Солнечное утро, Уважаемые коллеги!

В предыдущей статье нами был рассмотрен качественный анализ рисков.

Сегодня мы поговорим про процессы количественного анализа риска.

Это тема станет актуальной для тех коллег, которые уже довольно основательно ориентируются в процессах качественного анализа рисков. Количественный анализ это следующая, логичновытекающая, из качественного анализа рисков, ступень домена риск-менеджмента, на основе которой становится возможным дальнейшее прогрессивное развитие «рисковых процессов».

Сегодняшней статьей мы ставим перед собой цель – рассмотреть деятельность количественного анализа рисков, изучить современные инструменты, применяемые для получения точных оценок рисков, на основе которых станет возможным перейти от экспертных оценок к математическому инструментарию, позволяющему автоматизировать процессы анализа рисков. Так же в сегодняшнем модуле будут затронуты вопросы «окружения» рисковых процедур, организации и управления риск-менеджмента.

Введение

Ранее мы предложили инструментарий качественного анализа рисков. Рассмотренный тип анализа рисков, выполняемый в определенной деятельности, сам по себе не может претендовать на самодостаточность применения, с целью достижения высоких результатов, объективность которых может не подвергаться сомнению, а быть обоснованной технологической и программной «базой». Стоит оговориться и уточнить, что здесь, под «базой», мы понимаем массив достоверных и проверенных данных конкретного предприятия, на основе которого можно принимать эффективные управленческие решения, связанные с выбором краткосрочных тактик и долгосрочных стратегий по работе с рисками.

Для создания комплексных и самостоятельных методик, качеству результатов которых можно доверять необходимыми условиями являются:

• Наличие «базы» рисков, информация в которой отражает реалии происходивших ранее рисковых событий;
• Доступность ресурсов необходимого качества, таких как:
  • Квалифицированный персонал, обладающий достаточным набором знаний;
  • Необходимое специальное программное обеспечение;
  • И т.д.
• Доступ к библиотеке/ архиву документации, созданной по результатам выполненных активностей (проектная документация, стандарты и регламенты организации и т.д.);
• Заинтересованность руководства в результатах выполняемых процессов/проектов желание участвовать в создании системы по работе с рисками лично;
• И т.д.

При использовании количественного анализ рисков становится возможным достаточно точное планирование процессов управления рисками. Это выражается в стандартизированной оценке сроков исполнения проектов, в рамках выделенных бюджетов.

Таким образом, мы сформулировали основное «управленческое»/менеджерское различие количественного и качественных видов рисков, выраженное в прогнозировании и более достоверном выделении необходимых для риск-менеджмента ресурсов.

При применении количественных показателей деятельности, работа и своевременная актуализация которых может способствовать повышению качества продуктов и/или услуг, производимых организацией, способствовать меньшему использованию экспертных оценок и привлечению достоверных методик и техник, построенных на точных алгоритмах.

После того, как выполнен качественный анализ рисков, его результатом является корректная и полная идентификация, первичная оценка рисков, на основе которой строится количественный анализ. Для руководства деятельности важно понимать и правильно представлять, что количественный анализ рисков во многом схож с процессом качественного анализа, с той разницей, что результатом количественного анализа является точная количественная метрика или иной математический показатель, который корректен для сравнения с аналогичными оценками.

При этом не стоит забывать о том, что в процессе каждой определенной деятельности достигается оптимальный результат, подкрепленный заданным уровнем качества, обоснованным ресурсами, выделенными на конкретную деятельность. В теории, результатом количественного анализа рисков является 100% обоснованные показатели, но на практике дело обстоит немного по-другому. Подобные цифры являются недостижимым, слишком дорогим для применения эталоном. Поэтому важно понимание того, что в процессе риск-менеджемента должен быть достигнут оптимум, итоги которого будут удовлетворительно устраивать всех стэйкхолдеров, способных уделить достаточное внимание всем «рисковым» частям проекта, с приоритетом к наиболее критичным из них.

Цель количественного анализа рисков заключается в том, чтобы понять – Что (деньги, время, персонал) и сколько стоит риск для данной активности?

При количественном анализе рисков на первый план выходит его основные атрибуты – вероятность и случайно/псевдослучайные переменные, которые в различных комбинациях составляют его основное содержание.

