（三）制定控制计划：控制措施类型
在风险控制态度明确之后，我们制定具体的风险控制计划，风险控制计划中一个非常重要的步骤是选择风险控制措施的类型，风险控制措施类型通常有这么几类：第一类是通过制度或者流程，第二是标准指引，第三是技术手段，第四是培训，第五是资源配置，第六是相关控制活动，第七是信息的告知或发布。
第一，制度流程。我们的一个企业大量涉诉，我们做这个项目时发现是他收到法院传票以后采取非常消极的态度，不举证，结果导致本来他赢的官司他全输了，所以我们建议这个企业第一要建立纠纷管理办法，明确相关责任。第二建立重大应收账款的催收管理办法，建立这种制度，数额比较重大的，一旦超过某一个时期，企业就要采取措施，第一发催收函，第二通过法律途径比如起诉等方式保障自己的权利，一旦过了诉讼时效，这个就完全追不回来了。这是制度。
关于流程，我们给一家图书公司做法律风险控制，图书这个行业面临激烈的竞争，所以他们回扣很多，从法律角度认为这是商业贿赂，这个问题关系到企业的生死存亡，可能还涉及到高管的刑事责任，企业的管理者一看到这个问题非常着急，他说你们律师来了以后，发现这个问题是我设立公司一直以来的梦魇，我们这个企业就是靠这个发展起来的，如果没有这种方式，我们的市场份额一下子就降低了很多，我们只能打价格战，通过这种方式获得发展。我们就给他们提了一个建议，你是否可以梳理一下你们的业务流程，通过流程再造，把风险转移出去，最终我们想的办法是设立省级分销商或者代理商，实际上是找各个省的书店，给他们签订合同，以6.5折或者7.5折发给你，由你去打通下面的市场，，这个企业非常高兴，后续给我们反馈说，这样效果非常好，第一市场份额大，第二晚上能睡着觉了。这是通过流程再造做出的。
第二，标准和指引。所谓的标准，比如我们的企业面临大量的合同，很多情况下我们是甲方，在合同关系中我们处于强势地位，但就是因为我们企业没有相应人员来建合同数据库，结果都是对方发来的合同。我们给中小企业做风险管理时发现，他们的合同五花八门，有的合同是经过律师审核的，感觉非常严格，有的能看出对方不懂法律。
指引。很多企业面临这些风险并不是员工没有法律意识，而是不知道具体应怎么做。
第三．技术手段。比如我们给一家中关村科技园企业做服务，它是完全的创新型企业，就是靠研发，靠知识产权，靠专利。商业秘密尤其是技术秘密保护方面存在重大漏洞，公司电脑里的资料随意地就可以拷走，员工在公司做的技术资料拿回家里去，这里就面临商业秘密泄露风险，因为你的知识产权，你的技术秘密是企业的命根子，是企业的核心竞争力，如果人力资源管理方面有问题，员工觉得在你这个企业做得不好，或者出现什么纠纷了，把你的技术资料带到别的企业，就会给你的竞争对手带来很大的竞争力，这个企业的处境可能就变得非常危险，所以我就建议他对整个员工信息系统进行技术化的处理，核心研发人员才能进入这个核心系统，外围研发人员只能看到某些文件最终他们设立了相关措施，一进门就站在那儿，马上给你拍照，人脸识别，什么时候来公司，什么时候走，带什么东西完全知道，所以这个风险可以完全避免。
第四，培训。商场、超市这种性质的企业经常会发生保安人员强行搜身的行为，当他找到我们做这个项目时，针对这个我们的建议是对保安人员进行系统培训，强行搜身这种行为侵害了消费者权益，经过几次培训并且反复强调，这个问题很少发生。如果一个超市把顾客拦下来搜身而引发了诉讼，对企业商誉的损害非常大。
第五，资源配置。这是从人、财、物三个角度来说的，人员的充实，财力的补充，物质上的保障。比如合同管理方面，增加合同审查人员的数量或者通过外聘律师的方式介入，提高企业在合同审查方面的能力。
（四）制定控制计划：示例
word/media/image1.jpeg
风险控制计划制定时一定要包含这几项，我们给一个客户提供服务时，很多律师写风险控制计划时不进行细分，这就导致两个问题：一是措施不到位，二是显示律师的工作量非常小。
（五）制定控制计划：律师实务文本
