GRC法律風險管理(簡化版)

GRC理論下的法律風險管理系統(tǒng)

第一部分：GRC的理論概論和實務應用

盡管GRC（Governance,RiskandComplianceManagement）的

概念在國內才剛剛興起，但其在國外已經(jīng)發(fā)展相當長時間。GRC以美

國安然、法國興業(yè)銀行等一系列反面教材為觸發(fā)點，以《薩班斯法案》

（Sarbanes-OxleyAct，簡稱SOX法案）為源泉，并貫穿到企業(yè)治

理、風險管理和合規(guī)經(jīng)營等各方面。隨著企業(yè)的發(fā)展，以整體管控、

戰(zhàn)略執(zhí)行為目標，實現(xiàn)企業(yè)管控、風險規(guī)避、戰(zhàn)略績效、業(yè)務流程

管理及包括質量、安全、環(huán)境等在內各種遵從管理，服務于管理層

和決策層的GRC管控系統(tǒng)被認為是企業(yè)在日益復雜的競爭環(huán)境下賴

以生存和發(fā)展的必然和有效選擇。

中國經(jīng)濟快速增長帶動中國企業(yè)不斷做大、做強，并邁出國門，

但在擴張并走向世界的過程中，中國企業(yè)逐漸暴露出“低效率低績效、

管控能力薄弱、不合規(guī)不透明”等諸多管控問題，不少企業(yè)也因此遭

受了重大損失；GRC正是很好解決這些問題的管理方法與工具。

一、GRC是一個管理方法與系統(tǒng)工具的集合

GRC全稱就是Governance（公司治理或管控），RiskManagement

（風險管理）andComplianceManagement（法規(guī)遵從）；是以企

業(yè)管控、風險和法規(guī)遵從為對象，為決策層和管理層提供綜合信息和

流程控制的支持。

1

管理理念是GRC市場發(fā)展的羅盤

GRC理論在國外已發(fā)展較長時間，但國外各相關產(chǎn)業(yè)經(jīng)營者對GRC

還沒有形成一個統(tǒng)一的標準定義，國內同樣如此，目前較為完整的定

義如下。

(1)GRC完整定義

GRC是在企業(yè)的各經(jīng)營業(yè)務之上，以戰(zhàn)略為中心，以流程管理為基

礎，通過績效管理和風險內控管理措施，對各項經(jīng)營管理過程進行管

理和控制，保障戰(zhàn)略和經(jīng)營目標達成的管理方法和工具的總稱；GRC

涉及以下三個組成部分：

Governance（治理/管控）：建立完整的制度安排和治理框架，

公平對待各利益相干者，制定公司戰(zhàn)略目標和政策，監(jiān)督績效，遵

從法律及制度規(guī)定，透明和披露經(jīng)營狀況，對各項經(jīng)營管理過程本身

進一步進行管理和監(jiān)督。

RiskManagement（風險管理）：對所有業(yè)務和法規(guī)風險進行結

構化的識別、評估、緩解、監(jiān)視和控制。

ComplianceManagement（遵從管理）：通過內部控制管理機制

和體系，確保各項制度和法規(guī)得以遵從、政策得以貫徹、各項經(jīng)營

和管理目標得以有效達成。

(2)GRC治理模型

GRC管控的主要目的是保障基于企業(yè)管控和治理的戰(zhàn)略執(zhí)行，因此

企業(yè)治理是一個結果，也更是一個手段。而對齊戰(zhàn)略目標，以業(yè)務

運營為基礎，注重業(yè)務執(zhí)行與監(jiān)控，關注防范風險與合規(guī)，并引入績

2

效考核的企業(yè)管控閉環(huán)（如圖1）保證了企業(yè)管控的有效性，也保證

了企業(yè)治理的持續(xù)性。

圖1企業(yè)管控閉環(huán)模型

針對快速崛起與發(fā)展的中國企業(yè)來說，GRC是用于改善企業(yè)做強、

做大過程中所面對突出管理問題（如經(jīng)營績效，集團管控，合規(guī)透

明）的管理方法體系和工具集合。

圖2GRC的集合視圖

3

(3)GRC的企業(yè)實踐

GRC管理理念是從企業(yè)發(fā)展的需求出發(fā)，以企業(yè)發(fā)展中遇到的問題

為向導，保證企業(yè)管控的有效性、及時性、持續(xù)性，是針對企業(yè)管

控問題的管理方法和工具的集合；只有將GRC理念落實到企業(yè)，才能

讓GRC指導和支撐企業(yè)管控，有效服務于戰(zhàn)略執(zhí)行；才能實踐才能體

現(xiàn)它的價值，檢驗它的有效性，保持它的先進性。GRC在企業(yè)的實踐

應包含管理體系建立與工具搭建兩個方面。

二、GRC理念與工具市場規(guī)模不斷擴展

隨著GRC理論的日趨成熟和企業(yè)管理方法的不斷提高，越來越多

的企業(yè)管理者開始意識到GRC在企業(yè)管控過程中的重要作用；也有

越來越多的企業(yè)將GRC管理理念和工具引入企業(yè)的管理工作中。

1、GRC市場現(xiàn)狀

自2006年以來，國內外關于GRC管理理念的研究在不斷深化、完

善。GRC理念從最初單一的SOX法案遵從，擴展到目前的涉及風險

管理、法規(guī)遵從、審計管理、制度管理等；而國內GRC廠商更是根據(jù)

