Regulierung und öffentliches Risikomanagement

Warum das für den öffentlichen Wert zählt

Jede Regulierungsbehörde arbeitet in einer Falle ohne bequemen Ausgang. Wenn ein vermeidbarer Schaden eintritt, wird der Regulierungsbehörde vorgeworfen, zu lax gewesen zu sein. Wenn die Regulierungsbehörde etwas blockiert oder verzögert, das sich später als sicher und nützlich erweist, wird ihr übermäßige Vorsicht vorgeworfen, die Arbeitsplätze, Behandlungen, oder Investitionen kostete. Beide Versagen sind erst im Nachhinein sichtbar, was bedeutet, dass die echte Entscheidung der Regulierungsbehörde nie einfach „sicher oder unsicher" ist, sondern „wie viel von diesem Risiko sind wir bereit zu tragen, und mit wessen Autorität". Eine Organisation, die ihre Toleranz nie niedergeschrieben hat, entdeckt sie teuer, beim ersten Mal, wenn etwas schiefgeht und eine Untersuchung fragt, wer entschied, dass das Risiko akzeptabel sei.

Risikobereitschaftserklärungen und Risikoregister existieren, um diese Toleranz vor dem Ereignis explizit zu machen, nicht danach. Sie verwandeln einen privaten, verteilten Satz von Ermessensentscheidungen – getroffen von Inspektorinnen, Sachbearbeitern, und diensthabenden Managerinnen unter Zeitdruck – in eine erklärte Position, für die die Organisation zur Rechenschaft gezogen werden kann und die sie verteidigen kann. Regulierungsgestaltung leistet dieselbe Arbeit auf Ebene der Regel selbst: die Wahl eines Befehl-und-Kontroll-Instruments oder eines reaktionsfähigen, risikobasierten ist selbst eine Risikoentscheidung, nicht bloß eine Frage administrativen Stils. Dieses Thema behandelt Regulierung und Risikomanagement als zwei Ausdrücke einer zugrunde liegenden Frage: wie entscheidet eine öffentliche Stelle explizit, wie viel Schaden sie im Streben nach einem öffentlichen Wert, der ihr auch wichtig ist, tolerieren wird?

Die Autorität einer Regulierungsbehörde, diese Entscheidung zu treffen, ist nicht selbst gewährt, weshalb dieses Thema neben den Rechenschaftsstrukturen sitzt, die sie legitimieren (siehe Thema 3.4 — Rechenschaftspflicht, Transparenz, und Legitimität), und weshalb die Risiken, die sie heute identifiziert, häufig die Krisen sind, für die ein anderes Team morgen plant (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).

Kernkonzepte

Regulierung ist die Nutzung von Regeln, gestützt von irgendeiner Form von Autorität, um das Verhalten von Einzelpersonen, Firmen, oder anderen Organisationen zu beschränken oder zu lenken. Im öffentlichen Sektor sitzt sie neben Ausgaben und Besteuerung als Kerninstrument der Politik, aber anders als Ausgaben legt sie ihre Kosten typischerweise der regulierten Partei auf, nicht der öffentlichen Kasse – genau weshalb sie politisch attraktiv sein kann, und weshalb ihre wahren Kosten leicht zu unterschätzen sind.

Regulierungsbehörden sind die Stellen, die Regeln in einer definierten Domäne schreiben, verwalten, und durchsetzen, wie Finanzverhalten, Arzneimittel, Lebensmittelsicherheit, oder Baukontrolle. Ihre Gestaltungswahlen – wie unabhängig sie von Ministerinnen sind, wie sie finanziert werden, wie anfechtbar ihre Entscheidungen sind – formen, ob sie auf Evidenz handeln können, ohne von den Industrien vereinnahmt zu werden, die sie beaufsichtigen.

