监管与公共风险管理

这为何对公共价值重要

每一位监管者都在一个没有舒适出口的陷阱之中工作。如果一项本可预防的损害发生了,监管者会因为过于宽松而受到指责。如果监管者阻止或延迟了一件后来被证明是安全、有益的事情,它会因为过度谨慎而受到指责,理由是这造成了就业、疗法或投资的损失。这两种失败都只有在事后才是可见的,这意味着监管者真正的决策从来都不仅仅是"安全还是不安全",而是"我们愿意承担这项风险中的多少,依据谁的授权"。一个从未把自己的容忍度写下来的组织,会在第一次出问题、一次调查追问是谁判定这项风险可以接受时,以昂贵的代价发现这一点。

风险偏好声明与风险登记册存在的意义,正是在事件发生之前、而非之后使这种容忍度变得明确。它们把一系列私人的、分散的判断——由检查员、个案工作者与值班经理在时间压力之下做出——转化成一个组织能够被要求负责、也能够为之辩护的一项明示立场。监管设计在规则本身的层面上,做的是同一件事:选择一种命令与控制型工具、还是一种响应式的、基于风险的工具,本身就是一项风险决策,而不仅仅是行政风格的问题。本主题把监管与风险管理,当作同一个底层问题的两种表达方式来处理:一个公共机构如何明确地决定,在追求它同样在意的一项公共价值时,自己愿意容忍多少损害?

一位监管者做出这项判断的权威,不是自我授予的,这正是为什么本主题紧挨着赋予它合法性的问责结构(见主题3.4——问责制、透明度与合法性),也正是为什么它今天所识别出的风险,常常正是另一个团队明天正在为之规划的危机(见主题3.12——危机、紧急情况与韧性管理)。

核心概念

监管是使用某种权威支撑的规则,来约束或引导个人、企业或其他组织的行为。在公共部门,它与支出、税收并列,是一项核心政策工具,但与支出不同的是,它通常把成本施加在被监管方身上、而非公共财政上——这正是它在政治上颇具吸引力的原因,也是它的真实成本容易被低估的原因。

监管机构是在一个明确界定的领域内——例如金融行为、药品、食品安全,或建筑管控——制定、管理并执行规则的机构。它们的设计选择——相对于部长的独立程度、资金来源,以及其决策的可上诉程度——决定了它们能否依据证据行事、而不被自己所监督的行业所俘获。

命令与控制型监管设定统一的、指令性的规则,并对任何违规行为加以处罚,无论违规企业的既往记录或它实际构成的风险如何。它是透明的、易于审计的,但它把一个持续谨慎的经营者,与一个惯犯同等对待,把合规精力浪费在前者身上,却对后者威慑不足。

响应式的、基于风险的监管,依据被监管方经评估的风险与合规历史来区分回应方式:对善意行为者采取轻度接触,对反复或蓄意的不合规行为逐步升级制裁。维基百科对这种方式的论述,在监管风险差异化这一标题之下,将其溯源到伊恩·艾尔斯与约翰·布雷斯韦特的"执法金字塔",该模型从劝导开始,只有在较轻的工具失效时,才逐步升级到吊销执照或起诉。它对监管者的判断与数据要求,比一本固定的规则手册更高,这正是它的主要代价。

监管影响分析(RIA),也称为监管影响评估,是政府在引入一项新监管之前所产出的文件,阐明问题、考虑过的选项,以及每一项的预期成本与收益。维基百科的监管影响分析条目追溯了它在许多国家的推广。它的目的,是让一项拟议规则中的权衡在采纳之前变得可见,而不是为一项已经做出的决策辩护——本主题后文的失败模式还会回到这一区分。

风险管理是识别、评估并控制那些可能妨碍一个组织实现其目标的事物这门学问。ISO 31000是被引用最广泛的、用于构建这门学问的国际标准;它把风险管理当作一个迭代的过程——识别、分析、评估、处置、监测——而非一次性的演练,包括英国财政部《橙皮书》在内的若干国家框架,都以它的结构为基础加以建立。