Именно вероятностям, переменным, методам и техниками по их обработке, представлению, визуализации, правильному и оптимальному использованию для конкретных ситуаций в заданных условиях будет посвящена сегодняшняя статья, которая должна подвести черту под методологическим «базисом» предмета анализа рисков.

Организация процедур количественного анализа рисков

Как и любой вид активности области информационных технологий, о котором мы говорили ранее, количественный анализ, при условии того, что его результаты должны удовлетворять ожиданиям руководства, нуждается в организации и компетентном управлении процессами, из которых он состоит.

Дополнительно надо учитывать, что для эффективной организации процессов риск-менеджмента, в части количественного анализа рисков должны быть учтены следующие факторы:

• Эффективная система коммуникаций компании;
  • Эффективная система коммуникаций необходима для того, чтобы процедуры сбора, анализа данных, предоставления обратной связи, информирования и т.д., которые должны являться частью рабочих процессов рассматриваемой компании, внедренные на разных стадиях и этапах, могли быть отлаженным структурным элементом, работающим без сбоев и выполняющим свои процедуры с заданной степенью качества.
• Дополнительные, по сравнению с качественным анализом рисков, ресурсы;
  • Мы ранее говорили о том, что количественный анализ стоит рассматривать не как замена качественному анализу, а как его эволюционное продолжение, сулящее большие «плоды». Данная постановка задачи делает очевидным тот факт, что для количественного анализа рисков потребуются дополнительные ресурсные затраты. Это аллоцирование связанно с информационной методологической, инструментальной составляющей данного процесса, которые не всегда можно будет однозначно представить, как ресурсы, израсходованные на увеличение стоимость конечного продукта, но фундаментально обосновать необходимость их использования.
• Постепенность внедрения процедур количественного анализа;
  • Процесс внедрения количественного анализа рисков, как и всего риск-менеджмента, демонстрирует то, насколько конкретная организация (прежде всего её топ-менеджмент) готова/созрела к тому, чтобы выйти на новый виток развития своего бизнеса за счет повышения своего уровня «сознательности» и отношения к бизнесу. Но необходимо отметить, что «полно-разовое» внедрение процессов количественного анализа рисков может болезненно отразиться на проекте/процессе в целом. Дело в том, что как показано выше, внедрение риск-менеджмента очень требовательно к системе коммуникаций компании и ресурсам, отводимым на активность риск-менеджмента. «Не доработка» одной, а что еще хуже двух составляющих сразу может привести к тому, что вместо стройной архитектуры, получатся сляпанные развалины. Чтобы уменьшить неопределенность и свести к минимуму возможные риски предлагается итеративно, шаг за шагом, планировать и внедрять количественный анализ рисков, начиная с более фундаментальных процессов и процедур конкретной организации.
• Требователен к объективности выдаваемых оценок;
  • Количественный анализ рисков, как каждый вид аналитических активностей нуждается в правильно выбранном подходе и компетентном, непредвзятом квалифицированном персонале. В обязанности риск-менеджеров должно входить принятие взвешены и максимально-объективных оценок и решений, руководствуясь стандартными и хорошо себя зарекомендовавшими методиками. В противном случае количественный анализ рисков может выродиться из точного инструмента в субъективное, незрелое «советование», полученное из непродуманной, поверхностной информации.
• Взаимосвязан со всем, сделанным ранее и является показателем эффективности проделанной работы;
  • Если подытожить сказанное, то становится понятно, что количественный анализ рисков представляет собой активность, суть которой заключается в использовании результатов предыдущих деятельностей (идентификации, оценки, качественного анализа рисков) и их трансформировании в базисную систему знаний. На основе такой системы уже возможно принимать эффективные управленческие решения, касающиеся процессов анализа рисков в ИТ. Поэтому согласованность ранее полученных данных, их взаимодополняемость, логичность, прозрачность, непротиворечивость, доступность к пониманию важна для дальнейших процессов, которые будут использовать их для своих внутренних механизмов. Если информация будет не согласована, то каждый этап по работе с ней будет представлять не развитие существующей деятельности, а малоэффективную активность по обработке разрозненных данных, что не будет способствовать достижению целей домена риск-менеджмента.