國內企業(yè)發(fā)展特點將企業(yè)管控、績效管理、流程管理、全面預算管

理等整合入GRC集成解決方案中。GRC解決方案的擴展與完善，使

其在企業(yè)管控中的涉及面更加廣泛，也使得其對于企業(yè)管控的作用更

加突出，企業(yè)對其的依賴性更大。

（1）國際GRC市場受金融危機影響震蕩擴展

隨著國外迪拜危機、雷曼兄弟、通用破產(chǎn)保護，國內三鹿、黃光

4

裕等事件的出現(xiàn)，企業(yè)對于GRC應用越來越廣泛；但經(jīng)濟危機令國

外企業(yè)在過去兩年紛紛消減IT投入，因此過去兩年國外GRC市場并

沒像AMRResearch2008年預測的那樣持續(xù)增長。據(jù)據(jù)2009年底AMR

Research對151個美國企業(yè)進行的調查顯示，2007年到2009年美

國GRC市場投入下降約5%，但調查同樣顯示美國GRC市場在2010年

將有大幅增長預計將要達到298億美元，如圖3所示。

單位：億美元

數(shù)據(jù)來源：AMRResearch

圖3AMRReseach對美國GRC市場的調查結果

風險管理與企業(yè)管控引領GRC市場

無論從國內外經(jīng)濟形勢分析，還是從中國企業(yè)發(fā)展的需求出發(fā)，

中國企業(yè)對GRC管控軟件的需求是急切的，企業(yè)發(fā)展過程中所面臨的

關鍵問題也只有通過GRC理念和工具在企業(yè)中的實施才能得以解決，

這也促使GRC市場在接下來幾年將出現(xiàn)快速的擴展，GRC市場擁有更

為廣闊的前景。

5

數(shù)據(jù)來源：AMRResearch

圖4AMRReseach對美國GRC市場需求的調研

圖4是AMRReseach今年對美國151家大型企業(yè)的調研結果，從

中可以看出美國企業(yè)對于GRC的需求中，風險管理依然是企業(yè)渴求

GRC的最大動機；據(jù)此推斷，國內企業(yè)與此類似，但考慮到中國企業(yè)

發(fā)展現(xiàn)存問題及對問題解決的緊急程度，風險管理與集團管控將是

中國企業(yè)對于GRC市場最迫切的需求，二者將共同引領GRC市場不斷

擴展。

三、政府、廠商與企業(yè)共同推進GRC的不斷擴展與深化

為應對國內GRC市場面臨的眾多挑戰(zhàn)，滿足中國企業(yè)在做大、做

強過程中對GRC管控軟件的需求，使GRC管控服務真正有效地支撐企

業(yè)管控、風險管理和合規(guī)遵從，企業(yè)、GRC廠商及政府應共同努力，

集體推進國內GRC理論與工具的不斷擴展與深化。

企業(yè)在發(fā)展過程中應該改變原有“小作坊式”的管理思想，認識

到企業(yè)管控、風險管理及合規(guī)遵從的重要性，加大企業(yè)在GRC方面

6

的支持和投入，從而保障企業(yè)的業(yè)務增長、風險防范和決策支持。GRC

廠商應繼續(xù)深化GRC理論的研究，豐富GRC解決方案，在產(chǎn)品研發(fā)

及實施服務上加大投入；同時各GRC廠商需要增加聯(lián)系、互通有無，

爭取更早地統(tǒng)一標準，從而更好、更快地為中國企業(yè)實施GRC服務產(chǎn)

