陶光辉（一法网）

年4月16日，美国商务部宣布重启对中兴通讯的制裁禁令，中兴通讯将在7年内被禁止以任何形式从美国进口商品，理由是认为中兴通讯违反了年3月与美国政府达成的和解协议。这对于严重依赖从美国进口芯片等元器件的中兴通讯来说，无疑是一场灭顶之灾。4月22日，中兴通讯在深交所发布自愿性公告，声称“吸取过去在出口管制合规方面的教训，高度重视出口管制合规工作，把合规视为公司战略的基石和经营的前提及底线。”为什么一家“把合规视为公司战略的基石和经营的前提及底线”的上市公司，恰恰因为合规问题被美国重拳制裁呢？抛弃目前中美两国 的大背景不说，究其原因在于，本次不合规带来的风险是中兴通讯管理层早就认识到的，但对于该风险的评估却是中兴通讯管理层未看清的。为什么这样说？且先看看中兴通讯事件始末。

可以看出，中兴通讯内部对于违反美国出口管制相关法令以及与美国政府签署的和解协议的后果是心知肚明的，但基于业务需要和侥幸心理，对于该违反合规义务的后果是没有“畏惧之心”的。用合规管理的术语来说，合规风险已经识别出来了，但对于如何评估该风险及应对风险却远未到位。假设中兴通讯管理层清晰、深刻评估到自己的不合规行为会随着时间的推移、事件的演变带来如此毁灭性结果，还会有侥幸心理吗，还有“顶风作案”吗？

1、合规风险评估概述

合规风险评估是在识别合规风险的基础上，对合规风险进行的分析与评价。即合规风险评估包括合规风险分析和合规风险评价两个过程。合规风险分析是要增进对合规风险的了解，为风险评价和应对提供支持。合规风险分析是在风险识别的基础上，考虑不合规发生的原因、后果及发生可能性等因素，最后可形成合规风险清单。

对以上合规风险清单文档，应达到下列标准：风险描述：简单且准确地描述风险，风险可能在什么情况下以什么方式发生以及风险对既定目标的影响。风险发生原因：明确会导致风险发生的真正原因。风险发生结果：说明风险发生后在哪些方面，以及以怎样的方式造成影响。风险发生可能性：说明风险发生的概率大小。本次中兴通讯因违反美国对外贸易管制法规所产生的合规风险分析如下：

2、合规风险分析的方法

合规风险分析主要包括风险触发原因分析、风险发生后果分析、风险发生可能性分析。用于合规风险分析的方法，可以是定性的，也可以是定量，也可以是两者的组合。后果分析是假设特定事件或情况已经出现，确定风险影响的性质和类型。后果分析形式可以灵活一些，可以是描述型的，也可以是详细的数量模型。例如，后果分析可分为严重、一般、不重要三个档位。也可分为极其严重、严重、中等、轻微、极低等五个档位。后果分析要考虑到以下因素：将风险后果与最初目标联系起来；对马上出现的后果要与那些经过一段时间可能出现的后果两种情况同等重视；不能忽视次要后果。可能性分析的方法也有三种，可单独使用或联合使用。一是利用相关历史数据来识别那些过去发生的事情，借此推断他们在未来发生的可能性。二是利用故障树或事件树等预测可能性。三是结构化地利用专家的观点来估计可能性。对于可能性，可用定性的方法来描述。如非常高、高、中等、低。也可采取量化的数值来表述，如数字1-5，分别表示发生概率从1%到99%。但对于该数值本身如何确定，则仍必须借助定性的方法予以固定。

3、合规风险评价的方法

合规风险评价是将风险分析的结果与企业能够接受的风险水平相比较，或者在各种风险分析结果之间进行比较，以确定风险的等级。风险评价应满足风险应对的需要，否则应做进一步的风险分析。风险评价是利用风险分析过程中获得的对风险的认识，对未来的行动进行决策。最简单的风险评价，是将风险分为两种：需要应对的和无需应对的。但这样的方式难于全面反映情况，而且两类风险的界限本身也不好确定。常见的评价是依照企业对风险的容忍程度，将风险分为三个区域。一是不可接受区域。在该区域内，无论相关活动可带来什么收益，风险等级都是无法承受的，不惜一切代价进行风险应对。二是中间区域。对该区域内风险的应对要考虑应对措施的成本与收益，并衡量机遇和潜在后果。三是广泛可接受区域。该区域的风险很小，无需采取任何应对措施。很明显，如果对中兴通讯违反美国出口管理法律规定产生的风险进行评价，其毫无疑问应当划到不可接受区域。那些所谓出于业务需求、盈利压力的说法，都是没有正确评价这种性质的风险的表现。风险评价后，需要进行决策。决策时应包括的内容有：某个风险是否需要应对；风险的应对优先秩序；应该采取哪种途径。决策要参考法律、财务、道德等因素。对于风险评价，可把风险后果分析、可能性分析等结合起来，对风险进行排序，形成一个风险等级表，也可形成一个风险坐标图。

4、合规风险评估报告

合规风险评估工作最后的落地应当是一份全面的合规风险评估报告。报告人应当是一个集体，包括法律专家和非法律专家，同时还要业务经理的参与。报告可分为定期评估报告、专项评估报告。合规风险评估报告的内容应包括合规风险评估实施概况、合规风险基本评价、存在的合规风险、原因及可能的公司损失，处置建议和应对措施等。具体如下：1）合规风险评估工作实施概况：包括风险评估背景、范畴、评估方法、实施过程等。2）合规风险基本评价包括已识别的合规风险领域、风险分级、整体评价结论等。3）存在的合规风险包括需要处理的风险类型、风险清单等。4）合规风险发生的原因分析包括风险发生的系统性原因、直接原因、局部原因、特别原因等。5）合规风险发生可能导致的公司损失包括如风险发生可能给公司带来的损失预测等。6）合规风险应对建议包括风险应对的措施和建议等。

小结：合规风险评估是企业合规管理工作的第一步，也是极为关键的一步。评估可采用的技术和方法是多样的。有效的合规风险评估，为提出合理的合规风险应对措施打下良好基础。

作者简介

陶光辉

一法网CEO

专注领域：企业法务与合规管理、依法治企体系建设依法治企网首席顾问，武汉大学法学硕士，高级经济师、律师、仲裁员。大连大学法学院客座教授，中国人民大学企业法治研究所智库兼职专家，中国中小企业协会法律顾问工作委员会常务副理事长、青岛仲裁委互联网仲裁院副院长、北京创业投资法学研究会常务理事，法律出版社特邀高级策划编辑。原国美控股集团法务总监，曾获亚洲法律杂志（ALB）中国最佳总法律顾问奖。著有《公司法务部》（法律出版社年），在《中国司法》、《中国律师》、《清华金融评论》、《法人》、《方圆律政》、《中国知识产权报》、《人力资源》、《公司法律报告》等发表若干实务论文。中国GC36人论坛的主要发起人，法总五人谈系列沙龙的核心发起人，法务人俱乐部的创办者。

系列文章

●如何识别合规风险——从“抖音”被约谈说起

威科先行??法律信息库是荷兰威科集团(WoltersKluwer)为中国专业人士量身定制的在线法律信息库产品。该产品整合了威科全球与中国相关的中英文法律题材内容，搭载领先的智能信息技术平台，是集法律法规、案例、实务指南、国际条约于一体，高效检索、及时更新的法律信息解决方法。

点击