Befehl-und-Kontroll-Regulierung setzt einheitliche, präskriptive Regeln und sanktioniert jeden Verstoß, unabhängig von der Erfolgsbilanz der verstoßenden Firma oder dem tatsächlichen Risiko, das sie darstellt. Sie ist transparent und leicht zu prüfen, aber sie behandelt eine anhaltend sorgfältige Betreiberin genauso wie eine gewohnheitsmäßige Verstoßende, Compliance-Aufwand bei Ersterer verschwendend, während sie Letztere unterabschreckt.

Reaktionsfähige, risikobasierte Regulierung differenziert ihre Reaktion nach dem bewerteten Risiko und der Compliance-Geschichte der regulierten Partei: leichtes Engagement für gutgläubige Akteure, eskalierende Sanktionen für wiederholte oder vorsätzliche Nichtkonformität. Wikipedias Behandlung dieses Ansatzes, unter der Überschrift regulatory risk differentiation, führt ihn auf Ian Ayres' und John Braithwaites „Durchsetzungspyramide" zurück, die mit Überzeugung beginnt und nur zu Lizenzentzug oder Strafverfolgung eskaliert, wenn leichtere Werkzeuge scheitern. Sie verlangt mehr vom Urteil und den Daten einer Regulierungsbehörde als ein festes Regelbuch, was ihre hauptsächlichen Kosten sind.

Regulierungsfolgenabschätzung (RIA) ist das Dokument, das eine Regierung vor Einführung einer neuen Regulierung produziert, das Problem, die erwogenen Optionen, und die erwarteten Kosten und Nutzen jeder darlegend. Wikipedias Artikel zu regulatory impact analysis verfolgt ihre Verbreitung über viele Länder. Ihr Zweck ist es, den Kompromiss in einer vorgeschlagenen Regel vor Verabschiedung sichtbar zu machen, nicht eine bereits getroffene Entscheidung zu rechtfertigen – eine Unterscheidung, zu der die Fehlermuster unten zurückkehren.

Risikomanagement ist die Disziplin, die Dinge zu identifizieren, zu bewerten, und zu kontrollieren, die eine Organisation daran hindern könnten, ihre Ziele zu erreichen. ISO 31000 ist der am weitesten referenzierte internationale Standard zur Strukturierung dieser Disziplin; er behandelt Risikomanagement als iterativen Prozess – identifizieren, analysieren, bewerten, behandeln, überwachen – statt als einmalige Übung, und mehrere nationale Rahmenwerke, einschließlich des britischen HM Treasury Orange Book, bauen auf seiner Struktur auf.

Risikobereitschaft ist das Risikoniveau, das eine Organisation im Streben nach ihren Zielen zu akzeptieren bereit ist, bevor sie handelt, um dieses Risiko zu reduzieren. Eine Risikobereitschaftserklärung macht dies explizit und differenziert: eine Gesundheitsregulierungsbehörde mag nahezu keine Bereitschaft für Risiko für Patientensicherheit haben, aber eine weit höhere Bereitschaft für das Reputationsrisiko einer unpopulären, evidenzbasierten Entscheidung.

Ein Risikoregister ist das operative Werkzeug, das jedes identifizierte Risiko, seine Wahrscheinlichkeit und Wirkung, seine Verantwortliche, und die vorhandenen oder geplanten Abhilfemaßnahmen auflistet. Gut genutzt, treibt es Ressourcierungs- und Eskalationsentscheidungen; schlecht genutzt, ist es eine Tabelle, die niemand zwischen Prüfungen erneut öffnet.

Das Vorsorgeprinzip hält, dass, wenn eine Handlung oder Politik ein vermutetes Risiko schweren oder irreversiblen Schadens birgt, die Abwesenheit voller wissenschaftlicher Gewissheit nicht als Grund genutzt werden sollte, Schutzmaßnahmen aufzuschieben. In manchen Formulierungen verschiebt es die Beweislast von „beweisen Sie, dass dies gefährlich ist, bevor wir handeln" zu „zeigen Sie, dass dies sicher genug ist, bevor wir fortfahren" – ein genuin anderer Standard, der am meisten unter wissenschaftlicher Unsicherheit und potenzieller Irreversibilität zählt, wie bei einer neuartigen Chemikalie, Technologie, oder einem Erreger.

