Regulación y Gestión del Riesgo Público

Por qué esto importa para el valor público

Cada regulador trabaja dentro de una trampa sin salida cómoda. Si ocurre un daño evitable, se culpa al regulador de haber sido demasiado laxo. Si el regulador bloquea o retrasa algo que más tarde resulta ser seguro y beneficioso, se le culpa de una precaución excesiva que costó empleos, tratamientos, o inversión. Ambos fallos son visibles solo en retrospectiva, lo que significa que la decisión real del regulador nunca es simplemente 'seguro o inseguro' sino 'cuánto de este riesgo estamos dispuestos a llevar, y bajo la autoridad de quién'. Una organización que nunca ha escrito su tolerancia la descubre caramente, la primera vez que algo sale mal y una investigación pregunta quién decidió que el riesgo era aceptable.

Las declaraciones de apetito de riesgo y los registros de riesgos existen para hacer explícita esa tolerancia antes del evento, no después. Convierten un conjunto privado y distribuido de decisiones de juicio —hechas por inspectores, gestores de casos, y gerentes de turno bajo presión de tiempo— en una posición declarada por la que se puede responsabilizar a la organización y que puede defender. El diseño regulatorio hace el mismo trabajo a nivel de la propia regla: elegir un instrumento de mando y control o uno responsivo y basado en riesgo es una decisión de riesgo por derecho propio, no meramente una cuestión de estilo administrativo. Este tema trata la regulación y la gestión de riesgos como dos expresiones de una pregunta subyacente: ¿cómo decide un organismo público, explícitamente, cuánto daño tolerará en la búsqueda de un valor público que también le importa?

La autoridad de un regulador para tomar esa decisión no se autoconcede, que es por qué este tema se sitúa junto a las estructuras de rendición de cuentas que la legitiman (véase el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad), y por qué los riesgos que identifica hoy frecuentemente son las crisis para las que otro equipo está planificando mañana (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia).

Conceptos fundamentales

La regulación es el uso de reglas, respaldadas por alguna forma de autoridad, para restringir o dirigir el comportamiento de individuos, empresas, u otras organizaciones. En el sector público se sitúa junto al gasto y los impuestos como un instrumento de política central, pero a diferencia del gasto, típicamente impone sus costes sobre la parte regulada en lugar de sobre el erario público —que es exactamente por qué puede ser políticamente atractiva, y por qué su coste real es fácil de subestimar.

Los organismos reguladores son los organismos que escriben, administran, y hacen cumplir reglas dentro de un dominio definido, como la conducta financiera, los medicamentos, la seguridad alimentaria, o el control de edificios. Sus elecciones de diseño —cuán independientes son de los ministros, cómo se financian, cuán apelables son sus decisiones— dan forma a si pueden actuar sobre evidencia sin ser capturados por las industrias que supervisan.

La regulación de mando y control fija reglas uniformes y prescriptivas y penaliza cualquier infracción, independientemente del historial de la empresa infractora o el riesgo real que representa. Es transparente y fácil de auditar, pero trata a un operador persistentemente cuidadoso igual que a un infractor habitual, desperdiciando esfuerzo de cumplimiento en el primero mientras disuade insuficientemente al segundo.

La regulación responsiva y basada en riesgo diferencia su respuesta por el riesgo evaluado y el historial de cumplimiento de la parte regulada: compromiso de trato ligero para actores de buena fe, sanciones escaladas para el incumplimiento repetido o deliberado. La cobertura de Wikipedia de este enfoque, bajo el encabezado de diferenciación de riesgo regulatorio, lo rastrea hasta la 'pirámide de aplicación' de Ian Ayres y John Braithwaite, que comienza con la persuasión y escala hasta la retirada de licencia o el procesamiento solo cuando fallan las herramientas más ligeras. Exige más del juicio y los datos de un regulador de lo que exige un libro de reglas fijo, que es su coste principal.

