网安初创融资和退出路径：创始人该如何思考

大多数的安全初创公司都是由技术人员创办的，他们的职业生涯都是在帮助人们及组织保护数据。他们中的许多人都有打造产品、解决客户问题和应对复杂技术挑战的经验。

我一直强调，创建公司与创建产品并不相同，而最能凸显这种不同的莫过于必须考虑融资、吸引投资者、以及出让公司的一部分股权以换取发展资金。

本文，我将讨论围绕这些主题的一些重要问题。什么是合适的战略，答案总是主观的，而且与具体情况有很大关系；但无论在什么情况下，重要的是能够理解问题复杂性，并选择正确的方法。

了解融资的基本知识 

关于融资和风险投资模式的几点说明 

有两种资本可供安全公司使用：

• 合作型资本：将战略和执行权交给公司，并通过帮助团队发展来实现增值的资本。风险投资、个人天使和天使网络都属于这一类。反过来，提供合作资本的投资者可以是主动的，也可以是被动的。被动型投资者开出一张支票，让创始人去做他们的工作，而主动型投资者则会想方设法作出贡献。 

• 控制型资本：希望行使更高程度控制权的资本。私募股权（PE）就是控制型资本的一个例子。大多数初创企业都是在创业后期才与私募股权打交道。 

在创业初期，安全初创公司会向个人天使或天使集团融资。此时，很难确定公司的估值，因此大多数早期投资者通过所谓的未来股权简单协议（SAFE note）来投入资金，这意味着他们投资特定的金额，并同意在未来公司从风险投资机构筹集第一轮机构定价资金时，再确定其所有权的确切比例。SAFE模式已成为一种标准，它使种子融资过程变得简单易行，让创始人可以快速筹集资金，然后继续创建公司，而不必在复杂的谈判上浪费时间和金钱。 

在每一轮融资中，创始人都应出让约20%的公司所有权，以换取现金来继续发展初创企业。出具Term Sheet并主导本轮融资的风险投资机构通常有特定的所有权目标，比如15%。这意味着，一家风险投资机构将投入本轮融资所需的大部分资金，然后将一小部分资金开放给他们的合伙人和其他创始人希望支持公司的人，包括前几轮融资的早期天使投资人等。 

虽然有些创始人认为风险投资机构希望尽可能多地获得初创公司的股权，但事实并非如此。优秀的投资者希望提供公司发展所需的资金，同时也知道他们的所有权需要与创始人和团队在公司中的股份保持平衡。如果创始人和员工的持股比例不足以激励他们使公司取得成功，那么初创企业可能会提前倒闭，风险投资人也会损失所有资金。这就是为什么投资者的利益与创始人的利益要比许多人意识到的更加一致。 

估值、融资成本和退出方案之间的关系 

构建一家公司，需要超越对后果的表层思考。融资，像其他事情一样，是一个微型系统：公司达到特定的里程碑，推动业务的认知价值上升，使其能够筹集资本。随着他们筹集更多资本，他们需要达到的里程碑变得更加困难，循环继续。

在早期阶段，指标是灵活的，初创公司可以基于注册、早期用户的兴趣、GitHub 星的数量或风投对团队及其潜力的激动而筹集资本。随着公司不断发展，里程碑变得越来越具体，直到只剩下一个最重要的：年度循环收入（ARR）的增长。

公司估值（初创企业的价值）、稀释（创始人为换取发展资金而让渡给投资者的企业股份比例）和目标退出金额（公司预期带来的回报倍数）都是相互关联的。 

一方面，创始人有动力将估值抬得越高越好，这样他们就能筹集到更多资金，并用公司的部分股权换取尽可能多的钱。例如，一家公司以5,000万美元的投后估值融资1,000万美元，实质上就是以1,000万美元的价格出售了初创公司20%的股份；同一家公司以1,000万美元的估值融资200万美元，也是以200万美元的价格出售了公司20%的股份。这种计算方式鼓励创始人寻求更高的估值，以便将公司的一部分“出售”给出价最高的人。 

然而，这只是奖牌的一面。公司有两种退出方式：上市（IPO）或被收购。投资者要想参与收购，就必须能够获得一定水平的回报。虽然实际的目标倍数在很大程度上取决于各个风险投资公司的投资组合构建策略，但对本讨论而言，重要的是公司筹集的资金越多、估值越高，退出价格就必须越高，投资者才会签署文件，让创始人出售初创公司。

