第四章　法律风险的评估与报告

本章提示

法律风险清单提示了企业所存在的法律风险，但这并不意味着企业就必然对症下药。通常情况下，企业对于所面临的某些法律风险其实并非一无所知，只是由于身处风险而能相安无事才使得他们没有采取应对措施；另外，如果应对法律风险的成本远远超过了法律风险不利后果的损失，也不会有人为一个不是必然发生的损失承担大量的费用。

人类从未停止过与风险的博弈，建立在现代数学、管理学基础之上的风险管理理念，正是针对风险的不特定性和损失的不特定性而提出了多种应对风险的解决方案。而法律风险管理作为横跨管理学和应用法学之间的跨界尝试，许多应对风险的基本原理同样可以适用，只是其中对于法律风险的判断和应对措施的选择，都是基于法律规范的规定。

法律风险的评估正是借用了统计学、运筹学以及其他风险管理中的理念，根据企业法律风险后果的严重程度、发生的概率等，评估出各个法律风险点的重要程度和分批应对时的应有顺序，为是否采取应对措施或采取何种应对措施提供决策的依据。也只有从这些在其他学科中已经相当成熟的理论及做法中去寻找答案，才能明白许多企业为何直面风险而按兵不动或投鼠忌器，才能明白怎样才能让企业充满信心地实施法律风险管理。

与法律风险管理项目其他阶段相比，这一阶段的工作最不像是律师的工作反而最像是咨询业的工作，因为它脱离律师的专业内容实在太远，而离企业咨询业的距离又是如此之近。但正是由于律师很少从企业管理的角度考虑问题，才导致了企业需要法律风险管理。而跨越这个门槛之后，就会发现企业中需要更多的法律服务，而律师业也能够为企业界提供更多的法律服务。

第一节　法律风险评估概述

企业自其产生之日起，便“沉浸”在法律风险的“海洋”之中。企业很有可能经营多年而没有遭遇重大法律问题，也有可能因法律风险的沉重打击而半途夭折。因为法律风险只是一种遭遇不利后果的可能性，既有可能伴随企业多年却引而不发，也有可能在猝然一击中使企业万劫不复。这就造成了一种两难的局面：对于几乎不可能发生的法律风险严阵以待无疑是一种浪费，而对不期而至的法律风险毫不设防又往往会给企业带来远远大于防范成本的损失。

实施法律风险评估所要解决的问题，正是通过一定的技术手段列出法律风险轻重缓急的顺序，从而为是否防范、如何防范法律风险提供决策的依据。当然，经过评估而采取的措施只是使效率更高而已，并非可以绝对排除法律风险，但至少目前还没有更好的方法。

一、法律风险评估的工作目标

通过前期的尽职调查及法律风险识别，企业的法律风险点已经以法律风险清单的方式呈现出来。但并不是所有的法律风险都需要在第一时间采取措施加以应对，在诸多因素的制约下，企业只能以“厚此薄彼”的方式控制法律风险。面对成百上千的法律风险点，如果企业眉毛胡子一把抓式地加以应对，既不经济也不可行，甚至还有副作用。

从经济角度来说，对于所有法律风险点都全力以赴加以应对，会增加企业的运营成本。企业虽然存在着太多的法律风险，但许多理想化的法律风险管理理念在企业中却无法实现。尤其是对某些法律风险的应对措施事倍功半，全盘应对就会摊薄企业利润，在经济上不合算。

从企业角度来说，大多数企业由于行业特点等因素的限制，对某些法律风险状况只能承受而无法改变。例如，对于那些在交易中处于劣势地位的小企业来说，议价能力的缺乏使他们无力争取到更为有利的合同条款，即使合同中存在大量的不利条款往往也只有接受。而且，风险与机会总是并存，在正常的市场经济条件下，不存在只有利润而没有风险的交易。如果一个企业已经没有任何法律风险，这个企业很有可能也已没有任何利润。接受意味着有获取利润的机会，不接受则连这样的机会也会错过。

从管理角度来说，并非所有企业都有能力克服所有的法律风险，企业对于法律风险点也并非“发现即摧毁”的关系。只有在法律风险点总量较少、后果严重且发生概率高、应对成本低且效果明显的情况下，企业才可能无需评估而直接采取应对措施。如果应对措施的嵌入打破了既有的管理秩序和工作秩序，整个企业的管理行为会顾此失彼而使企业的经营管理秩序陷入混乱，在消灭了一部分风险点的同时又产生了新的风险点。

进行法律风险评估的目的，是为企业列出哪些属于必须解决的问题、哪些属于必须优先解决的问题，使企业可以集中精力和资源解决主要矛盾，实现理想与现实之间的平衡。简言之，法律风险评估其实是在识别了全部的法律风险点之后，根据企业的实际情况及法律环境的情况对法律风险点进行筛选的过程。通过这一过程，得知哪些法律风险点非常重要、必须加以应对，而哪些法律风险点由于出问题概率极低或影响程度甚微而可以采取一般应对措施，属于理想与现实之间的妥协。而且，这样处理法律风险符合企业管理的计划性和系统性的原则，属于比较成熟的做法，也是比较精明的做法。完成了这一步，才可以进一步考虑如何应对那些重要法律风险，以及控制程度、成本核算等问题。

法律风险评估的工作成果，是在法律风险识别阶段所得出的法律风险清单基础之上，通过一系列的复杂工作，将法律风险点分成若干等级并形成法律风险评估阶段的工作成果，通常是一份反映法律风险不同重要程度和不同优先程度的清单。在这个新的清单中，法律风险的等级越高说明对于企业的影响越大、越需要企业全力以赴地应对，突出了工作重点。再结合下一阶段的法律风险应对方案设计，就可以针对不同等级的法律风险采取不同的应对措施，提高应对法律风险的效能。

二、法律风险评估的工作原理

如果援引黑箱理论，法律风险评估工作的“输入”是前一阶段识别出的法律风险清单，而“输出”则是一份层次分明、工作重点明确的清单。而黑箱内的工作机制，则是根据这一阶段采集的特定信息以及设定的维度，通过综合评定、估测而形成结论。

决定法律风险点在重要程度方面排序先后的最主要因素，是法律风险后果的严重程度、法律风险事件的发生概率以及对企业的影响程度这三个基本因素，也可以根据目标和情况的不同而增加其他需要考虑的因素，所有这些因素又被统称为法律风险评估的维度。法律风险评估的过程，正是通过综合采用定量分析和定性分析的方法对各个法律风险点从不同维度赋予一定的量化数值，并通过各维度的权重统计出各个风险点的最终赋值。当每个法律风险点都被赋予了一定的分值，就可以按分值的高低进行排列，也就得出了必须优先应对的顺序。这一过程大多需要定性分析与定量分析相结合才能完成。

当采用定性的方法判断时，可以根据法律风险清单中的分类，判断各分类中法律风险点在各个维度中的重要程度并加以排列，形成按法律风险后果严重程度、按法律风险事件发生概率、按对企业影响程度等维度排列的不同法律风险点清单。这一过程中的部分工作主要依据经验判断，存在一定的随意性。

以这种方式排列的清单从各自不同的维度去看都会比较合理，但却存在操作性上的问题。因为对于企业来说，法律风险后果越是严重的法律风险往往越是企业不会遇到的法律风险，而发生概率高的法律风险又往往是鸡毛蒜皮的法律风险。如果工作定性分析的工作到此为止，几份不同排列规则的清单对于决策的支撑作用十分有限，因为它必然导致企业面对清单无所适从。正因为以纯定性分析的方式很难得出综合各维度情况的统一清单，这种分析方式往往只能局限于特定的法律风险领域而不适合对企业法律风险的全面评估。在实践中，以定性分析的方式所得出的最终结论，往往还需要进行加权计算得出综合重要程度的分值，然后才能排出统一的、可操作的顺序。

而以定量分析的方式进行法律风险评估时，可以首先确定每个法律风险点在不同维度内的分值，再通过设置不同维度的权重取得各个法律风险点的最终综合分值。当每一法律风险点都有了直观的分值，就可以通过比较分值而排列出各风险点的优先处理顺序，也可以通过统计设定不同的“分数线”而将法律风险点划分为不同的等级，更有利于今后的工作安排。而权重系数的引入则是定量分析的优势所在，它可以将后果极为严重但几乎不可能发生事件的法律风险，以及虽然频繁发生但严重程度极为轻微的、对企业影响轻微的法律风险点排在其他更加需要应对的风险之后，从而理出应对法律风险的头绪，将精力用于应对那些通过评估而浮出水面的真正威胁。

定量分析只是一种非常有用的理论方法，可以对决策起到非常重要的支撑作用。但定量分析的初步结果往往要经过人为的校正才能更加符合实际情况，因而定量分析过程中的定性分析仍旧不可或缺。此外，客观事物的发生、发展是诸多因素综合作用的结果，并不会因为有了这个系数就会改变其自身的不确定性，因此不能迷信这类数据。

从包括法律风险在内的整个风险产业的情况来看，不同行业的风险评估有着多姿多彩的工作方法。有的已经采用非常成熟的模型法，有的甚至可以使用数据自动分析。其中，对于信息安全风险方面的评估走得更远，已经可以使用专用软件进行大量的分析工作。从发展趋势来看，建立统一的企业法律风险模型还处于憧憬阶段，但建立某些具体行业的法律风险模型并不困难，关键是何种精确程度和应用价值的模型。由于缺乏基础性的统计数据，即使建立了风险模型也很难具备根据统计结论而设置的具体参数，模型也就难以对现实的法律风险管理提供量化的依据，建立模型的意义也就会大打折扣。但建立法律风险模型和法律风险管理模型是法律风险研究的至高点，这一领域的研究必将进入模型时代。

三、法律风险评估的维度

为了充分利用有限的资源去充分抵御企业法律风险，就必须从众多的法律风险点中找出最需要处理的风险点，并按重要性高低进行排列。而要实现这一点，以及排序的结果是否符合企业实际情况、是否能够满足企业的需求，最为主要的还是要看评估所采用的维度。可以说，维度的选择决定了评估所依据的要素，有了准确的维度，影响评估结果的至多是各维度在计算评估结果时的权重问题，而维度的缺失则有可能误导企业的后续决策。

维度（Dimension）是个比较抽象的概念，是指在特定时空范围内分析、评判某一事物时所采用的不同出发点、不同角度、不同依据、不同层面，我们日常所说的三维、二维、一维实际上就是在使用这一概念。在通常的语言环境下我们可以将其大致地理解为“视角”或“角度”，只是这样理解其含义不甚精确。如果从逻辑学里的概念角度去理解，每个事物都集合了不同的属性，观察分析事物可以根据不同的属性进行而得出不同的结论，这种观察分析事物时所依据的不同属性，就可以理解为不同的维度。事物的属性越多，观察分析该事物的维度也就越多。例如，分析法律风险对于企业的不利影响，可以从不利后果的严重程度、发生的概率与频率、对企业的影响程度等不同维度进行，而这三个维度也正是评估企业法律风险最为基本的维度。

法律风险不利后果的严重程度是任何法律风险评估都必须采用的维度，它所解决的问题是某一法律风险如果产生不利后果，其法定的不利后果到底是何等程度或处于何等幅度范围。基于目前的法律规范体系状况和现实情况中的诸多人为因素干扰，不仅某些方面的法律风险不利后果难以精确判定，即使能够精确判定的不利后果与实际处理中的不利后果之间也还是存在一定的差异。要提高这一维度评估结论的精确度，一方面要了解相关的法律规定，另一方面还要了解相关事件实际处理的情况。

法律风险事件发生的概率与频率决定了某种风险对于企业正常经营活动的干扰程度，如果发生概率过高或频率过高，则其不利后果的累加将会非常可观甚至吞噬企业的利润。其中，概率是指发生事件的数量占整个数量的比例，其衡量的单位是数量。如果1,000件产品中出现了3起产品责任事件，其发生的概率就是3‰。而频率则是在单位时间内所发生的事件总数，其衡量的单位是时间。例如，每月发生两起质量投诉事件，或者每年共发生应收货款损失200,000元等。这些数据的用途，是对未来法律风险事件的发生情况进行预测以便调配资源应对，仅是一个参考的数值。

正如人的体质不同决定了其免疫能力的不同，企业的许多个性差异对于企业在法律风险不利后果的承受能力方面也不同，因此在前面所述的三个基本维度之中，不利后果的严重程度主要是从法定后果方面分析、发生频率就是要从未来发生的可能性方面加以分析，而第三个分析的维度则是根据企业的承受能力。例如，一起并不严重的突发事件，既可能因为企业拥有足够的公关手段和公关力量而轻描淡写地渡过危机，也有可能由于媒体的狂轰滥炸而成为一起致命的危机。有鉴于此，既可以只从法定不利后果展开评估，也可以在评估时增设企业对于风险事件的可控程度这一维度，以使评估结果更为接近实际。

由于法律风险评估维度内容众多，需要专门进行讨论，这里不再展开。

四、法律风险评估信息的采集

在设定了评估的维度之后，接下去遇到的难题是如何判断不同维度下各法律风险点的程度。在这一过程中，无论是定性分析还是定量分析都必须借助于大量的基础信息才能形成判断的结论。这些基础信息包括但不限于企业发生法律风险事件的信息、行业发生法律风险事件的信息和法律环境信息。没有这些信息，则只能根据工作经验和印象进行主观判断，并依据判断的结果对各维度下的法律风险点进行排序。

（一）评估所需的基础信息

由于工作范围的限制，收集法律风险评估所需基础信息的范围不算广泛，主要集中在企业信息、行业信息及法律环境三个方面。这些信息最为主要的用途，是对法律风险点从各个不同维度排序，为得出统一结果做准备。特别是那些直接影响法律风险评估结果的企业信息，除了通过统计得出风险事件发生频率和概率外，大多还需通过员工渠道了解这些表象背后在合同文本管理、履行管理、质量管理等方面的原因，才能为后续改进提供依据。

这些信息中的一部分在前期的尽职调查中已有涉及，还有一部分内容则只能由企业提供。例如，企业以往签订的合同总量、发生争议的合同总量、通过诉讼解决的争议总量，以及败诉的总量、损失占整个交易额的比例等。这些统计有时会有极大的工作量，而且某些统计结果有时会因不具有代表性而无用，但这些数据必须由企业完成，并用于分析历史、预测未来。

按照《中央企业全面风险管理指引》的列举，为了进行法律风险评估，企业除了收集国内外企业因法律风险管理不善而蒙受损失的案例外，还应当收集与本企业相关的下列信息：

（1）国内外与本企业相关的政治、法律环境；

（2）影响企业的新法律法规和政策；

（3）员工道德操守的遵从性；

（4）本企业签订的重大协议和有关贸易合同；

（5）本企业发生重大法律纠纷案件的情况；

（6）企业和竞争对手的知识产权情况。

客观地说，由于定位不同，上述内容只是评估所需要的部分初始信息，并未包括法律风险评估所需的全部信息，但从其内容上看仍旧分为前述的三个方面。其中，与法律环境有关的信息完全属于律师收集、整理、分析的工作范围，与企业信息有关的员工对于道德操守的遵从性、对外合同历史文本、争议处理案件情况等属于企业的工作范畴，至于其他企业信息的收集则基本属于行业信息的收集。而进行法律风险评估时需要收集的企业信息及行业信息，绝不仅仅限于本企业或竞争对手企业的知识产权信息，还有诸多信息需要收集，具体视法律风险管理项目的需求而定。

1．企业历史信息

这方面的信息有两大类。第一类涵盖了企业所有已经发生的与法律风险有关的行为，尤其是包括对企业法律风险行为的统计、对法律风险事件发生情况及原因的统计、对法律风险损失的统计等信息。收集这些信息的目的，是统计企业面临法律风险的频率、法律风险事件的发生频率等，从而统计企业过去发生法律风险事件的概率。

而另一类的信息，则主要是企业人员对不同法律风险事件的影响程度等方面的主观判断。这些信息的作用，是判断法律风险点在各个维度的严重程度、概率高低等情况，从而为法律风险点排序。

2．行业统计信息

这类信息包括由行业协会或主管部门提供的与行业法律风险有关的统计数据、其他企业的成功经验等。这些数据及信息经过分析和选择，同样可以成为判定各维度法律风险程度的依据，也可以用于为各个不同的法律风险维度确定权重，从而最终形成法律风险重要程度排名。

3．法律环境信息

这类执法环境之类的信息已经不再是法律风险识别阶段所要了解的法律规范规定，而是集中于企业行政处罚法律风险执法环境有关的相关信息。由于立法的速度远远跟不上经济、社会的发展速度，许多行政法律规范在整个经济及社会环境发生变化后，行政主管部门甚至已经强调在没有明文规定的情况下事实上停止执行相关的行政法律规范。因此，了解法律环境信息的目的，最主要是不断了解行政执法方面的法律环境变化，如果原有法律风险的严重程度或法律风险对企业的影响程度因法律环境的变化而大大降低，会直接影响评估的结果。

