Regulering en publiek risicomanagement

Waarom dit ertoe doet bij publieke waarde

Elke toezichthouder werkt in een val zonder comfortabele uitgang. Als zich een vermijdbare schade voordoet, krijgt de toezichthouder de schuld te laks te zijn geweest. Als de toezichthouder iets blokkeert of vertraagt waarvan later blijkt dat het veilig en nuttig was, krijgt hij de schuld van overmatige voorzichtigheid die banen, behandelingen of investeringen kostte. Beide fouten zijn pas achteraf zichtbaar, wat betekent dat het werkelijke besluit van de toezichthouder nooit simpelweg “veilig of onveilig” is, maar “hoeveel van dit risico zijn wij bereid te dragen, en op wiens gezag”. Een organisatie die haar tolerantie nooit heeft opgeschreven, ontdekt haar op kostbare wijze, de eerste keer dat er iets misgaat en een onderzoek vraagt wie het risico aanvaardbaar achtte.

Risicobereidheidsverklaringen en risicoregisters bestaan om die tolerantie vooraf expliciet te maken, niet achteraf. Zij zetten een privé, verspreide reeks oordelen – genomen door inspecteurs, casemanagers en dienstdoende managers onder tijdsdruk – om in een uitgesproken standpunt waaraan de organisatie kan worden gehouden en dat zij kan verdedigen. Regelgevingsontwerp doet hetzelfde werk op het niveau van de regel zelf: kiezen tussen een instrument van bevel-en-controle of een responsief, risicogebaseerd instrument is op zichzelf een risicobesluit, niet louter een kwestie van administratieve stijl. Dit onderwerp behandelt regulering en risicomanagement als twee uitingen van één onderliggende vraag: hoe besluit een publiek orgaan expliciet hoeveel schade het zal tolereren bij het nastreven van een publieke waarde waar het ook om geeft?

De bevoegdheid van een toezichthouder om die afweging te maken is haar niet door haarzelf verleend, en daarom staat dit onderwerp naast de verantwoordingsstructuren die haar legitimeren (zie Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit), en daarom zijn de risico’s die het vandaag identificeert vaak de crises waarvoor een ander team morgen plant (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).

Kernbegrippen

Regulering is het gebruik van regels, gesteund door enige vorm van gezag, om het gedrag van individuen, bedrijven of andere organisaties te beperken of te sturen. In de publieke sector staat zij naast uitgaven en belastingen als kernbeleidsinstrument, maar anders dan uitgaven legt zij haar kosten doorgaans op de gereguleerde partij en niet op de publieke kas – juist daarom kan zij politiek aantrekkelijk zijn en worden haar werkelijke kosten gemakkelijk onderschat.

Toezichthouders (regulatory agencies) zijn de organen die binnen een omschreven domein regels opstellen, beheren en handhaven, zoals financieel gedrag, geneesmiddelen, voedselveiligheid of bouwtoezicht. Hun ontwerpkeuzes – hoe onafhankelijk zij zijn van ministers, hoe zij worden gefinancierd, hoe beroepbaar hun besluiten zijn – bepalen of zij op grond van bewijs kunnen handelen zonder te worden gevangen door de sectoren die zij controleren.

Regulering van bevel-en-controle (command-and-control) stelt uniforme, voorschrijvende regels en bestraft elke overtreding, ongeacht de staat van dienst van het overtredende bedrijf of het werkelijke risico dat het veroorzaakt. Zij is transparant en gemakkelijk te auditen, maar behandelt een aanhoudend zorgvuldige ondernemer gelijk aan een gewoonteovertreder, waarbij nalevingsinspanning wordt verspild aan de eerste en de tweede te weinig wordt afgeschrikt.

