问责制、透明度与合法性

这为何对公共价值重要

一个公共机构可以通过每一次审计、公布法律要求的每一项披露,却仍然眼睁睁看着自己的支持在公民断定没有任何具备独立地位的人真正在核查它所做之事的那一刻土崩瓦解。反过来,一个机构也可能错过一个申报截止日期,或变通了一条程序规则,却几乎毫发无损,因为它的公民与监督者相信它的意图与能力是可靠的。这两种结果之间的差距,正是本主题的主题:合法律性是一道底线,而非一座地基,而单凭这道底线,无法撑起一个组织的权威。

主题1.2把合法性与支持,称为马克·摩尔的战略三角的一条边——一个组织需要以此保持行动许可的授权环境(见主题1.2——战略三角:合法性、价值与能力)。那一个主题把合法性当作一项需要被绘制与管理的战略输入来对待。本主题则深入到它下方,深入到那套随着时间推移真正产出、或撤回合法性的机制之中:让公民与独立机构能够核查一个组织所做之事的问责关系、为这些关系提供核查对象的透明度制度,以及把审查从一种期望变为一种常规的审计与监督机构。

利害关系不是在缩小,而是在增长。公民越来越多地是通过数据泄露、被泄露的内部信息,以及单一决策的病毒式传播片段,而非通过年度报告来体验政府的,因此一套仅为正式的、周期性汇报而建立的问责结构,回答的是昨天的问题。一位理解合法律性与合法性之间区别、并把问责制与透明度当作持续的实践、而非合规事件来构建的领导者,拥有的权威能够挺过一轮负面新闻。一位不理解这一点的领导者会发现,一项在技术上站得住脚的决策,一旦公众判定这个流程本身不值得信任,就完全起不到辩护作用——而这种已经形成的公众判断,总体而言,正是本主题所述机制旨在维系的那种制度信任(见主题4.2——政府信任与公民参与)。

核心概念

问责制是向有资格提问的人解释并证成自己行为的义务,而当答案不够充分时,还要承受后果。它有三个说起来容易、合在一起却难以维系的组成部分:答责性(汇报与解释的义务)、强制执行力(提问方施加后果的能力),以及谁向谁负责的一条清晰界线。一个组织可以持续满足第一个组成部分,而第二个组成部分却始终是空的,因为没有任何提问者有权力对一个糟糕的答案采取行动;这种组合只是名义上的问责制(见问责制)。

纵向问责运行于公民与代表他们掌权的人之间,最明显地通过选举来体现,但也通过公投、请愿以及让公众无需借助中间机构、就能奖励或惩罚在任者的直接选民投诉渠道来体现。之所以称为纵向,是因为它原则上直接从被治理者向上贯穿到治理者,通过主题1.2所描述的、代理人利益与信息永远无法与委托人完全匹配的委托代理关系这条链条(见主题1.2——战略三角:合法性、价值与能力)。纵向问责强大,却也粗糙——一次选举把对成百上千项决策的判断,打包成一个二元选择,而且只是周期性地进行,这正是为什么它不能成为一套负责任体系所依赖的唯一机制。

横向问责是横向运行的,存在于形式地位大致相当的国家机构之间,其中没有一个是公众本身:审查行政行为的法院、审查支出的审计人员、调查行政失当的监察专员、反腐败委员会、信息自由裁决庭,以及在选举之间审查部长的立法委员会。这些机构通常在某种形式的三权分立之下运作,即立法、行政与司法职能在制度上保持各自独立,使一方能够核查另一方,而不至于仅仅通过层级压制来推翻它。横向问责正是让问责制变得持续、而不仅仅是选举性的关键,它在选举之间的年份里,处理那些对选民来说太过技术性或变化太快、无法直接审查的决策——这正是为什么它相对于它所审查的那些机构的独立性,不是一种细枝末节,而是全部意义所在。

信息自由是一项原则,也日益成为一项法定权利,即公众可以请求并获得政府机构持有的文件与记录,其例外情形应当明确而狭窄,而非由官员自行裁量(见各国信息自由法)。各种制度在力度上差异悬殊:一些制度预设披露,把逐案证成一项豁免的举证责任放在拒绝披露的机构身上,而另一些则预设保密,只列出允许披露的狭窄类别——这种结构性差异,比一部法律是否存在本身更为重要。由欧洲信息获取组织与法律与民主中心共同维护的全球知情权评级,依据这项结构性标准为各国法律打分,这正是为什么两个国家都可以声称拥有一部信息自由法,而实际的披露义务却大相径庭。

