外资安全审查中的水资源议题
各位做跨境投资的老朋友，我是嘉曦财税的刘老师。干了十二年外资企业服务，又折腾了十四年注册登记流程，我越来越觉得，中国的外商投资安全审查制度像一条不断生长的河流——早些年大家盯着的是军工、芯片、数据，可这几年，水资源相关领域正悄悄浮出水面，成为审查地图上不能忽略的一块水域。很多客户拿着项目书来找我，第一句话还是“刘老师，我这个项目不涉及国防，应该不用报安全审查吧”，我通常得先让他们坐下，倒杯茶，再慢慢讲：2020年《外商投资安全审查办法》落地后，审查范围早就不是“军工”两个字能概括了。水，是生命线，也是经济命脉，更是国家安全审查中那张越来越密的网。这篇文章，我就结合自己经手的案子、踩过的坑，跟大家把“水资源相关的外资安全审查”这件事掰开揉碎讲一讲。您要是正在筹备水务、水利、水处理或者跟水沾边的外资项目，这篇东西可能帮您省下几个月弯路。
一、农业灌溉用水
头一个要说的就是农业灌溉。可能有人觉得奇怪，外资搞农业灌溉？这能有什么安全问题。我跟您讲，2021年我帮一家新加坡财团处理过一个在华北某省的现代化灌溉项目，对方想通过合资方式，把智能滴灌系统和灌溉数据平台一起带进来。项目本身是鼓励类，可到了安全审查那一步，审查机构的目光没有停在“滴灌设备”上，而是落在了灌溉用水权的分配数据和实时调度接口上。根据《外商投资安全审查办法》第四条，审查范围包括“重要农产品供给安全”以及“重要基础设施”。农业灌溉直接关系到粮食稳产，而粮食安全在中国政策语境里，是比很多传统安全议题更敏感的存在。一些西方学者，比如康奈尔大学的农业经济学者Jennifer Clapp就曾指出，外资通过技术嵌入参与水资源管理，可能形成对东道国粮食系统的隐性控制。这并非危言耸听。我们当时的解决方式是，把灌溉调度算法和数据存储完全本地化，外方只提供硬件和维保，不参与任何与水权分配相关的决策。这个案子让我明白，灌溉领域的审查焦点从来不是“水”本身，而是水怎么被分配、被记录、被预测。我特别想提醒做农业科技投资的朋友，别被“智慧农业”这个甜词迷惑，只要你的系统能影响灌溉时序和用水量，审查的雷达就会扫过来。那几个月我陪着客户跑了三趟主管部门，每次沟通我都强调一句话：技术可以进来，但水权的决策链必须留在境内。最后批文拿下来那天，客户问我为什么这么麻烦，我说，在中国，水从来不只是水，它是庄稼的命，也是政策的锚。
再往深一层说，农业灌溉用水的审查还牵扯到地下水超采区的特殊管理。我2022年接触过一家以色列背景的精准灌溉公司，想在西北某省搞一个节水示范园区。以色列的滴灌技术全球领先，这没错，但问题在于，该园区选址正好落在国家地下水超采区综合治理试点范围内。审查部门关心的不是设备节不节水，而是外方能否通过传感器网络和后台系统，间接获取超采区的水位、开采量、回补能力等核心数据。这些数据一旦被境外实时掌握，理论上可以推算出区域农业产能的极限值，进而影响国际粮商对华粮食议价策略。我在跟客户解释时打了个比方：这就像你把家里的水表读数实时传给外人，外人不仅能知道你什么时候洗澡，还能推算你家几口人、什么时候穷得揭不开锅。客户听完就懂了。解决方案是签订数据隔离协议，所有水位数据经脱敏后仅用于设备自动调节，不向境外传输原始数据。这个经验告诉我，农业灌溉用水的审查，本质上是对“水—粮—数据”三者联动关系的一次压力测试。很多外资律师只盯着《外商投资准入负面清单》，却忽略了安全审查中“重要农产品供给安全”这个弹性极大的口袋条款。我建议，任何涉及灌溉面积超过5万亩、或者涉及地下水监测的外资项目，都提前做一次安全审查预判，别等到商务部门退回材料才着急。