风险偏好是一个组织在采取行动降低风险之前,为追求自己的目标而准备接受的风险水平。一份风险偏好声明使这一点变得明确而有区分:一个公共卫生监管机构,对患者安全的风险可能几乎是零容忍,但对一项不受欢迎、却有证据支持的决策所带来的声誉风险,可能有高得多的容忍度。

一份风险登记册是列出每一项已识别风险、其可能性与影响、其负责人,以及已经采取或计划采取的缓解措施的运营工具。使用得当时,它驱动着资源配置与升级决策;使用不当时,它就是一份没有人在审计之间重新打开的电子表格。

预防原则主张,当一项行动或政策带有严重或不可逆损害的疑似风险时,缺乏完全的科学确定性,不应被当作推迟保护性措施的理由。在某些表述中,它把举证责任从"在我们行动之前先证明这是危险的",转移到了"在我们推进之前先证明这足够安全"——这是一种真正不同的默认立场,在科学不确定性与潜在不可逆性最为突出的地方——例如一种新的化学品、技术,或病原体——最为重要。

比例原则是指,一项监管回应,不应比应对其所针对的风险所需要的更具限制性。它是对预防原则最主要的实际与法律约束:预防证成了在不确定性之下采取行动,但比例原则仍然管辖着你有权就此做多少,以及做多久。

最佳实践

1. 在你需要它之前先公布一份风险偏好声明。 与你的治理机构、而不仅仅是你的风险团队一起起草它,这样当一个艰难的决定到来时,对损害的容忍度是在平静的条件下设定的,而非在一场正在发生的事件中、在公众压力下才被决定的。
2. 让监管工具与风险状况相匹配,而不是与制度习惯相匹配。 把命令与控制型规则留给那些统一合规真正不容商榷的风险,例如结构安全,并在被监管人群的合规历史差异巨大的地方使用风险差异化的方式。
3. 在决策之前、而非为了事后为它辩护而运行监管影响评估。 及早委托它,使它的发现仍然有可能改变这项提案,并把它与这项规则一并公布,使这项推理能够被核查。
4. 让评估的规模与规则的规模相匹配。 一项次要的技术性修订,不需要与一项重塑整个行业的规则同等的分析分量;一套固定的、不成比例的流程,只会教会员工把它当作一种形式。
5. 让风险登记册保持是一份活的、有人负责的文件。 为每一项条目指定一位具名负责人,设定一个审查日期,并按固定周期——而不仅仅在审计人员问起时——向董事会汇报进展:新出现的风险、已结案的风险、错过的缓解措施。
6. 每一次援引预防原则时,都应用一次比例检验。 明确说明存在什么损害证据、考虑过哪些限制性较小的选项,以及这项限制何时将被审查,使预防读起来像是一项经过推理的判断,而非一次反射性的否决。
7. 为每一项重大监管设定一个日落或审查日期。 若不加审查,规则积累的速度会快于它们被废除的速度,即便它们本应处理的风险已经消退,合规负担仍会持续增长。
8. 把标准制定与逐案执法决策区分开来。 让执法选择依据自己的记录接受审查,这样一位监管者的整体规则与它在某一个有争议案例上的决定,就不会被当作同一件事来评判或辩护。
9. 有意识地防范监管俘获。 把高级员工从他们日后将要监管的行业轮换出来、披露外部利益,并使这个监管机构的资金独立于它对所监督行业征收的费用或罚款。
10. 让监管机构向被监管行业之外的一个机构负责。 一条上诉途径、一个督察机构,或一个能够质询监管机构决策的立法委员会,能让它的风险判断保持诚实(见主题3.4——问责制、透明度与合法性)。
11. 把风险登记册的顶端与应急规划连接起来。 一份风险登记册上可能性与影响都最高的条目,常常正是危机与业务连续性规划需要演练的情景,因此这两项职能应该阅读同一份文件,而不是各自维护平行的文件(见主题3.12——危机、紧急情况与韧性管理)。

