x-ray-a-company

深入调查一家公司

从一个品牌、一个网站或一张发票入手，勾勒出一幅可靠的图景，明确你实际在与谁打交道。按顺序调查四个层面——法律实体、人员、基础设施、声誉与风险。跳过第一步，后续一切都会失去意义：合同上的商号、网站上的品牌，以及在法院承担法律责任的实体，往往是三个不同的对象；如果想当然地认为它们一致，后续每项发现都会归到错误的对象名下。

第 1 步——授权范围

写明调查目标、调查支持的决策、涵盖的风险领域、涉及的司法管辖区，以及调查范围之外的事项。阅读 ../../ETHICS.md。通过公开申报文件开展企业调查通常合法，而且往往是强制要求，但有两条界限必须遵守。对公司的自有系统保持被动——读取 DNS 和证书日志属于 OSINT，进行身份验证或探测则不属于。公司内部具名个人仍然是数据主体：高管的董事任职信息可以调查，但其家人不可以。

完成标准：范围说明写明决策、风险领域和司法管辖区，并明确声明未获授权进行交互式测试。

第 2 步——先确认法律实体

你要在指定的登记机构中找到注册编号。在此之前，调查对象尚未确定。

你掌握的信息	确认实体的途径
网站	查看页脚、条款和隐私政策——欧洲许多地区的法定披露规则要求网站列出法定名称和编号；然后在登记机构中核实
品牌或商号	商标登记簿会列出注册所有人；国家登记机构会将商号编入注册人名下
发票或合同	通常会列出公司编号、VAT／税号和注册办事处；逐一核实，不要轻信信头
上市公司	证券监管机构的申报系统比公司登记机构包含更多信息
仅有集团名称	找到任一成员实体，然后沿着关联链向上、向下追溯

使用 who-really-owns-it 了解登记查询方法。记录法定名称、注册编号、司法管辖区、成立日期、状态、注册办事处、高管和股本。后续查询优先使用编号而非名称——名称会变，编号不会。常见陷阱：名称极为相似的运营公司和控股公司；已解散但仍以旧品牌经营的实体；由知识产权实体持有、且与运营实体位于不同司法管辖区的品牌；以及由营销实体运营的网站，而该实体并不对产品承担责任。

完成标准：能够说出会成为你合同一方的实体及其登记机构和编号，并说明有哪些其他实体共用该品牌。

第 3 步——集团结构与受益所有权

沿关联链向上追溯至最终母公司，再向下梳理子公司。信息来源：已提交的集团账目和子公司名单、列出子公司的上市公司申报文件、受益所有权登记簿，以及 who-really-owns-it 中的共同高管和共同地址线索。跨境关联链很常见，不是危险信号。关键在于关联链是否最终指向具名自然人，还是止于不公开任何信息的司法管辖区。尽可能追溯并记录，说明在哪一处中止——“追溯至一家登记簿不公开的开曼群岛实体”是一项调查发现，不是调查失败。

受益所有权调查会以四种可预见的方式受阻：名义持有人，在法律记录中登记但不具实际经济利益；信托和基金会，大多数登记簿不会穿透调查；多层结构，任何单一登记簿都无法呈现完整关联链；以及门槛限制，从机制上无法识别四人分别持有略低于门槛的情况。

完成标准：所有权关联链已追溯至最终主体或有记录的透明度断点，并记录具名受益所有人及其信息来源。

步骤 4 — 人员

从注册机构获取高管名单，而不是从网站获取——网站展示的是他们想宣传的人，注册机构展示的是依法承担责任的人。对每位与决策相关的人运行 find-anyone，并在 who-really-owns-it 中按高管姓名进行关联查询，查找他们其他和过往的董事职务。曾任职公司接连解散的董事，或同时在 20 家互不相关的公司董事会任职的董事，其风险状况与职业经历连贯的董事截然不同。

员工信息梳理——通过专业社交网络、招聘信息和团队页面了解员工人数及职能构成——可以检验公司的实际运营情况是否与其声称的一致。平台统计人数包含过时和重复的个人资料，也会漏掉非用户，而且会因国家和行业而严重失真：应关注员工队伍的构成，而非人数。