正因如此，只有当市场规模大且不断增长，创始人看到了建立大型平台公司并上市的机会时，以高估值筹集大量资金才有意义。而那些在小市场上运营的公司，可能反而希望被收购，过于昂贵的价格会让他们对潜在买家失去吸引力。当公司开始以高估值融资时，它需要有信心：

1)它将能把资金用在刀刃上，继续发展壮大

2)能够达到进入下一阶段的指标

3)它能达到使其上市的收入数字

决定融多少资金 

要回答融资多少和估值多少的问题，没有简单的方法。这取决于多种因素，如目标市场、公司正在开发的产品类型、创始人的长期雄心、竞争对手的资金状况等。 

如果存在快速建立大型平台的巨大机会，那么以高估值筹集大量资金不失为一个好主意。云安全就是一个很好的例子：这是一个重要的问题，具有巨大的TAM市场总量，而构建产品的所有要素（如强大的应用程序接口）几年前就已存在。如果Wiz和Orca不能快速执行，其他人也会这么做。然而，为细分市场解决较小问题的工具不应该走同样的融资道路，除非创始人看到了发展成为平台的现实途径（重点是现实途径！）。另一种看法是：如果没有通往 1 亿美元（或更高）ARR收入的明确途径，那么追逐独角兽估值和考虑上市，往往不是一个好主意。 

为了制定合理的融资战略，创业者需要深入了解市场、客户及其支付意愿和能力、所要解决的问题的严重性以及邻近的问题领域。重要的是，他们还应该清楚地知道自己正在创建一家什么样的公司。我注意到，有太多的创始人没有花足够的时间停下来思考如何建立一家公司，相反，他们把所有的时间和精力都放在了功能和产品的发布上。此外，我还看到创业者过度关注市场允许他们今天做什么，而没有从战略角度思考并提前规划几步。重要的是要意识到，下一轮融资（或退出）可能会在大不相同的经济条件下发生，对成功的期望和衡量标准也会不同。

退出路径取决于公司类型 

大多数安全初创企业不会上市 

很少有人意识到，最理想的融资和退出战略并不仅仅取决于创始人的雄心壮志。人们很容易认为，只要创始人坚持创建，任何公司都能上市，但事实并非如此简单。 

首先，请允许我说明一个显而易见的事实：大多数网络安全初创企业永远不会通过IPO上市。 

尽管大多数人认为，上市意味着像你我这样的个人可以在证券交易所购买公司股票，但实际上，在IPO期间购买股票的是机构投资者--投资银行、捐赠基金、养老基金等。要让他们投入资金，他们需要确定性：比如说，当捐赠基金想下高风险赌注时，它就会投资风险投资公司；而购买上市公司的部分股份则需要更高的确定性和合理的增长预测。一家公司要上市，通常需要年收入超过 1 亿美元，并且每年都有大幅增长。 

Blossom Street Ventures调查了公司上市所需的增长速度，发现“这些公司的收入中位数比上年增长 43%，平均增长 51%”。例如，CrowdStrike在上市时同比增长110%，Zscaler同比增长57%，Snowflake同比增长174%。根据同一份报告，总体收入的中位数为1.68亿美元，平均值为2.86亿美元（平均值被McAfee等收入达26亿美元的公司干扰了）。

毫不夸张地说，绝大多数网络安全公司都没有达到这些指标的途径。在我们这个行业，唯一的办法就是建立一个平台，一套客户可以用来解决各种问题的解决方案。要建立一个平台，安全公司需要迫使客户将尽可能多的数据输入产品，以解决特定的用例，然后利用“落地和扩展”战略扩大支持用例的范围。大多数安全初创公司并没有建立平台，充其量只是为较小范围的问题提供点解决方案（许多公司甚至没有这样做，而是专注于建立功能并希望被收购）。 

值得注意的是，首次创业者很难完全重新构想整个细分市场。这需要经验、经过验证的执行能力以及大量资金，而没有任何创始人经验的人很难筹集到这些资金。毫不奇怪，CrowdStrike、Zscaler和Tenable等大型上市公司的创始人都不是第一次创业。 