与团队讨论的问题

我们知道自己的风险偏好吗,还是我们在一次又一次事件中才发现它? 如果房间里没有人能用一句话描述这个组织愿意在其核心职能中承担多少风险,那么每一次艰难的决定都是由恰好当值的人从零开始做出的。这会在相似的案例之间产出不一致的决策,并让这个组织为一项它作为一个整体从未真正同意过的判断辩护。追问一下,今天是否存在一份书面的风险偏好声明、谁批准了它,以及它上一次针对一项真实决策接受检验是什么时候,而不是被搁置为一份没有人读过的政策文件。

我们的哪些监管工具是出于习惯、而非刻意设计而采用命令与控制式的? 统一规则比差异化规则更容易撰写、也更容易辩护,这正是为什么组织即便在被监管人群的风险状况差异巨大的地方,也默认采用它们的原因。梳理你主要的监管权力,针对每一项追问,是否曾经考虑过一种基于风险或响应式的替代方案,还是目前的工具仅仅早于这个问题被提出之前就已存在。

我们上一次更新风险登记册是什么时候,每一项条目由谁负责? 一份没有具名负责人、或自上一次审计以来从未变动过的登记册,并没有在管理风险——它只是记录了风险曾经被讨论过这一事实。要求团队在会议中当场打开这份登记册,交代排名前五的条目:发生了什么变化、有什么缓解措施到期,以及如果没有人在下一次审查之前采取行动会发生什么。

我们在哪些地方援引了预防原则,我们今天能把这项决定辩护为符合比例吗? 预防原则容易被援引、却难以被撤销,因为撤销一项保护性措施,即便证据已经发生变化,看起来也总像是放松了警惕。列出目前依据预防理由生效的各项限制,核查每一项是否仍然附有一个明确说明的审查日期与一个明确说明的证据基础,而不仅仅是制度惯性让它继续生效。

谁让我们的监管职能负责,这项安排真的在发挥作用吗? 一个只对自己负责的监管机构,随着时间推移,会漂移向它每天打交道的那个行业的偏好,因为那是唯一持续给它反馈的受众。讨论一下,你的上诉途径、监督委员会或督察机构,在过去几年里是否真正改变过一项决定,还是它只存在于纸面上、从未受到检验(见主题3.4——问责制、透明度与合法性)。

我们的风险登记册与我们的应急预案是否相互对话,还是两者活在不同的孤岛里? 风险登记册由风险与合规团队撰写;应急预案由韧性团队撰写;二者常常彼此都不阅读对方的文件,于是一份风险登记册标记为可能且严重的情景,恰恰不是应急规划团队上一次演练过的情景。追问一下,你风险登记册的顶端条目与你上一次演练的情景是否是同一份清单,如果不是,为什么不是(见主题3.12——危机、紧急情况与韧性管理)。

实践中的公共价值案例

以下情形完全是虚构的,仅用于说明一种模式,而非对任何真实监管机构内部决策的报道。

一个沿海地区的水产养殖监管机构——姑且称之为虚构的"河口渔业管理局"——收到了一位鱼类养殖经营者的申请,想要引入一种新的近海贻贝-鳍鱼共养技术,这种技术已在少数其他国家商业化使用,承诺以更小的海床占用面积获得更高的产量。该机构自己的海洋生物学家标记出了一个悬而未决的问题:这项技术会以某种方式改变本地的营养流,而在别处一小部分研究中,这种改变与危害附近野生贝类床的藻华现象有关。这项证据是暗示性的、而非定论性的,而这个地区的野生贝类渔业在经济与生态上都具有重要意义。

在一种纯粹的预防本能之下,该管理局本可以直接拒绝这项许可,直到科学问题得到解决——这可能需要数年时间,会让这位经营者已经投入的资金付诸东流,也会让这个地区失去这项技术本可带来的就业与出口收入。在一种纯粹的许可本能之下,它本可以以尚未证明存在损害为由批准这项申请,并接受万一那些令人担忧的研究结果最终具有普遍性,野生渔业将面临的风险。这两种本能单独来看,都没有反映出如果有人直接问起,该管理局那尚未成文的风险偏好实际上会怎么说。

