赴美上市与网络、数据安全 | 美国SEC针对会计师事务所从域外调取信息的权力和实践
编者按
这是一个新开设的系列，旨在作为研究赴美上市的中国公司在网络、数据安全方面可能遇到的两国监管不同乃至于冲突方面问题的研究笔记，已经发表的文章如下：
前两篇笔记主要关注赴美上市的中国公司在上市前和日常运营中需要尽到的披露义务，特别是网络安全披露义务。这就包括滴滴、满帮、BOSS直聘，很可能需要对SEC披露目前正在接受国家互联网信息办公室的网络安全审查且期间新用户无法注册的相关情况。目前不明确国家互联网信息办公室对于SEC可能的披露要求的态度。总之，这些赴美上市公司正处于非常棘手的两难境地，还需要处理美国投资者的集体诉讼。进入庭审环节的话，可能还遇到美国司法系统的证据开示要求。
第三篇笔记关注美国SEC针对具体的事件和对象，启动问询（an inquiry）或专门调查（investigation）时，要求被监管方提供信息的权力。
本篇研究笔记关注美国SEC针对会计师事务所从域外调取信息的权力和实践。
SEC针对会计师事务所的域外调取权力
多年来，美国证券交易委员会（SEC）一直在努力获取为美国发行人的国外业务或国外发行人提供服务的外国会计师事务所编制的审计工作文件。由于这些工作文件大多位于外国会计师事务所运营的外国司法管辖区，因此，SEC要求出示这些文件的传票经常遇到巨大的阻力。这样的阻力不仅是来自相关的外国会计师事务所，还有来自外国政府和外国法律。
在2002年之前，SEC并不具备能有效应对上述情况的执法工具。尽管1934年的《证券交易法》和1933年的《证券法》都授权美国SEC“进行宣誓和确认，传唤证人......并要求出示......委员会认为与调查有关的任何账簿、文件......”但这一权力受到以下限制：“可以要求从美国或任何州的任何指定的听证地点，出示任何此类记录”（“production of any such records may be required from any place in the United States or any State at any designated place of hearing.”）。解释这两条规定的判例法一般都认为，美国SEC强制出示文件的传票权力在美国边境就停止了。
在2000年代初发现大规模的会计欺诈之后，美国国会于2002年通过了《萨班斯-奥克斯利法案》（简称"SOX"法案）。SOX法案中的三个条款直接解决了SEC无法获得外国审计文件的问题。
首先，第102条要求"准备或发布，或......参与准备或发布，有关任何发行人的任何审计报告"的外国会计师事务所在一个由SOX法案设立的、负责监督公共会计行业的独立监管机构——即公共公司会计监督委员会("PCAOB")登记。
其次，这项登记又触发了SOX法案第105条。该条款授权PCAOB从"注册的公共会计师事务所......无论在哪里注册"，获得"审计工作文件"，并允许其将获得的审计工作文件提供给SEC。
再次，SOX法案第106条建立了一个"视为同意"的制度——任何"外国会计师事务所"，如果"发表意见或以其他方式提供注册公共会计师事务所所依赖的重要服务"，则被视为同意：(1) 应SEC或PCAOB的要求，提供其审计工作文件"，以及(2)为执行该要求，"受美国法院的管辖"。
这三项规定旨在涵盖外国会计师事务所为外国发行人准备或发布审计报告的情况，以及外国会计师事务所帮助其美国办事处为美国发行人准备审计报告的情况。
2010年通过的《多德-弗兰克华尔街改革和消费者保护法》（以下简称：《多德-弗兰克法案》）修改了第106条，并带来了两项重大变化，旨在加强SEC获取外国审计工作文件的能力。首先，"视为同意"制度被细化为一项肯定的义务。作为一项肯定的义务，所涵盖的外国会计师事务所超出了那些执行"重要服务"的事务所——任何外国会计师事务，只要出具审计报告、执行审计工作或进行中期审查，无论这些服务的重要性，也无论美国会计师事务所是否依赖此类服务，都应在SEC或PCAOB的要求"下，提供审计工作文件。
