Réglementation et gestion des risques publics

Pourquoi cela compte pour la valeur publique

Chaque régulateur travaille à l'intérieur d'un piège sans issue confortable. Si un préjudice évitable survient, le régulateur est blâmé d'avoir été trop laxiste. Si le régulateur bloque ou retarde quelque chose plus tard démontré sûr et bénéfique, il est blâmé pour une prudence excessive ayant coûté des emplois, des traitements, ou des investissements. Les deux échecs ne sont visibles qu'après coup, ce qui signifie que la véritable décision du régulateur n'est jamais simplement « sûr ou non sûr » mais « combien de ce risque sommes-nous prêts à porter, et sous quelle autorité ». Une organisation qui n'a jamais écrit sa tolérance la découvre à ses dépens, la première fois que quelque chose tourne mal et qu'une enquête demande qui a décidé que le risque était acceptable.

Les déclarations d'appétit au risque et les registres des risques existent pour rendre cette tolérance explicite avant l'événement, non après. Ils convertissent un ensemble privé et distribué de jugements — faits par des inspecteurs, des agents de dossiers, et des responsables de service sous pression temporelle — en une position déclarée dont l'organisation peut être tenue responsable et qu'elle peut défendre. La conception réglementaire fait le même travail au niveau de la règle elle-même : choisir un instrument de commandement-et-contrôle ou un instrument réactif et basé sur le risque est une décision de risque en soi, non simplement une question de style administratif. Ce thème traite la réglementation et la gestion des risques comme deux expressions d'une seule question sous-jacente : comment un organisme public décide-t-il, explicitement, combien de préjudice il tolérera dans la poursuite d'une valeur publique qui lui tient aussi à cœur ?

L'autorité d'un régulateur de prendre cette décision ne s'auto-octroie pas, ce qui est pourquoi ce thème se situe à côté des structures de redevabilité qui la légitiment (voir thème 3.4 — Redevabilité, transparence et légitimité), et pourquoi les risques qu'il identifie aujourd'hui sont fréquemment les crises qu'une autre équipe planifie pour demain (voir thème 3.12 — Crise, urgence et gestion de la résilience).

Concepts fondamentaux

La réglementation est l'usage de règles, soutenues par une forme d'autorité, pour contraindre ou diriger le comportement d'individus, d'entreprises, ou d'autres organisations. Dans le secteur public, elle se situe aux côtés de la dépense et de la fiscalité comme instrument politique fondamental, mais contrairement à la dépense, elle impose typiquement ses coûts à la partie réglementée plutôt qu'aux finances publiques — ce qui explique exactement pourquoi elle peut être politiquement attrayante, et pourquoi son véritable coût est facile à sous-estimer.

Les organismes de réglementation sont les organismes qui rédigent, administrent, et font appliquer des règles à l'intérieur d'un domaine défini, tel que la conduite financière, les médicaments, la sécurité alimentaire, ou le contrôle du bâtiment. Leurs choix de conception — leur degré d'indépendance envers les ministres, comment ils sont financés, dans quelle mesure leurs décisions sont susceptibles d'appel — déterminent s'ils peuvent agir sur la base de preuves sans être capturés par les industries qu'ils supervisent.

La réglementation de commandement-et-contrôle fixe des règles uniformes et prescriptives et pénalise toute infraction, indépendamment du bilan de l'entreprise contrevenante ou du risque réel qu'elle pose. Elle est transparente et facile à auditer, mais elle traite un opérateur constamment prudent de la même façon qu'un contrevenant habituel, gaspillant l'effort de conformité du premier tout en dissuadant insuffisamment le second.

La réglementation réactive et basée sur le risque différencie sa réponse selon le risque évalué et l'historique de conformité de la partie réglementée : un engagement léger pour les acteurs de bonne foi, des sanctions croissantes pour la non-conformité répétée ou délibérée. La couverture Wikipédia de cette approche, sous la rubrique différenciation du risque réglementaire, la retrace à la « pyramide d'application » d'Ian Ayres et John Braithwaite, qui commence par la persuasion et escalade vers le retrait de licence ou la poursuite seulement quand des outils plus légers échouent. Elle demande davantage du jugement et des données d'un régulateur qu'un recueil de règles fixe, ce qui en est le coût principal.