相反,该管理局的许可负责人坚持在做出决定之前采取三个步骤。第一,运行一次符合比例的监管影响评估,依据现有最佳证据比较批准、拒绝与附条件批准这三个选项,包括呼吁那些已经在使用这项技术的国家提供进一步的监测数据。第二,把这项申请记录为该管理局风险登记册上的一个新条目,指定一位负责人、为藻华情景说明可能性与影响等级,并在任何一项批准之中内建一份缓解计划——一套固定的监测制度、明确规定的暂停触发门槛,以及一个十二个月之后的审查日期。第三,由于一份附有监测条件与暂停触发条件的许可是一种持续性的风险、而非一项已经了结的决定,该管理局通知了它的区域韧性伙伴关系,使藻华情景出现在这个地区的环境应急规划之中,而不仅仅为许可团队所知。

该管理局发放了一份附条件许可:批准,附带强制性监测、一个虽低但明确的暂停门槛,以及一项公开承诺,将在一年内审查这些证据。这项决定既不是被未经证实的恐惧所驱动的一概拒绝,也不是无视一个真实信号的沉默同意。它是一项被明确说明的风险偏好——只要经过监测且可逆,野生渔业承受一定的风险是可以接受的,以换取该地区的经济效益——一贯地应用,并被写在下一位许可官员、以及下一次审计都能找到的地方。

四种部门视角

地方政府

地方监管者——环境卫生、贸易标准、建筑管控、许可——反复处理同样的场所与同样的经营者,这正是响应式的、基于风险的监管发挥最佳效果的那种条件:一位地方检查员能够可信地把一次初犯的文书疏漏,与一种持续存在的公共安全风险区分开来。实际的制约是能力:一支在数以百计的受许可场所之上、还要应付执法个案的小型议会团队,维护一份真正是活的风险登记册,需要这份登记册简单到真正能够使用,而不是一个从一个规模大得多的国家机构那里照搬来的模板。

国家政府

国家级的经济与安全监管机构——竞争管理局、金融行为监管机构、药品管理局、职业安全卫生机构——在一个完整的监管影响评估是标准做法、常常也是法律要求的规模上运作,在这里,预防原则也明确出现在诸如药品与食品安全等领域的法规之中。国家风险登记册,汇编了一个国家所面对的可能性与影响都最高的风险,是国家民防规划的直接输入(见主题3.12——危机、紧急情况与韧性管理),这使得保持这份登记册与时俱进的纪律,成了国家韧性的问题,而不仅仅是一项监管内务工作。

社会部门与非营利组织

非营利组织与非政府组织同时处于本主题的两端:它们是受监管的机构,受制于慈善、保护与筹款规则,而它们自身也是风险管理组织,其董事会应该拥有自己的风险登记册与风险偏好声明。保护工作,是预防原则在这个部门最尖锐地体现出来的地方——对一位脆弱人群造成的不可逆损害,即便在关于一项具体指控的真实不确定性之中,也证成了一种极低的风险偏好——而比例原则则反对把为一个大型机构设计的合规负担,强加于一个由志愿者运营、只有少数几名领薪员工的小型慈善机构。

多边与国际

国际机构大多制定标准、而非直接执行标准,依赖各国政府来转化并应用已达成一致的规则——食品安全标准、海事与航空安全规范,以及国际环境协定都是典型例子。预防原则在国际法中有一个明确的立足之地,最明显地体现在《里约环境与发展宣言》之中,但由于执行依赖于国内的落实,实践中的风险偏好仍然因成员国而异,即便底层标准是共享的,也会产生真正的碎片化。

常见失败模式

监管俘获。 一个依赖被监管行业提供信息、人员或资金的监管机构,逐渐采纳了这个行业对可接受风险的看法,而没有任何一次单一的决策看起来像是腐败。这项代价在多年之后才会浮现,那时一项监管机构早已不再当作紧迫问题来对待的风险,在大规模上真正发生了。

