legal-risk-scoring

评分模型

双轴评估矩阵

每项法律风险都从两个相互独立的维度进行衡量：

影响程度（风险成为现实后的后果）：

评级	描述	含义
1	微不足道	造成的干扰极小；不会带来有实际意义的财务、运营或声誉后果。日常运营即可消化。
2	轻微	影响范围有限；财务风险敞口低于相关合同或交易价值的 1%；造成短暂的运营波动；不会引起公众关注。
3	重大	影响切实可见；财务风险敞口占相关价值的 1-5%；对运营造成明显干扰；可能引起有限的外部关注。
4	严重	影响重大；财务风险敞口占相关价值的 5-25%；对运营造成显著干扰；很可能受到公众审视；可能引起监管部门关注。
5	极其严重	影响可能威胁生存；财务风险敞口超过相关价值的 25%；核心业务运营受到威胁；造成重大声誉损害；预计会受到监管处置；董事和高管可能承担个人责任。

发生概率（风险实际发生的可能性）：

评级	描述	含义
1	可忽略	基本上仅存在于理论层面；类似情形中没有已知先例；需要极不寻常的情况才会发生。
2	低	虽有可能，但预计不会发生；先例极少；需要特定的诱发事件。
3	中等	有可能发生；一些类似情形已实际发生；可以预见诱发条件。
4	较高	预计会发生；存在明确先例；类似情境中诱发条件很常见。
5	几乎确定	基本必然发生；有明确的历史规律；诱发条件已出现或即将出现。

计算分数

风险评分 = 影响程度 x 发生概率

分数范围	类别	指示标识
1-4	基准风险	GREEN
5-9	中级风险	YELLOW
10-15	较高风险	ORANGE
16-25	紧急风险	RED

可视化矩阵

                     OCCURRENCE PROBABILITY
               Negligible  Low   Moderate  Elevated  Near Certain
                  (1)      (2)     (3)       (4)        (5)
IMPACT
Severe    (5) |   5    |   10   |   15   |   20   |     25     |
Serious   (4) |   4    |    8   |   12   |   16   |     20     |
Substantial(3)|   3    |    6   |    9   |   12   |     15     |
Minor     (2) |   2    |    4   |    6   |    8   |     10     |
Trivial   (1) |   1    |    2   |    3   |    4   |      5     |

类别概况与应对协议

GREEN -- 基准风险（评分 1-4）

概况：

• 后果轻微且发生概率可忽略的问题
• 已有成熟控制措施的常规运营风险
• 组织经常管理的常见风险模式

协议：

• 接受：在现有控制措施下继续推进
• 记录：录入风险登记册，以便持续掌握情况
• 定期检查：在季度或年度审查周期中重新评估
• 无需升级：由负责的团队成员独立处理

典型情形：

• 供应商协议在非重大条款上与首选条款略有偏差
• 与信誉良好的交易对手方在熟悉司法管辖区签订的标准保密协议
• 责任人和截止日期明确的常规行政合规任务

YELLOW —— 中等风险（评分 5-9）

概况：

• 在现实情况下可能发生、后果中等的问题
• 值得积极关注，但无需紧急响应的风险
• 有先例可循、可据此制定管理路线图的情况

应对方案：

• 降低风险敞口：实施有针对性的控制措施，或协商改善条款
• 主动监控：每月审查一次，或在发生预先定义的触发事件时审查
• 详尽记录：在登记册中记录风险、所有缓解措施及决策依据
• 指定负责人：由特定个人负责跟踪和缓解风险
• 与利益相关方沟通：向相关业务联系人告知风险及缓解方案
• 升级触发条件：定义导致该风险升至更高类别的具体条件

典型情形：

• 协议中的责任上限低于理想水平，但仍处于可协商范围内
• 供应商在数据充分性状态不确定的地区处理个人数据
• 可能在中期影响某条业务线的监管动态
• IP 条款范围较理想情况更广，但符合市场惯例

ORANGE —— 较高风险（评分 10-15）

概况：

• 影响重大且有现实可能发生的问题
• 可能造成重大财务、运营或面向公众的损害
• 需要高层关注并采取有序缓解措施的情况

应对方案：

• 高级法律顾问介入：向法务负责人或指定的高级律师简要汇报
• 制定结构化缓解计划：制定具体且有明确时限的计划，以降低风险
• 让领导层知情：确保相关业务领导了解风险及建议的应对路径
• 频繁审查：每周跟进，或按里程碑重新评估
• 评估外部法律顾问意见：视情况聘请领域专家提供指导
• 撰写详细分析：编写完整的风险备忘录，涵盖分析、替代方案和建议
• 应急规划：明确风险发生时的响应方案

典型情形：

• 协议在重大义务领域包含无上限赔偿责任
• 数据处理操作若不进行重组，可能违反监管要求
• 重要交易对手方提出可信的诉讼威胁
• 有合理依据的知识产权侵权指控
• 收到正式监管问询或审计通知

红色——紧急风险（评分 16-25）

概况：

• 后果最为严重，且发生概率很高或几乎确定
• 可能危及企业的根本存续能力、使高级管理人员和董事承担责任，或危及关键利益相关方的风险
• 需要高管立即介入并迅速调动资源