Verhältnismäßigkeit ist das Prinzip, dass eine regulatorische Reaktion nicht restriktiver sein sollte, als nötig, um das anvisierte Risiko zu adressieren. Sie ist die hauptsächliche praktische und rechtliche Beschränkung des Vorsorgeprinzips: Vorsorge rechtfertigt Handeln unter Unsicherheit, aber Verhältnismäßigkeit regiert dennoch, wie viel Sie zu tun berechtigt sind, und für wie lange.

Bewährte Praktiken

1. Veröffentlichen Sie eine Risikobereitschaftserklärung, bevor Sie eine brauchen. Entwerfen Sie sie mit Ihrem Leitungsgremium, nicht nur Ihrem Risikoteam, sodass, wenn eine schwierige Entscheidung eintrifft, die Toleranz für Schaden unter ruhigen Bedingungen gesetzt wurde, statt unter öffentlichem Druck mitten im Vorfall entschieden zu werden.
2. Passen Sie das Regulierungsinstrument an das Risikoprofil an, nicht an institutionelle Gewohnheit. Reservieren Sie Befehl-und-Kontroll-Regeln für Risiken, bei denen einheitliche Compliance genuin nicht verhandelbar ist, wie strukturelle Sicherheit, und nutzen Sie risikodifferenzierte Ansätze, wo die Compliance-Geschichte der regulierten Bevölkerung breit variiert.
3. Führen Sie die Regulierungsfolgenabschätzung vor der Entscheidung durch, nicht um sie nachträglich zu rechtfertigen. Beauftragen Sie sie früh genug, dass ihre Befunde den Vorschlag noch ändern könnten, und veröffentlichen Sie sie neben der Regel, sodass die Argumentation überprüfbar ist.
4. Bemessen Sie die Bewertung nach der Größe der Regel. Eine kleine technische Änderung braucht nicht dasselbe analytische Gewicht wie eine Regel, die einen ganzen Sektor umgestaltet; ein fester, unverhältnismäßiger Prozess lehrt Personal nur, ihn als Formalität zu behandeln.
5. Halten Sie das Risikoregister ein lebendiges, besessenes Dokument. Weisen Sie jedem Eintrag eine benannte Verantwortliche zu, setzen Sie ein Überprüfungsdatum, und berichten Sie Bewegung – neue Risiken, geschlossene Risiken, verpasste Abhilfemaßnahmen – dem Vorstand auf festem Zyklus, statt nur, wenn eine Prüferin fragt.
6. Wenden Sie einen Verhältnismäßigkeitstest jedes Mal an, wenn das Vorsorgeprinzip angerufen wird. Geben Sie explizit an, welche Schadensevidenz existiert, welche weniger restriktiven Optionen erwogen wurden, und wann die Beschränkung überprüft wird, sodass Vorsorge als begründetes Urteil liest, nicht als reflexartiges Veto.
7. Setzen Sie ein Verfalls- oder Überprüfungsdatum auf jede bedeutende Regulierung. Unüberprüft häufen sich Regeln schneller an, als sie aufgehoben werden, und die Compliance-Last wächst weiter, selbst wo das von ihnen adressierte Risiko zurückgegangen ist.
8. Trennen Sie Standardsetzung von fallweisen Durchsetzungsentscheidungen. Halten Sie Durchsetzungswahlen auf ihrer eigenen Aufzeichnung überprüfbar, sodass die Gesamtregeln einer Regulierungsbehörde und ihre Entscheidung in einem umstrittenen Fall nicht beurteilt, oder verteidigt, werden, als wären sie dasselbe.
9. Wachen Sie bewusst gegen Regulierungsvereinnahmung. Rotieren Sie leitendes Personal weg von den Sektoren, die sie später regulieren werden, legen Sie externe Interessen offen, und finanzieren Sie die Regulierungsbehörde unabhängig von den Gebühren oder Strafen, die sie der von ihr beaufsichtigten Industrie auferlegt.
10. Machen Sie die Regulierungsbehörde einer Stelle außerhalb der regulierten Industrie rechenschaftspflichtig. Ein Berufungsweg, eine Aufsichtsbehörde, oder ein legislativer Ausschuss, der die Entscheidungen der Regulierungsbehörde infrage stellen kann, hält ihre Risikourteile ehrlich (siehe Thema 3.4 — Rechenschaftspflicht, Transparenz, und Legitimität).
11. Verbinden Sie die Spitze des Risikoregisters mit Notfallplanung. Die Einträge höchster Wahrscheinlichkeit und höchster Wirkung in einem Risikoregister sind häufig die Szenarien, die Krisen- und Kontinuitätsplanung proben muss, sodass die zwei Funktionen dasselbe Dokument lesen sollten, nicht parallele pflegen (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).