Responsieve, risicogebaseerde regulering differentieert haar reactie naar het beoordeelde risico en de nalevingsgeschiedenis van de gereguleerde partij: lichte betrokkenheid voor actoren te goeder trouw, oplopende sancties voor herhaalde of opzettelijke niet-naleving. De behandeling van deze benadering op Wikipedia, onder de kop regulatory risk differentiation, herleidt haar tot de “handhavingspiramide” van Ian Ayres en John Braithwaite, die begint met overreding en pas oploopt tot intrekking van de vergunning of vervolging wanneer lichtere middelen falen. Zij vraagt meer van het oordeel en de gegevens van een toezichthouder dan een vast regelboek, en dat is haar voornaamste kostenpost.

Regelgevingseffectbeoordeling (regulatory impact analysis, RIA), ook regelgevingseffectenanalyse genoemd, is het document dat een overheid opstelt voordat zij nieuwe regelgeving invoert, waarin het probleem, de overwogen opties en de verwachte kosten en baten van elk worden uiteengezet. Het artikel over regulatory impact analysis op Wikipedia beschrijft de verspreiding ervan over veel landen. Haar doel is de afweging in een voorgestelde regel vóór aanneming zichtbaar te maken, niet een reeds genomen besluit te rechtvaardigen – een onderscheid waarop de faalpatronen hieronder terugkomen.

Risicomanagement is de discipline van het identificeren, beoordelen en beheersen van de zaken die een organisatie kunnen verhinderen haar doelstellingen te bereiken. ISO 31000 is de meest gebruikte internationale norm om die discipline te structureren; zij behandelt risicomanagement als een iteratief proces – identificeren, analyseren, evalueren, behandelen, monitoren – en niet als eenmalige oefening, en verscheidene nationale kaders, waaronder het Orange Book van HM Treasury van het Verenigd Koninkrijk, bouwen op haar structuur voort.

Risicobereidheid (risk appetite) is het risiconiveau dat een organisatie bereid is te aanvaarden bij het nastreven van haar doelstellingen voordat zij handelt om dat risico te verminderen. Een risicobereidheidsverklaring maakt dit expliciet en gedifferentieerd: een toezichthouder op de volksgezondheid kan een bereidheid van bijna nul hebben voor risico’s voor de patiëntveiligheid, maar een veel hogere bereidheid voor het reputatierisico van een impopulair, op bewijs gebaseerd besluit.

Een risicoregister is het operationele instrument dat elk geïdentificeerd risico opsomt, met zijn waarschijnlijkheid en impact, zijn eigenaar en de beheersmaatregelen die bestaan of gepland zijn. Goed gebruikt stuurt het besluiten over middelen en escalatie; slecht gebruikt is het een spreadsheet die niemand tussen audits opnieuw opent.

Het voorzorgsbeginsel houdt in dat wanneer een handeling of beleid een vermoed risico op ernstige of onomkeerbare schade met zich meebrengt, het ontbreken van volledige wetenschappelijke zekerheid niet mag worden gebruikt als reden om beschermende maatregelen uit te stellen. In sommige formuleringen verschuift het de bewijslast van “bewijs dat dit gevaarlijk is voordat wij handelen” naar “toon aan dat dit veilig genoeg is voordat wij doorgaan” – een werkelijk andere standaard die het meest ertoe doet onder wetenschappelijke onzekerheid en mogelijke onomkeerbaarheid, zoals bij een nieuwe chemische stof, technologie of ziekteverwekker.

Proportionaliteit is het beginsel dat een regulerende reactie niet restrictiever mag zijn dan nodig is om het risico aan te pakken waarop zij is gericht. Het is de belangrijkste praktische en juridische beperking van het voorzorgsbeginsel: voorzorg rechtvaardigt handelen onder onzekerheid, maar proportionaliteit bepaalt nog altijd hoeveel u mag doen en hoe lang.