尽管许多信息对于改进企业的风险管理措施非常有益，但有意识地主动收集各类信息并加以分析整理的企业并不多。甚至某些企业没有设立完善的档案管理制度体系，对于企业自身应有的基本信息也非常茫然。而且，缺乏基本数据的情况普遍存在。即使是某一行业的行业协会，往往也只有大致的、基本性的统计数据，数据的获取方法也未加说明，甚至整个行业都没有权威的基础性统计数据和计算公式、计算系数，这都给法律风险概率的确定带来诸多的不便。

（二）采集法律风险评估信息的方式

识别法律风险阶段采集的信息是为了解决“存在哪种法律风险”的问题，相对比较“刚性”，而评估阶段采集信息则是为了解决“法律风险情况怎样”的问题，相对比较“柔性”。在评估阶段采集信息的目的，是从企业发掘出为法律风险点排序的依据。换言之，识别阶段需要采集企业状况方面的信息，而评估阶段需要采集主观判断为主的信息。这些采集方式主要包括：

1．小组讨论

即召集相关部门业务骨干就给出的议题展开讨论，由与会人员对具体法律风险点的严重程度、事件发生频率、企业的承受能力等内容，通过讨论和交换意见的方式提供看法，从而形成评估结论。以这种方式进行评估，可以提高工作效率并形成基本一致的结论，但往往无法得到更深层面的内容。

2．人员访谈

通过访问企业中某一方面的骨干人员或部门管理人员，了解这些人员对于某类法律风险严重程度、风险事件发生频率、企业承受能力、应优先处理的法律风险点等方面的主观判断，并参照其他访谈的结果综合分析后得出对具体法律风险的评估结论。这一方式可以得到比前一种方式更为深入的信息，对更为深入地理解企业的法律风险境况、设计高效的应对措施非常有用。

3．调查统计

主要是通过对企业发生法律风险事件的情况进行分析和统计，得出法律风险事件的发生频率、发生概率等数据。这些参数是进行定量分析计算的基础，如果企业没有相关信息，可能需要从整个行业取得部分参数作为后续计算的依据。这类工作大多可要求企业完成。

4．问卷调查

问卷的操作方式，主要是根据需要定性分析的内容合理设计选项，并由受访的企业人员回答问卷中的问题，再通过对答案的统计而得出评估结论。定量分析中的部分内容也可以采用这种方式得出结论，因而这一工具同前一工具一样，仅用于完成中间性的工作。

5．综合评分

这种评估工作其实是将评估时需要完成的工作分散成不同表单后，分配出部分由企业人员完成。它先将被调查项赋予一定分值区间，然后交由受访者给各调查项打分。当调查项已经拥有分数，便具备了用于排序或用于综合运算的基础，也属一种中间性的工作。

采集这类信息有时需要反复进行，甚至用更为复杂、严谨的方法才能得出相对可靠的结论，比如使用德尔菲法（Delphi Method）。这一方法的名称起源来自古希腊有关太阳神阿波罗的神话，因为传说中的阿波罗具有预见未来的能力。经过包括著名智库集团兰德公司的进一步发展而成为著名而且比较可靠的评估工具和预测工具。它将分解过的问题以匿名、背对背的方式征集专家们的意见，并经过专家多轮的对调查问卷提供意见，经过反复的征询、归纳、修改后汇总形成专家基本一致的看法。在法律风险评估方面，这一方法可用于对复杂问题进行定性分析。

有时，仅凭经验判断也能得出评估结论，但脱离企业的相应信息得出的结论则与企业之间存在距离。甚至许多信息仅通过文字资料也可以进行分析，但无法了解现象以外的原因。例如，对于违约责任法律风险，企业档案只能反映一个事件的存在，但无法反映该事件的起因是由于业务培训不足、业务管理不善，还是由于业务人员违规操作，不了解这些信息则解决方案就会没有针对性和实用性。只有极个别的企业会存在自我完善机制并主动分析问题的原因并循环改进，而管理到如此精度的企业往往不会重复产生同样的错误。

五、法律风险的评估方法

法律风险评估的过程是定性分析与定量分析的综合，当法律风险点所涉及的门类较多而且数量也比较多时，单独采用一种方式根本无法完成评估。由于同属企业风险，法律风险评估可以借用其他风险评估的工具和方法完成工作。

（一）风险评估工具简介

风险评估工具是咨询行业所常用的习惯性叫法，它一般是指一些被咨询行业广泛采用、原理未必复杂却行之有效的工作方法。在咨询业、银行业、保险业等进行风险或资产评估时，经常会使用一些分析和评估方法去处理采集到的特定信息，以得出风险方面的评估结论或用于辅助形成决策。即使是前面所谈到的德尔菲法，也有人将其称为风险评估工具。只有在特定的行业，如信息安全行业，才出现了真正可以自动检测、评估风险的软件工具。

风险评估工具中的许多工作可以借助于数据加工、整理、分析方面的工具，将客观存在的数据转化为有用的结论性信息。这些分析工具中，排列图、因果图、分层法、调查表、散步图、直方图、控制图被称为旧的七种工具，而关联图、系统图、矩阵图、KJ法、计划评审技术、PDPC法、矩阵数据图被称为新七种工具。这些工具广泛用于各类数据和信息的分析，在法律风险评估时的数据分析中未必能够用到。

总的来说，所有的评估工具的功能集中于分析信息并得出结论，工具中所体现的规范的工作过程或工作方法，使得分析问题、赋值定级、得出结论的过程更为可靠，也使结论更具说服力。例如，用简单的主观判断而为法律风险重要程度排序与用矩阵法对同样的问题进行排序，由于过程、方式和科学依据不同，所产生的结论即使相近，用矩阵法得出的结论由于过程严谨而更加可信。

（二）定量分析与定性分析

定量分析和定性分析是从事分析活动最为基本的两种工作方法。定量分析是通过对各项内容具体参数的设定，得出量化的分析结论的分析方法。而定性分析则是依据一定的规则通过主观判断得出分析结论的分析方法。两种分析方法各有所长，许多分析必须同时结合两种方法，才能得出满意的结论。

1．定量分析基本原理

定量分析首先要做到的就是将分析的维度等要素赋值量化，从而通过特定的公式得出量化的、以数值表示的结果。由于分析结果已经通过数值表示，同类项目的不同分析结果就很容易进行直观比较。对法律风险损失进行定量分析时，必须结合法律风险维度分别赋值，才能得出有用的结论。例如，通过对各法律风险点从风险损失及法律风险事件概率两个维度的赋值，并通过两者之间的权重设置，就可以通过按后果严重程度排列和按发生概率排列的两份清单，列出统一的、各法律风险点有着不同分值的法律风险清单。

以这样的手段进行分析，无疑会使法律风险的理论值量化并易于比较和衡量，尤其是适合存在多种评估维度的情况。但这种量化过程中所依据的数据必须准确，而这一点事实上很难做到。即便是目前已经进入信息社会，但基础统计数据的缺乏使得许多定量分析根本无法进行。而针对企业法律风险所进行的定量分析，虽然可以依靠对历史数据的统计而得出，但这一点在某些企业也难以准确做到。而且，即便存在这类数据也只是对过去情况的统计结果，并不意味着今后的发展会延续这一规律。

定量分析中各维度的要素会同时受到多种外界因素的干扰而产生波动，而任何一个波动都会引起实际情况与理论值之间的偏差。因此，这一方法得出的结论只代表了过去的情况或未来可能的情况，只能作为分析过程中的参考而不能过度依赖。如果将这种分析方法当成重大的成果，则不是出于无知就是出于作秀。

2．定性分析基本原理

定性分析对于法律从业人员来说十分常见，也是目前应用最为广泛的手段。尤其是基础数据的缺失或不准确，也使得许多本来可以进行定量分析的问题只能以定性分析的方式加以解决。在法律风险评估方面的定性分析，是建立在对企业行为的充分认识和对法律环境的充分了解之上，根据经验、法律规定、案例等对法律风险的危害程度和重要程度等进行的分析判断。根据《中央企业全面风险管理指引》中归纳的方法，对于风险的定性分析方法主要有问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈、工作访谈和调查研究等，这些方法在法律风险的识别及评估中均可借鉴。

定性分析所得结论的精确性远不及定量分析，但只要分析的各维度能够确定下来而且不是很多，分析过程有时会更为简单。由于不需要依靠统计结果或基础数据，这类分析比定量分析的计算过程要方便得多。但这类分析对于人们主观判断能力及偏好的依赖度非常之大，因而基于相同维度进行的分析，所得出的结论也有可能会因人而异。通常，定性分析的结果多以可以通过比较而感知却无法量化的结论加以表示，如处理法律风险的优先级可以通过定性分析定为“高”、“中”、“低”三级，这三级之间的界限往往可以通过比较得以判断，但每一级之间却都没有量化的衡量标准。

定量分析同样带有主观判断，如果所用参数不根据企业实际情况调整，也会得出非常荒谬的结论。某咨询公司在对某电信企业进行法律风险评估时，如果按照未经调整的初始参数，该公司最大的法律风险居然是营业厅里没有设置小键盘，直到电信企业的管理人员参与调整后，其评估结果才最终“符合逻辑”。

定量分析的排序依据是分析所得到的数值，定性分析的排序依据是分析得出的程度。定量分析与定性分析结束后，往往都会根据判断的结果将法律风险点按一定的规则进行排列，分值从高到低的顺序就是法律风险对于企业的真正严重程度顺序。此后的下一步工作，是根据人为设定的“录取分数线”，将超过某一数值的法律点或符合某一判断标准的法律风险列入优先处理或必须处理的范围，以便于进行成本与收益之间关系等方面的分析。

第二节　法律风险评估的维度

正如前面已经提及的那样，足以毁灭企业的法律风险大多难得发生为法律风险事件，也鲜有企业因此而蒙受灭顶之灾。而频繁发生的法律风险事件，大多对于企业都是些鸡毛蒜皮的琐事，并不影响企业的正常生产经营。正因如此，许多耗时耗力识别出的法律风险点形同鸡肋般食之无味而弃之可惜。因为后果严重的法律风险发生的概率低，而经常发生的则又后果并不严重，从而使企业面对这些风险时无所适从并对真正重要的法律风险视而不见。

要想了解不同的法律风险点对于企业的威胁程度究竟如何，需要考虑每个法律风险点在不同维度下的表现情况，并综合这些表现通过分析及评估得出不同法律风险点对于企业的综合威胁程度分值。这是一个使法律风险点的威胁程度现出原形的过程，也是一个非常复杂的分析与综合运算的过程。按照评估目的的不同，有的评估维度仅是对企业现状得出结论，而有的评估维度则是为采取应对措施提供依据。

一、法律风险评估的基本维度

法律风险评估中之所以需要考虑评估的维度，是因为这关系到从何种角度去观察、分析法律风险点才能得出企业所需要的结论。由于评估目标的不同，在对企业进行法律风险评估时的维度就会有所不同。但法律风险评估有着自己的基本维度，主要是法律风险后果的严重程度、法律风险事件的发生概率、不利后果对企业的影响这三个基本维度。

通过对各个法律风险点在这三个基本维度的分析，可以得出具体法律风险点在各维度内的排序，并可以通过赋值和设定权重，而得出各个法律风险点的综合分值，并最终得出统一的法律风险点严重性排序。

（一）法律风险后果的严重程度

法律风险的严重程度是企业决定是否采取应对措施的最为重要的依据。根据前面所讨论过的内容，企业的法律风险有刑事处分、行政处罚、民事责任、单方权益丧失四类。从总体上看，前三种法律风险只要严重到一定程度，均有可能导致企业从此消失，最后一种往往只是延缓了发展速度，对企业并没有产生直接的负面影响，因此不作讨论。

1．刑事责任法律风险的严重程度

从刑事责任法律风险来看，我国《刑法》及其修正案中对于单位犯罪的处罚绝大多采取两罚制，对于单位主要是处以罚金刑，而对直接负责的主管人员和其他直接责任人员则可以同时处以自由刑以及罚金和没收财产。如果违法行为与单位的身份无关，也可以采用单罚制，只处罚具体的责任人员。无论是单罚还是双罚，只要是追究单位主要负责人刑事责任并处以罚金和没收财产的单位犯罪后果，即使并不导致企业的灭亡也大多是企业不可承受之重，对于企业来说属于最为严重的法律风险。如果只是对个别具体经办人员处以刑事处罚，特别是非实刑的处罚，则对于企业来说其后果的严重程度及不利影响远远低于前者。如果某些个人为了进行违法犯罪活动而设立公司、企业、事业单位实施犯罪的，或者公司、企业、事业单位设立后以实施犯罪为主要活动的，以及盗用单位名义实施犯罪并由实施者个人私分违法所得的，根据最高人民法院的司法解释，这类行为不属于单位犯罪，直接追究自然人的刑事责任。

《刑法》对单位判处罚金采用的是无限额罚金制，法律并未明文规定罚金的金额或上限。如果企业存在被判处罚金的可能性，由于这类处罚并无法定标准因而给这类法律风险后果的预测带来了难度。单位因受到刑事处罚而产生的间接不利后果，则与其主营范围、犯罪性质、刑事处罚类型、刑事处罚对企业客户的影响、罚金对于企业资金的影响等因素有关，无法一概而论。

2．行政处罚法律风险的严重程度

从行政处罚法律风险来看，行政处罚法律风险的“透明度”比较高。依照《行政处罚法》的规定，行政处罚分为七类，即：①警告；②罚款；③没收违法所得、没收非法财物；④责令停产停业；⑤暂扣或者吊销许可证、暂扣或者吊销执照；⑥行政拘留；⑦法律、行政法规规定的其他行政处罚。其中，对于罚款大多明确规定有法定的处罚额度或比例，相对容易预测其不利后果。

对企业实施的行政处罚中，最为严厉的当属吊销许可证或吊销执照，前者影响到公司经营某些业务的合法性，后者则是直接丧失所有的经营资格。而暂扣证照、责令停产停业只不过是暂时行为，待违法行为得到有效的纠正便可以恢复如初。除了《行政处罚法》以外，许多国务院所属的行政主管部门都制定了针对自己部门的实施办法，某些处罚会有更为具体的规定，甚至会有《行政处罚法》所规定的“法律、行政法规规定的其他行政处罚”，这些都是衡量法律风险后果严重程度的依据。在许多严厉的行政处罚中都将“情节严重”作为前提，而至于是否严重，往往缺乏量化的指标，至多只有定性化的判断标准。

某些企业涉及单位犯罪的行为很有可能同时也触犯了行政法规的规定，因而在受到刑事处罚的同时也会受到来自行政主管部门的行政处罚。这时的行政处罚属于同一行为引起的不同法律后果，也互为一种法律风险向另一种法律风险的延伸，或属于某一主要法律风险的间接不利后果。

3．民事责任法律风险的严重程度

民事责任法律风险大致分为违约与侵权两类。但其承担民事责任的方式在《民法通则》中被统一规定为十类，分别为：①停止侵害；②排除妨碍；③消除危险；④返还财产；⑤恢复原状；⑥修理、重作、更换；⑦赔偿损失；⑧支付违约金；⑨消除影响、恢复名誉；⑩赔礼道歉。其中，对企业影响比较大的是其中的赔偿损失与承担违约金。虽然目前对于违约或侵权所受损失的赔偿主要是采取“填平主义”原则，但对于某些没有法定标准的损害赔偿，以及可得利益的赔偿等，有时仍旧难以确定具体幅度。

《合同法》由于侧重于以营利为目的的合同行为，对于违约责任的规定更为具体，分别为：①继续履行；②采取补救措施；③适用定金、违约金的约定；④赔偿损失（包括可得利益损失）；⑤承担对方防止损失扩大而支出的合理费用；⑥承担其他违约责任。对于合同责任的法律风险严重程度，其实最主要在于合同内容如何约定。在条件允许的情况下，通过合适的权利义务设置可以有效地避免违约责任风险过大，或将对方违约所造成的损失转嫁给对方，从而减轻违约法律风险的严重程度。而一旦出现违约责任问题，以定金、违约金为代表的违约责任因有具体的金额而非常容易确定，损失计算则既涉及法律规定又涉及证据，难以一概而论。

而在侵权责任方面，有些侵权是有一定预见性的行为，例如企业对所使用的软件是否属于盗版、对产品的外观设计或商标与其他产品是否相同或相似等。这些侵权行为大多与企业的经营活动有关，在目前以“填平”为出发点的赔偿原则之下，大多数的侵权责任不会严重到影响企业的生死存亡。而由于意外事件所引起的侵权，如交通事故、产品责任等，虽然可以基于法律规定确定大致的责任范围，但每个突发事件的烈度都有其不确定性，因而承担这类侵权责任的幅度也存在不确定性，只能进行最低程度和最高程度的分析。

一些比较特殊的民事责任有时也会影响到企业的生存与发展。例如，如果公司股东违反《公司法》的相关规定侵犯了其他股东的权益，或者公司陷入僵局，在符合某些法定条件的情况下，公司也有可能被法院依法解散，这是特定的部门法项下较为严重的法律风险。

