Summary

  • Zscaler 2026 财年收入为 33.53 亿美元，年末 ARR 为 37.71 亿美元，两者均增长 25%；剔除 Red Canary 后，收入为 32.09 亿美元，ARR 为 36.30 亿美元，两者均增长 20%。
  • Zscaler 在这一财年收购 Red Canary、SPLX、SquareX 和 Symmetry，披露的现金对价合计约 9.577 亿美元；四宗交易已披露或暂定的商誉合计约 8.003 亿美元。
  • 管理层和 PwC 都把四家新子公司排除在年末财务报告内部控制评估与审计之外。四家公司合计约占集团资产的 0.1%，占全年收入的 4.4%。
  • 报告收入与剔除 Red Canary 后收入之间的四舍五入差额约为 1.44 亿美元，而全年收入的 4.4% 约为 1.475 亿美元。两者接近，但不是对账：前者只涉及 Red Canary，后者合并四家公司，而且衡量目的不同。
  • 有决策价值的披露应固定四家公司，分别列示收购 ARR、已确认收入、续约、交叉销售、毛利、购买价分摊修订、整合成本与纳入 ICFR 的进度。

同一个财年，出现了三张并购地图

Zscaler 的总量增长并不含糊。2026 财年收入达到 33.53 亿美元，同比增长 25%；第四季度收入为 8.982 亿美元，同样增长 25%；截至 7 月 31 日的 ARR 为 37.71 亿美元，也增长 25%。

随后，公司给出一组并购调整比较。剔除 Red Canary，全年收入为 32.09 亿美元，增长 20%；剔除 Red Canary 贡献的 1.41 亿美元 ARR，期末 ARR 为 36.30 亿美元，同样增长 20%。这组比较回答了一个合理问题：拿掉最明显、可量化的收购贡献后，原有业务还剩下多少增长？

但 Red Canary 并不是这一年唯一完成的交易。Zscaler 在 2025 年 8 月 1 日收购 Red Canary，在 10 月 31 日收购 SPLX，在 2026 年 2 月 5 日收购 SquareX，在 5 月 27 日收购 Symmetry。因此，企业合并附注必须处理四家公司的购买价、可辨认资产和商誉。

内部控制报告又使用了另一套四家公司边界。管理层因四宗交易都在年内完成，把这四家子公司排除在 7 月 31 日的财务报告内部控制评估之外；PwC 在 ICFR 审计中采用了相同排除范围。也就是说，增长比较只拿掉一家，收购会计要处理四家，内部控制则暂时不测试四家。

这并不表示哪一套边界错误。公司可以在非 GAAP 经营指标中剔除最重大的收购贡献；会计准则要求每宗完成的企业合并都进入购买价分摊；最近收购的业务在明确披露范围和影响后，也可能在第一年暂不纳入集团控制测试。问题发生在读者把三套边界压缩成一个未经定义的“有机增长”概念时。

1.44 亿美元与 1.475 亿美元只是看起来能对上

财务报表给出的全年收入是 33.525 亿美元，业绩稿把它四舍五入为 33.53 亿美元。业绩稿又称，剔除 Red Canary 后收入为 32.09 亿美元。按披露精度计算，两者相差约 1.44 亿美元。

另一方面，33.525 亿美元的 4.4% 约为 1.475 亿美元。这个结果与 1.44 亿美元非常接近，容易诱发一个直观判断：或许暂未进入 ICFR 测试的四家公司，合计收入大致就是增长比较里剔除 Red Canary 的那一部分。

公开文件并不支持这个结论。4.4% 同时包含 Red Canary、SPLX、SquareX 与 Symmetry；32.09 亿美元的比较只剔除 Red Canary。一个比例用来说明内部控制评估的范围，另一个数字用来解释收入增速。两者披露精度不同，公司也没有把 4.4% 分配到每家子公司。

反过来，也不能因为 SPLX、SquareX 和 Symmetry 没有单独出现在增长调整里，就认定它们的收入为零。三宗交易完成得更晚，其中一些更偏向早期技术或团队。它们的收入对集团可能不重大，却不等于不存在。没有单列不是一张子公司损益表。

这组数字的接近，最有价值的地方恰恰是提醒边界纪律。先固定公司、日期和计量对象，再做减法；如果先从相近的总数开始，结论只会继承边界错误。

Red Canary 的 1.41 亿美元 ARR 不是全年收入

Red Canary 是四宗收购中唯一被连续披露 ARR 贡献的业务。2026 年 1 月 31 日为 1.14 亿美元，4 月 30 日升至 1.27 亿美元，7 月 31 日达到 1.41 亿美元。这条序列说明收购后的期末年化合同规模在扩大。

