Bảo Mật Thông Tin Khi Đàm Phán M&A:
NDA Cần Có Gì?
- NDA (Non-Disclosure Agreement) phải được ký trước khi chia sẻ bất kỳ thông tin tài chính, khách hàng, hoặc công nghệ nhạy cảm nào với người mua tiềm năng — kể cả khi đối phương trông có vẻ nghiêm túc và uy tín.
- Ngoài điều khoản bảo mật cơ bản, NDA M&A cần có: phạm vi thông tin cụ thể, thời hạn hiệu lực (thường 1-3 năm), và điều khoản Non-Solicitation cấm bên mua tiếp cận trực tiếp nhân sự chủ chốt hoặc khách hàng của công ty.
- Rủi ro lớn nhất khi bỏ qua NDA không phải là bị kiện — mà là 1 "người mua giả" thu thập được đủ thông tin cạnh tranh (giá, khách hàng lớn, cấu trúc chi phí) rồi rút lui khỏi deal mà không mua gì cả.
- Chiến lược an toàn nhất là chia sẻ thông tin theo từng lớp (layered disclosure) — thông tin tổng quan trước, chi tiết nhạy cảm chỉ sau khi deal tiến triển thật (LOI đã ký, Due Diligence bắt đầu).
Một trong những sai lầm nguy hiểm nhất tôi thấy founder mắc phải khi bắt đầu đàm phán M&A là quá hào hứng chia sẻ thông tin ngay từ buổi gặp đầu tiên — số liệu doanh thu chi tiết, danh sách khách hàng lớn, thậm chí cả cấu trúc chi phí vận hành — chỉ vì đối phương tỏ ra quan tâm nghiêm túc. Vấn đề là: bạn không thể biết chắc người ngồi trước mặt có thực sự muốn mua công ty bạn, hay chỉ đang dùng buổi gặp "thăm dò M&A" để thu thập thông tin cạnh tranh. NDA không phải là thủ tục hình thức — nó là lớp bảo vệ đầu tiên và quan trọng nhất trước khi bất kỳ cuộc trao đổi thực chất nào diễn ra.
Vì sao NDA phải là bước đầu tiên, không phải bước sau cùng
Trong quy trình M&A thực tế, thông tin là tài sản — và với startup, thông tin về khách hàng lớn, cấu trúc giá, hoặc công nghệ cốt lõi thường chính là tài sản có giá trị nhất. Một khi thông tin này đã được nói ra trong 1 buổi gặp, không có cách nào "thu hồi" lại — kể cả khi deal không bao giờ tiến triển xa hơn buổi gặp đó.
Founder mới thường nghĩ NDA là bước "làm phiền" khi đối phương rõ ràng đang quan tâm nghiêm túc — nhưng đây chính xác là lý do NDA tồn tại: để bảo vệ founder ngay cả trong trường hợp đối phương nghiêm túc thật sự. Một người mua nghiêm túc, có kinh nghiệm M&A thật, sẽ không ngần ngại ký NDA — ngược lại, họ thường là bên chủ động đề nghị ký trước khi bàn tới bất kỳ chi tiết nào, vì họ cũng cần bảo vệ chính họ khỏi rủi ro tranh chấp sau này.
Nguyên tắc đơn giản: Không có NDA đã ký = không có số liệu cụ thể, không có tên khách hàng, không có cấu trúc giá. Chỉ trao đổi ở mức tổng quan (ngành, quy mô đại khái, mô hình kinh doanh) cho tới khi NDA được ký.
Điều khoản NDA M&A cần có ngoài bảo mật cơ bản
Một NDA "mẫu" tải trên mạng thường chỉ có 1 điều khoản bảo mật thông tin chung chung — đủ cho hợp tác kinh doanh thông thường, nhưng chưa đủ cho bối cảnh M&A, nơi bên nhận thông tin có động cơ và khả năng tiếp cận sâu hơn nhiều so với 1 đối tác kinh doanh thông thường.
