在全球化的國際金融市場環境中，銀行業的風險狀況日益複雜，除了傳統的信用風險和市場風險外，法律風險在商業銀行風險組合中的地位不斷上升，對其風險總量的影響也越來越大。為此，巴塞爾銀行監管委員會不但反覆強調商業銀行應當建立有效的法律風險管理體系，而且還將法律風險納入了國際銀行資本充足率監管框架，對商業銀行法律風險管理工作提出了更高的要求。
然而，對於法律風險的內涵、外延及其表現形式，國際銀行界尚未形成較為1致的意見，法律風險管理方法和技術基本上也處於初期的開發階段。依託國際律師聯合會下設的法律風險工作組和“法律與金融市場研究專案”，倫敦政治經濟學院羅傑·麥克米克教授就上述問題展開了深入的研究，《法律風險管理——風險訊號和風險情景分析》1文就是作者發表的系列研究成果之1。
在這篇論文中，作者介紹了英國金融監管機構對風險管理的基本要求，概括了法律風險管理工作的重點和方法，並結合部分典型的法律風險情景，分析了1些實用的風險管理技術。瞭解商業銀行法律風險管理方面的最新研究成果，借鑑英國金融機構開展法律風險管理工作的先進經驗，將有助於推動我國銀行監管制度與國際銀行監管慣例接軌，提高商業銀行的風險管理水平和綜合經營能力。
此前，我們已經先後發表了1篇題為《論<巴塞爾新資本協議>中的法律風險》的論文和1篇題為《律師在法律風險管理程式中的角色》的譯文，及時介紹了法律風險工作組的研究成果。
“毋庸置疑，……從事商業活動必然要承擔風險。管理者應當營造1種環境，使員工能夠審慎地對待風險。對於任何商業活動而言，管理都是1門藝術，而不是簡單的理論；投資銀行的管理工作則更有其特殊性。” [①] —— [英]菲利普·奧格（Philip Augar）
“……市場希望法律通俗易懂，能夠提升市場效率、維護市場穩定性並降低系統性風險，能夠切實滿足投資者、中介機構和抵押權人的需求，從而促使其選擇英國法律作為交易的準據法，……英國法律不應成為交易流程中的薄弱環節。” [②]——英國金融市場法律委員會（FMLC） [③]
1、英國法律的成功經驗
如今，令人耳目1新的2101世紀前10年已經過去了1大半，法律風險還是個重要問題嗎？經歷了“大爆炸”（Big Bang） [④]之後、“黑色星期3”（Black Wednesday） [⑤]之前那段蹉跎歲月的人們會問道：“法律風險？哪裡有法律風險？”英國是主要國際金融中心，英國法律既適宜調整國內金融交易活動，也適宜作為跨境金融交易的準據法，其成功經驗有目共睹。Hammersmith案 [⑥]發生在上個世紀910年代初。那時，英國法律在某些方面出現了1些問題，市場反響強烈。 [⑦] 現在，我們似乎可以放心地在倫敦開展業務活動，不再擔心“法律黑洞”（legal black holes）等類似的問題了。法律並非也不可能10全10美，但卻滿足了我們的需求。當然，我們也不應該沾沾自喜。1直以來，金融市場法律委員會（Financial Markets Law Committee， FLMC）的工作卓有成效。這表明，英國法律仍然存在1些不足，以後也不例外。並且，許多新的法律以及立法議案不斷出臺，其中絕大部分是在歐盟有關機構、消費者團體或者英國內政部的推動下制定的。
作為金融法律師，我們偏愛法律的“確定性”（certainty）。由此，我們對法律變革有著或多或少的牴觸情緒，大都希望法律制度能夠保持穩定。金融市場對於英國實現國際收支平衡發揮了重要的作用，原因之1就是英國法律能夠滿足市場的需求，前引金融市場法律委員會的報告也確認了這1點。或許，其他國家同樣希望擁有競爭力強的國際金融市場。然而，我們走在了前列。我們堅信，保持法律的實用性有助於我們始終保持領先地位。
儘管如此，我們也並非高枕無憂。如果說上個世紀910年代曾經困擾金融市場的技術性法律風險（technical legal risks）已經銷聲匿跡了，那麼其他型別的法律風險，主要是被提起訴訟或者受到處罰的風險似乎已經初露端倪。並且，我們開始關注商業銀行面臨的各種風險，《巴塞爾新資本協議》則重點對操作風險管理問題作了規定。在這種情況下，如何管理法律風險成為了1個有些棘手的問題。
2、監管機構對風險管理的基本要求