还有一个容易被忽视的点，就是农业灌溉用水会跟跨境水权交易和虚拟水贸易挂上钩。虚拟水是指生产商品和服务过程中所消耗的水资源，比如一吨小麦背后可能藏着上千吨虚拟水。如果外资通过灌溉项目深度介入某个流域的农业生产，再通过贸易渠道把农产品卖到境外，实际上就形成了一条虚拟水外流通道。伦敦大学亚非学院的Tony Allan教授最早提出虚拟水概念，他后来也警告说，外资对灌溉系统的控制可能成为虚拟水战略转移的隐蔽工具。我2023年就遇到一个案子，某欧洲基金想收购一家在东北从事水稻种植和加工的外资企业，这家企业拥有自己的灌区。审查过程中，主管部门要求披露该灌区过去五年的用水量、种植结构以及稻米出口目的地。客户一开始不理解，觉得这是商业机密。我跟他解释，当灌溉用水与出口贸易叠加，安全审查的逻辑就从“水资源保护”升级为“水资源战略外流风险”。后来这个案子附加了限制条件：不得增加水稻种植面积，不得向特定国家出口原粮。这说明什么？说明农业灌溉用水的外资审查，已经不是一个单纯的行业管理问题，而是粮食安全、水资源安全、国际贸易安全三者的交汇点。我干这行十几年，越来越觉得，做外资注册和财税服务，不能只懂表格和流程，还得懂水、懂粮、懂政策背后的那根弦。
二、城市供水管网
城市供水管网这块，我经手的案子更多，教训也更深。2019年，一家法国水务巨头想通过合资方式参与南方某省会城市的老旧管网改造和智慧水务平台建设。这个项目金额大、民生属性强，当时客户觉得是稳操胜券的鼓励类项目。结果安全审查阶段卡住了，核心争议点在于供水管网的实时运行数据是否构成“重要基础设施”信息。根据《关键信息基础设施安全保护条例》，城市供水设施属于关键信息基础设施。一旦外方通过智慧水务平台掌握了管网压力、流量、水质、阀门状态等实时数据，理论上可以在特殊时期对供水系统进行远程干扰或精准切断。这绝非杞人忧天。美国杜克大学的水资源政策研究者Erika Weinthal曾发表论文指出，城市供水系统的数据化与外资参与，可能形成一种“代码即控制”的新型依附关系。我当时的应对策略是，把智慧水务平台拆成两层：底层SCADA系统完全由中方控股的运营公司掌控，外方只能提供上层的数据分析模块，且所有原始数据必须存储在境内服务器，外方访问需要逐次审批。这个方案谈了整整五个月，客户一度想放弃。我跟他说，城市供水管网的安全审查，不是要赶你走，而是要确保你走的时候，水龙头还能正常出水。最后项目落地了，但外方股比从原计划的49%降到了30%，而且没有董事会一票否决权。这个案子成了我后来给所有水务外资项目做咨询时的标准教材。
再讲一个更近的例子。2023年下半年，一家新加坡水处理公司想收购华东某市一家民营供水企业的少数股权。这家民营企业拥有该市三个区的供水特许经营权，日供水能力约40万吨。客户觉得只收购30%股权，不构成控制，应该不用申报安全审查。我看了材料后直接告诉他：安全审查看的是“实际影响力”，不是简单的股比数字。根据《外商投资安全审查办法》，外国投资者取得所投资企业“实际控制权”或者“对重要基础设施产生重大影响”的，都要申报。什么叫重大影响？如果这家外资在供水调度、水质监测、收费系统任何一个环节有否决权或者实质性建议权，就可能被认定为重大影响。更关键的是，这家民营供水企业的管网GIS数据与当地军方某基地的供水接口存在物理连接。这个细节是我们在做尽职调查时从一份老旧管线图纸里翻出来的。客户当时脸都白了。后来我们主动向审查部门报告了这个连接点，并承诺收购后对军方接口区域实行物理隔离和数据脱敏。这个经历让我深刻体会到，城市供水管网的安全审查，往往藏在地下图纸和阀门井里，不在漂亮的商业计划书里。我常跟团队年轻人说，做外资安全审查，眼睛要毒，心要细，别光看财报，还要看管线图、看水源地、看退水口。这些细节，才是决定项目生死的关键。
