问责、行政伦理与数字政府

📝 一句话定义：现代公共权力必须同时回答谁有权决定、依据什么价值、如何说明理由、错误怎样纠正以及数据和算法如何受约束；数字化提高了行政能力，也把问责、伦理与正当程序问题嵌入技术系统。

问责不只是追究责任

问责（accountability）是一种制度关系：行为者有义务向某个论坛说明并证明其行为，论坛能够提问、判断，并可能施加后果。Mark Bovens 的这一定义区分了问责与一般透明。公开文件只提供可见性；只有当信息进入质询、判断和纠正过程时，才形成完整问责。问责也不同于责任感，后者是一种角色伦理，前者要求可识别的说明关系与制度化后果。

公共行政面对的不是一条责任链，而是多重问责（multiple accountability）。部长向议会和选民承担政治责任，机构向审计与监察机关承担行政责任，决定接受法院的法律审查，专业人员受职业规范约束，服务对象、媒体和社会组织还会提出社会问责要求。同一决定可能在一种标准下合理、在另一种标准下有缺陷：采购程序完全合规，却没有改善服务；临床判断符合专业标准，却未向患者充分解释；数据项目提高了效率，却侵犯隐私或加剧差别影响。

多重问责能够防止任何单一标准垄断公共价值，却也产生冲突与过载。一线人员可能同时面对缩短处理时间、减少错误、照顾复杂个案和严格控制成本等要求。为满足审计而增加记录，可能减少直接服务时间；害怕追责则诱发防御性决策，机构宁可避免可见风险，也不愿尝试可能改善结果的做法。成熟的问责设计应明确优先原则、避免重复报告，并把重点从事后寻找替罪者转向理由质量、系统学习和受损者救济。

行政伦理与裁量

行政伦理（administrative ethics）研究公共职位中的正当行为。法律是最低边界，却无法穷尽利益冲突、公平分配、信息使用、对弱势者的照顾和拒绝不当命令等问题。行政人员既不是只服从命令的工具，也不是可以凭个人良知否定民主授权的独立统治者。其正当角色是在法律、政治授权、专业知识和公共价值之间作出可说明的判断。

行政裁量不可消除。资格规则需要解释事实，执法需要决定优先次序，教师和社会工作者必须回应个别情境，紧急管理还要在不完整信息下行动。严格规则能减少恣意，却可能在边界案件中制造荒谬或残酷结果；完全个别化又会扩大偏见和不一致。伦理行政要求裁量受到理由、记录、复核与平等标准约束，而不是假装裁量不存在。

公共职位还带来几类特别义务。忠诚首先指向宪法秩序、法律与公共目的，而非对上级个人无条件服从；公正要求类似案件得到一致对待，并注意形式中立是否造成系统性不利；诚实要求不操纵证据、不隐瞒重大风险；廉正要求避免私人利益影响决定；关怀则提醒机构看见抽象规则落到具体生活后的负担。这些价值可能冲突，伦理判断的关键不是背诵清单，而是公开冲突、比较受影响权利并说明取舍。

“肮脏之手”问题揭示公共伦理的困难：为了避免更大伤害，行政者是否可以采取通常不可接受的手段？紧急状态下的限制、保密谈判和资源分诊都可能提出类似辩护。结果理由不能自动取消程序与权利。较严格的条件包括真实且迫近的必要性、手段相称、替代方案不足、决定有时限并接受独立复核。以紧急为名建立的例外若进入常规系统，就会把临时权力变成永久行政便利。

吹哨、组织忠诚与异议

吹哨（whistleblowing）指组织成员披露其合理相信涉及违法、严重失当、公共危险或信息掩盖的行为。披露可以先在内部进行，也可以向监管机关、议会、执法机构或媒体进行。吹哨者往往掌握外部监督者无法获得的局部知识，因此是组织早期预警的重要来源；但其行为也会违反保密期待、同事关系和指挥秩序。