L'analyse d'impact réglementaire (AIR), aussi appelée évaluation d'impact réglementaire, est le document qu'un gouvernement produit avant d'introduire une nouvelle réglementation, exposant le problème, les options considérées, et les coûts et bénéfices attendus de chacune. L'article Wikipédia sur l'analyse d'impact réglementaire retrace sa diffusion à travers de nombreux pays. Son but est de rendre visible l'arbitrage dans une règle proposée avant son adoption, non de justifier une décision déjà prise — une distinction à laquelle les modes de défaillance ci-dessous reviennent.

La gestion des risques est la discipline consistant à identifier, évaluer, et contrôler les choses qui pourraient empêcher une organisation d'atteindre ses objectifs. ISO 31000 est la norme internationale la plus largement référencée pour structurer cette discipline ; elle traite la gestion des risques comme un processus itératif — identifier, analyser, évaluer, traiter, surveiller — plutôt qu'un exercice ponctuel, et plusieurs cadres nationaux, dont le Livre orange du Trésor britannique, s'appuient sur sa structure.

L'appétit au risque est le niveau de risque qu'une organisation est prête à accepter, dans la poursuite de ses objectifs, avant d'agir pour le réduire. Une déclaration d'appétit au risque rend cela explicite et différencié : un régulateur de la santé publique pourrait avoir un appétit quasi nul pour le risque envers la sécurité des patients mais un appétit bien plus élevé pour le risque réputationnel d'une décision impopulaire mais fondée sur des preuves.

Un registre des risques est l'outil opérationnel qui liste chaque risque identifié, sa probabilité et son impact, son propriétaire, et les mesures d'atténuation en place ou prévues. Bien utilisé, il oriente les décisions de dotation en ressources et d'escalade ; mal utilisé, c'est une feuille de calcul que personne ne rouvre entre les audits.

Le principe de précaution soutient que lorsqu'une action ou une politique porte un risque suspecté de préjudice grave ou irréversible, l'absence de certitude scientifique complète ne devrait pas être utilisée comme raison de reporter des mesures de protection. Dans certaines formulations, il déplace le fardeau de la preuve de « prouvez que c'est dangereux avant que nous n'agissions » vers « montrez que c'est suffisamment sûr avant que nous ne procédions » — un défaut authentiquement différent qui compte le plus sous incertitude scientifique et irréversibilité potentielle, comme un produit chimique, une technologie, ou un pathogène nouveau.

La proportionnalité est le principe selon lequel une réponse réglementaire ne devrait pas être plus restrictive que nécessaire pour traiter le risque qu'elle cible. C'est la principale contrainte pratique et légale sur le principe de précaution : la précaution justifie d'agir sous incertitude, mais la proportionnalité gouverne encore combien vous êtes en droit de faire à ce sujet, et pour combien de temps.