（二）法律风险事件的发生概率

法律风险的发生概率，或者说是法律风险发生为法律风险事件的概率，主要是用于体现企业所面对的法律风险中有多少从潜在的可能性爆发为事件，也就是构成法律风险事件的数量与企业所经受的同类法律风险问题的比值。这个比值是决定是否采取措施的重要依据。例如，陨石击中人体的机会非常之低，几乎是不可能发生的事件，但确有这方面的报道。然而，由于这类事件的发生概率实在太低，以至于没有人去考虑如何防止被陨石击中。

概率也被称为“或然率”、“几率”，是概率论中最为基本的概念。在社会和自然界中，某一类事件在相同的条件下可能发生也可能不发生，这类事件被称为“随机事件”。不同的随机事件发生的可能性大小各不相同，而概率则正是用来表示随机事件发生的可能性大小的一个量。其中，必然发生的事件的概率被规定为1，不可能发生的事件的概率被规定为0，一般随机事件的概率是介于0与1之间的一个数字。^①从理论上说，人们每天都生活在各种风险之中，只不过某些风险的概率实在太小，因而无论是理论上还是实践中，对于这种发生机会极少的情况不必采取任何措施去应对。

对于法律风险来说，某一具体法律风险被触发为法律风险事件的数量与该类法律风险总量之比就是这类法律风险爆发的概率。例如，在销售的一千件电器产品中，如果发生了一起因产品质量造成消费者人身伤害事件，则该产品的产品责任法律风险的发生概率便为1‰。在后果严重程度相同的情况下，发生概率越高的法律风险越应该尽早处理。

（三）不利后果的影响程度

企业自身对于法律风险的承受能力，与风险的类型、企业资产状况、企业运作能力有着密切的关系。进一步说，企业的承受能力与资金链有关，也与法律风险的类型有关。而企业的资产状况和运作能力，有时甚至是连财务报表都难以精确表达的。

正常情况下，不利后果的影响程度与法律风险类型关系密切，也与企业的资金实力有关。如果法律风险严重程度相等，在损失额度固定的情况下，企业规模越大则损失额占企业资产额的比例越小，而银行也更愿意为大企业提供资金上的支持，助长了大企业承受风险的能力。如果企业规模较大、能够获得合理的利润且现金流量比较充裕，一般性的法律风险事件并不会使其“伤筋动骨”。而对于资产负债率高、现金流量非常紧张、缺少足够利润的企业，任何一个稍大的不利后果均有可能成为压在牛背上的最后一根稻草。更有甚者，某些小型企业由于利润率低、资金链脆弱，一个后果并不十分严重的法律风险也有可能引起连锁反应，从而使企业资产被供应商集体哄抢，企业也在顷刻间成为空壳。

从法律风险类型来说，能够直接导致企业灭顶之灾的法律风险发生概率并不高。但是，当法律风险事件被新闻媒体等无限放大并导致企业失去买家信任而失去现金流时，对于任何企业来说都是最为危险的法律风险，甚至是企业既无法控制又无法承受的风险。以三鹿集团为例，其资产不可谓不雄厚，其公关能力也不可谓不强，但其生产有毒奶粉并造成大量结石婴儿的法律风险事件，是任何消费者都无法容忍的。正是因为彻底失去了销售对象，其结局只能是从此在市场上消失。无独有偶，当年以回收的陈料生产月饼的南京冠生园，虽然已是七十多年的老字号，也只能以不光彩的结局走上破产的死路。而这些企业的消亡，根本原因是他们违反了起码的道德底线，甚至达到了“图财害命”的程度。

二、法律风险评估的其他维度

实际操作中，出于企业实施法律风险管理的要求、内容不同，或者由于企业的行业特征、法律风险特征不同，评估法律风险会存在维度的不同。有些评估还顺便将应对成本一并考虑进去，所形成的最终清单中已在应对成本与风险损失之间进行了平衡。但本书的内容将应对成本的考虑列入下一节的解决方案设计部分，本节的评估结论只讨论对法律风险点的评估。评估法律风险的维度很多，这里仅提及常见的维度。

（一）风险事件发生频度与风险行为频度

法律风险发生概率主要是用于预测未来，在评估时有时要分为事件发生频度与行为发生频度以了解以往的情况，这些都影响着评估法律风险的结论。风险发生的频度，是指在某一单位时间内法律风险后果实际出现的数量，用以统计某个法律风险在现实生活中某一单位时间内转化为实际风险后果的概率。风险行为的频度，是指带有法律风险的经营行为在某一单位时间内出现的数量，用以统计某个存在法律风险的行为在某一单位时间内出现的概率。因此，两个频度一般都表现为每周N次、每月N次或每季N次、每年N次等。

由于取值不同、用途不同，两种频度的使用方法各异。如果两者取值的时间段相同、对象范围相同，则将风险发生频度除以风险行为频度，就可以得出单位时间内法律风险行为中发生法律风险后果的概率。即：

风险发生概率＝风险发生频度÷风险行为频度

风险发生概率对于判断是否采取防范措施以及防范的应有投入范围非常具有参考价值，风险发生概率越高越值得重视。但风险发生概率还要参考风险损失的情况，才能确定是否采取措施以及如何采取措施。因为任何措施都会带来经营成本的增加和机会成本的增加，不可能事无巨细统统不计血本地加以防范。

（二）预计损失幅度与实际损失幅度

预计损失幅度是指根据法律规定及具体的实际情况，结合经验所推测出的法律风险后果中的损失最高额及最低额。在涉及公权力处罚的法律风险时，由于无论是刑法还是行政法的处罚一般都有一个上下的幅度，因此这一幅度实际就是预计损失的幅度。但这一损失幅度还只是直接损失的幅度，间接损失的幅度往往只能估算。如果间接损失不明显，也可以只考虑直接损失而不考虑间接损失。

实际损失幅度是指法律风险事件出现后，经过各种努力后最终确定的法律风险给企业所造成的损失，以及对无法量化的间接损失进行估算而得出的幅度。在这类损失中，直接损失往往最容易具体化，例如法院判决企业应当赔付的金额、行政机关已经生效的行政处罚数额等。但间接损失往往难以计算，例如一个损害消费者利益的案件究竟能够给企业带来多少实际损失，以及会有多少消费者在了解这一案件后不会再次购买企业的产品等，这些情况很难以第一手调查资料的方式提供准确的数据，往往只能估算其幅度。

需要注意的是，在某些特定情况下，突发事件所造成的间接损失有时也相当巨大。例如，当年的三株口服液就是在媒体大量宣传了一个并不确切的案件后，由于遭遇了退货风潮，整个体系全线崩溃并使企业最终毁于一旦。

（三）责任严厉程度与执法严格程度

责任的产生来自法定及约定，因而责任的严厉程度与违法或违约的成本有关，前者用于评价日常的经营行为的法律风险程度，后者多用于评价一个具体交易中的法律风险程度。

行政法规所规定的经营者的法定责任因行业不同而有较大的差异，总的来说与政府对宏观经济的战略控制有关。遵守这些行政法规是企业经营的应尽义务，也是企业所应当承担的社会责任。在实际经营中，企业既存在因不了解相关法规而受到行政处罚的情况，也存在因违法成本较低而故意违反法律规定的情况，而且这种情况并不罕见。从法律风险管理的角度出发，必须了解其所从事的经营行为涉及哪些法律法规以及法律法规对于违法行为的处罚力度，避免因违法而受到行政处罚，特别是避免因受到处罚而导致更大的危机。

违约行为也是如此，在签订合同准备进行具体的交易之前，必须认真研读合同中的各类违约责任条款，防止因违约责任过重、违约概率过高而导致的不利影响。以我国玩具代工企业与跨国公司所签订的代工合同为例，正是由于跨国公司在采购中利用自身的优势而将违约责任及违法责任全部推给了我国代工企业，以至于合同条款成为代工企业单边责任条款，才导致了代工企业一旦出现违约或产品质量不符合境外企业的法律规定的情况，则企业往往无力继续经营。

除了法律规定的宽严程度外，执法力度也是一个在评估法律风险时需要考虑的重要内容。由于立法滞后及立法技术上存在一定问题，以及行政职能方面存在的某些问题，某些法律规范在实际执行过程中显得不尽如人意，甚至某些地区或某些行业长期以来处于“法不责众”的实际情况。因而在评估法律风险时，除了要研究法律规范的具体规定外，还要考虑实际的执法情况，才能得出相对准确的法律风险状况结论，否则仍旧有“纸上谈兵”的可能性。

（四）企业受影响程度与风险控制能力

企业对不利后果的承受能力除与法律风险性质有关外，还与企业对于风险的控制能力有关。巴林银行、安然等都是国际知名的庞然大物，但他们却仍然在猝然一击中轰然倒地。国内的类似情况也并不鲜见，当年的巨人集团、广告标王等行业领袖早已在商海中销声匿迹。可见，只要法律风险事件出现在企业最为脆弱的要害点及最为脆弱的时间点，即使是大型企业也难逃灭顶之灾。

虽然企业承受风险的能力取决于其现金流、资产负债率等因素，但风险控制能力决定着不利后果的程度及范围。同样是现金流不足、高负债率的企业，某些企业拥有很高的品牌价值等资源并拥有非常专业的公关人员，因而企业即使遭遇危机也能将风险后果控制在自己能够承受的范围之内，使企业转危为安。这样的企业在同等的条件下具有更强的风险承受能力。因此，企业的表面风光并不说明其控制法律风险的能力，那些迅速扩张中的大企业如果没有稳定的营业收入往往更加脆弱，如果没有良好的控制手段，非常容易因法律风险引发的财务危机而导致企业崩溃。

以上内容只是对几种维度的粗浅介绍，在实际进行评估时，可以根据企业的情况和所面临的法律风险的情况，从风险损失的最高限度与最低限度、风险事件的持续期限、风险事件属于个案还是可能批量发生、法律风险的解决成本等角度考虑问题并将其列为评估的维度。

三、法律风险评估维度的设定

所有的评估，都是收集、整理目标事物的相关信息，并依据一定的技术方法、按照一定的工作程序，通过分析、研究而得出某种理论上的结论的一系列活动。评估所针对的，一般都是某一事物的价值、状态等现实中并不直接存在而且不可直接测量的属性，需要通过定性分析和定量分析等方法进行评价或估测，才能得出自己需要了解的信息。目前，对于其他风险的评估、对于某种财产的价值的评估等，其内在规律莫不如此。

但正如有的企业从机遇中看到风险而放弃机遇，而有的企业则从机遇中看到利润而迎合机遇，事物的不同观察角度可以得出不同的结论。而法律风险维度的设置，正是涉及了具体的观察角度如何设置的问题。

（一）面向过去的评估与面向未来的评估

评估可以被简单地理解为评价和估测，评价比较容易做到，但估测有时需要消耗大量的工作时间才能得出贴切的结论。评估法律风险的维度取决于企业的状况和需求，而企业的需求则取决于其发展的阶段性和企业家所追求的目标。对企业现状的评估面向过去，是对企业既有情况进行评估。而为了采取应对措施而进行的评估则是面向未来，其目的是抓住主要矛盾视风险情况采取措施。

其中，企业所处的发展阶段越高则对管理的精细化要求越高，其法律风险管理的需求也越为综合和全面，而处于较低发展层面的企业则往往只有低层面的甚至是最基本的法律风险控制需求。而在企业发展层面相同的情况下，决定企业法律风险管理需求的重要因素则是企业家所追求的目标。即便是在一些小型企业，也有相当数量的企业家在追求着企业的制度化管理和精细化管理，使得其法律风险管理水平甚至超过了更大的企业。这两方面的因素共同决定了法律风险管理在不同企业中，存在着深度和范围上的明显区别。

正如第二章第六节中所提及的那样，企业实施法律风险管理项目有着不同的动机和目标，而这些动机和目标则正是设定法律风险评估维度的线索。法律风险的识别与评估虽然已经包罗万象，但资源永远是有限的，因此在识别、评估以及设计解决方案时，总会有所侧重。而且，有时需要单独针对既往情况进行评估并出具结论，与另外的评估结论一并提交。

对于那些已经处于领先地位的企业来说，他们希望通过评估而主动发现潜在的各种法律风险，并通过提高法律风险管理的程度来提升其法律风险应对能力、减少法律风险损失，从而以固定的制度、流程、文本规避法律风险，并利用制度的不可模仿性而在同行业中继续保持领先地位。由于存有战略目的，这类企业需要从更深层面、更广的角度更为详细地评估法律风险，在法律风险评估维度方面也往往需要设定员工对于制度的遵从度、企业对法律风险的管理程度、法律风险事件造成的商誉损失等，并通过后期预警机制的设计等在解决既有问题的同时为企业发展留下空间。那些希望借机推动管理机制重大变革的企业，其情况与此基本相同，所需考虑的维度也基本相同，只是对于解决方案的设计更为重视。

而那些希望解决长期困扰的企业，往往是在管理方面存在一定缺陷的企业。很有可能是因为他们的管理缺陷才导致了法律风险事件的不断出现甚至重复出现。如果确实如此，对他们的评估有时需要增加对既往法律风险事件的统计，找出制度缺陷或管理失当与法律风险不利后果之间的对应关系，并在解决方案设计过程中帮助企业从根本上杜绝类似法律风险事件的重复发生。这种统计可以作为评估结论中对于以往情况的辅助说明，以加深企业对于以往情况的印象和对管理措施的理解。

对于那些出于企业安全考虑，不希望其多年经营得到的资产因法律风险而遭受损失的企业，需要侧重于了解其在发展过程中存在的法律风险，避免因长期潜伏的法律风险因事件的爆发而危及企业的资产安全。这种法律风险一般都影响较大而且已经客观存在，通常的维度已经包括了这方面的内容，只是在尽职调查时应对这类内容有所侧重。此外还要特别注意其决策机制中对于法律风险的控制。同样，对于这类企业的评估维度也需要包括法律风险与企业决策、企业行为之间关系的分析，并通过后续的运作模式等设计充分规避或分散法律风险。

总之，由于不同的企业目标决定着评估的不同维度和内容，对于过往情况的评估往往需要加入管理状况的维度以指出问题所在，而用于设定未来行动方向的评估则必须考虑企业应对风险的能力等维度。而这些维度的设定，都会依赖于对企业实际需求的了解，并实现尽职调查范围、风险评估维度、解决方案设计的一体化运行。

（二）法律风险评估维度的设置

目前的许多“法律风险评估”其实至多有评价的成分而谈不上是评估，因为其工作过程是针对企业某个特定领域的法律风险情况进行了解，并指出所存在的法律问题的危害性和可能的不利后果。严格地说，这类“评估”只是评价而已，无需考虑维度和赋值计算。由于这类“评估”只是针对企业所面临的某类法律风险展开，如知识产权法律风险、劳动法律风险、建筑业法律风险等，因此其结论往往只需要评价而不需要评估，只需指出法律风险点及其不利后果的严重程度而无需对其概率进行计算。这类工作的精度和质量要求并不高，只适合主题集中、法律风险点为数不多而且企业可以全面主动采取措施的情况。

只有当企业面临的法律风险分为不同的类别甚至没有什么可比性，而企业也无法或无需对所有法律风险点都采取百分之百的应对措施时，才必须通过评估得出各法律风险点在重要程度方面的统一的结论，因而也就必须考虑评估的维度。例如，当企业同时面临采购合同法律风险与产品责任法律风险时，两个范畴的法律风险点中孰轻孰重、如何排序是必须通过评估才能解决的问题。

企业进行评估的维度有的纯粹是法律风险方面的内容，也有许多企业在评估的维度中加入与企业管理行为有关的维度，一般分为企业员工对于制度的遵从度和企业制度的完善度两方面的内容，为的是通过评估结论了解企业在制度、考核等方面存在的问题，也为制定应对措施打下基础。

例如，某大型企业将法律风险评估的维度分为发生的可能性与损失程度两个大类。其中，可能性维度下又包括了外部监管力度、内部制度完善度、内部制度的执行力度、公司人员的法律素质、风险相关方的综合状况、风险行为频次等门类，而损失程度维度则又分为不利后果影响范围、财产损失程度、非财产损失程度几个门类。不同的法律风险点在经过两种维度的加权运算后确定不同的法律风险值，按分值从大到小排列法律风险点，就能识别出风险的严重程度。但由于维度的设置过于复杂，最终只能通过开发计算机程序的方式解决后续的问题。

第三节　法律风险点的赋值

法律风险评估过程中的赋值，可以理解为给法律风险点从不同的维度赋予一定的分值，以便于衡量某一维度下法律风险的程度，并将该法律风险点在不同维度下的分值用于最终的综合运算。赋值问题是操作层面的一道难题，不通过赋值的方法许多评估就无法得出一个确切的统一结论，而采用赋值的方法却又有许多问题根本没有标准的或精确的数值。尤其是当前整个社会运营情况的基础性数据并不丰富，很少有公允的数据可以用于法律风险评估时的系数测算，评估中的许多数值需要依主观判断完成。

值得说明的是，只要不是出于客观统计，几乎所有的赋值都带有一定的主观性，因而并不完全代表事物的本来状况。但通过各方面的努力，可以使赋予的分值更为合理，因而可以用于估测并能得出相对可信的结论供决策时参考。

