Cyber Due Diligence: Rủi Ro Công Nghệ Trong M&A

Trong nhiều thương vụ M&A, rủi ro công nghệ không làm đổ vỡ giao dịch ở giai đoạn công bố. Nó thường xuất hiện muộn hơn: khi hệ thống của bên mua bắt đầu kết nối với hệ thống của bên bán, khi dữ liệu khách hàng được di chuyển, khi một lỗ hổng bảo mật cũ trở thành nghĩa vụ bồi thường mới, hoặc khi cơ quan quản lý yêu cầu giải trình về dữ liệu cá nhân sau khi quyền kiểm soát đã chuyển giao.

Vấn đề nằm ở chỗ cyber due diligence vẫn thường bị đối xử như một phụ lục kỹ thuật, trong khi bản chất của nó là một phần của định giá, cấu trúc giao dịch và phân bổ rủi ro pháp lý. Một doanh nghiệp có doanh thu tốt, khách hàng tăng trưởng và biên lợi nhuận hấp dẫn vẫn có thể mang theo “nợ công nghệ” chưa được ghi nhận: phần mềm không có quyền sở hữu rõ ràng, dữ liệu khách hàng lưu trữ rải rác, hệ thống lõi phụ thuộc vào một nhà cung cấp nhỏ, tài khoản quản trị không được kiểm soát, hoặc sự cố an ninh mạng từng xảy ra nhưng chưa được báo cáo đầy đủ.

Trong bối cảnh Việt Nam và Đông Nam Á, rủi ro này càng nhạy cảm vì nhiều doanh nghiệp tăng trưởng nhanh trước khi xây dựng được nền tảng quản trị công nghệ tương xứng. Thương mại điện tử, tài chính số, y tế, giáo dục, phần mềm dịch vụ và bán lẻ đa kênh đều dựa vào dữ liệu. Khi dữ liệu trở thành tài sản mua bán, kiểm tra an ninh mạng không còn là câu hỏi “hệ thống có an toàn không”, mà là câu hỏi “bên mua có đang trả giá đúng cho tài sản có thể khai thác hợp pháp, bền vững và không kéo theo nghĩa vụ tiềm ẩn hay không”.

Trong bài viết này

• 1. Cyber due diligence không phải kiểm tra kỹ thuật, mà là kiểm tra chất lượng tài sản số
• 2. Checklist thẩm định: 8 vùng rủi ro công nghệ bên mua không thể bỏ qua
• 3. Từ phát hiện kỹ thuật đến điều khoản SPA: nơi rủi ro được định giá thật sự
• 4. Trí tuệ nhân tạo làm thay đổi due diligence, nhưng không thay thế phán đoán giao dịch
• 5. Khác biệt Việt Nam, Singapore và ASEAN: cùng một checklist, khác cách ưu tiên
• 6. Playbook thực chiến: biến cyber due diligence thành lợi thế đàm phán

1. Cyber due diligence không phải kiểm tra kỹ thuật, mà là kiểm tra chất lượng tài sản số

Sai lầm phổ biến trong M&A là chỉ đưa đội công nghệ vào cuộc sau khi các điều khoản kinh tế chính đã gần như chốt xong. Khi đó, kiểm tra công nghệ bị giới hạn thành danh sách máy chủ, giấy phép phần mềm, hợp đồng nhà cung cấp và báo cáo quét lỗ hổng. Cách tiếp cận này bỏ sót câu hỏi quan trọng hơn: tài sản số mà bên mua định mua có thực sự thuộc về doanh nghiệp mục tiêu, có thể chuyển giao, có thể tích hợp và có thể vận hành mà không phát sinh rủi ro bất thường hay không.