Pratiques exemplaires

1. Publiez une déclaration d'appétit au risque avant d'en avoir besoin. Rédigez-la avec votre organe de gouvernance, non seulement votre équipe de risque, afin que quand un choix difficile arrive, la tolérance au préjudice ait été fixée dans des conditions calmes plutôt que décidée sous pression publique en plein incident.
2. Faites correspondre l'instrument réglementaire au profil de risque, non à l'habitude institutionnelle. Réservez les règles de commandement-et-contrôle aux risques où la conformité uniforme est authentiquement non négociable, telle que la sécurité structurelle, et utilisez des approches différenciées par le risque là où l'historique de conformité de la population réglementée varie largement.
3. Menez l'évaluation d'impact réglementaire avant la décision, non pour la justifier après coup. Commandez-la assez tôt pour que ses constats puissent encore changer la proposition, et publiez-la aux côtés de la règle afin que le raisonnement soit vérifiable.
4. Calibrez l'évaluation à la taille de la règle. Un amendement technique mineur n'a pas besoin du même poids analytique qu'une règle qui remodèle tout un secteur ; un processus fixe et disproportionné enseigne simplement au personnel à le traiter comme une formalité.
5. Gardez le registre des risques comme un document vivant et possédé. Assignez un propriétaire nommé à chaque entrée, fixez une date de révision, et rapportez les mouvements — nouveaux risques, risques clos, atténuations manquées — au conseil selon un cycle fixe plutôt que seulement quand un auditeur le demande.
6. Appliquez un test de proportionnalité chaque fois que le principe de précaution est invoqué. Énoncez explicitement quelle preuve de préjudice existe, quelles options moins restrictives ont été considérées, et quand la restriction sera révisée, afin que la précaution se lise comme un jugement raisonné plutôt qu'un veto réflexe.
7. Fixez une date d'extinction ou de révision sur chaque réglementation significative. Laissées sans révision, les règles s'accumulent plus vite qu'elles ne sont abrogées, et le fardeau de conformité continue de croître même là où le risque qu'elles traitaient a reculé.
8. Séparez l'établissement de normes des décisions d'application au cas par cas. Gardez les choix d'application révisables sur leur propre dossier, afin que les règles générales d'un régulateur et sa décision dans un cas contesté ne soient pas jugées, ou défendues, comme si elles étaient la même chose.
9. Prémunissez-vous délibérément contre la capture réglementaire. Faites tourner le personnel senior hors des secteurs qu'il régulera plus tard, divulguez les intérêts extérieurs, et financez le régulateur indépendamment des frais ou amendes qu'il prélève sur l'industrie qu'il supervise.
10. Rendez le régulateur redevable devant un organe extérieur à l'industrie réglementée. Une voie d'appel, une inspection, ou un comité législatif pouvant questionner les décisions du régulateur garde ses jugements de risque honnêtes (voir thème 3.4 — Redevabilité, transparence et légitimité).
11. Connectez le sommet du registre des risques à la planification d'urgence. Les entrées de plus haute probabilité et de plus fort impact d'un registre des risques sont fréquemment les scénarios que la planification de crise et de continuité doit répéter, donc les deux fonctions devraient lire le même document, non en maintenir des parallèles (voir thème 3.12 — Crise, urgence et gestion de la résilience).

Questions à discuter avec votre équipe

Connaissons-nous notre propre appétit au risque, ou le découvrons-nous incident par incident ? Si personne dans la salle ne peut décrire, en une phrase, combien de risque l'organisation est prête à porter dans ses fonctions centrales, alors chaque choix difficile est fait à partir de rien, par quiconque se trouve être de service. Cela produit des décisions incohérentes à travers des cas similaires et laisse l'organisation défendre des jugements qu'elle n'a en réalité jamais convenus en tant qu'organe. Demandez où existe aujourd'hui une déclaration écrite d'appétit au risque, qui l'a approuvée, et quand elle a été testée pour la dernière fois contre une véritable décision plutôt que laissée comme un document de politique non lu.

Lesquels de nos outils réglementaires sont de commandement-et-contrôle par habitude, plutôt que par conception délibérée ? Des règles uniformes sont plus faciles à rédiger et à défendre que des règles différenciées, ce qui explique exactement pourquoi les organisations s'y rabattent par défaut même là où le profil de risque de la population réglementée varie énormément. Parcourez vos principaux pouvoirs réglementaires et demandez, pour chacun, si une alternative basée sur le risque ou réactive a jamais été considérée, ou si l'instrument actuel précède simplement la question posée.

Quand avons-nous mis à jour notre registre des risques pour la dernière fois, et qui possède chaque entrée qui s'y trouve ? Un registre sans propriétaires nommés, ou qui n'a pas bougé depuis le dernier audit, ne gère pas le risque — il documente que le risque a été discuté une fois. Demandez à l'équipe d'ouvrir le registre en direct dans la réunion et de rendre compte des cinq principales entrées : qu'est-ce qui a changé, quelle atténuation est due, et que se passe-t-il si personne n'agit avant la prochaine révision.

Où avons-nous invoqué le principe de précaution, et pourrions-nous défendre cette décision comme proportionnée aujourd'hui ? La précaution est facile à invoquer et difficile à défaire, parce que renverser une mesure de protection ressemble toujours à un relâchement de la vigilance même quand la preuve a évolué. Listez les restrictions vivantes en place sous une justification précautionnaire et vérifiez que chacune a encore une date de révision déclarée et une base probante déclarée, non seulement l'inertie institutionnelle qui la maintient en vigueur.