一、对法律风险点赋值的意义

目前，以量化、公式化的方法得出结论或支持结论已经成为一种趋势，在咨询行业更是如此。公式化和量化有助于人们深入理解事物的本质属性及相互关系，但许多量化的结论只能反映过去的情况或仅仅是预测未来的可能性，并不代表真正的未来。甚至许多量化的结果在成形前也离不开人为的干预，以便使结果显得更加“科学”。正因如此，对于任何评估、预测的结论完全可以不带任何敬畏成分地坦然质疑其依据、方法。

但这并不是说量化分析一无是处。毕竟这是解决多维度数据的统一排序问题时所能依据的唯一手段，而且许多数据确实能够客观地反映企业被人忽略的另一面，并能通过其反映出的发展趋势而成为决策的重要依据。同时，以赋值的方式进行评估还有着单纯的定性分析所无法实现的目的。

（一）直观地体现程度差异

赋值的方法对于我们并不陌生。在给论述题、论文等无法精确评分的答案评分时，以及在跳水、体操等无法直接计量成绩或比较成绩的体育比赛成绩统计中，其最后的分值都是笼统的客观标准与主观判断的结合。其评分的结果往往只是给出了对于不同论文、答案的质量，或者对不同选手比赛成绩，基于一定的定性化标准加以主观判断并得出量化的结论。这些本来无法精确衡量的结果一经通过数字加以表示，其程度上的差异就非常容易比较。虽然这些掺有主观判断成分的数字其实并不精确而且无法非常精确，但对于分析不同对象在程度上的区别已经足够。

有些赋值仅仅起到表示程度上的差异并为排序提供依据的作用，数值之间的差异并不表示差异的幅度。例如，对行业法律风险排序过程中，被赋予120分的A行业并不是比只赋值了100分的B行业多出20％的法律风险，只是说明A行业的法律风险比B行业的法律风险更为严重。而某些根据原始数据统计出来的数值，其数值之间的差异不仅表示了差异程度，也表示了差异的幅度。如果某企业每销售百件产品发生消费者质量投诉3起、售后服务投诉2起，则说明在产品质量和售后服务方面都有法律风险事件发生，而且前者的发生概率比后者高出了50％，既有程度上的区别也有幅度上的区别。

（二）使评估可以通过运算进行

数学是人类最为伟大的发明之一，特别是将逻辑问题通过数学的方式加以解决后，人类对于未知事物的判断能力达到了新的高度。人们固然可以通过逻辑推理一步步利用约束条件之间的因果及逻辑关系而得出结论，但通过数值之间的相互关系和运算规则去完成这一点显然要高效得多。通过合理的赋值并通过运算而得出的结论虽然比较间接、抽象，但仍能符合逻辑并为后续工作提供方便。特别是当需要将不同维度下的风险点按统一的标准排出顺序时就必须通过统一的运算，这时，不同风险点的赋值必不可少。

赋值的方法最早源自数学解题，人们常用的+1、0、-1其实就是一种赋值的表示方式，这些值其实表示的仍旧是种程度上的关系，但它所代表的结论却非常贴切。目前，赋值法在计算机程序设计中非常普遍。

（三）便于得出法律风险严重程度的统一结论

当法律风险点只需要从一个维度进行观察时，如果风险点不多则完全可以采用定性分析的方式完成程度判断和排序。但当法律风险点较多时，或需要从多维度去分析法律风险点时，就只能采用定性分析与定量分析相综合的方式进行。

特别是在对法律风险点进行多维度下的评估时，要使不同类别、不同维度值的法律风险点按严重程度进行统一排序，定性分析由于其本身主观性较强、缺乏客观标准的缺陷而无法按统一的标准进行判断，也就无法将不同维度下的结论加以统一，因而已无用武之地。

而定量分析则通过给不同维度下的各法律风险点赋值，并通过对这些分值的计算得出确切的综合值。通过这些方法及过程，才能最终以简单的数值比较的方式按严重程度排出顺序。这就是运用赋值法的优势。

二、赋值的主要方法

赋值法是在统计分析时常用的方法，有的学者还提出了主观赋值法和客观赋值法的分类方法。但无论如何划分，赋值法一般包括层次分析法、德尔菲法等主要依据主观评判赋予分值或给出某种系数的方法，由于德尔菲法在前面章节中已有介绍，这里仅对其中部分常见的方法进行简单介绍。

（一）直接评价法

直接评价法在法律风险管理中的运用，是根据评估的目标而设计制作问卷，然后由企业管理人员或律师通过填写问卷答案的方式，对问卷中所罗列的法律风险点根据指定的维度提供主观评价意见。当这种方法用于评估的赋值时，多是从所设定的不同维度对各个法律风险点打分，不同问卷的打分结果经过统计，就成为该法律风险点在不同维度的分值。这种工作方法的运用范围非常广泛，是分析问题和预测未来时常用的技术手段。

这种工作方法简单易行，但从其工作模式中也可以看出它严重依赖于答卷者的主观判断。其结果往往取决于答卷者的经验和思维方式，并无严格的、量化的依据。以这种方法赋值，问卷的设计必须细化到有利于全面、客观地得出判断结论，否则问卷本身就会干扰结果的合理性。

在操作层面，设计这类评价的问卷往往都会给定具体的分值区间，由参与评价者在分值区间内为各维度的法律风险点打分。当无法通过统计或计算给出法律风险点的具体分值时，就可以采用这种方法评价出某维度下各个法律风险点在程度上的差异。如果分值可以通过统计或引用社会基础数据的方式得到，或者可以像判断法律风险不利后果严重程度那样依据法律规范的具体规定进行，则不能也不必使用这种方法。另外，这种方法只适用于赋值，而无法根据已经赋值的结果得出最终的综合结论。

在具体操作中，为操作上的方便，可以先将法律风险点按照部门法或法律关系等归为大类，每个大类的法律风险包含下又分为数量不等的具体法律风险点。然后对各个具体的法律风险点逐个进行评价、赋值，使各个法律风险点在各个维度下均带有数值。

（二）层次分析法

层次分析法^②（The analytic hierarchy process）简称AHP，在20世纪70年代中期由美国运筹学家托马斯·塞蒂（T.L.Saaty）正式提出。它是一种定性和定量相结合，而且非常适合从多维度考虑问题、做出决策的工作方法。它通过层层划分将问题分解，并借此找出答案或方法。对一些较为复杂、模糊的问题，使用这一方法可以方便地得出结论，特别适合那些难以进行完全定量分析的场合。这种方法由于在处理复杂的决策问题上非常实用，很快在世界范围内被应用到计划和管理、行为科学、制定战略、复杂项目实施等方面。

在法律风险赋值方面所用的并非完全的层次分析法，而是借用其中的部分步骤来完成赋值工作，仅用于同维度下各个法律风险点之间的程度差异比较及赋值、排序。并可以在各维度的法律风险点均被赋值以后，通过设定各维度在最终综合评定中的权重的方法，将不同维度下的法律风险点分值进行综合计算并得出综合、统一的结论。

这种方法在为具体的法律风险点赋值时，通常忽略其目标层、准则层、对象层的划分，而只是通过构建比较阵的方式，对同一维度下各个法律风险点进行成对比较而赋值排序或根据其程度情况直接赋予1—9的值。借用层次分析法中的这一步骤为法律风险点赋值，其操作非常简单明了而且适合对于信息情况的主观判断，在运用经验、分析能力和直觉赋值的基础上增加了一定的逻辑含量。在这一步的赋值完成以后，还可以利用层次分析法的优势，将不同的维度视为同层的内容，为每个不同的维度设定权重，并依此产生综合评估结论。

三、为法律风险点赋值的依据

在从不同的维度对法律风险点赋值时，维度的特征决定了不同的维度需要以不同的方法赋值。即使是用主观的方法赋值，其赋值也必须具有一定的依据和逻辑，而非随心所欲，即使是前面这些赋值方法也是如此。法律风险点的维度较多，但其赋值方法仍旧是基本的几类。

（一）法律风险严重程度的赋值依据

对于法律风险严重程度的赋值，其判断依据是作为或不作为的不利法律后果的程度。在前面所介绍的内容中，法律风险不利后果有刑事责任、民事责任、行政处罚责任和单方权益丧失四类，而每类不利后果中又可以细分为更多门类的具体法律风险点。判断每个法律风险点的不利后果严重程度所依据的内容，则是相应的法律条款或合同条款对于不利后果进行的规定或约定。这一点虽然在理论上没有问题，但在具体操作上还有不少问题需要厘清。

其中一个主要问题是法律或合同对于法律风险不利后果的表述方式存在着多样性，因此其后果未必确定。以违反《劳动合同法》的行政处罚等法律风险为例，对于不利后果分别有以下的表述方式：

1．规定具体标准

以这种方式表述不利后果，其种类、标准是固定的。由于其后果、标准是固定的、没有波动幅度，所以容易与其他不利后果进行比较。

例如，该法第87条规定：“用人单位违反本法规定解除或者终止劳动合同的，应当依照本法第四十七条规定的经济补偿标准的二倍向劳动者支付赔偿金。”

又如，该法第80条规定：“用人单位直接涉及劳动者切身利益的规章制度违反法律、法规规定的，由劳动行政部门责令改正，给予警告；……”

2．规定特定幅度

以这种方式表述的法律风险不利后果存在一定的上、下幅度，其最终的不利后果可能出现在其幅度中的任何一个水平上。对于这种不利后果，有具体案例参照的可以按能够确定的幅度进行比对，无法确定具体幅度往往要考虑其上限。

例如，该法第84条规定：“用人单位违反本法规定，以担保或者其他名义向劳动者收取财物的，由劳动行政部门责令限期退还劳动者本人，并以每人五百元以上二千元以下的标准处以罚款；给劳动者造成损害的，应当承担赔偿责任。”

3．规定混合后果

以这类形式表述的不利后果混合了不同类别或不同严重程度的情况，因而难以简单地同其他法律风险不利后果进行比对，必要时需要拆分以后进行。

例如，该法第92条规定：“劳务派遣单位违反本法规定的，由劳动行政部门和其他有关主管部门责令改正；情节严重的，以每人一千元以上五千元以下的标准处以罚款，并由工商行政管理部门吊销营业执照；给被派遣劳动者造成损害的，劳务派遣单位与用工单位承担连带赔偿责任。”

4．规定处理原则

法律规范对这类不利后果的表述往往只是原则，没有具体的种类、标准、幅度，需要结合具体情况进行判断。

例如，该法第86条规定：“劳动合同依照本法第二十六条规定被确认无效，给对方造成损害的，有过错的一方应当承担赔偿责任。”

（二）事件发生概率的赋值依据

事件发生概率的赋值相对简单，只要找到相关数据就可直接赋值。这些数据主要有企业和社会两个来源，虽然反映的只是已经发生的情况，但对于未来充满借鉴意义。在具体使用时，有时需要综合考虑两种数据之间的关系，使之优势互补、相得益彰。

1．企业自有数据

对于那些企业档案管理非常完善的企业，或者统计数据丰富的行业，可以通过相关信息的统计或查询而得出具体的系数或数值，并在赋值过程中直接采用。这些数据所反映的是过去发生的情况，但对于未来存在一定的借鉴意义。如果能够通过跟踪较长时期某类事件的发生、发展情况并描述出发展的规律，则对于预测未来可能发生的情况更有帮助。

例如，某企业在实施管理项目时，对以往的情况进行了认真的分析统计。这些统计包括拖欠情况发生的概率、拖欠金额占总销售金额的比例，拖欠情况最容易发生在哪些交易金额区间、哪类交易主体区间，以及造成应收款拖欠的原因类型分布、各种原因造成的货款拖欠占总拖欠额的构成如何等。通过这些分析，一是对以往情况有个清楚的认识，让企业清醒地认识到问题之所在并为进一步分析原因提供工作范围。二是通过这类分析的结果，为设定评价维度、对各维度下的法律风险点赋值提供依据。三是在赋值完成后，为得出法律风险综合评价给各个维度在结论中的权重提供依据，并为制定应对措施提供依据。

在这些数据中，历年法律风险事件的发生概率可直接用于描述企业的状况或用于赋值。如果能够结合近年来的变化趋势进行分析，则这些数据对于设定未来可能的发生概率会更为贴切。

2．社会公共数据

此类数据多为政府部门或行业协会经过统计而向社会公开发布的数据，有的以报告的形式体现、有的以年鉴的形式体现，往往反映了特定时间和特定范围内某个行业及至全国的某种情况。由于统计的范围等存在差异，这类数据与企业的数据一般都会存在一定的差异，但这种差异可以用来判断企业某类事件发生的频率相比整个行业甚至全国相同事件发生频度到底处于何种水平。而且，这类数据的统计口径也有可能与赋值的需要存在一定的偏差，需要通过重新计算才能得出所需的数据。例如，公安部对2008年道路交通事故方面的统计数据如下：

2008年，全国共发生道路交通事故265204起，造成73484人死亡、304919人受伤，直接财产损失10.1亿元。

与2007年相比，事故起数减少62005起，下降19％；死亡人数减少8165人，下降10％；受伤人数减少75523人，下降20％；直接财产损失减少1.9亿元，下降15.8％。

其中，发生一次死亡3人以上道路交通事故1290起，同比减少190起，下降12.9％；发生一次死亡5人以上道路交通事故250起，同比减少17起，下降6.4％；发生一次死亡10人以上特大道路交通事故29起，同比增加3起。道路交通事故万车死亡率为4.3，同比减少0.8。

这是一个仅针对年度道路交通事故伤亡损失及环比情况的统计，对于大多数的企业并无直接意义。但如果一家企业拥有众多的公用车辆并需要预测未来可能发生的道路交通事故情况及损失情况，除了对企业内部年度道路交通事故的发生情况、损失情况进行统计外，借用这个公共数据及其他数据，则可以得出更多的结论。例如，结合2008年全社会的机动车保有量以及这一统计数据，可以大致知道每辆汽车发生交通事故的概率、每次交通事故损失的平均幅度等情况，并提前准备应对道路交通事故损失的措施。

（三）不利后果影响程度的赋值依据

对于这类情况的赋值，主要是结合企业对于法律风险不利后果的控制能力、承受能力等因素后，以主观判断的方式确定企业受到损失的程度。也可以为前述两种能力分别赋值，并最终通过运算得出不利后果影响程度的数值。

1．风险后果控制能力

当法律风险事件爆发后，对于法律风险不利后果的控制能力其实主要是一个企业的危机公关能力和对法律知识、技能的运用能力。通过这方面能力的发挥，可以有效地避免程度的严重化和范围的扩大化，将危机影响范围限制在一定程度上发生并产生尽可能小的影响。在控制风险过程中，还有可能运用风险分散、风险转移等方法，使最终需要企业承受的不利后果降低到最低限度。

这类能力只能定性分析而无法定量分析，需要以主观判断的方式赋值。由于评价的是能力而非结果，因此运用这种能力的后果虽然并不确定，但不影响对这种能力的评价和赋值。

2．风险后果承受能力

企业对于法律风险后果的承受能力属于不利后果对于企业的影响程度，或者理解为实际的受损程度，以及是可以忽略不计还是会造成重大影响。如果企业自身对于法律风险的控制能力有限或一般，也可以只考虑企业的受损程度。

对于承受能力的赋值可以是能够承受的程度值，分数越高承受能力越强；也可以是企业受到损失的程度值，分值越高则企业受到损失越大，两者意思相同只是表述方式不同。由受损程度代表的承受能力取决于法律风险类型、影响范围，以及企业对于法律风险的控制能力。那些单一、个案的质量或服务瑕疵，一般企业均可承受而且也应该为了长远利益而承受。但这类普通事件如果批量发生，会造成雪崩一样的效果，酿成企业无法承受之重。

归根结底，法律风险事件如果对于这个企业的资金链没有影响或没有重大影响，就基本属于企业能够承受的范围。一旦由于被行政主管部门责令停业整顿、吊销许可证、吊销营业执照而断绝了资金来源，或者由于风险事件造成的延伸效应造成产品被大面积的退货、抵制，以及由于债务等纠纷而被众多的供应商停止供应并集中催讨货款、采取诉讼保全措施，则任何企业都无法承受不利后果，在赋值时都需要评定为等级最高的、无法承受的法律风险。

四、不同维度下的法律风险点赋值

为了说明法律风险点的具体赋值方法，我们选定某日用手动机械制造企业对消费者权益法律风险进行赋值。为了便于示范，我们假定该企业只对分销商供货而且售后服务外包，因此风险点不多、涉及的法律风险范围较小。

同时，在排除因内容交叉而划入其他法律风险范畴的法律风险点，且在当地并无消费者权益保护方面的地方法规的情况下，通过对该企业产品在《消费者权益保护法》项下及延伸涉及的《产品质量法》项下的法律风险点进行尽职调查和识别，企业所涉及的法律风险点共分为4大类、25个。

（一）法律风险事件发生概率或频度赋值

为评价不同法律风险的发生概率，可以将发生概率定为从0到9。由于在识别法律风险时已经将不可能发生的情况予以排除，则赋值时最低的概率设为1、最高的也就是必然发生的概率设为9。其中1至3为低概率、4至6为中等概率、7至9为高概率，三组分数值中又可细分为高、中、低三档。结合企业情况对各法律风险点的打分，各点的概率程度值分别如下：