行政伦理不应把忠诚理解为保持沉默。对公共使命的较高层次忠诚，可能要求抵抗使机构偏离使命的命令。与此同时，并非所有工作分歧都构成公共利益披露。较可辩护的判断会考虑：问题是否造成重大公共伤害；证据是否达到合理确信；内部渠道是否可用且安全；披露范围是否与风险相称；是否尽量保护无关个人的隐私与正当权益。

正式保护制度通常禁止报复、设置保密举报渠道并允许获得救济，但纸面保护不足以消除职业风险。调岗、排斥、绩效评价和行业声誉损害很难被证明是报复。调查机构若隶属于被举报管理链，内部渠道也可能变成识别异议者的装置。有效制度需要独立接收、时限明确的调查、举证责任适当转移、临时保护、调查结果反馈，以及对恶意泄露与诚实误判作出区分。

吹哨也不能替代常规治理。若安全事故、会计异常或数据偏差只有在个人承担巨大风险后才被发现，说明内部监测和质疑文化已经失败。组织应建立无需英雄式牺牲也能报告坏消息的机制，例如匿名趋势分析、跨层级风险会议、独立伦理官和对管理者压制信息的明确后果。

透明、保密与隐私

透明可以改善问责，也可能产生反效果。程序透明让公众知道规则如何制定，决策透明说明个案依据，结果透明展示资源和绩效，会议透明则开放审议过程。不同形式服务不同目的。海量发布无法检索的数据并不等于可理解性；只公布最终分数而隐藏数据来源和申诉路径，也不能支持质疑。

Christopher Hood 与 David Heald 提醒，透明具有方向差异：政府可以向下观察公民，公众也可以向上观察政府。数字化经常同时扩大两者，但能力并不对称。机构借助关联数据库获得细密视野，普通人却难以知道哪些资料被调用、如何组合以及错误在哪里。若“透明政府”只增加个人对国家的可见性而没有增加国家决定的可审查性，透明会成为监控而非问责。

隐私不是与公共利益对立的个人偏好。它保护人格、自主、结社与免受不当分类的能力，也降低信息脱离原始情境后造成伤害的风险。公共机构处理数据应遵循目的限定、数据最小化、准确性、保存期限、安全和可追溯访问。跨部门共享能减少重复填报并发现服务缺口，却也会发生功能漂移（function creep）：为福利发放收集的数据后来被用于执法、风险评分或资格排除。

透明与隐私的冲突需要细分。公开采购模型、评价方法和机构层面的差别影响，通常不要求暴露个人记录；允许受影响者查阅自身资料，也不等于向社会公开。商业秘密可以保护供应商的真实技术利益，却不能阻止政府解释权利受影响的决定。制度应优先采用分层公开、独立保密审计、安全研究环境和经过验证的匿名化，而不是在“全部公开”与“完全保密”之间二选一。

数字政府与自动决策

数字政府（digital government）不只是把纸质表格搬到网页。它通过数字身份、互操作登记、数据交换、在线支付和平台化流程重组政府与公民的关系。理想状态下，公众不必反复提交政府已有的信息，机构能跨部门协同，行政记录也能支持实时监测。数字服务还可能降低旅行、排队和纸面处理成本。

数字化也会把制度假设固化为代码。表格字段决定哪些生活事实可被表达，数据库匹配规则决定何种差异被视为异常，权限架构决定谁能看到什么，默认选项则影响权利是否被实际取得。软件并非规则的中性容器，而是法律解释、组织惯例和资源取舍的累积结果。旧制度中的偏差可以因自动化而更快、更一致地传播。

自动决策系统（automated decision system）涵盖从简单资格规则到机器学习风险评分的多种技术。关键区别包括：系统是提供建议还是直接决定；模型是否根据历史数据学习；决定是否影响福利、执法、教育或就业等重要权益；人员能否真正推翻输出。仅在界面上加入人工确认，不足以构成有意义的人工监督。工作人员若缺乏时间、信息或组织许可，往往会服从系统建议，形成自动化偏误。

