Reglering och riskhantering i offentlig sektor

Varför detta är viktigt för offentligt värde

Varje tillsynsmyndighet arbetar inom en fälla utan bekväm utgång. Om en förebyggbar skada inträffar får tillsynsmyndigheten skulden för att ha varit för slapp. Om tillsynsmyndigheten blockerar eller fördröjer något som senare visar sig vara säkert och nyttigt får den skulden för överdriven försiktighet som kostade jobb, behandlingar eller investeringar. Båda misslyckandena syns bara i efterhand, vilket innebär att tillsynsmyndighetens verkliga beslut aldrig bara är ”säkert eller osäkert” utan ”hur mycket av den här risken är vi villiga att bära, och med vems auktoritet”. En organisation som aldrig har skrivit ned sin tolerans upptäcker den dyrt, första gången något går fel och en utredning frågar vem som beslutade att risken var acceptabel.

Riskaptitutlåtanden och riskregister finns för att göra den toleransen uttrycklig före händelsen, inte efter. De omvandlar en privat, fördelad uppsättning omdömesbedömningar – gjorda av inspektörer, handläggare och jourhavande chefer under tidspress – till en angiven ståndpunkt som organisationen kan hållas till och kan försvara. Regleringsdesign gör samma arbete på nivån av själva regeln: att välja ett detaljstyrande instrument eller ett responsivt, riskbaserat är i sig ett riskbeslut, inte bara en fråga om administrativ stil. Det här ämnet behandlar reglering och riskhantering som två uttryck för en underliggande fråga: hur avgör ett offentligt organ, uttryckligen, hur mycket skada det tolererar i strävan efter ett offentligt värde som det också bryr sig om?

En tillsynsmyndighets befogenhet att göra det avgörandet är inte självtilldelad, vilket är skälet till att det här ämnet ligger intill de ansvarsstrukturer som legitimerar den (se Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet), och varför de risker den identifierar i dag ofta är de kriser som ett annat team planerar för i morgon (se Ämne 3.12 — Krishantering, beredskap och resiliens).

Grundläggande begrepp

Reglering är användningen av regler, understödda av någon form av auktoritet, för att begränsa eller styra beteendet hos individer, företag eller andra organisationer. I offentlig sektor står den vid sidan av utgifter och beskattning som ett kärnpolitiskt instrument, men till skillnad från utgifter lägger den typiskt sina kostnader på den reglerade parten snarare än på statskassan – vilket är precis varför den kan vara politiskt attraktiv, och varför dess verkliga kostnad är lätt att underskatta.

Tillsynsmyndigheter är de organ som skriver, administrerar och verkställer regler inom ett definierat område, såsom finansiellt uppträdande, läkemedel, livsmedelssäkerhet eller byggkontroll. Deras designval – hur oberoende av ministrar de är, hur de finansieras, hur överklagbara deras beslut är – formar om de kan agera på evidens utan att fångas av de branscher de övervakar.

Detaljstyrande reglering (command-and-control) fastställer enhetliga, föreskrivande regler och straffar varje överträdelse, oavsett det överträdande företagets meritlista eller den faktiska risk det utgör. Den är transparent och lätt att granska, men den behandlar en ihärdigt aktsam aktör på samma sätt som en vanemässig överträdare, och slösar efterlevnadsansträngning på den förra medan den avskräcker den senare för lite.

Responsiv, riskbaserad reglering differentierar sitt svar efter den bedömda risken och efterlevnadshistoriken hos den reglerade parten: lättviktigt engagemang för aktörer i god tro, eskalerande sanktioner för upprepad eller uppsåtlig bristande efterlevnad. Wikipedias behandling av detta angreppssätt, under rubriken regulatory risk differentiation, spårar det till Ian Ayres och John Braithwaites ”tillsynspyramid” (enforcement pyramid), som börjar med övertalning och eskalerar till tillståndsåterkallelse eller åtal först när lättare verktyg misslyckas. Den kräver mer av en tillsynsmyndighets omdöme och data än en fast regelbok gör, vilket är dess främsta kostnad.

