本文将分别从实体和程序两个角度，对《最终法规》相应内容进行介绍与分析，并简评其实施后对中国在美投资可能产生的影响。
二、CFIUS管辖范围的扩大
一般而言，CFIUS主要就“外国投资人”（ForeignInvestor）对“美国企业”（U.S.Business）进行的“受辖交易”（CoveredTransaction）是否涉及美国国家安全进行审查。FIRRMA对“美国企业”及“受辖交易”的定义均进行了一定的修改，扩大了CFIUS的管辖范围，并通过《最终法规》对扩大部分作了细节化的规定，主要体现如下：
（一）对“美国企业”的认定
（二）TID美国企业的非控股投资
1、对TID美国企业的认定
(1)T-关键技术
(2)I-关键基础设施
FIRRMA对关键基础设施的定义为“对美国至关重要的物理或虚拟的系统或资产，此类系统或资产的失效或破坏将对国家安全造成不利影响”。
就关键基础设施行业的认定，法规列出了28类具体的可能涉及CFIUS审查的关键基础设施行业，包括：电信、能源、金融服务、交通、水电、国防等。具体的行业列表可参阅法规中所附附件2。
法规还明确了美国企业可能在关键基础设施行业履行的5种“功能”，包括拥有、运营、制造、供应或维修保养，且上述28类行业下每类行业均对应其中至少一种功能，即美国企业从事与该类行业相对应的至少一种功能的情况下，将被视为TID并可能需受到CFIUS审查。
(3)D-敏感个人数据
近年来，CFIUS越来越重视对可能涉及敏感个人数据的交易的审查。2017年，CFIUS出于对美国国民财务信息的保护，最终未批准蚂蚁金服收购MoneyGramInternational（速汇金）的交易；随后CFIUS又出于对美国国民个人隐私及健康数据安全性的考虑，先后分别要求昆仑万维及碳云智能出售其早先收购的Grindr和PatientsLikeMe的股权。FIRRMA第一次将CFIUS对敏感个人数据的审查法规化，《最终法规》也对此作出了细节化规定。FIRMMA及《最终法规》的规定给潜在投资者提供了一定程度的确定性。
《最终法规》将敏感个人数据分为两类：“基因测试”和“可识别数据”。
（2）“可识别数据”应属于由美国企业在三种限定条件下维护或搜集的数据3：
(a)针对某些特定敏感人群，例如美国军人和联邦机构雇员，而特别定制的产品或服务；
(b)数据量至少达到一百万人；或
(c)该美国企业以数据量达到一百万人为其商业目标并且此类数据是该企业的主要产品或服务的组成部分。
此外，《最终法规》没有提供可识别数据的具体例子，但是明确了以下三类数据不属于可识别数据：
(1)汇总数据（AggregatedData）：被组合或搜集后无法用于识别个人信息的数据；
(2)匿名数据（AnonymizedData）：指已完全删除所有个人标识信息的数据；
(3)加密数据（EncryptedData）：指已应用美国国家标准技术研究院（“NIST”）所允许的加密技术而加密的数据。
受辖交易除了对美国企业的类型有要求外，还对外国主体获得的权利类型进行了要求。如果外国主体在对TID的非控股投资交易后没有获得下列三项权利之一，也不属于受辖交易：
（1）获取实质性非公开技术信息（materialnonpublictechnicalinformation）的权利。此类信息是不对公众公开的信息，主要有两类：
(a)关键基础设施的设计建造技术、位置和操作信息，包括该设施的实体安全和网络安全信息；
(b)用于设计、制造、开发、测试、生产关键技术（包括但不限于过程，技术或方法）所必需的信息。
（2）获得在董事会或类似管理机构的成员资格或观察员资格的权利，或是获得提名某个人担任董事会或类似管理机构成员的权利。
（3）获得对使用美国企业的关键技术、关键基础设施和美国公民之敏感个人数据的获取、使用、开发、保管、管理等权利的决策权。
（三）增加对房地产交易的管辖
在FIRRMA出台之前，已有一些房地产交易曾受到CFIUS的审查。早在2006年，CFIUS就曾对迪拜国有企业收购美国东岸六大港口进行审查。2014年CFIUS出于收购标的厂离军事基地过近为由对其在俄勒冈州风电项目进行审查。2018年CFIUS又以国家安全为由，要求海南航空出售其于2016年购买的位于纽约曼哈顿的一处房产。
1、对受辖房地产的定义
《最终法规》将可能受到CFIUS审查的房地产的地理范围限定在机场或海港、位于机场或海港范围内、或即将用作机场或海港的的不动产；或位于以下范围内的不动产：
(1)毗邻区（CloseProximity）：军事设施的一英里内；
(2)延伸区（ExtendedProximity）：特定军事设施（如美国陆军战斗训练中心）的一百英里内；
(3)被认定与特定军事设施（如美国空军弹道导弹场、联合部队训练中心）有关联的任何县或其他地理区域内；或
(4)特定军事设施（如美国海军离案靶场）的自美国海岸线向海延伸的十二海里内。
2、对受辖房地产交易的定义
受辖房地产交易须涉及对不动产的购买、租赁或获得其特许经营权的任何交易，且该交易能够提供外国投资者以下几项权利中至少三项权利：
（1）实地造访权（tophysicallyaccess）；
（2）排他权（toexclude）；
（3）改善或开发权（toimproveordevelop）；或
