从《巴塞尔新资本协议》看银行法律风险

宾爱琪

2004年6月26日,巴塞尔银行监管委员会(The Basel Committee on Banking Supervision)正式发布了《统一资本计量和资本标准的国际协议:修订框架》(International Convergence of Capital Measurement and Capital Standards: A Revised Framework,以下简称《巴塞尔新资本协议》),包括巴塞尔银行监管委员会成员国在内约100多个国家,在2007年到2009年之间实施该协议,我国2010年在部分银行实施。

《巴塞尔新资本协议》首次将法律风险(legalrisk)纳入了银行资本充足率监管框架,要求银行采用规定的方法计量法律风险,并以此为基础确定其资本标准,这是巴塞尔银行监管委员会在统一银行资本监管规则方面取得的又一重大突破。积极借鉴该协议体现的风险监管理念,构建商业银行法律风险管理制度,是提高我国银行业风险管理水平的必然选择。

一、法律风险的概念

(一) 各国监管当局和国际组织对法律风险的定义

各国监管当局和国际组织虽然都已经认识到法律风险是操作风险的一个重要方面,但对法律风险概念的理解并不一致。英国金融服务局(FSA)侧重从制度层面理解法律风险,认为这种风险是因“法律的效力未能认识到”、“对法律效力的认识存在偏差”或者“在法律效力不确定的情况下开展经营活动”而使“金融机构的利益或者目标与法律规定不一致而产生的风险”。美国联邦储备委员会(FRB)侧重从交易层面上来认识法律风险,认为诉讼、客户基于规避法律或者避税的目的而与银行进行的交易,以及客户实施的其他违法或者不当行为都可能给银行带来法律风险。全球风险人员协会将法律风险分为四类,即产品质量或雇员行为引起索赔诉讼的风险;新型产品不被法律承认的风险;过于复杂协议导致的部分现金流没有纳入核算或清算系统的风险;各区域不同的法律规定导致的金融产品不能流通的风险。

我国银监会在《商业银行操作风险管理指引》的附录有关名词的说明中,对法律风险进行了列举型定义。根据该定义,法律风险包括但不限于下列风险:1.商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效的;2.商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁,依法可能承担赔偿责任的;3.商业银行的业务活动违反法律或行政法规,依法可能承担行政责任或者刑事责任的。

(二)《巴塞尔新资本协议》关于法律风险的定义

《巴塞尔新资本协议》将商业银行面临的风险划分为信用风险、市场风险和操作风险三种类型,没有专门规定法律风险管理问题,而是将法律风险纳入操作风险的范畴,在操作风险的章节中概括了操作风险与法律风险之间的关系。《巴塞尔新资本协议》规定:“操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成的风险。本定义包括法律风险,但不包括策略风险和声誉风险。” 关于法律风险的范畴,巴塞尔银行监管委员会在《有效银行监管核心原则》中,以列举的方式定义法律风险:法律风险主要表现为因下列情形而引发的风险:1.不完善或者不正确的法律意见或者业务文件;2.现有法律可能无法解决与银行有关的法律问题;3.法院针对特定银行作出的判决;4.影响银行和其他商业机构的法律可能发生变化;5.开拓新业务且交易对手的法律权利不明确。

为了使商业银行在建立和实施法律风险管理体系方面有一定的主动性和灵活性,《巴塞尔新资本协议》在前述定义的基础上又作了概括性的说明,即“法律风险包括但不限于因监管措施和解决民商事争议而支付的罚款、罚金或者惩罚性赔偿所导致的风险敞口(risk exposure)”,并明确要求银行采用规定的方法计量法律风险并为之配置相应的资本。

综上所述,巴塞尔银行监管委员会将法律风险描述为:法律风险是指商业银行在经营活动中,因法律的不正确适用、法律的不完善、对法律的理解、法律的变更或者外部法律事件而导致风险敞口的可能性。

(三)法律风险及其分类

关于法律风险的概念,通过上述比较分析不难看出,巴塞尔银行监管委员会的界定更为全面。笔者认为,法律风险可以简单定义为:法律风险是指商业银行在经营管理中,因经营活动不符合法律规定或者外部法律事件而造成潜在损失的可能性。它有三个层面的含义:

第一,法律风险是经营管理活动偏离合法合规目标而造成潜在损失的可能性。这是一种非故意、非计划、非预期的价值减少。潜在损失通常包括三个方面内容:一是经济价值的减少,例如发生违约而支付违约金、赔偿金;二是期望取得的权利落空,例如因没有办理抵押登记而丧失抵押权;三是声誉的损失,例如因不合法交易而造成银行声誉的损害。