品，為中國企業(yè)的快速發(fā)展提供動力、保駕護航。政府主管部門也

應關注國內GRC市場的發(fā)展，推進GRC標準化企業(yè)聯(lián)盟的形成，并給

予GRC管控軟件發(fā)展中所必需的支持。

GRC廠商應在理念研究、產(chǎn)品研發(fā)與項目實施相結合的原則下，與

政府、行業(yè)和企業(yè)協(xié)同努力，共同推進國內GRC理念和工具的深化，

促使符合中國管理特的GRC解決方案與產(chǎn)品為中國企業(yè)做強、做大

提供更大的支持與保障，真正實現(xiàn)“中國風險管理律師推動中國企

業(yè)走向世界”。

第二部分：CRC中的法律風險管控理論概況

在經(jīng)濟全球化的背景下，企業(yè)經(jīng)營的法律環(huán)境日益復雜，法律風

險管理與業(yè)務活動融合的趨勢愈加明顯。實施有效的法律事務管理，

建立法律事務管理體系，全面、系統(tǒng)、科學地識別、分析、控制法律

風險，成為當前企業(yè)經(jīng)營發(fā)展中重要、緊迫的工作。

與此同時，《關于落實中央企業(yè)法制工作第三個三年目標有

關事項的通知》《企業(yè)法律風險管理指南》等政策法規(guī)緊鑼密鼓的出

臺，也標志著中國大、中型企業(yè)全面進入到了法律事務管理體系建設

階段。

在此背景下，企業(yè)對既能滿足自身法務管理需求，又能響應

7

監(jiān)管機構持續(xù)強化管控要求的法律事務管理服務的需求越來越強烈。

法務管理的流程化改革和信息化創(chuàng)新

從人工到系統(tǒng)，法務管理事務由原生態(tài)的手工方式，碎片方

式逐步跨入流程化制度化時代。

截至目前，以中移動、中石化、中海油等大型央企為代表大

中型企業(yè)早已在法務管理流程制度化改革方面提前布局。然而，絕大

多數(shù)中小企業(yè)在法務管理流程化制度化過程中，步調仍顯緩慢，換言

之，中國法務管理服務市場仍在醞釀巨大商機。

新型法律事務管理流程制度，是在成熟的法務工作人員為核心

的公司全體，運用GRC理論結合一定信息化手段，打通企業(yè)內部相對

分立的合同立項、相對方、預算信息、標準文本、合同審核、授權管

理、用印管理、合同執(zhí)行、糾紛管理等相關管理工作，將法務相關的

招投標采購類管理、證照管理、商標管理、法律知識庫等進行整合，

建立企業(yè)統(tǒng)一的法律事務管理平臺中心。

可以說，法務管理是GRC控制領域一個非常重要的舉措。GRC是

法律事務管理平臺里面非常重要的靈魂。企業(yè)在風險防范規(guī)劃中，應

首先為自己提供一個穩(wěn)定超前的執(zhí)法環(huán)境，如果不存在這種環(huán)境，企

業(yè)就可能會心存僥幸或者無所適從。從最初的合同審批制度到合同全

生命周期管理到集團公司法務管理平臺，對于企業(yè)的法律事務管理來

說，流程化體系化的優(yōu)勢不言自喻。而且隨著GRC技術化、信息化的

不斷發(fā)展，法務管理工具的不斷完善的速度也在加快，在不遠的將來，

必將為企業(yè)法務管理、風險管控方面帶來更大裨益。

8

實際上現(xiàn)在很多大型企業(yè)都在搞風險控制，但企業(yè)的風險防范要根據(jù)

自身的特點，并非拿來一個風險防范的系統(tǒng)你就能夠適用，而是要根

據(jù)自己的需求來做真正適合自己的產(chǎn)品。

有一些企業(yè)尤其是大型企業(yè)，相對方比較多、合同數(shù)量巨大，審

批流程復雜，合同履行周期長、變數(shù)大。此類系統(tǒng)合同風險管控流程

制度在搭建時就要重點關注對整個合同流程的管理，要將合同的起草

到合同的歸檔整個過程都涵蓋在系統(tǒng)之內，這樣才有利于對相對方的

管理，才能夠對批流程的控制等風險要素等進行有效的管理。

法務管理GRC時代

法務管理流程化體系化之所以受到追捧，源于其能給企業(yè)帶來的

價值。

法務管理的流程化體系化價值主要體現(xiàn)在：首先實現(xiàn)了關鍵流程

的規(guī)范化，輔助實現(xiàn)外部監(jiān)管要求的規(guī)范和內部控制要求；二是能夠

降低勞動強度，提高工作效率，使法務人員從瑣碎的非主要法律事務

中解放出來，有更多時間和精力進行法務管理性思考；三是主動模式

下的科學決策，各個管理人員可以隨時主動方便的了解法務信息、準

確可靠，極大方便市場業(yè)務開展中的風險識別及預估；四是能夠形成

標準化、規(guī)范化、網(wǎng)絡化的工作平臺。將法務管理業(yè)務鏈上的不同角

聯(lián)系起來，幫助企業(yè)實現(xiàn)“法務管理流程化體系化”。

“GRC”管控體系，是近年來企業(yè)法務管理領域越來越被重視的

9

一個名詞。但GRC并不是一個簡單的詞，也不是一個簡單的思想，

而是思想、行動、實踐的結合體。應將其看做是一個管理理念和企業(yè)

解決方案、產(chǎn)品、技術的整體框架結合體。

近年來，一些中國企業(yè)對GRC已經(jīng)有了一定認識，國資委、財政

部等監(jiān)管機構也一直在推動風險管理和內部控制，這都是在GRC管

控體系內的一些方向。

對很多中國企業(yè)來說，如何在企業(yè)內部設立GRC體系的框架，并

在這個框架基礎上，實現(xiàn)風險管控、合規(guī)遵從，使得企業(yè)的業(yè)務流程

和企業(yè)的一些具體業(yè)務、具體經(jīng)驗結合起來，真正讓GRC系統(tǒng)在實

操的過程中發(fā)揮更重要的作用，是接下來該做的事情。

截至目前，以中移動、中石化、中海油等大型央企為代表大中型

企業(yè)早已在法務管理流程制度化改革方面提前布局。然而，絕大多數(shù)

