构建效率与合规并进的法务风控体系

企业风险管理系统的组成

自1911年泰勒的《科学管理原理》发表以来，管理学经一百年的发展，出现了很多的流派。这些流派，均致力于为企业提供有关效率提升及战略选择的解决方案。随着经济环境的变化，不确定性的增加，企业风险管理理论在此基础上，逐渐被提出、强化，并迅速发展起来。

企业是一个有机的系统。从系统论的角度，管理学发展至今，个人认为，企业内存在三套系统。第一套，是战略选择系统。这套系统，是关于企业定位和商业模式等方面的管理，解决的是企业“在哪打、跟谁打”等宏观问题。具体事项涉及定位、商业模式、企业愿景、企业文化等。第二套，是绩效管理系统。这套系统，是关于企业产品生产和营销等方面的管理，解决的是企业“如何打、怎样打好”等业务问题。具体事项涉及产品研发、产品生产、销售、人力资源、财务管理、绩效考核等。第三套，便是风险管理系统。这套系统，是关于企业风险预防、控制与应对的管理，解决的是企业“尽量不出事、出事后如何处理”等相关问题。具体事项涉及企业的风险预警、监察审计、危机应对等。

这三套系统，在企业内是交叉的、融合的。某些场合，是无法区分的。例如，某次股权收购中，我们会同时考虑收购是否符合公司战略，也会考虑收购价格和收购操作流程，还会考虑收购本身可能蕴含的风险，以及出现意外之后我们的应对策略。这些考虑，同时包含了战略、绩效和风险管理的问题。但为便于理解，我们将其归纳为三种不同功能的系统。在不同的企业、企业的不同发展阶段，这三套系统的外在表现是不一样的。

风险管理，在20世纪中期开始被加以系统研究。目前运用广泛的风险管理体系，是美国反虚假财务委员会下属的发起组织委员会COSO提出的“企业风险管理——整合框架”。该体系是一种全面的、整合的风险管理理念。它认为，风险管理可以运用到企业整体以及企业的各个领域，包括企业的各职能、各项目和各活动。

根据全面风险管理理念，实现企业风险管理的手段，其实也是多样的。手段的不同，风险管理系统表现出不同的形态。个人总结，风险管理系统可依赖的手段主要有三种。即以法律运用为手段，以制度流程为手段，以监察审计为手段。

以法律运用为手段的企业风险管理系统，把对法律的遵守和运用，作为风险管理的主要手段，包括法务运作、合规管理，纠纷及危机应对等。以制度流程为手段的企业风险管理系统，指在企业内通过颁布各项制度，制定各种流程，来管理风险，包括内部控制、预算管理等。以监察审计为手段的企业风险管理系统，是指企业通过检查、惩罚等，作为风险管理的主要手段，包括记录与报告、事后监督、惩罚威慑等。

犹如企业内的战略、绩效与风险管理三套系统在实践中是存在交叉融合的，企业风险管理的三种手段各自包含的风险管理行为，同样是存在交叉融合的。整合后的风险管理系统，往往同时包含这三种手段。然而，因三种手段的性质不同，相关的具体风险管理行为是存在差别的。其中，以法律为手段的风险管理，其所包含的法务运作、合规管理、纠纷及危机应对等，综合起来便是我们现在所称的法务风控工作。我们构建法务风控体系，其实就是要将这些具体风险管理行为做到最好。但是，如何做到最好呢？

前沿的法务部，不再是须理解商业那么简单了。法务部，一开始，是在完成法律专业方面的支持。后来，发展为要为企业提供有效的法律策略。近年，则对法务部强化了合规、危机管理等方面的职责。法务风控体系，要升格为以法律运用为主要手段的风险管理系统，不再是熟悉法律、熟悉业务就够了。而且，我们必须针对法务风控体系中的不同问题，采用不同的原则。

法务风控体系，如前述，其实是由三部分不同性质的工作内容组成的。这三部分的内容，是基于不同的价值理念，配备不同的工作能力，以及采取不同的工作模式。这三部分，分别法务运作、合规管理以及纠纷和危机应对。

先说法务运作。这一部分工作，是法务部的常规但核心的工作，包括公司治理、合同审查及管理、并购及融资和上市支持、知识产权等四种。这部分工作，要求法务人员的价值理念是：商业优先。即充分考虑企业业务的需要，尽量以满足企业的业务发展，尽量提供直接的解决方案。法务运作体系，要求法务熟悉业务，熟悉交易，具备合同决策能力、交易设计能力以及利用新技术等能力。该类体系要求法务负责人，要用一种服务运营的思维，提升法务部的工作效率和效益。

