Regulering og håndtering af offentlige risici

Hvorfor det er vigtigt for offentlig værdi

Enhver tilsynsmyndighed arbejder inde i en fælde uden en behagelig udgang. Hvis en forebyggelig skade indtræffer, bliver tilsynsmyndigheden beskyldt for at have været for slap. Hvis tilsynsmyndigheden blokerer eller forsinker noget, der senere viser sig at være sikkert og gavnligt, bliver den beskyldt for overdreven forsigtighed, der kostede job, behandlinger eller investering. Begge svigt er kun synlige i bagklogskab, hvilket betyder, at tilsynsmyndighedens reelle beslutning aldrig blot er «sikkert eller usikkert» men «hvor meget af denne risiko er vi villige til at bære, og på hvis myndighed». En organisation, der aldrig har skrevet sin tolerance ned, opdager den dyrt, første gang noget går galt, og en undersøgelse spørger, hvem der besluttede, at risikoen var acceptabel.

Risikoappetiterklæringer og risikoregistre findes for at gøre den tolerance eksplicit før begivenheden, ikke efter. De omsætter et privat, fordelt sæt skøn – truffet af inspektører, sagsbehandlere og vagtchefer under tidspres – til en angivet position, organisationen kan holdes til og kan forsvare. Reguleringsdesign gør det samme arbejde på niveau med selve reglen: at vælge et kommando-og-kontrol-instrument eller et responsivt, risikobaseret er en risikobeslutning i sig selv, ikke blot en sag om administrativ stil. Dette emne behandler regulering og risikostyring som to udtryk for ét underliggende spørgsmål: hvordan beslutter et offentligt organ, eksplicit, hvor megen skade det vil tolerere i forfølgelsen af en offentlig værdi, det også bekymrer sig om?

En tilsynsmyndigheds myndighed til at træffe det valg er ikke selvtildelt, hvorfor dette emne sidder ved siden af de ansvarlighedsstrukturer, der legitimerer den (se Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet), og hvorfor de risici, den identificerer i dag, ofte er de kriser, et andet team planlægger for i morgen (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).

Kernebegreber

Regulering er brugen af regler, bakket op af en form for myndighed, til at begrænse eller styre adfærden hos individer, virksomheder eller andre organisationer. I den offentlige sektor sidder den ved siden af udgifter og beskatning som et centralt politisk instrument, men i modsætning til udgifter pålægger den typisk sine omkostninger den regulerede part snarere end den offentlige kasse – hvilket netop er grunden til, at den kan være politisk attraktiv, og hvorfor dens sande omkostning er let at undervurdere.

Tilsynsmyndigheder er de organer, der skriver, administrerer og håndhæver regler inden for et defineret domæne, såsom finansiel adfærd, lægemidler, fødevaresikkerhed eller byggekontrol. Deres designvalg – hvor uafhængige af ministre de er, hvordan de finansieres, hvor anfægtelige deres afgørelser er – former, om de kan handle på dokumentation uden at blive kapret af de brancher, de fører tilsyn med.

Kommando-og-kontrol-regulering fastsætter ensartede, foreskrivende regler og straffer ethvert brud, uanset den overtrædende virksomheds track record eller den faktiske risiko, den udgør. Den er gennemsigtig og let at revidere, men den behandler en vedvarende omhyggelig operatør på samme måde som en vanemæssig overtræder, spilder overholdelsesindsats på den første, mens den under-afskrækker den anden.

Responsiv, risikobaseret regulering differentierer sit svar efter den vurderede risiko og overholdelseshistorik hos den regulerede part: let-touch-engagement for aktører i god tro, eskalerende sanktioner for gentagen eller forsætlig manglende overholdelse. Wikipedias dækning af denne tilgang, under overskriften regulatorisk risikodifferentiering, sporer den til Ian Ayres og John Braithwaites «håndhævelsespyramide», som starter med overtalelse og eskalerer til licenstilbagetrækning eller retsforfølgning kun når lettere redskaber svigter. Den kræver mere af en tilsynsmyndigheds skøn og data end en fast regelbog gør, hvilket er dens primære omkostning.