中小企業(yè)在法務管理流程化制度化過程中，步調仍顯緩慢，換言之，

中國法務管理服務市場仍在醞釀巨大商機。

新型法律事務管理流程制度，是在成熟的法務工作人員為核心

的公司全體，運用GRC理論結合一定信息化手段，打通企業(yè)內部相對

分立的合同立項、相對方、預算信息、標準文本、合同審核、授權管

理、用印管理、合同執(zhí)行、糾紛管理等相關管理工作，將法務相關的

招投標采購類管理、證照管理、商標管理、法律知識庫等進行整合，

建立企業(yè)統(tǒng)一的法律事務管理平臺中心。

可以說，法務管理是GRC控制領域一個非常重要的舉措。GRC是

法律事務管理平臺里面非常重要的靈魂。企業(yè)在風險防范規(guī)劃中，應

10

首先為自己提供一個穩(wěn)定超前的執(zhí)法環(huán)境，如果不存在這種環(huán)境，企

業(yè)就可能會心存僥幸或者無所適從。從最初的合同審批制度到合同全

生命周期管理到集團公司法務管理平臺，對于企業(yè)的法律事務管理來

說，流程化體系化的優(yōu)勢不言自喻。而且隨著GRC技術化、信息化的

不斷發(fā)展，法務管理工具的不斷完善的速度也在加快，在不遠的將來，

必將為企業(yè)法務管理、風險管控方面帶來更大裨益。

實際上現(xiàn)在很多大型企業(yè)都在搞風險控制，但企業(yè)的風險防范要根據(jù)

自身的特點，并非拿來一個風險防范的系統(tǒng)你就能夠適用，而是要根

據(jù)自己的需求來做真正適合自己的產(chǎn)品。

有一些企業(yè)尤其是大型企業(yè)，相對方比較多、合同數(shù)量巨大，審

批流程復雜，合同履行周期長、變數(shù)大。此類系統(tǒng)合同風險管控流程

制度在搭建時就要重點關注對整個合同流程的管理，要將合同的起草

到合同的歸檔整個過程都涵蓋在系統(tǒng)之內，這樣才有利于對相對方的

管理，才能夠對批流程的控制等風險要素等進行有效的管理。

高效合規(guī)，風險導向，管控落地：

內部控制體系建設的需要是企業(yè)不同發(fā)展階段的內生性要求，財

政部等五部委2008和2010年先后出臺的《企業(yè)內部控制基本規(guī)范》

和《企業(yè)內部控制配套指引》，從外部合規(guī)角度進一步加強了企業(yè)建

立健全內部控制體系的要求。面對兩項要求，如何結合企業(yè)現(xiàn)有基礎，

在保障合規(guī)的前期下有效地建設和優(yōu)化內部控制體系，使內控建設成

果有效落地和解決一些關鍵問題，成為眾多企業(yè)管理部門凾待解決的

問題。

11

解決方案：

元炳律師作為內控和風險管理體系領域的技術領先者，率先提出

有效內控合規(guī)的理念，堅持風險導向，注重落地運行。從內控體系建

設的設計階段，使用"內控有效性模型"明確內控項目的階段目標和工

作重點。建設階段則基于"內控合規(guī)實施路徑"，細化工作任務和里程

碑，并通過培訓和工具強化知識轉移和能力建設。運行階段則強調實

施保障，通過頂層設計與運行、內控團隊培養(yǎng)、信息化手段、持續(xù)優(yōu)

化與更新加強四個方面落實運行工作計劃。整個方案的核心是如何保

證內控體系建設的價值實現(xiàn)，主要表現(xiàn)：

從觀念掃清內控和風險管理盲區(qū)，業(yè)務部門從被動做到積極要求做

通過風險梳理改進重點，科學有效應用內控和風險管理的系統(tǒng)性方法實

質解決當前管理中存在的問題

通過制度規(guī)范化降低風險水平，通過自評價機制推動滾動更新

通過信息系統(tǒng)提高工作效率，通過觀念改變帶動管理提升

12

內控有效性模型

內控有效性模型是協(xié)助企業(yè)開展內控合規(guī)和管理提升的總體框

架和實施標準。通過該模型，可以快速幫助企業(yè)梳理和定義不同階段

的工作目標、工作內容、工作方法、工作成果，并能夠在整個內控和

管理提升周期內合理控制或調整建設節(jié)奏。該模型由三個部分組成：

從內控合規(guī)和內控體系建設目標角度出發(fā)，從基礎合規(guī)、管理提升和風

險導向"三個階段"選取符合企業(yè)所處行業(yè)背景和現(xiàn)有管理基礎的階段

工作重點

內控體系建設工作方法論，設計、建設、實施各階段工作有所側重

內控體系建設落地運行的保障

13

內控合規(guī)實施路徑

實施效果

真正實現(xiàn)了內控導向：

通過風險型內控體系建設工作，為企業(yè)搭建以風險管理為導向

的內控體系及內控評價和更新體系，不僅滿足財政部等監(jiān)管機構的內

控合規(guī)要求，而且能夠實現(xiàn)企業(yè)運營風險的有效管控，并且與企業(yè)現(xiàn)