再说合规管理。这一部分工作，包括反舞弊反商业贿赂、竞争合规、劳动合规、财税合规、质量、安全、环保以及数据合规，商业伙伴合规等。其工作思维与法务运作的追求效率与服务运营的思维截然不同。这也是很多法务人员，包括提供常法服务的律师所没有认识到，从而出现错误和困惑的地方。合规管理，要求法务人员要用一种不同于追逐商业利益的方式来看待法务工作。须转变思维，用一种过程方法来适应工作的需要。即将合规管理工作作为一个过程，在企业内协调企业全员，推动企业高管自上而下地实施合规，而不是由法务部一个或几个部门独立实施。合规管理体系，要求法务人员具备管理协调能力、过程思维能力及价值遵循能力。这类体系，不再以追求效率为目标，而是以合规遵从为己任，在效率追逐可能突破合规底线时，有勇气、有能力提出反对意见并阻止不合规的发生。

最后看纠纷和危机应对。这一部分工作，对于法务部来说，是常规，但不常发生的工作。它属于风险已发生，事后应对的领域。典型的包括各类诉讼与仲裁案件，以及危机发生时的应对与管理。相比于前两种，这类工作的特点是面对情境的确定性增强。毕竟，风险已发生，需要的是，采取有效措施去应对。对于诉讼与仲裁，其基本思维方式是法律适用。在掌握法律事实的基础上，通过对法条的理解，对案件做出判断。这种法律适用的思维，与合规管理的过程方法，以及法务运作的商业思维，有很大的不同。它要求法务部收集和组织证据，检索类似案例，追寻法条本义。诉讼与仲裁，需要法务人员具备法律适用能力、法律研究能力。在实际中，法务部通常采取的是外包方式，即外聘律师事务所来协助处理诉讼或仲裁。此时，对资源的掌控能力，成为法务的核心能力。危机应对与管理，与诉讼仲裁同属风险应对工作，核心最后仍是对资源的调配与协调。

法务部承担的工作范围越来越广泛，法务风控体系自然越来越复杂。将法务风控体系视为以法律运用为手段的一种风险管理系统，分为法务运作、合规管理、纠纷和危机应对三个子体系，每个子体系有其不同的方法论和能力要求，综合起来便是法务风控体系的新原则。

法务运作，以追求效率为己任。作为前沿法务风控体系的第一个子体系，法务运作体系是一种产品和服务的体系。该体系，对于提供服务的主体来说，面临的不确定性最大，故而最为强调法务人员的主观性。在实践中，基于效率的法务运作体系，须把握如下七项行动。

法务布局。布局，是一种选择，也是一种放弃，即定位。说的是，为提高业务的效率以及法务自身的效率，法务部该如何主动部署自己的工作侧重点以及突破口。合同审查是法务工作的日常，其提高效率的判断标准，应是快速反馈，快速完成。并购和融资及上市支持，是企业的重大事项。法务在这方面提供的支持，也应包含快速完成。但重要的是，相比于业务人员，法务能提供更好的交易模式设计。该设计可更好地提高项目的利润率及更好地降低项目的风险。公司治理和知识产权事项，是法务和董秘、研发及品牌等人员共同完成的，在这方面的效率判断，应当是如何有效沟通与合作，将其他人员的观点快速用法律文件的方式固定下来。法务布局，应按以上的效率标准为侧重点，寻求突破口。

法务用户。法务运作体系，是关于产品和服务的体系，因此要有一种用户思维。法务部最重要的客户无疑是业务人员，其他的客户包括上级领导以及下属法务。每一类的用户需求是不一样的。为满足用户需求，良好的法务运作体系必须提供最好的客户体验。对业务人员的客户体验标准，应包括法务部反馈的速度、提供法律专业的深度、法务解决问题的有益程度，以及法务承担责任的意愿程度。对上级领导的客户体验标准，则不同。上级领导，包括公司董事长、总经理等，要让他们从法务部的服务中得到好的体验，法务人员应当加强对法律问题的了解深度，对业务问题的宏观把握，以及与业务团队的融合度，还有强化承担责任的精神。下属法务，也是客户之一。如想为这样的客户带来良好的体验，则要求法务人员具备丰富的经验，关心下属的成长等素质。