透明度、安全与隐私之间的权衡。 披露不是一件免费的物品。公布原始数据可能使个人暴露于被重新识别身份的风险,可能泄露有助于欺诈或安全侵入的信息,或可能压制决策者在决策最终确定之前所需要的坦率内部建议。成熟的信息自由与开放政府制度,通过明确地指认这种权衡来处理这个问题——狭窄划定、有时限的豁免、一项逐案权衡披露的收益与代价的公共利益检验,以及在申请人认为一项豁免被滥用时向一个独立机构上诉的权利。一套把每一项豁免都当作不言自明地正当、或把每一项豁免都当作不正当的制度,同样未能处理好这种权衡;真正的纪律不在于例外情形是否存在,而在于它们是否狭窄、以及是否可以上诉。

最高审计机构是负责审计公共资金如何被筹集、支出与核算的独立国家机构——这一类别涵盖了非常不同的宪制形式,从一个立法机关下属机构,到一个审计法院,再到一位独立的审计长(见最高审计机构)。例如英国的国家审计署,它向议会、而非它所审计的政府汇报;以及美国的政府问责局,一个服务于国会的立法机构下属机关。正如国际最高审计机关组织1977年的奠基性文件《利马宣言》所阐明的,把这一类别统一起来的,是相对于被审计机构的职能、组织与财务独立性——一个可能被自己所审计的实体撤销拨款或撤职的审计人员,在任何有意义的层面上都不是独立的(见国际最高审计机关组织)。

合法性与合法律性之别。 合法律性是对具有约束力的法律的技术性遵从:一项决策由正确的人、通过正确的程序、在实际被授予的权力范围之内做出。合法性则更为宽泛、也更为柔性——受一项权威支配的人,在多大程度上接受它对自己行使权力的权利,这建立在法律程序、民主同意、已证明的能力,与被感知到的公平性的某种混合之上。这两者可以朝任一方向出现分歧:一项在技术上合乎法律的决策,如果是通过一个公民体验为受操纵、或蔑视他们关切的程序做出的,可能同时既合法律又不具有合法性;而一项略微超出严格法律授权的紧急行动,如果被视为必要、并被诚实地加以解释,即便存在法律上的疑问,仍然可能保留合法性。主题1.2——战略三角:合法性、价值与能力——把合法性当作一个组织所管理的一项输入来对待;本主题的要点在于,合法性是日复一日地被产出的,取决于问责制与透明度是真实存在的、还是仅仅是表演出来的。法治——即法律是清晰的、被一贯地应用的、对权势者与其他所有人一样具有约束力——是合法性的一个主要来源,但不是唯一的来源,而把法律合规当作合法性的完全替代品,是本主题所要处理的单一最常见的错误。

监督行为者。 监察专员调查行政失当的个案投诉,并累积性地揭示出任何单一投诉都无法揭示的系统性问题;与法院不同,监察专员通常无法强制要求一项补救,而是依赖一项公开裁定所带来的声誉成本。举报——一位内部人士报告他们因在组织内部工作而能直接接触到的不当行为——则又是一条截然不同的渠道,捕捉到的是周期性审计与公民投诉都无法可靠捕捉的东西:那些被同时向两者主动隐瞒的不当行为。监管者处于一个相关但截然不同的位置,在别处有完整的论述(见主题3.10——监管与公共风险管理);本主题关心的是国家其他部分与公众对国家的监督,而不是国家对外部行为者的监督。