Fragen zur Diskussion mit Ihrem Team

Kennen wir unsere eigene Risikobereitschaft, oder entdecken wir sie vorfallweise? Wenn niemand im Raum in einem Satz beschreiben kann, wie viel Risiko die Organisation in ihren Kernfunktionen zu tragen bereit ist, dann wird jede schwierige Entscheidung von Grund auf getroffen, von wer auch immer gerade Dienst hat. Das produziert inkonsistente Entscheidungen über ähnliche Fälle hinweg und lässt die Organisation Ermessensentscheidungen verteidigen, denen sie als Körperschaft nie tatsächlich zustimmte. Fragen Sie, wo heute eine schriftliche Risikobereitschaftserklärung existiert, wer sie genehmigte, und wann sie zuletzt gegen eine echte Entscheidung getestet wurde, statt als ungelesenes Politikdokument liegen gelassen zu werden.

Welche unserer Regulierungswerkzeuge sind aus Gewohnheit Befehl-und-Kontrolle, statt durch bewusste Gestaltung? Einheitliche Regeln sind leichter zu schreiben und zu verteidigen als differenzierte, genau weshalb Organisationen standardmäßig auf sie zurückgreifen, selbst wo das Risikoprofil der regulierten Bevölkerung enorm variiert. Gehen Sie Ihre wichtigsten Regulierungsbefugnisse durch und fragen Sie für jede, ob je eine risikobasierte oder reaktionsfähige Alternative erwogen wurde, oder ob das aktuelle Instrument die gestellte Frage einfach vordatiert.

Wann haben wir unser Risikoregister zuletzt aktualisiert, und wer besitzt jeden Eintrag darin? Ein Register ohne benannte Verantwortliche, oder eines, das sich seit der letzten Prüfung nicht bewegt hat, managt kein Risiko – es dokumentiert, dass Risiko einmal diskutiert wurde. Bitten Sie das Team, das Register live in der Sitzung zu öffnen und die Top-fünf-Einträge zu erklären: was sich geändert hat, welche Abhilfemaßnahme fällig ist, und was geschieht, wenn niemand vor der nächsten Überprüfung handelt.

Wo haben wir das Vorsorgeprinzip angerufen, und könnten wir diese Entscheidung heute als verhältnismäßig verteidigen? Vorsorge ist leicht anzurufen und schwer zurückzunehmen, weil das Rückgängigmachen einer Schutzmaßnahme immer wie eine Lockerung der Wachsamkeit aussieht, selbst wenn sich die Evidenz weiterentwickelt hat. Listen Sie die laufenden Beschränkungen auf, die unter einer Vorsorgebegründung in Kraft sind, und prüfen Sie, ob jede noch ein erklärtes Überprüfungsdatum und eine erklärte Evidenzbasis hat, nicht nur institutionelle Trägheit, die sie in Kraft hält.

