个阶段
绝大部分中国 SaaS 在 Term Sheet 签字那一刻才知道有网络安全尽调这件事，已经晚了 4 周。下面是一个完整的 6 至 10 周时间轴，标出每一周你需要做什么、对方在做什么、风险点在哪里：
注意第 5-6 周的风险点：访谈内容必须和 VDR 里的文档一致。一个常见的失败模式是 CTO 在访谈里随口说「我们去年 8 月被攻击过一次但很小没什么影响」，而 VDR 里的事件清单没有这一条。从那一刻起，所有未披露问题都被假定为「故意隐瞒」，红旗清单从 8 条扩展到 25 条，close 推迟 3 周。提前做内部 mock 访谈、对齐口径，是这 90 分钟谈话能省下数百万美元估值的关键。
第四步
让估值打折的 6 个红旗发现
14 家客户的尽调里，我们看到的「Material Findings」高度重复。下面这 6 个是出现频率最高、且实际影响估值或交易条款的发现。每一项都标了真实的估值影响区间（实际 close 之后我们能验证的）：
这 6 项里最危险的是红旗 3（未披露事件）。前 5 项都是「整改 + 在 Disclosure Schedule 里披露」就能 close。红旗 3 一旦被发现，触发的不是「再披露一下」，而是 对你方所有其他披露内容信任度的全面重估。我们见过的 1 个真实案例：一家 SaaS 公司隐瞒了 18 个月前的一次内部钓鱼事件（实际损失 USD 12,000，几乎可以忽略），结果 Term Sheet 直接撤回，6 个月内再无任何美元基金愿意启动尽调。
关键原则：宁可披露，不可隐瞒
所有过去 36 个月的事件，不管多小、不管是否对外披露过、不管根因是否已解决，都要主动列在 Disclosure Schedule 里。一份完整、坦诚的事件清单比一份零事件的清单更有说服力。投资人不期待你「没出过事」，他们期待你「知道发生了什么并处理过」。
第五步
陈述担保（Reps & Warranties）与披露表的实操
尽调结束后，所有发现会反映到两个法律文件里：Reps & Warranties（陈述与担保）和 Disclosure Schedule（披露表）。这两个文件中国创始人最容易忽略，但它们对未来 5 年的影响比尽调本身更大。下面是 14 家客户最常出现的 5 类网络安全相关条款及谈判技巧：
| 条款类型 | 基金标准模板说法 | 谈判杠杆点 |
|---|---|---|
| 网络安全合规担保 | 「公司在所有重大方面遵守所有适用的网络安全和数据保护法律」 | 加上「to the Knowledge of the Company」（公司知情范围内）以及具体列举适用法律（PIPL、DSL、CCPA、GDPR），不留无限兜底 |
| 无事件担保 | 「过去 X 年内未发生任何数据泄露、安全事件或未授权访问」 | 把 X 谈到 24 个月（基金一般要 36-60），且加上「Material」限定词。所有小事件统一列在 Disclosure Schedule 排除 |
| SOC 2 / 认证维护担保 | 「公司将在 close 后 X 个月内取得并持续维护 SOC 2 Type 2 报告」 | 争取「Commercially Reasonable Efforts」（商业合理努力），而非「Best Efforts」。X 谈到 12-15 个月起步 |
| 通知义务 | 「公司须在发现任何 Material 事件后 24 小时内通知投资人」 | 争取 72 小时（与 GDPR 对齐），且明确「Material」阈值，例如「影响 X 美元以上收入或 Y 个客户」 |
| Escrow 与赔偿上限 | 「网络安全相关索赔不受赔偿上限限制」 | 这一条务必反对。争取至少把上限定在融资金额的 25%，且时效 24 个月。无限上限 = 创始人永久个人责任 |
关于 Disclosure Schedule：每一条 Reps & Warranties 都应该有对应的披露条目，哪怕是「无」。14 家客户里有 2 家的失误是「这条没什么好披露的，留空吧」，结果 4 年后发生事件时投资人主张这是 Material Misrepresentation（重大不实陈述），赔偿索赔 USD 600,000。正确的做法是写「截至 Closing Date，本担保事项不存在需披露事项」并签字日期。
第六步
投资人就绪态：8 周打造永久 ready
这一节的目标比单次过尽调更重要。如果你只是临时凑齐答案过这一轮，下一轮（C 轮、D 轮、Pre-IPO、M&A）还要重做一遍。投资人就绪态（Investor-Ready Posture）的核心是：建立一套维护成本低、所有未来融资都能直接调用的网络安全档案。
14 家客户里有 5 家在我们的协助下完成了投资人就绪态搭建，平均维护成本约 USD 12,000 每年（含工具订阅、外部年度审计、文档更新）。她们的下一轮融资里，网络安全尽调从平均 9 周压缩到 4 周，而且没有任何一家出现估值因为安全问题打折的情况。最快的一家公司，C 轮的整套网络安全尽调只用了 18 天。
Atlant Security 如何帮你
中国 SaaS 融资尽调的全流程辅助