有管控體系、標準化體系有效銜接；此外，內控評價機制更新機制，

確保了內控整改實現(xiàn)有效落地，也實現(xiàn)了企業(yè)風險管理和內控體系的

有機結合與滾動更新。

體現(xiàn)了內控實操性：

控制措施設計綜合考慮政策限制、行業(yè)產(chǎn)業(yè)現(xiàn)狀、企業(yè)的承受

能力、操作效果等因素，傾向從實操性的角度先實現(xiàn)一定程度的控制，

循序漸進，逐步實現(xiàn)全過程的控制效果，避免出現(xiàn)傳統(tǒng)內部控制中某

些控制措施設計的很完美卻無法執(zhí)行的情況。與相關業(yè)務的實際運營

特點相結合，堅持風險控制分步驟、分階段的理念，綜合考慮企業(yè)的

14

文化、經(jīng)營風格等因素，強調內部控制的時效性，突出內部控制更新

的時效性和必要性。

相關案例：

?某房地產(chǎn)建筑集團內控體系建設及評價案例

國資委《中央企業(yè)全面風險管理指引》、財政部《企業(yè)內部控制基本規(guī)范》、

國家標準委《企業(yè)法律風險管理指南》等政策法規(guī)近年來陸續(xù)出臺。

首先改變的是大型央企。

一般來說，中央企業(yè)結構龐大、分支眾多，業(yè)務層級復雜，對于法務管理

信息系統(tǒng)的要求較高。在包括合同管理、授權管理、證照管理、法律知識庫

等法務管理流程化制度化方面，央企的需求也最為迫切。

一位央企法務部門負責人表示，該集團在業(yè)務經(jīng)營的過程中，涉及大量的

合同起草、審批、簽訂、歸檔、借閱等管理環(huán)節(jié)，去年全集團僅各種合同就

多達5萬多份。

此前，企業(yè)的合同管理、法律糾紛案件管理、商標管理、授權管理、證照

印章管理以及統(tǒng)計匯總等工作基本上都是手工完成，并普遍存在碎片化問

題，沒有形成確保法律審核把關率達到百分之百的工作流程技術手段，影響

了全集團法律管理工作的效率和質量。

在2012年建立法律事務管理系統(tǒng)之后，不僅使該集團法律相關工作效率

得到了提升，控制了風險，促進有效進行科學決策，而且使法律管理更加規(guī)

范化、透明化和一體化。

“法律系統(tǒng)是一個法務信息控制平臺，為集團領導及相關部門提供可及時

15

了解、掌握、靈活分析和動態(tài)的處理法律事務信息。”該法務負責人表示。

要從結果假設的角度倒推理解法律風險控制客觀要求的理想模型，這個模

型的實現(xiàn)是要分階段的，認識到了模型之后，就由它來匹配企業(yè)的管理戰(zhàn)略。

企業(yè)的業(yè)務是什么樣的，外部管理模型是什么樣的，有哪些要求，執(zhí)行的步

驟如何規(guī)劃等，都是戰(zhàn)略制定的核心內容。

一旦頂層設計完畢之后，就可以在企業(yè)內部各層級進行落實，包括監(jiān)管、

決策、合規(guī)的管控、風險、安全、流程審批、執(zhí)行節(jié)點把控等，各個層面都

可以很好地去落實，從而形成對法律風險管控要求的匹配。

對于企業(yè)來說，必須遵循現(xiàn)有法律體系的游戲規(guī)則，否則對于企業(yè)來說，

在法律系統(tǒng)中就可能處于被動挨打的局面。如一些企業(yè)沒有自己的格式合

同，往往在談判中就處于一種不利的地位；還有一些到對外投資的企業(yè)花了

比別人高的價格，卻買到并不滿意的東西；一些企業(yè)在簽約時簽了很不利的

條款，如對外投資時的價格補償條款缺失等問題。很多企業(yè)因此付出了高昂

的學費。企業(yè)法律風險是什么？法律風險管理與企業(yè)法律事務管理的關系和

定位是什么？在市場經(jīng)濟環(huán)境下，企業(yè)面臨著日益復雜的內外部環(huán)境，法律

法規(guī)和監(jiān)管的日益完善和嚴格，市場環(huán)境和業(yè)務模式的日新月異，企業(yè)的法

律風險管理貫穿于企業(yè)成立、存續(xù)和退出的全生命周期，企業(yè)在管理法律風

險的價值追求是什么？法律風險管理、法律事務管理和企業(yè)業(yè)務管理如何有

效的結合？成為企業(yè)主管部門不得不思考的問題。

法律風險管理的挑戰(zhàn)和機會

挑戰(zhàn)

