監管與公共風險管理

這為何對公共價值重要

每一位監管者都在一個沒有舒適出口的陷阱之中工作。如果一項本可預防的損害發生了,監管者會因為過於寬鬆而受到指責。如果監管者阻止或延遲了一件後來被證明是安全、有益的事情,它會因為過度謹慎而受到指責,理由是這造成了就業、療法或投資的損失。這兩種失敗都只有在事後才是可見的,這意味著監管者真正的決策從來都不僅僅是"安全還是不安全",而是"我們願意承擔這項風險中的多少,依據誰的授權"。一個從未把自己的容忍度寫下來的組織,會在第一次出問題、一次調查追問是誰判定這項風險可以接受時,以昂貴的代價發現這一點。

風險偏好宣告與風險登記冊存在的意義,正是在事件發生之前、而非之後使這種容忍度變得明確。它們把一系列私人的、分散的判斷——由檢查員、個案工作者與值班經理在時間壓力之下做出——轉化成一個組織能夠被要求負責、也能夠為之辯護的一項明示立場。監管設計在規則本身的層面上,做的是同一件事:選擇一種命令與控制型工具、還是一種響應式的、基於風險的工具,本身就是一項風險決策,而不僅僅是行政風格的問題。本主題把監管與風險管理,當作同一個底層問題的兩種表達方式來處理:一個公共機構如何明確地決定,在追求它同樣在意的一項公共價值時,自己願意容忍多少損害?

一位監管者做出這項判斷的權威,不是自我授予的,這正是為什麼本主題緊挨著賦予它合法性的問責結構(見主題3.4——問責制、透明度與合法性),也正是為什麼它今天所識別出的風險,常常正是另一個團隊明天正在為之規劃的危機(見主題3.12——危機、緊急情況與韌性管理)。

核心概念

監管是使用某種權威支撐的規則,來約束或引導個人、企業或其他組織的行為。在公共部門,它與支出、稅收並列,是一項核心政策工具,但與支出不同的是,它通常把成本施加在被監管方身上、而非公共財政上——這正是它在政治上頗具吸引力的原因,也是它的真實成本容易被低估的原因。

監管機構是在一個明確界定的領域內——例如金融行為、藥品、食品安全,或建築管控——制定、管理並執行規則的機構。它們的設計選擇——相對於部長的獨立程度、資金來源,以及其決策的可上訴程度——決定了它們能否依據證據行事、而不被自己所監督的行業所俘獲。

命令與控制型監管設定統一的、指令性的規則,並對任何違規行為加以處罰,無論違規企業的既往記錄或它實際構成的風險如何。它是透明的、易於審計的,但它把一個持續謹慎的經營者,與一個慣犯同等對待,把合規精力浪費在前者身上,卻對後者威懾不足。

響應式的、基於風險的監管,依據被監管方經評估的風險與合規歷史來區分回應方式:對善意行為者採取輕度接觸,對反覆或蓄意的不合規行為逐步升級制裁。維基百科對這種方式的論述,在監管風險差異化這一標題之下,將其溯源到伊恩·艾爾斯與約翰·佈雷斯韋特的"執法金字塔",該模型從勸導開始,只有在較輕的工具失效時,才逐步升級到吊銷執照或起訴。它對監管者的判斷與資料要求,比一本固定的規則手冊更高,這正是它的主要代價。

監管影響分析(RIA),也稱為監管影響評估,是政府在引入一項新監管之前所產出的檔案,闡明問題、考慮過的選項,以及每一項的預期成本與收益。維基百科的監管影響分析條目追溯了它在許多國家的推廣。它的目的,是讓一項擬議規則中的權衡在採納之前變得可見,而不是為一項已經做出的決策辯護——本主題後文的失敗模式還會回到這一區分。

風險管理是識別、評估並控制那些可能妨礙一個組織實現其目標的事物這門學問。ISO 31000是被引用最廣泛的、用於構建這門學問的國際標準;它把風險管理當作一個迭代的過程——識別、分析、評估、處置、監測——而非一次性的演練,包括英國財政部《橙皮書》在內的若干國家框架,都以它的結構為基礎加以建立。

風險偏好是一個組織在採取行動降低風險之前,為追求自己的目標而準備接受的風險水平。一份風險偏好宣告使這一點變得明確而有區分:一個公共衛生監管機構,對患者安全的風險可能幾乎是零容忍,但對一項不受歡迎、卻有證據支援的決策所帶來的聲譽風險,可能有高得多的容忍度。