数字排斥同样是权利问题。稳定网络、适配设备、数字技能、语言能力和身份文件并非均匀分布。强制“数字优先”若不保留可用的电话、面对面和代理渠道，会让最依赖公共服务的人承担最高交易成本。可及性评价需要测试真实任务，而不是只统计网站是否上线。

算法正当程序

Danielle Citron 提出的技术性正当程序（technological due process）把传统程序保障延伸到自动化行政。影响重要权益的系统应给予当事人通知、理解决定依据的机会、质疑错误数据和不利推断的渠道，并由有权改变结果的人进行及时复核。正当程序关注的不只是模型是否准确，还包括决定是否具有合法权限、证据能否被反驳以及救济是否实际可达。

算法问责可以沿系统生命周期展开。采购前应进行权利与影响评估，明确问题是否真的需要自动化；开发中记录数据来源、标签定义、性能差异与不可接受用途；部署前进行独立验证和安全测试；运行中监测漂移、申诉、推翻率与群体影响；退出时确保记录可保存、供应商可替换且受影响者仍能获得救济。

可解释性不是单一技术属性。工程师需要调试信息，审计者需要总体性能和日志，个案当事人需要知道哪些事实导致不利决定，法院则需要可检验的法律理由。公开全部源代码也不必然满足这些需求，尤其当真正问题来自错误数据、执行惯例或不公平目标。Kroll 等人主张的重点是程序性可验证：即使模型复杂，也可以通过记录、测试、访问控制和审计证明系统遵守了预定约束。

公平指标之间还可能冲突。不同群体基准率不同时，校准一致与错误率一致通常无法同时满足。技术团队不能把规范选择隐藏在模型参数里。机构应公开优先保护何种利益、为何接受某类错误，以及受损者如何获得救济。算法不能替民主制度决定公平的含义。

参与式治理

参与式治理把受政策影响者纳入问题界定、设计、监督和评价。其形式包括公民陪审团、参与式预算、服务对象委员会、数据伦理小组、共同设计和公民大会。参与可以提供行政数据中缺失的生活经验，发现难以量化的负担，也能提高决定的可接受性。

数字政策尤其需要早期参与。若公众只在系统采购完成后受邀评论，关键选择已经被锁定。参与者应能质疑问题定义、自动化必要性、数据用途、容错标准和停止条件。受影响群体还需要独立技术支持与报酬，否则供应商和机构专家会垄断可被承认为有效的语言。

参与本身不保证正当性。公开会议可能被时间充裕、组织化程度高的群体占据；线上咨询会复制数字排斥；机构也可能只选择支持性意见。较可信的设计结合随机抽样与定向纳入，公开参与意见如何影响决定，记录未采纳理由，并让参与机构拥有持续监督而非一次性咨询角色。参与不能取代法院和代表机构，却能补充其信息基础并暴露规则的实际后果。

案例一：荷兰儿童照护津贴丑闻

荷兰儿童照护津贴事件揭示了自动化、反欺诈压力与僵化法律如何共同造成系统伤害。税务机关在多年间把大量家长列为涉嫌不当领取者，常因文件缺失或较小差错要求返还全部津贴。风险筛选、国籍相关数据处理、黑名单和严格追偿参与了案件选择与处理，许多家庭陷入严重债务、失业或关系破裂。

需要谨慎区分几类事实。荷兰议会调查委员会 2020 年报告《前所未有的不公正》认定，立法、行政与司法环节都未能充分保护基本原则，家长受到不成比例对待；第三届 Rutte 内阁于 2021 年 1 月就政治责任集体辞职。数据保护监管机关另行认定税务机关对双重国籍资料的部分处理违法且具有歧视性。受影响人数、损害范围、补偿资格与具体个案责任则随着复核推进而调整，不宜把任何单一阶段数字当作最终事实。

事件不能简化为“算法犯错”。风险工具扩大了分类和监控能力，但全额追偿规则、反欺诈政治压力、组织内部警告未被采纳、法律救济长期失灵同样关键。把责任全部归给技术，会遮蔽决定目标、采购系统、解释法律和拒绝纠错的人与机构。相反，只把算法视为中性工具，又会忽略其如何以规模、速度和不透明性放大既有偏差。