Phạm vi thông tin bảo mật (Scope of Confidential Information)
Định nghĩa rõ những gì được coi là "thông tin bảo mật" — không chỉ tài liệu được đánh dấu "Confidential", mà cả thông tin trao đổi bằng lời trong các buổi họp, email, hoặc bất kỳ dữ liệu nào liên quan tới tài chính, khách hàng, công nghệ, và kế hoạch kinh doanh.
Giới hạn mục đích sử dụng (Purpose Limitation)
Thông tin chỉ được dùng để đánh giá khả năng thực hiện thương vụ M&A — không được dùng cho bất kỳ mục đích nào khác, kể cả nội bộ (ví dụ dùng thông tin giá của bạn để điều chỉnh chiến lược cạnh tranh của chính họ).
Non-Solicitation — không tiếp cận trực tiếp nhân sự/khách hàng
Đây là điều khoản dễ bị bỏ sót nhất nhưng lại quan trọng bậc nhất: cấm bên nhận thông tin (và các bên liên quan của họ) chủ động tiếp cận, tuyển dụng nhân sự chủ chốt, hoặc liên hệ trực tiếp với khách hàng của công ty trong suốt quá trình đàm phán và trong 1 khoảng thời gian sau đó (thường 1-2 năm), bất kể deal có thành công hay không.
Thời hạn hiệu lực và nghĩa vụ tiêu hủy tài liệu
NDA nên có thời hạn hiệu lực rõ ràng (thường 1-3 năm kể từ ngày ký) và nghĩa vụ trả lại hoặc tiêu hủy toàn bộ tài liệu/bản sao nếu deal không tiến tới ký kết chính thức — không để thông tin "trôi nổi" vô thời hạn trong tay bên đã từng cân nhắc mua.
Nhận biết "người mua giả" chỉ muốn thu thập thông tin
Không phải ai tiếp cận founder với lời đề nghị mua lại cũng thực sự có ý định mua. Trong 1 số trường hợp, "đối thủ cạnh tranh" hoặc bên có động cơ khác đóng vai người mua tiềm năng chỉ để tiếp cận thông tin nội bộ mà họ không thể có được bằng cách nào khác.
Từ chối ký NDA hoặc muốn sửa NDA theo hướng bất thường
Một người mua nghiêm túc hiếm khi phản đối việc ký NDA chuẩn. Nếu đối phương liên tục trì hoãn, từ chối, hoặc muốn loại bỏ điều khoản Non-Solicitation — đây là dấu hiệu cần cảnh giác cao.
Hỏi sâu về khách hàng/đối tác nhưng né tránh bàn về giá
Người mua thật quan tâm tới việc định giá và cấu trúc deal gần như ngay từ đầu, dù chỉ ở mức khung sơ bộ. Nếu buổi trao đổi liên tục xoay quanh danh sách khách hàng, hợp đồng cụ thể, nhưng luôn né tránh khi được hỏi về mức giá hoặc timeline — đáng để đặt câu hỏi về động cơ thật.
Không có lịch sử M&A hoặc nguồn vốn rõ ràng
Một người mua/quỹ đầu tư nghiêm túc thường có thể chứng minh được năng lực tài chính hoặc lịch sử các thương vụ đã thực hiện. Sự mơ hồ kéo dài về danh tính thật của bên mua (công ty holding không rõ chủ sở hữu, không có website, không ai xác nhận được) là dấu hiệu cần thận trọng.
Khi gặp bất kỳ dấu hiệu nào trong số này, cách xử lý an toàn nhất không phải là ngừng đàm phán ngay lập tức (đôi khi người mua thật cũng có phong cách giao tiếp khác thường) — mà là chậm lại tốc độ chia sẻ thông tin và yêu cầu thêm bằng chứng về năng lực/động cơ trước khi tiếp tục.