僵尸风险登记册。 一份登记册被创建、被填充一次,此后只有在审计人员要求时才被更新。它营造出了风险管理的外观,却没有它的实质功能:没有人真正按周期决定,已列出的风险及其缓解措施是否仍然反映着现实。

预防性瘫痪。 预防原则在没有比例检验、没有明确说明的证据门槛、没有审查日期的情况下被援引,把一次经过推理的暂停,变成了一次无限期的封锁。一项真正有益的创新——一种新的医疗技术、一种更清洁的工业流程、一项更高效的技术——被延迟或放弃,不是因为损害的证据充分,而是因为撤销一项预防性限制,在政治上总是看起来像是在放松警惕。

事后追加的影响评估。 一份监管影响评估在政治决策已经做出之后才被撰写,目的是构建一条书面留痕、而非为这项选择提供依据。它的选项分析总是可靠地偏向发起方早已选定的那个选项,这一点可以被察觉,却很少受到质疑。

没有日落条款的监管蔓延。 新规则在应对每一个新问题时被添加进来,但旧规则却很少被废除,于是即便个别风险已经消退,累积的合规负担仍在持续增长。若没有一项日落条款或同等的审查机制,就没有任何人负责回答一项具体规则是否仍然值得它的成本这个问题。

各自为政的风险管理。 风险登记册归属于风险或合规职能;应急预案归属于韧性职能;二者很少被相互协调。一份风险登记册标记为可能且严重的情景,随后在应急规划团队上一次演练的方案中却是缺席的(见主题3.12——危机、紧急情况与韧性管理)。

不受问责的监管机构。 拥有执法权力、却没有一套真正发挥作用的外部核查——一条从未被使用过的上诉途径、一个从未召开过会议的监督委员会、一个从未真正审查过的立法机关——让一个监管机构的风险判断,从未受到做出这些判断的组织之外任何人的检验(见主题3.4——问责制、透明度与合法性)。

成熟度模型

检查清单

• 与你的治理机构共同起草一份风险偏好声明,并将其公布。
• 建立或更新一份风险登记册,为每一项条目指定具名负责人与审查日期。
• 按工具类型——命令与控制型或基于风险型——对每一项监管权力加以分类,并核查它是否与所针对的风险相匹配。
• 在采纳或续订一项重大规则之前,运行一次与该规则规模相称的监管影响评估。
• 每一次援引预防原则时,都应用一次比例检验,并附有明确说明的证据基础与审查日期。
• 为每一项新监管设定一个日落或审查日期。
• 确认你的监管机构的问责途径独立于它所监管的行业(见主题3.4——问责制、透明度与合法性)。
• 把你风险登记册的顶端条目,与你的应急与业务连续性预案相连接(见主题3.12——危机、紧急情况与韧性管理)。
• 向董事会、而不仅仅向风险或合规团队汇报风险偏好的突破情况。
• 按固定间隔、而不仅仅在一次事件之后审查整份风险登记册。
• 检验员工是否能够用一句话说出这个组织的风险偏好;如果不能,就把这份声明在实践中当作未曾公布来对待。

关键资料来源

伊恩·艾尔斯与约翰·布雷斯韦特的《响应式监管:超越放松管制的争论》(1992年),至今仍是本主题核心概念中所概述的执法金字塔与风险差异化执法的奠基性论述。卡斯·桑斯坦的《恐惧的法则:超越预防原则》(2005年),是关于预防原则局限性——尤其是它容易被不对称援引的倾向——的标准批判性论述。ISO 31000是风险管理结构的参考国际标准;英国财政部的《橙皮书》专门为政府机构改编了一套类似的结构。欧洲环境署的《来自早期警告的迟来教训》报告,汇集了关于忽视与滥用预防原则二者代价的案例研究。英国的更好监管框架及其《2006年立法与监管改革法》,在本主题中被用作一个可核查的实例,展示了比例原则与影响评估义务如何通过法规与指导被施加于监管机构;许多其他辖区也存在同等的框架。

参考文献

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2