Với một công ty phần mềm, nền tảng dữ liệu hoặc doanh nghiệp số hóa sâu, mã nguồn, dữ liệu người dùng, thuật toán, hạ tầng đám mây, quyền truy cập và quy trình vận hành chính là một phần của giá trị doanh nghiệp. Nếu quyền sở hữu trí tuệ đối với mã nguồn không rõ vì từng thuê nhà thầu bên ngoài, định giá phải phản ánh rủi ro đó. Nếu dữ liệu người dùng được thu thập nhưng thiếu cơ sở pháp lý hoặc thiếu bằng chứng đồng ý, khả năng khai thác sau giao dịch có thể bị giới hạn. Nếu hệ thống lõi phụ thuộc vào một kỹ sư chủ chốt chưa có kế hoạch giữ chân, rủi ro không nằm ở máy chủ mà nằm ở khả năng duy trì vận hành.

Thị trường pháp lý cũng đang dịch chuyển theo hướng buộc bên mua nhìn rủi ro công nghệ như một rủi ro giao dịch. Các phân tích gần đây về M&A nhấn mạnh vai trò ngày càng quan trọng của cybersecurity representations and warranties — các cam kết và bảo đảm của bên bán về an ninh mạng trong hợp đồng mua bán. Điều này phản ánh một thực tế: nếu sự cố công nghệ được phát hiện sau hoàn tất, câu hỏi không chỉ là “ai sửa hệ thống”, mà là “ai chịu thiệt hại kinh tế, nghĩa vụ thông báo, tiền phạt, chi phí điều tra và tổn thất danh tiếng”.

Đối với Việt Nam, vấn đề còn phức tạp hơn khi giao dịch thường có yếu tố xuyên biên giới: bên mua đặt tại Singapore, Nhật Bản, Hàn Quốc hoặc châu Âu; doanh nghiệp mục tiêu vận hành tại Việt Nam; dữ liệu có thể lưu trên hạ tầng đám mây toàn cầu; khách hàng lại nằm ở nhiều thị trường. Trong cấu trúc như vậy, cyber due diligence phải kết nối ba lớp: công nghệ, pháp lý và thương mại. Một phát hiện kỹ thuật chỉ có giá trị khi được dịch sang tác động định giá, điều kiện hoàn tất, cam kết bồi thường hoặc kế hoạch hậu sáp nhập.

Insight: Cyber due diligence hiệu quả không nhằm chứng minh hệ thống “an toàn tuyệt đối”. Mục tiêu thực tế hơn là xác định rủi ro nào làm giảm giá trị tài sản số, rủi ro nào có thể khắc phục trước hoàn tất, và rủi ro nào phải được chuyển hóa thành điều khoản trong SPA.

2. Checklist thẩm định: 8 vùng rủi ro công nghệ bên mua không thể bỏ qua

Một checklist tốt không phải là danh sách càng dài càng tốt. Trong M&A, thời gian thẩm định thường bị nén, quyền truy cập thông tin bị giới hạn, và bên bán có xu hướng chỉ cung cấp những gì đã sẵn sàng trong phòng dữ liệu. Vì vậy, checklist cyber due diligence phải được thiết kế theo logic rủi ro: khu vực nào có thể làm thay đổi giá mua, làm chậm hoàn tất, kích hoạt nghĩa vụ pháp lý, hoặc gây thất bại trong giai đoạn tích hợp.

Vùng đầu tiên là lịch sử sự cố và năng lực phát hiện. Câu hỏi không chỉ là doanh nghiệp từng bị tấn công hay chưa. Một câu trả lời “chưa từng” ít có giá trị nếu doanh nghiệp không có công cụ ghi nhận nhật ký truy cập, không có quy trình phản ứng sự cố, hoặc không lưu bằng chứng kỹ thuật đủ lâu. Trong nhiều trường hợp, rủi ro lớn nhất không phải là sự cố đã biết, mà là sự cố chưa được phát hiện. Bên mua vì thế phải đánh giá cả năng lực giám sát, không chỉ lịch sử báo cáo.