Regulatorisk konsekvensanalyse (RIA), også kaldet regulatorisk konsekvensvurdering, er det dokument, en regering frembringer, før den indfører en ny regulering, og som fremlægger problemet, de overvejede muligheder og de forventede omkostninger og fordele ved hver. Wikipedias regulatorisk konsekvensanalyse-artikel sporer dens spredning på tværs af mange lande. Dens formål er at gøre afvejningen i en foreslået regel synlig før vedtagelse, ikke at begrunde en allerede truffet beslutning – et skel fejlmønstrene nedenfor vender tilbage til.

Risikostyring er disciplinen at identificere, vurdere og kontrollere de ting, der kunne hindre en organisation i at nå sine mål. ISO 31000 er den mest udbredt henviste internationale standard til at strukturere den disciplin; den behandler risikostyring som en iterativ proces – identificér, analysér, evaluér, behandl, overvåg – snarere end en engangsøvelse, og flere nationale rammeværker, herunder Det Forenede Kongeriges HM Treasury Orange Book, bygger på dens struktur.

Risikoappetit er det niveau af risiko, en organisation er parat til at acceptere, i forfølgelsen af sine mål, før den handler for at mindske den risiko. En risikoappetiterklæring gør dette eksplicit og differentieret: en folkesundhedstilsynsmyndighed kan have næsten nul appetit for risiko for patientsikkerhed men en meget højere appetit for den omdømmemæssige risiko ved en upopulær, dokumentationsbaseret beslutning.

Et risikoregister er det operationelle redskab, der opregner hver identificeret risiko, dens sandsynlighed og konsekvens, dens ejer og de afbødninger, der er på plads eller planlagt. Brugt godt driver det ressource- og eskaleringsbeslutninger; brugt dårligt er det et regneark, ingen genåbner mellem revisioner.

Forsigtighedsprincippet holder, at når en handling eller politik bærer en formodet risiko for alvorlig eller uigenkaldelig skade, bør fraværet af fuld videnskabelig sikkerhed ikke bruges som grund til at udskyde beskyttende foranstaltninger. I nogle formuleringer flytter det bevisbyrden fra «bevis at dette er farligt, før vi handler» til «vis at dette er sikkert nok, før vi fortsætter» – en reelt anden standard, der betyder mest under videnskabelig usikkerhed og potentiel uigenkaldelighed, såsom et nyt kemikalie, en ny teknologi eller en ny patogen.

Proportionalitet er princippet om at et regulatorisk svar ikke bør være mere restriktivt end nødvendigt for at adressere den risiko, det rettes mod. Det er den primære praktiske og juridiske begrænsning på forsigtighedsprincippet: forsigtighed berettiger at handle under usikkerhed, men proportionalitet styrer stadig, hvor meget man har ret til at gøre ved det, og i hvor lang tid.