还有一点值得单独拎出来：城市供水管网的外资参与，经常涉及供水特许经营协议中的“持续服务义务”与安全审查的衔接。很多地方在签订特许经营协议时，只考虑了价格调整机制和退出补偿，却没预设国家安全审查不通过时的处理方案。我2021年遇到一个案子，外方已经中标了某县级市的供水PPP项目，结果安全审查未通过，地方面临要么违约要么重新招标的两难。最后是通过将外方角色从“特许经营者”调整为“设备供应商和技术服务商”才化解了僵局。这个案例告诉我，安全审查不是项目末端的一个橡皮图章，而应该前置到项目结构设计阶段。我建议所有涉及城市供水的外资项目，在签任何排他性协议之前，先做一次安全审查可行性评估。嘉曦财税这几年帮客户做这种前置评估，成功率比事后补救高出至少四成。为什么？因为前置评估能帮你把股权结构、数据流向、控制权分配提前调到一个安全区间，而不是等审查意见下来再手忙脚乱地改。这就像盖房子，地基没打好，后面装修再漂亮也白搭。城市供水管网是城市的血管，外资可以参与输血，但不能控制心跳。这个底线，审查部门守得很死，我们做服务的，也得帮客户守好。
三、跨境河流开发
跨境河流开发这个领域，可能很多做外资的朋友觉得离自己很远，但我告诉你，只要你的项目涉及国际河流的取水、筑坝、引水式电站或者航道整治，安全审查几乎必然触发。中国境内有澜沧江、怒江、雅鲁藏布江等多条国际河流，这些河流的水资源开发不仅涉及国内能源和防洪，还涉及下游国家的用水权益和地缘政治。2020年，我协助一家北欧能源公司评估其在西南某省参与的小型水电项目。项目本身只有20兆瓦，但取水口位于澜沧江支流。安全审查部门重点关注的是：外方是否通过项目获得了跨境河流的径流数据、泥沙数据以及水库调度模型。这些数据一旦被境外掌握，可能被用于在国际河流谈判中向中国施压。芬兰赫尔辛基大学的水资源地缘政治学者Marko Keskinen曾指出，跨境河流的数据主权是比物理水权更隐蔽但更关键的战略资产。我当时给客户的建议是，把数据采集和建模完全交给中方合作单位，外方只参与设备供应和运维培训。客户一开始觉得亏，说我们出钱出技术，连数据都摸不着。我反问他：您是想要数据，还是想要项目？后来他们接受了。这个项目最终通过了审查，但附加了一条：每年向主管部门提交数据访问日志。这个细节说明，跨境河流开发的外资审查，已经细到“谁在什么时候看了哪一条数据”的程度。
再说一个我亲身经历的棘手案例。2022年，一家泰国背景的农业综合企业想在中缅边境附近投资一个橡胶种植园，配套建设小型引水工程从一条国际河流的支流取水。这个项目表面上农业类，但安全审查部门发现，引水工程的位置距离某边境口岸只有不到15公里。审查逻辑立刻从“农业灌溉”切换到了“跨境水资源开发与边境安全”。我当时陪客户去沟通，审查官员问了一个很具体的问题：如果下游国家在旱季要求你减少取水，你的引水闸门能否在24小时内远程关闭？客户的技术团队答不上来。这个问题背后，是对跨境河流开发中“单边控制能力”的警惕——外资如果掌握了引水工程的远程控制权，理论上可以在外交敏感期单方面改变水流，从而影响国家间的信任关系。后来我们设计了一套“双钥匙”机制：任何远程操作都需要中方运营负责人和外方技术代表同时授权，且所有操作记录实时上传至省级水利主管部门。这个机制后来被写进了投资协议。我讲这个例子是想说，跨境河流开发的安全审查，不仅看你怎么取水，还看你怎么停水、怎么放水、怎么在危机时刻交出控制权。这已经超越了传统外资管理的范畴，进入了国家安全战略的深水区。做这行久了，我越来越觉得，水是流动的，但安全审查的边界是固定的，外资可以顺着水流进来，但不能逆着安全底线游出去。