1.法律风险管理计划制定指南
律师介入企业做法律风险管理项目时有很多事务需要企业的法律部门甚至业务部门配合我们完成，因为很多企业有什么样的管理资源我们是不明白的，一个企业的信息系统是怎么样的情况，信息系统能解决什么问题我们不明白，所以我们边写法律风险管理计划边告诉企业这个风险考虑从哪几大类通过制度、流程、技术手段、培训等等告诉他有这么多选项，甚至把这个表列出来，这样的话这个事就非常好做了。
2.法律风险管理手册
法律风险管理手册是整个法律风险管理项目中最重要的一个成果，是我们最重要的一个文本，这种东西最终要发放到企业各个业务部门、各个人员的手中，这是体现出我们项目成果的一个最重要的载体。
律师参与法律风险管理项目中的计划制定指南，这个指南包括几方面内容：第一是概述，把项目进展的情况、来龙去脉、项目所进行的阶段总体性的描述一下。下面分为五大部分和附件。
五大部分：
1.法律风险控制策略，这里面包括两部分内容：第一，我们在项目开展时与企业的领导层包括管理层所确定的对重大法律风险管理的策略；第二，通常对一个法律风险应当采取哪几种措施的具体类型的划分，告诉企业人员可以选择规避，可以选择接受，可以选择转移，可以选择降低。
2.风险控制措施类型的选择。刚才所列举的包括制度、流程、技术手段，我们一定要把什么叫制度、流程解释清楚，而且在每一个控制措施种类后面附加上实例。
3.机构与人员安排。重大法律风险的控制计划制定需要哪些部门参与？有哪些人员参与？我们通常的惯例是哪个部门涉及的重大法律风险由法律部门先提出控制计划，然后项目组进行修订和更改。
4.责任和奖惩机制。这个以公司、企业的名义来作出。
5.执行和监督、检查。风险控制计划制定的时间周期比较长，这个时候我们要从企业领导层层面甚至项目组层面监督风险控制计划制定的情况。
附件是法律风险管理计划与实例。法律风险管理制定计划中最重要的一个文本就是法律风险管理手册。这个手册由四部分组成：第一部分是部门法律风险等级及分布，每个部门对本部门所涉及的法律风险要有全面的认识。第二部分是部门法律风险及控制建议。在这其中还对应了萨班斯控制点，萨班斯法院是美国关于上市公司内控制度的一个指引，国内很多企业也把这个东西拿来做企业内控的一个指引，法律风险管理是近几年方兴未艾的一个事物，实际也是风险管理中的一种，那我们是不是要建立另外一套系统，实际不是这样的，在法律风险管理控制现状评估时也提到，我们企业对现有风险是有控制措施，在这个项目上就把企业所有内控风险控制点也都罗列了，我们认为如果这个风险在内控角度里已经做了控制，法律部门、业务部门知道就可以，实际等于说已经做了，只不过是从那个角度来做的。法律风险控制建议，涉及法律法规这方面的主要作用是让业务明确了它这个部门所涉及到的法律风险有什么样的控制措施，对于重大法律风险下一步应该怎么办，他有了解。第三部分是部门重大法律风险控制计划。第四部分是介绍法律风险案例。案例是本企业的案例，包括诉讼、仲裁的案例，包括没有进入法律程序通过和解的案例。通过实际案例的学习，提高企业员工的法律风险意识。
二、企业法律风险管理的难点
1.从项目本身来说，风险的分析、法律风险的控制、法律风险的实施评估各有难点。风险识别的框架一定要非常科学，这是整个项目开展的前提，现在这方面也有了非常好的成果，就是对法律风险的五大分类，这五大分类与业务流程结合，梳理了所有风险。
2.法律风险控制阶段的难点我们在实施评估过程中我们会揪出很多企业存在的遗留问题，甚至我们在进行评估时会发现很多非常严重的问题，涉及到企业人员的责任问题，这时候会面临非常大的阻力，如果不做彻底的话后续的工作量很大，所以力求做彻底，但阻力也不小。
3.实施评估。项目到了实施评估阶段基本到了常规项目运作时，我们不可能一直陪着企业，实施评估中也会面临一些难题，这是各个阶段都有的难点。
4.周期非常之长。一个法律风险项目，如果你确实要给企业做出一点东西来，这个项目周期非常长，法律风险识别至少一到两个月，甚至更长时间。