大多数风险投资支持的初创企业最好在B轮融资之前就被收购 

由于绝大多数安全公司都没有首次公开募股（IPO）的途径，唯一可行的退出方案就是被收购。大多数创始人都很清楚这一点，但缺少的是对细微差别的理解。 

经过对这一话题的多次观察和讨论，我认为绝大多数安全初创企业（超过90%）最好在B轮融资之前就退出。 

影响成功退出概率的常见因素

A轮创业公司的理想退出额度在1.5亿至4亿美元之间（这个数字取决于之前的估值和筹集的资金额）。要实现3亿美元的收购，创始人需要获得500万至2,000万美元的收入，并有望达到1,000万至5,000万美元。大多数B轮融资的创始人仍拥有公司约60%的股份，因此他们将获得丰厚的回报，他们的投资者也将获得丰厚的回报。 

许多创业者认为，收入越高，退出的可能性就越大。虽然从逻辑上讲这是合理的，但投资者和收购者都是按里程碑或组群来考虑的：100万美元以下的公司；100万至500万美元之间的公司；500万至1000万美元之间的公司；1000万至2500万美元之间的公司，依此类推。一旦初创公司的净资产收益率达到5,000-7,000万美元，买家就会愿意支付更高的价格，但大多数公司都会陷入净资产收益率在500-3,000万美元之间的死胡同，无法为某些客户提供利基解决方案，也没有能力进入下一个增长阶段。 

虽然5-6亿美元似乎和3-4亿美元差距不大，但以5-6亿美元的估值退出的难度并非翻倍，而是10倍。出现这种情况有几个原因。首先，在这一阶段，收购方希望看到一条通往1亿美元ARR收入的清晰道路，而这一数字需要的不仅仅是产品与市场的契合度：它需要一个强大、运转良好的企业销售战略和市场拉力，而这正是大多数初创企业无法建立的。其次，当公司希望执行价值约为1.5-4亿美元的收购时，通常可以由总经理做出决定。他们可以发布一份简单的新闻稿，通常不讨论交易的价值，交易就完成了。要收购更大的公司，必须将其纳入公司战略，这意味着： 

• 参与决策的人数要多得多；‍‍

• 对指标的审查更加彻底；‍‍‍

• 收购需要成为新市场扩张、进入新细分市场等大战略的一部分；‍‍

• EBITDA必须合理，这样才不会对买方的资产负债表产生负面影响。‍‍

最后一部分尤其有趣。EBITDA是未计利息、税项、折旧及摊销前利润的简称；这一指标是衡量公司财务健康状况和产生现金能力的最常用指标之一。网络安全初创公司都是重研发的公司，因此需要大量资金才能发展壮大。另一方面，它们中的绝大多数都没有实现盈利的途径，筹集的资金越多，雇佣的员工越多，离盈利就越远。在A轮融资之前，一般公司不会筹集太多资金，但一旦到了B轮或C轮，情况就会发生变化。此时，估值过高，上限过大。由于大多数收购方都是上市公司，它们的财务状况正接受大量市场参与者的审计和审查。这些公司的财务部门在审查潜在收购时，往往会因为EBITDA指标而阻止那些筹集了大量资金的初创企业。当一家上市公司要收购一家价值10亿美元或更高的初创企业时，EBITDA就变得尤为重要，因为它能极大地影响公司的股价。此外，大型收购会引起监管机构的关注和审查，这也是在考虑行业并购时值得牢记的一个因素。 

估值和多元化收入来源的作用

收购者希望看到初创企业真正解决了一个问题，并且产品与市场契合度高。现在的挑战是，许多公司开始过早地分散精力，进入新的细分市场，增加新的功能，以证明估值的增长是合理的。当一家公司的净资产收益率还未达到500万至1,000万美元时就出现这种情况，通常意味着它未能在某一领域实现产品与市场的契合。 

随着公司向新领域扩张，它开始将自己定位为一个平台，因此估值往往会上升。很多初创公司在这种情况下都会变得无人问津： 

• 它不再是一个易于理解、购买和集成的点解决方案 

• 它（尚未）成为一个成功的平台，因此竞争对手不会将其视为威胁或值得购买的东西

满足风险投资公司回报目标的能力

随着初创公司进行更多轮次的融资，估值越高，其股本表上积累的风投就越多。随着时间的推移，越有可能在与潜在收购方的谈判开始时，他们会要求无法合理接受的价格。这里有一个简单的例子：假设一家初创公司在估值为2亿美元的A轮融资，然后在没有强有力的度量标准和能够证明这个估值的收入路径的情况下，进行了估值12亿美元的B轮融资。如果创始人已经尽了最大努力发展公司但未成功，并且有一个潜在的收购方愿意提供7亿美元，那么以前以更高估值投资的风险投资者可能不允许这种转变发生，鼓励创始人坚持到底。然而，如果B轮的估值是5亿美元，那么以7亿美元出售将是一个更可接受的选项。