最佳实践

1. 公布一项决策背后的推理,而不仅仅是它的结果。 一项在没有说明理由的情况下被宣布的决策,会招致公众自行提供解释,而这种解释很少是善意的;公布实际权衡过的取舍,能把一种令人生疑的沉默转化为一份站得住脚的记录。
2. 建立一套把披露当作默认选项、而非让步的信息自由响应职能。 把申请处理流程设计为寻找法律上最狭窄的豁免,而非最宽泛的可能豁免,并为每一次拒绝记录其具体的法律依据,使过度扣留的模式对内部审计可见。
3. 让审计人员的经费来源与任命,在制度上与被审计机构分离。 一项在预算或负责人任期上依赖于被其审查实体善意的审计职能,无论其头衔在纸面上怎么写,实质上都不具备独立性。
4. 给予监察专员或同等的投诉机构一份公开的业绩记录,而不仅仅是一份案件量。 定期公布主题性发现,而不仅仅是个案结果,使反复出现的系统性问题对立法机关与公众可见,而不是被埋在已结案的档案里。
5. 在每一个重要层级,把做出决策的人与审查这项决策的人分开。 当一位审查者正式或非正式地向他所审查决策的人汇报时,横向问责就会悄悄崩溃。
6. 把举报渠道当作一项需要保护的问责资产,而不是一项需要压低的风险来对待。 一条可信的、不会招致报复的渠道,往往是被主动隐瞒的不当行为得以浮出水面的唯一途径;一条悄悄惩罚披露行为的渠道,会教会员工停止使用它,恰恰是在隐瞒最有可能发生的时候。
7. 对一项有争议的决策,分别用平实的语言说明其法律依据与合法性理由。 公民能够接受"这在法律上属于我们的权力范围,但我们意识到这会让人感觉不公平,以下是我们判断它有必要的理由",这远比一项仅凭援引允许它的法规来辩护的决策更容易接受。
8. 给予审查与审计机构足够的准备时间,使其能够实质性地发挥作用、而非仅仅走个形式。 一个短到无法产出真正发现的法定咨询或审计窗口期,起到的是一场合法性表演、而非一次真正的核查的作用,利益相关者能够察觉这种差别。
9. 按与财务结果相同的节奏、而非作为一次性举措来汇报透明度承诺的履行情况。 一项只宣布一次、再也没有被重新审视的透明度计划,传递出的信号是,披露只是一场发布活动,而非一项常设实践。
10. 公开地闭合监督发现的循环,包括那些令人不快的发现。 公布一次审计、一项监察专员裁定,或一次信息自由披露所带来的实际改变;一项没有可见后果的监督发现,会教会所有旁观者,监督只是一种装饰。
11. 在一项申请迫使这个问题浮现之前、而非之后,先用公共利益豁免对一项重大决策进行压力测试。 在做出决策的那一刻,而不仅仅是在一份申请到来、答案显得带有防御性时,明确地追问需要扣留什么、以及为什么。
12. 在你自己内部的语言中,把合法律性审查与合法性检验区分开来,并同时运行这两者。 一位律师确认一项决策合法,并不等于确认它是明智的、公平的,或很可能被接受的;只委托进行第一项审查、却把它当作涵盖了第二项来对待,是一个反复出现、本可避免的失败。

与团队讨论的问题

我们组织的哪些地方,横向问责在纸面上存在、实际上却不存在? 一项审查、审计或监督职能,可能在正式意义上存在,却因资源不足、非正式地向它所审查的机构汇报,或在一个流程中被安排得太晚、以至于它的发现无法改变任何东西。用这个问题列出你的组织所受制的每一种横向问责机制——内部审计、外部审计、一位监察专员、司法审查、一个立法委员会——诚实地对每一项的独立性与时机加以评级,而不是仅仅评判它是否存在。讨论一下,如果有人蓄意试图绕过其中每一项机制,哪些机制能够存活下来,因为这才是独立性的真正检验。也想一想,在这些职能中任职的人,是否相信自己的发现会带来后果,因为一个士气低落的监督职能,早在成为一桩公开丑闻之前,就已经是一个警示信号了。

我们能否指出一项合乎法律、但我们现在会诚实地说它损害了我们合法性的近期决策? 大多数组织都至少携带着一个这样的例子:一项在技术上站得住脚的决策,所付出的公众信任代价,超出了其法律团队的预期。用这个问题直接把它揭示出来,而不是任由它作为一次未经审视的擦肩而过的险情而搁置。讨论一下,一次与法律审查并行运行的合法性检验,原本会标记出什么、而单凭法律审查未能标记出来。这不是一次追究责任的练习;它是一种方式,用来校准你的组织目前如何区分"我们被允许这样做"与"我们应该这样做"。