英國金融服務局（FSA）強調，其採用了1種“以風險為基礎的方法”（risk-based approach）來實施監管。這種方法有效實施的前提條件是，被監管金融機構應建立完善的風險管理程式。在金融機構的風險監管等許多方面，金融服務局以及其他監管機構都特別強調原則，而不是僵化和細緻入微的規則。 [⑧] 在此基礎上，金融服務局需要確保金融機構不僅僅在形式上，更要在實質上遵守這些原則，不允許它們採取“變通的做法”（creative compliance）來規避某項明確的監管原則，這或許本身就是1項不成文的原則。有人可能會認為，扼殺“創造性”會導致“監管過度”（over-regulation），金融機構開展業務活動時也會縮手縮腳。但是，在現行體制下，這是1種現實需要。
在監管手冊 [⑨]第1部分中，金融服務局闡明瞭實施金融監管的11項核心原則。這些原則與風險管理，特別是法律風險管理有著密切的聯絡。2005年2月8日，金融服務局批發市場部主任托馬斯？赫塔斯（Thomas Huertas）在“外國銀行協會與企業總會計師協會首屆聯席會議”的演講中，闡述了這些原則：
1. 銀行應當誠實守信地開展業務活動；
2. 銀行應當以應有的技能以及合理的謹慎和勤勉來開展業務活動；
3. 銀行應當充分和有效地組織和控制其業務活動，並建立完善的風險管理體系；
4. 銀行應當保持良好的財務狀況；
5. 銀行應當遵守市場行為的合理標準；
6. 銀行應當充分維護客戶的利益並公平地對待客戶；
7. 銀行應當充分滿足客戶的資訊需求，並明確、公平和實事求是地向客戶提供資訊；
8. 銀行應當避免與客戶之間以及客戶相互之間形成利益衝突；
9. 如果銀行同意客戶根據其建議和意見做出決策，那麼該銀行應合理地確保上述意見是可行的；
10. 銀行應當在其職責範圍內充分保護客戶的資產；
11. 銀行應當以開放和合作的態度處理與監管機構的關係，並應充分滿足金融服務局關於提供相關資訊的合理要求。
這些原則具有普遍的適用性。 [⑩] 其中，第3項以及第5項至第10項原則與法律風險管理有著密切聯絡。雖然這些原則的措辭頗為寬泛，但仍然屬於具體的“規則”，金融機構若有違反，將會受到嚴厲的處罰。
金融服務局還確立了另外1項規則，即“金融機構必須合理審慎地建立和保持有效的管理體系和控制機制，確保監管規定和標準得到遵守，防止被他人利用實施金融犯罪活動。”毫無疑問，上述規則對法律風險管理體系有著重要意義。當然，這1規則至少應進1步明確，如何判斷是否達到了合理審慎的程度，以及如何評價風險管理體系和控制機制的有效性。
在演講中，托馬斯？赫塔斯還就金融機構風險管理的其他方面提出了1些具體的建議，簡要說明如下：
1. 以人員為中心
金融服務局客觀地指出，管理風險是金融機構高階管理層的職責，而不是金融服務局的責任。2004年9月17日，在致投資銀行高階管理人員的信 [11]中，金融服務局批發和國際市場部原執行主任海克特？桑特（Hector Sants） [12]指出，金融服務局正在就與金融交易有關的法律風險和聲譽風險問題“開展進1步的工作”（initiating further work），但也“提醒金融機構的高階管理層注意，在各自主管的業務領域中，他們有責任全面管理所有與金融交易有關的各種風險。高階管理層有責任確保所在金融機構建立起了相應的管理體系和控制機制，既能夠管理與上述交易有關的市場風險和信用風險，也能夠使相關的法律風險和聲譽風險受到應有的重視。”並且，金融服務局將“越來越多地關注上述管理體系和控制機制”。 [13] 為了對金融機構的高階管理層履行上述職責的情況進行評價，金融服務局將密切關注以下幾個方面：
（1）控制和合規在多大程度上融入了銀行的企業文化？換言之，“不斷創造效益”的壓力與“處處遵章守紀”的義務是否相沖突？
（2）銀行是否合理地設定了審計部門和合規部門？
（3）在銀行的董事會中，是否有能夠對管理層實施有效監督的獨立非執行董事？
（4）內控部門就業務活動發表的意見是否受到重視，或者上述意見是否被認為無足輕重？
（5）如果發生違規行為，銀行將如何處理？銀行是否會認為這無關緊要，甚至企圖掩蓋？
（6）在上述發生違規行為的情形下，銀行是否會向監管機構報告上述違規行為，處罰有關責任人員，並採取措施降低此類違規行為再次發生的可能性？
為金融服務局監管的商業銀行設計風險管理程式的人員均應關注上述問題。應提請金融機構的有關工作人員對這些問題做出回答，答覆的內容應予記錄並進行核查。
