2024中国企业国际化进程中的数字风险洞察报告

中国企业国际化进程中的数字风险洞察报告 华信咨询设计研究院有限公司2024年1月 版权声明 本报告版权属于华信咨询设计研究院有限公司，并受法律保护。转载、摘编或利用其他方式使用本报告文字或者观点的，应注明“来源：华信咨询设计研究院有限公司”。违反上述声明者，本公司将追究其相关法律责任。 前言 近年来，中国企业国际化进程加快，业务多元化趋势显著，各类型企业积极发掘国际市场机会。但同时，全球地缘政治竞争深入数字领域，数字博弈成为大国竞争常态，数字相关的风险在全球范围内迅速传播，对企业可持续经营造成较大的影响。在这一背景下，强化数字风险意识，提升数字风险防控水平，对于中国企业在国际化进程中实现可持续发展至关重要。 数字风险的多样性和复杂性，使得对其进行系统研究成为必要，但目前对数字风险的理论研究仍在探索中，对概念和分类尚未达成共识。通过对已有文献的广泛梳理，我们梳理了来自学术界和业界的最新见解，提出了企业国际化数字风险的分类体系，选取了三家中国企业作为研究标杆，调研梳理其应对数字风险的典型做法。最后，报告就如何提高企业在数字化国际化进程中应对数字风险的能力提出建议。我们期待通过这份报告为业界、学术界以及政策制定者提供分析、应对数字风险的视角和启示，共同推动中国企业在国际市场上的可持续发展。 目录 前言 一、研究背景1 (一)中国企业国际化进程加快1 (二)数字博弈成为大国竞争常态2 (三)数字风险成为中国企业国际化进程中的重要挑战.3(四)对数字风险的理论研究与实践应对尚不成熟4 二、中国企业国际化进程中数字风险的分类5 (一)外部环境相关数字风险5 1.数字监管风险5 2.数据法规风险8 (二)企业经营相关数字风险8 1.数字合规制度风险8 2.数字素养能力风险10 (三)技术应用相关数字风险11 1.数字基础设施风险11 2.数据信息安全风险12 三、中国企业应对国际化进程中数字风险的实践经验15 (一)华为：强化数字风险防控组织保障15 (二)阿里巴巴：建设数据隐私及网安防护体系17 (三)吉利：健全业务合规管理体系19 四、提高中国企业数字风险应对能力的建议22 (一)强化公共关系管理，营造友好经营环境22 (二)提升经营管理水平，加强数字风险管控22 (三)培育人员数字能力，规避数字风险漏洞24 (四)关注信息安全保障，构建数字风险壁垒25 一、研究背景 (一)中国企业国际化进程加快 中国对外开放水平不断提升，多项国家政策引领企业出海。自2001年，中国共产党第十五届五中全会正式提出实施“走出去”战略，标志着中国鼓励性对外投资政策 的形成1。2013年提出的“一带一路”战略持续引导中国企业出海。2022年中央经济工作会议提出，坚持推进高水平对外开放是2023年经济工作的重点任务之一2。 在自身经营需求的驱使下，中国企业积极开拓海外市 场。中国加入世贸组织后，国内竞争日益国际化，竞争空前激烈，迫使部分企业将目光投向国外市场，通过开展跨 国经营和海外投资在国际市场上占有一席之地3。随着中国经济的快速崛起，越来越多的中国企业开始关注全球市场，大型企业及中小型企业都积极寻求跨国经营和海外投资的机会。 中国企业的出海战略更加多元化。在过去，企业主要 以资源获取为核心目标，而如今更注重技术创新、品牌建设和市场拓展，积极参与沿线国家的基础设施建设、贸易合作和文化交流，形成全球化发展的新格局。实践证明，在全球化竞争中，一些中国企业已经成功实现国际品牌的 1 塑造，树立了良好的企业形象，为更深层次的全球合作奠定了基础。 图12008年-2022年中国对外直接投资流量（亿美元） 素材来源：开源信息整理 (二)数字博弈成为大国竞争常态 党的二十大报告指出，当前正处于世界百年未有之大变局之中。国际局势的变动主要体现为以中美博弈为代表的大国竞争，这一竞争涵盖了经济、科技等多个领域，深刻改变着全球地缘政治格局。