Konsekvensutredning av reglering (regulatory impact analysis, RIA), även kallad regulatory impact assessment, är det dokument en regering tar fram innan den inför en ny reglering och som anger problemet, de övervägda alternativen och de förväntade kostnaderna och nyttorna av vart och ett. Wikipedias artikel om regulatory impact analysis spårar dess spridning över många länder. Dess syfte är att göra avvägningen i en föreslagen regel synlig före antagandet, inte att motivera ett redan fattat beslut – en skillnad som felmönstren nedan återkommer till.

Riskhantering är disciplinen att identifiera, bedöma och kontrollera det som kan hindra en organisation från att nå sina mål. ISO 31000 är den mest använda internationella standarden för att strukturera den disciplinen; den behandlar riskhantering som en iterativ process – identifiera, analysera, värdera, behandla, följa upp – snarare än en engångsövning, och flera nationella ramverk, däribland brittiska HM Treasurys Orange Book, bygger på dess struktur.

Riskaptit är den risknivå en organisation är beredd att acceptera, i strävan efter sina mål, innan den agerar för att minska den risken. Ett riskaptitutlåtande gör detta uttryckligt och differentierat: en tillsynsmyndighet för folkhälsa kan ha nära noll aptit för risker för patientsäkerheten men en mycket högre aptit för den ryktesmässiga risken av ett impopulärt, evidensbaserat beslut.

Ett riskregister är det operativa verktyg som förtecknar varje identifierad risk, dess sannolikhet och konsekvens, dess ägare och de åtgärder som finns på plats eller planeras. Väl använt driver det beslut om resurser och eskalering; dåligt använt är det ett kalkylblad som ingen öppnar igen mellan revisionerna.

Försiktighetsprincipen (precautionary principle) hävdar att när en handling eller politik bär en misstänkt risk för allvarlig eller oåterkallelig skada bör avsaknaden av full vetenskaplig säkerhet inte användas som skäl att skjuta upp skyddsåtgärder. I vissa formuleringar flyttar den bevisbördan från ”bevisa att detta är farligt innan vi agerar” till ”visa att detta är tillräckligt säkert innan vi går vidare” – en genuint annorlunda standard som spelar störst roll under vetenskaplig osäkerhet och potentiell oåterkallelighet, såsom ett nytt kemiskt ämne, en ny teknik eller en ny patogen.

Proportionalitet är principen att ett regleringssvar inte bör vara mer restriktivt än nödvändigt för att möta den risk det riktar sig mot. Det är den främsta praktiska och rättsliga begränsningen av försiktighetsprincipen: försiktighet motiverar att agera under osäkerhet, men proportionalitet styr ändå hur mycket du har rätt att göra åt det, och hur länge.

