外国私人发行人的网络安全披露，别直接套8-K四天规则

外国私人发行人也需要披露网络安全风险，但不能直接把美国本土发行人的8-K四个工作日要求套过来。FPI年度报告使用Form 20-F，其中第16K项涉及风险管理、战略和治理；重大网络事件则需要结合Form 6-K的条件判断。

6-K的判断与信息是否根据本国法律公开、向交易所提交并公开，或向证券持有人分发等情形相关，同时要考虑事项重大性。企业不能简单以“不是8-K发行人”为由不处理，也不能把每一次普通系统故障都自动等同需要申报的重大事件。

年报应解释公司如何识别、评价和管理重大网络风险，以及董事会和管理层怎样监督、获取信息。已经发生或合理可能造成重大影响的风险，也要结合经营、财务和战略说明。只写购买了防火墙或保险，不能完整回答这些问题。

内部事件处理应让技术、业务、法务和财务及时协作，保留发现、影响分析和披露判断记录。第16K项适用于年报，不适用于20-F登记文件本身；IPO文件仍须根据其适用项目披露重大业务风险，不能因此完全不谈网络安全。