应把客户记录视为一套受监管的运营系统，而不是在交割时复制的一个文件夹。收购会计师事务所前，买家应确认有哪些记录、由谁拥有或控制、基于什么理由可以披露、每一份副本位于何处、访问如何受到保护，以及能否取得完整可用的档案，而不会接手一项尚未量化的隐私或网络风险。

答案取决于交易结构、所提供的服务、相关法律实体及与客户约定的条款。因此，买家需要将隐私与交易法律意见同对记录和控制措施的实际测试结合起来。一份看似整洁的客户名单，并不能证明资料可以合法披露、工作底稿完整或转移过程安全。

界定客户记录的范围

在抽样前建立记录清单。范围应包括业务管理系统、税务及 BAS 工作底稿、通信、身份核验记录、已签授权、客户门户、电子邮件档案、纸质文件、扫描件、备份、前客户档案，以及软件商或外包服务商持有的数据。对每个存储库记录：

  • 持有记录的法律实体及持有目的；
  • 涉及的客户群、信息类型和记录的大致年限；
  • 存储地点、管理员、用户及访问方式；
  • 保存规则、销毁流程及任何法律保全要求；
  • 供应商、托管国家、合同和导出方式；以及
  • 交割时拟转移、由卖方保留或删除的内容。

应区分持有信息的实体可能不变的股权收购，与可能向另一实体披露信息的资产或客户账簿交易。澳大利亚信息专员办公室（OAIC）指出，隐私义务可能贯穿企业出售过程；其建议卖方考虑去标识化、限制数据室访问和合同控制，而潜在买家一般应在可能的情况下避免收集个人信息（OAIC）。应让隐私律师结合实际交易应用这些指引，不要假定客户档案必然随收入一并转移。

索取证据，而不是接受保证

要求卖方提供一套相互衔接的证据，包括：

  • 隐私政策、收集通知、委聘条款、客户许可及档案移交程序；
  • 数据流程图、记录清单、保存时间表及销毁日志；
  • 用户与特权访问名单、多因素认证设置及近期访问权限复核；
  • 软件清单、补丁报告、终端保护、加密及设备管理控制；
  • 备份范围、频率、隔离方式及恢复测试结果；
  • 网络保险、安全评估、渗透测试及尚未完成的整改；
  • 事件、投诉及数据泄露登记册，包括根因与结案证据；
  • 服务商合同、数据位置、分包处理者及退出或删除条款；以及
  • 拟议的客户同意、沟通、导出、导入和卖方访问权限安排。

把书面政策与实际系统设置相互核对。按风险选择少量样本，涵盖正在接受持续服务的客户、前客户、拥有多个实体的客户、复杂建议事项，以及由外部服务商处理过的档案。从委聘与身份核验开始，沿工作底稿、建议、申报、收费、保存及归档路径逐项追查。记录缺失材料、重复存储库、过度授权，以及无法以可用格式导出的数据。

检验记录质量与保管责任

对注册税务从业人员，税务从业人员委员会（TPB）指出，《2024 年税务代理服务（职业操守守则）决定》第 30 条要求妥善记录向客户及前客户提供的服务。记录至少应在服务完成后保存五年，并说明服务的性质、范围和结果、提供服务时考虑的信息，以及从客户收到和向客户提供的建议；复杂事项还需记录相关事实、假设和推理（TPB）。

不要把特定税务服务记录的五年最低期限误解为五年后可以处置所有资料。税务、公司、雇佣、诉讼时效、保险或专业规则可能另有要求。另一方面，无限期保留也会增加风险。在澳大利亚隐私原则第 11 条（APP 11）适用时，实体必须采取情形下合理的措施保护个人信息；在不受法定保存要求及其他条件限制的情况下，还应销毁或去标识化已不再为获准目的所需的信息（OAIC）。应让法律及税务顾问按各存储库制定保存矩阵。

还要核查专业规范。APES 110 将保密列为基本原则，并要求会员尊重其在专业及商业关系中取得的信息；具体如何适用，则取决于会员身份、服务和事实（APESB）。应将专业义务、客户协议和法定规则逐一对应，不能只依赖一条笼统的隐私条款。

检验网络安全的实际运行

网络安全尽调应证明控制措施覆盖进入客户数据的每一条路径。在卖方不代答的情况下访谈托管服务商。检查管理员账户、休眠账户、共享凭证、远程访问、离职员工销户、邮件转发、客户门户、移动设备和系统集成。确认交割时买家将控制域名、身份平台、账户恢复方式、加密密钥和审计日志。

澳大利亚信号局面向小企业的指引建议先启用多因素认证、更新软件并备份信息，随后实施“基本八项”成熟度一级（Cyber.gov.au）。不要只接受打勾式确认：应观察高风险服务实际使用多因素认证，将补丁报告与设备清单核对，并在隔离环境中恢复代表性文件。确认最近一次成功恢复的时间，以及勒索软件或已失陷的管理员能否修改备份。

调查历史事件及险些造成损失的情况。对于受“应通报数据泄露计划”（NDB）约束的实体，符合通报条件的泄露通常涉及未经授权的访问、披露或信息遗失，并可能造成严重损害，且补救措施未能消除该风险；受规管实体必须在切实可行的情况下尽快通知受影响个人及信息专员（OAIC）。会计师事务所还可能处理税号信息，因此应请顾问确定具体适用范围，并判断过去的事件是否经过妥善评估。

设计受控的转移流程

把调查结果转化为注明日期和责任人的计划。计划应明确每项转移的合法依据及客户沟通方式、经授权的数据导出、完整性校验、隔离导入、权限对应、卖方账户撤销、备份分离，以及残留副本的安全销毁或返还。保留必要的审计轨迹。不要在交割当晚一次性把所有数据直接复制进生产系统。

设置明确的决策关口：

问题 充分证据 警示信号
记录能否披露和转移？ 针对实际交易结构、合同和数据出具的意见 假定购买收费收入就包括所有档案
客户档案是否完整可用？ 抽样档案中的工作底稿、建议和申报记录能够对应 缺少推理记录、资料只在卖方邮箱或档案无法访问
控制措施是否有效？ 实际观察多因素认证、取得现行权限名单、测试恢复并关闭问题 共享账户、不受支持的系统或从未测试的备份
是否已掌握事件风险？ 完整登记册、评估和整改证据 非正式报告、无法解释的警报或日志缺失
能否切实分离？ 明确负责人、切换时间、残留数据流程和回退方案 不受控的批量导出或卖方无限期保留访问权

尚未解决的缺口可能需要在交割前整改、缩小转移范围、设置特定合同保护、把额外成本纳入运营计划，或暂停交易。网络安全与隐私调查结果是买家及其顾问的决策依据，但本身并不能决定价格或合同措辞。

何时需要专业意见

应请隐私及交易律师就尽调披露、客户许可、交易结构、保存期限、泄露义务和买卖协议保护提供意见。网络安全专家可以核验身份与访问控制、设备、云端配置、备份、日志和事件历史。税务与专业事务顾问则应检验记录保存及保密义务。应围绕一份已经核实的数据流程图和转移计划协调这些顾问。

相关阅读

资料来源

免责声明

本文仅提供一般信息，不构成法律、税务、会计、财务、信贷、估值或其他专业建议。具体情况各不相同。在采取行动或进行交易之前，请向具备适当资质的顾问寻求建议。