Wer hält unsere Regulierungsfunktion rechenschaftspflichtig, und funktioniert diese Vereinbarung tatsächlich? Eine Regulierungsbehörde, die nur sich selbst Rechenschaft ablegt, wird über die Zeit zu den Präferenzen des Sektors driften, mit dem sie täglich zu tun hat, weil das das einzige Publikum ist, das ihr regelmäßiges Feedback gibt. Diskutieren Sie, ob Ihr Berufungsweg, Ihr Aufsichtsausschuss, oder Ihre Aufsichtsbehörde in den letzten Jahren bedeutsam eine Entscheidung geändert hat, oder ob sie auf dem Papier existiert, ohne je getestet zu werden (siehe Thema 3.4 — Rechenschaftspflicht, Transparenz, und Legitimität).

Spricht unser Risikoregister mit unserem Notfallplan, oder leben die zwei in unterschiedlichen Silos? Risikoregister werden von Risiko- und Compliance-Teams geschrieben; Notfallpläne werden von Resilienzteams geschrieben; zu oft liest keines das Dokument des anderen, sodass das Szenario, das ein Risikoregister als wahrscheinlich und schwer markiert hat, nicht das Szenario ist, das das Notfallplanungsteam zuletzt geübt hat. Fragen Sie, ob die Spitze Ihres Risikoregisters und die Szenarien Ihrer letzten Übung dieselbe Liste sind, und falls nicht, warum nicht (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).

In der Praxis: ein Beispiel für öffentlichen Wert

Das folgende Szenario ist vollständig fiktiv, illustrativ für ein Muster statt ein Bericht über die interne Entscheidungsfindung einer realen Regulierungsbehörde.

Die Aquakultur-Regulierungsbehörde einer Küstenregion – nennen wir sie die fiktive Estuary Fisheries Authority – erhält einen Antrag einer Fischfarmbetreiberin, die eine neue Offshore-Miesmuschel-und-Speisefisch-Ko-Kultur-Technik einführen will, bereits kommerziell in einer Handvoll anderer Länder genutzt, die höhere Erträge mit kleinerem Meeresbodenfußabdruck verspricht. Die eigenen Meeresbiologinnen der Regulierungsbehörde markieren eine offene Frage: die Technik ändert lokale Nährstoffflüsse auf Weisen, die in einer kleinen Zahl von Studien andernorts mit für nahegelegene Wildmuschelbänke schädlichen Algenblüten verbunden wurden. Die Evidenz ist suggestiv, nicht schlüssig, und die Wildmuschelfischerei der Region ist wirtschaftlich und ökologisch bedeutsam.

Unter einem rein vorsorglichen Instinkt könnte die Behörde einfach die Lizenz verweigern, bis die Wissenschaft geklärt ist, was Jahre dauern könnte und die Betreiberin eine bereits verpflichtete Investition kosten würde und die Region die Arbeitsplätze und Exporterträge, die die Technik bringen könnte. Unter einem rein permissiven Instinkt könnte sie den Antrag mit der Begründung genehmigen, dass kein Schaden bewiesen sei, und das Risiko für die Wildfischerei akzeptieren, falls sich die beunruhigenden Studien verallgemeinern. Keiner der beiden Instinkte spiegelt für sich allein wider, was die – noch ungeschriebene – Risikobereitschaft der Behörde tatsächlich sagen würde, wenn sie jemand direkt fragte.

