公司法律风险管理指引

公司法律风险管理指引第一章总则第一条为了提升企业法律风险防范能力，控制和降低法律风险，参照《企业法律风险管理指南》（GB/T27914-2011）和《中华全国律师协会律师办理企业法律风险管理业务操作指引》，根据《**（集团）有限公司全面风险管理指引》，制定本指引。第二条本指引适用于**（集团）有限公司（以下简称集团公司）及各级所属企业开展法律风险管理各项工作。第三条本指引所称法律风险，是指基于法律规定或者合同约定，因企业外部环境及其变化，或者企业及其利益相关者的作为或者不作为所引发的不确定性，对企业实现目标所带来的潜在负面影响。第四条法律风险管理工作应当遵循以下原则：（一） 审慎管理原则。企业应在尊重法律、保持诚信的前提下，开展法律风险管理活动，风险管理的策略和方法不应违反法律法规的义务性规范和禁止性规范。（二） 以战略目标为导向原则。法律风险管理目的在于促进企业战略目标的实现，应充分考虑法律风险与战略目标之间的相互关系等因素。（三） 与经营管理相融合原则。法律风险管理要融入经营管理全过程，贯穿决策、执行、监督、反馈等各环节，成为企业经营管理有机组成部分。最大限度将法律风险管理关口前移，充分识别挖掘风险点，及时采取预警预控措施，增强企业抵御风险的能力。（四） 全面覆盖与全员参与原则。法律风险管理要覆盖所有业务领域、经营管理系统和工作流程，以企业各部门、各岗位员工为主体开展法律风险管理各项工作。管理过程应关注与其他合规风险之间的关联性，审慎评估与其他合规风险之间的相互影响。（五） 控制成本与收益相匹配原则。法律风险控制措施的制定应在控制成本与最大风险敞口损失之间做好权衡分析，使风险控制措施具有可操作性和可执行性。第二章法律风险管理组织架构及职责第五条法律风险管理的组织架构、责任体系与集团公司全面风险责任体系保持一致。集团公司及各级所属企业应落实各自法律风险管理主体责任，企业第一负责人作为推动本企业法律风险管理工作的第一责任人，负责建立健全本企业法律风险管理制度体系，并确保体系有效运行。集团公司、产业运营主体与各级所属企业之间应建立高效的沟通报告机制，依照管理层级对所属企业的法律风险管理情况进行密切跟踪、统筹指导并履行监督责任。第六条企业应依据《**（集团）有限公司全面风险管理指引》，结合自身实际，搭建内部法律风险管控架构，明确各级责任主体及其管理职责。法律风险管理组织架构应包括决策机构、专职机构和执行机构三个层级。第七条企业法律事务职能部门（以下简称法务部门）是法律风险管理专职机构，负责组织开展企业具体法律风险管理工作，主要履行以下职责：（一） 制订综合性法律风险管理制度和流程；（二） 组织研究法律风险应对策略和方案，对方案的组织实施进行监督；（三） 组织协调各职能部门开展日常风险管理工作，协同各职能部门指导督促专业系统开展法律风险管理；（四） 定期组织各职能部门对法律风险管理的有效性进行评估，研究提出改进建议；（五） 组织开展与法律风险管理相关的培训，培育法律风险管理文化；（六） 其他综合性法律风险管理工作。第八条企业各职能部门是法律风险管理执行机构，在职责范围内主要履行下列专业性法律风险管理职责：（一）开展法律风险信息收集和法律风险初步辨识；（二） 配合企业法务部门选择法律风险应对策略、制订落实法律风险应对计划，对风险控制效果进行评估并持续改进完善；（三） 指导所属企业专业系统开展法律风险管理；（四） 其他专业性法律风险管理工作。第三章法律风险管理流程第九条法律风险管理基本流程包括法律风险环境信息收集、法律风险评估、法律风险应对、监督检查等环节。第十条法律风险管理过程中，企业内部应做好有效沟通，以保证实施法律风险管理的相关人员充分了解企业面临的风险状况和可能带来的影响，做出恰当决策，正确理解风险管理决策的依据，有效执行法律风险管理活动。第一节法律风险环境信息收集第十一条法律风险环境信息收集，是指通过采取适当的方法对企业内外部环境中与法律风险相关的信息进行收集、分析、整理、归纳的一系列过程。分为外卜部法律风险环境信息收集和内部法律风险环境信息收集。