案例二：爱沙尼亚数字政府

爱沙尼亚常被视为整合型数字政府的代表。其数字身份体系支持认证和电子签名，X-Road 数据交换层让不同机构在保留各自数据库的同时安全交换资料。“一次提供”原则旨在避免公民反复提交政府已经持有的信息。分散架构、访问控制、日志和法律制度共同构成基础，而不是把所有资料集中到一个数据库。

该案例显示，便利性与问责可以相互促进。可追溯的数据交换有助于发现未经授权的访问，数字签名也能保存决定链条。不过，成熟基础设施不等于没有风险。2007 年大规模网络攻击推动了韧性建设；2017 年电子身份证芯片安全漏洞导致受影响证书暂停和更新。电子投票、跨库关联和数字身份依赖仍持续引发安全、秘密投票、隐私与技术排斥争论。

爱沙尼亚经验难以被压缩成一套可直接复制的软件。人口规模、身份登记传统、行政能力、公众信任和法律框架都是支撑条件。其他国家若只采购数据交换平台，却没有可靠基础登记、访问审计、纠错机制和非数字替代渠道，可能得到连接更多但更难纠错的系统。数字政府评价应同时考察任务完成、权利保障、韧性和公众控制，而不是以在线服务比例作为唯一标准。

案例三：英国 Post Office Horizon 事件

英国 Post Office 自 1999 年起使用由 Fujitsu 开发的 Horizon 会计系统。大量邮局分支经营者被系统显示的账目短缺追责，其中一些人遭到 Post Office 自行提起的刑事诉讼，另一些人承担还款、失去合同或破产等后果。分支经营者长期主张短缺来自系统错误、远程操作或支持流程缺陷，而机构把 Horizon 数据视为可靠记录。

2019 年 Bates and Others v Post Office Ltd 集体诉讼中的高等法院判决确认，Horizon 存在能够造成账目差异的缺陷、错误和漏洞，并批评相关合同与支持实践。2021 年上诉法院在 Hamilton and Others 中撤销 39 项定罪，认定相关披露和调查失败使起诉不公，部分案件达到有损司法良知的程度。2024 年议会通过《Post Office（Horizon System）定罪法》，以立法方式撤销符合条件的相关定罪。这些属于法院判决和成文法层面的事实。

法定公共调查则承担更广的任务，包括技术知识何时为机构、供应商和政府所掌握，投诉如何处理，检控与披露制度为何失败，以及补偿安排是否充分。调查中的证人陈述、律师提问和媒体指控不等同于最终事实认定；对具体个人的知情程度、动机与法律责任，应以法院裁判和正式调查结论为准。这样的区分既防止提前定罪，也不能被用来淡化已经由法院确认的系统缺陷与错误定罪。

Horizon 事件说明，自动化证据会改变证明责任。分支经营者难以接触后台日志和其他分支的相似故障，机构与供应商却控制系统知识。表面上的“人工决定”仍可能完全依赖机器输出。有效算法正当程序因此要求披露已知缺陷、保存可审计日志、允许独立专家访问，并禁止把无法解释系统差异的负担转嫁给信息弱势的一方。

核心争论与限度

强问责会改善行政还是制造防御

问责支持者强调公共权力必须可质疑、可纠正，尤其当决定影响基本生活条件时。批评者则指出，多重审计、媒体压力和个人处分会促使机构隐藏错误、回避复杂个案并追求容易证明的合规。两者并非必然冲突。若问责只在失败后惩罚个人，确实会压制学习；若它要求记录理由、主动报告风险、补偿受损者并修复系统，则能提高纠错能力。

透明是否总能产生信任

一种立场认为公开数据、代码和会议可以减少腐败与黑箱。另一种立场指出，未经解释的信息会造成注意力过载，持续公开审议还可能把真实谈判赶入非正式空间。某些保密对隐私、安全和坦率讨论具有正当性。较合理的标准是“有目的的透明”：公开足以支持特定问责关系的信息，并由独立机构核验不能公开的部分，而不是把公开数量等同治理质量。