Bästa praxis

1. Publicera ett riskaptitutlåtande innan du behöver ett. Utarbeta det tillsammans med ditt styrande organ, inte bara ditt riskteam, så att toleransen för skada, när ett svårt beslut anländer, fastställdes under lugna förhållanden snarare än avgjordes under offentligt tryck mitt i en incident.
2. Låt regleringsinstrumentet motsvara riskprofilen, inte institutionell vana. Reservera detaljstyrande regler för risker där enhetlig efterlevnad genuint inte är förhandlingsbar, såsom konstruktionssäkerhet, och använd riskdifferentierade angreppssätt där den reglerade populationens efterlevnadshistorik varierar mycket.
3. Genomför konsekvensutredningen före beslutet, inte för att motivera det efteråt. Beställ den tillräckligt tidigt för att dess fynd fortfarande kan ändra förslaget, och publicera den tillsammans med regeln så att resonemanget går att kontrollera.
4. Dimensionera utredningen efter regelns storlek. En mindre teknisk ändring behöver inte samma analytiska tyngd som en regel som omformar en hel sektor; en fast, oproportionerlig process lär bara personalen att behandla den som en formalitet.
5. Håll riskregistret som ett levande, ägt dokument. Tilldela en namngiven ägare till varje post, fastställ ett översynsdatum och rapportera förändringarna – nya risker, avslutade risker, missade åtgärder – till styrelsen enligt en fast cykel i stället för bara när en revisor frågar.
6. Tillämpa ett proportionalitetsprov varje gång försiktighetsprincipen åberopas. Ange uttryckligen vilken evidens för skada som finns, vilka mindre restriktiva alternativ som övervägdes och när restriktionen kommer att ses över, så att försiktighet läses som ett motiverat omdöme snarare än ett reflexmässigt veto.
7. Sätt ett solnedgångs- eller översynsdatum på varje betydande reglering. Utan översyn ackumuleras regler snabbare än de upphävs, och efterlevnadsbördan växer även där den risk de åtgärdade har avtagit.
8. Skilj normsättning från enskilda verkställighetsbeslut. Håll verkställighetsval överprövningsbara utifrån sin egen akt, så att en tillsynsmyndighets samlade regler och dess beslut i ett omstritt fall inte bedöms, eller försvaras, som om de vore samma sak.
9. Värna medvetet mot tillsynskapning. Rotera högre personal bort från de sektorer de senare kommer att reglera, redovisa utomstående intressen och finansiera tillsynsmyndigheten oberoende av de avgifter eller böter den tar ut av den bransch den övervakar.
10. Gör tillsynsmyndigheten ansvarig inför ett organ utanför den reglerade branschen. En överklagandeväg, en inspektion eller ett lagstiftande utskott som kan ifrågasätta tillsynsmyndighetens beslut håller dess riskbedömningar ärliga (se Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet).
11. Koppla toppen av riskregistret till krisberedskapsplaneringen. De poster med högst sannolikhet och störst konsekvens i ett riskregister är ofta de scenarier som kris- och kontinuitetsplanering behöver öva, så de två funktionerna bör läsa samma dokument, inte föra parallella (se Ämne 3.12 — Krishantering, beredskap och resiliens).

Frågor att diskutera med ditt team

Känner vi vår egen riskaptit, eller upptäcker vi den incident för incident? Om ingen i rummet kan beskriva, i en mening, hur mycket risk organisationen är villig att bära i sina kärnfunktioner, fattas varje svårt beslut från grunden, av den som råkar ha jour. Det ger inkonsekventa beslut över liknande fall och lämnar organisationen att försvara omdömesbedömningar den aldrig faktiskt kom överens om som organ. Fråga var ett skriftligt riskaptitutlåtande finns i dag, vem som godkände det och när det senast prövades mot ett verkligt beslut i stället för att lämnas som ett oläst policydokument.

Vilka av våra regleringsverktyg är detaljstyrande av vana, snarare än genom medveten design? Enhetliga regler är lättare att skriva och försvara än differentierade, vilket är precis varför organisationer väljer dem som standard även där den reglerade populationens riskprofil varierar enormt. Gå igenom era större regleringsbefogenheter och fråga, för var och en, om ett riskbaserat eller responsivt alternativ någonsin övervägdes, eller om det nuvarande instrumentet helt enkelt föregår den fråga som nu ställs.

När uppdaterade vi senast vårt riskregister, och vem äger varje post i det? Ett register utan namngivna ägare, eller ett som inte har rört sig sedan senaste revisionen, hanterar inte risk – det dokumenterar att risk en gång diskuterades. Be teamet öppna registret live på mötet och redogöra för de fem främsta posterna: vad som har förändrats, vilken åtgärd som förfaller och vad som händer om ingen agerar före nästa översyn.

Var har vi åberopat försiktighetsprincipen, och skulle vi kunna försvara det beslutet som proportionerligt i dag? Försiktighet är lätt att åberopa och svår att häva, eftersom att vända en skyddsåtgärd alltid ser ut som att slappna av i vaksamheten även när evidensen har flyttat sig. Lista de gällande restriktioner som finns under en försiktighetsmotivering och kontrollera att var och en fortfarande har ett angivet översynsdatum och en angiven evidensgrund, inte bara institutionell tröghet som håller den i kraft.

Vem håller vår regleringsfunktion ansvarig, och fungerar det arrangemanget faktiskt? En tillsynsmyndighet som bara svarar inför sig själv kommer över tid att glida mot preferenserna hos den sektor den dagligen har att göra med, eftersom det är den enda målgrupp som ger den regelbunden återkoppling. Diskutera om er överklagandeväg, tillsynskommitté eller inspektion på ett meningsfullt sätt har ändrat ett beslut under de senaste åren, eller om den finns på pappret utan att någonsin ha prövats (se Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet).