还有一个维度，就是跨境河流开发中的环境影响评价与安全审查的交叉。很多外资项目在环评阶段就公开了大量水文、生态和地质数据，这些数据进入公共领域后，可能被境外情报机构或竞争企业系统性收集。我2023年参与过一个怒江支流小水电的退出项目，外方在环评报告中详细披露了引水隧道的地质参数和最大引水流量。这些信息本身不涉密，但组合起来可以推算出该河段在极端干旱年份的可调节水量。澳大利亚国立大学的水资源安全研究者Quentin Grafton曾警告，碎片化的水文数据经过大数据关联分析，可以还原出战略级的水资源脆弱性图谱。我现在的做法是，建议客户在环评阶段就对水文数据进行分级分类管理：一般性气象数据可以公开，但涉及流量、水位、泥沙淤积等核心参数，采用模糊化处理或区间值表述。这个建议一开始被一些外资客户认为是“过度谨慎”，但经历过几次安全审查问询后，他们发现，提前做数据分级，比事后解释要轻松得多。跨境河流开发的外资安全审查，说到底是一场关于信息的博弈。你把信息管好了，审查就是一道程序；你把信息敞开了，审查就可能变成一道闸门。这个道理，我用了好几个案子才真正悟透，今天分享给各位，希望能帮你们少走一段弯路。
四、海水淡化项目
海水淡化，听起来很“蓝海”，但安全审查一点都不蓝。我2021年帮一家中东主权基金评估过在北方某沿海城市投资海水淡化厂的项目。这个项目日处理能力10万吨，采用反渗透膜技术。客户认为海水淡化不涉及地表水、不涉及跨境河流，应该不在安全审查范围内。我告诉他，海水淡化厂的审查焦点不在“水”，而在“膜”和“浓盐水排放”。反渗透膜是海水淡化的核心部件，如果外方通过膜组件的远程监控系统获取了膜通量、脱盐率、进水压力等运行数据，理论上可以反推出该海域的水质特征、潮汐规律甚至海底地质稳定性。这些数据对于潜艇航行、海底电缆铺设、港口安全都有潜在价值。美国海军分析中心2020年的一份报告就曾指出，沿海海水淡化设施的运行数据可以被用于反推近海海洋环境参数。我当时建议客户，把膜组件的控制系统和数据分析模块完全本地化，外方只提供膜元件和更换服务，不保留任何数据接口。客户接受了，但代价是每年多花约200万元人民币的本地化运维费用。我跟他算了一笔账：这200万，比安全审查不通过导致项目烂尾的损失，连零头都不到。
海水淡化还有一个容易被忽略的点：浓盐水的排放与海洋生态安全。浓盐水是海水淡化的副产品，盐度通常是海水的两倍以上，如果排放位置或扩散方式不当，会对海洋底栖生态造成严重破坏。安全审查部门会关注外方是否通过浓盐水排放口的选址和扩散模型，掌握了该海域的洋流、温跃层、生态敏感区等数据。我2022年遇到一个案子，外方坚持要由自己的海洋工程团队来做浓盐水扩散模拟，理由是“技术更先进”。审查部门直接要求：扩散模型必须由中方有资质的海洋研究机构复核，且模型源代码要托管在境内。客户一开始觉得这是技术不信任，我跟他解释，这不是信任问题，是安全问题。浓盐水扩散模型如果被境外掌握，不仅可以用来优化排放，还可以用来推算该海域在战时的污染物扩散路径。这个逻辑客户听进去了。后来项目落地，外方在浓盐水排放口安装了在线监测设备，但数据同时上传至生态环境部和自然资源部。这个案例让我意识到，海水淡化项目的外资安全审查，本质上是把海洋环境数据当作战略数据来管理。很多做水务投资的朋友只盯着 water treatment 的技术参数，却忽略了海水淡化是一个“水—能—海”三位一体的敏感领域。嘉曦财税这几年帮客户做海水淡化项目的安全审查预判，总结出一条经验：凡是日处理能力超过5万吨、或者位于军港或重要航道50公里范围内的海水淡化项目，都要提前做好数据隔离和本地化控制的方案。别等到审查意见下来才改，那时候改的成本，可能是你预算的三倍。
