עדכון רגולציה שבועי 1 (פיילוט)

שנה חדשה – ניסיון חדש

אני עושה איתכם פה ניסיון לפורמט חדש: עדכון רגולציה שבועי.
ואני מתחיל בשורה התחתונה – המשוב שלכם חשוב לי כדי לדעת האם להמשיך, ואם כן – איך כדאי לשפר. אז בבקשה תגיבו לפוסט הזה (או שלחו לי הודעה באמצעות ה"צרו קשר") כדי שאדע האם אהבתם ומה כדאי להשאיר או לשנות.

מה תמצאו פה?

העדכון מורכב מ-7 נושאים שקרו בשבוע האחרון בעולם. השתדלתי להיות מגוון מבחינת הנושאים, הסקטורים והמדינות.
זה לא ניתוח עומק וגם לא ריכוז של כל שינויי הרגולציה או הפרסומים מהשבוע האחרון (זו תהיה רשימה הרבה יותר ארוכה). יש פה נושאים נבחרים עם תיאור ולפעמים "ניתוחון" קטן ממני. השתדלתי שיהיה קצר.

מוכנים? רק אל תשכחו לספר לי בסוף מה חשבתם.

1. ניו זילנד: מה קורה כשבודקים את כל החוויה הרגולטורית של עסק?

ניו זילנד פרסמה השבוע תוצאות של מהלך מעניין במיוחד: במקום לבדוק חוק אחד או רישיון אחד, משרד הרגולציה בחן את כל הממשק של עסקי האירוח (hospitality) עם הרגולציה הממשלתית.

מדובר בענף גדול: יותר מ-25 אלף עסקים וכ-193 אלף עובדים. המסעדה או הפאב הטיפוסיים מתמודדים במקביל עם רישוי אלכוהול, בטיחות מזון, דרישות מקומיות, אגרות, ביקורות וחובות דיווח.

הבדיקה זיהתה בעיות מוכרות: עסקים שממתינים חודשים להחלטה, נדרשם למסור שוב ושוב את אותו מידע לגופים שונים, ותהליכים שאינם תמיד מותאמים לרמת הסיכון של העסק.

התוצאה היא לא המלצה כללית "להפחית בירוקרטיה", אלא 24 המלצות קונקרטיות, ועוד עשרה נושאים להמשך עבודה. בין היתר הם מציעים: פישוט תהליכי רישוי אלכוהול, פישוט דרישות בתחום המזון, שיפור שיתוף המידע בין רגולטורים, ושימוש באגרות שקופות ומבוססות סיכון. הממשלה מתכוונת לעקוב אחר הביצוע.

למה זה מעניין מעבר לניו זילנד?
כי בדרך כלל הממשלה מנתחת את הרגולציה מנקודת המבט של עצמה: בוחנים חוק, או תחום עיסוק של יחידה ממשלתית. כאן בחרו סוג של מפוקחים ובדקו את "מסע הלקוח הרגולטורי", שמורכב ממפגשים עם הרבה רגולטורים שונים. אם רוצים להבין באמת את הנטל הרגולטורי, לפעמים צריך לבחון את המכלול שאיתו מתמודד האזרח או העסק.

2. אולי תהליך הערכת השפעות הרגולציה (RIA) לא צריך להסתיים כשהרגולציה נכנסת לתוקף?

אחת הבעיות המובנות בתהליכי גיבוש רגולציה היא שאנחנו מבקשים ממקבלי החלטות לחזות את העתיד: כמה תעלה הרגולציה? כמה תועלת היא תייצר? איך השוק יגיב? מה יהיו ההשפעות הלא צפויות?
לפעמים יש נתונים טובים. לפעמים אין.
סטיבן ווגנר מ- GW Regulatory Studies Center מציע גישה מעניינת בשם Evidence-First Regulation. במקום לנסות לייצר אומדן מדויק עבור מצב עם אי-ודאות משמעותית, הוא מציע להבחין בין שלושה סוגי שאלות: דברים שאפשר להעריך מראש; דברים שאפשר יהיה לדעת רק לאחר היישום; והכרעות שהן במהותן ערכיות ולא אמפיריות.
כאן מגיע החלק המעניין באמת: הוא מציע לבנות כבר בזמן גיבוש הרגולציה מנגנון שמגדיר מה נרצה ללמוד לאחר שהיא תיכנס לתוקף.

למשל: להגדיר לעצמנו אילו הנחות מרכזיות עומדות מאחורי ההחלטה, איזה מידע חסר לנו כרגע, איזה נתון בעתיד יאותת שהרגולציה עובדת (או לא עובדת)? ובאיזו נקודה צריך לפתוח מחדש את ההחלטה? הוא מציע כמה כלים פרקטיים לעשות את זה.