Vùng thứ hai là quản trị quyền truy cập. Các doanh nghiệp tăng trưởng nhanh thường tích lũy nhiều tài khoản quản trị cũ, tài khoản của nhân sự đã nghỉ, quyền truy cập của nhà thầu, hoặc mật khẩu dùng chung giữa nhiều nhóm. Đây là rủi ro nhỏ trên giấy nhưng có thể trở thành điểm xâm nhập sau giao dịch, đặc biệt khi hai hệ thống bắt đầu kết nối. Đối với các công ty vận hành dữ liệu khách hàng hoặc giao dịch tài chính, việc thiếu kiểm soát quyền truy cập còn làm yếu vị thế pháp lý của bên bán khi đưa ra cam kết trong SPA.

Vùng thứ ba là dữ liệu cá nhân và quyền khai thác dữ liệu. Tại Đông Nam Á, mỗi thị trường có một cách tiếp cận riêng về bảo vệ dữ liệu, chuyển dữ liệu xuyên biên giới và nghĩa vụ thông báo. Singapore có khung pháp lý M&A phát triển hơn và thường được dùng làm nơi đặt pháp nhân nắm giữ khu vực, trong khi Việt Nam có môi trường pháp lý đang được cập nhật liên tục, từ kiểm soát tập trung kinh tế đến nghĩa vụ tuân thủ thuế và dữ liệu. Do đó, một thương vụ mua công ty Việt Nam thông qua cấu trúc Singapore không thể chỉ kiểm tra luật Singapore; tài sản dữ liệu nằm ở đâu, người dùng ở đâu và hoạt động xử lý diễn ra ở đâu mới là câu hỏi quyết định.

• Lịch sử sự cố: sự cố an ninh mạng, thời điểm phát hiện, phạm vi ảnh hưởng, hành động khắc phục, nghĩa vụ thông báo đã thực hiện.
• Quản trị quyền truy cập: tài khoản quản trị, xác thực đa yếu tố, quyền của nhà thầu, quy trình thu hồi quyền khi nhân sự nghỉ việc.
• Dữ liệu cá nhân: loại dữ liệu thu thập, cơ sở pháp lý, bằng chứng đồng ý, chính sách lưu trữ, chuyển dữ liệu xuyên biên giới.
• Hạ tầng công nghệ: hệ thống lõi, hạ tầng đám mây, máy chủ nội bộ, sao lưu, khôi phục sau thảm họa.
• Phần mềm và sở hữu trí tuệ: mã nguồn, giấy phép phần mềm, mã nguồn mở, hợp đồng nhà thầu, quyền chuyển giao.
• Nhà cung cấp trọng yếu: hợp đồng dịch vụ, điều khoản chấm dứt khi thay đổi quyền kiểm soát, cam kết mức dịch vụ.
• Tuân thủ ngành: yêu cầu riêng trong tài chính, y tế, giáo dục, thương mại điện tử hoặc viễn thông.
• Kế hoạch tích hợp: khả năng kết nối hệ thống, chi phí khắc phục, thời gian chuyển đổi và rủi ro gián đoạn vận hành.

Vùng thứ tư là phụ thuộc nhà cung cấp. Nhiều doanh nghiệp mục tiêu không sở hữu toàn bộ hạ tầng mà dựa vào dịch vụ đám mây, nhà cung cấp thanh toán, phần mềm quản trị, đơn vị vận hành trung tâm dữ liệu hoặc đội phát triển thuê ngoài. Nếu hợp đồng có điều khoản chấm dứt khi thay đổi quyền kiểm soát, hoặc không cho phép chuyển giao cho bên mua, thương vụ có thể gặp rủi ro vận hành ngay sau hoàn tất. Đây là điểm thường bị xem nhẹ trong giao dịch quy mô vừa tại Việt Nam, nơi quan hệ nhà cung cấp đôi khi vận hành dựa trên thỏa thuận thương mại hơn là hợp đồng được soạn kỹ.

