量度风险

企业法务和外部律师都肩负着风险评估这一关键任务，但很少有人能做得很好，因为待办事项很可能超出了字面的职责。雅培大中华区法律总顾问邵明拆解这项工作的真正内容，并就如何做到出色给出了他的建议

法律顾问，无论是企业法务（或内部律师）和外部律师，都承担着协助公司和业务部门进行各类风险评估（risk assessment）的重要工作。实践中，有些法律顾问认为风险评估工作有较大的挑战性，主要原因可能包括：

对法律顾问角色的狭义理解。认为法律顾问的主要工作是对法律进行解读并提供法律意见。由此认为，自己在风险评估过程中是起到辅助性的作用，主要限于对法律进行解读的角色。

缺乏对业务情况的了解。对实际风险大小的评估和判断，有赖于对具体业务情况和目标的了解和把握，而很多法律顾问（特别是外部律师）在这方面缺少足够的信息和把控。

风险产生的不确定性和非单一原因性。例如：一个原本合法低风险的方案，在后续实施过程中可能由于认知或者管理存在欠缺，导致引发风险，这些因素并非法律顾问可控。

不同公司对于风险偏好与容忍度存在差异。风险评估本身就包含了高度综合的判断和决策要求，以及需要不时做对于公司和业务有重大影响的决定。法律顾问不确定其应该参与的程度和合适性。

基于以上和其它原因，实践中很多法律顾问在需要提供比较明确的风险评估意见，或更进一步提供清晰的整改建议时都会感到为难。而这些可能恰恰是业务部门最缺乏，迫切需要法律部/律师帮助的领域之一。

风险评估的分类

就笔者看来，法律顾问日常参与的风险评估主要分为两个类型，商业风险评估和合规/执法风险评估。其中，前者主要是不涉及政府和法律监管的，平等主体间商业安排中的风险分配。比较典型的场景包括商业合同谈判、投资项目以及收购兼并过程中的风险评估等。

后者主要是指对于涉及法律法规的要求和政府监管以及执法领域的风险评估。就这些方面，法律法规对企业和相关人员一般有比较明确的禁止性或者强制性义务，违反这些监管要求可能会承担行政甚至刑事责任。

商业风险评估

在商业风险评估过程中，法律顾问可承担的重要工作是通过发现、识别、分析和处理风险，协助公司达成一个风险（risk）和收益（gain）相对平衡的方案，在使企业利益最大化的同时，实现风险程度和风险控制成本最小化。笔者认为，这其中比较重要的思维方式包括：

• • 先从法律规定和执法的角度，分析风险的边界（parameter）。理论上判断风险存在的范围和区间，以及最大的风险（worst-case scenario）、风险中间值和最小的风险（best-case scenario）分别是什么。
  • 具体分析和预见风险的发生(realisation)。在实际场景中分析可能导致风险发生的原因和发生后的各种情况和影响，以及各种类型风险发生和导致某种结果/影响的概率有多高。
  • 换到业务的角度，分析承担不同风险情况下，可能对应的商业收益分别是什么，收益发生的概率有多高。
  • 同时分析风险的预防和补救(prevention and remedy)可能。分析对于不同风险的种类和情况，是否有预防和/或补救的方法和措施，以及该等预防和补救方案的成本和有效性。
  • 然后把两方面相结合，在具体场景下考量风险和收益的对应关系。例如：在预判风险值最高的情况下，是否可期待收益值也是相应最高的？同样的，在承担最低风险值的情况下，是否可期待的收益值也是最低的？实践中，很多情况下可能风险和收益不一定存在线性关系。通常，风险增大只是创造了收益增大的可能性，但不必然带来收益的增大，甚至不一定带来实质性的收益。在这种情形下，需要分析和权衡，采取风险最大的方式是否符合公司的根本策略和利益，公司能否承受最大程度的风险所带来的后果。
  • 基于以上风险和收益的全面评估和权衡，选取最合适的商业和法律解决方案。值得一提的是，尽管商业风险评估一般不涉及违法风险，但是在采取风险较大的方式时，也应该综合考量各种潜在的外延风险，包括对于企业和公司声誉、商誉、商业道德、政府关系、媒体关系、员工和客户关系以及信任度等等各方面的影响。
    合规/执法风险评估

法律顾问在进行合规/执法风险的评估时，在框架上可以参照以上针对商业风险评估所阐述的思维方式，对风险的大小和发生的情形进行梳理和初步评估。但需要强调的是，法律顾问在合规/执法风险评估中要有明确的底线意识（bottom-line awareness），不能将合规风险评估简单用等同于商业风险评估的方式看待和做决定，具体来说：