其次，《多德-弗兰克法案》在第106条加了（e）款。在过去，每当SEC的传票遇到外国会计师事务所的“冷遇”时，在联邦法院强制执行传票是美国证券交易委员会唯一明确的法定补救措施。第106(e)条的标题是"制裁"，给了SEC另一种法定补救措施。它规定"故意拒绝遵守SEC或PCAOB根据第106条提出的任何要求——当然包括对审计工作文件的要求，应被视为违反SOX法案的行为。
然而，美国SEC《实务规则》第102(e)条允许SEC可以"暂时或永久"地"剥夺任何人在美国证券交易委员会出现或执业的特权，如果发现该人故意违反......联邦证券法"——包括SOX法案。因此，如果从第102(e)条的角度来理解，第106(e)条实质上赋予了SEC权力，可以剥夺外国会计师事务所向美国发行人或外国发行人提供任何审计服务的权利。SEC可以暂时或永久地禁止外国会计师事务所发布向美国证券交易委员会提交的审计报告，或在编制或提供审计报告中发挥任何作用。因此，根据第106(e)条的规定，并通过第102(e)条的程序，SEC可以永久地切断一家外国会计师事务所的生命线，从而迫使它对美国证券交易委员会的文件要求做出让步。
因此，SEC可以对会计师事务所存放于域外的审计底稿，依据SOX法案的第106条发出非常强有力的提供文件传票。
2011年的上海德勤案
2011年5月，SEC发出传票，要求总部位于上海的德勤会计师事务所有限公司（Deloitte Touche Tohmatsu CPA Ltd.下称“德勤上海”）提供有关其前客户中国东南融通金融技术有限公司（下称“东南融通”）可能存在财务欺诈行为的审计工作文件和其他文件。“东南融通”是一家金融IT综合服务提供商，该公司2007年10月在纽约证券交易所上市，后由于曝出财务问题，于2011年5月17日被暂停交易，SEC也开始介入调查【调查程序见：赴美上市与网络、数据安全 | 美国SEC强制或自愿性要求信息提供的权力】。德勤公司于2011年5月辞去了“东南融通”审计师的职务，称其在为该公司准备截至2011年3月31日的年度审计报告时，发现了一些财务上的不当行为，并经历了"东南融通管理层某些成员的蓄意干扰"。
收到传票后，德勤一直拒绝提交相关材料，导致SEC无法获得对调查东南融通财务问题至关重要的信息。2011年9月8日，SEC在美国哥伦比亚特区地区法院对德勤上海提起了传票执行诉讼（a subpoena enforcement action）在SEC提起传票执行诉讼之前，德勤上海告知过美国SEC，其无法提供传票所要求的文件，因为在未经相关政府机构授权的情况下，将这些文件带出中国，可能被视为非法，并导致极其严重的后果，包括监禁。具体而言，德勤上海担心向美国证券交易委员会提供文件会违反《中华人民共和国国家秘密保护法》、《中华人民共和国注册会计师法》、《中华人民共和国档案法》以及《中华人民共和国民法通则》和《刑法》。德勤认为：总体而言，这些法律对向外国披露和提供文件进行了严格的控制。
于此同时，SEC和PCAOB开始与中国证监会进行谈判，试图说服中国证监会将德勤的“东南融通”审计工作底稿独立移交。2013年，SEC和PCAOB与中国证监会达成协议，中国证监会提供了超过20万页的与“东南融通”有关的审计工作底稿。
SEC在2014年1月发表声明，称其“最近收到了其传票所要求的大量文件，包括德勤上海的审计工作文件和其他一些与“东南融通”有关的文件。这些文件是中国证券监督管理委员会（"中国证监会"）应SEC在2012年8月提出的协助请求而提供的。中国证监会在从德勤上海获得这些文件后向SEC提供了这些文件。SEC称：鉴于所提供的大量文件，中国证监会最近就“东南融通”提供给SEC的合作，以及德勤上海声明将继续就中国证监会对“东南融通”相关文件的要求进行合作，SEC目前认为没有必要对该传票进行司法救济。然而，美国证券交易委员会有可能在以后确定需要法院的协助。因此，2014年1月，美国SEC与德勤上海一起请求下令无损驳回2011年9月SEC提起的传票执行诉讼。