El análisis de impacto regulatorio (AIR), también llamado evaluación de impacto regulatorio, es el documento que produce un gobierno antes de introducir una nueva regulación, estableciendo el problema, las opciones consideradas, y los costes y beneficios esperados de cada una. El artículo de Wikipedia sobre análisis de impacto regulatorio rastrea su propagación a través de muchos países. Su propósito es hacer visible la compensación en una regla propuesta antes de la adopción, no justificar una decisión ya tomada —una distinción a la que regresan los modos de fallo a continuación.

La gestión de riesgos es la disciplina de identificar, evaluar, y controlar las cosas que podrían impedir que una organización cumpla sus objetivos. La ISO 31000 es el estándar internacional más ampliamente referenciado para estructurar esa disciplina; trata la gestión de riesgos como un proceso iterativo —identificar, analizar, evaluar, tratar, monitorear— en lugar de un ejercicio puntual, y varios marcos nacionales, incluyendo el Orange Book de HM Treasury del Reino Unido, se construyen sobre su estructura.

El apetito de riesgo es el nivel de riesgo que una organización está preparada para aceptar, en la búsqueda de sus objetivos, antes de actuar para reducir ese riesgo. Una declaración de apetito de riesgo hace esto explícito y diferenciado: un regulador de salud pública podría tener apetito casi nulo por el riesgo a la seguridad del paciente pero un apetito mucho mayor por el riesgo reputacional de una decisión impopular pero basada en evidencia.

Un registro de riesgos es la herramienta operativa que lista cada riesgo identificado, su probabilidad e impacto, su propietario, y las mitigaciones en vigor o planificadas. Usado bien, impulsa decisiones de recursos y escalamiento; usado mal, es una hoja de cálculo que nadie reabre entre auditorías.

El principio de precaución sostiene que cuando una acción o política conlleva un riesgo sospechado de daño grave o irreversible, la ausencia de certeza científica completa no debería usarse como razón para posponer medidas protectoras. En algunas formulaciones desplaza la carga de la prueba de 'demuestre que esto es peligroso antes de que actuemos' a 'demuestre que esto es lo suficientemente seguro antes de proceder' —un valor predeterminado genuinamente diferente que importa más bajo incertidumbre científica y potencial irreversibilidad, como un químico, tecnología, o patógeno novedoso.

La proporcionalidad es el principio de que una respuesta regulatoria no debería ser más restrictiva de lo necesario para abordar el riesgo al que se dirige. Es la principal restricción práctica y legal sobre el principio de precaución: la precaución justifica actuar bajo incertidumbre, pero la proporcionalidad todavía gobierna cuánto está autorizado a hacer al respecto, y por cuánto tiempo.