Nhận Chapter 1 Ebook Gọi Vốn Miễn Phí
Quy trình gọi vốn 7 bước thực chiến — từ chuẩn bị tới chốt deal, với ví dụ Việt Nam chi tiết
Nhận trong 60 giây · Không spam · Hủy bất cứ lúc nào
Chia sẻ thông tin theo lớp: chiến lược an toàn hơn ký NDA suông
NDA là lớp bảo vệ pháp lý cần thiết — nhưng nó không thể thay thế cho việc kiểm soát tốc độ và mức độ chia sẻ thông tin. Ngay cả khi đã có NDA, cách an toàn nhất vẫn là chia sẻ theo từng lớp, tương ứng với mức độ tiến triển thật của deal — không đưa hết mọi thứ ngay từ buổi gặp đầu tiên chỉ vì NDA đã được ký.
Một startup logistics B2B nhận được lời đề nghị tiếp cận từ 1 công ty tự giới thiệu là "đang tìm mở rộng qua M&A". Sau khi ký NDA, đội ngũ founder chỉ chia sẻ số liệu tổng quan (quy mô doanh thu theo khoảng, số lượng khách hàng theo nhóm ngành, không nêu tên cụ thể) ở giai đoạn đầu. Chỉ sau khi bên mua gửi LOI có mức giá và điều khoản cụ thể — chứng minh mức độ nghiêm túc thật — startup mới chia sẻ danh sách khách hàng cụ thể và số liệu tài chính chi tiết ở giai đoạn Due Diligence chính thức. Cách tiếp cận này giúp founder không "lộ hết bài" cho 1 bên chỉ đang thăm dò.
| Giai đoạn | Mức độ thông tin chia sẻ | Điều kiện để chuyển giai đoạn |
|---|---|---|
| Trước NDA | Chỉ thông tin công khai/tổng quan (ngành, mô hình kinh doanh, quy mô đại khái) | NDA được cả 2 bên ký |
| Sau NDA, trước LOI | Số liệu tổng hợp theo khoảng, cấu trúc doanh thu theo nhóm, KHÔNG tên khách hàng cụ thể | Bên mua gửi LOI với mức giá/điều khoản cụ thể |
| Sau LOI, trong Due Diligence | Số liệu tài chính chi tiết, danh sách khách hàng/hợp đồng cụ thể, tài liệu pháp lý đầy đủ | Data room được kiểm soát quyền truy cập, có log theo dõi |
Khi NDA bị vi phạm: thực tế pháp lý founder cần biết
Cần nói thẳng một điều nhiều founder không muốn nghe: NDA không phải là lá chắn tuyệt đối. Nếu bên nhận thông tin vi phạm — ví dụ dùng thông tin khách hàng để tiếp cận trực tiếp và giành lấy hợp đồng, hoặc chia sẻ số liệu cạnh tranh cho bên thứ 3 — founder về lý thuyết có quyền khởi kiện đòi bồi thường. Nhưng trên thực tế, việc chứng minh vi phạm và thiệt hại cụ thể trước tòa thường mất nhiều tháng tới nhiều năm, tốn kém chi phí pháp lý, và không phải lúc nào cũng thắng được — đặc biệt khi đối phương là 1 công ty lớn hơn với nguồn lực pháp lý mạnh hơn nhiều.
Bài học thực tế: Đừng coi NDA là "bảo hiểm" cho phép chia sẻ thoải mái mọi thông tin. Coi nó như 1 lớp răn đe pháp lý bổ sung — trong khi công cụ bảo vệ chính vẫn là kiểm soát tốc độ và mức độ thông tin chia sẻ theo từng giai đoạn deal thật sự tiến triển.
Một cách bổ sung để giảm rủi ro là kiểm soát ai ở phía bên mua được tiếp cận thông tin — yêu cầu NDA liệt kê rõ danh sách cá nhân/bộ phận cụ thể được phép tiếp cận, thay vì để "toàn bộ công ty đối phương" có quyền truy cập ngầm định. Điều này vừa giảm nguy cơ rò rỉ, vừa giúp dễ truy trách nhiệm hơn nếu có vi phạm xảy ra sau này.