Vùng thứ năm là chi phí khắc phục. Cyber due diligence không dừng ở phát hiện lỗ hổng; nó phải lượng hóa chi phí sửa chữa, thời gian thực hiện và tác động đến hoạt động kinh doanh. Một phát hiện như thiếu xác thực đa yếu tố có thể xử lý tương đối nhanh. Ngược lại, việc tái cấu trúc toàn bộ quyền truy cập, thay thế hệ thống lõi, làm sạch dữ liệu khách hàng hoặc viết lại phần mã nguồn không có quyền sở hữu rõ ràng có thể tiêu tốn nhiều tháng. Bên mua cần đưa chi phí này vào mô hình định giá như một khoản nợ kỹ thuật, tương tự nợ tài chính hoặc nghĩa vụ thuế tiềm ẩn.

3. Từ phát hiện kỹ thuật đến điều khoản SPA: nơi rủi ro được định giá thật sự

Giá trị của cyber due diligence chỉ được bảo vệ khi phát hiện kỹ thuật đi vào tài liệu giao dịch. Nếu đội công nghệ phát hiện rủi ro nhưng SPA vẫn chỉ có điều khoản chung rằng bên bán tuân thủ pháp luật và không có tranh chấp trọng yếu, bên mua đang để lại khoảng trống lớn. Khi sự cố phát sinh sau hoàn tất, tranh luận sẽ xoay quanh việc bên bán đã biết hay đáng lẽ phải biết, sự cố có trọng yếu hay không, và thiệt hại có nằm trong phạm vi bồi thường hay không.

Đó là lý do cybersecurity representations and warranties trở thành phần quan trọng trong giao dịch hiện đại. Các cam kết này có thể bao phủ nhiều điểm: doanh nghiệp đã áp dụng biện pháp bảo vệ hợp lý; không có sự cố an ninh mạng chưa được tiết lộ; dữ liệu được thu thập và xử lý phù hợp; không có truy cập trái phép trọng yếu; phần mềm không chứa mã độc; và các nhà cung cấp xử lý dữ liệu tuân thủ nghĩa vụ hợp đồng. Cách soạn càng cụ thể, khả năng thực thi càng cao.

Tuy nhiên, điều khoản quá rộng cũng có thể làm giao dịch mắc kẹt. Bên bán sẽ chống lại các cam kết tuyệt đối, đặc biệt nếu hệ thống phức tạp hoặc lịch sử vận hành kéo dài. Một cách tiếp cận cân bằng hơn là phân nhóm rủi ro: rủi ro đã biết được đưa vào phụ lục công bố; rủi ro có thể khắc phục trước hoàn tất trở thành điều kiện tiên quyết; rủi ro chưa thể lượng hóa được bảo vệ bằng escrow hoặc bồi thường chuyên biệt; rủi ro thấp được xử lý trong kế hoạch hậu sáp nhập.

Kinh nghiệm từ các tranh chấp hậu giao dịch như Project Freeway v. ABC Technologies tại Canada cho thấy điều khoản sau hoàn tất có thể trở thành điểm nóng khi kỳ vọng kinh tế và nghĩa vụ hợp đồng không được thiết kế rõ. Dù bối cảnh vụ việc liên quan đến earn-out acceleration sau hoàn tất, bài học rộng hơn cho cyber due diligence là giống nhau: các cơ chế hậu giao dịch chỉ vận hành tốt khi điều kiện kích hoạt, phạm vi nghĩa vụ và hệ quả tài chính được viết đủ chặt. Nếu một sự cố an ninh mạng có thể ảnh hưởng đến earn-out, giữ lại thanh toán hoặc quyền bồi thường, mối liên hệ đó phải được thể hiện rõ trong hợp đồng.