Mejores prácticas

1. Publique una declaración de apetito de riesgo antes de necesitarla. Redáctela con su órgano de gobierno, no solo su equipo de riesgo, de modo que cuando llegue una decisión difícil, la tolerancia al daño se haya fijado en condiciones tranquilas en lugar de decidirse bajo presión pública a mitad de incidente.
2. Ajuste el instrumento regulatorio al perfil de riesgo, no al hábito institucional. Reserve las reglas de mando y control para riesgos donde el cumplimiento uniforme es genuinamente no negociable, como la seguridad estructural, y use enfoques diferenciados por riesgo donde el historial de cumplimiento de la población regulada varía ampliamente.
3. Ejecute la evaluación de impacto regulatorio antes de la decisión, no para justificarla después. Encárguela con suficiente antelación como para que sus hallazgos aún puedan cambiar la propuesta, y publíquela junto a la regla de modo que el razonamiento sea verificable.
4. Dimensione la evaluación al tamaño de la regla. Una enmienda técnica menor no necesita el mismo peso analítico que una regla que remodela un sector entero; un proceso fijo y desproporcionado solo le enseña al personal a tratarlo como una formalidad.
5. Mantenga el registro de riesgos como un documento vivo y poseído. Asigne un propietario nombrado a cada entrada, fije una fecha de revisión, e informe el movimiento —riesgos nuevos, riesgos cerrados, mitigaciones no cumplidas— a la junta en un ciclo fijo en lugar de solo cuando lo pida un auditor.
6. Aplique una prueba de proporcionalidad cada vez que se invoque el principio de precaución. Declare explícitamente qué evidencia de daño existe, qué opciones menos restrictivas se consideraron, y cuándo se revisará la restricción, de modo que la precaución se lea como un juicio razonado en lugar de un veto reflejo.
7. Fije una fecha de extinción o revisión en cada regulación significativa. Sin revisar, las reglas se acumulan más rápido de lo que se derogan, y la carga de cumplimiento sigue creciendo incluso donde ha retrocedido el riesgo que abordaban.
8. Separe la fijación de estándares de las decisiones de aplicación caso por caso. Mantenga las elecciones de aplicación revisables por su propio historial, de modo que las reglas generales de un regulador y su decisión en un caso disputado no se juzguen, ni se defiendan, como si fueran lo mismo.
9. Protéjase deliberadamente contra la captura regulatoria. Rote al personal superior fuera de los sectores que después regularán, divulgue intereses externos, y financie al regulador independientemente de las tarifas o multas que impone a la industria que supervisa.
10. Haga al regulador responsable ante un organismo fuera de la industria regulada. Una ruta de apelación, una inspectoría, o un comité legislativo que pueda cuestionar las decisiones del regulador mantiene honestos sus juicios de riesgo (véase el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad).
11. Conecte la parte superior del registro de riesgos con la planificación de emergencias. Las entradas de mayor probabilidad y mayor impacto en un registro de riesgos frecuentemente son los escenarios que necesita ensayar la planificación de crisis y continuidad, así que las dos funciones deberían leer el mismo documento, no mantener documentos paralelos (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia).

Preguntas para discutir con su equipo

¿Sabemos nuestro propio apetito de riesgo, o lo estamos descubriendo incidente por incidente? Si nadie en la sala puede describir, en una frase, cuánto riesgo está dispuesta a llevar la organización en sus funciones centrales, entonces cada decisión difícil se está tomando desde cero, por quien resulte estar de guardia. Eso produce decisiones inconsistentes en casos similares y deja a la organización defendiendo decisiones de juicio que nunca realmente acordó como organismo. Pregunte dónde existe hoy una declaración de apetito de riesgo escrita, quién la aprobó, y cuándo se puso a prueba por última vez frente a una decisión real en lugar de dejarse como un documento de política sin leer.

¿Cuáles de nuestras herramientas regulatorias son de mando y control por hábito, en lugar de por diseño deliberado? Las reglas uniformes son más fáciles de escribir y defender que las diferenciadas, que es exactamente por qué las organizaciones recurren a ellas por defecto incluso donde el perfil de riesgo de la población regulada varía enormemente. Recorra sus poderes regulatorios principales y pregunte, para cada uno, si alguna vez se consideró una alternativa basada en riesgo o responsiva, o si el instrumento actual simplemente precede a que se hiciera la pregunta.

¿Cuándo actualizamos por última vez nuestro registro de riesgos, y quién posee cada entrada en él? Un registro sin propietarios nombrados, o uno que no se ha movido desde la última auditoría, no está gestionando el riesgo —está documentando que el riesgo se discutió una vez. Pida al equipo que abra el registro en vivo en la reunión y dé cuenta de las cinco entradas principales: qué ha cambiado, qué mitigación vence, y qué pasa si nadie actúa antes de la próxima revisión.

¿Dónde hemos invocado el principio de precaución, y podríamos defender hoy esa decisión como proporcionada? La precaución es fácil de invocar y difícil de deshacer, porque revertir una medida protectora siempre parece relajar la vigilancia incluso cuando la evidencia ha avanzado. Liste las restricciones vigentes bajo un fundamento precautorio y compruebe si cada una todavía tiene una fecha de revisión declarada y una base evidencial declarada, no solo la inercia institucional que la mantiene en vigor.

¿Quién hace responsable a nuestra función regulatoria, y realmente funciona ese arreglo? Un regulador que responde solo ante sí mismo, con el tiempo, derivará hacia las preferencias del sector con el que trata diariamente, porque esa es la única audiencia que le da retroalimentación regular. Discuta si su ruta de apelación, comité de supervisión, o inspectoría ha cambiado significativamente una decisión en los últimos años, o si existe en papel sin jamás ponerse a prueba (véase el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad).