表4-1　法律风险事件发生频率赋值表

上述法律风险点的分值如果从高到低排列，就可以看出各类法律风险事件的发生在企业中是否普遍。即使某些企业有着详尽的历史记录，有时为了简便和体现当前情况，也可以采用这种方式排序。

需要说明的是，这种赋值结果如果不是来自统计数据，则只是代表程度上的高低，其分值并无精确的数学意义。也就是说，在分值为9与6的两个法律风险点之间，前者比后者在程度上未必强1.5倍。由于基础数据的缺失，大多数的分值无法来自统计而只能主观判断，赋值主要用于形成统一的排序标准。

（二）法律风险后果严重程度的赋值

由于企业发生过的法律风险事件类型比较单一、不具有代表性，只能从各法律风险点爆发为事件后的法律后果严重程度进行分析。在对分析结果排序时，将后果的严重程度设定为从0到9，赋值时最低值为1、最高值为9。其中1至3为较轻、4至6为中等、7至9为严重，三组分数值中又可根据程度细分为高、中、低三档。结合产品特性及上述规则赋值，法律风险后果严重程度值如下：

表4-2　法律风险后果严重程度赋值表

（三）企业法律风险承受能力的赋值

为法律风险承受能力赋值最简单的方法是损失程度，也就是那些可以判断的直接实际损失与理论损失之比。参与评判的人员越多、越内行、越熟悉企业则结论越符合实际情况。按损失率评分，该维度下各点得分如下：

表4-3　企业法律风险损失程度赋值表

第四节　法律风险评估中的计算

相对于将所有的风险点堆砌在一起摊给企业，通过评估给出企业法律风险的综合结论要付出多得多的劳动。虽然其中的综合计算可以通过Excel等软件完成，但分值和权重的设定以及部分运算仍是累人而又不可或缺的工作。而且，对于未来的预测都是主观的，并不代表未来的实际发生情况，因而评估值的计算最为主要的用途是作为决策依据。甚至可以说，所有的评估方法都是“坏”的，而人们孜孜以求的其实只是找出其中“最不坏”的工作方法。

法律风险评估的维度及各维度权重的设置其实可以上升到企业发展战略的层面，因为它可以从战略角度去设定维度发现问题，并从战略角度考虑法律风险管理的方向。正因如此，设定维度和权重等数值时往往需要了解企业发展战略，而在解决方案设计过程中也要了解企业发展战略。

一、法律风险评估中的常见计算

法律风险评估结论可能会涉及诸多需要通过计算而得出的数据，评估结论只是其中最为主要的部分，还有许多其他数据需要通过不同的方式计算得出。而且，唯有精确的数据最能说明企业的现实状况，最能令人看清企业的问题分布和问题所在。

（一）法律风险的基本计算原理

法律风险评估过程中有时会涉及多种计算，其中对于法律风险最为基本的计算公式是“风险＝损失×概率”，这一点与其他风险的估测完全一样，但对法律人来说这一思维方式可能会显得比较陌生。为了有个准确的描述方式，我们将等式的左边定义为“风险程度”，也就是以前章节所提到的法律风险重要程度。当然，这只是一个基本的抽象概念，因为细分起来损失有实际损失与理论损失之分，而且许多损失的计量也仍旧是主观估算的结果。而概率要么来自以往情况的统计并能精确反映过去，要么只是理论上对于未来的推测，将来实际发生的情况大多会与预测之间存在波动。但到目前为止，对于未来发生的情况并无可以精确预测的方法，因而这是至少目前无可替代的方法。而且，这类计算方式及逻辑尚属“通俗易懂”。

例如，某种产品投入市场后每年的净利润为100万元，每次因产品责任法律风险引起的损失是净利润减少10％，该类损失平均4年发生一次。则其每次产品责任法律风险损失金额为10万元，每年发生这类事件的概率为25％，每年的产品责任法律风险损失预期值为2.5万元。

但这一基本思路还只是较为简单的计算方法。当各个维度的法律风险点赋值全部完成后，有时还要考虑将某些维度通过加权计算而形成一个具体的参数，然后再投入到形成整体综合结论的运算中。当评估时的维度设置非常细时经常会出现这种情况。当一个维度由多个维度复合而成时，就需要对参与复合的各维度进行加权平均或加权求和。

（二）对法律风险值的计算方法

由于同属风险行业，其他风险管理中所运用的方法在特定情况下也可以运用于法律风险评估，至少可以借鉴其方法从另外的角度理解法律风险，或用于同其他风险控制手段相配合。

1．风险价值法（VaR法）

风险价值法的英文VaR是Value at Risk的简称，是近年国外金融行业风险价值评估过程中广泛采用的工具。它是一种金融风险评估和计量模型，主要是通过对特定历史数据的模拟运算来预测未来的趋势。目前，该法已经被巴塞尔委员会规定为成员银行和金融机构必须采用的一种风险预测方法。从技术角度看，它所提供的结果是在一定的持有期和一定的置信度水平内，一个投资组合最大的潜在损失是多少。在使用这一方法时，可供对比参照的对象越多则可供模拟的素材越多，其计算也就越准确。

虽然这一方法在国外的金融业已经广泛采用，但是这一工作方法在我国主流的金融行业中的影响力似乎并不大。不仅许多银行从未使用过这一方法，即使在法律规范或行业规范方面也并不普遍。目前，提及VaR的多为银行、保险行业的各类通知、公告和指引。例如，中国银监会于2004年发布的《商业银行市场风险管理指引》、于2005年发布的《外资银行衍生产品业务风险监管指引（试行）》都提及了VaR法。此外，保监会的一些通知等规范中也对VaR有所提及。

银行业通常将VaR法运用于银行业对市场风险的内部定量管理模型，常用的VaR模型技术主要包括方差一协方差法、历史模拟法，以及蒙特卡洛法。对于这些方法，不仅各方的描述方式不一而且其运用方式也较为专业，在法律风险评估中一般并无直接运用的需要。而且，工作方法毕竟只是工作方法，在突如其来的金融危机中，首当其冲的银行业正是运用VaR法最多的行业，但这并未阻止金融危机的发生。可见，许多问题并非一两个单纯的工作方法就可以解决。

2．压力测试法（Stress Testing）

压力测试也是一种评估风险程度的工具，不同学者有着不同的理解，但其用途十分广泛。2007年12月，由中国银监会下发的《商业银行压力测试指引》颁布执行。目前，该《指引》已经是对于金融企业进行压力测试的权威规范文件，许多内容可以借鉴后用于法律风险评估工作。

根据该《指引》，压力测试“是一种以定量分析为主的风险分析方法，通过测算银行在遇到假定的小概率事件等极端不利情况下可能发生的损失，分析这些损失对银行盈利能力和资本金带来的负面影响，进而对单家银行、银行集团和银行体系的脆弱性做出评估和判断，并采取必要措施”。需要特别说明的是，压力测试旨在分析在那些发生概率很小的极端情况下，风险损失发生以及对金融企业的不利影响，从而对金融体系的脆弱性进行评估，常规情况下风险损失的判断一般不用这种方式。

同样根据该《指引》，压力测试包括敏感性测试和情景测试等具体方法。敏感性测试旨在测量单个重要风险因素或少数几项关系密切的因素由于假设变动对银行风险暴露和银行承受风险能力的影响。情景测试是假设分析多个风险因素同时发生变化以及某些极端不利事件发生对银行风险暴露和银行承受风险能力的影响。

商业银行的压力测试通常包括银行的信用风险、市场风险、流动性风险和操作风险等内容，而且还需考虑不同风险之间的相互作用和共同影响。在《指引》所设计的压力情景中已经包括国内及国际主要经济体宏观经济出现衰退、房地产价格出现较大幅度向下波动、贷款质量恶化、授信较为集中的企业和同业交易对手出现支付困难、其他对银行信用风险带来重大影响等情况。

在实际操作层面，商业银行压力测试所包括的步骤和程序主要有：①确定风险因素；②设计压力情景；③选择假设条件；④确定测试程序；⑤定期进行测试；⑥对测试结果进行分析；⑦通过压力测试确定潜在风险点和脆弱环节；⑧将结果按照内部流程进行报告并采取应急处理措施和其他相关改进措施等。

应该说，压力测试的许多理念及方法可供法律风险评估时借鉴。但由于其基础是定量分析，而定量分析又非法律风险管理中的强项，因而单独用于法律风险评估的可能性不大。

风险管理技术中的分析评估方法还有很多，由于大多与法律风险评估关系较远，故不再延伸介绍。总的来说，法律风险管理侧重于在法律范畴内降低法律风险不利后果的发生范围、发生频率以及损害程度。因此，其工作方法及工作目标侧重于从源头上杜绝法律风险产生的因素及抑制法律风险事件引起的不利后果，围绕这些目标而采用评估技术只是为了分析法律风险的状况，至多是分析将来可能发生的情况及概率，但并不直接依赖这些技术用于法律风险的管理。而其他风险评估技术，则侧重于从技术角度事先预设吸纳风险成本或承受风险损失的财务准备，其决策基本上是依赖这些评估技术。

（三）对法律风险情况的统计

这类统计主要针对企业已经发生的法律风险事件，其统计的内容主要是企业发生法律风险事件的数量、损失，以及数量占总交易数量的百分比、损失占收益的百分比。通过这种统计，可以使发生概率最高的法律风险类型显现出来，为描述企业的法律风险状况及制定应对措施指示明确目标。企业的许多决策之所以会失败，就是由于没有进行细致的数据分析，以至于结论与现象相背离、手段与目标相背离，其失败的结果实属必然。

以某化学助剂公司产品销售逾期应收账款状况的统计为例，该公司某一年度的交易额与逾期应收款情况进行统计分析时采用下表：

表4-4　客户采购金额与逾期应收款统计表

通过运用该表进行统计，可以直观地发现在全部应收账款中，拖欠情况最为严重的情况集中在哪些交易金额区间。进一步分析这些交易中买方的构成情况并结合企业的销售管理制度及流程，可以发现这些拖欠企业的共同特征，从而为改进企业销售时的授信制度和额度提供依据。通过实际统计表明，这些拖欠企业的实力比较单薄，市场或其下游企业稍有波动就有可能影响其履行能力，因而与这类企业交易的风险系数比较高。

又如，在对该企业应收款形成原因所进行的分类统计过程中，排除买方无正当理由而拖欠货款的原因后，与本企业管理缺陷有关的欠款原因及分布，以及该类管理缺陷占总缺陷的比例、引起的逾期额占逾期总额的比例情况如下：

表4-5　逾期应收账款形成原因统计表

通过这种统计，可以将逾期应收款问题细化。通过对逾期应收款发生件数和涉及金额两个角度的统计，可以发现形成逾期应收款最主要的现象是什么，找出具体的原因，得出具体的结论，并使应对措施具有针对性和可操作性。

二、综合评估中各维度的权重

当企业只是想从战术层面了解企业某一具体领域的法律风险时，或者是企业有足够的优势去“发现即摧毁”所面临的各类法律风险时，或者是应对已经发现的法律风险几乎无需增加成本时，对于法律风险评估维度的设置和评估值的计算就会相对简单。因为在这种情况下，评估值对于其决策的影响并不大，因而维度的设置和权重的设置都会没有太大的意义。只是如此“理想”的环境比较少见，当一个大型企业面对错综复杂的法律风险时更是如此。

所谓的权重（weight）并非法律术语，它首先出现在数学运算方面，在统计、管理、决策过程中大量使用。它所体现的是某一数据在一组统计数据中的重要程度，以及在对整组数据进行综合统计运算时对结果的影响程度。权重的引入使得数据间的轻重程度有了直观的体现。我们可以简单地将权重理解为系数，即为了表示某个数据在一组数据中的重要程度，而给该数据赋予的比例系数。

需要强调的是，为不同维度设定权重，最为主要的目标是在各维度下的法律风险点赋值的基础之上，按照企业的需求和工作目标，合理分配各维度下的法律风险点分值在综合评估结果中所占的比例，以便通过统一的计算公式和系数，得出合理、统一的综合评估值，并以此透过种种表面现象确定各个法律风险点对于企业真正的重要程度。

在各组基本数据完全相同的情况下，权重的不同决定了结果的不同。例如，甲、乙、丙三家公司参加投标，甲公司的优势在于设计，乙公司的优势在于技术，丙公司的优势在于成本，三家公司的评标分值分别如表4-6：

表4-6　评标分值表

在三家公司的设计分、技术分、商务分已经分别确定而且总分相同的情况下，如果采用简单的总分制或简单的平均制，则三家公司的总分均为21分、平均分分别为7分，根本无法确定哪一家中标。在这种情况下，综合评标中的分值权重直接决定了评标的结果。

如果企业对三个分值不是平均对待而是有所侧重，例如将其中一项的权重设定为40％、将其余两项的权重分别定为30％。则40％权重分别设定在设计标得分、技术标得分、商务标得分时，均只有在该项上优势明显的公司能够中标。三种情况下的最终得分及中标情况分别如下：

表4-7　权重分配与中标结果关系表

从表4-7的计算结果中可以看出，无论提高哪一种标的权重，都会使具有相应优势的企业得到更高的分数，从而获得了更多的中标机会。实践中，某些企业也正是为了确保质量，通过提高技术分权重的方法，在评标中过滤掉那些虽然价格较低但质量方面有所欠缺的企业。而某些不谙此道的企业，由于设计评标方法时没有仔细考虑，只注重经济指标，使得某些技术力量较弱、管理水平较低的企业中标，而那些实力雄厚的企业则由于成本较高而难以中标，从而影响了招标企业在质量方面的交易安全。

即使是从上述例子中也可以看出，在法律风险评估过程中对于各维度权重的设定几乎没有直接的数学方法，即使是最终以数据的方式体现出权重，在数据形成以前的大部分工作仍旧需要通过经验判断确定。因此，即使是在统计理论、风险管理理论及计算机技术高度发达的今天，许多权重系数仍旧需要通过经验判断等主观方法确定。而且，设定权重的方法与法律风险点赋值的原理相同、方法也相同，区别只是对于维度权重的设计有时要统筹考虑某一维度下所属法律风险点在程度及影响方面的差异。

当通过主观判断加综合统计的方式为各维度赋予权重时，大多可以采用由企业管理等人员对事先设计的调查问卷打分的形式采集统计的基础数据。这些调查问卷中可以将几个权重的分值分别以最重要、重要、普通、次要的方式分类，也可以采用赋值时所用的9分制以确定高、中、低三个等级，以及每个等级下的高、中、低三个程度以方便受访者评价。通过对调查问卷的简单平均或加权平均方式进行统计，就可以计算出各维度在整个评估体系中的权重。

虽然对不同维度的权重可以见仁见智，但确定各维度权重的依据还是与企业的关注点及实施项目的目标有着密切的关系。以推动变革为目标的项目往往会关注管理上的缺陷，以排查隐患为目标的项目往往会关注容易被忽略的历史或现实中的细节，如此等等，这些都是确定维度权重的立足点。

三、对综合评估值的计算

从复杂程度来看，维度越多则需要考虑赋值、赋权的问题越多。虽然结论可以更为准确和贴切，但其复杂程度却总是令人敬而远之，甚至不得不通过编程的方式才能方便地得出具体结论。而且，由于维度之间关系的复杂性，有时不同维度之间会存在相互干扰的情况，影响评估结论的有效性甚至使评估结果不知所云。即使如此，依据统计得来的结论仍旧都会依照“惯例”排除极端情形下的风险，但这并不影响这种工作方法对于决策的积极作用。没有这种方法，几乎所有的工作都会漫无目标地拍脑袋解决。

在前面列为范例的对投标企业评标结果计算方法中，其实已经运用了设定权重的工作方法。而在上一节对于法律风险点赋值方法的讨论中，也已经以某企业在消费者权益法律风险点赋值为例，确定了各维度下的法律风险点分值。在此，我们假定该企业的法律风险评估只有这三个维度，各维度下的法律风险点也只有这些，则该企业在这一领域的法律风险点及赋值分别如下：

表4-8　法律风险点及赋值表

基于对各维度法律风险点的赋值结果，我们假定该企业在生产经营上存在一定程度的不规范行为，而且这些不规范行为完全符合承担不利法律后果的法律规定，同时该企业具有一定的危机公关能力并能够通过努力从不同程度上降低法律风险不利后果造成的损失。基于这些前置条件并根据法律风险计算最为基本的公式，我们设定发生概率维度为V1、严重程度维度为V2、承受能力维度为V3，则综合评价结果的计算公式为：

重要程度＝V₁×V₂×V₃

按照这一公式及前表中的数值进行计算，该企业消费者权益方面各法律风险点综合重要程度值分别为：

表4-9　法律风险点综合重要程度评估表

上述的计算结果与人们的想象有着很大的不同，这是因为赋值和权重的设置都会直接影响评估的结果，而且无论是人们的想象还是生硬的公式都有可能出错并得出近似于荒谬的结论，这也是本书一再提醒人们不要迷信评估值的原因。但无论如何，这是一个看待问题、分析问题的全新视角。

