Цель лекции – рассмотреть деятельность количественного анализа рисков, изучить современные инструменты, применяемые для получения точных оценок рисков, на основе которых станет возможным перейти от экспертных оценок к математическому инструментарию, позволяющему автоматизировать процессы анализа рисков. Так же в сегодняшнем модуле будут затронуты вопросы "окружения" рисковых процедур, организации и управления риск-менеджмента.
В течение сегодняшней лекции мы предложим нашим коллегам надежные инструменты, позволяющие принимать обоснованные управленческие решения в состоянии высоких неопределенностей, связанных с "рисковыми" процессами, сформируем постулаты, необходимые для комплексных методов анализа рисков, которые могут быть использованы в качестве "ядра" системного подхода к риск-менеджменту любой современной организации.
Ранее ("лекция 5") мы предложили инструментарий качественного анализа рисков. Рассмотренный тип анализа рисков, выполняемый в определенной деятельности, сам по себе не может претендовать на самодостаточность применения, с целью достижения высоких результатов, объективность которых может не подвергаться сомнению, а быть обоснованной технологической и программной "базой". Стоит оговориться и уточнить, что здесь, под "базой", мы понимаем массив достоверных и проверенных данных конкретного предприятия, на основе которого можно принимать эффективные управленческие решения, связанные с выбором краткосрочных тактик и долгосрочных стратегий по работе с рисками.
Для создания комплексных и самостоятельных методик, качеству результатов которых можно доверять необходимыми условиями являются:
При использовании количественного анализ рисков становится возможным достаточно точное планирование процессов управления рисками. Это выражается в стандартизированной оценке сроков исполнения проектов, в рамках выделенных бюджетов.
Таким образом, мы сформулировали основное "управленческое"/менеджерское различие количественного и качественных видов рисков, выраженное в прогнозировании и более достоверном выделении необходимых для риск-менеджмента ресурсов.
При применении количественных показателей деятельности, работа и своевременная актуализация которых может способствовать повышению качества продуктов и/или услуг, производимых организацией, способствовать меньшему использованию экспертных оценок и привлечению достоверных методик и техник, построенных на точных алгоритмах.
После того, как выполнен качественный анализ рисков, его результатом является корректная и полная идентификация, первичная оценка рисков, на основе которой строится количественный анализ. Для руководства деятельности важно понимать и правильно представлять, что количественный анализ рисков во многом схож с процессом качественного анализа, с той разницей, что результатом количественного анализа является точная количественная метрика или иной математический показатель, который корректен для сравнения с аналогичными оценками.
При этом не стоит забывать о том, что в процессе каждой определенной деятельности достигается оптимальный результат, подкрепленный заданным уровнем качества, обоснованным ресурсами, выделенными на конкретную деятельность. В теории, результатом количественного анализа рисков является 100% обоснованные показатели, но на практике дело обстоит немного по-другому. Подобные цифры являются недостижимым, слишком дорогим для применения эталоном. Поэтому важно понимание того, что в процессе риск-менеджмента должен быть достигнут оптимум, итоги которого будут удовлетворительно устраивать всех стэйкхолдеров, способных уделить достаточное внимание всем "рисковым" частям проекта, с приоритетом к наиболее критичным из них.
Цель количественного анализа рисков заключается в том, чтобы понять – Что (деньги, время, персонал) и сколько стоит риск для данной активности?
При количественном анализе рисков на первый план выходят его основные атрибуты – вероятность и случайно/псевдослучайные переменные, которые в различных комбинациях составляют его основное содержание.
Именно вероятностям, переменным, методам и техниками по их обработке, представлению, визуализации, правильному и оптимальному использованию для конкретных ситуаций в заданных условиях будет посвящена сегодняшняя лекция, которая должна подвести черту под методологическим "базисом" предмета анализа рисков.
Как и любой вид активности области информационных технологий, о котором мы говорили ранее, количественный анализ, при условии того, что его результаты должны удовлетворять ожиданиям руководства, нуждается в организации и компетентном управлении процессами, из которых он состоит.
Дополнительно надо учитывать, что для эффективной организации процессов риск-менеджмента, в части количественного анализа рисков должны быть учтены следующие факторы:
В предыдущей лекции мы акцентировали внимание коллег на том факте, что в процессы по анализу рисков желательно вовлечение компетентных представителей всех стэйкхолдеров, но, учитывая то, что иногда это становится невыполнимой задачей, одной из основных задач риск-менеджера становится гармоничное балансирование между требованиями к домену риск-менеджмента и необходимой глубиной количественного анализа рисков. От приоритетов конкретных задач и отведенных на них ресурсов будет зависеть качество и достоверность результатов количественного анализа рисков.
Текущее состояние процессов, в условиях динамически развивающегося мира высоких технологий и бизнеса определяет, что любой процесс имеет в своей основе неопределенность. Причем чем более инновационный и динамический бизнес/процессы (процент которых к общей доле процентов с каждым годом становится только выше), тем эта неопределенность выше. От величины и степени влияния неопределенности на составляющие рассматриваемого процесса зависит конкретный, ассоциированный с выбранной неопределенностью риск. Значимость риска определяется "силой" и актуальностью переменных, из которого он "складывается".
Таким образом, говоря о количественном анализе рисков, мы понимаем, что нам понадобится определенный инструментарий, основанный на общих принципах теории вероятности (устанавливающей связь между случайными параметрами и неопределенностью), для корректной и качественной оценки величины и влияния возможных ущербов на активность, в целом, и ее составных субпроцессов, в частности.