Qui tient notre fonction réglementaire redevable, et cet arrangement fonctionne-t-il réellement ? Un régulateur qui ne répond qu'à lui-même dérivera, avec le temps, vers les préférences du secteur avec lequel il traite quotidiennement, parce que c'est le seul public lui donnant un retour régulier. Discutez de si votre voie d'appel, comité de supervision, ou inspection a significativement changé une décision au cours des dernières années, ou si elle existe sur le papier sans jamais être testée (voir thème 3.4 — Redevabilité, transparence et légitimité).

Notre registre des risques parle-t-il à notre plan d'urgence, ou les deux vivent-ils dans des silos différents ? Les registres des risques sont rédigés par les équipes de risque et de conformité ; les plans d'urgence sont rédigés par les équipes de résilience ; trop souvent, ni l'un ni l'autre ne lit le document de l'autre, donc le scénario qu'un registre des risques signale comme probable et sévère n'est pas le scénario que le plan d'urgence a répété. Demandez si le sommet de votre registre des risques et les scénarios de votre dernier exercice sont la même liste, et sinon, pourquoi (voir thème 3.12 — Crise, urgence et gestion de la résilience).

En pratique : un exemple de valeur publique

Le scénario suivant est entièrement fictif, illustratif d'un schéma plutôt qu'un compte rendu de la prise de décision interne d'un régulateur réel.

Le régulateur de l'aquaculture d'une région côtière — appelons-le la fictive Autorité des Pêcheries de l'Estuaire — reçoit une demande d'un exploitant de ferme piscicole voulant introduire une nouvelle technique de coculture de moules et de poissons en offshore, déjà utilisée commercialement dans une poignée d'autres pays, qui promet des rendements plus élevés avec une empreinte plus réduite sur le fond marin. Les propres biologistes marins du régulateur signalent une question ouverte : la technique change les flux locaux de nutriments de façons qui, dans un petit nombre d'études ailleurs, ont été liées à des efflorescences algales nuisibles pour les bancs de coquillages sauvages à proximité. La preuve est suggestive, non concluante, et la pêcherie de coquillages sauvages de la région est économiquement et écologiquement significative.

Sous un instinct purement précautionneux, l'autorité pourrait simplement refuser la licence jusqu'à ce que la science soit tranchée, ce qui pourrait prendre des années et coûterait à l'exploitant un investissement déjà engagé et à la région les emplois et revenus d'exportation que la technique pourrait apporter. Sous un instinct purement permissif, elle pourrait approuver la demande au motif qu'aucun préjudice n'a été prouvé, et accepter le risque envers la pêcherie sauvage si les études préoccupantes se généralisent. Ni l'un ni l'autre instinct, en soi, ne reflète ce que l'appétit au risque de l'autorité — encore non écrit — dirait réellement si quelqu'un le lui demandait directement.

Au lieu de cela, le chef des licences de l'autorité insiste sur trois étapes avant qu'une décision ne soit prise. Premièrement, une évaluation d'impact réglementaire proportionnée est menée, comparant les options d'approbation, de refus, et d'approbation conditionnelle contre la meilleure preuve disponible, y compris un appel à des données de surveillance supplémentaires des pays utilisant déjà la technique. Deuxièmement, la demande est enregistrée comme une nouvelle entrée sur le registre des risques de l'autorité, avec un propriétaire assigné, une cote de probabilité et d'impact déclarée pour le scénario d'efflorescence algale, et un plan d'atténuation intégré à toute approbation — un régime de surveillance fixe, des seuils de déclenchement définis pour la suspension, et une date de révision à douze mois. Troisièmement, parce qu'une licence accordée avec une condition de surveillance et un déclencheur de suspension est une forme de risque continu, non une décision close, l'autorité notifie son partenariat régional de résilience afin que le scénario d'efflorescence algale apparaisse dans la planification d'urgence environnementale de la zone plutôt que d'être connu seulement de l'équipe des licences.

L'autorité accorde une licence conditionnelle : approbation, avec surveillance obligatoire, un seuil bas mais explicite pour la suspension, et un engagement public de réviser la preuve dans un an. La décision n'est ni un « non » général mû par une peur non prouvée, ni un « oui » silencieux ignorant un signal réel. C'est un appétit au risque déclaré — un certain risque envers la pêcherie sauvage est acceptable en échange du bénéfice économique de la région, à condition qu'il soit surveillé et réversible — appliqué de façon cohérente et écrit là où le prochain agent des licences, et le prochain audit, peuvent le trouver.