Talar vårt riskregister med vår krisplan, eller lever de två i olika stuprör? Riskregister skrivs av risk- och efterlevnadsteam; krisplaner skrivs av resiliensteam; alltför ofta läser ingen det andras dokument, så det scenario som ett riskregister har flaggat som sannolikt och allvarligt är inte det scenario som krisplanen har övat. Fråga om toppen av ert riskregister och scenarierna i er senaste övning är samma lista, och om inte, varför inte (se Ämne 3.12 — Krishantering, beredskap och resiliens).

I praktiken: ett exempel på offentligt värde

Följande scenario är helt fiktivt och illustrerar ett mönster snarare än en rapport om någon verklig tillsynsmyndighets interna beslutsfattande.

En kustregions vattenbrukstillsynsmyndighet – kalla den den fiktiva Estuary Fisheries Authority – tar emot en ansökan från en fiskodlare som vill införa en ny teknik för kombinerad odling av musslor och fisk till havs, som redan används kommersiellt i en handfull andra länder, och som utlovar högre avkastning med ett mindre avtryck på havsbotten. Tillsynsmyndighetens egna marinbiologer flaggar en öppen fråga: tekniken förändrar de lokala näringsflödena på sätt som i ett litet antal studier på andra håll har kopplats till algblomning skadlig för vilda skaldjursbankar i närheten. Evidensen är antydande, inte avgörande, och regionens vilda skaldjursfiske är ekonomiskt och ekologiskt betydande.

Med ett rent försiktighetsinstinkt kunde myndigheten helt enkelt vägra tillståndet tills vetenskapen är avgjord, vilket kan ta år och skulle kosta odlaren en redan åtagen investering och regionen de jobb och den exportintäkt tekniken kunde ge. Med ett rent tillåtande instinkt kunde den godkänna ansökan på grunden att ingen skada har bevisats, och acceptera risken för det vilda fisket om de oroande studierna visar sig generaliserbara. Ingendera instinkten speglar, på egen hand, vad myndighetens – fortfarande oskrivna – riskaptit faktiskt skulle säga om någon frågade den direkt.

I stället insisterar myndighetens licenschef på tre steg innan ett beslut fattas. För det första genomförs en proportionerlig konsekvensutredning som jämför alternativen godkänna, avslå och villkorat godkännande mot den bästa tillgängliga evidensen, inklusive en begäran om ytterligare övervakningsdata från de länder som redan använder tekniken. För det andra förs ansökan in som en ny post i myndighetens riskregister, med en tilldelad ägare, en angiven sannolikhets- och konsekvensbedömning för algblomningsscenariot och en åtgärdsplan inbyggd i varje godkännande – ett fast övervakningsprogram, definierade utlösande tröskelvärden för avstängning och ett översynsdatum tolv månader fram. För det tredje, eftersom ett tillstånd som beviljas med ett övervakningsvillkor och en avstängningsutlösare är en form av fortlöpande risk, inte ett avslutat beslut, underrättar myndigheten sitt regionala resilienspartnerskap så att algblomningsscenariot syns i områdets miljömässiga beredskapsplanering i stället för att bara vara känt av licensteamet.

Myndigheten beviljar ett villkorat tillstånd: godkännande, med obligatorisk övervakning, en låg men uttrycklig tröskel för avstängning och ett offentligt åtagande att se över evidensen om ett år. Beslutet är varken ett kategoriskt ”nej” drivet av obevisad rädsla eller ett tyst ”ja” som ignorerar en verklig signal. Det är en uttalad riskaptit – viss risk för det vilda fisket är acceptabel i utbyte mot regionens ekonomiska nytta, förutsatt att den övervakas och är reversibel – tillämpad konsekvent och nedskriven där nästa licenshandläggare, och nästa revision, kan hitta den.