Beste praktijken

1. Publiceer een risicobereidheidsverklaring voordat u er een nodig hebt. Stel haar op met uw bestuur, niet alleen uw risicoteam, zodat wanneer een moeilijke beslissing zich aandient, de tolerantie voor schade onder rustige omstandigheden is vastgesteld en niet onder publieke druk midden in een incident.
2. Stem het regulerende instrument af op het risicoprofiel, niet op institutionele gewoonte. Reserveer regels van bevel-en-controle voor risico’s waarbij uniforme naleving werkelijk niet onderhandelbaar is, zoals constructieve veiligheid, en gebruik risicogedifferentieerde benaderingen waar de nalevingsgeschiedenis van de gereguleerde populatie sterk uiteenloopt.
3. Voer de regelgevingseffectbeoordeling uit vóór het besluit, niet om het achteraf te rechtvaardigen. Geef haar vroeg genoeg opdracht dat haar bevindingen het voorstel nog kunnen veranderen en publiceer haar naast de regel zodat de redenering toetsbaar is.
4. Dimensioneer de beoordeling naar de omvang van de regel. Een kleine technische wijziging heeft niet hetzelfde analytische gewicht nodig als een regel die een hele sector hervormt; een vast, onevenredig proces leert medewerkers alleen het als formaliteit te behandelen.
5. Houd het risicoregister een levend document met eigenaren. Wijs aan elke post een genoemde eigenaar toe, stel een herzieningsdatum vast en rapporteer bewegingen – nieuwe risico’s, gesloten risico’s, gemiste maatregelen – volgens een vaste cyclus aan het bestuur en niet alleen wanneer een auditor erom vraagt.
6. Pas een proportionaliteitstoets toe telkens wanneer het voorzorgsbeginsel wordt ingeroepen. Geef expliciet aan welk bewijs van schade bestaat, welke minder restrictieve opties zijn overwogen en wanneer de beperking wordt herzien, zodat voorzorg leest als een beredeneerd oordeel en niet als een reflexmatig veto.
7. Stel op elke significante regel een zonsondergangs- of herzieningsdatum vast. Zonder herziening stapelen regels zich sneller op dan ze worden ingetrokken, en groeit de nalevingslast ook waar het risico dat ze aanpakten is geweken.
8. Scheid het vaststellen van normen van handhavingsbesluiten per geval. Houd handhavingskeuzes op hun eigen dossier toetsbaar, zodat de algemene regels van een toezichthouder en zijn besluit in één omstreden zaak niet worden beoordeeld, of verdedigd, alsof ze hetzelfde zijn.
9. Bescherm u bewust tegen regelgevende kaping. Roteer senior medewerkers weg van de sectoren die zij later zullen reguleren, maak externe belangen openbaar en financier de toezichthouder onafhankelijk van de vergoedingen of boetes die hij oplegt aan de sector die hij controleert.
10. Maak de toezichthouder verantwoordelijk aan een orgaan buiten de gereguleerde sector. Een beroepsroute, een inspectiedienst of een wetgevende commissie die de besluiten van de toezichthouder kan bevragen, houdt zijn risico-oordelen eerlijk (zie Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit).
11. Verbind de top van het risicoregister met noodplanning. De posten met de hoogste waarschijnlijkheid en hoogste impact op een risicoregister zijn vaak de scenario’s die crisis- en continuïteitsplanning moet oefenen, dus beide functies moeten hetzelfde document lezen en geen parallelle bijhouden (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).

Vragen om met uw team te bespreken

Kennen wij onze eigen risicobereidheid, of ontdekken wij haar incident voor incident? Als niemand in de kamer in één zin kan beschrijven hoeveel risico de organisatie bereid is te dragen in haar kernfuncties, wordt elke moeilijke beslissing opnieuw vanaf nul genomen, door wie er toevallig dienst heeft. Dat leidt tot inconsistente besluiten in vergelijkbare gevallen en laat de organisatie oordelen verdedigen waar zij als orgaan nooit mee heeft ingestemd. Vraag waar vandaag een schriftelijke risicobereidheidsverklaring bestaat, wie haar heeft goedgekeurd en wanneer zij voor het laatst aan een echt besluit is getoetst in plaats van als ongelezen beleidsdocument te zijn blijven liggen.