第二,法律风险的潜在损失大小因风险度不同而差异较大。

第三,法律风险损失发生的概率在0和1之间波动。发生的概率越接近1,风险发生的可能性越大。

有学者认为,法律风险可以分为“广义法律风险”和“狭义法律风险”。狭义法律风险,类似于我国银监会在《商业银行操作风险管理指引》中的定义,主要是指在有明确法律规定的情况下,因为银行或交易对手、外部人员未遵守法律而造成银行损失的风险。

“广义法律风险”除涵盖“狭义法律风险”之外,还包括因为法律空白或法律发生变化所造成的风险,称之为“法律本身的风险”。这类法律风险,往往是由于法律本身的立、改、废,或法律缺失而导致商业银行意外、不利的后果。

将法律风险区分为广义和狭义,不仅使我们更全面地了解法律风险的范畴,更重要的是,我们可以针对不同的法律风险,采取不同的风险控制和管理技术。

二、法律风险的成因

从法律风险的定义,我们知道,商业银行的法律风险来自于内部和外部,主要包括法律环境风险、法律理解运用风险和法律遵循风险。

(一)法律环境风险

银行的各项活动都应当遵守国家的法律要求,因而,外部的法律环境对银行具有重要的影响。法律环境风险,又称“法律本身的风险”,即因为法律空白或法律发生变化所造成的风险,具体表现在两方面:其一,法律完善性风险;其二,法律稳定性风险。

第一,法律完善性风险。法律完善性风险,指因立法不完备、执法不严格而对银行经营管理产生的风险。法律完善性风险具体表现在以下四个方面:其一,法律的完备性风险。如果法律法规没有覆盖银行的经营活动范围,银行的经营管理和业务创新就会无所适从,对业务的法律风险也无法评估和预测。日后相关法律出台,银行的权益则有可能因此受到影响,或是加重了义务,或是权利无法实现等;其二,法律的统一性风险。如果不同的部门法律、不同的层次法律之间存在冲突,就会造成银行在遵守法律上的混乱。遵守了A法律,则会违反B法律,对银行而言是一个不可回避的风险;其三,法律的执行力风险。如果有法不依,执法不严,某些违法行为没能被及时查处,这对于那些遵守法律的银行,就会产生负面影响。长此以往,守法银行会因此付出高额的守法成本而使自己在竞争中处于劣势;其四,司法公正性的风险。司法审判制度的不完善、法官自由裁量权过大,以及地方保护主义等,使银行在诉讼中处于不利地位。

第二,法律稳定性风险。法律稳定性风险,指由于法律的不稳定,使银行付出大量守法成本的风险。由于法律的变动,银行为了满足新的法律的需要,必须对员工进行培训、修订原有的管理要求和业务流程,更新原有的合同,配备有关的设备,这些都需要付出大量的人力和财力。例如,《合同法》、《担保法》及其司法解释、《物权法》出台后,商业银行需要花巨资修订大量业务合同文本以及培训人员。

另外,对于银行而言,新法律从获知掌握到实际运用,需要经过一定的程序与时间,例如学习培训、修改业务流程和管理要求等。在这段时间内,新法律不被遵循的可能性一直存在,银行会因此面临风险。

除此之外,国家法律的变动,也可能导致银行已经开展的业务遭受风险。例如,最高人民法院《关于破产企业国有划拨土地使用权应否列入破产财产等问题的批复》(法释[2003]6号)规定,企业以划拨方式取得的国有土地使用权设定抵押的,除依法办理抵押登记手续外,还应经具有审批权限的人民政府或土地行政管理部门批准。否则,应认定抵押无效。这个司法解释曾一度使银行原来已经办理抵押登记的抵押权面临无效的风险。

(二)法律理解运用风险

法律理解运用风险,即行为人主观上对法律条文理解偏差导致银行潜在损失的可能。该层面的法律风险主要包括以下三个方面的内容:

第一,法律意识的风险。法律风险存在于银行经营活动的各个环节,法律风险的防范与控制,有赖于全体员工的努力。如果银行依法经营的意识薄弱,如果员工缺乏法律意识和风险意识,那么,隐藏在经营活动中的法律风险,就不可能被识别、防范与控制,未来发生潜在损失的概率就高,造成的现实损失就大。所以,银行及银行员工的法律意识和法律素养的高低,直接关系并影响着银行法律风险乃至银行经营风险的大小。