四、对计算结果的修正与分级

修正与分级均为对评估结果进行的后期处理。前者的目的是纠正赋值时的偏差并使评估结果更为恰如其分，后者的目的则是对不同的法律风险进行筛选，以便于确定工作目标的轻重缓急。

（一）对计算结果的修正

评估计算而得出的初步值往往都存在着一定的谬误，其实这是非常正常的现象，因为诸多干扰因素会使得结论偏离合理的范围。法律风险点的内涵与外延、赋值的方法及数值、评判人员的主观判断误差、维度设置的缺陷等因素都会影响评估计算的结果。而这些缺陷会在计算的初步分值出现后集中暴露出来，因此需要对某些极端不合常规的结论值进行调整与修正，以使之合理。

从上表的评估结论看，该企业最为重大的法律风险是“1.2　不符合在商品或者其包装上注明采用的商品标准”，分值为21.6。而最不重要的法律风险则是分值为1.0的“限期使用产品未在显著位置清晰标明生产及失效日期或安全使用期”。这种结果可能会有些出人意料之外，但这是统一计算公式下“忠实”进行计算而得出的结果。

前者的最高分是由于其发生概率已经达到了表中的最高值，其严重程度也已经是最高值、损失率也比较高；而后者成为最低风险则是由于其发生概率低、后果严重程度中等、损失率低。这种结果既有可能是企业情况的真实反映，也有可能是由于对各维度赋值不合理造成的。根据常规经验判断，第1.2项的评估结果有些畸高，至少应该不超过与其类似的“1.6　质量状况与广告宣传表明的不符”的分值。而第3.4项的评估结果又显得过低，因为这类法律风险不利后果的损失率不应低于“3.2　未根据产品的特点和使用要求标明规格、等级、主要成份的名称和含量”。这两个法律风险点的评估结论的问题都出在损失率上，显然损失率的设置不尽合理，应当加以调整，以使整个评估结论更为合理。

总的来说，对法律风险点从三个维度进行赋值的过程都带有一定的主观成分，这就使得计算结果很难达到数学意义上的精确程度，需要通过两两比较或“类推”的方式对于突出及未突出的问题一一加以分析和矫正，甚至调整整个赋值体系。如果出现无论怎样调整赋值体系都难以平衡各法律风险点之间存在的畸轻或畸重的情况，则说明某些维度的设置上存在问题，需要通过细化维度并合理分配其权重的方式得出某个值，才能确保各法律风险点的评估值得到合理的平衡。

（二）对计算结果的排序与分级

在完成对计算结果的修正后，需要对法律风险点按照其分值的高低加以排列以便于观察统计结果。而在排序完成后，有时还需要依据一定的规律为其划定“分数线”，以便于安排法律风险管理措施。这种经过排序和等级划分的结果，就是法律风险评估报告的核心组成部分。

当对法律风险点按重要程度分值排序后，往往其等级会由于分数级差的存在而自然而然地显现出来。如果需要，也可以采用人为设置的分数线去划定等级，或者按百分比划定等级。经过对初步结论值的修正，并按分值大小排序，前一法律风险评估结论的排序及分级情况如下表：

表4-10　法律风险评估值排序表

表中的这组数据由于数值分布的原因已经自然而然地分为四组：

第一组的分值不低于13.5，属于严重的法律风险；

第二组的分值低于13.5且至8.1分为止，属于重要的法律风险；

第三组的分值在6.4至5.4之间，属于中等的法律风险；

第四组的分值在3.6至1.5之间，属于一般的法律风险。

以这种方式所列出的清单虽然未必精确，但已经基本理清了各风险点之间的重要程度关系，用于决策已经足够。而且，不同企业采用同一模式进行排序，由于风险事件发生概率不同、承受能力不同，评估结果也会有所不同，即使同行也往往无法套用其他企业的评估结论。

第五节　对评估信息的技术处理

在整个的识别及评估的过程中会产生大量的信息。那些未经处理的“生”信息需要甄别、整理，而那些已经处理的“熟”信息，则需要以最为恰当的方式加以表述。对于企业来说，他们并不十分了解甚至根本不想了解评估工作的细节和过程，但他们非常关注评估的结论以及评估结论的质量。

正如好的产品不仅需要达到其应有的功效，还要在人性化、美学等方面加以提升以令消费者感觉物有所值一样，对于评估信息的处理方式直接影响着评估结论的“质量感”。这种感觉首先与深入细致的工作有关，其次是与信息处理能力和表述方式有关。

一、突破常规法律事务的边界

由于法律风险管理概念的形成时间并不算长，即使国外对此开展的研究也仍旧停留在部门法的范畴而未发现系统的理论体系。而我国引入法律风险管理概念的时间更短，从这一全新的视角去观察企业会产生许多令企业家们意想不到的结论。而对于企业管理者来说，他们对于企业的一切均已熟视无睹，需要一个全新的视角发现他们所忽略和从未意识到的法律风险并加以控制。当企业从事法律风险管理活动并从管理角度去审查企业的法律事务处理时，许多边缘问题由此而产生，并影响着评估结论的内容与方向。

法律风险是由于法律方面的原因而导致企业遭受不利后果的可能性，用这种非常规而又挑剔的眼光去审查企业客观存在的法律问题，只要观察的角度和深度没有问题，很少会有企业达到完美的程度，即使是国内管理比较完善的大型企业也是如此。但以这种视角观察，不得不涉及许多与企业管理交叉的边缘问题。

（一）法律风险与企业管理水平

处于不同规模和发展阶段的企业需要不同程度的管理秩序，企业的规模越大、发展程度越高就越是需要建立稳定的管理秩序，通过规范员工行为的方式将各类风险限制在可以承受或可以掌控的范围之内。管理秩序的建立使得员工必须按照企业的规范去履行其职务行为，因而对于员工完成工作的效率具有一定的影响，但在牺牲一部分工作效率的同时，管理秩序保证了员工行为结果的可预见性，并以效率牺牲为成本去避免因风险失控而产生更多损失支出。

由于我国各类形态企业的发展历史并不长，真正的市场经济环境下的发展时期其实不足30年，因而通过制度化的方式建立企业的管理秩序，并以管理这种秩序去控制风险的理念尚未形成企业的“习惯”。而企业从无到有、从小到大的发展历程，也使得许多企业误以为其管理模式是经过实践检验的结果，并因此而忽视了企业管理秩序的建立和完善。因此，对于绝大多数企业来说，由于秩序的建立并未全面完成，作为秩序管理的一部分，其治理结构、企业变更、业务规范、行为规范等方面都存在大量的法律风险。

法律风险管理能力的提高必须借助于企业管理能力的提高或维持在一定的水准，否则法律风险管理会缺乏基本的管理基础。虽然那些管理不够规范的企业与管理相对规范的企业同样会存在诸多法律风险，但那些企业管理比较规范的企业所欠缺的只是将法律风险管理嵌入其常规的企业管理活动之内，因而这类管理基础比较好的企业容易开展法律风险管理项目，管理措施也相对容易执行。

（二）法律风险与企业执行能力

执行能力问题是目前很多企业的通病，其中也包括了法律风险管理措施的执行能力问题。对于大部分企业来说，执行力问题与管理秩序问题同时存在。一方面，建立企业管理秩序的各类管理制度并未系统化和全面覆盖；另一方面，即使是现行的那些不够完善、不够系统的管理制度也未能得到有效的执行。两个缺陷的叠加效应使企业的经营秩序更为混乱、员工职务行为更为随意，企业的法律风险也随之而被放大。

制度执行能力薄弱与制度不系统、不完整有着同样的后果，都会由于具体员工不当的作为或不当的不作为而使企业陷入法律风险事件之中，从而构成企业通常都会或多或少存在的法律风险。在这一点上，无论是企业因此而承担民事责任、受到行政处罚、单方权益丧失甚至构成单位犯罪均有案可查，而且屡见不鲜。因此法律风险管理项目不得不审视企业的管理制度、执行力。

（三）法律风险与企业法务管理

企业家的主要精力必然是放在经营活动之中。相对于通过法律事务处理减少损失或维护权益而言，他们更为擅长的是通过发现商机、抓住机遇而经营获利。因而许多企业对于一般的法律事务处理要么随大流、形式主义，要么通过自行协商，用省略法律专业人士参与的方式提高效率、减少工作量。以这种方式解决法律问题往往效率更高而且应用面很广，但却往往因为他们缺乏这方面的专业知识与能力使得法律问题的处理缺乏最为简单有效的保护措施。

企业的营利需要成本投入，法律事务处理的成本也是其中之一。企业不为法律风险防控支出成本，就会为处理法律风险事件而支出成本。由于企业往往将律师的作用理解为法律风险的事后控制，无论其管理制度还是工作流程、各类合同文本方面都基本处于对法律风险不设防的状态。如果企业在快速成长后仍旧处于这种状态，则其法律事务管理机制已经严重滞后。而越来越多的企业在快速成长后纷纷设立阵容强大的法律事务管理机构并广纳良才，也充分说明了企业法律事务管理方面的大势所趋，只是企业未必能够找到合适的非诉讼法律事务高级管理人选。

（四）法律风险与现实法律环境

正如前面所提到的，我国真正进行法律体系建设的时间并不算长，缺乏法律文化和历史经验的积淀，因而无论从立法水平还是立法技术方面都存在着法律规范自身内容不协调、相互关系不协调的情况，滞后于整个社会的发展需要。体现在法律风险管理的操作层面，某些领域的具体法律风险无法确切地识别，某些法律风险点的不利后果由于幅度较大而无法精确定位，使得某些法律问题存在着“无解”或“无穷多解”的现象，从客观上决定了法律风险的识别和管理不可能全部精确到位。

从执法情况来看，同样由于立法和监督方面存在的缺陷，某些执法部门并无法定的执法职责界限，而粗疏的法律规范条款以及过宽的执法处罚范围也使得对于同类法律风险事件的处理，既可以按最高的幅度严格执行，也可以仅是按照最低限度例行公事，甚至是完全的不作为。这也导致了许多企业不是从法律风险的角度去考虑问题、完善自己，而是利用这种不合理状况将法律风险管理应该解决的问题通过事后处理的方式加以解决。而对于法律风险识别而言，依据法律得出的结论很有可能与事实相反。

虽然这些环境因素有时会令人沮丧，但即使某些目标一时还无法实现，还是必须从现在开始脚踏实地地追求。罗马不是一天建成的，企业的法律风险管理也不可能一蹴而就，对于这类实践性的活动，没有经过实际操作就只能在外面徘徊。而那些利用执法体系缺陷处理法律风险事件的方法也不是企业经营的长久之计，因为在社会不断加快进步的大趋势下，执法环境也在不断的变化之中，任何现有状态都并不稳定，只有通过自身的完善解决相应的法律风险才是对企业和社会负责的做法。

（五）企业法律风险揭示的系统化与全面化

从目前的情况来看，企业并不缺乏零星的、点式的法律风险信息，甚至在其所属行业里对于特定法律风险的理解与控制比其他人更为“专业”。但企业往往由于自身能力和视角的局限性，无法系统、深入地发现问题，也往往无法以更为精细或便捷的方式解决法律风险。这一问题甚至在律师界也同样存在。经过多年的努力之后，许多律师已经成为专业化分工后某一法律领域的佼佼者，但更加“专业”的结果则是其他法律专业知识的淡化，而如何从系统、全面的角度看企业，则向来不是律师的强项，甚至被认为不属于律师的业务范围。

如果从更高的高度和更为长远的眼光去看待企业的法律风险，就会发现企业是个完整的系统，如果不能从系统的角度去识别、治理法律风险，则企业对于法律风险所设的防线将会不完整。从一些国外跨国企业的实际做法来看，他们所实现的正是法律事务管理与企业管理的有机结合并形成了企业的行为规范系统。这些规范体系的形成，是企业长期积累和不断自我完善的结果，也是法律风险管理可以达到而且应当达到的境界。

但对于尚属“年轻”的中国律师业而言，要系统地解决企业的法律风险问题、实施有效的法律风险管理，需要跨出法律专业，从企业管理的角度去理解企业这个系统。同时，还需要跨越法律的各学科，因为任何律师个人的专业知识都是有限的，往往需要一个团队才能系统地识别企业的法律风险并设计最为合适的解决方案。这是一个挑战，能够迎接这个挑战才能使中国律师业的服务水平和服务质量提高到一个全新的高度。

二、以专业化的方式分析及归纳

法律风险评估报告中离不开对于法律风险产生原因的分析，或是通过结论推导出排除或控制某种法律风险的具体方案。对于这类工作，法律人的“习惯”方式是通过经验判断和简单的推理加以完成。但事实上，管理学方面有着非常丰富的工具、手段可以用来弥补人们思维能力的不足或提高工作效率和工作成果的精密度。而且，由于是管理方面的通用方法，这也是法律风险管理中最容易被企业接受的“语言”。

（一）鱼骨图（Fishbone Diagram）^③

鱼骨图（Cause＆Effect/Fishbone Diagram）又称“鱼刺图”、“因果图”、“因果关系图”、“特性要因图”，最早用于生产运作中的质量管理，但现在已经被公认为分析问题、发现问题根本原因的有效工作方法。该图由日本管理大师石川馨先生发展出来，故又被称为“石川图”。

这种图的工作原理，是将某种现象或结果作为一种存在，并通过分析、调研等分别找出产生这一现象或这一结果的各种因素，并根据这些因素的相互关联性整理成层次分明、条理清楚的图形并标出各个重要因素。由于这种图形状如鱼骨，所以才被简称为鱼骨图。鱼骨图有整理问题型、原因分析型、对策分析型三种，最为常见的是后面两种。^④

1．原因分析型鱼骨图

这种鱼骨图的鱼头在右，代表需要分析的现象或结果，带箭头的水平横线被称为鱼脊。与鱼脊呈60度连接并“射向”鱼脊的斜线代表形成现象或结果的主要原因，代表这些主要原因的斜线构成图形中的大骨。构成主要原因的原因为子原因，属于构成大骨的中骨。如果还有原因可以构成子原因，则这类原因被称为孙原因，构成鱼骨图中的小骨。具体示例及解释见图4-1。

图4-1　原因分析型鱼骨图

在法律风险评估中，这类鱼骨图可作为一种辅助手段与实证研究相结合，用于法律风险的原因分析，相对系统、完整地分析产生法律风险的各层原因，为后续综合解决方案的设计明确目标、创造条件、提供线索。在实际操作中，需要在充分想象可能的所有原因之后，对初步想象的结果进行归纳、总结，找出其中层次和归属方面的关系，分别确定大骨、中骨和小骨。即使仅仅用这种图形表示评估报告中的文字结论，也会增加整个报告的可读性。

2．对策分析型鱼骨图

这种鱼骨图与前一种基本相同，在图形上的主要区别在于鱼头在左并代表问题的解决，与鱼脊呈60度连接并从鱼脊“射出”的斜线代表解决问题的主要方法，构成鱼骨图中的大骨。其他则与原因型鱼骨图相似，解法分成子解法、孙解法，线条分为中骨、小骨。

图4-2　对策分析型鱼骨图

在寻找解决方案时，使用这种图形可以分析出多种解决方案，以及每个解决方案中的多个关键问题，然后从中考虑单独或合并使用其中的几种方法解决问题。

鱼骨图的规范画法，要首先确定鱼头，也就是所要分析的结果、现象或是需要解决的问题。然后确定图中的各个大骨、大要因，然后再确定中骨、小骨，并标明中要因、小要因。按一般的规则，大骨与主骨（即鱼脊）成60度夹角、中骨与主骨平行。

在确定大骨时，企业管理中往往可以分为“人机料法环”（人员、机械、材料、方法、环境）或“人事时地物”五个大骨。而对于法律风险事件原因的分析，如果没有其他现成的分类方式，通常可以从法律规定、企业制度、行为模式、文本内容、事件证据几个角度去考虑，并顺势细分，从中细分出问题的原因。其中，每种要因要与其上一级要因存在直接、明确的因果关系，而且要尽可能穷尽现实中存在的可能性。

（二）流程图（Flow Charts）

流程图在具有一定管理水平的企业中被大量采用。通过流程图中特定的文本框、线条、箭头、文字注释，人们可以直观、轻松地了解完成某项工作的过程以及每项工作的具体内容，因而比单纯以文字描述的工作流程更加明了、易懂，能够显著地提高工作效率和工作质量。在企业管理实践中，流程图大多作为企业管理制度的缩略或细化延伸，与管理制度一起规范企业的各类行为、建立稳定的行为秩序。正是由于它简明易懂，因而在企业管理中很受欢迎而且执行率也高于纯文字描述的管理制度。

流程图反映了某一信息、物品的流转过程或某种行为的实施过程。这种过程往往分为不同的阶段，每个阶段需要做出不同的决策或完成不同工作。流程图在不同的行业中有不同的画法和特定符号及文本框，但在企业管理中及法律风险管理项目中则要简单得多。最常用的流程图元素有以下几种：