法务部的产品。法务部向企业其他部门提供内部法律服务，类似于律师事务所的执业律师提供法律服务，可用产品思维来取得更好的绩效。法务部的产品可分为两种。一种是根据其他部门的具体需求而产生的法务任务。例如内部的法律咨询、文件审查、项目方案。另一种是法务部在没有具体需求的情况下，主动提供的法务服务。例如法务部主动创建的企业风险预警提示，主动归纳的企业年度法律报告，还有在发生诉讼之后的业务改进意见。主动性的产品，更能体现法务部的价值，提升法务部的影响力。

法务营销。法务部提供产品，与律师事务所提供产品，最大的区别是法务部不需要真正推销自己的“产品”。它自有用户会用到它的产品，哪怕这些产品是不合格的，尽管长期看法务人员会因为其产品品质低下而遭淘汰。但就某项具体产品来说，要取得好的效果，法务人员必须说服企业高管、业务人员听从他们的意见。这就是法务运营中也会有营销一说的原因。法务营销的形式，包括对任务的沟通、观点的说服以及法务文化的塑造等。

法务团队。法务部是企业的一个职能部门，在企业内也是一个特殊的团队。法务风控工作的高效运行，离不开对这样一个特殊团队进行管理。对法务团队进行管理，既不能等同于对人力资源部、技术研发部的管理，也不能等同于对律师事务所的管理。它涉及法务团队内部分工与合作，法务负责人的领导，以及法务部与外部律师事务所的合作模式等问题。除了考虑法务作为普通员工，如何由企业予以激励和惩罚；也要考虑，法务作为懂得法律的知识工作者，如何进行特殊的、适宜的考核和激励。

法务部的技术。这其实是说法务部可以借用哪些技术来提高自身工作效率与效益。“法律+科技”已逐渐得到深入的运用。法务部的高效，已同样离不开技术。目前可运用到法务部里的技术，其实不少。例如，资信调查与智能风控技术、法律检索与法律大数据技术、合同起草与审核系统、电子签约系统、电子取证系统、合规审查与合规管理专家系统、网络仲裁与网上法庭系统等。

法务扩张。法务扩张是指法务部及其人员希望改变自身在企业中处于边缘化、弱势化的现状，将法务职能在公司中得以强化、提升。任何一个法务部，可能都希望成为一个强大的法务部。判断法务部是否强大，可用如下几个指标来衡量。如法务负责人是否受公司领导重视，法务部是否拥有否决权，法务人员能否得到尊重，法务是否可深度参与业务（前期就参与）等。按这个指标扩张起来的法务部，不是一朝一夕就能成就的。即法务的扩张，是需要环境的。当然，也需要一个勇于承担责任的法务负责人。关于法务扩张，还有一句话要说的就是，在可以扩张的地方扩张，在可以强大的地方强大。

以上七项行动，均是商业运营思维的结果。由此，我们看到了法务风控体系里的主动性。在管理企业的风险时，我们既要发挥积极主动性，也要看到不是所有的风险预防与控制，都是建立于此。相反，在其他场合，我们还要保守，要有遵守底线的勇气。

前沿法务风控体系的第二个子体系，是合规管理体系。这个子体系，是最近几年才兴起并一开始即受到高度重视的。在不同的企业里，合规管理甚至是独立于法务部工作。有的企业，推行大合规，将全部的法律工作包含在内。不管部门如何设置，但合规管理的方法与前述的法务运作方法，是很不相同的。用法务运作的思维，如追求效率，以结果论英雄等，来执行合规操作，必然会产生极大的冲突。因为，合规管理是一种过程管理，它有它的七个步骤。

第一步，理解和诊断合规管理环境。从事合规管理，首先要了解企业的环境，包括内部的、外部的环境。为加深对合规管理环境的理解，同时还有一系列重要事情要做。一是通过沟通和观察，收集和了解企业相关方对合规管理行动的需求和期望。二是要划定欲从事的合规管理活动的范围。三是要识别企业面临的合规义务。这是一项法律属性较强的事务，需要专业人士配合完成。四是对企业合规风险进行评估，包括识别、分析与评价。这正是合规管理的难点所在。因为凡是可以精准识别、分析的合规风险，往往是一些不确定性较小的风险，也是一些影响系数较小的风险。真正大的风险，黑天鹅式的事件，想依赖经验、数据，去识别、分析，是相当难的。但尽管如此，我们仍将对合规风险的评估，从而更好地理解合规管理环境，作为我们启动合规管理的步骤之一。