Welke van onze regulerende instrumenten zijn uit gewoonte van bevel-en-controle, en niet door bewust ontwerp? Uniforme regels zijn gemakkelijker te schrijven en te verdedigen dan gedifferentieerde, en daarom vallen organisaties erop terug, ook waar het risicoprofiel van de gereguleerde populatie enorm uiteenloopt. Loop uw belangrijkste regulerende bevoegdheden langs en vraag bij elk of een risicogebaseerd of responsief alternatief ooit is overwogen, of dat het huidige instrument de gestelde vraag simpelweg voorafgaat.

Wanneer hebben wij ons risicoregister voor het laatst bijgewerkt, en wie is eigenaar van elke post? Een register zonder genoemde eigenaren, of een dat sinds de laatste audit niet is bewogen, beheert geen risico – het documenteert dat het risico ooit werd besproken. Vraag het team het register live in de vergadering te openen en de top vijf posten te verantwoorden: wat is er veranderd, welke maatregel is aan de beurt en wat gebeurt er als niemand handelt voor de volgende herziening.

Waar hebben wij het voorzorgsbeginsel ingeroepen, en kunnen wij dat besluit vandaag als proportioneel verdedigen? Voorzorg is gemakkelijk in te roepen en moeilijk terug te draaien, omdat het opheffen van een beschermende maatregel er altijd uitziet als verslapte waakzaamheid, ook als het bewijs is verschoven. Som de lopende beperkingen op die onder een voorzorgsmotief gelden en controleer dat elk nog een vermelde herzieningsdatum en een vermelde bewijsgrondslag heeft, en niet louter institutionele traagheid die het in stand houdt.

Wie houdt onze regulerende functie verantwoordelijk, en werkt die regeling werkelijk? Een toezichthouder die alleen aan zichzelf verantwoording aflegt, zal na verloop van tijd afdrijven naar de voorkeuren van de sector waarmee hij dagelijks te maken heeft, omdat dat het enige publiek is dat hem regelmatig feedback geeft. Bespreek of uw beroepsroute, toezichtcommissie of inspectiedienst de afgelopen jaren daadwerkelijk een besluit heeft veranderd, of dat zij op papier bestaat zonder ooit te zijn getoetst (zie Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit).

Praat ons risicoregister met ons noodplan, of leven de twee in verschillende silo’s? Risicoregisters worden geschreven door risico- en nalevingsteams; noodplannen door veerkrachtteams; te vaak leest geen van beide het document van de ander, zodat het scenario dat een risicoregister als waarschijnlijk en ernstig heeft aangemerkt niet het scenario is dat het noodplan heeft geoefend. Vraag of de top van uw risicoregister en de scenario’s van uw laatste oefening dezelfde lijst zijn, en zo niet, waarom niet (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).

In de praktijk: een voorbeeld van publieke waarde

Het volgende scenario is geheel fictief en illustreert een patroon, geen verslag van de interne besluitvorming van een bestaande toezichthouder.

De aquacultuurtoezichthouder van een kustregio – laten wij haar de fictieve Estuary Fisheries Authority noemen – ontvangt een aanvraag van een viskweker die een nieuwe offshore combinatietechniek voor mosselen en vis wil invoeren, al commercieel gebruikt in een handvol andere landen, die hogere opbrengsten belooft met een kleinere voetafdruk op de zeebodem. De eigen zeebiologen van de toezichthouder merken één open vraag op: de techniek verandert lokale nutriëntenstromen op manieren die in een klein aantal studies elders in verband zijn gebracht met algenbloei die schadelijk is voor nabijgelegen wilde schelpdierbanken. Het bewijs is suggestief, niet overtuigend, en de wilde schelpdiervisserij van de regio is economisch en ecologisch belangrijk.

