巴塞尔委员会指出，对内部损失事件数据的跟踪记录是开发使用可靠的法律风险评估体系的前提。 因此，损失数据的获取是法律风险评估程序的重点和难点。按照《新资本协议》的有关规定，在采用高级
计量法计提法律风险资本时，应当以至少五年的损失数据为基础计算确定法律风险事件发生的概率和法律风险事件损失。 为此，法律风险管理部门应当注意收集本行的法律风险损失数据，并按业务线、法律风险事件类型和法律责任的性质分类进行统计；如果内部损失数据不充分，或者商业银行的法律风险管理水平较高，没有发生“足够”的损失事件，就必须考虑利用相关的外部数据，即同业数据。这些数据可以是公开的数据，也可以是行业集合数据。
（三）法律风险的监测
法律风险的监测（monitoring）是及时地对已经识别出的法律风险进行重要性（significance）方面的判断和评价，并向董事会和高级管理层报告重要的法律风险信息的过程。巴塞尔委员会指出，商业银行应当建立一系列程序来定期监测法律风险状况和重大的法律风险事件。 有效的法律风险监测程序对充分管理法律风险而言至关重要。定期监测行为有助于迅速发现并纠正法律风险管理政策、程序中的缺陷，从而大大降低法律风险事件发生的频率和重要性水平。
法律风险监测的对象是可能造成损失的法律风险事件。但是，这并不意味着法律风险管理部门的监测活动仅仅局限于那些已经发生的风险事件。除了监测法律风险事件，商业银行还应当明确适当的法律风险指标（legal risk indicators）及其临界值（threshold）并持续地对之进行监测，以便为法律风险事件的发生提供早期预警。这样的指标应该具有前瞻性，并能够反映法律风险的来源。 根据法律风险工作组的建议，比较常见的法律风险指标包括：（1）法律的立、改、废；（2）市场惯例和标准合同文本等的重大变化；（3）关键人员的变化；（4）推出新的金融产品或者进入新的市场；（5）跨行业提供产品或者服务；（6）主管当局针对其他银行的监管行为或者其他法律制裁；（7）在重大问题上，外聘律师意见的重大变化；（8）聘任不熟悉的法律顾问；（9）正式法律意见中特别的条件或者假设等。 需要说明的是，法律风险在不同的商业银行、同一商业银行的不同业务线中的表现形式不可能完全相同。因此，穷尽地列举适用于所有银行的法律风险指标是不可能的。商业银行应当根据业务性质、规模和复杂程度建立自身的法律风险指标体系。随着法律风险管理水平的提高，法律风险指标体系也将不断地发展和完善。
（四）法律风险的控制和缓释
法律风险的控制和缓释（control and mitigation）是通过有效的授权审批和监督机制来防范法律风险并采取适当的措施降低重大法律风险的过程。如前所述，操作性法律风险属于既可以控制也可以缓释的风险，而环境法律风险则属于不能控制但可以缓释的风险。巴塞尔委员会强调，商业银行应当制定控制或者缓释重大法律风险的政策、程序和步骤。为了控制操作性法律风险，法律风险管理部门应当对业务活动中使用的文件进行全面的审查，并根据法律和交易惯例的发展和变化，定期更新标准合同文本等法律文件；法律风险管理部门还应当配备足够的应诉或者参与行政程序的法律专业人员，并对法律风险事件可能造成的财务影响进行分析。
对于上述可以控制的操作性法律风险，商业银行可以通过加强法律风险培训、改进产品设计、完善信息披露、明确划分客户群体和投保商业性责任保险等方式进行缓释。对于无法控制的环境法律风险，商业银行可以根据风险评估结果决定是否接受。如果特定环境法律风险的重要性水平难以接受，法律风险管理部门应当建议董事会或者高级管理层及时调整经营战略，包括缩减业务范围、停止某些业务活动或者裁撤某些海外分支机构。
五、构建我国商业银行法律风险监管制度的几点建议