Founder cũng nên cân nhắc dùng nền tảng data room chuyên dụng (thay vì gửi email/Google Drive thông thường) khi bước vào giai đoạn Due Diligence — các nền tảng này cho phép theo dõi ai đã xem tài liệu nào, khi nào, và có thể thu hồi quyền truy cập ngay lập tức nếu deal đổ vỡ giữa chừng.
Câu Hỏi Thường Gặp
NDA trong M&A nên ký ở giai đoạn nào của quy trình?
Ngay trước khi bất kỳ thông tin nhạy cảm nào được trao đổi — thường là bước đầu tiên sau khi 2 bên xác nhận quan tâm sơ bộ, và trước khi gửi teaser chi tiết hoặc bất kỳ tài liệu tài chính/khách hàng nào. Không nên chia sẻ số liệu cụ thể chỉ dựa trên lời hứa miệng, kể cả khi bên mua có vẻ uy tín.
NDA M&A cần có điều khoản gì ngoài bảo mật thông tin cơ bản?
Ngoài phạm vi thông tin bảo mật và thời hạn hiệu lực, NDA M&A nên có điều khoản Non-Solicitation cấm bên mua tiềm năng tiếp cận trực tiếp nhân sự chủ chốt hoặc khách hàng của công ty trong và sau quá trình đàm phán, điều khoản giới hạn mục đích sử dụng thông tin (chỉ để đánh giá deal, không dùng cho mục đích cạnh tranh), và điều khoản yêu cầu tiêu hủy/trả lại tài liệu nếu deal không thành.
Điều gì xảy ra nếu người mua vi phạm NDA sau khi deal không thành?
Về lý thuyết, bên bị vi phạm có thể khởi kiện đòi bồi thường thiệt hại theo điều khoản đã ký — nhưng trên thực tế việc chứng minh thiệt hại cụ thể (ví dụ đối thủ dùng thông tin khách hàng để cạnh tranh) rất khó và tốn kém về thời gian/chi phí pháp lý. Vì vậy phòng ngừa từ đầu — giới hạn thông tin chia sẻ theo từng giai đoạn — quan trọng hơn nhiều so với việc trông chờ vào chế tài sau vi phạm.
Làm sao nhận biết người mua "giả" chỉ muốn thu thập thông tin cạnh tranh?
Một số dấu hiệu cảnh báo: đối phương từ chối ký NDA hoặc muốn sửa NDA theo hướng có lợi bất thường cho họ, liên tục hỏi sâu về thông tin khách hàng/đối tác cụ thể nhưng né tránh bàn về giá hoặc cấu trúc deal, không có lịch sử M&A hoặc quỹ đầu tư rõ ràng, và tốc độ phản hồi rất chậm sau khi đã nhận được thông tin mong muốn. Khi nghi ngờ, nên giới hạn thông tin chia sẻ theo từng lớp thay vì đưa hết ngay từ đầu.
Định Giá · Gọi Vốn · Pitch Deck · BOD · Nhà Sáng Lập
Framework đầy đủ từ 16 founders gọi được 300+ tỷ VND — bao gồm quy trình đàm phán và bảo vệ thông tin khi tiếp cận nhà đầu tư lẫn người mua tiềm năng.
Muốn AI review pitch deck & tài chính của bạn ngay?
Upload deck, nhận phân tích điểm yếu theo góc nhìn NĐT, hỏi đáp không giới hạn về định giá, cap table, gọi vốn — AI được train từ 14 năm kinh nghiệm thực chiến của Hải H Nguyễn.
Hải H Nguyễn
14 năm kinh nghiệm gọi vốn thực chiến, hơn 26.000 giờ làm việc với founders. BOD Member 6 công ty tại Việt Nam, Mỹ — trực tiếp tham gia đàm phán và bảo vệ thông tin trong nhiều thương vụ.