一份風險登記冊是列出每一項已識別風險、其可能性與影響、其負責人,以及已經採取或計劃採取的緩解措施的運營工具。使用得當時,它驅動著資源配置與升級決策;使用不當時,它就是一份沒有人在審計之間重新開啟的電子表格。

預防原則主張,當一項行動或政策帶有嚴重或不可逆損害的疑似風險時,缺乏完全的科學確定性,不應被當作推遲保護性措施的理由。在某些表述中,它把舉證責任從"在我們行動之前先證明這是危險的",轉移到了"在我們推進之前先證明這足夠安全"——這是一種真正不同的預設立場,在科學不確定性與潛在不可逆性最為突出的地方——例如一種新的化學品、技術,或病原體——最為重要。

比例原則是指,一項監管回應,不應比應對其所針對的風險所需要的更具限制性。它是對預防原則最主要的實際與法律約束:預防證成了在不確定性之下採取行動,但比例原則仍然管轄著你有權就此做多少,以及做多久。

最佳實踐

1. 在你需要它之前先公佈一份風險偏好宣告。 與你的治理機構、而不僅僅是你的風險團隊一起起草它,這樣當一個艱難的決定到來時,對損害的容忍度是在平靜的條件下設定的,而非在一場正在發生的事件中、在公眾壓力下才被決定的。
2. 讓監管工具與風險狀況相匹配,而不是與制度習慣相匹配。 把命令與控制型規則留給那些統一合規真正不容商榷的風險,例如結構安全,並在被監管人群的合規歷史差異巨大的地方使用風險差異化的方式。
3. 在決策之前、而非為了事後為它辯護而執行監管影響評估。 及早委託它,使它的發現仍然有可能改變這項提案,並把它與這項規則一併公佈,使這項推理能夠被核查。
4. 讓評估的規模與規則的規模相匹配。 一項次要的技術性修訂,不需要與一項重塑整個行業的規則同等的分析分量;一套固定的、不成比例的流程,只會教會員工把它當作一種形式。
5. 讓風險登記冊保持是一份活的、有人負責的檔案。 為每一項條目指定一位具名負責人,設定一個審查日期,並按固定週期——而不僅僅在審計人員問起時——向董事會彙報進展:新出現的風險、已結案的風險、錯過的緩解措施。
6. 每一次援引預防原則時,都應用一次比例檢驗。 明確說明存在什麼損害證據、考慮過哪些限制性較小的選項,以及這項限制何時將被審查,使預防讀起來像是一項經過推理的判斷,而非一次反射性的否決。
7. 為每一項重大監管設定一個日落或審查日期。 若不加審查,規則積累的速度會快於它們被廢除的速度,即便它們本應處理的風險已經消退,合規負擔仍會持續增長。
8. 把標準制定與逐案執法決策區分開來。 讓執法選擇依據自己的記錄接受審查,這樣一位監管者的整體規則與它在某一個有爭議案例上的決定,就不會被當作同一件事來評判或辯護。
9. 有意識地防範監管俘獲。 把高階員工從他們日後將要監管的行業輪換出來、披露外部利益,並使這個監管機構的資金獨立於它對所監督行業徵收的費用或罰款。
10. 讓監管機構向被監管行業之外的一個機構負責。 一條上訴途徑、一個督察機構,或一個能夠質詢監管機構決策的立法委員會,能讓它的風險判斷保持誠實(見主題3.4——問責制、透明度與合法性)。
11. 把風險登記冊的頂端與應急規劃連線起來。 一份風險登記冊上可能性與影響都最高的條目,常常正是危機與業務連續性規劃需要演練的情景,因此這兩項職能應該閱讀同一份檔案,而不是各自維護平行的檔案(見主題3.12——危機、緊急情況與韌性管理)。

與團隊討論的問題

我們知道自己的風險偏好嗎,還是我們在一次又一次事件中才發現它? 如果房間裡沒有人能用一句話描述這個組織願意在其核心職能中承擔多少風險,那麼每一次艱難的決定都是由恰好當值的人從零開始做出的。這會在相似的案例之間產出不一致的決策,並讓這個組織為一項它作為一個整體從未真正同意過的判斷辯護。追問一下,今天是否存在一份書面的風險偏好宣告、誰批准了它,以及它上一次針對一項真實決策接受檢驗是什麼時候,而不是被擱置為一份沒有人讀過的政策檔案。