上述問題所蘊含的原則可以普遍適用於各行各業。例如，《特倫布林報告》（Turnbull Report） [14]的很多內容都涉及了這些原則，倫敦證券交易所上市公司都應遵守該報告的要求。根據該報告，董事會在評價本企業的“內部控制”政策時應考慮以下幾個方面的問題：
（1）公司面臨的風險的性質和程度；
（2）公司可以承受的風險的程度和型別；
（3）風險事件發生的可能性；
（4）公司防範風險以及降低風險事件不利影響的能力；
（5）採取特定控制措施的成本與管理有關風險所得收益之間的對比關係。
董事會還應要求管理層定期提交報告，該報告應“就有關業務領域，對重大風險以及用來管理上述風險的內部控制體系的有效性做出客觀的評價”。上述方法完全可以適用於金融機構，無論其是否為上市公司。
2. 重點關注的問題
托馬斯？赫塔斯介紹了金融服務局在2005-2006年期間重點關注的1些有代表性的問題。金融服務局將會就這些方面開展跨機構檢查（cross-firm reviews）。金融服務局將重點關注以下問題：
（1）利益衝突：“金融業普遍存在利益衝突問題。顯然，銀行沒有必要徹底消除利益衝突，但應當有效地管理且不得濫用利益衝突。如果1家公司代理其客戶從另1家公司購買產品或者接受服務，往往會產生利益衝突。那麼，哪些費用應當由客戶負擔，哪些費用應當由代理人負擔？如果客戶未能嚴格地進行監督，代理人就有可能將某些費用歸其客戶承擔……。我們正在檢查部分金融機構如何在整個企業或者企業集團範圍內識別和管理其所面臨的利益衝突，以及高階管理層如何瞭解利益衝突問題的處理情況？”
（2）結構性交易（structured transaction）：“我們還關注銀行在參與結構性交易時面臨的風險。備受關注的安然（Enron）、世通（Worldcom）和帕瑪拉特（Parmalat）等事件都凸顯了這1問題的重要性。如果客戶利用與金融機構的交易活動來規避監管或者報告的義務、逃避納稅責任或者實施其他不正當的行為，那麼該金融機構將面臨重大風險，特別是聲譽風險。經驗表明，即使在技術層面上，交易活動符合法律、會計和監管規則，仍然可能存在聲譽風險。我們將對部分金融機構進行檢查，瞭解其如何評估與結構性交易有關的風險，以及如何決定哪些結構性交易應當放棄。”
（3）公司治理：“……我們極為重視公司治理。……在這1方面，核心的問題實際上是金融機構如何協調其全球化的業務體系與區域性的管理架構以及法人有限責任之間的關係。”
（4）壓力測試（stress testing）：“在與金融機構進行溝通的過程中，金融服務局敦促其在風險管理程式中運用壓力測試和情景分析（scenario analysis）的方法。……上述方法的應用範圍廣泛，其中1個重要方面就是金融機構如何識別和評估最為極端的情況。從影響程度來看，這種情況1旦發生，將會給金融體系的穩定帶來潛在的威脅。” [15]
上述前兩個方面的內容明顯涉及法律風險問題。用“法律風險”1詞來概況這些問題未必準確，且監管機構也很少正式使用這1概念。儘管如此，法律風險仍然值得關注。在風險管理，特別是法律風險管理工作中應當重視以上4個方面的問題。
例如，作為1種風險管理技術，壓力測試能夠有效地分析出“意外的”司法判決等典型風險事件的影響。靈活地運用這種方法對風險管理工作的很多方面都大有裨益，包括提供“早期預警”（early warnings）、促進有效的資訊流動，以及在某些情況下能夠提示那些與特定事件有關但又不易識別的風險敞口。利益衝突和結構性交易理應是風險管理體系需要關注的法律問題。
2005年11月10日，海克特？桑特致函各商業銀行執行長 [16]，進1步闡述了金融服務局關於利益衝突和“非標準化交易”（non-standard transactions）的態度。 [17] 對於法律風險管理人員而言，這份檔案也值得1讀。值得注意的是，就非標準化交易而言，法律風險和聲譽風險管理工作往往結合在1起，實際上也無法孤立地進行。例如，“最佳慣例”（best practices）是指，制定1系列政策和程式，“用來管理存在重大法律風險和聲譽風險的交易”。這些政策和程式包括金融機構已經認可的、能夠反映可疑交易特點的預警訊號（warning signals）或者“風險訊號”（red flags），從而有助於識別風險。這份檔案的附錄列舉了1些實踐中常見的風險訊號：
（1）交易的真實目的是為了能夠適用某種會計處理方法或者財務披露標準，可能是該會計處理方法不明確，也可能是該種方法不能反映交易的經濟實質；