¿Habla nuestro registro de riesgos con nuestro plan de emergencia, o viven los dos en silos diferentes? Los registros de riesgos los escriben los equipos de riesgo y cumplimiento; los planes de emergencia los escriben los equipos de resiliencia; con demasiada frecuencia, ninguno lee el documento del otro, así que el escenario que un registro de riesgos ha señalado como probable y severo no es el escenario que el equipo de planificación de emergencias ensayó por última vez. Pregunte si la parte superior de su registro de riesgos y los escenarios en su último ejercicio son la misma lista, y si no, por qué no (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia).

En la práctica: un ejemplo de valor público

El siguiente escenario es completamente ficticio, ilustrativo de un patrón en lugar de un informe sobre la toma de decisiones interna de ningún regulador real.

El regulador de acuicultura de una región costera —llamémoslo la ficticia Autoridad de Pesquerías del Estuario— recibe una solicitud de un operador de granja piscícola que quiere introducir una nueva técnica de coco-cultivo de mejillones y peces en alta mar, ya usada comercialmente en un puñado de otros países, que promete mayores rendimientos con una huella de lecho marino más pequeña. Los propios biólogos marinos del regulador señalan una pregunta abierta: la técnica cambia los flujos de nutrientes locales de formas que, en un pequeño número de estudios en otros lugares, se han vinculado a floraciones de algas dañinas para los lechos de mariscos silvestres cercanos. La evidencia es sugestiva, no concluyente, y la pesquería de mariscos silvestres de la región es económica y ecológicamente significativa.

Bajo un instinto puramente precautorio, la autoridad podría simplemente rechazar la licencia hasta que se resuelva la ciencia, lo que podría tomar años y le costaría al operador una inversión ya comprometida y a la región los empleos e ingresos de exportación que podría traer la técnica. Bajo un instinto puramente permisivo, podría aprobar la solicitud con el fundamento de que no se ha probado ningún daño, y aceptar el riesgo para la pesquería silvestre si los estudios preocupantes resultan generalizarse. Ninguno de los dos instintos, por sí solo, refleja lo que realmente diría el apetito de riesgo —todavía no escrito— de la autoridad si alguien lo preguntara directamente.

En cambio, el jefe de licencias de la autoridad insiste en tres pasos antes de tomar una decisión. Primero, se ejecuta una evaluación de impacto regulatorio proporcionada, comparando las opciones de aprobar, rechazar, y aprobación condicional frente a la mejor evidencia disponible, incluyendo una solicitud de más datos de monitoreo de los países que ya usan la técnica. Segundo, la solicitud se registra como una nueva entrada en el registro de riesgos de la autoridad, con un propietario asignado, una calificación declarada de probabilidad e impacto para el escenario de floración de algas, y un plan de mitigación incorporado en cualquier aprobación —un régimen de monitoreo fijo, umbrales de disparador definidos para la suspensión, y una fecha de revisión a doce meses. Tercero, debido a que una licencia otorgada con una condición de monitoreo y un disparador de suspensión es una forma de riesgo continuo, no una decisión cerrada, la autoridad notifica a su asociación regional de resiliencia de modo que el escenario de floración de algas aparezca en la planificación de contingencia ambiental del área en lugar de conocerse solo por el equipo de licencias.

La autoridad otorga una licencia condicional: aprobación, con monitoreo obligatorio, un umbral bajo pero explícito para la suspensión, y un compromiso público de revisar la evidencia en un año. La decisión no es ni un 'no' generalizado impulsado por un miedo no probado, ni un 'sí' silencioso que ignora una señal real. Es un apetito de riesgo declarado —cierto riesgo para la pesquería silvestre es aceptable a cambio del beneficio económico de la región, siempre que se monitoree y sea reversible— aplicado consistentemente y escrito donde el próximo funcionario de licencias, y la próxima auditoría, puedan encontrarlo.