完成标准：列出所有登记在册的高管并核查其其他董事职务，且员工人数说法已得到佐证或被标记为存疑。

步骤 5 — 数字资产

运行 recon-a-domain-passively 作为入口；它涵盖 who-owns-this-domain、find-hidden-subdomains 和 find-exposed-servers。与安全测试不同，尽调关注的是：注册日期是否与声称的成立日期矛盾；同一运营方是否将基础设施与无关品牌共用；子域名是否透露尚未公布的产品或合作伙伴；招聘信息是否能佐证其实际技术栈。检查公开代码库中的 secrets-in-git-history，并通过 what-leaked-about-you 查询电子邮件域名是否涉及数据泄露。

完成标准：已列出域名组合，将注册日期与公司发展时间线进行比较，并记录所有差异。

步骤 6 — 诉讼、破产、采购与信息披露

• 诉讼。 查询涉及该实体、其曾用名及子公司的法院案卷和判决数据库。应阅读裁决结果，而非仅看立案信息——被起诉不等于承担责任，和解所能说明的问题也少于判决。
• 破产。 破产登记册和法定公报会刊载清盘申请、破产管理和清算通知。还要核查高管此前任职公司的情况，相关模式往往会在那里显现。
• 采购。 公共招标和合同授予数据库提供经过第三方核实的收入证据——这是最有力的免费实际运营证据，却常常未得到充分利用。禁止投标和排除名单也可在这些数据库中查到。

首先应根据申报制度校准财务调查结果。上市公司需提交经审计的财务报表、分部详情、关联方交易和风险因素。多数司法管辖区的小型私营公司只需提交简明且往往未经审计的资产负债表，不包含损益表或营业额数据——因此，未披露收入是法律常态，并非刻意隐瞒。真正有意义的情况包括：迟交申报文件、反复更换审计师、审计师辞任、非无保留意见、登记在资产上的担保权益，以及账目与声称的运营规模不符。各风险领域的具名信息来源见：reference/diligence-checklist.md。

完成标准：诉讼、破产和采购领域均有注明来源的调查结果，或记录“已查询这些数据库，未发现信息”；财务调查结果也已结合该实体类型依法须披露的信息进行说明。

步骤 7 — 制裁、PEP 和负面媒体

这一步需要单独进行并单独留档，因为监管机构或法院会要求你提供证据。筛查该实体、其母公司和子公司，以及所有具名个人。首要发布方：OFAC 制裁名单搜索、欧盟综合名单、英国制裁名单、联合国综合名单。OpenSanctions 汇总了不同司法辖区的制裁和 PEP 数据集，是跨司法辖区全面筛查的实用起点；OCCRP Aleph 是调查研究索引，适用于调查，而非合规筛查。PEP 身份是风险因素，不代表不当行为，并且筛查范围还应延伸至密切关系人和家属——这恰恰是自动化筛查最薄弱的环节。

负面媒体筛查是指针对该实体、其曾用名和负责人，以涉及链条中每个司法辖区的当地语言，对新闻和监管公告进行结构化搜索。对于母公司位于国外的公司，只用英语搜索几乎毫无价值。记录搜索词和日期范围，才能让未发现负面信息具有证据意义。

完成标准：链条中的每个实体和个人都已通过制裁和 PEP 来源完成筛查，并记录来源和日期；同时，已使用相关语言搜索负面媒体。

步骤 8 — 空壳公司评估

对整体情况评分，不要只因一个指标就下结论。加权指标目录：reference/shell-company-red-flags.md。核心指标组合：数百或数千个实体共用一个地址；成立时间就在其参与的交易之前不久；没有网络信息，或域名注册时间晚于宣传材料；名义董事在互不相关的公司中反复出现；没有员工，也没有显示经营活动的账目；名称仿冒知名公司；银行信息所在司法辖区与该实体、董事或业务均无关联。任何单一指标都很常见，也可能并无问题。四项同时出现，就足以说明问题。