Stattdessen besteht die Leiterin der Lizenzierung auf drei Schritten vor einer Entscheidung. Erstens wird eine verhältnismäßige Regulierungsfolgenabschätzung durchgeführt, die die Genehmigungs-, Ablehnungs-, und bedingte-Genehmigungs-Optionen gegen die beste verfügbare Evidenz vergleicht, einschließlich eines Aufrufs nach weiteren Überwachungsdaten aus den Ländern, die die Technik bereits nutzen. Zweitens wird der Antrag als neuer Eintrag im Risikoregister der Behörde protokolliert, mit einer zugewiesenen Verantwortlichen, einer erklärten Wahrscheinlichkeits- und Wirkungsbewertung für das Algenblüten-Szenario, und einem in jede Genehmigung eingebauten Abhilfeplan – ein festes Überwachungsregime, definierte Auslöseschwellen für Aussetzung, und ein zwölf Monate entferntes Überprüfungsdatum. Drittens, weil eine mit Überwachungsbedingung und Aussetzungsauslöser erteilte Lizenz eine Form anhaltenden Risikos ist, keine abgeschlossene Entscheidung, benachrichtigt die Behörde ihre regionale Resilienzpartnerschaft, sodass das Algenblüten-Szenario in der Umweltnotfallplanung des Gebiets erscheint, statt nur dem Lizenzierungsteam bekannt zu sein.

Die Behörde gewährt eine bedingte Lizenz: Genehmigung, mit verpflichtender Überwachung, einer niedrigen, aber expliziten Schwelle für Aussetzung, und einer öffentlichen Verpflichtung, die Evidenz in einem Jahr zu überprüfen. Die Entscheidung ist weder ein pauschales „Nein", getrieben von unbewiesener Angst, noch ein stilles „Ja", das ein echtes Signal ignoriert. Es ist eine erklärte Risikobereitschaft – manches Risiko für die Wildfischerei ist akzeptabel im Austausch für den wirtschaftlichen Nutzen der Region, vorausgesetzt es wird überwacht und ist umkehrbar –, konsistent angewandt und dort niedergeschrieben, wo die nächste Lizenzierungsbeamtin, und die nächste Prüfung, sie finden können.

Vier Sektorperspektiven

Kommunalverwaltung

Lokale Regulierungsbehörden – Umweltgesundheit, Handelsstandards, Baukontrolle, Lizenzierung – haben es wiederholt mit denselben Betrieben und denselben Betreiberinnen zu tun, genau die Bedingung, unter der reaktionsfähige, risikobasierte Regulierung am besten funktioniert: eine lokale Inspektorin kann glaubwürdig einen erstmaligen Papierkramfehler von einem anhaltenden Risiko für öffentliche Sicherheit unterscheiden. Die praktische Beschränkung ist Kapazität: ein kleines Ratsteam, das ein genuin lebendiges Risikoregister über Hunderte lizenzierter Betriebe hinweg pflegt, zusätzlich zu Durchsetzungsfallarbeit, braucht das Register einfach genug, um es tatsächlich zu nutzen, keine von einer weit größeren nationalen Stelle importierte Vorlage.

Nationale Regierung

Nationale Wirtschafts- und Sicherheitsregulierungsbehörden – Wettbewerbsbehörden, Finanzverhaltensregulierungsbehörden, Arzneimittelagenturen, Arbeitsschutzstellen – operieren in einem Maßstab, in dem eine vollständige Regulierungsfolgenabschätzung Standardpraxis und oft gesetzliche Anforderung ist, und wo das Vorsorgeprinzip explizit in Gesetzen für Domänen wie Pharmazeutika und Lebensmittelsicherheit erscheint. Nationale Risikoregister, die die Risiken höchster Wahrscheinlichkeit und höchster Wirkung zusammenstellen, denen ein Land gegenübersteht, sind ein direkter Input zur nationalen zivilen Notfallplanung (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement), was die Disziplin, das Register aktuell zu halten, zu einer Angelegenheit nationaler Resilienz macht, nicht nur regulatorischer Hausarbeit.

Sozialer Sektor und gemeinnützige Organisationen

Gemeinnützige Organisationen und Nichtregierungsorganisationen sitzen auf beiden Seiten dieses Themas: sie sind regulierte Stellen, Wohltätigkeits-, Schutz-, und Spendensammlungsregeln unterworfen, und sie sind selbst risikomanagende Organisationen mit Vorständen, die ihre eigenen Risikoregister und Risikobereitschaftserklärungen halten sollten. Schutz ist, wo das Vorsorgeprinzip in diesem Sektor am schärfsten erscheint – irreversibler Schaden für eine verletzliche Person rechtfertigt sehr niedrige Risikobereitschaft selbst inmitten echter Unsicherheit über eine spezifische Behauptung –, während Verhältnismäßigkeit dagegen argumentiert, die für eine große Institution gestaltete Compliance-Last einer kleinen, freiwillig geführten Wohltätigkeitsorganisation mit einer Handvoll bezahlten Beschäftigten aufzuerlegen.