В предыдущий раз мы акцентировали внимание коллег на том факте, что в процессы по анализу рисков желательно вовлечение компетентных представителей всех стэйкхолдеров, но, учитывая то, что иногда это становится невыполнимой задачей, одной из основных задач риск-менеджера становится гармоничное балансирование между требованиями к домену риск-менеджмента и необходимой глубиной количественного анализа рисков. От приоритетов конкретных задач и отведенных на них ресурсов будет зависеть качество и достоверность результатов количественного анализа рисков.

Параметры рисков

Текущее состояние процессов, в условиях динамически развивающегося мира высоких технологий и бизнеса определяет, что любой процесс имеет в своей основе неопределенность. Причем чем более инновационный и динамический бизнес/процессы (процент которых к общей доле процентов с каждым годом становится только выше), тем эта неопределенность выше. От величины и степени влияния неопределенности на составляющие рассматриваемого процесса зависит конкретный, ассоциированный с выбранной неопределенностью риск. Значимость риска определяется «силой» и актуальностью переменных, из которого он «складывается».

Таким образом, говоря о количественном анализе рисков, мы понимаем, что нам понадобится определенный инструментарий, основанный на общих принципах теории вероятности (устанавливающей связь между случайными параметрами и неопределенностью), для корректной и качественной оценки величины и влияния возможных ущербов на активность, в целом, и ее составных субпроцессов, в частности.

Так же надо учесть, что многие, как казалось на первый взгляд, не связанные между собой неопределенности имеют воспроизводимые корреляции/связи. Это может сказаться на масштабе и «лавинности» рисков. В связи с этим, главной задачей количественного анализа рисков является создание основы для принятия обоснованных управленческих решений, подкрепленных информацией о состоянии рисков и неопределенностей, ранжированных по количественному признаку.

Для решения этой задачи перед риск-менеджером возникнет вопрос понятного представления информации о рисках в виде практичной и «читабельной» формы. Такие шаблоны/формы должны быть понятны принимающим решение специалистам конкретных бизнес доменов и их руководителям.

Поставленная задача решается реализацией одночисленных параметров, понятных конкретным лицам, не имеющим специального образования в области анализа рисков, легкосравнимых друг с другом, доступных для понимания, разбирающимся в предметной области, для которой выполняется количественный анализ.

Допустим, что есть предпосылки к тому, что приоритетный процесс/проект и его результаты находятся под влиянием возможного риска, и его стоимость/ценность увеличивается, пропорционально увеличению риска. Самой очевидной для применения количественной метрикой/характеристикой будет являться средняя величина потенциальных потерь (СВПП) рассматриваемого вида активности.

Сделаем небольшое отступление и констатируем, что данная мера является наиболее распространённой, а иногда и единственной для немногочисленных организаций выполняющих количественный анализ рисков.

Оценка по СВПП представляет рассматриваемую область только с одной стороны. Когда же речь идет о количественном анализе рисков, рассмотрение только одной характеристики не гарантирует качественных комплексных результатов и объективной оценки состояния «рисковых объектов» с точки зрения количественных составляющих.

СВПП отражает потенциальные или явные затраты, которые придется понести спонсорам деятельности/организациям, но при этом она не содержит информацию о величине этих потерь. Отсутствие конкретной информации о величине возможных ущербов противоречит задачам количественного анализа, которые должны предоставлять её с заданным уровнем достоверности. Эти недостатки, применения данной метрики, решаются использованием интегрального распределения вероятностей конкретной величины (распределение вероятности будет рассмотрено далее). Из этого представления можно сделать вывод, с учетом более информативных показателей, к примеру, о доверительной границе риска (ДГР).

Подобная величина, производная от ДГР, получила широкое распространение в современных методах и методиках, так же применяется в большинстве мировых стандартах, связанных с рисковым доменом и называется - VaR.

VaR – это концептуальная характеристика рисковой стоимости, которая играет все более важную роль, за счет своей доступности к пониманию и широкого распространения. Данная характеристика наиболее полно и достоверно отображает количественную составляющую рисков на сегодняшней степени развития ИТ.