如果披露、而非扣留,被当作要衡量的默认结果,我们的信息自由职能会有什么表现? 许多组织依据响应时间与拒绝的法律可辩护性来衡量信息自由绩效,却很少依据获得实质性披露的申请比例来衡量。用这个问题查看你实际的拒绝率,以及最常被援引的豁免情形,追问这种模式究竟反映的是审慎的逐案判断,还是一种常设的制度反射。讨论一下,要在操作上、而不仅仅是在言辞上转变这种默认选项,需要做出什么改变,以及这种转变会真正带来什么风险。

如果我们组织内部有一位举报人今天看到了严重问题,他们会使用我们的举报渠道吗,为什么会、或为什么不会? 一项政策的存在,并不能证明人们信任它到愿意使用它的程度。用这个问题坦诚地讨论一下,上一次有人正式或非正式地提出一项严重的内部关切时发生了什么,以及那个人所面对的结果,会鼓励还是劝阻下一个人。想一想,领导层会是从这条渠道、还是从一位记者那里得知一个严重的问题,因为这个比较通常能解决这条渠道是否真正发挥作用的问题。

我们目前在哪些地方让法律签核代替了合法性判断,这种替代是安全的吗? 法律审查回答的问题,比大多数决策者所意识到的要狭窄得多,而把它当作对更广泛合法性问题的定论,是一种常见的、悄然发生的失败。用这个问题识别出一类决策——一个采购门槛、一项数据共享安排、一项执法政策——在这类决策中,"法律已经批准了"实际上已经终止了讨论。讨论一下,一个独立的、明确的合法性问题原本会增添什么内容,以及今后应该由谁负责提出它。

我们哪一种独立监督关系,如果在短期压力下被削弱,我们最会后悔,我们是否正在相应地保护它? 预算压力、重组,以及对速度的渴望,都会造成一种悄悄的、各自看起来都合理的压力,去削减审计、审查与投诉职能的资源或独立性。用这个问题识别出,如果一场危机日后暴露出这个缺口,你的组织最会后悔削弱了哪一种监督关系。讨论一下,在下一个预算或重组周期中,一项可信的保护承诺应该是什么样子,而不仅仅是一份政策声明。

实践中的公共价值案例

一个区域环境机构——虚构的,用于说明一种模式,而非对任何真实机构的报道——花了两年时间建立了一套许可系统,让它能够更快地批准常规工业排放许可,把平均处理时间从十一周缩短到九天。在内部,这项变革被判定为一次毫不含糊的成功:申请人感到满意,积压的申请已经清空,而且每一项批准都经过了一份有据可查的法律核对清单,确认每一份许可都符合现行的法定排放限值。

一位当地记者通过一次信息自由申请,获取了该机构内部的批准记录,发现这套更快的流程去掉了一个步骤:此前要求在签核之前,依据真实的河流流量数据核查排放监测假设的一位独立技术审查员,在新系统之下已被改为可选项以节省时间,而核对清单本身如今成了唯一的关卡。每一份获批的许可,在纸面上仍然是完全合法的——该机构后来重新核查的每一个案例,法定限值都被正确地应用了。但下游的居民早已注意到水质发生了变化,而这一变化早于任何被证实的违规行为,他们把这个报道解读为该机构为了达成速度目标而悄悄削弱了自己审查力度的证据,而那些曾经力挺这套更快流程的地方议员们,发现自己在一次公开会议上无法解释,为什么这项独立核查是被彻底取消、而不仅仅是被加速了。

该机构的第一次回应——重申每一份许可都符合法律——让局面变得更糟,因为它回答的是一个下游居民实际上从未提出过的问题;居民们争论的不是合法性,而是这个机构是否仍然值得信任,能够在一个问题变成一次违规之前就把它捕捉到。该机构的第二次回应效果更好:它把这项独立技术审查恢复为对一类明确界定的高风险许可的强制要求,把最初变革的理由与撤销它的理由一并公布,并邀请其区域层面的监察专员对等机构,以对批准数据的常设访问权限、而不仅仅是调查个别投诉的方式,持续审查这套许可流程。处理时间从九天上升到十九天——依然远快于最初的十一周——但该机构在受影响社区中的支持度,在随后一年里恢复了,这是重复法律合规论证从未实现过的效果。该机构后来在自己的年度报告中引用的教训是,它优化了一项法律与运营指标,却悄悄拆除了它的授权社区所体验为真正信任来源的那个机制。