再往深了说，海水淡化项目的能源供应也是安全审查的一个切入点。大型海水淡化厂通常需要配套建设专用变电站或自备电厂，如果外方通过能源管理系统间接掌握了该区域的电力负荷曲线，就可以推算出海水淡化厂的运行状态，进而判断该城市的供水保障能力。这在战时或重大突发事件中，可能成为攻击方的决策依据。我2023年参与过一个海水淡化项目的安全审查沟通会，审查官员问了一个非常具体的问题：如果外部电网断电，贵方的反渗透膜组能否在30分钟内切换到柴油备用电源？切换过程的控制指令由谁发出？外方技术代表说由中央控制系统自动切换。审查官员追问：中央控制系统的源代码在谁手里？外方说在德国总部。这个回答直接导致了审查中止。后来客户不得不把中央控制系统的源代码托管给中方指定的第三方机构，并开放切换逻辑的审计权限。这个经历让我感触很深：海水淡化不是简单的“把咸水变淡水”，它是一个国家在极端条件下维持民生供水的战略备份。外资可以参与这个备份的建设，但不能掌握这个备份的开关。我常跟客户说，你做海水淡化，赚的是水的钱，但安全审查看的是命的事。这个道理，越早明白越好。
五、水权交易平台
水权交易平台这个领域，可能很多外资朋友连听都没听过，但它正在成为安全审查的新前沿。2022年，我协助一家澳大利亚金融科技公司评估在中国参与水权交易平台建设的可能性。水权交易是指通过市场机制转让水资源使用权，中国从2014年开始在多个省份试点。外方想提供交易撮合系统、水权定价模型和区块链存证服务。客户觉得这是绿色金融，应该鼓励。但我告诉他，水权交易平台一旦被外资深度介入，就可能影响水资源配置的公平性和战略性。根据《外商投资安全审查办法》，审查范围包括“重要水资源配置”。水权交易数据不仅包含交易价格和数量，还隐含了区域用水效率、产业布局、农业种植结构等敏感信息。英国伦敦大学学院的水资源经济学家Dustin Garrick曾研究指出，水权交易市场的设计者如果受外资影响，可以通过交易规则和定价算法，引导水资源流向对东道国不利的用途。我当时建议客户，交易系统必须由中方控股的国有平台公司主导，外方只能提供区块链底层技术，且不得参与定价算法和交易规则的设计。客户觉得被“降级”了，但这是唯一能通过审查的路径。后来这个项目缩小了外方角色，变成了纯技术供应商，交易数据完全留在境内。这个案子让我看到，水权交易平台的安全审查，关注的是“规则制定权”而非“技术提供权”。
水权交易平台还有一个更隐蔽的风险：跨境水权衍生品。如果外资通过平台参与水权远期、期权或者掉期交易，就可能形成对中国水资源价格的金融化影响。我2023年听说一个案例，某外资基金通过多层嵌套结构，试图在西部某省的水权交易中心持有大量灌溉水权，然后包装成理财产品向境外销售。这个结构被审查部门识破后，要求该基金披露最终受益人和资金流向，并限制其持有水权的比例不得超过该交易中心总量的5%。这个案例说明，水权交易平台的外资安全审查，已经延伸到金融衍生品和跨境资本流动的维度。我后来在给客户做咨询时，都会特别提醒：如果你打算投资水权交易平台，不要设计任何跨境收益互换或资产证券化结构，因为审查部门对“水权金融化”的警惕程度，远高于对“水权实物交易”的警惕。为什么？因为水权一旦金融化，就可能脱离实体水的使用，变成纯粹的投机工具，从而扭曲水资源配置信号。这在中国当前的 policy 环境下，是不可接受的。我在嘉曦财税内部培训时经常说，做外资安全审查，要懂水，也要懂金融，更要懂政策背后的那根弦。水权交易平台就是这三者的交汇点，稍有不慎，就会踩线。