Fyra sektorperspektiv

Lokal förvaltning

Lokala tillsynsmyndigheter – miljö- och hälsoskydd, konsumentskydd, byggkontroll, tillståndsgivning – har ständigt att göra med samma lokaler och samma aktörer, vilket är exakt det förhållande under vilket responsiv, riskbaserad reglering fungerar bäst: en lokal inspektör kan trovärdigt skilja ett första pappersfel från en ihållande risk för allmän säkerhet. Den praktiska begränsningen är kapacitet: ett litet kommunalt team som för ett genuint levande riskregister över hundratals tillståndspliktiga lokaler, utöver tillsynsärenden, behöver ett register enkelt nog att faktiskt användas, inte en mall importerad från ett mycket större nationellt organ.

Nationell förvaltning

Nationella ekonomiska tillsynsmyndigheter och säkerhetsmyndigheter – konkurrensmyndigheter, finansiella tillsynsmyndigheter, läkemedelsmyndigheter, arbetsmiljöorgan – verkar i en skala där en fullständig konsekvensutredning är standardpraxis och ofta ett lagkrav, och där försiktighetsprincipen uttryckligen förekommer i lag för områden som läkemedel och livsmedelssäkerhet. Nationella riskregister, som sammanställer de risker med högst sannolikhet och störst konsekvens ett land står inför, är en direkt insats i den nationella krisberedskapsplaneringen (se Ämne 3.12 — Krishantering, beredskap och resiliens), vilket gör disciplinen att hålla registret aktuellt till en fråga om nationell motståndskraft, inte bara regleringsmässig hushållning.

Social sektor och ideell sektor

Ideella organisationer och icke-statliga organisationer befinner sig på båda sidor av det här ämnet: de är reglerade organ, underkastade regler om välgörenhet, skydd av utsatta och insamling, och de är själva riskhanterande organisationer med styrelser som bör föra egna riskregister och riskaptitutlåtanden. Skyddet av utsatta är där försiktighetsprincipen framträder skarpast i den här sektorn – oåterkallelig skada för en sårbar person motiverar en mycket låg riskaptit även mitt i genuin osäkerhet om en särskild anklagelse – medan proportionalitet talar emot att lägga den efterlevnadsbörda som utformats för en stor institution på en liten volontärdriven välgörenhetsorganisation med en handfull avlönade medarbetare.

Multilaterala och internationella organ

Internationella organ fastställer mestadels standarder snarare än att verkställa dem direkt, och förlitar sig på nationella regeringar för att införliva och tillämpa överenskomna regler – livsmedelssäkerhetsstandarder, sjö- och luftfartssäkerhetskoder och internationella miljöavtal är typiska exempel. Försiktighetsprincipen har ett uttryckligt hemvist i folkrätten, mest synligt i Riodeklarationen om miljö och utveckling, men eftersom verkställigheten beror på nationellt genomförande varierar riskaptiten i praktiken ändå mellan medlemsstater, vilket ger genuin fragmentering även där den underliggande standarden är gemensam.

Vanliga felmönster

Tillsynskapning. En tillsynsmyndighet som är beroende av den reglerade branschen för information, personal eller finansiering antar gradvis den branschens syn på acceptabel risk, utan något enskilt beslut som ser ut som korruption. Kostnaden visar sig år senare, när en risk som tillsynsmyndigheten hade slutat behandla som brådskande förverkligas i stor skala.

Zombieriskregistret. Ett register skapas, fylls i en gång och uppdateras sedan bara när en revisor begär det. Det ger sken av riskhantering utan funktionen: ingen avgör faktiskt, enligt en cykel, om de förtecknade riskerna och deras åtgärder fortfarande speglar verkligheten.

Försiktighetsförlamning. Försiktighetsprincipen åberopas utan proportionalitetsprov, angiven evidenströskel eller översynsdatum, vilket förvandlar en motiverad paus till ett obestämt block. Genuint nyttig innovation – en ny medicinsk teknik, en renare industriell process, en effektivare teknik – fördröjs eller överges inte för att evidensen för skada är stark, utan för att det alltid ser ut, politiskt, som att slappna av i vaksamheten att häva en försiktighetsrestriktion.