（1）六角形，表示准备作业，一般用于流程的开始；

（2）矩形，表示某一过程中的具体工作内容，内容在矩形中注明；

（3）菱形，表示需要选择，通常框内注明选择事项，框外注明是、否；

（4）椭圆形，表示流程的结束点；

（5）箭头，表示流程的流动方向。

如果将企业的各类运行内容看成一个完整的系统，流程图大多是这个系统中某一子系统中的运行模式，甚至只是子系统中某一具体工作环节的运行模式。它既是企业规章制度的延伸，为保障企业运行的有序性和效率提供保障，也使员工易于理解和执行。例如，图4-3即为某公司广告宣传活动的实施流程。

图4-3　广告宣传活动流程图

由于流程图中的整个流动方向不可逆，工作内容明确，选择项只能围绕需要决策的内容以“是”、“否”作为判断下一步工作内容的标准，如果没有清晰的思路就画不出合格的流程图。例如，有的“流程图”没有开始与结束，有的工作事项不明确令人无所适从，有的判断项无法将问题结果以“是”和“否”分类从而产生了中间项等，这些问题的存在会使流程无法顺利执行，也使流程图上存在着重大缺陷。一份严谨的流程图应该涵盖了流程中所有可能发生的问题并设定了下一步如何处理，在执行流程时既不允许省略或偏离流程，也不允许自行变通，因此制作流程图的过程是个逻辑的过程和判断的过程，而根本不是将工作过程简单地加以图示。而在这一过程中，本身也可以发现大量的风险漏洞并通过流程加以修正。当某一工作过程无法画出明确的流程图时，也说明该项工作的内容和程序处于“混沌”状态，至少是企业管理者还没有对其整理出清晰的思路，因而也就不适合将这类工作交由普通员工去完成，工作质量和工作次序也没有办法保障。

在法律风险评估工作中，流程中的法律风险是需要识别的重要内容之一，而法律风险管理解决方案的设计也大量需要从流程的角度加以考虑，因此流程图是法律风险管理过程中必不可少的工作内容。许多企业由于尚未达到精细化管理的程度，在识别法律风险过程中往往还需要根据调查绘制出其实际的流程图，并依此判断评估企业流程中所存在的法律风险。而且，一旦某一具体工作环节以流程图的方式加以体现，个中利弊就会一目了然。

例如，通过对某大型珠宝企业的采购流程进行法律风险评估，发现其形成订单的流程非常完善，但从收到实物开始流程变得紊乱。主要有以下几点问题：

（1）缺乏供应商选择流程，未充分利用企业优势控制上游企业的合同履行质量；

（2）多种配送方式混在一起，没有针对不同风险设定配送方式选择项；

（3）部分配送交接环节不清晰，出现问题后难以确定原因及责任方；

（4）未确定自检及送检的判断标准及工作内容，货品质量控制未能体现；

（5）不合格品的交接及处理流程不清晰，主观随意性强；

（6）未充分利用采购量优势制作标准采购合同，不利于提高效率及交易安全度。

这些问题大多是企业管理问题，但与法律风险的关系相当密切。这些问题中有的属于企业内部风险控制措施是否到位的问题，有的是证明法律风险事件责任方的证据和责任界限问题，而通过标准合同文本控制合同法律风险则更是重中之重。如果企业已经能够在交易中拥有足够的强势地位，未充分利用这种地位而使用经过量身定做的专用合同文本，属于资源的极大浪费。

三、以专业化的方式表述

当向企业提供经过统计、评估的数据时，对于企业情况的描述如果仅以文字、数字表述并不为过，因为这是沿用了多年的方法，人们普遍能够接受。但这种表述方式毕竟有些过于“传统”，而且人们阅读枯燥乏味的表格、数据时非常容易疲劳。如果能够改换成一些相对活泼、形象的表示方式，比如以图、表的方式表述，则同样的数据就会更具可读性和趣味性。尤其是那些可以形象表现数字间关系的几何图形，在精确表示原始数据的同时，其直观、生动的表示方式还可以活跃整个版面的气氛，并使统计结果显得更为“专业”。

表4-11　常见应收账款原因分类统计表

表4-11即为最常见的统计表，该表的数据来自前一节的示范内容。这种图表的特点是简捷、工事，但过于枯燥、平淡，使用更为新颖一些的图表则可以克服这一缺陷。改用其他图表表述评估报告中的数据与评估本身的质量没有关系，但可以大大提高报告的表述质量，使内容优异的报告以优异的方式体现出来，提高报告的外在“质量感”。其中的几种非常适用于评估报告之中。

（一）直方图（Histogram）

直方图又称柱状图、质量分布图，是当今社会大量用于表示数据状态的几何图表，甚至可以说它是目前应用最广的图形。使用直方图表示数据，可以将一组枯燥乏味的数据按一定的组距为底边、并用立柱的高低以同比例表示各数据的大小，从而形成一组直方型矩形数据图。以直方图表示上表中的相同数据时，形成的图表如图4-4所示：

图4-4　应收账款原因分类直方图

以这种形式表示数据及数据间的关系，可以最直观地表现数据间的差异及问题的分布情况，便于发现数据分布方面的客观规律以及根据单纯的数字难以发现的其他问题。从上图的问题分布来看，导致逾期应收款的起因集中分布在产品质量方面和售后对于应收款的管理方面，这就为后期的管理工作改进直观地指示出了突出的目标。

而且从技术上看，制作直方图时只要注意底边的组距和以高度表示的频数即可，许多文字处理软件都会支持这一功能甚至可以直接通过原始图表中的数据直接转换生成。而在具体制作过程中，直方图中的许多内容可以自行确定增加或减少以及用何种形式加以表述。如果是以PPT的方式展示评估结果，并使用彩色的图表，则会更加吸引注意力并活跃版面。从应用上看，直方图其实还有许多其他用法，但在法律风险评估过程及评估报告中，它大多只是用于直观地展示一组数据并反映该组数据间的关系，因此不再过多介绍。

（二）圆饼图（Pie Chart）

圆饼图也称馅饼图、饼图，主要用途是直观地表示一组数据在总数据中所点的份额或比例，可以起立的形式体现也可以倾斜的方式体现。它将一组相加之和为100％的数据视为一张圆饼，并按比例将不同数据所代表的百分比，从共同的圆心起分割成不同的扇形，并用图例加数据的方式标明不同扇形所代表的不同百分比。

这种图本身在管理学上并无特别意义，只是以这种方式表述一组数据资料的内部构成时，所表述内容的大致情况可以非常直观地展现出来，便于对整组数据进行直观判断。由于圆饼图可以使人们直接根据圆中各个扇形面积的大小判断某个数据在总和之中所占比例，可以使版面显得生动、易读，远比原始的表格易懂、易读。但一般的图表也并非一无是处，因为它能以非常整齐的排列使各类数据以“简朴”的方式展现出来。

图4-5　应收账款原因分类圆饼图（1）

图4-5以分裂的饼图展示了与前面相同的数据。这种饼图完全打破了传统，使各数据的份额以较为生动的方式得以体现。但正如该图所表现出来的，当项目过多时，该图会显得比较琐碎，阅读时并不显得方便。

图4-6则是饼图比较常见、“标准”的表示方式。由于增加了图例并以平面的形式表示数据间的关系，这种图形比前一种更为直观、生动，如果以彩色的方式加以体现，其视觉效果会更佳。

图4-6　应收账款原因分类圆饼图（2）

（三）组织结构图（Org Chart）

组织结构图是一种树状的用于表示企业的治理结构等内容的图表。它通过图表中各组成部分之间在层级等方面的关系，直观而且简洁明了地展示企业内部的等级关系，以及管理人员或管理部门在权力及职责、机构功能方面的关系。组织结构关系到企业的组织能力，以及对人、财、物最大化加以利用的能力，以这种方式体现企业的组织结构，有助于人们便捷地了解和认识企业。

表面上看，组织结构图与法律风险管理毫无关系。但法律风险管理项目从工作计划的安排、法律风险的识别到解决方案的制定，都需要与企业的组织结构打交道。如果能以直观的方式表现企业的管理机构设置、职权分工及功能划分关系，可以大大提高整个过程中的工作效率。而且，同流程图一样，一个企业如果无法画出规范的组织结构图，往往意味着在管理机构的设置、工作职能划分、机构功能安排等方面存在边界上的模糊，并由于管理秩序不稳定而产生各种风险，包括法律风险。因此，有无明确的组织结构设置是企业是否走出人治阶段的标志，而有无标准的组织结构图则可以衡量企业管理的精细化程度。组织结构图既是一种表述企业结构的方式，也是一种法律风险管理项目实施中的工作方法。

大多数的法律工作者只会想到组织结构是一种职能分工或权力分配，许多企业也是如此。许多企业运营多年后仍旧没有清晰的组织结构图，因为其组织结构处于不断的变化之中，而且许多界限连企业自己也从未认真想过。而在那些有着明确的组织结构图的企业中，往往也存在着实际的组织结构与图上结构不符的情况。而从管理学的角度来看，组织结构问题往往是企业拥有者或最高管理者最为重要的工作内容之一，因为无论采用何种管理结构都会涉及企业的发展战略、工作效率、管理人员的工作能力等诸多问题，只能根据企业的目前需要而基于目标、管理能力、管理功能、主营业务、地域等以权益的方式划分，甚至组织结构的变化往往意味着发展战略的变化。

正是因为组织结构图可以直观地透露出许多潜在的信息，因此法律风险管理项目离不开对于组织结构图的研读。至少从功能上来看，如果一个企业没有足够强有力的法律事务管理部门，或者是虽有这类部门但没有足够的功能和职权，法律风险管理便很难开展。而对于那些没有组织结构图的企业，往往也需要将组织结构及其功能、职责的识别，以及组织结构图的制作当成重要的工作环节。特别是对于那些大型、综合性的企业集团，如果其组织结构上存在问题，包括法律风险管理在内的任何风险管理都很难有效地实施。

例如，某集团公司的组织结构图及实际组织结构如下：

图4-7　某集团公司组织结构图

在根据实际情况修正了该集团公司先前提供的组织结构图后，终于得到了这个实际的结构图，使得整个法律风险识别过程的具体工作对象和工作内容得以顺利安排和进行。同时，也基于这个基本结构得出初步的结论，并在整个识别过程中得以印证和纠正，对评估该集团的法律风险很有帮助。

第六节　法律风险评估的报告与提交

提交法律风险评估报告意味着法律风险的识别、评估两项工作的结束，同时它也是下一步工作的基础。因此，作为这两个阶段工作成果的集中体现，评估报告应当以专业的程序和内容向企业描述通过项目所获得的企业法律风险状况、评述法律风险的严重程度、解释这些法律风险点不加处理可能引起的不利后果。

大多数企业都想详细地了解自己的法律风险状况和原因、后果，如果没有具体的描述、评述和解释，即便是律师也未必能够判断结论是否合理、合法，何况对法律外行的企业。因此，评估报告既不是对法律风险的简单列举也不是提供给企业的“法律汇编”，而是对法律风险状况所给予的专业、全面的描述。

一、拟定评估报告的原则

某些法律风险评估报告只是一份简单罗列了法律风险点的清单，甚至连法律风险点的列举也不全面，更没有对于法律风险的评述。这样提交工作成果固然简单，但除非企业另有要求，否则这样提供工作成果既不利于企业全面了解所处的法律风险状况，也不利于避免因工作疏忽而给自己带来的法律风险。

拟定评估报告的原则与提交法律风险清单时的原则基本一致，只是在这一阶段的工作内容及侧重点有所变化。清单只表示了经过主观努力而调查出的客观结果，它描述的只是一种存在，很少有主观成分。而评估报告中无论是“评”还是“估”，都是主观标准下的判断结果，需要更多的说明才能说明实际状况并避免误导当事人。

（一）围绕要求原则

在前面的章节中已经再三强调，对企业进行法律风险的识别、评估、解决方案设计都必须依据企业的工作目标。而评估报告则必须按照企业目标回答问题，清晰、明确地描述企业的法律风险状态，以及这些现象继续存在所可能产生的不利后果、这些现象所隐含的问题等，并围绕这些要求而展开内容。

例如，某企业仅要求对业务受理流程进行法律风险评估。在调查中发现，许多问题虽然在业务受理过程中产生，但其根本原因并非出在流程方面，而是出于业务方案设计、业务文本设计等方面，还有一些纯粹是管理方面对于问题考虑不周造成的。但从企业的评估目的来看，评估的目的是通过对业务受理流程的优化尽可能多地避免法律风险，因此这些内容均应在调查及评估中提及。

还有一些企业由于内部存在协调不利、缺乏议事规则等问题，对于评估的重点或具体内容无法达成一致意见，而律师在工作中遇到这类问题也非常麻烦。在这种情况下，需要核对原始合同中对于工作内容的约定，以及工作过程中来自企业并足以代表企业的工作指令。如果这些都不足以判断企业的具体需求，最终只能以哪一方能够代表企业为准，而企业的法定代表人及在法律风险管理项目服务合同中注明的授权联系人则最能代表企业。

某些评估报告在撰写过程中增加了许多关联度差的内容，虽然使得篇幅较大而看上去更加“专业”，但从整体上看会使报告的内容显得松松垮垮，次要内容甚至无关内容喧宾夺主。其实，企业的法律风险有许多内容可以挖掘和描述，不必为了篇幅而打“太极拳”。正如一句英语谚语所说的那样，当别人问你时间时，没必要告诉别人如何造手表。

（二）宁“滥”毋缺原则

这一原则在上一章中已经提及。在识别法律风险点时，经常会遇到某一法律风险就企业目前的业务内容及业务模式而言发生问题的可能性极低的情况。甚至只要企业目前的业务内容及业务模式、管理模式不发生变化，连发生这一法律风险的可能性都根本不存在。遇到这种情况，应根据这一原则保留相应问题。

简单地说，宁“滥”毋缺也就是宁可将一个根本不可能发生的法律风险点摆在那里被人遗忘，也不要在将来的某个时间发生一起目前清单中没有提及的法律风险事件。因此，对于前一种情况，只要可能性存在就应该将其列为法律风险点。否则一旦这一法律风险点将来出现了事件，就属于法律风险点识别不全，属于工作上的失误。而对于后一种情况，由于企业及社会环境都始终处于变化之中，谁都无法保证企业的业务内容和业务模式、管理模式、管理人员发生变化，因此仍应将相应法律风险点列入清单，只是可以通过辅以说明或分类的方式，说明该类法律风险目前尚不存在。对于这类问题，宁可听任其“滥”而加以保留，也尽量不要因为目前不存在而加以省略并造成“缺”。

（三）客观公正原则

这个原则同前一章所介绍的一样，就是法律风险点是否存在的依据、判断法律风险点性质的依据都必须客观、没有主观色彩。虽然评估本身是主观思维活动的结果，但至少要确保评估所用的方法、公式等标准一致，以便得出的结果相对公正和相对客观。

在这一问题上，挑战可能会来自对于评估值的修正，因为修正的过程既是对评估结果进行优化的过程，也是“破坏”评估结论客观公正性的过程。但这一过程实际是为了克服对众多法律风险点以统一的标准进行衡量时所引起的偏差，因为不可能对众多的法律风险点一一加以衡量，只能在批量处理后纠正个别特别不合理的现象。而且就目前人类的分析能力和技术水平而言，面对大量存在而且属性各异的数据，即使使用逻辑的方式一一处理也根本无法实现，除了用赋值和定量分析的方法外别无他法。

（四）谨慎表述原则

谨慎对待文字表述是法律工作中对于所有法律文书的基本原则，也是从事法律工作的基本功之一。体现在法律风险评估报告方面，一是要对所表述的内容保持谨慎，二是要对表述的方式保持谨慎。前者解决表述哪些内容、不表述哪些内容的问题，后者解决对于需要表述的内容应该以何种方式表述的问题。

在针对企业开展尽职调查过程中，不可避免地要接触到企业中存在的人际关系和切身利益问题。几乎没有哪个企业愿意将自己的问题全部暴露给上级企业，各具体部门或具体职位的员工也不愿意轻易将存在的问题“曝光”，因为任何问题的存在都有可能是自己企业、自己部门、自己负责范围内的工作失职。而某些企业的部门之间、人与人之间也有可能相互存在某些看法，甚至这些看法针锋相对、莫衷一是。而法律风险尽职调查不仅威胁到他们的切身利益，又是一种对于他们正常工作秩序的“打扰”，过多地暴露问题既要花费时间与精力也有可能导致“言多必失”或上级的“秋后算账”。因此，对于来自访谈结果的内容大多需要进行客观性分析，如果没有其他的客观证据相辅助，对于那些可能回避部门之间的矛盾或造成人际关系矛盾的内容，不应在报告中表述。

而对于那些需要在报告中表述的内容，则要注意表述的方法，避免企业对于报告的抵触，也避免导致上下级关系的紧张或上级对下级的处罚。法律风险评估这类针对企业的“诊断报告”，每个法律风险的存在往往都可以归责于具体管理人员或企业家，而不像医院给患者出具的诊断报告那样无法归责。企业家花钱是为了了解自己面临的法律风险的实际情况，而不是为了找人对自己的过去和现在指手画脚，而具体的业务部门则更是很难容忍凭空飞来的指责。因此，在表述中需要注意商业礼仪，以平和的对于现状的客观描述代替生硬的归责，既是严谨地表述存在的状况，也为后续的工作留下配合的余地。企业能够发展到一定的规模本身说明其具有一定的生命力和优势，即使存在诸多法律风险也并非一无是处。何况法律风险点的多少与企业的经营行为及所处的法律环境关系更大，仅凭法律风险点的多寡并不说明企业管理水平的高低。