四种部门视角

地方政府

地方问责是异常直接的:居民可以出席做出一项决策的会议,而地方媒体,在它依然存在的地方,对单一一项议会决策的报道深度,超过任何一家全国性媒体所能做到的。这种直接性提高了信息自由处理工作的利害关系,因为对一位本地居民申请的迟缓或勉强的回应,比一次同等程度的延迟在国家层面更有可能被个人化、可见地报道出来。横向问责在地方层面往往是最薄弱的一条边——一个小型地方政府可能缺乏专门的内部审计能力,转而依赖共享的区域审计安排,或一个国家审计机构对地方政府的管辖权,这使得保护这种外部关系显得格外重要。

国家政府

国家机构通常运作着最完整的一套横向问责机构——一个立法机关、一个最高审计机构、行使司法审查权的法院、一位监察专员,常常还有一个专门的信息自由裁决庭——但这种密集程度,可能造成一种虚假的安全感,以为一种机制的失效总会被其他机制所弥补。国家层面的合法性危机,通常遵循上文那个实例的模式:一项在技术上合法的决策,后来被一个独立机构、或一位利用信息自由法的记者揭示,是通过悄悄收窄对它施加的审查而做出的。国家政府也承担着不成比例的、关于透明度、安全与隐私之间权衡的责任,因为国家安全与执法方面的披露豁免,在这个层面是最宽泛、也最具后果性的,这使得一项可信的、独立的公共利益检验显得格外重要。

社会部门与非营利组织

一个非营利组织很少面对法定的信息自由义务,但它通过自己的慈善监管机构、资助方与董事会,面对着一种相似的结构,并且日益通过捐助方与公众如今无论法律要求如何都期望它做出的自愿透明度承诺来面对这种结构。纵向问责在这里在结构上比在政府中更薄弱,因为资助一个非营利组织的人——捐助方、基金会、拨款机构——常常并不是它所服务的人,因此能够撤回支持的那部分"选民",并不是这个组织存在的目的所要服务的那部分人群。这使得横向机制——一个独立的董事会、外部审计、一条切实发挥作用的举报渠道——显得格外重要,因为最有能力知道某件事出了问题的人,往往拥有最少的正式权力去对此采取行动。

多边与国际

多边机构向成员国负责,而非向单一一个公众负责,这使纵向与横向问责都被拉伸:没有一个选民能够把一个秘书处投票赶下台,而最适合提供横向审查的那些机构——一个内部审计办公室、一位总监察长、一个独立评估单位——本身却是在它们所监督的组织内部获得资金与人员配备的,这正引出了《利马宣言》为国家审计机构所处理的那个独立性问题。这里的合法性,常常首先在代表性的基础上、而非绩效的基础上受到质疑——谁的同意应该被计入,又该按什么比例——因此一个多边机构可能满足了其章程中的每一项正式问责要求,却仍然面临一种根植于章程自身代表性的持续合法性赤字(见主题1.2——战略三角:合法性、价值与能力)。

常见失败模式

合法律性替代。 一个组织把一位律师对一项决策合法的确认,等同于对它具有合法性的确认,一旦第一个问题得到回答,便不再追问第二个问题。这项代价以这个组织体验为不公平的公众愤怒的形式浮现,因为在内部看来这项决策是"干净的"——这个差距,从产出它的那个法律审查流程内部是看不见的。

监督俘获。 一个横向问责机构,逐渐地、常常没有任何单一的腐败行为,变得依赖于它所监督的机构的善意——依赖它提供预算、准入,以及一次审计或审查得以运作所需要的持续配合。这项代价是一种真正独立性的缓慢流失,从外部很难察觉,直到一次重大失误未受挑战地蒙混过关,而这个核查究竟去了哪里的问题变得无法回避。

透明度表演。 一个组织大量公布信息——仪表盘、开放数据门户、定期报告——而那些真正能让局外人评判一项有争议决策的披露内容,却仍未公布、或被大量涂黑。这一旦被发现,信誉受损会格外严重,因为大量却经过精心筛选的披露,事后看来比沉默显得更加刻意。

举报行为被压制。 一条正式的举报渠道存在,但这个组织对过去披露的实际反应——微妙的职业生涯后果、对举报人本人、而非对举报内容进行的旷日持久的调查,或干脆是制度性的沉默——教会了员工,使用它会带来个人风险,却收益不确定。这项代价是隐形的,直到一桩丑闻爆发,而人们发现,一位内部人士其实早已试图通过这条本应为了捕捉它而建立的渠道,提前举报过它。