Trong giao dịch tại Việt Nam, bên mua nước ngoài thường kết hợp nhiều lớp bảo vệ: điều kiện hoàn tất về giấy phép và phê duyệt, cam kết tuân thủ dữ liệu, giữ lại một phần giá mua, và quyền bồi thường sau hoàn tất. Nhưng việc áp dụng máy móc mẫu hợp đồng từ Singapore hoặc Anh-Mỹ vào doanh nghiệp Việt Nam có thể gây phản tác dụng nếu nghĩa vụ quá xa thực tế vận hành của bên bán. Điều khoản tốt không phải là điều khoản dài nhất; điều khoản tốt là điều khoản phản ánh đúng phát hiện thẩm định, có bằng chứng hỗ trợ và có cơ chế xử lý khả thi.

4. Trí tuệ nhân tạo làm thay đổi due diligence, nhưng không thay thế phán đoán giao dịch

Các công cụ trí tuệ nhân tạo đang làm thay đổi cách thực hiện due diligence. Phân tích của EY về tác động của trí tuệ nhân tạo trong giao dịch M&A cho thấy công nghệ này có thể hỗ trợ rà soát khối lượng lớn tài liệu, phát hiện mẫu bất thường, tóm tắt hợp đồng, nhận diện điều khoản rủi ro và tăng tốc quá trình kiểm tra. Với cyber due diligence, lợi ích rõ nhất nằm ở khả năng xử lý nhiều nguồn thông tin: nhật ký hệ thống, hợp đồng công nghệ, chính sách bảo mật, tài liệu kiến trúc, kho mã nguồn và biên bản sự cố.

Tuy nhiên, trí tuệ nhân tạo không tự hiểu được khẩu vị rủi ro của bên mua. Một lỗ hổng được công cụ đánh dấu “nghiêm trọng” có thể không ảnh hưởng lớn nếu hệ thống đó sẽ bị loại bỏ sau hoàn tất. Ngược lại, một điều khoản hợp đồng tưởng như nhỏ về quyền chấm dứt khi thay đổi quyền kiểm soát có thể làm tê liệt hệ thống thanh toán hoặc dịch vụ khách hàng. Phán đoán giao dịch nằm ở việc kết nối phát hiện kỹ thuật với chiến lược mua: mua để tích hợp, mua để giữ độc lập, mua để lấy dữ liệu, hay mua để lấy đội ngũ.

Rủi ro khác là phụ thuộc quá mức vào tự động hóa khi dữ liệu đầu vào không đầy đủ. Nếu phòng dữ liệu thiếu hợp đồng nhà cung cấp, thiếu phụ lục xử lý dữ liệu hoặc thiếu lịch sử sự cố, công cụ phân tích không thể tạo ra kết luận đáng tin cậy. Trong các thương vụ tại Việt Nam và ASEAN, tài liệu vận hành công nghệ của doanh nghiệp mục tiêu thường không được chuẩn hóa như các tập đoàn niêm yết ở Mỹ hoặc châu Âu. Do đó, phỏng vấn đội ngũ kỹ thuật, kiểm tra quy trình thực tế và đối chiếu với bằng chứng vận hành vẫn là phần không thể thay thế.

Cách tiếp cận hiệu quả là dùng trí tuệ nhân tạo để tăng tốc phần rà soát, nhưng để con người quyết định phần phân bổ rủi ro. Công cụ có thể phát hiện hợp đồng đám mây thiếu điều khoản bảo mật, nhưng cố vấn giao dịch phải quyết định liệu phát hiện đó dẫn đến giảm giá, yêu cầu sửa trước hoàn tất, điều khoản bồi thường hay chỉ là hạng mục trong kế hoạch hậu sáp nhập. Trong M&A, tốc độ chỉ có giá trị khi không làm giảm chất lượng phán đoán.