我們的哪些監管工具是出於習慣、而非刻意設計而採用命令與控制式的? 統一規則比差異化規則更容易撰寫、也更容易辯護,這正是為什麼組織即便在被監管人群的風險狀況差異巨大的地方,也預設採用它們的原因。梳理你主要的監管權力,針對每一項追問,是否曾經考慮過一種基於風險或響應式的替代方案,還是目前的工具僅僅早於這個問題被提出之前就已存在。

我們上一次更新風險登記冊是什麼時候,每一項條目由誰負責? 一份沒有具名負責人、或自上一次審計以來從未變動過的登記冊,並沒有在管理風險——它只是記錄了風險曾經被討論過這一事實。要求團隊在會議中當場開啟這份登記冊,交代排名前五的條目:發生了什麼變化、有什麼緩解措施到期,以及如果沒有人在下一次審查之前採取行動會發生什麼。

我們在哪些地方援引了預防原則,我們今天能把這項決定辯護為符合比例嗎? 預防原則容易被援引、卻難以被撤銷,因為撤銷一項保護性措施,即便證據已經發生變化,看起來也總像是放鬆了警惕。列出目前依據預防理由生效的各項限制,核查每一項是否仍然附有一個明確說明的審查日期與一個明確說明的證據基礎,而不僅僅是制度慣性讓它繼續生效。

誰讓我們的監管職能負責,這項安排真的在發揮作用嗎? 一個只對自己負責的監管機構,隨著時間推移,會漂移向它每天打交道的那個行業的偏好,因為那是唯一持續給它反饋的受眾。討論一下,你的上訴途徑、監督委員會或督察機構,在過去幾年裡是否真正改變過一項決定,還是它只存在於紙面上、從未受到檢驗(見主題3.4——問責制、透明度與合法性)。

我們的風險登記冊與我們的應急預案是否相互對話,還是兩者活在不同的孤島裡? 風險登記冊由風險與合規團隊撰寫;應急預案由韌性團隊撰寫;二者常常彼此都不閱讀對方的檔案,於是一份風險登記冊標記為可能且嚴重的情景,恰恰不是應急規劃團隊上一次演練過的情景。追問一下,你風險登記冊的頂端條目與你上一次演練的情景是否是同一份清單,如果不是,為什麼不是(見主題3.12——危機、緊急情況與韌性管理)。

實踐中的公共價值案例

以下情形完全是虛構的,僅用於說明一種模式,而非對任何真實監管機構內部決策的報道。

一個沿海地區的水產養殖監管機構——姑且稱之為虛構的"河口漁業管理局"——收到了一位魚類養殖經營者的申請,想要引入一種新的近海貽貝-鰭魚共養技術,這種技術已在少數其他國家商業化使用,承諾以更小的海床佔用面積獲得更高的產量。該機構自己的海洋生物學家標記出了一個懸而未決的問題:這項技術會以某種方式改變本地的營養流,而在別處一小部分研究中,這種改變與危害附近野生貝類床的藻華現象有關。這項證據是暗示性的、而非定論性的,而這個地區的野生貝類漁業在經濟與生態上都具有重要意義。

在一種純粹的預防本能之下,該管理局本可以直接拒絕這項許可,直到科學問題得到解決——這可能需要數年時間,會讓這位經營者已經投入的資金付諸東流,也會讓這個地區失去這項技術本可帶來的就業與出口收入。在一種純粹的許可本能之下,它本可以以尚未證明存在損害為由批准這項申請,並接受萬一那些令人擔憂的研究結果最終具有普遍性,野生漁業將面臨的風險。這兩種本能單獨來看,都沒有反映出如果有人直接問起,該管理局那尚未成文的風險偏好實際上會怎麼說。

相反,該管理局的許可負責人堅持在做出決定之前採取三個步驟。第一,執行一次符合比例的監管影響評估,依據現有最佳證據比較批准、拒絕與附條件批准這三個選項,包括呼籲那些已經在使用這項技術的國家提供進一步的監測資料。第二,把這項申請記錄為該管理局風險登記冊上的一個新條目,指定一位負責人、為藻華情景說明可能性與影響等級,並在任何一項批准之中內建一份緩解計劃——一套固定的監測制度、明確規定的暫停觸發門檻,以及一個十二個月之後的審查日期。第三,由於一份附有監測條件與暫停觸發條件的許可是一種持續性的風險、而非一項已經了結的決定,該管理局通知了它的區域韌性夥伴關係,使藻華情景出現在這個地區的環境應急規劃之中,而不僅僅為許可團隊所知。