Onder een zuiver voorzorgsinstinct zou de autoriteit de vergunning eenvoudigweg kunnen weigeren totdat de wetenschap is uitgekristalliseerd, wat jaren kan duren en de exploitant een reeds toegezegde investering zou kosten en de regio de banen en exportinkomsten die de techniek kan opleveren. Onder een zuiver toegeeflijk instinct zou zij de aanvraag kunnen goedkeuren op grond van het feit dat nog geen schade is bewezen, en het risico voor de wilde visserij aanvaarden als de zorgwekkende studies zich laten generaliseren. Geen van beide instincten weerspiegelt op zichzelf wat de – nog ongeschreven – risicobereidheid van de autoriteit zou zeggen als iemand het haar rechtstreeks vroeg.

In plaats daarvan staat het hoofd vergunningverlening van de autoriteit op drie stappen voordat een besluit wordt genomen. Ten eerste wordt een proportionele regelgevingseffectbeoordeling uitgevoerd, waarin de opties goedkeuren, weigeren en voorwaardelijk goedkeuren worden vergeleken aan de hand van het beste beschikbare bewijs, inclusief een oproep om meer monitoringgegevens uit de landen die de techniek al gebruiken. Ten tweede wordt de aanvraag als nieuwe post op het risicoregister van de autoriteit geboekt, met een toegewezen eigenaar, een vermelde waarschijnlijkheids- en impactbeoordeling voor het algenbloeiscenario en een beheersplan dat in elke goedkeuring wordt ingebouwd – een vast monitoringregime, omschreven drempels voor opschorting en een herzieningsdatum twaalf maanden verderop. Ten derde, omdat een vergunning verleend met een monitoringvoorwaarde en een opschortingstrigger een vorm van doorlopend risico is en geen afgesloten besluit, informeert de autoriteit haar regionale veerkrachtpartnerschap zodat het algenbloeiscenario in de milieucontingentieplanning van het gebied verschijnt en niet alleen bij het vergunningenteam bekend is.

De autoriteit verleent een voorwaardelijke vergunning: goedkeuring, met verplichte monitoring, een lage maar expliciete drempel voor opschorting en een publieke toezegging het bewijs over een jaar te herzien. Het besluit is geen algeheel “nee” gedreven door onbewezen vrees, noch een stil “ja” dat een echt signaal negeert. Het is een uitgesproken risicobereidheid – enig risico voor de wilde visserij is aanvaardbaar in ruil voor het economische voordeel van de regio, mits gemonitord en omkeerbaar – consequent toegepast en opgeschreven waar de volgende vergunningverlener, en de volgende audit, het kunnen vinden.

Vier sectorperspectieven

Lokale overheid

Lokale toezichthouders – milieugezondheid, handelsnormen, bouwtoezicht, vergunningverlening – hebben herhaaldelijk te maken met dezelfde panden en dezelfde exploitanten, precies de omstandigheid waaronder responsieve, risicogebaseerde regulering het best werkt: een lokale inspecteur kan geloofwaardig onderscheid maken tussen een eerste administratieve misstap en een aanhoudend risico voor de openbare veiligheid. De praktische beperking is capaciteit: een klein gemeenteteam dat naast handhavingszaken een werkelijk levend risicoregister bijhoudt over honderden vergunde panden, heeft een register nodig dat eenvoudig genoeg is om echt te gebruiken, geen sjabloon geïmporteerd van een veel groter nationaal orgaan.

Nationale overheid

Nationale economische en veiligheidstoezichthouders – mededingingsautoriteiten, toezichthouders op financieel gedrag, geneesmiddelenagentschappen, arbo-instanties – opereren op een schaal waarop een volledige regelgevingseffectbeoordeling standaardpraktijk en vaak een wettelijke eis is, en waarop het voorzorgsbeginsel expliciet in de wet voorkomt voor domeinen als farmaceutica en voedselveiligheid. Nationale risicoregisters, die de risico’s met de hoogste waarschijnlijkheid en hoogste impact waarmee een land te maken heeft samenbrengen, zijn rechtstreekse input voor nationale civiele noodplanning (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement), waardoor de discipline van het actueel houden van het register een kwestie van nationale veerkracht is en niet alleen regelgevend huishouden.