完成标准：已根据指标目录为该实体评分，每项指标均有来源，并在结论中说明哪些指标影响了评分。

步骤 9 — 报告

交由 write-the-intel-brief 处理。先列出实体关系图——最终母公司、中间控股公司、签约实体、子公司、关键人员——再按风险领域列出调查结果，并注明来源、日期和置信度。将缺口单独列为一节；隐瞒无法核查内容的尽调报告，比什么都没查到的报告更糟。

完成标准：报告包含实体关系图、按风险领域整理的调查结果、明确的缺口章节，以及总体置信度说明。

常见问题

• 登记数据只是申报内容，并未核实。 大多数登记机构只检查表格是否填写完整，不核实内容是否属实；记录只能证明申报了什么以及何时申报。
• 数据过时是制度使然。 年度申报周期会导致公布的高管信息和账目比实际情况滞后一年或更久，聚合平台还会进一步延迟——已解散的公司仍可能显示为存续状态。请向登记机构确认。
• 姓名匹配会同时导致两类错误。 常见姓名会造成误匹配；标点、法律形式后缀、音译以及并购后的更名则会造成漏匹配。务必主动搜索曾用名。
• 没有申报记录，可能是查错了登记机构。 联邦、州和市级登记机构各自独立，外国分支机构、合伙企业及其他非公司形式也有各自独立的登记机构。
• 制裁筛查会产生大量噪音。 音译姓名会产生大量误报；命中只是触发复核的信号，不是调查结论。
• 负面媒体存在语言和财富偏差。 主要市场以外的报道较少，而善于诉讼的对象会让报道被撤下。

置信度评级

• 已确认 — 信息来自主要注册机构或监管机构的备案文件，或法院记录，且已检索并注明文件日期。
• 很可能 — 信息来自信誉良好的聚合平台或单份可信报道，与主要记录一致且未受到反驳。
• 未经确认 — 信息来自公司营销材料、单份无来源报道，或仅根据架构推断。
• 缺失 — 本应包含相关信息的来源未返回结果，或该司法管辖区不公开相关信息。注明数据库和日期；有记录的未发现结果也是交付成果。

对所有权声明和运营声明分别评级。你可以确定注册股东是谁，却完全不知道谁是受益人。

示例

供应商 “Halberd Logistics” 正在推销一份供货合同；你手头有一个网站和一张发票。

1. 网站页脚写着 “Halberd Logistics Group Ltd”，并列出一个公司编号；发票写着 “Halberd Ops Ltd”，编号不同。发票上列出的才是签约方，而它并非使用该品牌的实体。
2. 注册记录显示：Halberd Ops 成立仅 14 个月，有一名董事，账目属于微型实体；Group 实体成立 9 年，且有实际账目。推销方声称的经营历史属于你不会与之签约的实体。
3. 对 Halberd Ops 董事进行关联查询，发现他曾任职于两家此前的公司，两家公司都在被强制注销后解散。
4. 查无结果：注册地址登记了约 200 家实体，但查询结果显示该地址属于一家会计事务所。此类情况很常见，权重较低。
5. 域名的注册时间比发票日期早 3 个月，与声称的 9 年历史不符。结合第 2 和第 3 点：要么与 Group 实体签约，要么就不签。

关联查询

查询项	提交至
注册编号、管理人员、股东	who-really-owns-it
管理人员或董事姓名	find-anyone
主要域名	recon-a-domain-passively、who-owns-this-domain
管理人员地址、电话号码、关联人员	dig-through-data-brokers
母公司或子公司实体	在第 2 步重新进入此工作流
公司邮箱域名、公开代码仓库	what-leaked-about-you、secrets-in-git-history
多实体所有权关系网	graph-the-network
完整证据集	write-the-intel-brief

法律说明

KYB、AML 和制裁合规义务要求满足本工作流本身无法履行的来源及记录保存要求；如果用于受监管目的，你的记录必须显示搜索了什么、何时搜索以及结果如何。注册数据通常附带再利用条件和频率限制——请使用公开的 API 和批量数据产品，而非抓取数据。许多登记册对管理人员的住宅地址和出生日期提供保护，在一些司法管辖区，故意重新识别受保护地址属于犯罪行为。