Multilaterale und internationale Organisationen

Internationale Stellen setzen meist Standards, statt sie direkt durchzusetzen, sich auf nationale Regierungen verlassend, vereinbarte Regeln umzusetzen und anzuwenden – Lebensmittelsicherheitsstandards, Schifffahrts- und Luftfahrtsicherheitskodizes, und internationale Umweltabkommen sind typische Beispiele. Das Vorsorgeprinzip hat eine explizite Heimat im internationalen Recht, am sichtbarsten in der Rio-Erklärung über Umwelt und Entwicklung, aber weil Durchsetzung von nationaler Umsetzung abhängt, variiert Risikobereitschaft in der Praxis noch nach Mitgliedstaat, was echte Fragmentierung produziert, selbst wo der zugrunde liegende Standard geteilt wird.

Häufige Fehlermuster

Regulierungsvereinnahmung. Eine Regulierungsbehörde, die für Information, Personal, oder Finanzierung von der regulierten Industrie abhängt, übernimmt allmählich deren Sicht auf akzeptables Risiko, ohne eine einzelne Entscheidung, die wie Korruption aussieht. Die Kosten zeigen sich Jahre später, wenn ein Risiko, das die Regulierungsbehörde aufgehört hatte, als dringend zu behandeln, in großem Maßstab eintritt.

Das Zombie-Risikoregister. Ein Register wird erstellt, einmal befüllt, und dann nur aktualisiert, wenn eine Prüferin es anfordert. Es gibt den Anschein von Risikomanagement ohne die Funktion: niemand entscheidet tatsächlich, auf einem Zyklus, ob die aufgelisteten Risiken und ihre Abhilfemaßnahmen noch die Realität widerspiegeln.

Vorsorge-Lähmung. Das Vorsorgeprinzip wird ohne Verhältnismäßigkeitstest, erklärte Evidenzschwelle, oder Überprüfungsdatum angerufen, eine begründete Pause in eine unbegrenzte Blockade verwandelnd. Genuin nützliche Innovation – eine neue medizinische Technik, ein sauberer Industrieprozess, eine effizientere Technologie – wird verzögert oder aufgegeben, nicht weil die Schadensevidenz stark ist, sondern weil das Rückgängigmachen einer vorsorglichen Beschränkung politisch immer wie eine Lockerung der Wachsamkeit aussieht.

Die nachträgliche Folgenabschätzung. Eine Regulierungsfolgenabschätzung wird geschrieben, nachdem die politische Entscheidung bereits getroffen wurde, um einen Papierpfad zu bauen statt die Wahl zu informieren. Ihre Optionsanalyse begünstigt zuverlässig die Option, die die Sponsorin bereits gewählt hatte, was erkennbar, aber selten angefochten ist.

Regulatorisches Kriechen ohne Verfall. Neue Regeln werden als Reaktion auf jedes neue Problem hinzugefügt, aber alte Regeln werden selten aufgehoben, sodass die kumulative Compliance-Last weiter wächst, selbst während einzelne Risiken zurückgehen. Ohne eine Verfallsklausel oder einen gleichwertigen Überprüfungsmechanismus besitzt niemand die Frage, ob eine gegebene Regel noch ihre Kosten wert ist.

Isoliertes Risikomanagement. Das Risikoregister lebt bei der Risiko- oder Compliance-Funktion; der Notfallplan lebt bei der Resilienzfunktion; die zwei werden selten versöhnt. Das von einem Risikoregister als wahrscheinlich und schwer markierte Szenario fehlt dann in der Übung, die das Notfallplanungsteam zuletzt probte (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).