SEC与四大中国分支机构案
同期，SEC发现至少还有9家在美国上市的中国公司涉及财务欺诈指控。SEC逐渐意识到“东南融通”的财务欺诈行为可能不是一个孤例。为了便于SEC对这9家公司进行调查，并确定究竟有多少在美国上市的中国公司存在这种这种财务报表操纵做法，由于同样遭遇到不提交审计工作底稿的情况，SEC对不少于五家中国最大的会计公司提起行政诉讼，其中包括四大会计师事务所在中国的所有分支机构——安永华明会计师事务所、德勤会计师事务所、普华永道会计师事务所、毕马威华振会计师事务所、BDO大华会计师事务所。
所有的会计师事务所都提出了单独的抗辩，但他们的所有论点至少有一个主要的共同点：出示所要求的文件会使他们违反中国的法律，因此无法执行。
2014年1月，美国SEC行政法官Cameron Elliott发布了一份长达100多页的意见书，并暂停了四大中国分支机构在SEC的执业权利，为期六个月。只有已经退出美国发行人市场的大华会计师事务所逃过了这一禁令。
对于这些会计师事务所因中国法律而不能提供审计工作的论点，法院认为，事务所在中国面临的民事和刑事责任并不是免除事务所提供审计工作的充分理由。法院的理由是，当每家公司都向美国SEC单独注册以获得提供这些服务的授权时，他们就已经在中国注册了，且他们知道他们的一些客户可能被指控犯有金融欺诈罪，也知道他们在这种情况下的义务。法院认为，实际上，这些公司在美国开展业务时知道，如果他们被要求遵守美国的法律，他们"必然会不完全合作"。法院在评估这种做法时使用了尖锐的语言，认为这些公司表现出的是胆量而不是诚意，并且他们是在故意违反美国法律。此外，法院也不同意这些公司的论点，即拟议的业务禁令可能会对所有相关方造成严重的负面后果。尽管法院承认向小型审计机构的必要转换可能会给中国公司带来重大成本，但法院无法找到合理的依据来量化这些成本。
也许是意识到初步裁决的结果可能会对与本案没有直接关系的各方产生负面影响，美国SEC最终选择放弃执行初步决定。相反，SEC选择与四大会计师事务所和解。四大会计师事务所的每家中国分部最终将支付50万美元，只承认该命令中所述的事实，并被允许继续在美国证券交易委员会执业。在该命令中，美国证券交易委员会确实表示有意在四年后重新审视这一问题。批评者毫不犹豫地抨击SEC这一决定。他们认为，SEC只是在踢皮球，并可能允许各种滥用权力的行为继续存在。
简要的分析
从前文可看出，通过"SOX"法案和《多德-弗兰克法案》，会计师事务所服从SEC或PCAOB审计工作底稿跨境调取义务的初始起点是很高的，美国的司法系统一般会认为会计师事务所已经知晓了上述的情况，且继续选择在美国执业，就意味着已经接受了该义务。如果后期有理由需要开展抗辩，其门槛将会非常之高。这时候就进入了美国司法中的“礼让”分析这个环节——即上文中SEC行政法官在决定中所做的多方面因素分析。关于礼让原则和实践对于跨境数据调取的影响和效果，此部分留待以后的文章开展。
下一篇文章分析《外国公司问责法案》新增的由于PCAOB不能对会计师事务所开展检查和调查而导致的禁止证券交易的要求。（完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
自动驾驶系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于数据与竞争政策的翻译和分析：
数据安全法系列文件：
中国个人信息保护立法系列文章：
健康医疗大数据系列文章：
网联汽车数据的系列文章：
人工智能安全和监管的系列文章：
关于中美与国家安全相关的审查机制的系列文章：