Konsekvensutredningen i efterhand. En konsekvensutredning skrivs efter att det politiska beslutet redan har fattats, för att bygga ett pappersspår snarare än att informera valet. Dess alternativanalys gynnar pålitligt det alternativ som sponsorn redan hade valt, vilket är möjligt att upptäcka men sällan ifrågasätts.

Regelkrypning utan solnedgång. Nya regler läggs till som svar på varje nytt problem, men gamla regler upphävs sällan, så den samlade efterlevnadsbördan fortsätter växa även när enskilda risker avtar. Utan en solnedgångsklausul eller en motsvarande översynsmekanism äger ingen frågan om en given regel fortfarande förtjänar sin kostnad.

Stuprörsbaserad riskhantering. Riskregistret ligger hos risk- eller efterlevnadsfunktionen; krisplanen ligger hos resiliensfunktionen; de två stäms sällan av mot varandra. Det scenario som ett riskregister har flaggat som sannolikt och allvarligt saknas då i den övning som krisplaneringsteamet senast övade (se Ämne 3.12 — Krishantering, beredskap och resiliens).

Den oansvariga tillsynsmyndigheten. Verkställighetsmakt utan en fungerande extern kontroll – en överklagandeväg som aldrig används, en tillsynskommitté som aldrig sammanträder, en lagstiftande församling som aldrig granskar – lämnar en tillsynsmyndighets riskbedömningar oprövade av någon utanför den organisation som gör dem (se Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet).

Mognadsmodell

Checklista

• Utarbeta ett riskaptitutlåtande tillsammans med ditt styrande organ och publicera det.
• Bygg eller uppdatera ett riskregister med en namngiven ägare och ett översynsdatum för varje post.
• Klassificera varje regleringsbefogenhet efter instrumenttyp – detaljstyrande eller riskbaserad – och kontrollera att den motsvarar den risk den riktar sig mot.
• Genomför en konsekvensutredning innan en betydande regel antas eller förnyas, dimensionerad efter regelns skala.
• Tillämpa ett proportionalitetsprov närhelst försiktighetsprincipen åberopas, med en angiven evidensgrund och ett översynsdatum.
• Sätt ett solnedgångs- eller översynsdatum på varje ny reglering.
• Bekräfta att din tillsynsmyndighets ansvarsväg är oberoende av den bransch den reglerar (se Ämne 3.4 — Ansvarsutkrävande, transparens och legitimitet).
• Koppla de främsta posterna i ditt riskregister till dina kris- och kontinuitetsplaner (se Ämne 3.12 — Krishantering, beredskap och resiliens).
• Rapportera överskridanden av riskaptiten till styrelsen, inte bara till risk- eller efterlevnadsteamet.
• Se över hela riskregistret med fast intervall, inte bara efter en incident.
• Kontrollera om personalen kan namnge organisationens riskaptit i en mening; om de inte kan det, behandla utlåtandet som opublicerat i praktiken.

Viktiga källor

Ian Ayres och John Braithwaites Responsive Regulation: Transcending the Deregulation Debate (1992) förblir den grundläggande redogörelsen för tillsynspyramiden och den riskdifferentierade verkställighet som sammanfattas i det här ämnets grundläggande begrepp. Cass Sunsteins Laws of Fear: Beyond the Precautionary Principle (2005) är den vanliga kritiska behandlingen av försiktighetsprincipens gränser, särskilt dess tendens att åberopas asymmetriskt. ISO 31000 är den internationella referensstandarden för riskhanteringens struktur; brittiska HM Treasurys Orange Book anpassar en liknande struktur särskilt för statliga organ. Europeiska miljöbyråns rapport Late Lessons from Early Warnings samlar fallstudier om kostnaden för både försummad och felaktigt tillämpad försiktighet. Storbritanniens Better Regulation Framework och dess Legislative and Regulatory Reform Act 2006 används i det här ämnet som ett genomarbetat, kontrollerbart exempel på proportionalitets- och konsekvensutredningsplikter som läggs på tillsynsmyndigheter genom lag och vägledning; motsvarande ramverk finns i många andra jurisdiktioner.

Referenser

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2