該管理局發放了一份附條件許可:批准,附帶強制性監測、一個雖低但明確的暫停門檻,以及一項公開承諾,將在一年內審查這些證據。這項決定既不是被未經證實的恐懼所驅動的一概拒絕,也不是無視一個真實訊號的沉默同意。它是一項被明確說明的風險偏好——只要經過監測且可逆,野生漁業承受一定的風險是可以接受的,以換取該地區的經濟效益——一貫地應用,並被寫在下一位許可官員、以及下一次審計都能找到的地方。

四種部門視角

地方政府

地方監管者——環境衛生、貿易標準、建築管控、許可——反覆處理同樣的場所與同樣的經營者,這正是響應式的、基於風險的監管發揮最佳效果的那種條件:一位地方檢查員能夠可信地把一次初犯的文書疏漏,與一種持續存在的公共安全風險區分開來。實際的制約是能力:一支在數以百計的受許可場所之上、還要應付執法個案的小型議會團隊,維護一份真正是活的風險登記冊,需要這份登記冊簡單到真正能夠使用,而不是一個從一個規模大得多的國家機構那裡照搬來的模板。

國家政府

國家級的經濟與安全監管機構——競爭管理局、金融行為監管機構、藥品管理局、職業安全衛生機構——在一個完整的監管影響評估是標準做法、常常也是法律要求的規模上運作,在這裡,預防原則也明確出現在諸如藥品與食品安全等領域的法規之中。國家風險登記冊,彙編了一個國家所面對的可能性與影響都最高的風險,是國家民防規劃的直接輸入(見主題3.12——危機、緊急情況與韌性管理),這使得保持這份登記冊與時俱進的紀律,成了國家韌性的問題,而不僅僅是一項監管內務工作。

社會部門與非營利組織

非營利組織與非政府組織同時處於本主題的兩端:它們是受監管的機構,受制於慈善、保護與籌款規則,而它們自身也是風險管理組織,其董事會應該擁有自己的風險登記冊與風險偏好宣告。保護工作,是預防原則在這個部門最尖銳地體現出來的地方——對一位脆弱人群造成的不可逆損害,即便在關於一項具體指控的真實不確定性之中,也證成了一種極低的風險偏好——而比例原則則反對把為一個大型機構設計的合規負擔,強加於一個由志願者運營、只有少數幾名領薪員工的小型慈善機構。

多邊與國際

國際機構大多制定標準、而非直接執行標準,依賴各國政府來轉化並應用已達成一致的規則——食品安全標準、海事與航空安全規範,以及國際環境協定都是典型例子。預防原則在國際法中有一個明確的立足之地,最明顯地體現在《里約環境與發展宣言》之中,但由於執行依賴於國內的落實,實踐中的風險偏好仍然因成員國而異,即便底層標準是共享的,也會產生真正的碎片化。

常見失敗模式

監管俘獲。 一個依賴被監管行業提供資訊、人員或資金的監管機構,逐漸採納了這個行業對可接受風險的看法,而沒有任何一次單一的決策看起來像是腐敗。這項代價在多年之後才會浮現,那時一項監管機構早已不再當作緊迫問題來對待的風險,在大規模上真正發生了。

殭屍風險登記冊。 一份登記冊被建立、被填充一次,此後只有在審計人員要求時才被更新。它營造出了風險管理的外觀,卻沒有它的實質功能:沒有人真正按週期決定,已列出的風險及其緩解措施是否仍然反映著現實。

預防性癱瘓。 預防原則在沒有比例檢驗、沒有明確說明的證據門檻、沒有審查日期的情況下被援引,把一次經過推理的暫停,變成了一次無限期的封鎖。一項真正有益的創新——一種新的醫療技術、一種更清潔的工業流程、一項更高效的技術——被延遲或放棄,不是因為損害的證據充分,而是因為撤銷一項預防性限制,在政治上總是看起來像是在放鬆警惕。

事後追加的影響評估。 一份監管影響評估在政治決策已經做出之後才被撰寫,目的是構建一條書面留痕、而非為這項選擇提供依據。它的選項分析總是可靠地偏向發起方早已選定的那個選項,這一點可以被察覺,卻很少受到質疑。

