Trong một giao dịch mua bán và sáp nhập doanh nghiệp (M&A), thẩm định (Due Diligence) luôn chứa đựng một nghịch lý: để quyết định có mua một doanh nghiệp và mua với giá bao nhiêu, bên mua cần biết càng nhiều càng tốt; nhưng để bảo vệ doanh nghiệp của mình, bên bán lại cần kiểm soát càng chặt càng tốt những gì được tiết lộ.
Một điểm cần phân biệt ngay từ đầu là “thông tin bảo mật” (confidential information) và “bí mật kinh doanh” (trade secret) không hoàn toàn đồng nhất.
Mâu thuẫn này đặc biệt rõ khi thông tin được yêu cầu không chỉ là giấy phép, hợp đồng hay báo cáo tài chính, mà còn bao gồm danh sách khách hàng, chính sách giá, biên lợi nhuận, công thức sản xuất, quy trình công nghệ, chiến lược kinh doanh hay kế hoạch phát triển sản phẩm. Đây có thể chính là những tài sản vô hình tạo nên lợi thế cạnh tranh của doanh nghiệp. Rủi ro càng lớn nếu bên mua là đối thủ cạnh tranh hoặc thương vụ cuối cùng không được hoàn tất: tài liệu có thể được trả lại, quyền truy cập data room có thể bị đóng, nhưng những gì con người đã biết thì không dễ “xóa” khỏi nhận thức.
Vì vậy, câu hỏi quan trọng trong M&A không đơn thuần là có nên tiết lộ thông tin hay không. Vấn đề thực sự là: ai được biết, được biết điều gì, vào thời điểm nào, được sử dụng cho mục đích gì và bên bán có thể chứng minh những giới hạn đó ra sao nếu giao dịch thất bại?
1. Không phải mọi thông tin mật đều là bí mật kinh doanh
Một điểm cần phân biệt ngay từ đầu là “thông tin bảo mật” (confidential information) và “bí mật kinh doanh” (trade secret) không hoàn toàn đồng nhất. Trong một giao dịch M&A, phạm vi thông tin bảo mật có thể rất rộng: dự thảo hợp đồng, báo cáo tài chính chưa công bố, thông tin nhân sự, kế hoạch đầu tư, dữ liệu vận hành hoặc thậm chí chính sự tồn tại của giao dịch. Các bên có thể thỏa thuận bảo mật đối với những thông tin này ngay cả khi chúng chưa chắc đáp ứng đầy đủ điều kiện để được pháp luật bảo hộ với tư cách bí mật kinh doanh.
Theo Luật Sở hữu trí tuệ, bí mật kinh doanh là thông tin thu được từ hoạt động đầu tư tài chính, trí tuệ, chưa được bộc lộ và có khả năng sử dụng trong kinh doanh[1]. Để được bảo hộ, thông tin phải đồng thời: không phải là hiểu biết thông thường và không dễ dàng có được; khi được sử dụng trong kinh doanh có khả năng tạo cho người nắm giữ lợi thế so với người không nắm giữ hoặc không sử dụng; và được chủ sở hữu bảo mật bằng các biện pháp cần thiết để thông tin không bị bộc lộ và không dễ dàng tiếp cận.
Điều kiện cuối cùng đặc biệt quan trọng trong M&A. Một doanh nghiệp không thể chỉ gắn nhãn “Confidential” lên tài liệu rồi mặc nhiên cho rằng tài liệu đó đã được bảo vệ như bí mật kinh doanh. Cách doanh nghiệp quản lý quyền truy cập, phân loại tài liệu, ký thỏa thuận bảo mật, kiểm soát việc tải xuống và lưu lại lịch sử truy cập đều có thể trở thành những yếu tố quan trọng để chứng minh doanh nghiệp đã thực sự đối xử với thông tin đó như một bí mật.