Bedste praksis

1. Offentliggør en risikoappetiterklæring, før du har brug for en. Udarbejd den med dit styrende organ, ikke kun dit risikoteam, så når en hård beslutning kommer, blev tolerancen over for skade fastsat under rolige forhold frem for besluttet under offentligt pres midt i en hændelse.
2. Tilpas det regulatoriske instrument til risikoprofilen, ikke til institutionel vane. Forbehold kommando-og-kontrol-regler til risici, hvor ensartet overholdelse er reelt uforhandlingsbar, såsom strukturel sikkerhed, og brug risikodifferentierede tilgange, hvor den regulerede befolknings overholdelseshistorik varierer meget.
3. Kør den regulatoriske konsekvensvurdering før beslutningen, ikke for at begrunde den bagefter. Bestil den tidligt nok til, at dens fund stadig kunne ændre forslaget, og offentliggør den sammen med reglen, så ræsonnementet kan kontrolleres.
4. Dimensionér vurderingen til reglens størrelse. En mindre teknisk ændring behøver ikke samme analytiske vægt som en regel, der omformer en hel sektor; en fast, uforholdsmæssig proces lærer blot personalet at behandle den som en formalitet.
5. Hold risikoregisteret til et levende, ejet dokument. Tildel en navngiven ejer til hver post, fastsæt en gennemgangsdato, og rapportér bevægelse – nye risici, lukkede risici, missede afbødninger – til bestyrelsen efter en fast cyklus frem for kun når en revisor spørger.
6. Anvend en proportionalitetstest hver gang forsigtighedsprincippet påberåbes. Angiv eksplicit, hvilken dokumentation for skade der findes, hvilke mindre restriktive muligheder der blev overvejet, og hvornår restriktionen vil blive gennemgået, så forsigtighed læses som et begrundet skøn frem for et refleks-veto.
7. Fastsæt en solnedgangs- eller gennemgangsdato på hver betydelig regulering. Uden gennemgang akkumulerer regler hurtigere, end de ophæves, og overholdelsesbyrden vokser, selv hvor den risiko, de adresserede, er veget.
8. Adskil standardfastsættelse fra sag-for-sag-håndhævelsesbeslutninger. Hold håndhævelsesvalg gennemgangsbare på deres egen oversigt, så en tilsynsmyndigheds overordnede regler og dens beslutning i én omstridt sag ikke bedømmes, eller forsvares, som om de var det samme.
9. Værn bevidst mod regulatorisk kapring. Roter seniorpersonale væk fra de sektorer, de senere vil regulere, offentliggør eksterne interesser, og finansier tilsynsmyndigheden uafhængigt af de gebyrer eller bøder, den opkræver af den branche, den fører tilsyn med.
10. Gør tilsynsmyndigheden ansvarlig over for et organ uden for den regulerede branche. En ankevej, en inspektion eller et lovgivende udvalg, der kan sætte spørgsmålstegn ved tilsynsmyndighedens afgørelser, holder dens risikoskøn ærlige (se Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet).
11. Forbind toppen af risikoregisteret med nødplanlægning. De højest sandsynlige, højest konsekvensfulde poster på et risikoregister er ofte de scenarier, krise- og kontinuitetsplanlægning skal øve, så de to funktioner bør læse det samme dokument, ikke vedligeholde parallelle (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).

Spørgsmål at drøfte med dit team

Kender vi vores egen risikoappetit, eller opdager vi den hændelse for hændelse? Hvis ingen i rummet kan beskrive, i en sætning, hvor megen risiko organisationen er villig til at bære i sine kernefunktioner, så bliver hver hård beslutning truffet fra bunden af den, der tilfældigvis har vagten. Det frembringer inkonsistente beslutninger på tværs af lignende sager og efterlader organisationen i at forsvare skøn, den aldrig faktisk blev enig om som organ. Spørg, hvor en skriftlig risikoappetiterklæring findes i dag, hvem der godkendte den, og hvornår den sidst blev afprøvet mod en reel beslutning frem for blot at blive liggende som et ulæst politikdokument.

Hvilke af vores regulatoriske redskaber er kommando-og-kontrol af vane, frem for ved bevidst design? Ensartede regler er lettere at skrive og forsvare end differentierede, hvilket netop er grunden til, at organisationer falder tilbage på dem, selv hvor den regulerede befolknings risikoprofil varierer enormt. Gå jeres større regulatoriske beføjelser igennem og spørg for hver, om et risikobaseret eller responsivt alternativ nogensinde blev overvejet, eller om det nuværende instrument blot går forud for det spørgsmål, der nu stilles.

Hvornår opdaterede vi sidst vores risikoregister, og hvem ejer hver post på det? Et register uden navngivne ejere, eller et der ikke har bevæget sig siden sidste revision, styrer ikke risiko – det dokumenterer, at risiko engang blev drøftet. Bed teamet åbne registeret live på mødet og redegøre for de fem øverste poster: hvad har ændret sig, hvilken afbødning forfalder, og hvad sker der, hvis ingen handler før næste gennemgang.

Hvor har vi påberåbt forsigtighedsprincippet, og kunne vi forsvare den beslutning som proportionel i dag? Forsigtighed er let at påberåbe og svær at afvikle, fordi at omgøre en beskyttende foranstaltning altid ligner at slække på årvågenheden, selv når dokumentationen har flyttet sig. Opregn de levende restriktioner, der er indført under en forsigtighedsbegrundelse, og tjek, at hver stadig har en angivet gennemgangsdato og et angivet dokumentationsgrundlag, ikke blot institutionel inerti, der holder den i kraft.