它并不说明每个季度确认了多少收入。Zscaler 把 ARR 定义为计量日现有订阅合同未来十二个月的收入。对于未来十二个月内到期的合同，公司通常假设按现有条款续约；文件同时明确，某些在 2026 财年到期的 Red Canary 合同被排除在这一续约假设之外。

这个例外很重要，因为它说明公司没有对整个收购组合机械套用续约。但它仍然没有给出继承客户的留存率，也没有拆分 Zscaler 销售团队带来的新合同、原有客户扩张、价格变化、服务退出与产品迁移。

全年收入是另一只时钟。报告收入与剔除 Red Canary 后收入的约 1.44 亿美元差额，代表十二个月内确认的流量，并受四舍五入影响。Red Canary 在财年第一天进入集团，几乎能贡献完整年度；SPLX、SquareX 与 Symmetry 的并表窗口依次更短。

因此，不能把 7 月末的 1.41 亿美元 ARR 与全年约 1.44 亿美元收入差额直接相等。ARR 是向前看的年化截面，收入是已经履约后在过去十二个月确认的流量。收购带来的合同负债和公允价值调整还可能改变收入确认节奏。

真正有用的桥应当分成两部分。第一部分从交割日的收购 ARR 开始，加上新签约和扩张，减去流失、缩减与续约例外，得到期末 ARR；第二部分跟踪同一批客户在报告期内形成的已确认收入。只有两个桥使用同一客户群，市场才能区分继承合同、续约留存和交叉销售。

四宗收购押注的是四种价值实现方式

Zscaler 披露为 Red Canary 支付 6.514 亿美元现金，为 SPLX 支付 4060 万美元，为 SquareX 支付 1.128 亿美元，为 Symmetry 支付 1.529 亿美元，合计约 9.577 亿美元。公司另行披露受合并后服务条件约束的限制性股票；这些奖励带有未来任职条件，不能未经说明就并入现金对价。

四家公司的产品角色也不同。Red Canary 带来托管式威胁检测与响应；SPLX 扩展人工智能安全测试；SquareX 把安全控制延伸到浏览器与非托管设备；Symmetry 用访问图描述数据、身份、应用与 AI 代理之间的连接。

因此，不能只用一条收入增速判断所有整合。托管服务需要保住客户并维持交付效率；早期技术可以先被嵌入平台，然后才形成可单独观察的合同；浏览器安全必须从扩展程序变成实际部署的访问策略；访问图则要转化成客户可以执行的风险控制。

购买价分摊显示，大部分价值要靠未来执行来兑现。Red Canary 的商誉为 5.45445 亿美元；SPLX 在计量期修订后为 3920 万美元；SquareX 暂定为 9300 万美元；Symmetry 暂定为 1.227 亿美元。合计约 8.003 亿美元。多项分摊仍属初步，因此这不是一个永久不变的“商誉占比”。

高商誉并不自动证明买贵了。商誉通常包含已经组织起来的团队，以及无法作为单独资产确认的预期协同。它真正改变的是举证责任：越多价值放在未来协同中，越需要用客户留存、代码整合、人才稳定、交叉销售与毛利来证明。

SPLX 已经展示了初始估值的可变性。Zscaler 把收购的已开发技术价值从 1410 万美元下调至 330 万美元，同时把商誉从 3220 万美元上调至 3920 万美元，原因是估值方法从基准比较转为重置成本法。这不是减值，而是计量期内的购买价分摊修订；但它清楚说明，首次公布的资产结构不是最终经济结果。

未纳入 ICFR 测试，不等于财务报表没有审计

“排除在我们的审计之外”很容易被读成负面信号，但文件的法律与会计含义更窄。PwC 对 Zscaler 合并财务报表发表无保留意见，也认为公司在已测试范围内截至 2026 年 7 月 31 日维持有效的财务报告内部控制；四家新子公司被明确排除在当年 ICFR 审计范围之外。

四家公司的收入和余额仍在经过审计的合并财务报表里。被排除的是支撑数字生成的控制流程，例如合同授权、开票、收入确认、系统访问、期末结账、账户核对，以及防止或发现重大错报。因此，说“4.4% 的收入没有被审计”是不准确的。

同样，也不能说四家公司的控制已经失败。披露表示这些流程今年未被纳入评估，而不是测试后认定无效。新收购企业往往保留不同的合同库、计费系统、审批链与结账日历。把它们迁移到集团控制环境，需要重新设计权限、数据接口与证据留存。