זה בעצם אומר שתהליך גיבוש הרגולציה לא מסתיים במועד קבלת ההחלטה, אלא משהו יותר מתמשך – שמסתיים רק אחרי שהרגולציה נכנסה לתוקף.

3. חובות גילוי: האם באמת צריך להדפיס את המידע על המוצר?

ועוד מהלך מעניין מניו זילנד. הם השלימו לאחרונה בחינה של הרגולציה על סימון מוצרים. המסקנה המרכזית לא מפתיעה: חלק מהכללים נכתבו עבור עולם אחר.

המסחר עבר לאינטרנט, שרשראות האספקה הפכו גלובליות והטכנולוגיה מאפשרת להעביר לצרכן מידע בדרכים שלא היו קיימות כשחלק מהדרישות נכתבו.
בבחינת הרגולציה הם מצאו דרישות מורכבות, שחלק מהן ממש מגדירות באופן טכני את אופן הסימון (איפה מסמנים, כמה, איך וכו'). הממשלה הניו זילנדית החליטה לקדם חבילה ממוקדת של שינויים, ובין היתר לבחון מעבר רוחבי לסימון ומסירת מידע באפיקים דיגיטליים.

אבל התובנה העקרונית שלהם היא החלק המעניין.
נניח שאנחנו רוצים לוודא שלצרכן יהיה מידע אמין, ברור ונגיש אודות מוצר.
זו התוצאה הרגולטורית שאנחנו מחפשים. אבל האם מכאן נובע שהמידע חייב להיות מודפס פיזית על גבי המוצר? לא בהכרח.

ההדפסה היא רק אמצעי אחד – שנבחר בזמנו – כדי להשיג את התוצאה. קוד QR, מאגר דיגיטלי או פתרון אחר עשויים להשיג את התוצאה, לפעמים גם באופן יותר טוב (לספק לצרכנים יותר מידע, ממוקד, רלוונטי וברור).

זו הבחנה קטנה אבל חשובה: לא להתאהב באמצעי. זה חיוני בעיקר כשהרגולציה מנוסחת באופן שממוקד בתהליכים, פעולות חומרים – ולא בתוצאה.

4. אוסטרליה מנסה לעבור מרשימת איסורים לחובה לנהל סיכונים

איך מסדירים תחום שבו הטכנולוגיה משתנה מהר יותר מהרגולציה?
אוסטרליה בוחנת תשובה מעניינת בתחום הבטיחות ברשת.
המודל הקיים מבוסס על תגובה לתוכן מזיק לאחר שהוא כבר מופיע. הרפורמה המוצעת מנסה לשנות את מרכז הכובד של הרגולציה. לחייב ספקי שירותים דיגיטליים לזהות מראש סיכונים צפויים, להעריך אותם, לנקוט אמצעים לצמצומם ולבדוק האם האמצעים אכן עובדים.

כלומר, במקום שהרגולטור יבצע את ניהול הסיכונים ויקבע כלל מפורט לכל סיכון (שיכול לנבוע ממוצר או טכנולוגיה חדשה) הוא מטיל על החברה לבצע ניהול סיכונים בעצמה – באופן מתמשך.

יש כאן גם רכיב חשוב של מידתיות. לפי המודל, עוצמת החובות תהיה מותאמת למספר המשתמשים בשירות ולרמת הסיכון. זו גישה יותר גמישה. שירות של עסק קטן או בעל סיכון נמוך לא אמור להתמודד עם אותן דרישות כמו פלטפורמה ענקית שיוצרת סיכון מערכתי.

זה מעניין הרבה מעבר לרגולציה של האינטרנט.
הרגולטור לא מכתיב את תהליכי העבודה של המפוקחים, וגם לא את התוצאות. הוא קובע עבורם אחריות לבצע את ניהול הסיכונים – להעריך אותם ולהחליט איך הם יצמצמו אותם. המפוקח גם אחראי לזהות כיצד הסיכון עצמו משתנה.

השאלה הבאה היא: איך הרגולטור מוודא שמערכת ניהול הסיכונים אמיתית ואפקטיבית – ולא פשוט עוד תיק מסמכים מסודר לביקורת?

5. סינגפור מאחדת רגולטורים

הממשלה בסינגפור מקדמת חקיקה שתעביר פונקציות רגולטוריות שמפוזרות כיום בין מספר רגולטורים ורשויות בתחום הבריאות – לתוך מבנה רגולטורי אחד.
אחת המטרות היא לייצר למפוקח כתובת אחת לבקשות רישוי ולשאלות רגולטוריות, וגם שגורם אחד בממשלה יראה את כל התמונה.