Quatre angles sectoriels

Collectivités locales

Les régulateurs locaux — hygiène environnementale, normes commerciales, contrôle du bâtiment, licences — traitent avec les mêmes établissements et les mêmes exploitants à répétition, ce qui est exactement la condition sous laquelle la réglementation réactive et basée sur le risque fonctionne le mieux : un inspecteur local peut distinguer de façon crédible un manquement administratif ponctuel d'un risque persistant pour la sécurité publique. La contrainte pratique est la capacité : une petite équipe municipale maintenant un registre des risques authentiquement vivant à travers des centaines d'établissements licenciés, en plus du travail d'application, a besoin d'un registre assez simple pour être réellement utilisé, non un modèle importé d'un organisme national bien plus grand.

Gouvernement national

Les régulateurs économiques et de sécurité nationaux — autorités de la concurrence, régulateurs de conduite financière, agences de médicaments, organismes de santé-et-sécurité — opèrent à une échelle où une évaluation d'impact réglementaire complète est une pratique standard et souvent une exigence légale, et où le principe de précaution apparaît explicitement dans la loi pour des domaines tels que les produits pharmaceutiques et la sécurité alimentaire. Les registres des risques nationaux, compilant les risques de plus haute probabilité et de plus fort impact qu'un pays affronte, sont un intrant direct à la planification nationale des contingences civiles (voir thème 3.12 — Crise, urgence et gestion de la résilience), ce qui fait de la discipline de garder le registre à jour une question de résilience nationale, non seulement d'entretien réglementaire.

Secteur social et organismes à but non lucratif

Les organismes à but non lucratif et les organisations non gouvernementales se situent des deux côtés de ce thème : ce sont des organismes réglementés, soumis à des règles de bienfaisance, de protection, et de collecte de fonds, et ce sont eux-mêmes des organisations de gestion du risque dont les conseils devraient tenir leurs propres registres des risques et déclarations d'appétit au risque. La protection est où le principe de précaution apparaît le plus crûment dans ce secteur — un préjudice irréversible envers une personne vulnérable justifie un appétit au risque très bas même au milieu d'une incertitude authentique sur une allégation spécifique — tandis que la proportionnalité argumente contre l'imposition à une petite association gérée par des bénévoles avec une poignée d'employés rémunérés du fardeau de conformité conçu pour une grande institution.

Organismes multilatéraux et internationaux

Les organismes internationaux fixent surtout des normes plutôt que de les appliquer directement, s'appuyant sur les gouvernements nationaux pour transposer et appliquer les règles convenues — les normes de sécurité alimentaire, les codes de sécurité maritime et aérienne, et les accords environnementaux internationaux sont des exemples typiques. Le principe de précaution a un foyer explicite en droit international, le plus visiblement dans la Déclaration de Rio sur l'environnement et le développement, mais parce que l'application dépend de la mise en œuvre nationale, l'appétit au risque en pratique varie encore d'un État membre à l'autre, produisant une véritable fragmentation même là où la norme sous-jacente est partagée.

Modes de défaillance courants

La capture réglementaire. Un régulateur qui dépend de l'industrie réglementée pour l'information, le personnel, ou le financement adopte graduellement la vision de cette industrie sur le risque acceptable, sans aucune décision unique qui ressemble à de la corruption. Le coût apparaît des années plus tard, quand un risque que le régulateur avait cessé de traiter comme urgent se matérialise à grande échelle.

Le registre des risques zombie. Un registre est créé, rempli une fois, puis mis à jour seulement quand un auditeur le demande. Il donne l'apparence de la gestion des risques sans la fonction : personne ne décide réellement, selon un cycle, si les risques listés et leurs atténuations reflètent encore la réalité.

La paralysie précautionneuse. Le principe de précaution est invoqué sans test de proportionnalité, sans seuil probant déclaré, ni date de révision, transformant une pause raisonnée en un blocage indéfini. Une innovation authentiquement bénéfique — une nouvelle technique médicale, un procédé industriel plus propre, une technologie plus efficiente — est retardée ou abandonnée non parce que la preuve de préjudice est forte, mais parce que renverser une restriction précautionneuse ressemble toujours, politiquement, à un relâchement de la vigilance.

