企业法律风险分类、分层管控模式研究

●吴　舟　卢冰洁

企业法律风险分类、分层管控模式研究

●吴舟卢冰洁

法律风险管理是指企业在对法律风险主体的自身目标、状况及其所处环境进行充分了解的基础上，围绕企业的总目标、结合企业及所处行业的特点、企业外部因素等，采取综合、系统的手段充分利用法律所赋予的权利，以事前控制为主，避免或降低企业法律风险不利后果的法律事务处理全过程。加强法律风险管理研究，既是电网企业作为中央企业保障国有资产保值增值应尽的职责，也是电力体制改革下确保电网企业实现稳定发展的必由之路。目前尽管电网企业系统内不少单位已经建立了风险管理的组织机构、运作机制，编制了法律风险数据库，针对业务环节进行风险识别，进行风险评估并提出了管控措施，但是，部分工作模式因未能与企业现状融合与对接，风险全过程管理机制未能常态化运作，法律风险管控的效果有待提升。为此，笔者结合电网企业现有的业务体系建设、企业工作计划管控模式和企业绩效考核方式，尝试建立法律风险分类、分层管控模式，以彻底解决风险管理流程与企业原有业务管控模式无法对接的问题。

表1 年度需要重点管控的法律风险清单

一、编制年度需要管控的法律风险清单，明确分层管控责任

法律风险管理专业小组成员于年初开展风险初始信息收集，对本专业管理领域风险的内、外部信息（包括历史数据和未来预测及上年度风险损失事件）进行材料的收集和整理。同时围绕本单位年度关键、核心指标和重点工作任务以及原有法律风险数据库，运用统一的风险评估标准梳理结合企业实际查找年度需要重点管控的风险，明确风险描述、风险层级、风险管控责任级别，编制年度需要重点管控的法律风险清单。（见表1）

二、制定风险管控措施，业务型措施植入作业标准，任务型措施列入管控计划

法律风险管理专业小组有针对性地制定管控措施，明确完成标志、办结期限、牵头部门、配合单位，判断措施属于业务型或是任务型。业务型风险管控措施需要通过制定、修改作业标准将风险管控措施植入作业标准，将风险管控措施固化至作业标准等规范性文档中。将不能植入作业标准的风险管控措施转换为年度管控计划进行跟踪和定期督办。

（一）业务型措施植入作业标准

笔者所在单位的作业标准分为业务指导书和作业指导书两种。业务指导书与作业指导书格式不相同，业务指导书是企业管理要求落地的重要保障，具有较为固定和统一的格式。业务指导书分为业务说明、适用范围、引用文件、术语和定义、管理要点、流程步骤与说明、附录等七个部分。在流程步骤与说明的表格中设置有涉及部门、角色/岗位、工作指引、风险点描述、输出信息等栏目。业务指导书明确了企业生产经营活动的管理要求，同时，业务指导书的格式设计也能够较好地体现风险管控要求。因此，可将业务型法律风险管控措施植入作业标准的侧重点放在业务指导书上，具体步骤如下：

1.编制风险植入清单

对法律风险数据库进行梳理，重新审视哪些风险管控措施可以植入作业标准，编制风险植入清单（见表2），结合作业标准修编进度组织各部门进行风险管控措施的植入。

表2 **部门法律风险清单

2.将法律风险信息与作业标准进行关联

法律风险管理专业小组将识别出来的风险信息与各专业的业务框架进行整合与对应，建立起包含业务框架（一级业务、二级业务、业务事项、业务流程、流程节点、涉及的法律法规、规范性文件、作业表单）和风险信息（风险名称、风险层级、管控要求）和作业标准一一对应的风险清单，搭建起风险点、风险管控要求与作业标准映射关系，形成各业务领域的《业务流程中需植入的法律风险清单》，方便作业标准编制人员进行风险植入。（见表3）

表3 风险信息与作业标准进行关联的法律风险清单

3.将风险管控措施植入作业标准

根据风险融入清单及识别结果，各部门将各风险点及管控措施植入作业标准，主要有四种植入方法，各部门可根据实际业务需要决定各风险点和管控措施的融入方式。

（1）在业务指导书的管理要点部分详细描述风险管控措施。业务指导书管理要点的编写要求如下：一是说明对该业务事项的管理目标和管理要求。二是写明识别出可能引起的变化风险类别、变化风险的管控措施、回顾要求等具体方法。三是纠正与预防管理的融入，对管辖业务执行过程发现的不符合项提出管理要求，并在作业标准中明确不符合项的识别、措施制定、实施及跟踪等要求，实现业务闭环管控。如上描述，管理要点是管理要求的体现，可以体现管控措施。例如针对“工程项目可研阶段未充分开展实地调研，对可能影响工程建设的因素考虑不周，导致工程在实际推进的过程中受各种因素阻碍”的风险，其管控措施可根据风险数据库相关内容、结合实际管控需要进行撰写成“工程建设单位每月5日前向系统运行部门报送下一月度新设备的启动投产计划，系统运行部门相应制定月度并网计划，在月度运行方式中下达”。