Hvem holder vores regulatoriske funktion ansvarlig, og virker den ordning faktisk? En tilsynsmyndighed, der kun svarer til sig selv, vil over tid drive mod præferencerne i den sektor, den dagligt har med at gøre, fordi det er den eneste målgruppe, der giver den regelmæssig feedback. Drøft, om jeres ankevej, tilsynsudvalg eller inspektion meningsfuldt har ændret en afgørelse de seneste år, eller om den eksisterer på papiret uden nogensinde at være blevet afprøvet (se Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet).

Taler vores risikoregister med vores nødplan, eller lever de to i forskellige siloer? Risikoregistre skrives af risiko- og overholdelsesteams; nødplaner skrives af robusthedsteams; for ofte læser ingen af dem den andens dokument, så det scenarie, et risikoregister har markeret som sandsynligt og alvorligt, ikke er det scenarie, nødplanen har øvet. Spørg, om toppen af jeres risikoregister og scenarierne i jeres sidste øvelse er den samme liste, og hvis ikke, hvorfor ikke (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).

I praksis: et eksempel på offentlig værdi

Følgende scenarie er helt fiktivt, illustrativt for et mønster frem for en rapport om noget reelt tilsyns interne beslutningstagning.

En kystregions akvakultur-tilsynsmyndighed – kald den den fiktive Estuary Fisheries Authority – modtager en ansøgning fra en fiskeopdrætsoperatør, der ønsker at indføre en ny offshore-kombinationsteknik for muslinger og fisk, allerede brugt kommercielt i en håndfuld andre lande, som lover højere udbytte med et mindre havbundsfodaftryk. Tilsynsmyndighedens egne havbiologer markerer ét åbent spørgsmål: teknikken ændrer lokale næringsstofstrømme på måder, der i et lille antal studier andetsteds er blevet forbundet med algeopblomstringer, der er skadelige for vilde skaldyrsbanker i nærheden. Dokumentationen er antydende, ikke afgørende, og regionens vilde skaldyrsfiskeri er økonomisk og økologisk betydeligt.

Under et rent forsigtighedsinstinkt kunne myndigheden blot afvise licensen, indtil videnskaben er afgjort, hvilket kunne tage år og ville koste operatøren en allerede forpligtet investering og regionen de job og eksportindtægter, teknikken kunne bringe. Under et rent tilladende instinkt kunne den godkende ansøgningen med den begrundelse, at ingen skade er bevist, og acceptere risikoen for det vilde fiskeri, hvis de bekymrende studier viser sig at generalisere. Ingen af instinkterne afspejler alene, hvad myndighedens – stadig uskrevne – risikoappetit faktisk ville sige, hvis nogen spurgte den direkte.

I stedet insisterer myndighedens licenschef på tre skridt, før en beslutning træffes. For det første køres en proportionel regulatorisk konsekvensvurdering, der sammenligner mulighederne godkend, afvis og betinget godkendelse mod den bedst tilgængelige dokumentation, herunder en opfordring til yderligere overvågningsdata fra de lande, der allerede bruger teknikken. For det andet registreres ansøgningen som en ny post på myndighedens risikoregister, med en tildelt ejer, en angivet sandsynligheds- og konsekvensvurdering for algeopblomstringsscenariet og en afbødningsplan indbygget i enhver godkendelse – et fast overvågningsregime, definerede udløsertærskler for suspension og en gennemgangsdato tolv måneder frem. For det tredje, fordi en licens givet med en overvågningsbetingelse og en suspensionsudløser er en form for fortsat risiko, ikke en lukket beslutning, underretter myndigheden sit regionale robusthedspartnerskab, så algeopblomstringsscenariet optræder i områdets miljømæssige beredskabsplanlægning frem for kun at være kendt af licensteamet.

Myndigheden giver en betinget licens: godkendelse, med obligatorisk overvågning, en lav men eksplicit tærskel for suspension og en offentlig forpligtelse til at gennemgå dokumentationen om et år. Beslutningen er hverken et blankt «nej» drevet af ubevist frygt eller et tavst «ja», der ignorerer et reelt signal. Det er en angivet risikoappetit – noget risiko for det vilde fiskeri er acceptabel til gengæld for regionens økonomiske fordel, forudsat at den overvåges og er reversibel – anvendt konsekvent og skrevet ned, hvor den næste licensmedarbejder, og den næste revision, kan finde den.