处置流程：

• 立即向高管简报：视情况通知总法律顾问、高管团队和董事会
• 聘请外部律师：立即聘请专业外部律师
• 组建专门应对团队：成立跨职能团队，并明确界定职责和权限
• 通知保险公司：在可能适用承保的情况下通知保险公司
• 危机处置流程：存在声誉风险时启动危机管理程序
• 证据保全：若可能进入法律程序，应发布诉讼保全通知
• 持续监控：在风险解决或降级前，每日或更频繁地审查状态
• 向董事会报告：视情况纳入治理风险报告
• 监管沟通：提交所有强制性监管通知

典型情形：

• 面临可能造成重大财务损失的诉讼
• 涉及受监管信息的个人数据泄露
• 正在进行的监管执法程序
• 组织严重违反合同，或合同遭到严重违反
• 政府调查
• 针对核心产品或创收服务的侵权索赔

正式文档标准

风险评估备忘录

每项正式评估均应遵循以下结构：

## Legal Risk Evaluation

**Prepared**: [date]
**Analyst**: [name of person conducting the evaluation]
**Subject**: [description of the matter under review]
**Privilege designation**: [Yes/No -- mark as attorney-client privileged where applicable]

### 1. Risk Statement
[Precise, concise articulation of the legal risk]

### 2. Factual Background
[Relevant facts, chronology, and business context]

### 3. Scoring Analysis

#### Impact Magnitude: [1-5] - [Descriptor]
[Supporting rationale including potential financial exposure, operational consequences, and reputational dimensions]

#### Occurrence Probability: [1-5] - [Descriptor]
[Supporting rationale including precedent, triggering conditions, and current circumstances]

#### Composite Score: [Number] - [GREEN/YELLOW/ORANGE/RED]

### 4. Aggravating Factors
[Elements that amplify the risk]

### 5. Countervailing Factors
[Elements that dampen the risk or contain exposure]

### 6. Mitigation Alternatives

| Alternative | Effectiveness | Resource Demand | Recommended? |
|---|---|---|---|
| [Option A] | [High/Med/Low] | [High/Med/Low] | [Yes/No] |
| [Option B] | [High/Med/Low] | [High/Med/Low] | [Yes/No] |

### 7. Recommended Course of Action
[Specific recommendation with supporting rationale]

### 8. Post-Mitigation Risk Level
[Projected risk category after implementing recommended measures]

### 9. Ongoing Monitoring Plan
[Frequency and method of review; conditions that would trigger reassessment]

### 10. Immediate Next Steps
1. [Task - Responsible party - Due date]
2. [Task - Responsible party - Due date]

风险登记表格式

用于录入团队的集中式风险跟踪工具：

字段	内容
标识符	唯一跟踪代码
发现日期	风险首次出现的日期
摘要	简要描述
领域	合同 / 监管 / 诉讼 / 知识产权 / 数据隐私 / 劳动用工 / 公司事务 / 其他
影响评级	1-5，并附说明
概率评级	1-5，并附说明
综合评分	计算所得的数值
类别	绿色 / 黄色 / 橙色 / 红色
责任人	负责监控的人员
当前控制措施	当前已实施的风险缓解措施
处置状态	未解决 / 已缓解 / 已接受 / 已关闭
下次审查	计划重新评估的日期
备注	补充背景信息

聘请外部律师的标准

需要外部代理的情形

• 已提起诉讼：组织提起或被提起的任何诉讼
• 政府程序：监管机构、政府部门或执法机关的任何调查
• 刑事风险：任何可能导致实体或其人员承担刑事责任的情形
• 资本市场影响：任何可能影响证券披露或监管申报的事项
• 治理层面事项：任何需要通知董事会或经董事会批准的问题

强烈建议聘请外部律师的情形

• 法律领域尚无定论：缺乏明确法律依据，且组织的立场可能成为先例的问题
• 多司法管辖区的复杂性：涉及不熟悉或相互冲突的法律制度的事项
• 巨额财务风险：风险敞口超出组织设定的风险承受能力阈值
• 专业知识缺口：内部专业能力未涵盖的领域（反垄断、反腐败、专利申请等）
• 重大监管变化：需要构建合规计划或进行重大调整的新法律框架
• 战略交易：需要尽职调查、交易架构设计和监管审批的合并、收购或重大交易

值得评估是否寻求外部支持的情形

• 重大合同争议：与重要业务合作伙伴就条款解释存在重大分歧
• 员工索赔：涉及歧视、骚扰、不当解雇或报复的实际索赔或索赔威胁
• 数据安全事件：可能触发强制通知义务的事件
• 知识产权冲突：涉及重大产品或服务的侵权指控（来自外部或针对外部）
• 保险承保分歧：与保险公司就索赔承保范围产生争议

选择合适的律所

建议委托外部律所时，提示用户考虑：

• 专业领域的深度和业绩记录
• 对相关司法管辖区的熟悉程度
• 行业领域经验
• 利益冲突审查状态
• 费用结构预期（按小时、固定费用、混合计费、风险代理）
• 律所对多元化的承诺
• 既有合作关系（入选律所名单、过往委托）