中美之间的贸易争端潜在引发全球供应链的断裂和重新配置，给国际经济体系带来了巨大冲击。全球经济竞争也在科技创新、产业链布局等方面呈现出激烈的态势，尤其在人工智能、6G、量子计算等领域更为突出，主要表现在如下两个方面：首先，各国纷 纷投入巨额资金用于前沿数字技术的研发和应用，以保持领先地位。其次，数字博弈已逐步扩展至网络安全、全球舆情等多个层面，部分国家通过网络攻击、信息操纵等手段，试图在国际舆论场上占据主导地位，推动自身价值观 和利益。再者，大国间数字博弈所带来的技术差距将进一步拉大数字鸿沟4，一些国家可能因为缺乏相应的技术基础和资源而被边缘化。 (三)数字风险成为中国企业国际化进程中的重要挑战 全球数字化浪潮给风险的内涵和传播方式赋予了新的特征。全球数字经济增长速度快、发展潜力大，日益成为各国经济发展的重要动能和国民经济的重要支柱5。在此 种背景下，风险的内涵和传播方式都发生了很大变化：与数字化因素强关联的风险将更快地在全球范围内传播蔓延，且将带来更多不确定性。 数字风险在全球范围内的传播更为迅速。全球数字环 境互联互通的现状使得一个国家或组织的风险迅速传播到其他地区，例如某一地区的服务器瘫痪，可能立刻导致其他地区的相关服务不可访问等。 数字风险将带来更多的不确定性。数字化时代，由于 企业、组织的业务和运营越来越依赖数字技术，信息的价值也随之增加，一旦发生信息泄露、数据破坏等风险，将 给企业和组织带来较大损失。 (四)对数字风险的理论研究与实践应对尚不成熟 关于数字风险概念界定尚未达成共识。当前研究中明确提出数字风险概念并进行定义的文献十分有限，如陈伟 （2021）及YadongLuo（2022）在研究中提出过相关定义。对数字风险的定义虽然未有普遍共识，但也有一些共同点，即与数字力量强相关的，或存在于数字领域的，对企业经营可能产生负面影响的不确定性。此外，对于数字风险的来源及分类研究成果较少且系统程度不高。 跨国经营的中国企业对数字风险的实践应对仍然处 于探索之中。在全球重视数据安全的背景下，中国企业为应对不同国家的数据合规要求、处理日益严重的信息安全 问题等，采取了开展专项合规工作、升级技术设备等解决方案，但对于跨国经营的数字风险尚无系统性分析，缺乏事前的研究与机制规划，更多的是亡羊补牢的被动操作。 二、中国企业国际化进程中数字风险的分类 数字风险的多样性和复杂性使得对其进行系统研究成为必要，但目前对数字风险的理论研究仍在探索中。通过对已有文献及企业实践的梳理，提出企业国际化数字风险的分类体系：根据风险来源，中国企业国际化经营面临着由外部环境、企业经营、企业技术应用引起的三大类、六小类数字风险。 图2企业国际化经营数字风险的分类 (一)外部环境相关数字风险 1.数字监管风险 （1）跨国数字制裁风险 此类风险指由于部分国家在泛数字领域对其他国家或特定个体和实施制裁，公司经营活动涉及被制裁区域、个体和实体，而对公司的经营产生的风险6。如美国以“涉嫌支持 中国人民解放军现代化、影响美国利益”等理由7，将中国企 业列入商务部实体清单、国防部CMCC清单、财政部NS-CMIC清单等“黑名单”，从而对中国企业的数字服务采购、关键设备采购、产品出口、业务运营构成严重阻碍8。此类制裁常具有长臂管辖的特征，进入清单的企业不仅无法进口或使用美国的高技术产品和服务，且与第三国企业甚至一些中国企业的商业往来也被阻绝。例如，在没有美国许可的情况下，受制裁中国企业无法购买三星或台积电的高端芯片代工服务。 随着国际政治形势变化及全球技术竞争加剧，部分国家对中国在芯片和半导体、人工智能等领域的技术研发、国际合作等封锁逐渐升级，泛数字行业制裁与管制风险增加。 图32021-2023年被列入美国各“黑名单”的中国企业数 素材来源：开源信息整理 6 （2）东道国监管风险 此类风险指由于东道国政府出于本土企业保护、认知偏见等原因，对数字行业的中国企业采取更严格的行业监管措施，而导致企业业务运营、投资并购等方面受到影响。 