Fire sektorlinser

Lokal forvaltning

Lokale tilsynsmyndigheder – miljø og sundhed, forbrugerstandarder, byggekontrol, licenser – har gentagne gange med de samme lokaler og de samme operatører at gøre, hvilket netop er betingelsen, hvorunder responsiv, risikobaseret regulering virker bedst: en lokal inspektør kan troværdigt skelne et første papirarbejdsfejl fra en vedvarende risiko for offentlig sikkerhed. Den praktiske begrænsning er kapacitet: et lille kommunalt team, der vedligeholder et reelt levende risikoregister over hundredvis af licenserede lokaler ovenpå håndhævelsessager, har brug for, at registeret er simpelt nok til faktisk at blive brugt, ikke en skabelon importeret fra et langt større nationalt organ.

National forvaltning

Nationale økonomiske og sikkerhedsmæssige tilsynsmyndigheder – konkurrencemyndigheder, finansielle adfærdstilsyn, lægemiddelstyrelser, arbejdsmiljøorganer – opererer i en skala, hvor en fuld regulatorisk konsekvensvurdering er standardpraksis og ofte et lovkrav, og hvor forsigtighedsprincippet optræder eksplicit i lovgivningen for domæner som lægemidler og fødevaresikkerhed. Nationale risikoregistre, der samler de højest sandsynlige og højest konsekvensfulde risici, et land står over for, er et direkte input til national civil beredskabsplanlægning (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring), hvilket gør disciplinen at holde registeret aktuelt til et spørgsmål om national robusthed, ikke blot regulatorisk husholdning.

Den sociale sektor og nonprofit

Nonprofitorganisationer og ikke-statslige organisationer sidder på begge sider af dette emne: de er regulerede organer, underlagt velgørenheds-, sikkerheds- og indsamlingsregler, og de er selv risikostyrende organisationer, med bestyrelser der bør føre deres egne risikoregistre og risikoappetiterklæringer. Børnebeskyttelse er, hvor forsigtighedsprincippet optræder mest krasst i denne sektor – uigenkaldelig skade på en sårbar person berettiger en meget lav risikoappetit selv midt i ægte usikkerhed om en specifik anklage – mens proportionalitet taler imod at pålægge overholdelsesbyrden designet til en stor institution på en lille frivilligdrevet velgørende organisation med en håndfuld lønnede ansatte.

Multilateral og international

Internationale organer fastsætter for det meste standarder frem for at håndhæve dem direkte og støtter sig til nationale regeringer for at transponere og anvende aftalte regler – fødevaresikkerhedsstandarder, maritime og luftfartssikkerhedskoder og internationale miljøaftaler er typiske eksempler. Forsigtighedsprincippet har et eksplicit hjem i international ret, mest synligt i Rio-erklæringen om miljø og udvikling, men fordi håndhævelse afhænger af national implementering, varierer risikoappetit i praksis stadig efter medlemsstat, hvilket frembringer ægte fragmentering, selv hvor den underliggende standard er fælles.

Almindelige fejlmønstre

Regulatorisk kapring. En tilsynsmyndighed, der afhænger af den regulerede branche for information, personale eller finansiering, antager gradvist den branches syn på acceptabel risiko, uden nogen enkelt beslutning, der ligner korruption. Omkostningen viser sig år senere, når en risiko, tilsynsmyndigheden var holdt op med at behandle som presserende, materialiserer sig i stor skala.

Zombie-risikoregisteret. Et register oprettes, udfyldes én gang og opdateres derefter kun når en revisor anmoder om det. Det giver udseendet af risikostyring uden funktionen: ingen beslutter faktisk, efter en cyklus, om de opførte risici og deres afbødninger stadig afspejler virkeligheden.

Forsigtighedslammelse. Forsigtighedsprincippet påberåbes uden en proportionalitetstest, en angivet dokumentationstærskel eller en gennemgangsdato og forvandler en begrundet pause til en uendelig blokering. Reelt gavnlig innovation – en ny medicinsk teknik, en renere industriproces, en mere effektiv teknologi – forsinkes eller opgives ikke fordi dokumentationen for skade er stærk, men fordi det at omgøre en forsigtighedsrestriktion altid ligner, politisk, at slække på årvågenheden.