（2）在流程图中独立设置一个流程节点，详细阐述风险及其具体管控要求，并在流程说明表内新增流程节点说明。例如：在《业务流程中需植入的法律风险清单》中找到《XX单位合同执行管理业务指导书》的合同跟踪流程，该流程存在“未按合同约定验收”的法律风险，但经查找发现“合同跟踪流程”中并没有单独的流程节点防控这一风险，只找到相似的流程节点——“编制履约要素表”。而“履约要素表”中并没有体现法律风险清单所列的法律风险管控措施。由于验收内容较为独立和重要，通过新增“验收”这一流程节点才能够较好地把控验收法律风险，则可以在本业务指导书或者在其他业务指导书中设置一个流程节点进行风险管控。（经笔者询问物资部门的工作人员，实际上验收已经在入库管理有所体现，与法律风险管控的要求是一致的）

（3）将风险点与流程节点对应，在流程说明表内的“风险点描述”栏填写具体的风险描述，在“工作指引”栏填写相应管控措施。为加强作业标准使用人员对所植入的风险和风险管控措施的理解，提高企业工作人员行为依从度，风险描述的模式建议统一为“原因+事项+结果”，例如名为“工程受阻建设风险”按照上述描述则明确为：“工程项目可研阶段未充分开展实地调研，对可能影响工程建设的因素考虑不周，导致工程在实际推进的过程中受各种因素阻碍”。

（4）将风险点与流程节点对应，在流程说明表内的“风险点描述”栏填写具体风险描述，将风险管控措施植入流程节点对应的作业表单中。如何将原定的风险管控措施植入该作业表单是难点，在实践中需要法律人员和业务人员共同商榷，植入的成果应考虑法律风险管控的实效性、法律风险管控措施的可操作性以及与业务管控措施的融合度。

（二）任务型措施列入管控计划

对于不能植入作业标准的风险管控措施，通过年度任务方式进行管控，明确完成标志、办结期限、牵头部门、配合部门等信息，将其纳入本单位年度工作计划进行管控和定期督办。（见表4）

三、对风险管控措施进行过程跟踪和监督评价，实现风险管控闭环管理

法律风险管理专业小组可结合企业制度执行评价体系，通过企业建立的制度执行监测点、制度执行检查等方式对已植入作业标准的风险管控措施落实情况进行跟踪评价。

对已列入年度计划的管控措施，各部门按照管控措施明确的时间节点开展法律风险治理。已经建立全面风险管理委员会议事机构的单位，其法律风险管理专业小组每季度收集本专业风险管控措施完成情况并向企业风险管理综合工作组汇报，企业风险管理综合工作组再定期向企业全面风险管理委员会汇报法律风险治理完成情况，并将风险治理完成情况通报企业风险管理监督部门（目前电网企业的风险监督管理部门是审计部）。通过风险管控措施责任部门自我监督、法律风险管理专业小组对风险管控措施责任部门实施情况进行过程跟踪管控，风险管理监督部门对风险管理工作及工作效果进行监督评价的三道监督防线实现法律风险治理效果管控。

表4 年度风险管控计划

风险管理监督部门对所有部门是否按照本单位全面风险管理委员会统一部署开展风险管理工作及工作效果进行监督评价，结合组织绩效检查对风险控制措施的落实情况进行评价，并将检查结果提交组织绩效考核部门运用至年度绩效考核。对于工作完成情况不佳的个人，则由法律风险管理专业小组的牵头部门（法律部门）采用个人通用考核方式在月度考核会议中提出考核建议，考核建议若通过，即可将考核结果提交至人力资源部门进行绩效运用。

对于未建立全面风险管理委员会议事机构和风险管理监督部门的单位，则可根据本单位实际情况重新设计风险管控措施完成情况的过程跟踪和监督评价流程，并结合单位实际参考本文列举的方式，将风险治理的完成情况纳入至本单位组织绩效和个人绩效考核中，真正实现本单位法律风险的闭环管控。

四、结语

自1980年我国一些学者将风险管理理论引入中国以来，不少企业已经认识到风险管理的重要性，并结合企业实际开展了各式各样的法律风险管理研究，试图通过法律风险管控加强法律管理对企业总体战略的支持，发挥法律工作的价值创造能力。法律风险分类、分层管控模式是对企业法律风险管理的有益研究。该模式明确业务型措施植入作业标准、任务型措施列入管控计划，实现与电网企业现有的业务体系建设、企业工作计划管控模式和企业绩效考核方式的衔接，解决了法律风险管理流程与企业原有业务管控模式无法对接的问题，成功将法律风险管理融入管理、切入业务、植入行为。该模式还充分发挥了全面风险管理委员会和法律风险管理专业小组、风险管理监督部门的职能，实现了风险管理决策机构、职能机构、执行机构和监督机构各司其职、各尽其责的良好运作态势。

（作者单位：南宁供电局）