目前，世界各国在国家安全审查方面的立法模式主要分为以下两种：（1）专门立法。即以专门的成文立法为基础，辅之以其它层级的法规和相关规则指引。（2）混合立法。对外资保持宽松投资政策的国家通常采用该立法模式。国家没有专门的外商投资立法和外资国家安全审查的规定，对外资投资并购的监管更多依赖竞争法等其它部门法的规定。

美国是典型的采取专门立法模式的国家。1950年的《国防生产法》（也称《经济管制法》）为美国国家安全审查制度的立法奠定了基础。1988年国会通过的《埃克森-弗罗里奥修正案》（《1988年法》）标志着美国外资并购国家安全审查制度的建立，同时成为CFIUS（The Committee on Foreign Investment in the United States）进行国家安全审查的法律依据。此外，CFIUS1991年颁布的《关于外国法人收购、兼并和接管的条例》系《1988年法》的实施细则。

9•11事件后，迪拜世界港口公司并购半岛及东方轮船公司案再次在美国引起轩然大波。2007年的《外国投资与国家安全法》（FINSA）应运而生。次年4月28日出台的《关于外国法人收购、兼并和接管的条例》系其实施细则。

此后，在2008年，美国财政部颁布的《美国外国投资委员会国家安全审查指南》从国家安全因素、CFIUS考虑的交易类型以及可能引起国家安全考虑的交易信息三个方面概述了CFIUS审查程序的目的和性质，为涉及安全审查的并购当事人正确理解和顺利实施法律提供指导。

2018年美国通过《外国投资风险评估现代化法案》（Foreign Investment Risk Review Modernization Act，以下简称 FIRRMA），进一步扩大了CFIUS的权限，特别是对外国资本投资美国敏感行业或获取新技术的交易加强了管控。

美国在国家安全审查方面的立法体系完整清晰，具有规范性，在运用时灵活简便，对并购当事人具有透明度，是立法模式中较好的选择。

CFIUS、总统和国会，分别负责审查、决定和监督。

CFIUS于1975年成立，隶属于财政部。根据《1988年法》，负责外资并购的安全审查。

CFIUS是一个跨部门的委员会由多个行政部门及白宫机构人员组成，委员会主席由财政部部长担任，成员包括国务卿、国防部部长、商务部部长、司法部部长、国土安全部部长、能源部部长、劳工部部长、贸易代表办公室主任、科技政策办公室主任、总统国家安全事务助理、经济顾问委员会主席、管理和预算办公室主任、总统国土安全和反恐助理、总统经济政策助理和中央情报局局长等。

《1988年法》将安全审查的决定权授予总统，CFIUS只有建议总统阻止某项外资并购的权力，只有总统才有权中止或禁止任何外资并购交易。总统在收到CFIUS提交的调查报告后，应在15天内作出最终决定并予宣布。国家安全审查的实质结果是一个不具有可裁判性的政治问题。也就是说，对于该等结果，交易方无法通过司法程序提起异议。

虽然总统的决定不受司法管辖，但总统作出决定的过程仍必须符合美国宪法保护的程序正义。即交易方可以要求对审查程序的正当性进行司法审查。

2014年，就中国三一集团关联公司Ralls公司在美国收购风力发电厂一案，美国哥伦比亚特区联邦上诉法院作出一纸判决，法庭认为总统奥巴马禁止Ralls公司收购美国风电项目的总统令违反程序正义，Ralls公司有权查阅作为总统判断依据的非保密性证据，也应享有对证据做出回应的机会。虽然该案并未改变国家安全审查的实质结果，但亦成为中资企业向美国政府维权的标志性案件。该案最终以Ralls公司与美国政府和解而落下帷幕。

随着美国国家安全审查制度的发展，国会的监督权不断扩大。

国会的监督不仅仅是针对具体某个案件的某一审查程序的监督，而且是贯穿审查始终的监督，不仅仅是审查程序中某一环节，而且是一项独立的制度；不仅包括审查中的监督，也包括审查后的监督。其中事后监督的主要体现为，委员会主席应在每年7月31日前，将12个月报告期内完成审查的相关交易年度报告发送给参众两院有管辖权的委员会主席和高级成员。

《1988年法》及其实施细则并未明确定义“国家安全”，仅规定了进行国家安全审查时的考虑因素：（1）并购活动是否影响美国国内国防生产；（2）并购活动是否影响美国国内与国防相关行业的生产经营活动；（3）并购活动是否影响美国国防需要的满足度。

在此基础上，FINSA又对考虑因素进行了进一步扩大：（1）并购活动对美国重要基础设施，包括重要能源设施所构成的与国家安全有关的潜在影响；（2）并购活动对美国重要技术所构成的与国家安全有关的潜在影响；（3）并购活动是否为外国政府所控制；（4）酌情对相关交易进行审查与评估；（5）并购活动是否影响美国对能源和其他重要资源及原材料需求的长期预测；（6）兜底条款：其它应当适当考虑的因素。