Говоря о параметрах и зависимостях рисков, необходимо учитывать, что сам по себе конкретный риск не существует в изоляции от других рисков. Исключить вероятность связи различных рисков между собой без точечного и полного анализа конкретного процесса, выполнение которого необходимо проводить на регулярной основе, учитывая динамизм развития и «взаимовлияния» различных процессов, с другими причинами и факторами невозможно. Поэтому, допуская связь различнофакторных рисков между собой, появляется проблема «кумуляции» различных факторов и проблема оценки подобной лавинности и потенциального суммарного ущерба.

Такой метод, позволяющий обрабатывать подобный проблемы и моделировать рисковые ситуации, был рассмотрен нами ранее, с точки зрения его поверхностного применения для первичного анализа рисков. Это метод Монте-Карло.

При работе с ним, используя его в процессе количественного анализа рисков, становится возможным определить вероятность суммарного риска для отдельных, случайных факторов. Это становится возможным с условием уже имеющегося массива данных по рисковым факторам, учитывать и обрабатывать которые необходимо для данного конкретного процесса. Величина и качество используемого массива будет определять качество результатов полученных в ходе использовании метода Монте-Карло.

Таким образом, процессная составляющая сбора данных, которые должны быть учтены при количественном анализе рисков становится определяющим фактором достижения показателей деятельности риск-менеджмента, в целом и качества кривой распределения вероятности суммарного риска, в частности.

Первым неоспоримым преимуществом метода Монте-Карло является то, что для него, диаграмма распределения вероятностей строится не на основе прогнозных характеристик, а с учетом заданной систематической/псевдосистематической последовательности изменений повторяющихся факторов.

Вторым преимуществом этой техники является то, что довольно легко можно учесть возможные корреляции рисковых факторов и планировать на их основе активности по работе с рисками, предсказывая необходимые для этого ресурсы.

Главный же недостаток этой методологии состоит в том, что для работы с ней требуется большое число шагов обработки данных и достаточно достоверная информация, иначе точная оценка VaR не будет достигнута.

Таким образом, на примере метода Монте-Карло, мы рассмотрели основные параметры рисков, которые необходимы для выполнения количественного анализа. Безусловно, предложенные тактики и данные не являются догмой, но представляют собой классические атрибуты, учет которых составляет в своей основе вариативные процессы анализа рисков.

Подводя итоги части, посвященной параметрам рисков, надо упомянуть, что для параметров имеет место свойство эмерджентности, упоминаемое нами ранее, при рассмотрении процессов идентификации рисковых факторов.

Каждый риск, сам по себе, представляет потенциальный ущерб, который необходимо учитывать и при необходимости уметь обрабатывать, но, при условии взаимодействия нескольких рисков одновременно, существует опасность усиления суммарного ущерба за счет увеличения их влияния, под воздействием друг друга.

Эти эффекты так же необходимо не оставлять без внимания при планировании и выполнении активностей риск-менеджмента.

Распределение вероятностей рисков и их оценка

Ранее в этой статье мы показали, что случайные переменные могут с определенной точностью характеризовать кривую распределения вероятностей, которая играет роль центрального элемента, при количественном анализе рисков.

Распределение вероятностей появления рисков содержит информацию о возможности появления каждого значения, которое может иметь переменная, отражающая потенциальное или явное появление риска/ов. Если переменные, составляющие распределение вероятности, имеют непрерывное значение, тогда становится возможным построение непрерывной функции, описывающей их развитие. Подобную функцию принято называть плотность вероятности.

Благодаря плотности вероятности становится возможным осуществлять активности контроля над суммарной вероятностью риска, манипулирую различными факторами, суммарная характеристика которых известна в каждый определенный момент времени. Использование плотности вероятности позволяет организовать процессы контроля над рисковыми объектами

Имея достоверные, полные и, что наиболее важно, количественно-характеризованные данные по жизненному циклу/ам рисков, становится возможным прогнозирование ресурсных затрат и последующих выгод, связанных с проявлением рисков в процессах, подконтрольных риск-менеджменту за счет их достоверного описания путем составления диаграммы распределения вероятностей.

Количественное описание и анализ рисков способствует становлению высококачественных процедур оценки в процессах риск-менеджмента, на данной конкретной итерации и на более ранних итерациях (идентификация и т.д.), что способствует повышению организационной культуры рассматриваемой организации.

Но понимая реалии рынка компаний информационных технологий можно утверждать, что распределение вероятности найдет свое место только в достаточно крупных структурах, поэтому мы дополнительно рассмотрим ряд методов, более доступных для использования при большем дефиците бюджета, отводимого на домен по работе с рисками.

