二〇二一年夏天，《数据安全法》全文刚公布没多久，《个人信息保护法》也才走到二审前后。两部法律的下级配套规定、操作细则，完全没有。那时候，我们团队律师，打电话联系相关部门，询问细则或者索要相关文本样式，回复都是一概没有。
就在那会儿，有个客户，是家外商投资企业，让我们团队尽快就这个新法提供研究分析和企业应对操作建议，说新法出来了，制度哪里要改，合同文本哪里要改，流程要调吗，为什么要改，这些全部都需要我们解决。
对方法务感到有难度，说他已经认真查了一下，发现各种细则都还没出。
我，代表团队回复说，我们很赞赏公司对这种对立法变化的应对速度，本来就不应当坐等细则出台。
面对新的立法或者立法的变化，很多企业的第一反应，习惯确实是等，等细则，等实际执行。等所有规则都明白明确了，等跟着相关部门的要求或者别人的操作，跟着走，照着抄。
但很多人不知道的，这个“等”字，是很“贵”的。
回到立法这件事本身，由于历史原因形成的心理习惯，很多人对它的理解有个巨大的误会。总觉得，一部法律出台，和实际落地执行之间，往往是有很长一段时间的，不仅需要指定下一级的具体规则，而且执行部门本身也需要学习培训和准备的时间，所以不用着急。
这就错了。
因为：法律的落实执行，是一件事情，而你有没有提前准备，那是另一件事情。
法律，在母法出台的那一刻，方向已经明确，原则已经明确，变化也已经明确。甚至，具备法律和相关领域经验的人，只要认真研究，很多的具体细则，即使没有出台，也基本上是确定的。
所以真正的要点，是一棵桃树在开花的时候，就该预先准备采集果实的准备，而不是等到果子已经成熟，你再去做准备采摘的工作。
其实，这不是什么高深的道理，看看这些活生生的例子，你很可能听说过的，他们有的赢，有的很惨。
第一个，房地产的三条红线。
二〇二〇年八月二十号，央行和住建部把十二家头部房企叫去开了个会，扔出三条红线，剔除预收款后的资产负债率不能过百分之七十，净负债率不能过百分之一百，现金短债比不能小于一倍。当时说的是九月试点，二〇二一年一月一号全国推行。
注意这个时间差。信号是二〇二〇年八月放的，正式落地是二〇二一年一月，中间隔着小半年。
就是这小半年，决定了后来很多企业的命。
万科那会儿是什么状态，绿档，三条一条没踩。更关键的是，万科早在一八年就高喊活下去，别人还在冲规模冲排名的时候，它已经开始降杠杆、控负债、压土储了。等红线真的砸下来，它稳稳站在绿档里，银行该给的额度照给。
恒大呢，红档，三条全踩。有息负债八千三百多亿，净负债率逼近百分之两百，现金短债比只有零点五二。更要命的是，当别人在收的时候，它还在拼命加杠杆冲规模。
后来的事大家都知道了。二一年底恒大第一笔美元债违约，二四年香港法院颁了清盘令，二五年八月正式从港交所退市，总负债超过两点四万亿。
我在想一个事。如果恒大在二〇二〇年八月那个信号出来的当天，就把杠杆往回收，它后面那几年会不会是另一个剧本。历史不能假设，但这个对比摆在这儿，谁提前半年一年动手，谁在游戏规则改变时还能站着，一目了然。
顺着上面的再聊聊第二个，滴滴。
二一年六月，滴滴悄悄去美股上了市。才过了一个月，七月，国家启动网络安全审查。等到二二年七月，一纸罚单下来，八十点二六亿。
这八十亿背后是什么。监管查出来的违法事实，最早从一五年就开始了，一路踩过《网络安全法》《数据安全法》《个人信息保护法》。过度收集用户相册截图一千多万条，剪切板和应用列表信息八十三亿条，人脸识别信息一亿多条，明文存司机身份证号五千七百多万条。触目惊心四个字都算轻的。
我特别想拿滴滴对照一下开头那家外企。同样是在《数据安全法》《个保法》刚冒头、细则全空的时候，一家选择先把数据合规的制度和流程搭起来，一家选择继续按老样子跑。几年之后，一家平平稳稳，一家被罚到肉疼，还连带创始人各吃一百万。