第十二条夕卜部法律风险环境信息是指，存在于各企业外部，与法律风险管理相关的政治、经济、文化、社会、技术、法律等领域的信息，包括但不限于：（一）企业所在行业的宏观经济环境、社会环境和技术环境分析，企业在产业价值链中的定位，产业链上下游相关产业的发展情况；（二） 企业所在行业的业务模式及特点、总体供需状况、市场竞争情况以及与其他相关行业的关系；（三） 与企业所在行业相关的国内外立法、司法和执法情况、监管体制、政策情况、热点事件、典型案例等；（四） 企业所在区域的发展状况、政府支持、资金情况等；（五） 企业主要的利益相关者（如客户、供应商、债权人、社区、政府等）对法律、合同、道德操守等的遵从情况。第十三条夕卜部法律风险环境信息的收集渠道可以包括行业协会组织、社会中介机构、业务往来单位、网络媒体、相关监管部门、专业机构的调研分析报告、公开信息查询系统等。第十四条内部法律风险环境信息是指，存在于各企业内部，与法律风险管理相关的各种信息，包括但不限于：（一） 企业的战略目标、治理结构、盈利模式及业务模式；（二） 企业的主要经营管理流程、制度、活动、部门职能分工等相关信息；（三） 企业签订的重大合同及其管理情况；（四） 企业相关抵押、质押、留置权等担保权益及与担保权益有关的情况；（五） 企业关于土地使用权、重大债权债务、知识产权管理、人力资源管理等情况；（六） 企业在法律风险管理方面的使命、愿景、价值理念、目标、职责、相关制度和资源配置情况；（七） 企业法律事务工作现状及工作机构设置；（八） 企业法律风险管理现状，以及企业的主要出资人法律风险工作开展状况；（九） 企业曾发生的重大法律纠纷案件、未了结的诉讼、仲裁、行政处罚或可能发生该类法律风险事件的情况；（十）企业主要的利益相关者（如股东、董事、监事、高级管理人员、一般员工等）对法律、合同、道德操守等的遵从情况。第十五条内部法律风险环境信息收集渠道可以包括各企业制定的发展规划、预算计划、财务分析、经济活动分析、工作调研等方面的资料，以及各类工作简报、内部刊物、动态信息和办公网络等。第十六条企业应定期通过各种渠道，广泛、持续收集法律风险环境信息，对信息进行整理、汇总、统计、分析和存档，不断提高信息的有效性企业跨区域经营的，需关注不同区域内企业外部法律风险环境信息之间的差异。第二节法律风险评估第十七条企业应以收集的法律风险环境信息为基础，开展法律风险评估。法律风险评估包括法律风险识别、法律风险分析和法律风险评价三个阶段。第十八条法律风险识别阶段，企业应在所有业务领域、经营管理活动、业务流程中查找法律风险，对查找出的风险进行描述和分类，对其形成原因、影响范围、潜在后果进行分析归纳。第十九条法律风险可以分为以下类型：（一） 民商事法律风险企业的经营管理行为可能弓I发民商事法律纠纷的风险，包括合同法律风险、侵权法律风险、公司治理法律风险等。（二） 行政违法法律风险因企业的经营管理行为违反法律法规规章，引发行政处罚等不利后果的风险。（三） 刑事犯罪法律风险因企业的经营行为触犯刑法，可能导致企业或相关责任人受到刑罚处罚的风险。基于集团公司的企业性质、行业特点以及战略规划，企业应对涉及国有资产、安全环保、反垄断合规、土地管理、工程建设、投资并购、公司治理、资本运作、人力资源管理、财务税收等方面的法律风险给予重点关注。第二十条法律风险分类是企业开展法律风险评估的基础，企业应结合行业特点和经营实际，围绕全部管理环节和业务流程开展法律风险识别，并可对上述法律风险类型进一步拓展和细分，形成法律风险分类目录，统一风险的定义和术语，保证法律风险识别的系统性和全面性。根据内外部法律环境变化进行动态调整和持续改进。第二十一条在法律风险分析阶段，各企业应对识别出的法律风险进行定性和定量分析，判断相关风险发生的可能性和影响程度。第二十二条对法律风险发生的可能性进行分析时，可以考虑但不限于以下因素：（一） 相关法律法规的完善程度，以及相关监管部门的执行力度等；（二） 现有法律风险管理体系的完善与执行力度，包括企业内部用以控制相关法律风险的策略、规章、制度的完善程度及执行力度等；（三） 企业内部相关人员对法律法规、相关政策、企业规章制度以及法律风险控制技巧的了解、掌握程度等；（四） 利益相关者的综合状况，包括利益相关者的综合资质、履约能力、过往记录、法律风险偏好等；（五） 与法律风险相关工作在一定周期内发生的次数。第二十三条对法律风险的影响程度进行分析时，可以考虑但不限于以下因素：（一） 后果的类型，包括财产类的损失和非财产类的损失等;（二） 后果的严重程度，包括财产损失金额的大小、非财产损失的影响范围、利益相关者的反应、向其他风险转化传递的效应等。