5.强度大。如果你经历了一个法律风险管理项目，身体加速折旧。
6.绩效不明显。这个东西一般是在三五年之后才能体现。
7.全面风险管理企业内控企业的契合是个难点。因为内控企业是由财政部来抓这个事的，全面风险管理尤其是国有企业是国务院国资委来抓的，法律风险管理是企业自身的需求，在这两个企业都建立起来以后有不同的方法论、不同的思路，要将其真正的融合在一块非常难。
8.法律风险分析、控制、评估只是一个系统，要完全有效的建立一个体系，把房子盖起来，但这个房子涉及内容非常多，比如说法律风险数据库的更新制度，怎么更新，由谁输入等等，重大法律风险识别的预警，比如说《劳动合同法》颁布实施了，由哪个部门牵头劳动法颁布实施后对企业的影响做一个分析？
还有是法律风险数据库的应用制度，哪些进，哪些不能进都有讲究。
重大成果外泄以后对我们来说是个竞争压力。还有组织机构的健全，搞这么一套风险管理体系，人员配备、职能要非常优化才能运转起来，报告制出了风险以后由谁报告，报告给谁等。
从法律风险管理要素要求角度来说，项目成员一定要一专多能，最好具备财务、法律、管理咨询的背景，否则很多东西看不懂。还有就是企业全员要参与，最重要的是领导层面的支持。
三、企业法律风险管理的业务空间
毋庸置疑的是，企业法律风险管理将成为律师未来一个业务亮点，为什么？因为企业越来越感到一定要把风险关口迁移，通过发生诉讼以后请律师打官司，我们在座的都知道打一个官司的时间太长了，不单是客户，连律师都觉得人生中的很多宝贵时间都耗费在这里，所以他们就觉得一定要把法律风险控制在它的萌发阶段，一是要避免正负极接触，正极为法律风险情形，负极为法律风险因素。二是要降低风险损失程度。
从青年律师的角度来说，如果你要致力于这方面的业务，在没有具备相关项目经验之前，我建议大家从专项的角度给企业做。如果不想成为这方面业务的律师，我的建议是这样的：你在给企业提供常年法律顾问包括专项服务时可以把企业法律风险管理这一套思路融入到你的工作中去，这样可以有效提升你的工作价值，第二降低你的工作量。
从律所的角度来说，有几方面：企业法律风险管理的需求很大，为什么？第一财政部、企业内控指引十八项配套的应用指引已经发布了，上市公司2011年和2012年将施行，同时企业法律管理国家标准指引也将出台，制度一出台，国有企业、民营企业肯定会纷纷效仿，因为有东西可以作为指引，肯定做，但做的层面和深度各不相同。第二，当前企业现实的需求。第三，企业法律风险管理的市场规模。
如果你的律师事务所要开展这项业务，可以从几方面进行：第一，整合人力资源，吸收各项专业才能人士加入到其团队。第二，整理你的成功案例。第三，整合知识资源。在这方面的法律法规、专著，建立风险管理知识库，制定发展计划。
在产品推广这一块我建议大家细分服务类型，比如合同管理的法律风险，第一细分服务，第二研发产品套餐。
最后我想说两点：第一，法律风险管理这种项目现在方兴未艾，有很多人做，有做得好的，也有做得不好的，但我们确信法律风险管理在将来一定大有空间。第二，我要提示一点，法律风险管理这套东西要起作用的前提是企业有良好的公司治理，如果没有公司治理这套东西，企业的风险因素非常大，做风险管理这套东西很难起作用。
律师要做战士——拔刀而起，律师要做绅士——温文尔雅，律师要做谋士——运筹帷幄，律师要做隐士——淡泊名利。
word/media/image2.jpeg
《企业法律风险管理控制模块及其计划与实施》相关文档：
采购合同风险管理10-26
EPC总承包合同计价模式及风险管理研究04-12
金融行业劳动合同风险管理04-21
银行风险管理部副经理竞聘演讲稿05-04
EPC总承包合同计价模式及风险管理研究05-07
EPC项目风险管理与探讨05-07
EPC工程总承包项目的风险因素与风险管理05-07
风险管理练习题(第6-10章 )05-17
商业银行信息科技风险管理指引07-02
信息科技风险管理.doc07-02