我们和美国主流 VC、Tier-1 美元基金的尽调流程对接经验来自 14 家中国 SaaS 客户的真实融资项目。从 Term Sheet 解读、VDR 搭建、Kroll/Stroz 清单逐题回复、管理层模拟访谈、Reps & Warranties 谈判支持、到 Disclosure Schedule 整理，全程中文沟通，按美元基金的语言交付。
- 融资尽调专项支持，USD 35,000 起（按融资金额线性递增到 0.5%）
- 4-10 周交付，含红旗清单预演与 Reps 谈判咨询
- 投资人就绪态搭建（8 周）USD 48,000 起，含下一轮免费咨询
- Kroll / Stroz Friedberg / Mandiant 三家清单内部映射库
- 融资 close 后付款（首付 30% 启动）
常见问题
中国 SaaS 创始人关于投资人尽调的高频问题
A 轮和种子轮也会做这么严的网络安全尽调吗？
通常不会。种子轮和 A 轮的网络安全尽调一般是 30-60 题的简化版，由基金内部 PM 而不是外部事务所执行。从 B 轮 USD 1500 万以上开始，外部事务所介入概率显著上升。C 轮以后几乎 100% 会有第三方尽调。如果你预计未来 18 个月内做 B 轮或更后，建议现在就开始投资人就绪态搭建，避免到时候手忙脚乱。
美元基金对中国 SaaS 有「特殊」尽调维度吗？
有。除了通用的 5 个视角，美元基金还会额外评估 3 项：第一，CFIUS 暴露评估（如果美国客户里有政府承包商、关键基础设施企业）；第二，实体清单关联性（你的供应商、技术许可方、投资人方向有没有被列实体清单的关联）；第三，数据出境合规（PIPL 标准合同、出境安全评估的状态）。这三项在客户尽调里基本不会被问，但投资人会单独花一个工作日评估。
尽调过程中能不能拒绝某些问题？
能，但要懂得怎么拒绝。直接说「不回答」会被记为 Adverse Finding。正确的做法是用 PIPL / DSL 作为理由：「该问题涉及境内个人信息的境外披露，按 PIPL 第 38 条需要先完成出境安全评估或标准合同备案。我们正在按程序办理，期间能提供经过聚合脱敏的数据。」14 家客户里 3 家用过这套话术，全部被接受。关键是「不是不愿，是有法律程序」而非「不想给」。
网络保险（Cyber Insurance）一定要买吗？
B 轮以后基本是必备。美元基金的 Term Sheet 里 70% 会要求 close 后 30 至 60 天内有 USD 1 至 5 百万的网络保险。中国 SaaS 可以通过两条路径买：第一，香港或新加坡的国际经纪商（AIG、Chubb、Tokio Marine），保费 USD 8,000 至 18,000 起；第二，平安、太保的网络风险险种，保费略低但需要确认境外赔付条款。建议走路径一，因为投资人方更熟悉这些保单条款。
尽调延期会不会影响 Term Sheet 锁的估值？
通常 Term Sheet 里有 Exclusivity 条款（独家谈判期），一般 60-90 天。在这个窗口内 close，估值锁定；超过窗口，估值需要重新确认。如果尽调中出现红旗导致延期，基金会主张「这是公司过错」，重新打开估值谈判的概率显著上升。所以尽调启动后第一周内就应该识别所有潜在红旗，主动披露并提供整改时间表，把决定权握在你手里，而不是让事务所「发现」。
融资 close 之后还会有持续的安全义务吗？
会，主要在三个层面。第一，Reps & Warranties 里的「持续义务」条款，例如每年的 SOC 2 续期、每季度的安全评分维护、Material 事件的 72 小时通知。第二，董事会层面的网络安全报告，通常一季度或半年度一次。第三，未来轮次的「就绪态更新」：每次新一轮融资都会再做一次尽调，原始 Disclosure Schedule 是基线。这就是为什么本文一直强调建立「永久投资人就绪态」，而不是「这一轮过关」。
投资人网络安全尽调不是一个临时任务，是中国 SaaS 公司估值的一部分。它定义了创始人在未来 5 至 7 年里的个人责任边界、定义了公司退出时的清洁度、也定义了下一轮融资的速度。14 家客户里跑过完整流程的 11 家，平均给我们反馈的一句话是：「早 6 个月开始准备，能多卖 8% 的估值。」这不是营销话术，是 cap table 上的真实数字。
如果你现在已经收到 Term Sheet，下一步是先把这份 Term Sheet 第 8 页之后的所有 Closing Conditions 仔细读一遍，把所有提到「security」「cyber」「data」「representation」的条款挑出来，然后用本文图 3 的时间轴反推每一周该做什么。如果你还没有 Term Sheet，但预计 12 至 18 个月内会有，现在就开始 8 周的就绪态搭建：第一笔成本 USD 48,000，会在下一次融资里以「Close 时间减少 5 周 + 估值不打折」的方式回本数倍。
想聊聊你公司的具体情况？预约 30 分钟咨询，或直接发邮件给 alexander@atlantsecurity.com。
Alexander Sverdlov
Atlant Security 创始人，两本信息安全著作的作者，亚洲最大网络安全会议演讲嘉宾， 联合国会议小组成员，前微软安全咨询团队成员，前阿联酋核能公司外部网络安全顾问。