2. Rủi ro lớn nhất có thể xuất hiện khi thương vụ không thành
Trong quá trình Due Diligence, bên mua có thể tiếp cận lượng thông tin mà trong điều kiện kinh doanh thông thường gần như không có được như: cơ cấu giá, biên lợi nhuận, khách hàng lớn, điều kiện thương mại với nhà cung cấp, công nghệ, kế hoạch sản phẩm, chiến lược thị trường và thậm chí cả điểm mạnh, điểm yếu trong hoạt động của doanh nghiệp mục tiêu.
Nếu thương vụ hoàn tất, nhiều rủi ro trong số đó giảm đáng kể vì bên mua trở thành chủ sở hữu hoặc kiểm soát doanh nghiệp mục tiêu. Nhưng nếu thương vụ thất bại, bên mua có thể không sở hữu doanh nghiệp mà vẫn đã hiểu khá rõ doanh nghiệp đó vận hành như thế nào. Rủi ro đặc biệt đáng lưu ý khi bên mua đồng thời là đối thủ cạnh tranh: thông tin về khách hàng, giá bán, chi phí, chiến lược đấu thầu hoặc kế hoạch phát triển thị trường có thể tạo ra lợi thế đáng kể nếu được sử dụng ngoài mục đích đánh giá giao dịch.
Pháp luật sở hữu trí tuệ và pháp luật cạnh tranh đều đặt ra cơ chế xử lý đối với việc tiếp cận, thu thập, tiết lộ hoặc sử dụng trái phép thông tin bí mật trong kinh doanh. Tuy nhiên, có quy định pháp luật không đồng nghĩa việc xử lý tranh chấp sẽ đơn giản. Bên bán vẫn có thể phải chứng minh thông tin nào là bí mật, mình đã bảo vệ thông tin đó ra sao, ai đã tiếp cận, việc sử dụng trái phép xảy ra như thế nào và thiệt hại phát sinh từ đâu.
3. Khi bên mua là đối thủ, vấn đề không chỉ còn là bí mật kinh doanh
Một giao dịch giữa các doanh nghiệp đang hoặc có khả năng cạnh tranh với nhau đặt ra rủi ro phức tạp hơn. Nếu bên mua yêu cầu dữ liệu chi tiết về giá bán của từng khách hàng, mức chiết khấu, biên lợi nhuận, kế hoạch tăng giá, công suất sản xuất, chiến lược đấu thầu hoặc kế hoạch kinh doanh trong tương lai, những thông tin này có thể cần thiết cho việc định giá doanh nghiệp nhưng đồng thời cũng có thể là thông tin nhạy cảm về cạnh tranh.
Nếu các thông tin như vậy được chuyển trực tiếp cho đội ngũ kinh doanh, bán hàng hoặc định giá của một đối thủ trước khi giao dịch hoàn tất, vấn đề không còn chỉ là nguy cơ mất bí mật kinh doanh mà còn cần được xem xét dưới góc độ pháp luật cạnh tranh. Vì vậy, đối với giao dịch có mức độ nhạy cảm cao, các bên có thể thiết lập cơ chế nhóm tiếp cận thông tin hạn chế (clean team) giới hạn gồm luật sư, cố vấn tài chính hoặc nhân sự không trực tiếp tham gia quyết định cạnh tranh trên thị trường được tiếp cận dữ liệu nhạy cảm.
Nhóm này có thể phân tích dữ liệu và chỉ cung cấp cho những người ra quyết định của bên mua kết quả đã được tổng hợp, ẩn danh hoặc loại bỏ các chi tiết nhạy cảm không cần thiết. Cơ chế này giúp dung hòa hai lợi ích: bên mua vẫn có đủ dữ liệu để đánh giá giao dịch, trong khi bên bán không phải trực tiếp chuyển toàn bộ thông tin cạnh tranh nhạy cảm cho chính đối thủ của mình.
4. NDA là cần thiết, nhưng chưa đủ
Thỏa thuận bảo mật (NDA) nên được ký trước khi bên bán bắt đầu cung cấp các thông tin quan trọng. Tuy nhiên, giá trị của NDA không nằm ở tên gọi mà ở cách nghĩa vụ bảo mật được thiết kế. NDA cần xác định đủ rõ phạm vi thông tin bảo mật, giới hạn mục đích sử dụng vào việc đánh giá giao dịch dự kiến và kiểm soát việc sử dụng thông tin để cạnh tranh, tiếp cận khách hàng, nhà cung cấp hoặc nhân sự của bên bán.