而近两年，FIRRMA等新规更加强了对敏感技术（T）、基础设施（I）、数据（D）等领域的监督。其中敏感个人数据包括财务数据、地理位置数据、健康、遗传测试数据等健康和基因测试数据等。在TikTok案中，美国政府认为，TikTok会收集用户访问记录、搜索历史、点击记录、邮件、图片、位置资料等，而这类数据可以被“武器化”。美国政府担心，TikTok收集了这些用户数据后，会将其交给中国政府。

CFIUS不仅可以对交易进行事前或事中审查，还可以对已经完成交割的交易进行事后审查。换句话说，即使交易时被认为符合国家安全审查，数年后仍有可能面临旧事重提的险境，在国家安全审查的语境下，“法可溯及既往”。在事前/事中/事后的审查中，“外国投资者”与“控制”是审查中的重点。

外国投资者分为外国自然人和外国法人，即使不是美国公民，在国家安全审查的语境下，对美国永远忠诚的个人也被认定为美国国民。

而在认定外国法人时，企业设立地及设立所依据的法律并非决定性因素，企业控制权的掌握者才是决定性因素。当企业的决策受到外国政策干预时，企业被视为外国法人。

具有代表性的是2017年的Lattice收购案。在该交易中，外国投资者Canyon Bridge,是一家总部位于加利福尼亚州，但具有中国背景的私募基金管理公司。交易拟收购的是Lattice半导体公司，一家位于俄勒冈州的芯片制造商，主要制造用于机动车、计算机和移动电话等特定胜任的可编程逻辑芯片。中国投资者为避免进行直接投资，在美国注册了Canyon Bridge，并以两位美国公民作为该公司的普通合伙人，管理公司的主要运营活动，中国投资者仅为有限合伙人。但最终，考虑到知识产权转移、半导体供应链等因素，美国总统签署命令禁止了该交易。可见，无论收购方如何设计交易结构，CFIUS最终还是会追踪到实际控制人及其关联方，并据此认定究竟哪一外国人/组织才是真正的“外国投资者”。

在中美对抗的大背景下，中资企业不可避免地成为CFIUS的重点关注对象。而TikTok实质业务涉及敏感数据领域，又身披中资企业的外衣，经此波折便也不难理解了。

FINSA实施细则给“控制”下了较为规范的定义：拥有多数股/占支配地位的少数股、在董事会中占有席位、代理投标、特殊股份、合同安排、正式或非正式的协同行动安排，或以其他方式拥有直接/间接决定公司重要事项的权力。

美国对“控制”认定的最大特点是，没有数额或比例限制。并购少数股，或以间接投资为目的而不参与经营的企业均有可能被认定为“控制”。由此可见CFIUS极大的自由裁量权，以及执法的不确定性。

《1988年法》及其实施细则规定了两种启动程序：（1）投资者自愿申报；（2）CFIUS机构通知。其中，自愿申报为主，机构通知为辅。

审查前的非正式磋商程序体现了美国外资政策的自由开放性与灵活性。

CFIUS鼓励各方在提交通知前咨询委员会，并在适当情况下提交草稿或其他相关文件，以帮助委员会理解交易内容。这一程序给了CFIUS了解被审查对象基本情况的契机，可以有效避免不必要的审查，缓解了审查压力。

委员会将在30天内对交易进行适当审查，如果经过30天的初审，委员会决定不进行调查，则整个国家安全审查程序宣告结束，无须再提交总统决定。

如果出现以下情况，则委员会会对该交易进行为期45天的调查：（1）委员会的一个成员认为该交易威胁到美国的国家安全，并且这种威胁没有得到缓解，因此向主席提出调查建议；（2）牵头机构建议且委员会同意进行调查。

缓和措施制度指，委员会或代表委员会的牵头机构可以与并购交易的当事方谈判，签订缓和协议或对相关交易设定限制性条件，并对这些协议或条件予以强制执行，以减轻并购交易对美国国家安全构成的任何威胁。

在委员会完成审查或调查之前，当事方撤回交易书面通知的，委员会以可建立跟踪程序，以便在当事人重新提交通知前，针对交易任何一方就该交易可能采取的任何行动进行跟踪。

在签订缓和协议或设定限制性条件后，交易当事方须定期向委员会以提交有关缓和协议或限制性条件方面的任何重大修改报告，并向美国国家情报总监、司法部部长等进行报告。后续监督也体现了美国国家安全审查制度的完善性。

FINSA实施细则规定，以下两种情形交易方将受到罚款：（1）故意或重大过失，提交虚假陈述，作出虚假证明；（2）故意或重大过失，违反与美国达成的实质性协议/一致性条款。

委员会依据缓和协议中确定的清算损失和实际损失确定罚款。被处罚的交易方在收到处罚通知后一定期限内，可以书面上诉、辩护、论证和解释。

当前，中美关系存在不稳定因素。可以预见，前往美国参与收购高科技、军工、数据等敏感业务的中资企业，极有可能将要应对美国频繁提起的国家安全审查。这也正反应了国家安全审查制度的“政治内核”。