5. Khác biệt Việt Nam, Singapore và ASEAN: cùng một checklist, khác cách ưu tiên

Cyber due diligence không thể tách khỏi môi trường pháp lý nơi doanh nghiệp vận hành. Việt Nam có các quy định về kiểm soát tập trung kinh tế và nghĩa vụ tuân thủ doanh nghiệp đang được cập nhật liên tục; các báo cáo pháp lý quốc tế về merger control tại Việt Nam cho thấy giao dịch M&A cần đánh giá ngưỡng thông báo và tác động cạnh tranh thay vì chỉ tập trung vào ký kết thương mại. Dù kiểm soát tập trung kinh tế không phải là kiểm tra an ninh mạng, hai vấn đề này gặp nhau ở một điểm: nếu giao dịch bị kéo dài vì nghĩa vụ pháp lý, rủi ro công nghệ trong giai đoạn giữa ký kết và hoàn tất cũng tăng lên.

Singapore thường đóng vai trò trung tâm cấu trúc giao dịch khu vực nhờ hệ thống pháp lý quen thuộc với nhà đầu tư quốc tế, quy trình M&A phát triển và khả năng điều phối vốn xuyên biên giới. Nhưng việc dùng Singapore làm pháp nhân mua hoặc công ty mẹ không làm biến mất rủi ro vận hành tại Việt Nam, Indonesia, Thái Lan hay Philippines. Nếu dữ liệu khách hàng được thu thập tại Việt Nam, đội kỹ thuật ngồi tại Việt Nam và nhà cung cấp địa phương kiểm soát một phần hệ thống, thẩm định phải đi xuống lớp vận hành địa phương.

Ở Thái Lan và Indonesia, các tập đoàn nội địa lớn khi mua tài sản số thường chú trọng khả năng tích hợp vào hệ sinh thái hiện hữu: thanh toán, bán lẻ, viễn thông, ngân hàng hoặc logistics. Khi đó, cyber due diligence không chỉ hỏi hệ thống mục tiêu có an toàn độc lập hay không, mà còn hỏi việc kết nối với hệ sinh thái lớn hơn có làm mở rộng bề mặt tấn công hay không. Một doanh nghiệp nhỏ có thể chấp nhận rủi ro nhất định khi đứng riêng lẻ; nhưng khi được kết nối vào tập đoàn có hàng triệu khách hàng, cùng một lỗ hổng có thể trở thành rủi ro cấp tập đoàn.

Đối với founder cân nhắc exit, bài học thực tế là chuẩn bị cyber due diligence trước khi nhận LOI giúp kiểm soát câu chuyện định giá tốt hơn. Khi bên bán chủ động có bản đồ dữ liệu, danh sách nhà cung cấp, bằng chứng xử lý sự cố, hồ sơ giấy phép phần mềm và kế hoạch khắc phục nợ kỹ thuật, cuộc đàm phán chuyển từ thế phòng thủ sang thế giải thích có kiểm soát. Ngược lại, nếu mọi thông tin chỉ được gom vội khi bên mua hỏi, mỗi thiếu sót nhỏ đều có thể bị diễn giải thành rủi ro lớn hơn thực tế.

6. Playbook thực chiến: biến cyber due diligence thành lợi thế đàm phán

Đối với bên mua, bước đầu tiên là xác định luận điểm mua trước khi mở checklist. Nếu mua doanh nghiệp để lấy khách hàng và dữ liệu, trọng tâm phải là quyền khai thác dữ liệu, đồng ý của người dùng, chất lượng dữ liệu và khả năng kết nối với hệ thống hiện hữu. Nếu mua để lấy công nghệ, trọng tâm chuyển sang mã nguồn, sở hữu trí tuệ, kiến trúc hệ thống và đội ngũ kỹ thuật. Nếu mua để mở rộng địa lý, trọng tâm là tuân thủ pháp lý tại từng thị trường và khả năng vận hành xuyên biên giới.