（4）安装附加物体权（toaffixstructuresorobjects）。
三、《最终法规》关于申报程序的规定
（一）强制申报
1、特定“关键技术“交易
CFIUS在2018年10月11日启动的关键技术试点计划（“CriticalTechnologyPilotProgram”，以下简称“试点计划”）中依照北美产业分类体系（NorthAmericaIndustryClassificationSystem，以下简称“NAICS”）编码对行业的划分，对涉及关键技术的27个行业的非控股与控股投资要求强制申报。《最终法规》沿用了试点计划对于强制申报的规定，而试点计划将于《最终法规》正式生效之后停止适用。
2、外国政府“重大利益”交易
《最终法规》为如何界定“重大利益”提供了一定的指引。根据《最终法规》，“重大利益”定义为外国投资人直接或间接持有美国企业至少25%的投票权益，且外国政府直接或间接持有该外国投资人至少49%的投票权益。
在有限合伙制中，若外国政府持有49%及以上的普通合伙人或有限合伙人的投票权益，则将被视为享有“重大利益”。
（二）自愿申报
对于不在上述强制申报要求范围内的受辖交易，包括部分TID的受辖非控制投资，及上文提及的受辖房地产交易，自愿申报仍然占大多数。
（三）申报形式
（1）要求交易方提供完整书面通知来启动正式的审查程序；
（3）CFIUS可单方面针对该交易启动审查；或
（4）批准该交易。
2、完整通知（FullNotice）
（四）申报费用
四、《最终法规》对于豁免的规定
（一）投资豁免
《最终法规》为例外国家（ExceptedForeignStates）和例外投资者（ExceptedInvestors）提供了审查豁免。鉴于审查豁免并非CFIUS主流，符合豁免条件的国家将会限制在与美国始终保持较好外交关系的国家。CFIUS公布的首批例外国家白名单包括三个国家，分别是澳大利亚、加拿大和英国。在未来，CFIUS也会根据各个国家的不同情况，从涉及国家安全的对外投资和双边合作等方面进行评估审核，决定是否将其他国家添加进白名单中。
同时，《最终法规》对符合例外投资者的条件做了额外要求，例如对注册地、主要经营地、董事会成员国籍和股权构成等方面的要求。《最终法规》还在2019年拟议法规的基础上，增加了对主要经营地的拟议定义5。以上对例外投资者的要求不仅适用于投资者本身，还适用于交易中涉及的任何上层实体（ParentEntity）及中间实体（IntermediateEntity）。符合要求的投资者将取得非控股性投资和受辖房地产交易的管辖权豁免，并不受限于FIRRMA及其《最终法规>对于强制申报的要求。
对于投资基金的强制申报豁免，《最终法规》与FIRRMA唯一不同的是《最终法规》只要求寻求豁免的外国投资人本身不是该投资基金的普通合伙人（GeneralPartner），但并不要求该基金的普通合伙人必须为美国个人或实体。换言之，该投资基金的普通合伙人与有限合伙人均可为外国投资人。在满足FIRRMA关于投资基金的特定条件的情况下，作为基金有限合伙人（LimitedPartner）的外国投资人符合豁免条件。
（二）房地产交易豁免
针对外国投资者的房地产交易行为，除上文提到的例外投资者进行房地产交易的豁免情形之外，《最终法规》还规定“例外房地产交易”（ExceptedRealEstateTransaction）不属于其管辖范围。例外房地产交易包括针对城市化区域（UrbanizedArea）或城市群（UrbanCluster）内的不动产进行的交易。这意味着CFIUS在大多数情况下无权对外国投资人在城市区域内的房地产交易进行审查。此外，《最终法规》还排除了商用办公室的交易与购买，租赁或获得特许经营权的单个“住房单元”（HousingUnit）的交易审查。
五、法规对中国在美投资影响及对中国投资人的建议
但同时，今年2月生效的《最终法规》在FIRRMA制定的大框架下，对部分FIRRMA新引入的概念进行了较为细化的规定。无论从外国投资人还是从美国企业的角度，一定程度的确定性可以有助于双方更明确并具有针对性地评估潜在交易可能受到CFIUS审查的风险以及可采用的缓解措施。
附件：可识别数据类别清单6
(1)可用于分析或确定个人财务困境的数据，例如住房抵押贷款或银行对帐单中的财务信息，但不包括与普通消费者交易有关的数据；
(2)个人的信用评分和/或债务和付款历史的数据；
(3)健康保险、专业责任保险、抵押贷款保险、人寿保险等保险的申请数据；
(4)与个人的身体或心理健康状况有关的数据；
(5)在美国企业提供第三方通信平台时用户的通信信息数据；
(6)定位系统、手机信号塔或WiFi接入点搜集到的地理位置数据；
(7)生物特征数据，包括但不限于面部、声音、视网膜/虹膜或手掌/指纹数据；
(8)为了州或联邦政府身份证明而存储和处理的数据；
(9)有关美国政府人员安全等级状态的数据；和
(10)有关人员申请安全等级的申请信息。
注：
1.31CFRParts800.239.
2.关键技术包括：被列入《美国防务目录》（UnitedStatesMunitionsList）的国防用品或国防服务、《贸易控制清单》（CommerceControlList）包含的出口管制技术、某些核设施与核材料以及某些制剂与毒素，及《2018年出口管制改革法》所涉及的新兴和基础技术。