沒有日落條款的監管蔓延。 新規則在應對每一個新問題時被新增進來,但舊規則卻很少被廢除,於是即便個別風險已經消退,累積的合規負擔仍在持續增長。若沒有一項日落條款或同等的審查機制,就沒有任何人負責回答一項具體規則是否仍然值得它的成本這個問題。

各自為政的風險管理。 風險登記冊歸屬於風險或合規職能;應急預案歸屬於韌性職能;二者很少被相互協調。一份風險登記冊標記為可能且嚴重的情景,隨後在應急規劃團隊上一次演練的方案中卻是缺席的(見主題3.12——危機、緊急情況與韌性管理)。

不受問責的監管機構。 擁有執法權力、卻沒有一套真正發揮作用的外部核查——一條從未被使用過的上訴途徑、一個從未召開過會議的監督委員會、一個從未真正審查過的立法機關——讓一個監管機構的風險判斷,從未受到做出這些判斷的組織之外任何人的檢驗(見主題3.4——問責制、透明度與合法性)。

成熟度模型

檢查清單

• 與你的治理機構共同起草一份風險偏好宣告,並將其公佈。
• 建立或更新一份風險登記冊,為每一項條目指定具名負責人與審查日期。
• 按工具型別——命令與控制型或基於風險型——對每一項監管權力加以分類,並核查它是否與所針對的風險相匹配。
• 在採納或續訂一項重大規則之前,執行一次與該規則規模相稱的監管影響評估。
• 每一次援引預防原則時,都應用一次比例檢驗,並附有明確說明的證據基礎與審查日期。
• 為每一項新監管設定一個日落或審查日期。
• 確認你的監管機構的問責途徑獨立於它所監管的行業(見主題3.4——問責制、透明度與合法性)。
• 把你風險登記冊的頂端條目,與你的應急與業務連續性預案相連線(見主題3.12——危機、緊急情況與韌性管理)。
• 向董事會、而不僅僅向風險或合規團隊彙報風險偏好的突破情況。
• 按固定間隔、而不僅僅在一次事件之後審查整份風險登記冊。
• 檢驗員工是否能夠用一句話說出這個組織的風險偏好;如果不能,就把這份宣告在實踐中當作未曾公佈來對待。

關鍵資料來源

伊恩·艾爾斯與約翰·佈雷斯韋特的《響應式監管:超越放松管制的爭論》(1992年),至今仍是本主題核心概念中所概述的執法金字塔與風險差異化執法的奠基性論述。卡斯·桑斯坦的《恐懼的法則:超越預防原則》(2005年),是關於預防原則侷限性——尤其是它容易被不對稱援引的傾向——的標準批判性論述。ISO 31000是風險管理結構的參考國際標準;英國財政部的《橙皮書》專門為政府機構改編了一套類似的結構。歐洲環境署的《來自早期警告的遲來教訓》報告,彙集了關於忽視與濫用預防原則二者代價的案例研究。英國的更好監管框架及其《2006年立法與監管改革法》,在本主題中被用作一個可核查的例項,展示了比例原則與影響評估義務如何透過法規與指導被施加於監管機構;許多其他轄區也存在同等的框架。

參考文獻

1. Regulation — Wikipedia — https://en.wikipedia.org/wiki/Regulation
2. Regulatory agency — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_agency
3. Regulatory capture — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_capture
4. Regulatory impact analysis — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_impact_analysis
5. Regulatory risk differentiation — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_risk_differentiation
6. Risk management — Wikipedia — https://en.wikipedia.org/wiki/Risk_management
7. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
8. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
9. ISO 31000 — Wikipedia — https://en.wikipedia.org/wiki/ISO_31000
10. Precautionary principle — Wikipedia — https://en.wikipedia.org/wiki/Precautionary_principle
11. Proportionality (law) — Wikipedia — https://en.wikipedia.org/wiki/Proportionality_(law)
12. Sunset provision — Wikipedia — https://en.wikipedia.org/wiki/Sunset_provision
13. Better Regulation Framework — UK Government — https://www.gov.uk/government/publications/better-regulation-framework
14. Legislative and Regulatory Reform Act 2006 — UK Public General Acts, legislation.gov.uk — https://www.legislation.gov.uk/ukpga/2006/51/contents
15. Orange Book: Management of Risk – Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
16. Late Lessons from Early Warnings: Science, Precaution, Innovation (EEA Report 1/2013) — European Environment Agency — https://www.eea.europa.eu/publications/late-lessons-2