Матрица рисков - Risk matrix

А матрица рисков это матрица который используется во время оценка рисков определить уровень риска с учетом категории вероятность или вероятность по сравнению с категорией серьезности последствий. Это простой механизм для повышения видимости рисков и помощи в принятии управленческих решений.[1]

Риск это отсутствие уверенности в исходе того или иного выбора. Статистически уровень риск убытков может быть рассчитан как произведение вероятности причинения вреда (например, несчастного случая), умноженной на серьезность этого вреда (т. е. средний размер ущерба или, более консервативно, максимально вероятный размер ущерба). На практике матрица рисков является полезным подходом, когда вероятность или степень вреда не могут быть оценены с точностью и точностью.

Хотя стандартные матрицы рисков существуют в определенных контекстах (например, Министерство обороны США, НАСА, ISO ),[2][3][4] индивидуальные проекты и организации возможно, потребуется создать свою собственную матрицу рисков или адаптировать существующую. Например, степень тяжести вреда можно разделить на следующие категории:

  • Катастрофический - множественный летальные исходы
  • Критическое - одна смерть или несколько тяжелых травмы
  • Маргинальный - одна тяжелая травма или несколько легких травм
  • Незначительная - одна легкая травма

В вероятность причиненного вреда можно разделить на «достоверный», «вероятный», «возможный», «маловероятный» и «редкий». Однако следует учитывать, что очень низкие вероятности могут быть не очень надежными.

Итоговая матрица рисков может быть:

НезначительныйМаргинальныйКритическийКатастрофический
ОпределенныйВысокоВысокоЭкстремальныйЭкстремальный
Скорее всегоУмеренныйВысокоВысокоЭкстремальный
ВозможныйНизкийУмеренныйВысокоЭкстремальный
Вряд лиНизкийНизкийУмеренныйЭкстремальный
РедкийНизкийНизкийУмеренныйВысоко

Затем компания или организация должны рассчитать, какие уровни риска они могут принять в связи с различными событиями. Это может быть сделано путем сопоставления риска возникновения события с затратами на обеспечение безопасности и получаемой от этого выгоды.

Пример матрицы

Ниже приведен пример матрицы возможных травм, при этом конкретные несчастные случаи распределены по соответствующим ячейкам в матрице:

НезначительныйМаргинальныйКритическийКатастрофический
ОпределенныйУкороченный палец
Скорее всегоПадать
ВозможныйОсновной дорожная авария
Вряд лиАвиакатастрофа
РедкийОсновной цунами

Проблемы

В своей статье «Что не так с матрицами рисков?»[5] Тони Кокс утверждает, что матрицы рисков имеют несколько проблемных математических особенностей, затрудняющих оценку рисков. Это:

  • Плохое разрешение. Типичные матрицы рисков позволяют правильно и однозначно сравнивать только небольшую часть (например, менее 10%) случайно выбранных пар опасностей. Они могут присвоить одинаковые рейтинги очень разным в количественном отношении рискам («сжатие диапазона»).
  • Ошибки. Матрицы рисков могут ошибочно назначать более высокие качественный рейтинги к количественно меньшие риски. Для рисков с отрицательно коррелированными частотами и серьезностью они могут быть «хуже, чем бесполезны», что приводит к принятию решений хуже, чем случайные.
  • Неоптимальное распределение ресурсов. Эффективное распределение ресурсов для контрмер по снижению риска не может быть основано на категориях, предусмотренных матрицами рисков.
  • Неоднозначные входы и выходы. Категоризация серьезности не может быть объективно сделана для неопределенных последствий. Входные данные для матриц рисков (например, категоризация частоты и серьезности) и результирующие выходные данные (например, рейтинги рисков) требуют субъективной интерпретации, и разные пользователи могут получить противоположные оценки одних и тех же количественных рисков. Эти ограничения предполагают, что матрицы рисков следует использовать с осторожностью и только с подробным объяснением встроенных суждений.

Томас, Братвольд и Бикель[6] демонстрируют, что матрицы рисков позволяют произвольно ранжировать риски. Ранжирование зависит от структуры самой матрицы рисков, например, от того, насколько велики ячейки и от того, используется ли шкала увеличения или уменьшения. Другими словами, изменение масштаба может изменить ответ.

Дуглас В. Хаббард и Ричард Зайерсен берут общие исследования Кокса, Томаса, Братволда и Бикеля и проводят конкретное обсуждение в области риск кибербезопасности. Они отмечают, что с 61% информационная безопасность профессионалы используют матрицу рисков в той или иной форме, это может стать серьезной проблемой. Хаббард и Зайерсен рассматривают эти проблемы в контексте других измеренных человеческих ошибок и делают вывод, что «ошибки экспертов просто еще больше усугубляются дополнительными ошибками, вносимыми самими шкалами и матрицами. Мы согласны с решением, предложенным Томасом и др. Нет необходимости в кибербезопасности (или других областях анализа рисков, которые также используют матрицы рисков), чтобы заново изобретать хорошо зарекомендовавшие себя количественные методы, используемые для решения многих не менее сложных проблем ».[7]

Рекомендации

  1. ^ "Что правильно с матрицами рисков?". Джулиан Талбот о риске, успехе и лидерстве. Получено 2018-06-18.
  2. ^ «Руководство по управлению рисками, проблемами и возможностями для программ оборонных закупок» (PDF). Министерство обороны США. Январь 2017. Получено 2018-06-18.
  3. ^ «НАСА, Центр космических полетов Годдарда, Технический стандарт Годдарда GSFC-STD-0002, Отчетность по управлению рисками» (PDF). 2009-05-08. Получено 2018-06-17.
  4. ^ Международная организация по стандартизации, управлению рисками космических систем, ISO 17666,
  5. ^ Кокс, Л.А. мл., «Что не так с матрицами рисков?», Анализ рисков, Том. 28, № 2, 2008 г., Дои:10.1111 / j.1539-6924.2008.01030.x
  6. ^ Томас, Филип, Рейдар Братвольд и Дж. Эрик Бикель, «Риск использования матриц рисков», SPE Economics & Management, Vol. 6, No. 2, pp. 56-66, 2014, Дои:10.2118 / 166269-PA.
  7. ^ Хаббард, Дуглас В .; Сейерсен, Ричард (2016). Как измерить риск кибербезопасности. Вайли. С. Места расположения Kindle 2636–2639.