16

?法律風險具有分布的廣泛性和產(chǎn)生路徑的多樣性，貫穿于企業(yè)存續(xù)的

始終

?法律風險在一定條件下與其他風險具有伴生性和轉化性

?法律風險管理需要全員的參與，這與目前企業(yè)職能化的條塊管理如何

有效協(xié)調

機會

?傳統(tǒng)法律事務管理引入風險管理的理念可以幫助重新思考法律風險管

理的價值和功能定位

?從法律風險產(chǎn)生的機制入手，建立全員參與、分層、分級、區(qū)分功能

和定位的防控體系有助于提升法律風險管理的實效

?將極大地改變傳統(tǒng)法律事務管理在企業(yè)的價值定位，將由事后處理為

主的被動轉變?yōu)閺V泛參與企業(yè)經(jīng)營決策和管理的主動

關鍵成功要素

?企業(yè)對法律風險管理功能和價值的準確定位

?高管層的重視和承諾

?建立清晰的目標和體系框架結構

?開發(fā)可實施運轉的規(guī)范和程序

?納入企業(yè)考核，建立有效的獎懲

法律風險管理解決方案

結合國家標準委《企業(yè)法律風險管理指南》等標準的研究，結合目前

企業(yè)的管理需求和實際進行系統(tǒng)性的研究分析，從理論研究到具體項

17

目實施，不斷探索、積累和創(chuàng)新法律風險管理方法論，并開發(fā)了法律

風險管理流程及體系系統(tǒng)，提高法律風險管理的效率和效果。

法律風險管理體系設計

1、法律風險辨識框架和分類設計

2、法律風險管理職能體系設計

3、法律風險管理流程設計

4、法律風險管理報告體系設計

5、法律風險管理考核體系設計

6、法律風險管理體系建設規(guī)劃

7、法律風險管理實施工具模板設計

體系實施類型

1、法律風險辨識

2、法律風險分析

3、法律風險評價

4、法律風險控制措施和計劃制定

5、法律風險管理報告編撰

6、法律風險實施后評估

專項法律風險具體解決方案

1、投資法律風險

2、合同風險

18

法律風險管理信息系統(tǒng)

1、法律風險管理管理全流程信息系統(tǒng)

法律風險環(huán)境信息收集

法律風險在線辨識、評價

法律風險管控措施計劃制定和過程監(jiān)控

法律風險監(jiān)控預警

法律風險多維報告生成

案例共享和信息交流

在線數(shù)據(jù)維護和查詢

2、合同管理信息系統(tǒng)

合同登記及歸檔管理

基礎信息管理

統(tǒng)計報表

數(shù)據(jù)統(tǒng)計

系統(tǒng)管理

實施效果

?幫助企業(yè)進行客戶化的法律風險管理體系框架設計，確保體系

的適用性和操作性

19

?針對法律風險的具體管理領域，制定細化解決方案，滿足不同

需求

?IT信息化平臺的客戶化建設，提升了法律風險管理工作的落地

實效

?將風險管理理念和方法工具創(chuàng)造性地融入企業(yè)的日常經(jīng)營管

理，理順法律事務管理和風險管理的工作機制，有效整合管理資源，

提升管理效益，為企業(yè)法律管理增值。

通過風險識別、評價、應對、監(jiān)控、報告、改進的的循環(huán)流程來

全面管理企業(yè)風險，實現(xiàn)持續(xù)的監(jiān)控與改進；通過及時、準確、真實

傳遞和共享各種風險信息，展現(xiàn)、落實集團全面風險管理模式和相關

制度；

固化風險評估體系、方法和流程，自動形成多維度的風險分布圖

譜；通過與業(yè)務系統(tǒng)的集成，建立風險指標體系與風險模型，實現(xiàn)對

風險的實時監(jiān)控與預警；通過指標預警聯(lián)動風險應對措施，快速應對

風險；通過風險事件管理，形成自下而上的匯報機制，實現(xiàn)對風險的

動態(tài)跟蹤；

提供多種風險報表、報告與視圖，全面展現(xiàn)風險管理工作狀況及

風險變化趨勢；通過跟蹤、監(jiān)督、評價各項風險管理工作過程和成果，

并對組織和人員進行考核，增強集團公司的風險管理能力和水平。

20

圖6【總體業(yè)務視圖】

全面風險管理具有系統(tǒng)性、復雜性、長期性、艱巨性等特點，元炳律師風險管理流程化體系

化設計充分考慮到集團管理的復雜程度，能靈活適應集團的風險管理策略，在建立健全集團

風險管理體系的基礎上，通過風險信息收集、風險識別、風險分析及評價、風險應對、風險

監(jiān)控、風險報告等六個核心功能模塊，實現(xiàn)了企業(yè)風險的閉環(huán)管理，幫助集團企業(yè)提高風險

識別與應對能力，提升風險管理的技術水平。

?

21

【系統(tǒng)功能框架】

(一)多樣化的風險識別方法

提供問卷調查、流程建模等風險識別方法，幫助企業(yè)識別風險的

風險源、影響范圍、相關事件、風險原因及潛在后果等信息，并建立

企業(yè)的全面風險清單，從而保障風險識別的全面性。

(二)定量、半定量的風險評估方法

通過風險矩陣法、Borda序數(shù)法等風險評估方法，實現(xiàn)定量、半

定量的風險評估，確定風險影響程度及可能性，根據(jù)風險影響程度及

可能性，提供多種計算方式確定風險等級，根據(jù)風險等級，得出定量、

半定量的風險圖譜，從而幫助企業(yè)全面了解當前風險狀況及分布。

(三)持續(xù)的風險監(jiān)控與預警

風險管理系統(tǒng)提供多種方式與業(yè)務系統(tǒng)進行集成，自動采集數(shù)