在早期阶段，创始人可以给早期风险投资者一个体面的退出机会。到了后期，把资金投入到最近几轮的投资者就不想过早出售，而是认为创始人应该继续下去。如果公司确实有巨大的潜力（即使创始人没有意识到），那就再好不过了；如果没有，那么初创公司无法满足风险投资人的回报目标，就可能会把它送下悬崖。 

为创始人提供的有关风险投资融资的其他注意事项 

以下是为希望规划融资策略的创始人提供的其他一些注意事项：‍

• 了解专注于网络领域的风险投资公司和综合型风险投资公司之间的区别，并决定哪一个更适合你；‍‍

• 对潜在投资者进行尽职调查。联系其活跃投资组合中的创始人（而不仅仅是风险投资公司介绍的那些），以及已关门公司的创始人--了解风险投资公司能提供什么价值，以及在情况不妙时如何表现，这一点同样重要。此外，还要做一些调查，以了解该公司是在创新方面下注并及早承担风险，还是只是简单地收集Logo；‍‍

• 在设计融资结构时，既要考虑资本，也要考虑其他价值，而且要记住这两者可能来自不同方面。例如，根据您所寻求的支持类型，您可以从大型风险投资公司那里获得大笔资金，然后再从天使投资集团那里获得小额资金，这样就能为您带来更多价值；‍‍

• 在与风险投资公司接触之前，先看看他们的投资组合，看看他们是否已经投资了与你的产品有竞争力或可能有竞争力的公司；‍‍

• 谨防一概而论，建立自己对现实的理解。我有时会听到 "风险投资是邪恶的 "这种说法。风险投资是邪恶的，就像银行是邪恶的一样。一个贷款开工厂、现在成为百万富翁的人，与一个借钱环游世界、现在负债累累的人，会有不同的经历。风险投资的资金是一种资源，当然不是最适合每个人的；‍‍

• 一般来说，大多数风险投资人并不希望参与公司的日常工作。如果风险投资人必须亲力亲为，参与公司运营决策，那么他们就做出了错误的投资决定，因为他们选择了无法执行的创始人；‍‍

• 巨型基金的不断整合导致了巨额融资。换句话说，随着风险投资基金规模越来越大，初创企业可以获得越来越多的现金。如果初创企业需要这么多钱，而且能巧妙地调配这些钱，那就再好不过了，但创始人应该考虑自己的需求，拿自己能有效调配的钱，而不是能拿到多少就拿多少。 

大清算：经济衰退，可能大量安全初创公司倒闭

长期以来，网络安全一直被视为一个 "热门 "行业。例如，2021 年是安全初创企业创纪录的一年，共筹集了 295 亿美元的风险投资。当资本便宜且容易获得时（风险投资公司筹集了巨额资金，需要分配资本），当不太成熟的投资者愿意押注网络安全领域时，许多公司即使没有达到合适的增长指标，也能获得资金。随着当前经济的衰退，这种情况发生了变化。根据 Crunchbase 的数据，截至 2023 年第二季度，网络安全领域的风险投资与去年同期相比下降了 63%，仅略高于 16 亿美元。该行业的态势肯定发生了变化，但不变的是：

• 拥有令人信服的想法和市场需求证明的强大早期团队不断获得资金。当然，门槛也更高了：以前，只要拿出餐巾纸背面的图纸，就能获得种子轮融资，而现在，对创业者的挑选和审查要严肃得多；‍‍

• 后期阶段的公司如果能拿出正确的指标，也不愁筹集不到资金。 

今年和明年，确实会有大量网络安全初创企业倒闭。那些能带来附加值、解决实际问题并拥有可行商业模式的公司一定会生存下来并茁壮成长。另一方面，那些寄希望于最好的结果、找不到产品与市场的契合点、未能向买家传达其价值主张的公司将不得不离开。

由于投资者在评估潜在投资时变得更加挑剔，那些在过去几年中获得过融资，但未能达到进入下一轮的里程碑的公司，在最终要求过桥融资时往往会倒霉。这是痛苦的，但这是必然的过程，这样才能使行业回到2020-2021年繁荣之前的状态。