第二十四条企业法务部门统筹组织开展法律风险分析工作。各职能部门根据不同的风险类型特点和管理实际需要，综合考量上述因素，初步分析判断风险发生可能性和影响程度，将分析结果汇总至法务部门进行统筹衡量评定。第二十五条企业法务部门对各类法律风险的分析结果进行比较评价，结合企业风险偏好和承受度，评估法律风险等级。划分标准为：（一）重大法律风险该类法律风险可能导致企业或企业负责人承担刑事、行政法律责任，或引发重大法律纠纷、重大负面舆情等后果，一旦发生将造成极大的或持续性的损害和不利影响。（二）一般法律风险该类法律风险可能引发民商事法律纠纷，发生后将造成一定的损害和不利影响。第二十六条经法律风险评估最终形成企业法律风险清单，清单应对每个法律风险设置相应的编号和名称冽示每个法律风险适用的法律法规、可能产生的法律后果、相关案例、法律分析意见及其涉及的业务单元和部门、经营管理流程等信息，报风险管理部门备案。第二十七条企业应针对立法修法动态、政策市场环境变化、业务流程、重要和主要客户的动态等情况，定期更新法律风险清单。法律风险评估原则上每年进行一次，企业可根据行业特点和经营实际缩短评估周期。对于经营过程中出现的超出法律风险清单的法律风险事件，应按照本节规定的流程进行评估，对法律风险清单进行补充，并向企业风险管理部门报备。第三节法律风险应对第二十八条法律风险应对是指，企业在对法律风险进行充分评估的基础上，采取相应措施将风险控制在可承受范围内的过程。包括选择法律风险应对策略、确定法律风险应对措施、制定法律风险实施计划、评估法律风险应对现状。第二十九条法律风险应对策略包括规避风险、降低风险、转移风险、接受风险和其他策略等，各种策略可单独或组合使用。选择应对策略时，可以考虑以下因素：（一） 企业的战略目标、核心价值观和社会责任等；（二） 企业对法律风险管理的目标、价值观、资源、偏好和承受度等；（三） 应对策略的实施成本与预期收益；（四） 利益相关者的诉求和价值观、对法律风险的认知和承受度以及对某些法律风险应对策略的偏好。第三十条企业根据所选择的应对策略，确定法律风险应对措施。应对措施通常包括以下几种类型：（—）资源配置类包括设立或调整与法律风险应对相关的机构、人员，补充经费或风险准备金等。（二） 制度、流程类制定或完善与法律风险应对相关的制度、流程。（三） 标准、规范类针对特定法律风险，编写标准、规范等文件，供相关人员使用。（四） 技术手段类利用技术手段，规避、降低或转移某些法律风险。（五） 信息类针对某些法律风险事件发布预警信息。（六） 活动类开展某些专项活动，规避、降低或转移某些法律风险。（七） 培训类对某些关键岗位人员进行法律风险培训，提高其法律风险意识和法律风险管理技能。第三十一条确定法律风险应对措施后，应有针对性地制定实施计划。实施计划应至少包括以下内容：（一） 实施法律风险应对措施的机构、人员安排，明确责任分配和奖惩机制；（二） 应对措施涉及的具体业务及管理活动；（三） 对应对情况进行报告、监督、检查的要求；（四） 资源需求和配置方案；（五） 实施法律风险应对措施的优先次序和条件；（六） 实施时间表。第三十二条企业在实施风险应对计划的过程中，应评估剩余风险是否可承受，跟踪应对效果和法律风险发展趋势，适时对应对措施和实施计划进行动态调整。第四节法律风险预警第三十三条企业应建立法律风险监控预警机制，通过设置定量阈值或者定性指标，对法律风险和突发事件实施监控预警，相关指标设置情况在法务部门备案。第三十四条企业各职能部门对于突发事件或达到相关指标的法律风险，应及时向法务部门报告相关信息，由其进行综合分析判断。法务部门认为必要的，应向企业相关职能部门发出预警。第三十五条法律风险预警可以包括以下内容：（一） 风险事件基本情况；（二） 风险发生的可能性分析及后果预测；（三） 相关法律法规规定；（四） 相关典型案例。第三十六条企业法务部门对发布的法律风险预警和相关支持性信息应进行留存，同步向风险管理部门备案。第三十七条企业应对法律风险预警高度重视，进行及时研判，采取适当措施，确保法律风险和突发事件得到安善处理。第三十八条企业应结合战略目标、政策市场、风险偏好及承受度等因素的变化，定期对