Матрица «Вероятность и Последствия»

Этот метод мы упоминали ранее, когда речь шла о качественном анализе рисков.

Строго говоря, этот метод более относится к группе количественных методов, так как ряд его характеристик, таких как ранг риска и т.д., представляют конкретный риск с точки зрения количественного описания и дают возможность возможности аргументировано выделить более приоритетные задачи. Но за счет того, что этот тип анализа рисков является относительно простым в исполнении и доступным к пониманию широкой аудитории специалистов, мы отнесли его к группе качественных анализов рисков. В дополнение, к уже приведенной нами ранее информации, стоит сказать, что МВП (матрица «Вероятность и последствия») может представлять собой более точный инструмент (в сравнении с прошлой итерацией его обсуждения). В качестве управляющих параметров при её построении будем использовать не трехоценочная шкалу, а более точные числовые атрибуты, обоснованность которых продиктована конкретными процедурами оценки и анализа рисков.

Таким образом, можно представить матрицу не только в качестве инструмента, отражающего «крайние» ситуации рискового развития, а более детальное их развитие и миграцию по этапам и стадиям процесса их жизненного цикла.

Другие методы

Метод сценариев.

Эта техника позволяет получать достаточно наглядную картину для различных вариантов от реализации рисков, а также предоставляет информацию о чувствительности рискового окружения и возможных отклонениях, в случае выполнения анализа рисков за счет манипуляции рисковыми переменными специалистом, выполняющим данный метод.

Преимущество метода состоит в том, что с помощью него можно получать «довольно» комплексную картину, содержащую максимально различные степени реализации рисков и предусмотреть возможные «граничные» отклонения. Но недостатком является то, что вряд ли можно будет выявить что-то «новое» (внезапно возникшее), так как метода не предусматривает выявление неизвестных, не заложенные в его сценарное моделирование параметров.

В случае применение программных электронных средств, позволяющих автоматизировать процессы расчета результатов (Excel и т.п.), становится возможным значительно повысить эффективность подобного анализа путем практически неограниченного увеличения числа сценариев и введения дополнительных оценочных переменных. Главная рекомендация, которую можно дать, относительно этой методики – она не самодостаточная и использовать её можно только как часть комплексной системы по работе с рисками, с учетом того, что риск-менеджер, должен неплохо ориентироваться методически в домене, для которого выполняется анализ ИТ рисков.

Имитационное моделирование.

Данной метод хорошо себя зарекомендовал в инвестиционной сфере и продемонстрировал широкие возможности своего использования в условиях рисковых составляющих. Неоспоримым преимуществом, в общем, так же как и недостатком, является то, что он эффективен в использовании только в рамках конкретной модели или же в сочетании с другими методами.

Имитационное моделирование позволяет максимально точно, достоверно и детально описать рисковый процесс. Использование имитационного моделирования, совместно с качественными методами анализа рисков, которые позволят целостно, концептуально и полно описать аналитическую модель/и, в которой возможно выявление новых рисков позволят говорить о создании системы по работе с рисками, необходимость которой мы изучим немного позднее.

Подводя итоги описания методов сценариев и имитационного моделирования нужно констатировать, что практическое применение этих методов свидетельствует о том, что с их помощью, удается достичь более точного результата, по сравнению с другими техниками, но за счет выполнения большого количества шагов по перебору возможных случайных рисковых параметров.

Центрально предельная теорема

Если же для целей нашей организации удовлетворительной оценки распределения вероятностей агрегированных рисков достаточно, то имеет смысл отказать от трудоемких методов рассмотренных ранее и воспользоваться количественно-аналитическими методами. Один из таких методов – метод, основанный на центрально предельной теореме. Суть теоремы состоит в том, что при достаточно большом числе отдельных случайных рисков, кривую, описывающее ее состояние можно аппроксимировать нормальным распределением.

Преимущество нормального распределения состоит в том, что оно полностью характеризуется и описывается своим средним значением и своей плотностью, которое можно вычислить и определить, зная конечные, пограничные значения возможности проявления/реализации рисковых величин. Но, рассматривая и применяя нормальное распределение необходимо помнить о том, что его стабильность и возможность применения зависит от определенного временного интервала, для которого известны его «пограничные» характеристики рисков.