第二步，明确管理者的领导作用和合规职责的分配。合规是自上而下的活动，这一点与法务运作体系里的合同审查、并购支持等，非常不同。合同审查，可由法务部单独完成。法务人员可很大程度地决定、影响合同决策。但法务人员却很难单独决定、影响合规管理流程。没有最高领导的亲自推动，合规管理工作很难落地。所以合规管理的每一个步骤，都要发挥最高管理者的领导作用，由最高管理层制定合规的基本方针、政策。不仅如此，合规也需要全员的参与，每一位员工都应承担其岗位上所要求的合规职责。这些职责本身要清晰、明确，并分配要合理，且能保证得到实施。

第三步，策划合规管理的目标及合规风险应对措施。根据前述第一个步骤，可确定需要解决的合规风险。为应对该风险，作为过程管理，须建立合规目标。合规目标应当与企业最高管理层确定的合规方针相符合，且应该是可测量、可监控的。在建立合规目标时，还须考虑需要什么资源，谁负责，什么时候完成等因素。在本步骤里，重点是制定或策划适宜的合规风险应对措施。根据风险的发生原因，应对措施包括通用和专项的。通用风险应对措施，其方法或机制，与企业内控措施基本是一致的。如授权审批机制、严格责任机制、考核评价机制、风险预警机制、权力制衡机制等。专项的风险应对措施，是针对某个领域的合规风险，如数据合规、反商业贿赂合规等所采取的措施。这一步骤，其实就是PDCA管理循环中的Plan。

第四步，配置和改善对合规管理的支持资源。合规管理是企业整体都要参与的活动，如想取得好的效果，须投入大量的资源以及获得充足的支持。资源要由最高管理层来部署，包括外部资源、人力资源、技能与知识资源、必要设施资源。企业要保证员工具备与其合规职责相符合的能力和意识，并通过培训持续地维持这一状态。当然，最好的维持，是形成合规文化。在这些过程中，沟通是必不可少的，包括对内的和对外的沟通。最后，作为过程管理，记录是很重要的一项支持工作。将前几个步骤形成的方针、政策、措施以及采取的行动、沟通等形成文件，用合适的载体保存下来。并对这些文件进行有效的控制，如保密、分发、检索、更新。

第五步，实施满足合规义务及合规风险应对的措施。在已识别合规义务以及制定了合规风险应对的措施方案之后，并已配置和落实了相关的支持资源，接下来便是运行了。这一步骤，便是PDCA管理循环中的Do。运行环节最重要的是，将设计和制定出来的各类、各层次控制措施植入常规的企业业务过程当中。如将合规义务整合到企业的ERP管理软件中、报告系统中以及合同文件中。运行中，可考虑外包。但应确保外包过程受到监控，且外包并不会减轻企业的合规义务。

第六步，绩效评价。对过程持续进行监控、测量、反馈，正是过程管理的特点。虽然法务运作体系中也存在绩效考核，但与合规管理过程中的绩效评价，还是有一定差别。前者强调结果，后者则是对整个过程进行评价。对合规管理进行绩效评价，需要收集信息。通过报告、热线电话、检查、研讨会，评审等方式，进行信息收集，并建立信息的分类、储存和检索系统。合规报告，是一种很重要的合规管理绩效评价手段。评价是持续的、全面的，包括对整个合规管理体系的有效性、合规目标的实现程度、资源的充分性、合规方针的正确性等，都可以纳入评价范围。

第七步，持续改进。改进，是任何管理循环以及风险管理过程的最后一步。唯有改进，我们才能完成一个循环。合规改进的步骤，包括两部分。一是对不合规的纠正。发生任何不合规的事件，其实都是一次改进的机会。当然，对不合规做出反应，也是合规风险应对措施的一部分。二是改进和改善已有的合规措施。如重新设计产品，改变企业的流程，对员工进行再培训，对相关方进行再评估等。改进过程中，要注意及时上报到相关管理层和监管机构。

以上七个步骤，是参照标准的过程管理步骤而设计的。在企业合规管理实践中，可以根据企业目前的合规现状以及合规管理需求，从不同的步骤切入，或者调整一下顺序，以及同步进行某些步骤，都是有可能的，也是应当得到灵活运用的。