Sociale sector en non-profit

Non-profitorganisaties en niet-gouvernementele organisaties staan aan beide zijden van dit onderwerp: zij zijn gereguleerde organen, onderworpen aan regels voor goede doelen, bescherming van kwetsbaren en fondsenwerving, en zij zijn zelf risicomanagende organisaties met besturen die hun eigen risicoregisters en risicobereidheidsverklaringen zouden moeten hebben. Bescherming van kwetsbaren is waar het voorzorgsbeginsel in deze sector het scherpst voorkomt – onomkeerbare schade aan een kwetsbaar persoon rechtvaardigt een zeer lage risicobereidheid, zelfs te midden van echte onzekerheid over een specifieke beschuldiging – terwijl proportionaliteit pleit tegen het opleggen van de nalevingslast die is ontworpen voor een grote instelling aan een klein, door vrijwilligers gerund goed doel met een handvol betaalde medewerkers.

Multilateraal en internationaal

Internationale organen stellen meestal normen vast in plaats van ze rechtstreeks te handhaven, en vertrouwen op nationale overheden om overeengekomen regels om te zetten en toe te passen – voedselveiligheidsnormen, maritieme en luchtvaartveiligheidscodes en internationale milieuovereenkomsten zijn typische voorbeelden. Het voorzorgsbeginsel heeft een expliciete plaats in het internationale recht, het zichtbaarst in de Verklaring van Rio inzake milieu en ontwikkeling, maar omdat handhaving afhangt van nationale uitvoering, verschilt de risicobereidheid in de praktijk nog altijd per lidstaat, wat echte versnippering oplevert zelfs waar de onderliggende norm wordt gedeeld.

Veelvoorkomende faalpatronen

Regelgevende kaping (regulatory capture). Een toezichthouder die voor informatie, personeel of financiering afhankelijk is van de gereguleerde sector, neemt geleidelijk het beeld van die sector over van wat aanvaardbaar risico is, zonder dat een afzonderlijk besluit eruitziet als corruptie. De kosten tonen zich jaren later, wanneer een risico dat de toezichthouder niet langer als urgent behandelde zich op grote schaal voordoet.

Het zombierisicoregister. Een register wordt aangemaakt, eenmalig gevuld en daarna alleen bijgewerkt wanneer een auditor erom vraagt. Het geeft de schijn van risicomanagement zonder de functie: niemand besluit werkelijk, volgens een cyclus, of de vermelde risico’s en hun beheersmaatregelen de werkelijkheid nog weerspiegelen.

Voorzorgsverlamming. Het voorzorgsbeginsel wordt ingeroepen zonder proportionaliteitstoets, vermelde bewijsdrempel of herzieningsdatum, waardoor een beredeneerde pauze een onbepaalde blokkade wordt. Werkelijk nuttige innovatie – een nieuwe medische techniek, een schoner industrieel proces, een efficiëntere technologie – wordt vertraagd of opgegeven, niet omdat het bewijs van schade sterk is, maar omdat het opheffen van een voorzorgsbeperking er politiek altijd uitziet als verslapte waakzaamheid.

De achteraf opgestelde effectbeoordeling. Een regelgevingseffectbeoordeling wordt geschreven nadat het politieke besluit al is genomen, om een papieren spoor te bouwen in plaats van de keuze te informeren. Haar optieanalyse bevoordeelt steevast de optie die de opdrachtgever al had gekozen, wat te ontdekken maar zelden betwist is.

Regelgevingsgroei zonder zonsondergang. Er worden nieuwe regels toegevoegd als reactie op elk nieuw probleem, maar oude regels worden zelden ingetrokken, zodat de cumulatieve nalevingslast blijft groeien terwijl afzonderlijke risico’s afnemen. Zonder een zonsondergangsbepaling (sunset provision) of gelijkwaardig herzieningsmechanisme is niemand eigenaar van de vraag of een bepaalde regel haar kosten nog waard is.