Cuatro lentes sectoriales

Gobierno local

Los reguladores locales —salud ambiental, normas comerciales, control de edificios, licencias— tratan repetidamente con las mismas instalaciones y los mismos operadores, que es exactamente la condición bajo la cual funciona mejor la regulación responsiva y basada en riesgo: un inspector local puede distinguir creíblemente un descuido de papeleo de primera vez de un riesgo persistente a la seguridad pública. La restricción práctica es la capacidad: un pequeño equipo de consejo que mantiene un registro de riesgos genuinamente vivo a través de cientos de instalaciones licenciadas, además de la carga de casos de aplicación, necesita que el registro sea lo suficientemente simple para realmente usarse, no una plantilla importada de un organismo nacional mucho más grande.

Gobierno nacional

Los reguladores económicos y de seguridad nacionales —autoridades de competencia, reguladores de conducta financiera, agencias de medicamentos, organismos de salud y seguridad— operan a una escala donde una evaluación de impacto regulatorio completa es práctica estándar y a menudo un requisito legal, y donde el principio de precaución aparece explícitamente en el estatuto para dominios como los productos farmacéuticos y la seguridad alimentaria. Los registros de riesgos nacionales, que compilan los riesgos de mayor probabilidad e impacto que enfrenta un país, son un insumo directo para la planificación nacional de contingencias civiles (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia), lo que hace de la disciplina de mantener actualizado el registro un asunto de resiliencia nacional, no solo mantenimiento regulatorio.

Sector social y sin ánimo de lucro

Las organizaciones sin ánimo de lucro y las organizaciones no gubernamentales se sitúan en ambos lados de este tema: son organismos regulados, sujetos a reglas benéficas, de salvaguarda, y de recaudación de fondos, y ellas mismas son organizaciones gestoras de riesgo con juntas que deberían sostener sus propios registros de riesgos y declaraciones de apetito de riesgo. La salvaguarda es donde el principio de precaución aparece de forma más cruda en este sector —el daño irreversible a una persona vulnerable justifica un apetito de riesgo muy bajo incluso en medio de incertidumbre genuina sobre una alegación específica— mientras la proporcionalidad argumenta contra imponer la carga de cumplimiento diseñada para una institución grande sobre una pequeña organización benéfica dirigida por voluntarios con un puñado de personal pagado.

Multilateral e internacional

Los organismos internacionales mayormente fijan estándares en lugar de aplicarlos directamente, dependiendo de los gobiernos nacionales para transponer y aplicar reglas acordadas —los estándares de seguridad alimentaria, los códigos de seguridad marítima y de aviación, y los acuerdos ambientales internacionales son ejemplos típicos. El principio de precaución tiene un hogar explícito en el derecho internacional, más visiblemente en la Declaración de Río sobre el Medio Ambiente y el Desarrollo, pero debido a que la aplicación depende de la implementación nacional, el apetito de riesgo en la práctica todavía varía por estado miembro, produciendo fragmentación genuina incluso donde se comparte el estándar subyacente.

Modos de fallo comunes

Captura regulatoria. Un regulador que depende de la industria regulada para información, personal, o financiación gradualmente adopta la visión de esa industria sobre el riesgo aceptable, sin ninguna decisión individual que parezca corrupción. El coste aparece años después, cuando un riesgo que el regulador había dejado de tratar como urgente se materializa a escala.

El registro de riesgos zombi. Se crea un registro, se puebla una vez, y luego se actualiza solo cuando lo pide un auditor. Da la apariencia de gestión de riesgos sin la función: nadie realmente está decidiendo, en un ciclo, si los riesgos listados y sus mitigaciones todavía reflejan la realidad.

Parálisis precautoria. El principio de precaución se invoca sin una prueba de proporcionalidad, un umbral evidencial declarado, o una fecha de revisión, convirtiendo una pausa razonada en un bloqueo indefinido. La innovación genuinamente beneficiosa —una nueva técnica médica, un proceso industrial más limpio, una tecnología más eficiente— se retrasa o abandona no porque la evidencia de daño sea fuerte, sino porque revertir una restricción precautoria siempre parece, políticamente, relajar la vigilancia.