Die nicht rechenschaftspflichtige Regulierungsbehörde. Durchsetzungsmacht ohne funktionierende externe Kontrolle – ein nie genutzter Berufungsweg, ein Aufsichtsausschuss, der nie tagt, eine Legislative, die nie prüft – lässt die Risikourteile einer Regulierungsbehörde von niemandem außerhalb der sie treffenden Organisation getestet (siehe Thema 3.4 — Rechenschaftspflicht, Transparenz, und Legitimität).

Reifegradmodell

Liste zur Überprüfung

• Entwerfen Sie eine Risikobereitschaftserklärung mit Ihrem Leitungsgremium und veröffentlichen Sie sie.
• Bauen oder erneuern Sie ein Risikoregister mit benannter Verantwortlicher und Überprüfungsdatum für jeden Eintrag.
• Klassifizieren Sie jede Regulierungsbefugnis nach Instrumententyp – Befehl-und-Kontrolle oder risikobasiert – und prüfen Sie, ob sie zum anvisierten Risiko passt.
• Führen Sie eine Regulierungsfolgenabschätzung durch, bevor Sie eine bedeutende Regel übernehmen oder erneuern, bemessen nach dem Maßstab der Regel.
• Wenden Sie einen Verhältnismäßigkeitstest an, wann immer das Vorsorgeprinzip angerufen wird, mit erklärter Evidenzbasis und Überprüfungsdatum.
• Setzen Sie ein Verfalls- oder Überprüfungsdatum auf jede neue Regulierung.
• Bestätigen Sie, dass der Rechenschaftsweg Ihrer Regulierungsbehörde unabhängig von der von ihr regulierten Industrie ist (siehe Thema 3.4 — Rechenschaftspflicht, Transparenz, und Legitimität).
• Verbinden Sie die Top-Einträge Ihres Risikoregisters mit Ihren Notfall- und Geschäftskontinuitätsplänen (siehe Thema 3.12 — Krisen, Notfall, und Resilienzmanagement).
• Berichten Sie Verletzungen der Risikobereitschaft dem Vorstand, nicht nur dem Risiko- oder Compliance-Team.
• Überprüfen Sie das gesamte Risikoregister in festem Intervall, nicht nur nach einem Vorfall.
• Prüfen Sie, ob Personal die Risikobereitschaft der Organisation in einem Satz benennen kann; falls nicht, behandeln Sie die Erklärung in der Praxis als unveröffentlicht.

Hauptquellen

Ian Ayres' und John Braithwaites Responsive Regulation: Transcending the Deregulation Debate (1992) bleibt der grundlegende Bericht über die Durchsetzungspyramide und risikodifferenzierte Durchsetzung, in den Kernkonzepten dieses Themas zusammengefasst. Cass Sunsteins Laws of Fear: Beyond the Precautionary Principle (2005) ist die Standardkritik der Grenzen des Vorsorgeprinzips, besonders seiner Tendenz, asymmetrisch angerufen zu werden. ISO 31000 ist der Referenz-Internationalstandard für Risikomanagementstruktur; das britische HM Treasury Orange Book passt eine ähnliche Struktur speziell für Regierungsstellen an. Der Bericht Late Lessons from Early Warnings der Europäischen Umweltagentur sammelt Fallstudien zu den Kosten sowohl der Vernachlässigung als auch der Fehlanwendung von Vorsorge. Das britische Better Regulation Framework und sein Legislative and Regulatory Reform Act 2006 werden in diesem Thema als durchgearbeitetes, überprüfbares Beispiel für Verhältnismäßigkeits- und Folgenabschätzungspflichten genutzt, die Regulierungsbehörden durch Gesetz und Leitlinien auferlegt werden; gleichwertige Rahmenwerke existieren in vielen anderen Rechtsräumen.

Referenzen

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2