沃伦·巴菲特最著名的名言之一是“只有当潮水退去，你才会知道谁在裸泳”。2023 年即将结束，潮水正在退去，我们很快就会看到潮水揭示了谁。

Mark Curphey 就这个问题写了一篇很棒的文章，题为《安全工具大崩溃即将来临》（https://crashoverride.com/blog/a-security-tools-crash-is-coming），我强烈推荐大家阅读。从外部来看，要判断市场的走向、谁成功了、谁失败了并不容易：我预计会有很多被定位为“退出”的火热交易，初创公司将以未公开的估值被收购。 

公开市场正在等待，因此准备IPO的公司的日子并不好过。Snyk就是一个有趣的案例：在二级交易中，该公司的估值被砍掉了一半，我们还不知道它的命运将如何发展。在经历了之前的天价估值之后，这家初创公司的投资者不太可能批准任何估值更低的收购，同样，该公司也不太可能以之前设想的数字进行IPO。Cybereason的处境更糟糕；很明显，现在是上市的坏时机，但却是建设的好时机。几年后，经济形势很可能会发生变化，因此，那些在市场不景气时保持灵活、并在市场中叱咤风云的企业将处于有利地位，成为新的行业领导者。 

令人匪夷所思的是，这已经不是我们第一次谈论这类趋势了。早在2018年，我们就遇到过类似的情况：安全公司推迟了IPO，“初创企业已经成为企业'僵尸'，几乎没有希望在IPO中卖出好价钱，或者成为收购目标”，路透社当时如此写道。 

我预计，在接下来的几年里，随着收入的增加、更可持续的消费习惯以及性价比更高的营销方式，风险投资资助的初创企业将开始表现得更像那些没有那么多资金的企业：

• 确保明确的价值主张，找到愿意付费的客户群

• 注重快速创收

• 制定和实施保守的招聘战略

• 寻找收入渠道多样化的途径

• 减少营销开支，确保销售资源的充分利用

人们是善忘的，因此我强烈怀疑，这种对可持续增长的关注并不是一种长期的变化，而是短期的修正。一旦信心高涨，用不了多久，我们就会看到投资者承担更高的风险，支持激进的增长战略。 

与往常一样，值得强调的是，风险投资资金只是一种工具，而不是打造成功网络安全公司的先决条件。如果使用得当，它可以大大加快执行速度，使公司有可能聘用最优秀的人才，并在需要大量前期研发投资的领域进行创新，如果没有风险投资，这些很可能无法实现。对于许多优秀的SaaS企业来说，他们所瞄准的市场的自然上限可能是500万至1,000万至2,000 万美元的ARR收入；要成为各自细分市场的领导者，他们不一定需要风险投资的支持。此外，获得风险投资是在公司找到盈利途径时暂时为其提供资金的一种方式；无论如何，它都不能取代盈利能力。

结语 

创始人在进行融资之前，需要了解他们要建立的是一家什么样的公司。做出这一决定需要考虑很多因素： 

• 创始人要解决的问题有多大？是否有一个能带来数亿年度经常性收入（ARR）的客户群？如果没有，公司很可能不会上市；

• 创始人最愿意走哪条路？他们乐于放手一搏，赢大钱或输大钱，还是更乐于建立一个现金高效的企业，获得个位数（或两位数）的退出？

  ‍‍

问题很多，潜在的方向也很多。人们通常认为有两种选择：走 "风险投资路线"，要么成为独角兽，要么坠入悬崖；或者完全自力更生，永远不从外部投资者那里筹集一分钱。事实并非如此。首先，可以向天使投资人和财团进行早期融资--这些人更愿意做非传统的赌注，因为他们投入的是自己的资金。这可以为创始人提供足够的资源和时间，让他们弄清楚自己的假设是否值得追求。如果值得，他们可以选择 "大干一场"（以高估值大量融资，快速成长，并试图做大），或者他们可以找到那些愿意接受高增长、现金效率高、有可能在几年内被收购的精干公司的投资者。为此，创始人可能需要：

• 为真实客户解决实际问题

• 获得足够多的大客户，以显示增长潜力 

• 筹集少量资金，保守地部署资本，并保持较低的估值，将自己定位为有吸引力的收购目标

对于其他人来说，不筹集任何资金，走Thinkst Canary和Wazuh的路，不接受任何外部资金，可能是更好的选择。

---

原文链接：

https://ventureinsecurity.net/p/raising-capital-and-understanding

原文始发于微信公众号（安全喵喵站）：网安初创融资和退出路径：创始人该如何思考