入乡随俗，未雨绸缪

2026年8月21日，中央网络安全和信息化委员会印发《促进网信企业高质量发展行动计划（2026-2030年）》（以下简称《行动计划》）。在七项行动、二十一条举措中，有一项专门针对海外市场拓展。政策提出支持网信企业有序“走出去”，并将海外经营合规指引、重点市场合规指导中心、风险监测预警、海外法律纠纷案例库和法律服务培训纳入企业出海服务体系。

同日，国家发展改革委发布《对外投资管理办法（修订征求意见稿）》（以下简称《征求意见稿》）。它拟在已经于2026年7月1日施行的《国务院关于对外投资的规定》（以下简称《对外投资规定》）基础上，进一步完善信息报告、监管谈话、问询、整改和处罚机制。两份文件之间没有明示联系，但放在一起看，中国支持企业出海与加强对其海外经营的监督，正在同步推进。

对企业而言，政策支持可以提供信息、渠道和维权工具，却不能代替企业自身的合规能力。网信企业现在应当确认自身业务是否属于“对外投资”，完成有针对性的国别风险评估，明确总部与海外团队的权责，并建立同时应对东道国监管和中国境内报告要求的机制。

《行动计划》所称网信企业，是以网络信息技术为核心驱动力、以网络安全和信息化为主要业务的企业。这个范围很广，但并不等同于所有中国企业，也不等同于所有通常意义上的“科技企业”。

从文件列举的重点领域看，相关企业包括高端芯片、基础软件和工业软件、网络通信、网络安全、数据安全、人工智能、算力、云服务以及数字平台等领域的企业。电子商务、移动支付和数字化转型服务也被列入海外合作重点。医药、新能源和传统制造企业仅仅因为开展海外业务，并不会当然成为这项政策所称的网信企业。

《对外投资规定》和《征求意见稿》的范围不同。它们不是按行业划分，而是以是否从事“对外投资”为核心。《征求意见稿》所称对外投资包括直接或间接取得境外企业、资产的所有权、控制权、经营管理权或其他相关权益，也包括通过受控境外企业进行再投资。单纯向境外销售产品或跨境提供服务而没有形成境外投资权益的企业，未必因此落入这套制度。

因此，目前正在形成两层相互衔接但范围不同的监管安排：第一层是面向各行业对外投资者的治理、报告和监管制度；第二层是在此基础上，针对网信企业增加的出海合规服务、风险预警和争议支持。

把合规服务纳入企业出海基础设施。《行动计划》提出加强网信企业海外经营合规指引，探索设立面向重点市场的海外业务合规指导中心，并建立风险监测预警机制和网信企业出海法律纠纷案例库。文件尚未说明指导中心的地点、服务范围或使用程序。中央网信办一位专家在官方解读中指出，部分网信企业的跨境数字服务合规体系和风险防控体系仍不完善。由此可见，这些服务安排针对的是政府已经识别出的实际能力缺口。

支持企业拓展市场并维护权益。文件明确支持算力、云服务、人工智能等优势企业在防范风险的前提下有序“走出去”，并提出利用多边机制深化数字基础设施、人工智能、电子商务和移动支付等领域的合作。风险预警机制则将帮助企业应对“不合理的贸易限制措施”。《征求意见稿》还规定，投资者在年度报告中反映受到外国组织或个人的歧视性措施或不合理限制时，国家发展改革委可以应投资者请求采取限制有关外国主体在华投资或交易等措施。

对海外经营行为设置更具体的边界。《行动计划》提出“规范网信企业海外竞争行为”，但没有解释其含义。这一表述并非没有制度背景。《对外投资规定》第五条第二款要求投资者开展对外投资及其相关活动，应当遵守法律法规和国际惯例，尊重当地习俗和文化传统，遵守商业道德，诚实守信、公平竞争，履行社会责任，维护国家形象，不得妨害市场竞争秩序、破坏生态环境、损害劳动者合法权益；《征求意见稿》第四条沿用了同样的表述。该款属于原则性规定，本身没有配套罚则；真正设有禁止性规定的是第十七条。该条已经禁止投资者无正当理由低价倾销、侵犯他人商业秘密、损害其他投资者的商业信誉或商品声誉，以及通过贿赂、欺诈等手段牟取不正当利益；第二十九条规定，造成危害后果的，可以禁止其一至三年内从事对外投资。《征求意见稿》第四十六条和第六十四条延续了这一安排。两套文件没有相互引用，因此不能断言中央网信委所称“海外竞争行为”必然具有完全相同的范围，但这种制度背景不应被忽视。

增加监管透明度与约束力。《征求意见稿》拟要求特定投资者提交重要前期工作、投资完成或终止、重大不利情况和年度信息报告。发展改革部门可以发出重大事项问询函，并在必要时公示问询函和企业答复。发现对外投资活动不符合有关法律法规和政策时，还可以采取监管谈话、警示、责令改正、定期报告、调整投资方案或暂缓对外投资等措施。驻外使领馆、企业、组织和个人也可以向发展改革部门反映或举报违规情况。