从面临情境的确定性来说，纠纷与危机应对体系，相比于前面两个体系，确定性在增强。法务运作体系是法务部在有大量假设前提下进行，主动出击是它的特点。合规管理体系，通过一套相对固定的流程，调动企业全部的资源，来对抗不确定性。注重过程是它的特点。纠纷与危机应对体系，则是在已出现风险或危机，情境已基本明确的情况进行的。理解这一点，对建立正确的纠纷与危机应对体系，很有帮助。

应对纠纷与应对危机，鉴于其具有共同的事后应对属性，被归为同一体系。但这两种事后应对的具体措施以及建立应对的策略，其实是不一样的。有必要分开讲述。应对纠纷，主要是指企业面对的诉讼或仲裁。这一块的应对措施，目前企业应对策略是外包给律师事务所。当然，法务部也自行处理一部分诉讼与仲裁。

诉讼仲裁的思维是法律适用的思维，它与法官裁判的思维是一致的，都是从大前提到小前提再到结论的三段论。案件事实、法律规定和适用法律，是该思维体系的三个核心。不管是法务，还是律师，还是法官或仲裁员，针对某一个纠纷案件，都有自己对这三个核心的认识。只要有一个认识不同，最后的结论可能就不同。但因为法官或仲裁员是裁判者，是对这三个核心认识的官方认定者。因此，站在企业角度，要在诉讼仲裁取得成效，必须是相对于纠纷对方，取得与法官或仲裁员更加一致的认识。

这基本上有如下几个途径可以帮助企业获得该优势。一是通过自身对该三个核心的认识，来影响法官的认识。在案件事实方面，则是通过证据组织、事实梳理与表达，证据质证等工作。在法律规定方面，则通过法律检索、法条本义阐述，法律规范来源等进行强化。适用法律，则是通过法律论证、法律逻辑、参考判例等进行强调。以上三方面都与经验密切相关。但通常情况，法务部作为企业内部律师，并没有足够的经验来应对该等情形。这便产生了第二个，也是更常见的途径，即外包给律师事务所的专业律师来处理。专业律师，基于多年处理类似案件的经验，基于对类似案件的各种投入，处理这三方面，相比于法务来说，无疑更加具有优势。法务部要做的就是如何选聘性价比最优的律师事务所专业律师。这是一个资源的问题，也是一个外包机构的管理问题。第三个途径是通过资源，直接影响法官或仲裁员的认识。第二个途径通过选聘最合适的专业律师，最终目的也是要影响到法官或仲裁员的裁判，但不排除有实力的企业，可以在案件中通过各种法律上赋予的权利来影响裁判者的认识。当然，这指的是合法的，在法律规定范围内的影响。这三个途径，最终可归结为企业对人才资源、律师资源、司法资源的运用。唯有配备足够的资源，应对诉讼仲裁纠纷，才可取得良好成效。

应对危机的思路，与应对诉讼仲裁纠纷不一样。企业面临危机，首先要认识危机发生的原因。有一些危机，是系统性的危机，是整个宏观环境变化带来的危机。这种危机，不是单靠企业本身就能解决的，它可能需要外部资源的导入，社会整体资源的倾斜。这种危机，单个企业，谈不上应对策略。当然，积极争取外部资源的输入，也是一种应对。其次，有一些被验证过，曾帮助某些企业在特定情况渡过难关的“危机应对黄金准则”，可供企业参考。如要有第一责任人，要有真诚的表态，要掌握好时间，要获得权威部门的肯定等。这些准则，其实也是经验性的。如果企业没有应对危机的有经验的人员，那么最好外包给危机公关公司，或至少参考他们的经验。最后，应对危机，作为一种风险管理体系，也是一种对资源的运用。如果缺乏资源，甚至是缺乏合适的外包机构储备，都会对危机应对效果产生负面影响。

以上纠纷与应对危机的思路或策略，其本质是基于对资源的运用。这里的资源包括企业内部人才的准备，企业外部机构资源的准备，企业与相关权威机构的关系等。显然，企业不能等到发生纠纷与危机时，才去调动这些资源，而是平时即要建立和维护好这些外部资源库。

未来法务部，效率与合规并进。

作者：陶光辉

小编微信：Crocso 如欲就法务与合规管理进行交流、培训、咨询等，可与我联系，将为您推荐大咖老师、资深专家和律师。