Bước thứ hai là phân tầng phát hiện theo tác động giao dịch. Không phải mọi rủi ro công nghệ đều đáng để làm chậm thương vụ. Một số rủi ro có thể xử lý trong 90 ngày đầu hậu sáp nhập; một số phải xử lý trước hoàn tất; một số làm thay đổi giá; và một số đủ nghiêm trọng để kích hoạt quyền rút lui hoặc MAC clause — điều khoản cho phép bên mua không hoàn tất nếu có thay đổi bất lợi trọng yếu. Kỷ luật phân tầng giúp đội giao dịch tránh hai cực đoan: bỏ qua rủi ro nghiêm trọng hoặc làm chết thương vụ vì các lỗi kỹ thuật có thể sửa.

Bước thứ ba là đưa kết luận vào cấu trúc giao dịch. Nếu rủi ro đã lượng hóa được, điều chỉnh giá thường minh bạch hơn tranh luận bồi thường sau này. Nếu rủi ro chưa lượng hóa nhưng có khả năng phát sinh, escrow hoặc indemnity chuyên biệt có thể phù hợp. Nếu rủi ro phụ thuộc vào hành động của bên bán trước hoàn tất, điều kiện tiên quyết và nghĩa vụ hợp tác phải rõ. Nếu rủi ro liên quan đến nhân sự kỹ thuật chủ chốt, thỏa thuận giữ chân và kế hoạch chuyển giao tri thức trở thành một phần của chiến lược bảo vệ giá trị.

Đối với bên bán, chuẩn bị trước không có nghĩa là che giấu điểm yếu. Ngược lại, minh bạch có cấu trúc thường tạo niềm tin cao hơn. Một báo cáo nợ kỹ thuật kèm kế hoạch khắc phục, chi phí ước tính và ưu tiên thực hiện có thể giúp bên mua định lượng rủi ro thay vì áp dụng mức chiết khấu rộng. Trong M&A, thứ làm giảm giá mạnh nhất thường không phải là vấn đề đã biết, mà là cảm giác rằng còn nhiều vấn đề chưa được phát hiện.

Điểm mấu chốt: Cyber due diligence không phải bài kiểm tra đạt hoặc trượt. Nó là quá trình biến bất định công nghệ thành ngôn ngữ giao dịch: giá mua, điều kiện hoàn tất, cam kết, bồi thường và kế hoạch hậu sáp nhập.

Giải thích thuật ngữ

M&A trong nền kinh tế số không còn là việc mua bảng cân đối kế toán và hợp đồng khách hàng. Bên mua đang mua cả hệ thống dữ liệu, mã nguồn, quyền truy cập, nhà cung cấp công nghệ và thói quen vận hành tích lũy qua nhiều năm. Những tài sản này có thể tạo ra hợp lực lớn, nhưng cũng có thể trở thành nguồn rủi ro âm thầm nếu không được thẩm định đúng.

Đối với thị trường Việt Nam và Đông Nam Á, nơi nhiều doanh nghiệp tăng trưởng nhanh hơn tốc độ hoàn thiện quản trị nội bộ, cyber due diligence sẽ ngày càng trở thành điểm khác biệt giữa một thương vụ mua được tăng trưởng và một thương vụ mua cả gánh nặng công nghệ. Bên mua có kỷ luật sẽ không xem checklist là thủ tục; bên bán chuẩn bị tốt sẽ không để an ninh mạng trở thành lý do bị ép giá. Trong bàn đàm phán M&A hiện đại, quyền kiểm soát rủi ro công nghệ chính là quyền kiểm soát giá trị giao dịch.

Tham khảo

• Earn‑out acceleration after closing: Lessons from Project Freeway v. ABC Technologies | Canada | Global law firm - Norton Rose Fulbright
• Vietnam - Merger Control Laws and Regulations 2026 - ICLG
• Updated Corporate Income Tax Compliance in Vietnam: Decree 320/2025 - Vietnam Briefing
• Mergers & Acquisitions Laws and Regulations Report 2026 Singapore - ICLG
• The vital role of cybersecurity representations and warranties in M&A - Reuters
• How AI will impact due diligence in M&A transactions - EY