L'évaluation d'impact a posteriori. Une évaluation d'impact réglementaire est rédigée après que la décision politique a déjà été prise, pour bâtir une trace documentaire plutôt que pour informer le choix. Son analyse des options favorise fidèlement quelle que soit l'option que le commanditaire avait déjà choisie, ce qui est détectable mais rarement contesté.

La prolifération réglementaire sans extinction. De nouvelles règles sont ajoutées en réponse à chaque nouveau problème, mais les anciennes règles sont rarement abrogées, donc le fardeau de conformité cumulatif continue de croître même à mesure que les risques individuels reculent. Sans une clause d'extinction ou un mécanisme de révision équivalent, personne ne possède la question de savoir si une règle donnée justifie encore son coût.

La gestion des risques cloisonnée. Le registre des risques vit avec la fonction de risque ou de conformité ; le plan d'urgence vit avec la fonction de résilience ; les deux sont rarement réconciliés. Le scénario qu'un registre des risques a signalé comme probable et sévère est alors absent de l'exercice que l'équipe de planification d'urgence a répété en dernier (voir thème 3.12 — Crise, urgence et gestion de la résilience).

Le régulateur non redevable. Le pouvoir d'application sans contrôle externe fonctionnel — une voie d'appel jamais utilisée, un comité de supervision qui ne se réunit jamais, une législature qui n'examine jamais — laisse les jugements de risque d'un régulateur non testés par quiconque en dehors de l'organisation qui les fait (voir thème 3.4 — Redevabilité, transparence et légitimité).

Modèle de maturité

Liste de vérification

• Rédigez une déclaration d'appétit au risque avec votre organe de gouvernance et publiez-la.
• Construisez ou rafraîchissez un registre des risques avec un propriétaire nommé et une date de révision pour chaque entrée.
• Classez chaque pouvoir réglementaire par type d'instrument — commandement-et-contrôle ou basé sur le risque — et vérifiez qu'il correspond au risque qu'il cible.
• Menez une évaluation d'impact réglementaire avant d'adopter ou de renouveler une règle significative, calibrée à l'échelle de la règle.
• Appliquez un test de proportionnalité chaque fois que le principe de précaution est invoqué, avec une base probante déclarée et une date de révision.
• Fixez une date d'extinction ou de révision sur chaque nouvelle réglementation.
• Confirmez que la voie de redevabilité de votre régulateur est indépendante de l'industrie qu'il régule (voir thème 3.4 — Redevabilité, transparence et légitimité).
• Reliez les principales entrées de votre registre des risques à vos plans d'urgence et de continuité d'activité (voir thème 3.12 — Crise, urgence et gestion de la résilience).
• Rapportez les dépassements d'appétit au risque au conseil, non seulement à l'équipe de risque ou de conformité.
• Révisez l'ensemble du registre des risques à intervalle fixe, non seulement après un incident.
• Vérifiez si le personnel peut nommer l'appétit au risque de l'organisation en une phrase ; s'il ne le peut pas, traitez la déclaration comme non publiée en pratique.

Sources principales

Responsive Regulation: Transcending the Deregulation Debate (1992) d'Ian Ayres et John Braithwaite demeure le compte rendu fondateur de la pyramide d'application et de l'application différenciée par le risque résumées dans les concepts fondamentaux de ce thème. Laws of Fear: Beyond the Precautionary Principle (2005) de Cass Sunstein est le traitement critique standard des limites du principe de précaution, en particulier sa tendance à être invoqué de façon asymétrique. ISO 31000 est la norme internationale de référence pour la structure de la gestion des risques ; le Livre orange du Trésor britannique adapte une structure similaire spécifiquement pour les organismes gouvernementaux. Le rapport Late Lessons from Early Warnings de l'Agence européenne pour l'environnement rassemble des études de cas sur le coût de la négligence et du mauvais usage de la précaution. Le cadre de meilleure réglementation du Royaume-Uni et son Legislative and Regulatory Reform Act 2006 sont utilisés dans ce thème comme un exemple travaillé et vérifiable des obligations de proportionnalité et d'évaluation d'impact imposées aux régulateurs par la loi et les orientations ; des cadres équivalents existent dans de nombreuses autres juridictions.

Références

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2