0.1% 资产与 4.4% 收入的反差仍值得关注。软件与服务公司可以在法律实体内持有很少的运营资产，却产生较多收入；商誉和其他收购资产也可能在集团结构的另一层确认。这个比例衡量的是暂未测试范围，不是欺诈概率或产品质量。

真正的验证点在 2027 财年。四家公司是否全部进入管理层 ICFR 评估与外部审计？是否出现控制整改、重大缺陷或系统迁移延期？如果顺利纳入，将是治理层整合完成的重要证据；如果继续排除，市场需要知道障碍属于时间、系统还是控制设计。

RPO、递延收入与现金流不能替代并购拆分

Zscaler 期末剩余履约义务为 73.654 亿美元，其中 45% 预计在未来十二个月确认，90% 预计在三年内确认。递延收入为 29.258 亿美元，同比增长 19%。

两项数据都增强合同可见度，却不能把价值分配给每宗收购。RPO 是尚未履行义务对应的交易价格；递延收入是已经开票但尚未确认的订阅费用；ARR 则在一个日期把订阅合同年化。合同期限、开票安排、续约假设与收购会计会使它们在不同时间移动。

因此，从 RPO 中减去 Red Canary ARR 没有会计意义。把递延收入增长全部归因于四宗收购也没有证据。公司没有披露每家被收购企业对应的 RPO、递延收入、未开票金额与客户收款。

现金流还有自己的节奏。全年经营现金流为 11.297 亿美元；但第四季度自由现金流只有 6080 万美元，占收入 7%，同期不动产、设备采购与资本化内部软件合计 2.185 亿美元。这说明平台投入在上升，却不能告诉读者哪部分现金支出属于并购整合，哪部分客户回款来自被收购组合。

当几个总量采用不同边界时，强行拼出“收购贡献”只会制造虚假精度。缺失的不是另一道减法，而是一张同口径表。

一张四行表已经足够改善透明度

Zscaler 不必公开客户名称与合同单价。表格可以只有 Red Canary、SPLX、SquareX、Symmetry 四行，列出交割日期、现金对价、初始与最终购买价分摊、交割 ARR、期末 ARR、报告期收入、客户留存、交叉销售、毛利、整合成本与 ICFR 状态。

如果精确金额涉及商业敏感性，可以使用区间或重大性档位。关键是四行始终不变。即使把后三宗交易合并为“其他收购”，也比让读者从没有调整推断没有贡献更好。

Red Canary 最需要合同层面的桥。1.14 亿、1.27 亿、1.41 亿美元序列证明规模在增长，却没有说明增长来自继承客户续约、同一客户扩张、Zscaler 新销售，还是计量定义变化。对某些到期合同不套用续约假设，说明公司内部已经能够更细地处理组合。

SPLX、SquareX 与 Symmetry 初期则可能更适合用产品指标来证明。已上线功能、实际启用客户、附带合同价值、最终购买价分摊与毛利影响，都能说明技术是否变成可销售能力。技术收购可以不保留独立 ARR，但不能永远不留下经济痕迹。

单独披露应持续到每宗交易至少走过一次完整续约、最终估值和内部控制周期。之后，产品完全融入平台，单独跟踪可能失去必要性；在此之前，过早合并品牌也可能顺便抹去证据。

增长有证据，完整归因仍没有

三套边界的错位并不否定 Zscaler 的业绩。收入和 ARR 增长 25% 是实质性表现；剔除 Red Canary 后仍增长 20%，同样强劲；RPO 规模可观，递延收入上升，全年经营现金流保持健康。

更精确的结论是：当四宗收购中只剔除一宗，且其余贡献没有统一桥接时，“并购调整后”还不能等同于完整的“有机增长”。Zscaler 给出的 20% 是围绕已识别重大贡献构建的有效比较，但不是四宗交易全部归零后的分部计算。

ICFR 排除也不是不利审计意见。它说明并购还有一只财务控制时钟，而产品整合、客户续约和收入确认各有节奏。投资者要观察的是这些时钟能否在下一年收敛。

公司对 2027 财年的指引是收入 39.08 亿至 39.38 亿美元，ARR 43.96 亿至 44.26 亿美元。经历更完整的持有周期后，继承合同、交叉销售、估值修订与控制纳入都应当更容易区分。

今天最稳健的判断不是“25% 不可信”，也不是“4.4% 没有审计”。而是 Zscaler 已证明集团增长强劲，却尚未用同一并购人口解释增长从何而来、支付的价值如何落地、生成数字的控制何时完成整合。四行对账表可以把三份各自正确的披露，拼成一份可投资的整合记录。

Sources