NDA cũng cần xác định những người được phép tiếp cận thông tin. Trong thực tế, thông tin có thể đến luật sư, kế toán, ngân hàng, cố vấn tài chính, tư vấn kỹ thuật, công ty liên kết và nhân viên của bên mua. Vì vậy, phạm vi bảo đảm và trách nhiệm của bên mua đối với hành vi của những người này cần được quy định rõ. Một vấn đề khác thường bị bỏ qua là thông tin vẫn còn trong trí nhớ của những người đã tiếp cận tài liệu. Nếu NDA cho phép bên nhận tự do sử dụng kiến thức còn lưu trong trí nhớ sau khi tài liệu được trả lại hoặc tiêu hủy, hiệu quả bảo vệ có thể bị suy giảm đáng kể.
Nghĩa vụ bảo mật cũng không nhất thiết nên áp dụng một thời hạn giống nhau đối với mọi thông tin. Với thông tin bảo mật thông thường, các bên có thể thỏa thuận một khoảng thời gian xác định. Nhưng với bí mật kinh doanh cốt lõi như công thức, thuật toán hoặc know-how, cần cân nhắc duy trì nghĩa vụ trong thời gian thông tin vẫn giữ tính chất bí mật theo thỏa thuận và pháp luật áp dụng.
Cơ chế chế tài phải được xây dựng phù hợp với luật điều chỉnh hợp đồng. Phạt vi phạm, bồi thường thiệt hại và các biện pháp yêu cầu chấm dứt hoặc ngăn chặn hành vi xâm phạm không nên được sao chép máy móc từ các mẫu NDA nước ngoài. Chẳng hạn, nếu Luật Thương mại Việt Nam được áp dụng, mức phạt vi phạm về nguyên tắc chịu giới hạn theo Điều 301 của Luật này, trong khi bồi thường thiệt hại được điều chỉnh bởi các điều kiện pháp lý riêng. Do đó, các cơ chế thường gặp trong hợp đồng theo thông luật như liquidated damages hoặc injunctive relief không nên được sao chép máy móc mà cần được thiết kế phù hợp với luật điều chỉnh hợp đồng và cơ chế giải quyết tranh chấp được lựa chọn.
Một sai lầm phổ biến là thiết kế quy trình Due Diligence với giả định rằng giao dịch cuối cùng sẽ hoàn tất.
5. Đừng tiết lộ tất cả cùng một lúc
Một NDA tốt vẫn không thể thay thế việc kiểm soát thông tin. Nguyên tắc quan trọng trong M&A là “need-to-know”[2]: bên mua chỉ nên được tiếp cận lượng thông tin cần thiết cho quyết định tại từng giai đoạn. Ở giai đoạn đầu, bên bán có thể cung cấp thông tin tổng hợp hoặc đã được ẩn danh; khi giao dịch tiến sâu hơn, phạm vi thông tin có thể được mở rộng; còn dữ liệu đặc biệt nhạy cảm chỉ nên được cung cấp ở giai đoạn thích hợp, cho nhóm người thích hợp hoặc thông qua đội ngũ đặc biệt. Đây là cách tiếp cận tiết lộ thông tin theo từng giai đoạn (staged disclosure), thay vì mở toàn bộ dữ liệu ngay từ đầu.
Một phòng dữ liệu ảo (Virtual Data Room - VDR) tốt cũng không đơn thuần là nơi tải tài liệu lên mạng. Các tính năng như phân quyền theo người dùng, hạn chế tải xuống hoặc in, xác thực người dùng, thời hạn truy cập, nhật ký hoạt động và quyền thu hồi truy cập giúp bên bán kiểm soát vòng đời của thông tin. Đối với tài liệu đặc biệt nhạy cảm, doanh nghiệp còn có thể sử dụng công cụ ẩn danh khách hàng, tổng hợp dữ liệu hoặc chỉ cho phép xem mà không tải xuống. Những biện pháp này vừa giảm nguy cơ lạm dụng thông tin, vừa tạo dấu vết chứng minh doanh nghiệp đã áp dụng các biện pháp thực tế để bảo vệ bí mật.