你说这是运气吗，不是。这是在新法信号出现时，动没动的那一下。
很多人可能会说，滴滴那是活该，跟我们普通企业没关系。我不同意。滴滴的故事讲的是一个最朴素的道理，立法变化的代价，从来不会等你准备好了才来找你，它是在你最没防备的时候，连本带利一起算。
再把视野拉到国外，第三个，欧盟的GDPR。
这条法规二〇一六年四月通过，二〇一八年五月才正式生效，中间整整给了企业两年的过渡期。两年啊，够你把整套数据合规体系从零搭起来了。
可英航和万豪，硬是没准备好。
一九年七月，英国监管机构连开两张巨额罚单，英航一点八三亿英镑，万豪九千九百万英镑。英航是因为官网被篡改，五十万旅客的姓名地址信用卡信息被卷走，漏洞挂了三个月它都没发现。万豪更离谱，收购喜达屋时埋下的数据雷，从一四年就在漏，到一八年才察觉，三亿多客户信息外泄。
规则把跑道都铺好了，这两家硬是躺在跑道上睡到了飞机撞脸。
反过来，那些提前两年就把隐私体系搭起来的公司，平稳过渡，悄无声息。你看，同样的法规，同样的窗口期，用不用，结果天差地别。
说到这儿你可能会问，提前动，除了少挨罚，到底图个啥。这就要聊到企业竞争那条线了。
我始终坚信一件事，在立法变化的当口，提前做准备，不是防守，是进攻。
第一层好处，合规会变成壁垒。当全行业都在等、都在慌、都在观望的时候，你先把制度改了、合同调了、流程顺了，你就比同行稳一大截。客户选你，因为你有底；监管看你，因为你靠谱。政策一落地，别人手忙脚乱补课，你已经是标杆。这种信任，是用钱买不来的相对优势。
第二层好处，提前预判细则，等于提前布局业务。好的律师不是等政策出来才读，是在母法阶段就能顺着立法逻辑，把下一步大概率怎么管猜个七八分。你猜对了方向，就能先调整产品、先占住合规市场，等别人反应过来，你已经在牌桌上了。
第三层好处，抵御的是市场和政策的双重风险。立法变化往往还伴着市场波动，一刀切下来，没准备的人是被误伤，有准备的人是被托住。
我当然理解企业为什么想等。等，是因为不确定，是怕白做，是怕猜错方向白白花钱。这种心情太正常了，换我我也想等。
但律师这件事的价值，恰恰就在这儿。你的不确定，我来帮你变成确定。你怕猜错，我就把研究的面铺开，把立法背景、实务经验、法理原则、技术标准、还有别国的同类法律都拉进来交叉验证，把猜对的概率往上提。你不是一个人在黑屋子里摸方向，是有个人举着灯陪你走。
讲到这里，正好回到开头那家外企。
当年最难的地方，就是下级立法和实施细则一个都没出。我们手里的依据，不能只盯着那两部刚发布的法律条文本身。所以当时我们把研究依据扩展到了很多领域，立法背景和立法依据要啃，中国的法律实务经验要懂，法律基本理论和原则要吃透，相关的技术标准要查，其他国家的同类法律也要比对。
就是因为这层层的扩展，我们才在细则完全空白的时候，给那家企业写出了一份能落地的方案，改了它的制度文件、相关合同和业务流程，还对未来的立法细则给出了明确的预测。
后来细则一点点出来，回头一看，我们当年预判的大方向，基本都中。
这事儿我记了很多年。它让我越来越确信一个判断，立法从来不是突然砸下来的铁锤，它是一套慢慢显形的秩序。真正厉害的企业，是把预判秩序当成一种核心能力养在身体里的。
就像冲浪。等浪打到脸上再反应，已经晚了。要在浪还没起来的时候，就盯着海面看准方向，提前把板压下去。
所以如果你是企业里管战略、管合规、管风险的人，我有一点不成熟的建议，也是这些年踩过坑、也帮人避过坑之后最想说的一句话。
立法一变，别等细则。
先把方向看清，把能改的先改了，把该搭的架子先搭起来。哪怕只是找人把新法和你们业务的接口点梳理一遍，也好过在不确定里干坐着。
早一步，是成本。晚一步，是代价。这账，怎么算都该选前面那个。