具体来说，如果要表述哪一方应对企业的现状负责，尽可能将责任归给企业的最高层而不是下层，对于部门情况的描述则应只描述现象，其具体成因及责任归属则由企业或相关部门自行解决。

例如，得出企业部门“内部管理规章制度不健全”的结论非常生硬，而表述为“内部管理规章制度的系统化和深化不足”则比较容易令人接受。前者属于没有实施有效的管理，后者则表示已在努力之中。而且，管理制度的系统化和深化有时仅凭各部门的自身能力无法实现，而这并非部门的责任。如果再进一步将上一现象的原因归责为“系由企业对各部门内部管理规章制度系统化和深化无明确要求所致”，则上下级双方大多更容易接受。

（五）合理说明原则

由于法律风险评估的涉及面广，牵涉到错综复杂的各种关系、界限，如果不进行说明非常容易引起企业的误解，轻则引起项目合作双方的不快，重则给企业造成损失。因此，对于所提交的报告需要辅以大量的说明或声明，以划定报告在内容、时间、责任等方面的界限，不仅使企业明白报告只是在特定时间范围点、特定法律环境、特定工作范围内以特定方式进行评估而得出的结果，也使律师避免因表述上没有为自己的责任划定边界而引起法律风险。

在提交成果时履行告知义务既是《合同法》所规定的附随义务，也是律师基本职业操守所决定的职责。履行了这一义务，既是对企业利益的保护，也是控制执业法律风险的需要。尤其是要提醒企业，“在阅读本报告中如发现与实际情况不符或存在遗漏，请及时通知以便补正或调整”，以提高报告的准确性并提高律师工作的“安全系数”。评估报告中涉及说明、告知方面的内容较多，具体将在本节的下部分详细提及。

二、评估报告中的应有内容

法律风险评估报告是完整的法律风险实施项目的一个重要里程碑，对于那些涉及面较窄的法律风险评估，提交评估报告往往意味着项目的结束。而对于需要通过后续的复杂设计工作提供解决方案的项目来说，它是所有后续工作的基础。其实无论是面对的哪一种情况，评估报告的内容及质量标准相差不多。也就是需要说明做了什么、发现了什么问题、问题的起因是什么、问题的解决方案大致有哪些。当然，评估报告只是提及方向性的解决方案，并不提及细节，因此也还没有直接的可执行性。

向企业提交的法律风险评估报告，无论是内容还是形式都要“专业”而不能显得“业余”。这里所说的内容，不仅包括收集、统计、评价的信息，还包括应有的声明、提醒、说明等内容。而这里所说的形式，不仅是工作成果的外在体现形式及介质，还包括递交的方式等。其中的内容部分与提交法律风险清单时有些相似，许多方面可以借鉴。除了评估报告的主体部分以外，还有许多内容可以加入以使报告更为严谨。

（一）评估报告目录

全面评估企业法律风险状况的报告一般篇幅都比较长，即使数万字也很平常，而阅读评估报告有时又需要反复核对相关的内容。因此，为了便于阅读和查阅，详细的内容目录必不可少。不仅要有详细的、包括较多层级内容的目录，还要有详细的页码。

（二）律师责任声明

法律服务的性质，是在特定的时间界限内，依据特定的法律环境解决特定当事人的特定法律问题。在专项的法律服务中，律师涉及的法律范畴是特定的、依据是充足的，不太需要申明工作的范围界限。但法律风险管理属于综合性、全视角的法律服务，涉及的法律规范错综复杂，信息来源也非常复杂，而且都要自己去发现和判断。因此，需要以适当的篇幅强调律师得出评估结论所依据的法律规范和信息来源，以避免责任过大。

这部分内容既包括了律师常用的一些责任范围声明，也包括了一些具体的、有针对性的声明，以划定责任范围。例如，某评估报告中特别申明：“本报告对贵公司情况的判断来源于贵公司所提供的书面资料以及贵公司人员在受谈时提供的口述记录做出，本所律师不负责对上述信息的真实性进行调查核实。”

（三）报告内容说明

这类说明是为了表明本项目的工作范围和责任范围，其目的也是为了缩小律师需要负责的工作范围，减少不必要的误解。由于法律风险评估项目的涉及面大，如果对工作范围不加说明，那些没有调查或没有结论的部分，很容易被人误解为是律师工作疏忽所造成的遗漏。

例如，企业的纳税情况在大多数企业中都属于敏感信息，有些项目为了减少企业的忧虑而将这一部分排除在工作范围之外。这类情况即使在双方的项目合作合同中已经明确规定，在评估报告中也应当加以说明。而工作过程中如果有来自企业的具体指令，只要这些指令涉及工作范围或工作侧重的方向，也应在报告中加以说明，以便说明工作结果并非律师的主观臆断而是出于企业的具体工作批示，从而避免承担不必要的指责，也避免自己的责任范围过大。

评估报告中的内容说明与律师声明一样，同属于实施项目过程中律师对于可能给自身带来的风险所进行的风险控制。

（四）工作情况描述

这部分内容主要包括在项目过程中主要开展了哪些工作以及大致的工作过程，其内容要求及表述方式与律师向当事人提交账单时所要做的一样。

其中，工作内容方面应当描述一个工作所花费的时间、收集的资料的数量、进行访谈的数量等内容，表明整个工作过程的勤勉尽责，也表明通过这一系列的工作内容和工作程序所得出的结论货真价实，完全是基于客观的资料和严谨的工作方法，而不是出于主观杜撰。

（五）企业法律风险现状描述

这部分内容是对企业法律风险状况的描述。通常情况下，对于企业进行全面的法律风险评估时，需要将企业的法律风险归类，并依据不同的类别去描述企业的法律风险。如果从企业法律风险的大类去区分，一般的企业都会存在支付货币而取得产品、财产、服务类的采购行为，以及通过提供服务、转移财产、出售产品而获取货币的销售行为，以及为实现交易而制造产品或提供服务的过程所要承担的法律义务，同时还有大量的辅助性行为也同样存在法律风险。

按照这些大类或按其他方式均无不可，但必须使整个企业的法律风险分别归入不同的类别，系统地描述、深入地提示企业的法律风险状况。这一部分内容只是对企业所存在的现象的大致描述，尚不属于评估结论。

（六）法律风险点描述

这部分内容是通过识别及校正所发现的企业所有法律风险点的清单，这类清单一般都是在提供法律风险评估结果时提交给企业。也有的企业会要求在识别工作完成后先提交相应的清单，但识别后的清单往往只是“半成品”，只有经过评估、校正并排序后的清单才是能够说明各种风险严重程度的正式品。

这类清单是对企业各类法律风险点的和盘托出，但并不提供对各个法律风险点的评估结果，只是清单而已。

（七）法律风险的评价方法

在评估报告中说明评估方法既是一种履行说明义务的标准工作内容，也是界定责任的一种方式。评估结论在某种意义上是一种针对企业法律风险状况的“鉴定报告”，因此也就需要采取同样的思路，在报告中说明评估所依据的标准和方法，使企业明白结论是由何而来。没有任何说明而凭空“降落”的结论难免使人生疑，而且这样的结论也很容易在企业不明其所以然的情况下造成应对措施的失误甚至造成损失。

说明评价方法还有一个好处，就是便于解释某些结论为何看上去“荒谬”，同时如果来自某方的质疑确有道理，可以及时修正以避免误导企业。由于法律风险评估是按统一的标准和公式进行的，因此即使通过人工修正仍旧会存在某些具体问题上的“荒谬”现象。但这并不说明整个结论的荒谬，只要是以统一的评价标准和公式进行评估，以目前人类的智慧，很难有十全十美的结论。

（八）法律风险的评估结论

这部分内容最为引人关注，因为大多数人对于前面的过程、计算公式只是想看看而已，而对于评估报告则是他们能够理解和判断的内容。甚至某些企业的口号就是“一切看结果”，他们对于整个过程并没有多少兴趣或者已经有了充分了解，只是想通过评估报告看一下法律风险点的总的情况及排列情况如何，以确定哪些是较为重要的法律风险，以及下一步制定应对方案的目标及总体思路。

这部分内容一般包括评估后的法律风险排序情况、对评估及排序结果的解读，以及基于评估结论的综合性总体评述、对下一步工作的初步安排等。而在提交报告之前及提交的报告中，特别需要建议企业对于评估报告加以确认，如有问题可以及时补正。

三、评估报告的结构与内容组织

法律风险评估工作集各个不同门类的法律专业知识及律师执业经验之大成，兼跨法律及管理两个领域，以至于报告中的内容成分复杂，需要通过合理的结构和合理的内容安排去降低阅读和理解方面的难度。

（一）评估报告的结构体系

结构体系是评估报告的思路主线，它在法律风险评估报告中的具体体现是评估报告的目录。二者之间可以交互作用，既可以通过目录去设计整个报告的结构，也可以通过内容结构归纳出报告的目录。因此，目录既是作者对于内容分类、归纳以及内容安排能力的体现，也是整个报告以人为本程度的体现。

1．对结构体系的理解

虽然报告中提及不同层面、不同领域的主题，但报告毕竟应该是个完整的主体，需要将其当成一个完整的系统看待。报告的内容既不能遗漏也不能重复，但许多法律风险点同时存在于不同的部门法之中，而且会在企业的不同部分同时涉及，如何组织这些内容有时本身也会是个难题。

如果将报告或任何文章都看成一个完整的、功能齐全的系统，整个系统有规律地分为不同的组成部分，每个组成部分内部又分为更细的、有着层级关系和次序关系的组成部分，从大到小的各个组成部分之间功能互补、层级明确、顺序合理。这种建立在逻辑关系之上并有机结合在一起的各组成部分之间的关系，就是文章的结构体系。通过不同层级的标题将这种关系表述出来，就形成了目录。而目录也不仅仅是个简单的检索工具，通过目录可以直接判断出报告在内容划分、章节顺序、层级设计上是否合理，特别是能够从更高的层面上发现存在的内容重复或遗漏。

人们在阅读报告时，人的注意能力、瞬间记忆能力、理解能力和阅读时间都是有限的。为了克服这些有限性，就需要将评估报告的内容按照主题分成若干个组成部分并分别表述。而最令人深恶痛绝的评估报告，莫过于那些根本不按功能或内容划分章节、不考虑内容的层级及顺序，只是一味地按数字编号顺序排列和表述的报告。对于此类报告，即使通读了全文，很有可能仍旧对企业的法律风险状况没有整体印象，最后的结果是只见树木、不见森林。

由于对企业进行法律风险评估既涉及其历史遗留问题又涉及现实存在的问题，而且同时包括了总体情况及具体情况，这就决定了对企业进行全面法律风险评估的报告的划分，必然是既有按时间轴划分又有按空间轴划分的。而评估报告中的内容也分为不同类别，不按照层级及顺序等关系而只是简单地将不同的内容按照数字序号串联起来，割裂了企业作为一个系统的特征，也割裂了企业法律风险的系统化特征。而且，这种做法更不便于各个具体管理部门根据报告内容改进本部门的法律风险管理工作。

2．设计结构时的注意事项

从实践经验来看，要想使评估报告看起来有章法，在设计评估报告的结构时需要注意以下两点：

首先需要遵循的是内容无关性原则，也就是尽可能做到对某类或某个法律风险只在一个具体的分类中提及，尽可能避免同一问题在不同部分反复出现，以避免因内容重复而占用大量的篇幅，也可以避免因反复提及且提法上出现差异而导致的冲突。

其次是在安排报告结构时，充分考虑到历史问题与现实问题、总体问题与具体问题，将法律风险划成几个大类并按前面提到的无关性原则划出其不同分支，再充分考虑每类法律风险的不同层级关系、重要程度、因果关系等来设定其层级和顺序。

例如，某特定零售企业由于涉及面较窄，其法律风险评估报告为了分述不同的内容在正文部分采用了以下的结构（细分内容略）：

第一部分　企业法律风险管理的总体状况

一、企业发展过程及法律风险

二、企业现行组织机构与法律风

三、企业制度化管理的法律风险

四、企业的决策模式与法律风险

第二部分　企业存在的各类法律风险

一、资产及财务管理

二、人力资源管理

三、采购及物流管理

四、分销渠道管理

五、营销及客服管理

六、综合行政管理

七、企业发展与战略管理

第三部分　对企业法律风险的综合评估

一、综合评估的依据与方法

二、综合评估结果及排序

三、对评估结果的总体评述

由于篇幅关系，许多下级目录不再展开。该目录的设计完全参照了企业的管理结构，便于企业以“分进合击”的方式改进法律风险管理。部分类型的法律风险则由于影响不大而被置于下一级的目录中。

（二）评估报告的内容组织

对于评估报告，如果企业只是要求评估某一个专项的法律风险，法律风险评估报告的提交就意味着项目的结束。如果法律风险管理项目不仅要求提供评估报告还要求完成后续解决方案设计，则评估报告只是对企业法律风险状况的描述与评价，同样无需提供相关的解决方案。这一点如同医院一样，诊断结论只是描述诊断的结果，至多简单提供相关原因和可能的不利后果，但并不提及治疗方案。

之所以在报告中仅描述和评价而不提解决方案，一方面是由于企业法律风险的情况和企业的情况都比较复杂，除非是针对轻而易举就能解决的问题或是企业非常容易纠正的低级错误，否则，把解决方案放在评估报告当中会使内容难以很好地组织；二是这份报告需要得到企业的认可甚至补正才能开展下一阶段的工作，否则后续工作是在无的放矢或做无用功；三是有些问题可以发现、可以评价，但却一时找不出好的解决方案，只能听任其继续存在。因此，报告中的内容只是对以往情况的描述和评价，可以简单、零散地提供某些小问题的处理，但并不提供全面、具体的解决方案。

在内容组织上，法律风险评估需要兼顾法律事务处理与企业管理两个专业方面，前者为主、后者为辅。报告中涉及的企业管理内容虽然会令法律专业人员力不从心，但对企业谈管理更容易被企业接受。而其中的法律问题也大可不必引经据典，因为评估报告毕竟不是法律调研，只要依据现有法律得出结论即可。

在内容难度上，由于报告的阅读量大、阅读难度高，需要通过目录、排版等方式提高阅读的便利性，以确保表述的专业准确性之余，应当便于企业读懂，使企业的法律风险从虚无缥缈状态落实到可以感受、可以理解和评判的程度，才能得到企业的认可。那种枯燥、专业的法律语言尽量用在声明和说明部分，正文部分无需大量使用。

四、工作成果的补正与提交

对于最终完成的评估报告可以直接提交，也可以用预提交的方式提交，以便在征求意见并补正后再提交正式版。如果评估报告需要补正，则一定要收回旧有文本并使新的文本与旧的文本、新的电脑文档与旧的电脑文档存在易于识别的明显特征，否则文本的混乱将会给后续工作带来无穷的麻烦，也会造成企业对于法律风险评估结论的混淆。

但无论用哪一种方式，都必须提交经过认真的校对和排版的正式版，而不能将工作初稿提交企业去“批改”。只要是向企业提交的报告，无论是中间文本还是最终文本，都代表着律师的工作态度和工作质量，必须以最高的质量形象展现在企业面前。不仅不能存在重大的遗漏和错误，甚至连微小的低级错误也不应存在。否则，未能系统、深入地披露风险是律师的工作能力存在问题，而多处出现低级错误又是律师的工作态度存在问题，无论哪一方面存在问题都会影响到企业对于律师的信任。因此，无论何时，律师向企业提交的只能是经过认真校对的“正品”。这一点也许无法从根本上做到，但必须按这一要求去工作，否则就有可能带来更多的问题。

而在向企业提交工作成果的时候，还必须注意由谁接收或交给谁的问题。毫无疑问，在没有特别约定的情况下，对外代表企业的法定代表人是理所当然的接收人，合同中已经约定并已被授权接收文件的企业联系人也是当然的正式接收人，而其他企业人员即使是身居高位也并非理所当然的接收人。之所以要强调这个问题，因为企业的法律风险评估中往往带有许多企业不为人知的信息，如果评估报告涉及了企业的资产及纳税情况时更是如此。企业拥有者或企业高级管理人员不仅担忧这些信息被公众所知悉，甚至不愿让自己的员工知悉，以免带来不利影响。正是由于包含了大量的一经披露足以给企业造成重大不利影响的信息，法律风险评估的工作成果不仅只能交给有权接收的企业人员，在律师内部也必须加以控制，以防止内容扩散对企业造成不利影响。

注　释

①　参见《辞海》，上海辞书出版社1979年版。

②　参见MBA智库百科www.mbalib.com，层次分析法条目。

③　参见MBA智库百科www.mbalib.com，鱼骨图条目。

④　参见维基百科www.wikipedia.org，鱼骨图条目。