• • 不同于商业风险，合规/执法风险由于与法律法规下明确的禁止性义务或强制性义务相关联，违反相关规定造成的后果也会更加严重，一些情况下甚至可能导致公司遭受灾难性的损失乃至灭顶之灾。法律顾问需要对法律的红线有非常清晰的认识和判断，并明确地向业务部门和管理层传达和阐述这些规定。
  • 同样，不应该把违法被发现并受到处罚的概率作为一种机会成本看待，更不能把违法后经济处罚的数字看作是“违法补救”或者“守法替代”的成本。作为法律顾问需要明确强调守法不是一个选择，而是底线要求。在目前的执法环境下，企业长期、系统性地不守法，一定会影响业务的可持续性发展和企业的长远利益。
  • 法律顾问必须明确告知企业管理和相关人员，违法的风险和处罚不仅及于公司，也及于相关个人，且大环境下追究个人责任的机制也在日益完善和加重。刑法下的责任更是管理者和责任人不可忽视的重大风险。
  • 同时，还要注重针对外延风险的分析，例如企业社会信用（黑名单）、声誉及品牌、政府关系、媒体关系和业务伙伴信任度等。实践中，虽然从某些角度看这些外延风险可能是潜在的，但是违法和被执法带来的影响很可能是长期且很难修复的。
  • 此外，在全球化的环境中，合规和执法风险来源和影响更为复杂和多元。特别是跨国公司或者业务涉及多个国家或地区的企业，一种违法行为（例如腐败、贿赂和垄断行为）经常会涉及在多个法域造成违法事实并受到多地的法律制裁，乃至引起连锁的被执法处罚现象。

进行合规/执法风险的评估时，在坚守底线思维的前提下，法律顾问具体可以从哪些方面创造价值呢？

• • 不但对于法律法规有全面深刻的研究，还要不断了解和结合执法环境和趋势。既包括不同领域和部门间的法律法规，也包括境内外的各种实体和程序法，甚至很多时候还要研究和考虑政策的影响。需要把单个领域的法律规定和单个法域的法律要求，放到一个企业需要做到的整体合规要求，和违法可能受到的整体影响层面去综合判断、评估和平衡（包括可能存在的不同领域和/或法域法律规定间的潜在矛盾和冲突）。
  • 在法律没有明确规定，或者法律规定不清晰的情况下，法律顾问不光需要解读法律的字面含义，更需要真正深入了解法律（包括政策）的出台背景、历史沿革、立法意图、执法方向，甚至需要预判未来立法和执法的动向。通过这种分析，才可以理解和把握法律的核心和内涵、政策的环境和立场、立法和执法试图解决的问题，以帮助企业在法律允许的范围内，最大程度地实现商业目的，并最大程度地降低违法风险。
  • 在法律虽有明确的强制性义务，但没有规定企业具体应该如何履行该强制性义务的情况下，法律顾问可以利用经验和能力，帮助客户设计最平衡有效的合规政策及内部监管模式和操作流程，以便公司采用一种成本相对较低、最有效且最契合公司实际情况的合规模式来符合法律要求，防止合规漏洞以及降低执法风险。

建议

对于企业法务和外部律师而言，有效开展风险评估工作具有相当的挑战性，但同时可以很大程度上体现法律顾问的价值。在笔者个人看来，法律顾问长期接受的法律学习和训练、职业自带的专业素养、严密的逻辑和分析能力，以及过人的表达和沟通技巧，恰恰都是进行风险评估最好也最需要的资质和能力。

尤其是在重大和系统性的风险评估中，律师擅长的情景分析（scenario analysis）、树形结构推理（tree-structure deduction）和逻辑性预测（logic-based anticipation），都是评估和决策中不可或缺的基础和重要组成部分。如果再辅以深刻的商业认知和敏锐的判断及决策力，即可作为帮助公司做重大风险相关决策以及确保业务整体合规所需要的主要推动引擎。

最后，对于法律顾问如何做好风险评估工作，笔者尝试提出以下几点建议，供读者参考：

• • 法律顾问（无论企业法务还是外部律师）都需要对于企业的行业、业务和战略有深入的了解，融通法律人的专业视角与业务视角。如果在风险评估中，法律顾问觉得没有充分信息和自信进行判断，深层次原因可能还是对于业务的了解不够充分和深入。
  • 法律顾问需要对法律法规、政策环境、历史沿革、立法目的、立法和执法动向，乃至国际关系和法律冲突的解决有全面深入的了解，实现全局观的不断拓展与提升，不能只停留在对法律的纸面解读。
  • 除了进行对法律法规本身的论证和分析，法律顾问更应带着商业头脑去考虑具体的问题应该如何解决和落实，并提供务实的建议，而不是理论化的分析或是停留在抛出问题，却没有解决方案的层面。
  • 风险评估应尽量提高完整性，包括信息来源和考虑问题的完整度。同时，应建立和实施公司内部完善的风险评估流程，并适当进行行业基准分析（industry benchmarking），以评估和参考行业整体对于风险控制和防范的水准和措施。
  • 勇于担当，在全面深入且客观的评估基础上，不但敢于帮助业务做判断和定决策，更要能在关键时刻为公司和管理层守住底线，为公司和业务的长期稳定发展保驾护航。