據(jù)，在系統(tǒng)中通過多種形式進行展示和預警，持續(xù)的監(jiān)控關鍵風險指

22

標變化情況。并且與風險的應對措施、崗位職責緊密配合，通過指標

預警聯(lián)動風險應對措施的響應，快速應對風險。

(四)重大風險的整體應對

系統(tǒng)提供多種風險應對方式及應急預案，幫助企業(yè)明確重大風險

的責任主體和應對措施，并合理配置資源，確保重大風險管理措施落

到實處，做到重大風險有預警、有預案、有措施、有方案、有動態(tài)改

進機制。

(五)生成外部報告

基于流程體系的工作，法務人員可以建立自下而上的風險管理報

告體系，有效率的匯總整理風險管控信息，形成風險管理的整體視角，

生成的各類風險數(shù)據(jù)，真實的反映集團公司階段風險管理工作的實際

情況，形成向監(jiān)管部門的風險管理報告。

(六)積累與持續(xù)改進

基于流程制度體系，建立風險管理知識庫，存儲風險管理經(jīng)驗，

為總結提升更優(yōu)化的風險管理方法、風險應對措施、風險報告模式、

風險評估技術提供參考，幫助企業(yè)建立自我更新、持續(xù)優(yōu)化的風險管

理機制。

法律風險管控的第一步從合同管理開始

23

引言

合同管理是落實企業(yè)風險管理和內部控制的一項核心的管理業(yè)

務，合同是企業(yè)對外交易的門戶，合同管理的好壞直接影響企業(yè)的經(jīng)

營成敗；另外外部法規(guī)對合同管理做出的要求和指引，都使各大企業(yè)

意識到合同管理的重要性，并逐漸形成對合同管理專業(yè)化、網(wǎng)絡化和

規(guī)范化管理的需求。元炳過長期的對各大中型集團企業(yè)的合同管理的

業(yè)務進行深入分析，從企業(yè)風險管理和內控要求的角度探求合同管理

的管控點，管控要求以及管控手段，形成獨特的、專業(yè)的、全過程的

合同管理解決方案和產(chǎn)品，它可以幫助企業(yè)規(guī)范管理，提高審批效率，

加強合同履行的跟蹤，通過各種預警和風險事件處置控制風險，實現(xiàn)

快速查詢和統(tǒng)計分析來支持決策。

背景

企業(yè)面臨快速的發(fā)展和日益激烈的市場競爭，使合同管理面臨的

挑戰(zhàn)和監(jiān)管要求越來越多，特別是國家法規(guī)對企業(yè)內控和風險管理提

出的特殊要求，如國家財政部等五部出臺的《企業(yè)內控應用指引—16

號》中明確了企業(yè)在內部控制方面對合同管理業(yè)務的明確要求，其中

特別提出了充分利用流程化制度化手段實現(xiàn)合同的全過程封閉的管

理。

24

以合同管理的流程分析為基礎，從企業(yè)內控和風險管理的視角進

行合同管理的分析，形成合同管理的內控矩陣，并最終落實在合同管

理各個環(huán)節(jié)的管控中。

簡介

25

合同管理解決方案從合同的簽訂前、簽訂中、履行中和履行后四個

階段進行了詳細的業(yè)務分析和功能設計，充分考慮了企業(yè)對于風險管

理和內部控制的要求，探索并發(fā)現(xiàn)風險管控點，設置合理的管控方法，

有效控制風險，實現(xiàn)合同全過程的封閉管理。

簽訂前：實現(xiàn)供應商信息的收集、查詢，與此供應商關聯(lián)的合同

的查看以及履行情況的評價和統(tǒng)計分析，通過把好源頭關控制企業(yè)風

險；合同預算關聯(lián)合同使合同訂立時符合公司的資金計劃，降低財務

風險；標準的合同文本和規(guī)章制度規(guī)范了合同起草和審批的過程，降

低企業(yè)法律風險。

簽訂中：通過合同的歸口管理，規(guī)范合同審批流程，嚴格合同授權，

提升合同審批效率，防止合同簽訂過程中的法律風險。

26

履行中：加強合同履行的監(jiān)督和控制，進行合同項下付款的預警提

示，敏捷的提示超期風險事件，形成風險事件信息集成，嚴格合同變

更、解除和續(xù)簽的審批過程，有效控制各企業(yè)監(jiān)管相對薄弱的履行環(huán)

節(jié)，規(guī)避合同履行的風險。

履行后：對合同履行情況建立評價體系，已通過不斷的反饋實現(xiàn)