Выводы

Что бы получить качественные результаты количественной оценки рисков необходимо, чтобы данные, на основе которых будет выполняться процессы анализа, соответствовали по своим характеристикам целям анализа рисков.

Сбор данных осуществляется на этапах идентификации угроз и качественной оценки. Приемлемым результатом выполнения этих активностей является достоверный и адекватный массив статистических данных который в дальнейшем может быть применим для количественного анализа.

В центре количественного анализа может находиться метод, более чувствительный к качеству данных (метод Монте-Карло) или менее чувствительный (метод Центрально предельной теоремы), но погрешность результатов которого, будет выше.

При решении использовать количественный анализ рисков, в процессах конкретной организации, необходимо взвешенно подходить к выбору методов, которые будут использоваться и чья эффективность будет обоснована, за счет параметров окружения, в котором предполагается его использование.

Итоги

Итогом сегодняшнего обсуждения является то, что мы пришли к выводам о необходимости использования количественного анализа рисков только при условии «готовности» конкретной организации к структурным и процессным изменениям моделей их активности. Величина и степень изменения будет зависеть от тех результатов, которые должны быть получены.

Для «тех», жребий которых брошен, существуют множество различных системных, математических, аналитических методологий и методов анализа риска, ранжированных по точности получаемых результатов и ресурсным затратам на их использование.

Одним из основных недостатков большинства методов является то, что они содержат в себе много предположений и ограничений. Эти «погрешности» необходимы для создания диаграммы распределения вероятности и/или построения модельного сценария, и т.д., элементов, которые представляют собой центральную и базисную часть выбранной техники.

Конкретный метод позволяет создать модель деятельности с определенным уровнем детализации и оценки проявления рисков, допускающий обобщенное описание процессов, часть составляющих которого, идеализирована или упрощенна, что так же необходимо учитывать при дальнейшим использовании результатов процессов анализа рисков.

Множество различных рисков ситуаций делает возможным применение любого из описанных методов, в зависимости от причин возникновения конкретного риска и достоверных данных, характеризующих и количественно описывающих его.

В заключении, отметим необходимо отметить, что все методы количественного анализа рисков являются достаточно сложным инструментом. Они требует привлечения квалифицированных специалистов со стороны предметной области, для которой используется анализ рисков и выстроенной системы по сбору информации для количественного анализа рисков.

Количественный анализ это активность, использование которой будет способствовать достижению точных, достоверных и эффективных бизнес процессов. Это станет возможным по причине полноценной оценки критериев функционирования рассматриваемой системы, в условиях оцененных рисков.

Достаточно большое внимание стоит уделять процессам верификации и валидации созданных рисковых моделей.

Любая модель создается для параметров конкретного временного интервала, которые могут сильно влиять/изменять друг друга с течением времени. Оперативность создания модели и её соответствие реалиям одни из ключевых факторов для получения точных рисковых параметров.

Немного отвлекшись, и вспомнив ранее обсуждаемый материал, стоит сказать о том, что большинство количественных методов анализа рисков являются специализированными и направлены на решение конкретных проблем. Их применение, для решения более универсальных задач, таких как выявление новых рисков, не описанных ранее, является не приемлемым.

В серии наших статей мы подводим коллег к осознанию того, что тема создания и использования системы (именно системы) по работе с рисками будет определять тот уровень результирующей информации и размер возможной прибыли, который потенциально будет достигнут риск-менеджментом.

Если организация ожидает от данного процесса высоких результатов и предполагает, что данный домен со временем должен стать одним из основных активностей предприятия, на результатах которого представляется возможным планировать стратегию и тактику его финансового развития, то отдельными частями риск-менеджмента не обойтись и единственным возможным вариантом представляется создание системы процессов анализа рисков. Каждая по отдельности активность анализа рисков способна «закрыть» временные, «случайные» проблемы, но не предложить инструмент их системной минимизации и устранения.

Таким образом, в следующий раз мы рассмотрим комплексные вопрос системы анализа рисков, подытожим и систематизируем уже изложенную информацию и предложим новые и инновационные методы.

Всего доброго и до следующей встречи!

Авторы статьи

Иван Никитин

Михаил Цулая