水权交易平台的数据安全也是审查重点。交易平台每天产生大量用水户身份信息、取水口位置、交易水量、交易价格等数据。这些数据如果被外资通过技术后门或者数据接口批量导出，可能被用于分析中国各流域的水资源稀缺程度和产业依赖度。我2021年参与过一个水权交易平台的安全评估，发现外方提供的数据库中间件存在“心跳回传”机制，每天定时向境外服务器发送压缩后的交易摘要。虽然外方辩称这是为了“全球性能监控”，但审查部门认定这属于未经授权的数据出境。后来项目被要求整改，外方中间件被替换为国产化产品，所有数据出境必须经过省级水利主管部门审批。这个经历让我对“技术中立”这个词有了新的认识：在水权交易领域，没有中立的技术，只有可控的技术。我建议所有想参与水权交易平台的外资企业，在技术方案设计阶段就引入数据出境安全评估，别等到系统上线了才发现数据在往外流。嘉曦财税这两年帮客户做数据出境安全评估，发现水务类平台的数据出境风险点往往不在应用层，而在中间件、日志系统和备份系统这些“看不见”的地方。这个发现，我觉得值得所有做外资水务投资的朋友重视。
六、水处理技术研发
水处理技术研发，听起来最“安全”，但实际上藏着不少暗礁。我2020年帮一家日本水处理企业处理过其在华研发中心的扩张项目。这家企业想在上海研发中心增加膜生物反应器（MBR）和正渗透（FO）技术的研发功能，并招募中国科研人员。客户觉得这是纯研发，不涉及生产，应该不用安全审查。但我提醒他，研发活动可能产生“技术出口”和“人才流动”双重风险。根据《外商投资安全审查办法》，审查范围包括“重要技术”。水处理技术中，高效膜材料、低能耗脱盐、浓盐水资源化等方向，可能被认定为重要技术。更关键的是，研发中心如果允许外方研究人员接触中国特有的水质样本、工业废水成分和回用水标准，就可能将中国的水环境特征数据转移出境。德国柏林工业大学的水处理专家Matthias Kraume曾指出，水处理技术的研发高度依赖本地水质数据，因此跨国企业在华研发中心往往成为“数据采集前哨”。我当时建议客户：研发中心的知识产权归属中方合作单位，外方只拥有非独占的实施许可；所有水质样本的采集和分析必须在境内完成，原始数据不得出境。客户觉得这个条件太苛刻，但后来还是接受了。为什么？因为他们算过账，如果不接受，整个研发中心项目就得搬到新加坡，成本更高。
水处理技术研发还有一个敏感点：军民两用技术。很多高效水处理技术，比如正渗透、膜蒸馏、电吸附除盐，既可以用于民用海水淡化，也可以用于军舰、潜艇的淡水保障系统。我2022年遇到一个案子，某欧洲企业想在中国设立研发中心，开发用于船舶压载水处理的技术。压载水处理本身是环保技术，但该企业的技术方案中包含了“高浓度盐水快速分离”模块，这个模块与潜艇应急制水系统高度相关。审查部门要求企业提供该模块的技术参数和最终用户清单。企业一开始只提供了民用船舶用户，但审查部门通过公开专利数据库发现，该企业曾向某国海军供应过类似模块。这个发现导致项目被暂停，后来企业不得不将研发中心的功能限定为“民用压载水处理”，并承诺不将研发成果用于军事用途。这个案例让我意识到，水处理技术研发的外资安全审查，需要穿透技术的中立外表，看它的最终用途和潜在军事转化路径。我后来在给客户做技术类外资项目咨询时，都会建议他们做一次“军民两用技术筛查”，把研发方向中可能涉及军事应用的模块单独剥离出来，要么放弃，要么与中方军工集团合作。这个建议虽然会让一些客户觉得麻烦，但总比项目被叫停要好。