6. Phải chuẩn bị cho tình huống giao dịch thất bại ngay từ đầu
Một sai lầm phổ biến là thiết kế quy trình Due Diligence với giả định rằng giao dịch cuối cùng sẽ hoàn tất. Nhưng chính khi giao dịch thất bại, cơ chế bảo mật mới được kiểm nghiệm. NDA vì vậy cần xử lý rõ hậu quả khi đàm phán chấm dứt: quyền truy cập phòng dữ liệu (data room) phải được đóng; tài liệu và bản sao phải được hoàn trả hoặc tiêu hủy theo cơ chế đã thỏa thuận; trong trường hợp phù hợp, bên nhận phải xác nhận việc tiêu hủy; và nghĩa vụ bảo mật tiếp tục tồn tại theo thời hạn đã thống nhất.
Đối với thông tin đặc biệt nhạy cảm, doanh nghiệp cũng nên lưu lại bằng chứng về việc ai đã được quyền tiếp cận, tài liệu nào đã được mở hoặc tải xuống và vào thời điểm nào. Khi tranh chấp xảy ra, bên bán có thể phải chứng minh một chuỗi vấn đề: thông tin có đáp ứng điều kiện của bí mật kinh doanh hay không; mình có quyền hợp pháp đối với thông tin hay không; đã áp dụng biện pháp bảo mật nào; bên mua hoặc người liên quan đã tiếp cận thông tin nào; có hành vi sử dụng hoặc tiết lộ trái phép hay không; và thiệt hại nào thực tế phát sinh. Một email yêu cầu bảo mật thông tin khó có thể tạo ra vị thế chứng cứ giống như một hệ thống gồm NDA, phân loại tài liệu, quyền truy cập giới hạn, nhật ký VDR và bộ quy tắc tiếp cận thông tin mật được thiết lập ngay từ đầu.
7. Bảo vệ bí mật kinh doanh phải bắt đầu trước khi mở data room
M&A là một quá trình đặc biệt bởi doanh nghiệp phải cho một người chưa phải chủ sở hữu nhìn vào những phần sâu nhất của hoạt động kinh doanh để thuyết phục họ trở thành chủ sở hữu. Do đó, rủi ro đối với bí mật kinh doanh không bắt đầu khi thông tin bị đánh cắp. Nó bắt đầu ngay từ thời điểm doanh nghiệp tự nguyện trao quyền tiếp cận thông tin cho một bên chưa chắc sẽ trở thành người mua.
NDA là lớp bảo vệ đầu tiên, nhưng không nên là lớp bảo vệ duy nhất. Một cơ chế hiệu quả cần kết hợp ít nhất ba tầng: bảo vệ bằng hợp đồng, kiểm soát việc tiếp cận và sử dụng thông tin, và duy trì bằng chứng về toàn bộ quá trình tiết lộ. Với những giao dịch mà bên mua là đối thủ cạnh tranh, cần bổ sung một tầng kiểm soát đối với thông tin nhạy cảm cạnh tranh thông qua tiết lộ theo từng giai đoạn, ẩn danh hoặc tổng hợp dữ liệu, clean team và các giới hạn truy cập phù hợp.
Sau cùng, bảo vệ bí mật kinh doanh trong M&A không có nghĩa là giữ kín mọi thứ. Một giao dịch sẽ không thể tiến triển nếu bên mua không có đủ thông tin để đánh giá doanh nghiệp. Điều quan trọng là doanh nghiệp phải biết thông tin nào cần tiết lộ, tiết lộ cho ai, ở thời điểm nào và trong giới hạn nào. Bởi một thương vụ M&A có thể dừng lại, nhưng thông tin đã được tiết lộ thì không phải lúc nào cũng có thể lấy lại.