第二,法律风险识别的风险。法律风险的识别,是法律风险管理的第一步。经营活动中的法律风险,能否被正确识别出来,通常与识别者的学识与经验有关,不同的人对同一经营活动中的风险识别结论是不同的。换言之,法律风险在识别的过程中,存在着识别错误的风险,包括应该识别出来而没有被识别(认为不存在)的风险,应该是A风险而被误识别为B风险等等。

第三,法律运用的风险。法律运用的风险包括两方面内容:其一,不完善、不正确的法律性文件所形成的风险。例如,法律性文件内容不完整、意思表达不准确;在涉及多个法律关系的业务活动中,只就其中个别法律关系签订合同;无效合同、严重损害银行利益的合同,等等。其二,不完善、不正确的法律意见所形成的风险。例如,银行法律顾问出具的法律意见书,存在内容不完整、意思表达不准确、适用法律错误等。

(三)法律遵循风险

法律遵循风险,即行为人的行为违反法律法规和监管要求,导致银行潜在损失的可能。对于银行而言,大量和经常的法律风险存在和体现在日常的经营管理之中,即行为操作上违反法律法规和监管要求而导致的风险,也就是法律遵循风险。法律遵循风险暴露的途径,主要是银行诉讼案件的发生。

三、法律风险的特性

(一)风险分布的广泛性

商业银行法律风险,主要是因经营活动不符合法律规定所导致,与操作关系密切,故又有学者称之为运营法律风险。如果商业银行自身的操作风险控制体系不充分或者无效,未能对法律问题做出反应,就会引发法律风险。而商业银行的各种产品和服务,从产品的设计、营销到合约、服务的履行,都涉及法律问题。同时,银行与客户、银行与员工、银行与股东、银行与监管者,也都存在着各种各样的法律关系。因此,法律风险普遍地存在于商业银行经营活动和管理控制的各个方面与各个环节,具有分布广泛性的特点。

(二)风险的内生性与外生性相结合

如前所述,法律风险是指银行因经营活动不符合法律规定或者外部法律事件而导致的风险。我们从中可以看出,商业银行的法律风险,既有内生性,又有外生性,它与信用风险和市场风险更多地表现为一种外生风险有所不同。“内生”是指因自身经营活动不符合法律规定所导致的法律风险。例如,银行因违约、侵权或经营活动违反法律规定可能承担民事、行政以及刑事责任的风险。“外生”是指外部法律事件而导致的风险,既包括银行的交易对手或外部人员因不遵守法律规定对银行权益造成的侵害,又包括因法律空白或法律发生变化所造成的风险,即“法律本身风险” 或称之为法律环境风险。例如,由于法律本身的立、改、废,或法律缺失而导致商业银行意外、不利的后果。后者更体现法律风险的外生性。

(三)风险与收益不存在必然的联系

我们知道,风险与收益是同一枚硬币的正反两面,彼此不能分离。它们犹如一对孪生兄弟,紧密相连,相互作用。风险越大收益越高,反之,收益越小。这条风险与收益正相关的对应定律,广泛适用与信用风险和市场风险。但是,法律风险与所有操作风险一样,风险与收益并不具有正相关的对应关系,银行并不因为承担高法律风险而获得高收益。相反,高法律风险反而会有可能给银行造成重大损失。法律风险这一特性,要求商业银行应当尽量规范操作,降低法律风险发生的可能性或机率,全力排除企图通过冒法律风险而获取高收益的思想与行为。

法律风险与经济收益虽然没有正相关的对应关系,但是,风险与收益并非毫无关系,有效的法律风险管理,可以最大限度地减免法律风险造成的损失。从这个角度看,管理法律风险同样可以获得收益,“法律工作创造价值”即是此含义。

四、法律风险的具体表现

(一)操作性法律风险

商业银行因经营活动违反法律规定而导致的操作性法律风险主要表现为:1.内部控制及公司治理机制失效(与现行法律冲突),依法应承担民事责任、行政责任或者刑事责任;2.合同被依法撤销或者被确认无效;3.合同被依法变更,且变更的结果不利于银行;4.因违约、侵权或者其他事由被提起诉讼或者申请仲裁,依法应承担赔偿责任;5.侵犯他人知识产权;6.经营活动或工作人员违反法律、法规等规定,依法应承担行政责任或者刑事责任。