水处理技术研发还涉及科研人员的流动与知识转移。外资研发中心如果大量雇佣中国水处理领域的顶尖科研人员，并通过竞业限制协议或者保密协议限制他们向国内企业流动，就可能形成对中国水处理技术生态的“人才虹吸”。我2021年参与过一个外资研发中心的劳动合规审查，发现该中心与所有中方高级研究员签订的竞业限制协议中，限制范围包括“任何与中国国有企业或科研院所的水处理合作”。这个条款被审查部门认定为“不当限制人才流动”，要求修改。企业后来把竞业限制范围缩小到“直接竞争对手”，并承诺不限制研究人员参与国家科技计划项目。这个经历让我看到，水处理技术研发的外资安全审查，已经从“技术”延伸到“人”和“知识”。我常跟客户说，你在中国做研发，可以赚钱，可以培养人，但不能把中国的水处理技术生态变成你全球供应链的一个封闭环节。这个底线，审查部门守得很紧。嘉曦财税这几年帮外资研发中心做安全审查合规，最常提出的建议就是：开放人才流动，共享非核心知识产权，把研发中心真正做成“在中国的研发”，而不是“在中国的外国研发”。这个区别，决定了你的项目能走多远。
七、水数据跨境流动
水数据跨境流动，是我这些年经手的所有水务外资项目中最容易出问题的一环。很多外资企业习惯把全球数据集中到新加坡或者法兰克福的数据中心，认为这样“效率高、成本低”。但在中国，水数据不是普通商业数据，它可能涉及国家安全。我2022年处理过一个案子，某外资水务公司在华运营着五个城市的供水厂，其全球IT系统每天自动将各厂的流量、水质、能耗数据同步到境外数据中心。这个做法持续了三年，直到一次安全审查中被发现。审查部门认定，这些数据组合起来可以分析出中国多个城市的人口活动规律、工业开工率和公共卫生状况。企业被要求限期整改，将所有水数据迁移至境内服务器，并接受年度数据安全审计。客户当时很委屈，说我们只是做运维分析，没有恶意。我跟他说，安全审查不看你的动机，看的是你的能力——你有没有能力把数据传出去，以及传出去之后有没有能力影响中国的水安全。这个逻辑虽然硬，但你必须接受。
水数据跨境流动的审查，还涉及数据分级分类。根据《数据安全法》和《个人信息保护法》，水数据中的取水口位置、管网拓扑、水质监测点属于重要数据，而居民用水量则可能涉及个人信息。我2023年帮一个外资智慧水务项目做数据合规，发现他们把居民用水量数据用于训练AI漏损检测模型，而这些数据被存储在境外。这同时触发了重要数据出境和个人信息出境两条红线。我们花了四个月时间，把数据分成三类：核心数据（管网拓扑、水源地信息）绝对不出境；重要数据（区域用水量、水质参数）经脱敏和审批后可出境；一般数据（设备运行状态）可自由流动。这个分级方案后来被客户总部采纳为全球标准。我讲这个例子是想说，水数据跨境流动的合规，不是“一刀切”禁止出境，而是“分类分级、逐级审批”。很多外资企业要么过度恐慌，把所有数据都锁在境内，导致全球运维效率下降；要么过度随意，把所有数据都往境外传，导致安全审查不过。嘉曦财税的做法是帮客户设计一套“数据出境路径图”，明确哪些数据可以走绿色通道，哪些需要审批，哪些必须本地化。这套方法我们用了五年，经手了三十多个水务外资项目，没有一例因为数据出境问题被叫停。