为了维持本土企业的竞争优势，东道国可能对含中国企业在内的外国企业进行“选择性执法”。如英国援引《2021年国家安全与投资法》叫停香港超橙控股收购总部位于英格兰的Pulsic公司，阻止中国企业获得高端集成电路开发相关的软件服务。又如，中国贸促会于2023年3月发布的《欧盟营商环境报告2022/2023》表示，欧盟整体的营商环境恶化，在多个领域出台的保护主义政策工具，对外资企业提出了过度的合规要求，提高了外资企业进入欧盟市场的事前、事中、事后全过程的合规成本，中国企业在欧盟除了面对外资审查、外国补贴审查和公共采购审查外，还面临贸易救济措施的滥用。 此外，部分国家的政治舆论环境也容易造成数字执法偏见，中国企业常被部分海外政客、专家认为有义务将持有的所有信息和数据分享给中国政府，此种舆论倾向可能导致的行政措施，将对中国企业在当地获取、留存处理数据和信息，开展相关业务开展构成阻碍。 2.数据法规风险 此类风险指由于全球各国的数据监管法规差异性大、法规内容不清晰、不同法规管辖范围分界不明显等原因，企业对数据法规研判不足，采取的数据处理措施不当，使得公司经营受到影响的情况。 不同国家和地区针对同一对象的政策和标准不同，将带来合规差异问题。如，在数据出域的规定方面，欧洲《通用数据保护条例》（GDPR）引入了以数据主体为核心的域外适用标准，而美国《澄清合法使用境外数据法》（CLOUD）则确立了以数据控制者为标准的域外数据管辖权，两类立法在域外适用过程中产生了直接的法律冲突9。此外，不同国家间的长臂管辖阻隔措施模糊，可能导致企业难以针对这些特殊性监管要求采取应对型的经营举措。例如俄罗斯于2015年颁布 了《个人数据保护法》，印度于2018年提出了《个人数据保护法草案》，它们对数据处理行为的管辖范围不再局限于数据主体所在地，而更加关注数据处理行为是否在其管辖范围内发生10。 (二)企业经营相关数字风险 1.数字合规制度风险 此类风险指由于企业经营过程中数据合规审查、信息安全检查、内容审查等环节缺失或流程不畅，缺乏数字风险应 急应对机制等，导致企业在数据和信息管理上出现问题从而 造成损失。 首先，缺少处理网络信息安全等数字风险的顶层设计，缺乏事件应对机制，是此类风险的原因之一。据调研，以典型国有企业为例，网络安全能力分散在各个部门、团队中，且缺少各业务间的联动与协作，难以满足安全保障需求11。国资委《关于进一步加强中央企业网络安全工作的通知》指出，中国央企网络安全意识不强、重点防护不到位、监测预警能力不足、应急演练能力不够以及协作共享不充分等问题较为突出。 其次，在管理制度设计上，法律合规架构缺失、合规审查节点设置不合理等因素也是风险源之一。2021年《中国合规管理政策研究与国企合规管理调研报告》显示，仅有26%的国企成立了专门的合规管理部门。部分国企在重大经营决策或项目谈判过程中鲜有法律顾问参与，甚至未建立法律顾问参与制度，导致重要业务流程审查不严格12。此外，国企对海外子公司的合规违规追责方面，受机制设计缺陷和信息不对称的影响，执行力度较弱13。 第三，在业务经营过程中对数据和信息的操作不当，导致过度收集、越权收集信息和数据，也是此类风险的原因之一，多见于科技企业。若企业采集、留存远超业务经营所需 的信息，一旦发生泄露，将给被采集方和企业本身都带来更大损失。国家网信办于2021年组织对短视频、浏览器、求职招聘等App的个人信息收集使用情况进行了检测，发现抖音等105款App存在违法违规收集使用个人信息的问题。中国的《个人信息保护法》、欧盟的《通用数据保护条例》以及美国的《数据隐私和保护法案》等法律法规都规定企业及App应当最小化收集个人信息。 2.数字素养能力风险 此类风险指由于专业人员缺失、信息安全意识不强、数字素养不高、责任心不强或团队设置不合理等原因，造成信息安全事故，从而给企业带来损失。人员在安全事件中始终 扮演着非常重要的角色，Verizon发布的《2023年数