没有强制执行力的问责制。 一个机构必须向一位监督者解释自己,满足了问责制中答责性的一半,但这位监督者却没有任何有意义的权力,能对一个糟糕的答案施加后果。这产出了问责制的外观——听证会、报告、裁定——却没有它的实质,而这常常正因为流程本身看起来是正确的,而被误认为是发挥作用的监督。

成熟度模型

检查清单

• 列出你的组织向其负责的每一个横向问责机构,并依据真正的独立性、而非正式地位对每一个加以评级。
• 确认你外部审计职能的资金与任命,在制度上独立于它所审计的机构。
• 审查你的信息自由拒绝率与最常被援引的豁免情形,寻找默认保密习惯的迹象。
• 确认你所依赖的每一项披露豁免,都存在一项公共利益检验,并附有向独立机构上诉的路径。
• 检验你的举报渠道在过去一年中是否被使用过,以及使用它的人后来发生了什么。
• 识别一项近期合乎法律、却存在争议的决策,对它进行一次回溯性的合法性检验。
• 就重大决策,在书面上把你的法律审查流程与合法性审查流程区分开来。
• 公布你上一次审计、监察专员裁定,或一次重大信息自由披露带来的实际改变。
• 核查一项决策的审查者,是否没有正式或非正式地向他们所审查的决策者汇报。
• 识别在预算压力之下最先会被削弱的监督关系,并现在就决定这是否可以接受。
• 确认你的透明度汇报按固定的常规节奏运行,而非作为一次性举措。
• 向你的团队提出以上六个讨论问题,并记录诚实的答案与官方答案不同之处。

关键资料来源

• 国际最高审计机关组织(INTOSAI),《利马宣言》(1977年)及其关于最高审计机构独立性的相关材料。
• 经合组织《关于开放政府的理事会建议》(2017年)与经合组织《公共诚信手册》。
• 欧洲信息获取组织与法律与民主中心,《全球知情权评级》。
• 英国国家审计署与美国政府问责局关于独立公共部门审计与《政府审计准则》的材料。
• 吉列尔莫·奥唐奈在民主理论中区分纵向问责与横向问责的著作。
• 马克·H·摩尔的战略三角(见主题1.2——战略三角:合法性、价值与能力),作为本主题据以建立的框架。

参考文献

1. Accountability — Wikipedia — https://en.wikipedia.org/wiki/Accountability
2. Separation of powers — Wikipedia — https://en.wikipedia.org/wiki/Separation_of_powers
3. Freedom of information laws by country — Wikipedia — https://en.wikipedia.org/wiki/Freedom_of_information_laws_by_country
4. Open government — Wikipedia — https://en.wikipedia.org/wiki/Open_government
5. Supreme audit institution — Wikipedia — https://en.wikipedia.org/wiki/Supreme_audit_institution
6. National Audit Office (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Audit_Office_(United_Kingdom)
7. Government Accountability Office — Wikipedia — https://en.wikipedia.org/wiki/Government_Accountability_Office
8. International Organization of Supreme Audit Institutions — Wikipedia — https://en.wikipedia.org/wiki/International_Organization_of_Supreme_Audit_Institutions
9. Legitimacy (political) — Wikipedia — https://en.wikipedia.org/wiki/Legitimacy_(political)
10. Rule of law — Wikipedia — https://en.wikipedia.org/wiki/Rule_of_law
11. Ombudsman — Wikipedia — https://en.wikipedia.org/wiki/Ombudsman
12. Whistleblower — Wikipedia — https://en.wikipedia.org/wiki/Whistleblower
13. Independence of supreme audit institutions and the Lima Declaration — INTOSAI — https://www.intosai.org/focus-areas/independence.html
14. Recommendation of the Council on Open Government (2017) — OECD Legal Instruments — https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0438
15. Public integrity — OECD — https://www.oecd.org/en/topics/public-integrity.html
16. Global Right to Information Rating — Access Info Europe and Centre for Law and Democracy — https://www.rti-rating.org/
17. Yellow Book: Government Auditing Standards — U.S. Government Accountability Office — https://www.gao.gov/yellowbook
18. National Audit Office — UK National Audit Office — https://www.nao.org.uk/