算法能否比人更公平

算法支持者认为，一致规则和可测试模型可能减少人员的情绪、疲劳与任意差异。批评者则指出，历史数据包含既有选择，目标变量反映制度价值，规模化错误的伤害也更大。公平比较不能把真实算法与理想人类相比，也不能把理想算法与真实行政相比；应在相同任务中比较错误分布、理由质量、可纠正性、成本和权利影响。即使算法平均更准确，缺乏申诉和救济仍可能使其不适合高风险决定。

制度边界

伦理准则、影响评估和参与程序都可能形式化。机构可以完成清单却不改变项目，供应商可以提供解释界面却不开放关键证据，咨询活动也可能没有决定影响。制度有效性取决于独立监督者是否有资源和制裁权，受影响者能否获得法律与技术支持，以及发现问题后是否真的能够暂停系统。技术治理最终仍是权力治理。

💭 延伸思考

• 多重问责标准冲突时，行政人员应如何排序政治授权、法律权利、专业判断与服务对象经验？这种排序应由谁决定？
• 吹哨制度强调个体披露，但长期依赖吹哨者是否意味着组织正常问责已经失效？哪些指标能衡量“安全提出异议”的真实程度？
• 公开算法源代码既不能自动解释个案，也可能带来安全与商业秘密问题。高风险系统最低限度必须公开哪些内容？
• 荷兰津贴事件与 Horizon 事件都涉及信息不对称和机器记录权威。怎样设计证明责任，才能避免受影响者承担无法取得系统证据的负担？
• 参与式治理能把生活经验带入数字系统设计，但参与者未必代表所有受影响者。随机抽样、组织代表与开放参与应如何组合？

📚 参考文献

1. Bovens, Mark. (2007). “Analysing and Assessing Accountability: A Conceptual Framework.” European Law Journal, 13(4), 447–468. 界定行为者、问责论坛、说明义务、判断与后果之间的制度关系。
2. Cooper, Terry L. (2012). The Responsible Administrator: An Approach to Ethics for the Administrative Role (6th ed.). Jossey-Bass. 从角色责任、裁量与伦理决策讨论公共行政者的规范义务。
3. Near, Janet P., & Miceli, Marcia P. (1985). “Organizational Dissidence: The Case of Whistle-Blowing.” Journal of Business Ethics, 4(1), 1–16. 建立吹哨行为、组织回应与有效性研究的经典框架。
4. Hood, Christopher, & Heald, David (Eds.). (2006). Transparency: The Key to Better Governance? Oxford University Press. 分析透明的不同方向、形式、制度收益与反效果。
5. Citron, Danielle Keats. (2008). “Technological Due Process.” Washington University Law Review, 85(6), 1249–1313. 说明自动化行政如何削弱通知、听证和个别审查，并提出技术性正当程序。
6. Kroll, Joshua A., Huey, Joanna, Barocas, Solon, Felten, Edward W., Reidenberg, Joel R., Robinson, David G., & Yu, Harlan. (2017). “Accountable Algorithms.” University of Pennsylvania Law Review, 165(3), 633–705. 提出以程序、测试和验证建立算法可问责性，而非只追求完全公开代码。
7. Parlementaire ondervragingscommissie Kinderopvangtoeslag. (2020). Ongekend Onrecht. Tweede Kamer der Staten-Generaal. 荷兰议会调查儿童照护津贴事件的正式报告，认定多环节基本法治保障失灵。
8. Vassil, Kristjan. (2016). Estonian e-Government Ecosystem: Foundation, Applications, Outcomes. World Development Report 2016 Background Paper. 梳理爱沙尼亚数字身份、X-Road、在线服务及其制度基础。
9. Bates and Others v Post Office Ltd (No. 6: Horizon Issues) [2019] EWHC 3408 (QB). 英国高等法院关于 Horizon 系统缺陷、错误、漏洞及其账目影响的关键判决。