合同管理的持續(xù)改進和提高，快速、方便的查詢、統(tǒng)計分析和報告支

持企業(yè)領導決策。

價值

●落實企業(yè)風險管理和內部控制要求，實現(xiàn)合同全生命周期的流程

化、制度化、專業(yè)化管理；

●規(guī)范流程和合同文本，固化管理制度，控制合同訂立風險；提高

審批效率，降低管理成本；

●加強履行的監(jiān)督、監(jiān)控和到期預警，控制履行風險；

●快速查詢、靈活方便的統(tǒng)計分析和報告，支持決策。提供的服務

在合同管理流程體系化實踐的過程中，眾多企業(yè)認為，只要審批

流程化，合同審核的效率、管理的效率就必然會提高，事實果真如此

嗎？

從元炳律師為眾多企業(yè)實施合同管理系統(tǒng)的實踐經(jīng)驗來看，事實未

27

必如此。企業(yè)若想借助流程化系統(tǒng)來提升合同管理的效率、控制法律

風險，必須解決好以下三個問題。

一是管理提升的問題。首先，運用專業(yè)法律技術提升企業(yè)合同管理

效能，系統(tǒng)實施的甲乙雙方必須就合同管理業(yè)務中的問題，哪些是法

律技術可以解決的，哪些需靠管理改善解決的達成共識。從管理的成

熟度和法律專業(yè)化的依賴程度兩個維度，對合同管理業(yè)務系統(tǒng)做出明

確的定位，才能理清信息化的思路。（注意，將信息化依賴度變成法

律專業(yè)依賴度）

元炳律師在實施合同管理系統(tǒng)時，將與企業(yè)合同業(yè)務部門一起深入

細致地對企業(yè)合同管理相關業(yè)務進行研究分析，對現(xiàn)有的制度和流程

進行梳理，出缺陷，提出改善性建議，為流程化體系化奠定基礎。

二是信息系統(tǒng)功能的問題。其次，在設計合同管理流程體系系

統(tǒng)功能時，多少企業(yè)僅僅關注流程化后的審批傳遞效率，而忽略合同

審核自身效率和使用體驗。

28

元炳律師合同管理系統(tǒng)不僅可以提升合同的流轉速度，提供合同

審核過程的留痕、流程節(jié)點的追蹤、流程統(tǒng)計等能力；更關鍵是，通

過系統(tǒng)功能帶來合同審核效率的提升。

如：從合同范本起草開始，起草人對范本的修改痕跡，都會記錄下來，

合同審核人審核時就可以只關注修改的地方，不需要逐字逐句來審核

了。另外，會對待辦任務、設定的關鍵時間節(jié)點進行提醒，使得客戶

能夠及時辦理相關的任務，在提高效率的同時，也能很好的控制風險。

三是管理要求與法律專業(yè)系統(tǒng)的結合問題。再次，合同管理系

統(tǒng)的流程化不是簡單的把合同審核表單、審核流程的制度化，而必須

將管理要求與合同審查所需的法律專業(yè)成熟系統(tǒng)的真正的結合起來，

通過管理手段進行專業(yè)流程化，制度固化，才能控制風險，體現(xiàn)合同

管理系統(tǒng)的管理價值。

系統(tǒng)平臺的價值集中體現(xiàn)在：

協(xié)助企業(yè)滿足監(jiān)管機構的考核要求，全面符合與風險管理相關的

法律法規(guī)；

全面、豐富的風控統(tǒng)計，幫助企業(yè)高管層站在統(tǒng)一的管控平臺上

綜合考慮公司治理、風險、合規(guī)等問題；

提供一個高效、協(xié)同的法務平臺，通過信息的共享及專業(yè)的傳遞

實現(xiàn)風控業(yè)務的有效融合，通過制度化的手段實現(xiàn)業(yè)務流程的總體監(jiān)

控，加強重大風險的全過程管理；

29

提升風險意識，統(tǒng)一風控要求，明確工作職責，通過流程管理、

內控體系化等手段促進企業(yè)風險管理、內控管理與日常經(jīng)營管理的有

機融合。

企業(yè)風險管理工作應圍繞總體經(jīng)營目標，通過在企業(yè)管理的各個

環(huán)節(jié)和經(jīng)營過程中執(zhí)行風險管理的基本流程，培育良好的風險管理文

化，建立健全全面風險管理體系，從而防范重大風險的發(fā)生，確保企

業(yè)戰(zhàn)略目標的達成。

企業(yè)內控管理工作的開展應以業(yè)務流程為出發(fā)點，以規(guī)章制度為

基礎，識別流程步驟和控制活動，細化關鍵控制環(huán)節(jié)和流程中存在的

30

風險點，構建內控知識體系；通過內控評價及整改跟蹤不斷優(yōu)化業(yè)務

流程，提高企業(yè)經(jīng)營管理水平和風險防范能力。

內控管理是風險管理有效的應對手段，良好的內部控制，可保證

業(yè)務流程的有效、規(guī)范運行，降低了執(zhí)行層面風險發(fā)生的可能性，其

控制對象主要是企業(yè)內部、可控的、非決策性的風險范疇。對于內部

控制無法涉及到的企業(yè)外部的、決策層面的風險，需要借助風險管理

方法和工具實現(xiàn)風險的有效管控。

可見，風險管理是內部控制的自然延伸，內涵更寬，企業(yè)應當統(tǒng)籌協(xié)

調，構建風控一體化統(tǒng)一管理平臺，元炳實施的法律內控及風險管理

流程體系平臺實現(xiàn)了風險、內控、制度的關聯(lián)，提升了風險管理的效

率，增強了集團管控能力。

31