Den efterfølgende konsekvensvurdering. En regulatorisk konsekvensvurdering skrives efter at den politiske beslutning allerede er truffet, for at bygge et papirspor snarere end at informere valget. Dens mulighedsanalyse favoriserer pålideligt den mulighed, sponsoren allerede havde valgt, hvilket er opdageligt men sjældent udfordret.

Regulatorisk kryb uden solnedgang. Nye regler tilføjes som svar på hvert nyt problem, men gamle regler ophæves sjældent, så den samlede overholdelsesbyrde fortsætter med at vokse, selv når individuelle risici viger. Uden en solnedgangsbestemmelse eller tilsvarende gennemgangsmekanisme ejer ingen spørgsmålet om, hvorvidt en given regel stadig fortjener sin omkostning.

Siloopdelt risikostyring. Risikoregisteret lever hos risiko- eller overholdelsesfunktionen; nødplanen lever hos robusthedsfunktionen; de to afstemmes sjældent. Det scenarie, et risikoregister har markeret som sandsynligt og alvorligt, mangler så i den øvelse, nødplanlægningsteamet sidst øvede (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).

Den uansvarlige tilsynsmyndighed. Håndhævelsesmagt uden et fungerende eksternt tjek – en ankevej, der aldrig bruges, et tilsynsudvalg, der aldrig mødes, en lovgiver, der aldrig gransker – efterlader en tilsynsmyndigheds risikoskøn uafprøvede af nogen uden for den organisation, der træffer dem (se Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet).

Modenhedsmodel

Tjekliste

• Udarbejd en risikoappetiterklæring med dit styrende organ og offentliggør den.
• Byg eller opfrisk et risikoregister med en navngiven ejer og gennemgangsdato for hver post.
• Klassificér hver regulatorisk beføjelse efter instrumenttype – kommando-og-kontrol eller risikobaseret – og tjek, at den matcher den risiko, den retter sig mod.
• Kør en regulatorisk konsekvensvurdering før vedtagelse eller fornyelse af en betydelig regel, dimensioneret til reglens skala.
• Anvend en proportionalitetstest, når forsigtighedsprincippet påberåbes, med et angivet dokumentationsgrundlag og gennemgangsdato.
• Fastsæt en solnedgangs- eller gennemgangsdato på hver ny regulering.
• Bekræft, at jeres tilsynsmyndigheds ansvarlighedsvej er uafhængig af den branche, den regulerer (se Emne 3.4 — Ansvarlighed, gennemsigtighed og legitimitet).
• Forbind de øverste poster på jeres risikoregister med jeres nød- og forretningskontinuitetsplaner (se Emne 3.12 — Krise-, beredskabs- og robusthedsstyring).
• Rapportér brud på risikoappetit til bestyrelsen, ikke kun til risiko- eller overholdelsesteamet.
• Gennemgå hele risikoregisteret med et fast interval, ikke kun efter en hændelse.
• Tjek, om personalet kan nævne organisationens risikoappetit i en sætning; hvis de ikke kan, så behandl erklæringen som uudgivet i praksis.

Centrale kilder

Ian Ayres og John Braithwaites Responsive Regulation: Transcending the Deregulation Debate (1992) er stadig den grundlæggende redegørelse for håndhævelsespyramiden og den risikodifferentierede håndhævelse, der er opsummeret i dette emnes kernebegreber. Cass Sunsteins Laws of Fear: Beyond the Precautionary Principle (2005) er den standard kritiske behandling af forsigtighedsprincippets grænser, især dets tendens til at blive påberåbt asymmetrisk. ISO 31000 er den internationale referencestandard for risikostyringsstruktur; Det Forenede Kongeriges HM Treasury Orange Book tilpasser en lignende struktur specifikt til offentlige organer. Det Europæiske Miljøagenturs rapport Late Lessons from Early Warnings samler casestudier om omkostningen ved både at forsømme og misanvende forsigtighed. Det Forenede Kongeriges Better Regulation Framework og dets Legislative and Regulatory Reform Act 2006 bruges i dette emne som et gennemarbejdet, kontrollerbart eksempel på proportionalitets- og konsekvensvurderingspligter pålagt tilsynsmyndigheder ved lov og vejledning; tilsvarende rammeværker findes i mange andre jurisdiktioner.

Henvisninger

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2