Gesilode risicobeheersing. Het risicoregister leeft bij de risico- of nalevingsfunctie; het noodplan leeft bij de veerkrachtfunctie; de twee worden zelden met elkaar verzoend. Het scenario dat een risicoregister als waarschijnlijk en ernstig heeft aangemerkt ontbreekt dan in de oefening die het noodplanningsteam het laatst heeft gehouden (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).

De onverantwoordelijke toezichthouder. Handhavingsmacht zonder werkende externe controle – een beroepsroute die nooit wordt gebruikt, een toezichtcommissie die nooit vergadert, een wetgever die nooit toetst – laat de risico-oordelen van een toezichthouder ongetoetst door iemand buiten de organisatie die ze velt (zie Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit).

Volwassenheidsmodel

Checklist

• Stel met uw bestuur een risicobereidheidsverklaring op en publiceer haar.
• Bouw of vernieuw een risicoregister met een genoemde eigenaar en herzieningsdatum voor elke post.
• Classificeer elke regulerende bevoegdheid naar instrumenttype – bevel-en-controle of risicogebaseerd – en controleer of het past bij het risico waarop het is gericht.
• Voer een regelgevingseffectbeoordeling uit vóór het aannemen of verlengen van een significante regel, gedimensioneerd naar de schaal van de regel.
• Pas een proportionaliteitstoets toe wanneer het voorzorgsbeginsel wordt ingeroepen, met een vermelde bewijsgrondslag en herzieningsdatum.
• Stel op elke nieuwe regelgeving een zonsondergangs- of herzieningsdatum vast.
• Bevestig dat de verantwoordingsroute van uw toezichthouder onafhankelijk is van de sector die hij reguleert (zie Onderwerp 3.4 — Verantwoording, transparantie en legitimiteit).
• Koppel de bovenste posten van uw risicoregister aan uw nood- en bedrijfscontinuïteitsplannen (zie Onderwerp 3.12 — Crisis-, nood- en veerkrachtmanagement).
• Rapporteer overschrijdingen van de risicobereidheid aan het bestuur, niet alleen aan het risico- of nalevingsteam.
• Herzie het hele risicoregister met een vast interval, niet alleen na een incident.
• Controleer of medewerkers de risicobereidheid van de organisatie in één zin kunnen noemen; zo niet, behandel de verklaring dan in de praktijk als ongepubliceerd.

Belangrijkste bronnen

Responsive Regulation: Transcending the Deregulation Debate (1992) van Ian Ayres en John Braithwaite blijft de fundamentele beschrijving van de handhavingspiramide en de risicogedifferentieerde handhaving die in de kernbegrippen van dit onderwerp wordt samengevat. Laws of Fear: Beyond the Precautionary Principle (2005) van Cass Sunstein is de standaard kritische behandeling van de grenzen van het voorzorgsbeginsel, met name de neiging het asymmetrisch in te roepen. ISO 31000 is de internationale referentienorm voor de structuur van risicomanagement; het Orange Book van HM Treasury van het Verenigd Koninkrijk past een vergelijkbare structuur specifiek voor overheidsorganen aan. Het rapport Late Lessons from Early Warnings van het Europees Milieuagentschap verzamelt casestudy’s over de kosten van zowel het verwaarlozen als het verkeerd toepassen van voorzorg. Het Better Regulation Framework van het Verenigd Koninkrijk en zijn Legislative and Regulatory Reform Act 2006 worden in dit onderwerp gebruikt als uitgewerkt, controleerbaar voorbeeld van proportionaliteits- en effectbeoordelingsplichten die bij wet en richtlijn aan toezichthouders worden opgelegd; gelijkwaardige kaders bestaan in veel andere rechtsgebieden.

Referenties

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2