(二)法律环境风险

商业银行因法律空白或法律发生变化而引发的法律环境风险,主要有下列外部法律事件:1.有关法律、法规、规章及规范性文件的制定、修改或者废止;2.有关国家机关依法作出的法律解释;3.司法机关对法律的不同理解增加了商业银行的责任;4.最高人民法院作出的判决;5.海外分支机构所在的国家或者地区法律制度不完善。

(三)交易对手或外部人员的风险

因交易对手或外部人员的原因,导致商业银行承担风险的外部法律事件主要有:1.商业银行客户主体的合法性。包括商业银行客户主体因不具备民事权利能力与民事行为能力、法人治理结构不完善、关联企业控制、不具备经营能力等; 2.商业银行客户经营行为的合法性。包括影响商业银行客户偿债能力的注资行为、重大合同行为、重大投资改制行为、重大劳资行为等合法与否;3.商业银行客户担保行为的合法性。包括保证行为、抵押行为、质押行为合法与否;4.商业银行客户提供的业务文件的合法性。主要包括商业银行客户提供授权委托书、董事会决议是否符合法律法规及公司章程等要求。

五、法律风险管理

从我国现实的法律环境出发,同时借鉴国外银行成熟的经验,研究探讨银行法律风险的识别、评估和分析,预测风险发生的可能并采取措施控制客观条件的变化,使发生风险的条件不成就或者不完全成就,降低风险发生的概率和实际造成的损失,这对于保障商业银行安全稳健运行,促进银行业务的创新和发展,具有十分重要的意义。

(一)法律风险的可控性

风险是不确定的损失,这种不确定性不以人的意志为转移。但是,这并不意味着人们对它的变化全然不知。人们可以通过认识并掌握客观状态的变化规律,对其发生的概率及其所造成的损失程度做出主观判断,从而对风险的发生进行预测和评估,并采取措施控制客观条件的变化,使风险发生的客观条件未成就或者不完全成就,降低风险发生的概率,减少损失程度。所以说,风险是可以控制的。在风险面前,人并非完全束手无策,人们完全可能也可以通过选择适当的管理手段,来控制风险发生的概率和风险造成的现实损失。风险的这种可控性,是商业银行进行风险管理的前提。

(二)法律风险管理的概念

法律风险管理,是指行为人运用科学方法,识别、监测法律风险,分析、预测、评价法律风险可能造成的潜在损失和发生概率,通过采取一系列内部控制措施来管理法律风险,使法律风险可能造成的现实损失在可承受范围之内。

单纯从字面上来看,法律风险必然与法律问题有关,需要由法律人员(内部律师或者外聘律师)运用专业判断才能够有效地管理。事实上,商业银行的法律风险管理工作,非法律事务部门所能独立承担。因为,法律风险不是诉讼风险,诉讼风险仅是法律风险当中的一种而非全部。而且,诉讼未必就会形成风险造成损失。例如,商业银行作为原告提起的诉讼就构成不了风险,而银行作为被告的诉讼才可能形成风险。法律风险为运营风险即操作风险,在经营管理的各环节都可能发生,其通常与特定的内部程序、人员、系统或者外部法律事件相联系,信息来源异常分散,法律风险的管理体制应因风险分布的广泛性而强调分散化,银行所有的业务部门都应当在法律风险管理中承担相应的责任。这种分散的管理体制,有别于强调统一和集中的信用风险和市场风险管理体制。

有效地管理法律风险是法律事务部门、操作风险管理部门和业务部门的共同职责,各方应当密切配合。法律事务部门主要承担法律风险管理程序的设计、组织实施和数据汇总等职责;操作风险管理部门负责接收法律事务部门传递来的法律风险管理数据,并将其纳入操作风险管理框架;而识别、计量、监测以及控制和缓释等法律风险管理的各项基础性工作,则由业务部门负责完成。

(三)法律风险管理的必要性

第一,有效地管理法律风险可以减少风险损失。法律风险与收益虽然不具有正相关的对应关系,但是,就同一事项而言,其风险度是相同的,行为人采取不同的控制措施,风险发生的概率以及实际发生的损失却有天渊之别。就是说,有效地管理法律风险可以减少风险损失。