La evaluación de impacto post-hoc. Se escribe una evaluación de impacto regulatorio después de que ya se ha tomado la decisión política, para construir un rastro documental en lugar de informar la elección. Su análisis de opciones favorece confiablemente cualquier opción que ya hubiera elegido el patrocinador, lo cual es detectable pero rara vez se cuestiona.

Deriva regulatoria sin extinción. Se añaden nuevas reglas en respuesta a cada nuevo problema, pero rara vez se derogan las antiguas, así que la carga de cumplimiento acumulada sigue creciendo incluso mientras retroceden los riesgos individuales. Sin una disposición de extinción o mecanismo de revisión equivalente, nadie posee la pregunta de si una regla dada todavía se gana su coste.

Gestión de riesgos en silos. El registro de riesgos vive con la función de riesgo o cumplimiento; el plan de emergencia vive con la función de resiliencia; los dos rara vez se concilian. El escenario que un registro de riesgos ha señalado como probable y severo entonces está ausente del ejercicio que el equipo de planificación de emergencias ensayó por última vez (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia).

El regulador sin rendición de cuentas. El poder de aplicación sin una comprobación externa funcional —una ruta de apelación que nunca se usa, un comité de supervisión que nunca se reúne, una legislatura que nunca escruta— deja los juicios de riesgo de un regulador sin poner a prueba por nadie fuera de la organización que los hace (véase el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad).

Modelo de madurez

Lista de verificación

• Redactar una declaración de apetito de riesgo con su órgano de gobierno y publicarla.
• Construir o renovar un registro de riesgos con un propietario nombrado y fecha de revisión para cada entrada.
• Clasificar cada poder regulatorio por tipo de instrumento —mando y control o basado en riesgo— y comprobar que coincide con el riesgo al que se dirige.
• Ejecutar una evaluación de impacto regulatorio antes de adoptar o renovar una regla significativa, dimensionada a la escala de la regla.
• Aplicar una prueba de proporcionalidad siempre que se invoque el principio de precaución, con una base evidencial declarada y fecha de revisión.
• Fijar una fecha de extinción o revisión en cada nueva regulación.
• Confirmar que la ruta de rendición de cuentas de su regulador es independiente de la industria que regula (véase el Tema 3.4 — Rendición de Cuentas, Transparencia, y Legitimidad).
• Vincular las entradas principales de su registro de riesgos a sus planes de emergencia y continuidad del negocio (véase el Tema 3.12 — Gestión de Crisis, Emergencias, y Resiliencia).
• Informar las infracciones de apetito de riesgo a la junta, no solo al equipo de riesgo o cumplimiento.
• Revisar todo el registro de riesgos en un intervalo fijo, no solo después de un incidente.
• Comprobar si el personal puede nombrar el apetito de riesgo de la organización en una frase; si no puede, tratar la declaración como no publicada en la práctica.

Fuentes clave

Responsive Regulation: Transcending the Deregulation Debate (1992) de Ian Ayres y John Braithwaite sigue siendo el relato fundacional de la pirámide de aplicación y la aplicación diferenciada por riesgo resumida en los conceptos fundamentales de este tema. Laws of Fear: Beyond the Precautionary Principle (2005) de Cass Sunstein es el tratamiento crítico estándar de los límites del principio de precaución, particularmente su tendencia a invocarse asimétricamente. La ISO 31000 es el estándar internacional de referencia para la estructura de gestión de riesgos; el Orange Book de HM Treasury del Reino Unido adapta una estructura similar específicamente para organismos gubernamentales. El informe Late Lessons from Early Warnings de la Agencia Europea de Medio Ambiente recopila estudios de caso sobre el coste tanto de descuidar como de aplicar mal la precaución. El Better Regulation Framework del Reino Unido y su Legislative and Regulatory Reform Act 2006 se usan en este tema como un ejemplo trabajado y verificable de los deberes de proporcionalidad y evaluación de impacto impuestos a los reguladores por estatuto y orientación; existen marcos equivalentes en muchas otras jurisdicciones.

Referencias

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2