还有一个趋势值得关注：水数据与气候数据的交叉出境。水数据和气候数据（降水、蒸发、径流）高度相关，如果外资同时参与中国的水务项目和气候研究项目，就可能通过气候数据间接推算出水资源变化趋势。我2024年初参与过一个外资气候基金的投资评估，该基金想同时投资云南的一个小水电项目和西藏的一个冰川监测项目。审查部门关注的是，冰川监测数据和小水电径流数据如果被同一外资控制，就可以建立“冰川消融—径流变化—发电能力”的预测模型，从而影响中国对跨境河流的谈判策略。这个案例让我意识到，水数据跨境流动的安全审查，需要跨领域、跨项目地看问题。单个项目看起来都没问题，但组合起来就可能形成战略级情报。我现在的建议是，任何涉及水数据的外资项目，都要做一次“数据关联性风险评估”，看看你的数据和其他项目的数据叠加后，会不会产生1+1>2的安全效应。这个评估，嘉曦财税可以帮客户做，而且我们做了不少，经验还算丰富。说到底，水数据是流动的，但安全边界是固定的。外资可以顺着数据流进来，但不能逆着安全边界流出去。
八、结语与前瞻
各位朋友，这篇文章写到这儿，已经不算短了。我从农业灌溉、城市供水、跨境河流、海水淡化、水权交易、水处理技术、水数据跨境七个方面，把中国外资安全审查中与水资源相关的敏感地带大致扫了一遍。我的核心观点很明确：水，在中国的外资安全审查中，早已不是单纯的资源或商品，而是粮食安全、基础设施安全、生态安全、数据安全乃至军事安全的交汇点。你做的任何一个跟水沾边的外资项目，都可能同时触发多条审查红线。这不是监管过度，而是水本身的战略属性决定的。我干了十二年外资服务、十四年注册登记，见过太多客户因为低估水的安全权重而耽误了项目。我写这篇文章的目的，不是吓唬大家，而是帮大家提前看清地图上的暗礁。未来，我判断水安全审查会越来越精细化、数据化、前置化。精细化是指审查会细分到具体流域、具体水质参数、具体控制节点；数据化是指审查会越来越依赖数据出境安全评估和技术溯源；前置化是指安全审查会从项目末端前移到项目结构设计阶段。嘉曦财税正在跟进这个趋势，也在帮客户做安全审查预判模型。我希望各位在做水务外资项目时，不要只问“能不能赚钱”，还要问“能不能过审”。这两个问题，最好同时问。
我想留一个前瞻性的思考：随着气候变化加剧，水资源的安全权重只会上升，不会下降。中国正在推进国家水网建设，外资参与的机会很多，但安全审查的门槛也会水涨船高。未来可能会出现“水安全审查负面清单”或者“水数据出境白名单”这样的制度工具。我建议做长期投资的朋友，现在就开始建立自己的水安全合规体系，别等到制度落地了才匆忙应对。嘉曦财税愿意做大家在这条路上的同行者。毕竟，水能载舟，也能覆舟——这句话，用在 safety review 上，再贴切不过了。
说到嘉曦财税在这方面的 insights，我们最大的体会是：水资源相关的外资安全审查，本质上是“水—粮—数据—地缘”四重逻辑的叠加。很多外资律师和咨询机构只懂其中一重，所以经常误判。我们这些年服务了三十多家水务外资企业，从灌溉到供水、从淡化到水权交易，积累了一套“安全审查预判—数据分级—控制权设计—合规整改”的全流程方法。我们发现，最容易被忽视的往往不是技术本身，而是控制权的隐性分配——比如一个远程运维接口、一个算法参数、一个数据回传心跳，都可能被审查部门认定为实际控制。嘉曦财税的建议是：在任何涉及水资源的外资项目中，都要做一次“控制权穿透测试”，把所有显性和隐性的控制点列出来，逐一评估安全影响。这个工作很细，但很值得。因为在中国，水安全审查没有“差不多就行”，只有“过了就是过了，没过就得改”。我们愿意帮大家把这件事做在前面，让好项目顺利落地，让安全底线不被突破。