הרקע למהלך מעניין: טכנולוגיות כמו בריאות דיגיטלית מטשטשות גבולות מסורתיים. פעם היה מאוד ברור מה ההבדל בין בדיקה שרופא מבצע, תרופה כימית או טיפול על-ידי מכשיר רפואי. אבל כיום מוצר יכול להתחיל כטכנולוגיה, להפוך לכלי רפואי ולהשתלב בטיפול קליני – ולעבור בדרך בין כמה מערכות רגולטוריות. זה יוצר הכבדה על המפוקח ומהצד של הממשלה אף אחד לא רואה את כל התמונה.

אבל סינגפור לא בהכרח תבטל את כל החלוקה המקצועית, הם מאחדים חלק מהיחידות בחלק מהתחומים. במקרים אחרים הם רק מייצרים ממשק פניה אחוד.
וזה הלקח המעניין: לא תמיד צריך רגולטור אחד. לפעמים מספיק שתהיה דלת אחת.

6. אוסטרליה מתייחסת לרגולציה כאל מקצוע

מי מלמד רגולטורים להיות רגולטורים?
ברוב הממשלות התשובה קצת מוזרה: או אף אחד או המנהל שקלט את העובד ליחידה הרגולטורית.

מפקחי מזון לומדים מראש הצוות שלהם ביחידת הפיקוח העירונית, רגולטורים פיננסיים לרוב מגיעים עם ידע מהאקדמיה (שלא מלמדת איך להיות רגולטור), אנשי סביבה למדו חקיקה סביבתית.
הרבה מהיכולות שהם צריכים דומות מאוד: ניהול סיכונים, עיצוב רגולציה, אכיפה, עבודה עם נתונים, שימוש בטכנולוגיה, תקשורת עם מפוקחים ומדידת ביצועים. אבל אין מסגרת הכשרה משותפת.

אוסטרליה מנסה למסד תפיסה חדשה באמצעות תכנית ה-Regulator Leadership Cohort. התכנית מבוססת על כישורים ומיומנויות, ויישום שלהם על אתגרים משולחנות העבודה של הרגולטורים: רגולציה על AI, שימוש בטכנולוגיה בעבודת הרגולטור, שיתוף מידע בין רגולטורים, ניתוח נתונים כמותיים, יכולות מקצועיות, אמון, אתגרי אכיפה ועוד.

הם גם בונים Common Regulator Capability Framework – ניסיון להגדיר מהן היכולות המקצועיות המשותפות שרגולטור טוב צריך.
והם מקימים Data and Digital Ready Regulators שעוסקת בחסמים לשיתוף מידע, בתשתיות דיגיטליות ובאפשרות להשתמש במאגרי מידע משותפים.

מאחורי היוזמה מסתתר רעיון מוסדי שלהיות רגולטור זה לא להיות בעל סמכות, זה מקצוע. רגולטורים במשרד להגנת הסביבה, במשרד התחבורה, ברשות החשמל ובמשרד המשפטים – כולם חולקים את אותו מקצוע.
ולכן אפשר וצריך למקצוע הזה שפה מקצועית, מתודולוגיה, מיומנויות ומסלול למידה משותפים – בדיוק כפי שממשלות עושות בתחומים כמו משפט, תקציב ורכש.

7. הפעילות מסוכנת אבל האם כולם באמת צריכים רישיון?

סינגפור מקדמת רגולציה חדשה על תשתיות דיגיטליות קריטיות. אבל היא קובעת רף מעניין לתחולת החובה לקבל רישיון.
החובה תחול על data centers עם critical IT load של יותר מ- 10 MW, ועל ספקי ענן שההכנסה השנתית הממוצעת שלהם בסינגפור היא לפחות 100 מיליון דולר סינגפורי.

הנקודה היא שעצם העובדה שפעילות מסוימת כרוכה בסיכון לא אומרת שמוצדק לדרוש אישור מראש.
הרגולטור מנסה לשרטט רף שבו גודל הפעילות או פוטנציאל הנזק הופכים כשל של גוף מסוים לבעיה מערכתית. מתחת לנקודה הזאת אפשר להשתמש ברגולציה בלי המנגנון הבירוקרטי המכביד של אישורים מראש (אגב לפני חודש פורסם מדריך, שלקחתי חלק בכתיבתו, שמסביר בדיוק את זה ומה האלטרנטיבות והכלים לריכוך משטר של אישורים מראש).

ויש עוד נקודה חשובה: הממשלה התחייבה להכיר ככל האפשר בתקנים ובהסמכות קיימים ולצמצם כפילויות מול דרישות cybersecurity אחרות. יש כאן הבנה שאנחנו לא מתחילים מדף נקי – כבר יש הכשרות, בקרות ודרישות רגולטוריות. אז צריך להתחשב בהם.

---

אז מה דעתכם על הפורמט החדש?
ארוך או קצר מידי?
יותר מידי טכני או תיאורטי?

ספרו לי!