《行动计划》和《征求意见稿》在同一天发布，时间上的重合值得关注，但目前没有证据表明两者经过协调或由一方专门落实另一方。更稳妥的判断是，它们共同反映了一个政策方向：政府一方面帮助中国企业进入并适应海外市场，另一方面希望提高对其海外投资和经营行为的透明度与约束力。

四篇随《行动计划》发布的官方专家解读都没有解释“规范网信企业海外竞争行为”。官方表述主要强调支持企业、应对贸易壁垒、降低非市场风险和提升国际竞争力。这说明企业不应把《行动计划》简单理解为一次海外执法部署，但也不应忽视已经生效的《对外投资规定》和正在细化的监管工具。

2026年5月，欧盟委员会依据《数字服务法》对Temu处以2亿欧元罚款，认定其未能勤勉识别、分析和评估平台上销售非法商品所带来的系统性风险；同年7月，又对AliExpress处以5.5亿欧元罚款，理由是其未能勤勉评估和降低平台上非法、不安全或假冒商品销售的相关风险。两项决定都没有说明违规源于对当地规则不熟悉，还是企业有意承担风险，但它们共同说明了一点：市场规模和业务增长不能免除平台在当地法律下的系统性风险管理责任。欧盟委员会负责技术主权、安全与民主事务的执行副主席维尔库宁（Henna Virkkunen）在AliExpress一案的新闻稿中表示，规模不是借口，风险必须得到系统性的识别和处理。

《对外投资规定》第十六条要求投资者及其在境外投资的企业建立合规经营、内部控制和突发事件处置等制度。第二十二条进一步规定，境内组织和个人因境外诉讼、仲裁或执法调查需要向境外提供证据或材料时，应当遵守国家秘密、数据安全、个人信息保护、技术出口、出口管制和司法协助等规定。一项海外调查可能因此同时触发东道国的保存和披露要求，以及中国关于数据、证据或技术出境的限制。

评估应当覆盖产品和服务的实际使用方式、客户和最终用户、数据流向、第三方销售渠道、支付安排、当地雇员以及政府或关键基础设施客户。

对人工智能、云服务和算力企业而言，还应特别分析模型、训练数据、计算资源和远程访问可能受到的限制。需要注意的是，这类限制并非只来自东道国。《对外投资规定》第十三条禁止投资者在对外投资活动中出口、使用国家禁止出口的货物、技术、服务及相关数据，未经许可也不得出口、使用国家限制出口的同类项目；该条并明确，跨境派遣技术人员、组织人员赴其他国家（地区）工作、跨境提供技术指导、安排人员跨境培训等方式，同样属于受规制的转移方式。对依靠境外研发团队、驻场支持或者远程技术协助开展业务的企业，该条的适用范围可能超出通常理解的“出口”。

企业应当审查定价、补贴、竞争情报、商业秘密、第三方佣金、例外审批和销售目标，判断这些机制是否可能鼓励低价倾销、侵犯他人权益、贿赂、欺诈或其他可能被境内外监管部门质疑的行为。

《征求意见稿》的意见征集将于2026年9月20日截止。对于其中“规范竞争行为”条款、信息报告范围等内容存在实质关切的企业，应评估是否在截止日前向国家发展改革委提交书面意见。需要说明的是，《对外投资规定》第十三条已于2026年7月1日施行，不属于本次征求意见的范围。

企业不应将海外所有实体同等对待。建议总部以两个核心维度对每个境外主体或投资项目进行分级：

维度一：东道国监管强度（法律法规完备性、执法活跃度、罚款幅度）

维度二：中国境内报告/审批负担（是否涉及敏感行业、大额投资、数据出境、国企背景）

运用示例：一家在欧盟设立AI数据中心并提供云服务的中国企业，因其业务同时触及欧盟《数字服务法》《人工智能法》与中国的数据出境限制、发改委报告义务，应归入“双重高压区”，合规预算和决策权限应显著高于其在东南亚的纯仓储物流子公司（后者通常属于“常规维护区”）。总部应每年至少复核一次矩阵归类，并在重大业务变更时动态调整。

中国正在形成一套兼具支持、保护、报告和监督功能的企业出海制度。《行动计划》为网信企业增加了行业性的服务和风险管理安排；《对外投资规定》及其拟议实施办法则为各行业对外投资者设定更具体的治理和行为边界。企业可能获得更多政策资源，同时也会面对更高的透明度和合规要求。

“入乡随俗”不只是商业常识。《对外投资规定》第五条第二款已经把遵守当地法律与国际惯例、尊重当地习俗、遵守商业道德列为投资者的法定义务，这要求企业真正理解当地监管者、员工、客户和商业伙伴所遵循的规则。“未雨绸缪”则要求企业在监管部门敲门之前，把风险评估、决策权限、数据处理和调查应对安排好。等到执法调查发生后再补制度，成本通常更高，选择也会更少。