（2）交易的目的是為了能夠適用某些法律或者監管規定，或者該金融機構的法律顧問認為，擬適用的法律或者監管規定存在重大的不確定性；
（3）交易中存在重要的抵銷安排或者交易可能引起風險擴散。
這些風險訊號對法律風險管理程式的重要性，以及律師能夠發揮的重要作用都是不言而喻的。
然而，我們不應將法律風險管理視為1種獨立的風險事件型別。法律風險的確有著諸多特殊性，但法律風險管理體系與操作風險管理體系應當是統1的，法律風險管理人員或者操作風險管理人員1般均應掌握巴塞爾委員會（BCBS）於2003年1月公佈的《操作風險管理和監管的最佳慣例》（Sound Practices for the Management and Supervision of Operational Risk，以下簡稱《操作風險慣例》）。
目前，眾多行為守則和1系列原則已經覆蓋了風險管理工作的各個環節。從總體上講，這些規則和原則濃縮了關於風險管理的良好慣例，得到了廣泛的認可。有1些規則和原則可能已經廣為人知。當然，它們之間也不免會有所重複。為了使風險管理工作落到實處、受到應有的'重視並經得起核查驗證，就必須遵循上述原則。
在本刊2004年刊載的《<巴塞爾新資本協議>與金融機構法律風險管理》1文已經對巴塞爾委員會制定的《操作風險慣例》以及部分國家金融監管機構釋出的相關檔案作了研究，本文將重點分析在我們所熟悉的部分風險情景中，1些基本的法律風險管理技術。
3、法律風險管理工作的內容
“事實上，銀行家的工作就是管理風險。這1看法似乎有些片面和武斷，但這的確就是銀行業務的本質。”
——沃爾特？瑞斯頓（Walter Wriston），前花旗銀行集團總裁。
“風險管理”的內涵是什麼？風險管理並不意味著完全化解所有的風險，因為這是可望但不可及的事情。風險管理的目的也不是1味地降低風險，因為在很多情況下，銀行有必要承擔1定程度的風險。商業銀行、保險公司以及其他金融機構在開展業務活動的過程中都要承擔風險，這些風險包括1些極為複雜的風險和技術性風險。因而，金融機構必須開展風險管理工作。這並不是其經營活動的某個方面，而是其核心內容。風險管理工作的內容可以根據其目標來確定，例如避免承擔過高水平的風險，無論是各種風險作為1個整體，還是針對特定型別的風險；有效的風險定價；消除“意外的”（surprise）風險；防範極為嚴重的風險等；或者根據識別、評估、分析等風險管理程式來確定；當然，也可以根據其他標準確定。幾年前，金融服務局原執行局長約翰？泰納（John Tiner）曾為本刊撰文，從實務的角度將風險管理定義為：“1個行為體系，在其框架下，1個組織來規劃、評估、應對和監控風險，以實現其戰略目標和意圖。” [18]
風險管理工作的重點在於行為。因此，當企業試圖“管理”風險時，它實際上會開展哪些工作？通常，風險管理工作由許多環節組成：
（1）對於那些往往會引發重大風險的情況，儘可能地進行控制，或者阻止上述情況的發生；
（2）控制風險事件造成的損失；
（3）對於那些可能導致實際損失的風險事件，採取措施阻止其發生，即使上述實際損失已經存在；
（4）通過保險或者衍生工具等轉移風險；
（5）在參與的談判或者結構性交易中轉移風險，或者避免承擔風險。
上述風險管理措施看似簡單，實則不然。要使金融機構採取恰當的措施，並使其員工認識到上述措施的重要性則尤為困難，而這正是風險管理工作的重中之重。
事實上，那種認為單個金融機構自身往往就能夠有效地管理風險的看法並不正確。在很多情況下，有必要與其他市場參與者採取1致行動，來推動法律的修正 [19]，提出立法建議，或者制定更為完備的商業檔案等。通過行業協會或者金融市場法律委員會等類似機構的工作或許可以達到更好的效果。風險管理工作的其他方面包括對那些無法避免或者自願承擔進行分析，並在適當情況下，結合特定交易環境，對有關風險進行估值。實際上，絕大部分法律風險管理工作是在交易談判以及設計更為複雜的交易結構的過程中完成的。
4、部分法律風險管理技術
我們無法窮盡列舉管理法律風險的所有技術。並且，正如金融服務局在2005年11月致商業銀行執行長的信中指出的那樣，管理法律風險的最佳慣例將不斷髮展和演進。與法律風險有關的事實情景不勝列舉。然而，對不同型別的風險管理技術做出詳盡的說明還是有可能的。
[1]