第二,有效地管理法律风险可以提升比较优势。在激烈的市场竞争中,市场主体经营的产品,大多数情况下是趋同的,尤其是银行业,金融产品同质化非常普遍,同业竞争在一定程度上表现为风险管理能力或风险经营水平的竞争。风险管理水平高的银行,其支付的风险成本相对较低,获得高收益的比较优势明显,意味着其获利相对丰厚,更具有市场竞争力。

第三,有效地管理法律风险可以确保决策人的地位。法律风险一旦发生,银行自身就很难掌控,法官或仲裁员将成为决定银行未来的最终决策人,其后果往往相当严重,有时甚至是毁灭性的灾难。这是银行所不愿意看到的结局。银行只有建立健全法律风险管理体系,防范因自身操作原因所形成的法律风险,才能确保自己是银行的最终决策人。从这个角度而言,笔者认为,银行经营风险管理,首先应该是法律风险管理,银行应该而且必须重视法律风险管理工作,充分发挥法律工作对银行经营管理的支持、保障、服务作用。

(四)法律风险管理的内容

第一,法律风险三阶段管理。法律风险管理过程,其实就是对风险进行事前防范、事中控制和事后救济的过程。法律风险管理的内容,在不同的阶段其侧重点是不同的。(1)事前阶段,主要是识别、分析、评估风险,并提出防范、控制风险的措施;(2)事中阶段,主要是执行防范与控制措施,监测风险并根据监测数据调整应对措施;(3)事后阶段,主要是对已经发生的风险,采取救济措施,最大限度地减少损失。同时,针对风险发生暴露出来的问题,修改业务流程和制度,完善风险管理办法。

第二,法律风险的识别。适时、准确地识别法律风险是法律风险管理的最基本要求。法律风险的识别,指商业银行运用法律风险的定义对各种风险事件进行分析、归类与判断的过程。《巴塞尔新资本协议》要求,所有抵押交易、表内净扣、担保和信用衍生工具所使用的法律文件,必须对所有交易方有约束力,并且确保在所有相关的辖区内可执行。据此,银行必须对签署的法律性文件进行合法性审查,这是识别法律风险的一个重要方法。

第三,法律风险的评估。对识别出来的法律风险,需要对其进行评估,预测风险程度及潜在损失的大小,判断法律风险事件可否接受,并制定相应的应对措施。这过程称之为法律风险的评估。准确地评估、判断法律风险是法律风险管理的关键,为此,评估法律风险应重点考虑以下几个因素;(1)风险因素的发生频率与影响程度;(2)风险的可接受程度;(3)风险的等级;(4)风险控制的有效性。

第四,法律风险的监测、控制与处理。法律风险的监测、控制、处理,指在评估的基础上,根据风险管理的目标,选择最佳的风险管理策略和方法并加以实施的过程。监测、控制、处理法律风险通常有以下方法:(1)回避风险,指采取措施从根本上消除法律风险发生的条件;(2)预防风险,指在法律风险事件和损失发生前,采取具体措施消除或减少各种法律风险因素;(3)抑制风险,指在法律风险事故和损失发生之时和之后,采取措施减少损失;(4)转嫁风险,指银行主动将某些风险转移给保险公司,或者随着出售行为而转移给其他方;(5)自留风险,指银行没有通过风险转嫁方式转嫁风险,而是自我承担可能的风险损失后果。

(五)法律风险控制应适度

法律风险管理与其他管理一样,管理控制措施也需要“适度”,需要平衡好风险与收益两者之间的关系。如果控制过度,风险的控制成本可能会大于风险造成的损失,得不偿失。不仅如此,过度控制还可能会影响效率,阻碍业务发展,从而最终影响银行的竞争力和价值创造力。相反,如果控制不力,风险频频发生,不仅增加了风险成本的支出,降低了获利回报。而且,风险发生将耗废银行大量的人力和财力,尤其是重大法律风险,经营管理者需要进行一系列危机处理,很难集中精力一心一意谋发展。风险发生还会对银行的声誉造成一定负面的影响。更为严重的是,若风险不被及时发现和有效控制,风险将在持续存在中扩大,其给银行造成的损失将是毁灭性的,正所谓“千里之堤,溃于蚁穴”。

风险控制措施适度,首先要求人们对风险的种类和大小有正确的认识,在风险识别、预测、评估和分析等方面,力求做到全面、真实、准确。这是适度控制的基础和前提。其次要求风险控制的措施具有针对性,直接指向风险点,有效地遏制风险的发生和控制风险造成的损失。实务中,要注意纠正“管理层控制过度、操作层控制不力”的偏向。