Так же надо учесть, что многие, как казалось на первый взгляд, не связанные между собой неопределенности имеют воспроизводимые корреляции/связи. Это может сказаться на масштабе и "лавинности" рисков. В связи с этим, главной задачей количественного анализа рисков является создание основы для принятия обоснованных управленческих решений, подкрепленных информацией о состоянии рисков и неопределенностей, ранжированных по количественному признаку.
Для решения этой задачи перед риск-менеджером возникнет вопрос понятного представления информации о рисках в виде практичной и "читабельной" формы. Такие шаблоны/формы должны быть понятны принимающим решение специалистам конкретных бизнес доменов и их руководителям.
Поставленная задача решается реализацией одночисленных параметров, понятных конкретным лицам, не имеющим специального образования в области анализа рисков, легкосравнимых друг с другом, доступных для понимания, разбирающимся в предметной области, для которой выполняется количественный анализ.
Допустим, что есть предпосылки к тому, что приоритетный процесс/проект и его результаты находятся под влиянием возможного риска, и его стоимость/ценность увеличивается, пропорционально увеличению риска.
Самой очевидной для применения количественной метрикой/характеристикой будет являться средняя величина потенциальных потерь (СВПП) рассматриваемого вида активности.
Сделаем небольшое отступление и констатируем, что данная мера является наиболее распространённой, а иногда и единственной для немногочисленных организаций выполняющих количественный анализ рисков.
Оценка по СВПП представляет рассматриваемую область только с одной стороны. Когда же речь идет о количественном анализе рисков, рассмотрение только одной характеристики не гарантирует качественных комплексных результатов и объективной оценки состояния "рисковых объектов" с точки зрения количественных составляющих.
СВПП отражает потенциальные или явные затраты, которые придется понести спонсорам деятельности/организациям, но при этом она не содержит информацию о величине этих потерь. Отсутствие конкретной информации о величине возможных ущербов противоречит задачам количественного анализа, которые должны предоставлять её с заданным уровнем достоверности. Эти недостатки, применения данной метрики, решаются использованием интегрального распределения вероятностей конкретной величины (распределение вероятности будет рассмотрено далее). Из этого представления можно сделать вывод, с учетом более информативных показателей, к примеру, о доверительной границе риска (ДГР).
Подобная величина, производная от ДГР, получила широкое распространение в современных методах и методиках, так же применяется в большинстве мировых стандартах, связанных с рисковым доменом и называется - VaR.
VaR – это концептуальная характеристика рисковой стоимости, которая играет все более важную роль, за счет своей доступности к пониманию и широкого распространения. Данная характеристика наиболее полно и достоверно отображает количественную составляющую рисков на сегодняшней степени развития ИТ.
Говоря о параметрах и зависимостях рисков, необходимо учитывать, что сам по себе конкретный риск не существует в изоляции от других рисков. Исключить вероятность связи различных рисков между собой без точечного и полного анализа конкретного процесса, выполнение которого необходимо проводить на регулярной основе, учитывая динамизм развития и "взаимовлияния" различных процессов, с другими причинами и факторами невозможно. Поэтому, допуская связь различнофакторных рисков между собой, появляется проблема "кумуляции" различных факторов и проблема оценки подобной лавинности и потенциального суммарного ущерба.
Такой метод, позволяющий обрабатывать подобный проблемы и моделировать рисковые ситуации, был рассмотрен нами ранее, с точки зрения его поверхностного применения для первичного анализа рисков ("лекция №4"). Это метод Монте-Карло.
При работе с ним, используя его в процессе количественного анализа рисков, становится возможным определить вероятность суммарного риска для отдельных, случайных факторов. Это становится возможным с условием уже имеющегося массива данных по рисковым факторам, учитывать и обрабатывать которые необходимо для данного конкретного процесса. Величина и качество используемого массива будет определять качество результатов полученных в ходе использования метода Монте-Карло.
Таким образом, процессная составляющая сбора данных, которые должны быть учтены при количественном анализе рисков становится определяющим фактором достижения показателей деятельности риск-менеджмента, в целом и качества кривой распределения вероятности суммарного риска, в частности.
Первым неоспоримым преимуществом метода Монте-Карло является то, что для него, диаграмма распределения вероятностей строится не на основе прогнозных характеристик, а с учетом заданной систематической/псевдосистематической последовательности изменений повторяющихся факторов.
Вторым преимуществом этой техники является то, что довольно легко можно учесть возможные корреляции рисковых факторов и планировать на их основе активности по работе с рисками, предсказывая необходимые для этого ресурсы.
Главный же недостаток этой методологии состоит в том, что для работы с ней требуется большое число шагов обработки данных и достаточно достоверная информация, иначе точная оценка VaR не будет достигнута.
Таким образом, на примере метода Монте-Карло, мы рассмотрели основные параметры рисков, которые необходимы для выполнения количественного анализа. Безусловно, предложенные тактики и данные не являются догмой, но представляют собой классические атрибуты, учет которых составляет в своей основе вариативные процессы анализа рисков.
Подводя итоги части, посвященной параметрам рисков, надо упомянуть, что для параметров имеет место свойство эмерджентности, упоминаемое нами ранее, при рассмотрении процессов идентификации рисковых факторов.
Каждый риск, сам по себе, представляет потенциальный ущерб, который необходимо учитывать и при необходимости уметь обрабатывать, но, при условии взаимодействия нескольких рисков одновременно, существует опасность усиления суммарного ущерба за счет увеличения их влияния, под воздействием друг друга.
Эти эффекты так же необходимо не оставлять без внимания при планировании и выполнении активностей риск-менеджмента.
В 3 части лекции нами показано, что случайные переменные могут с определенной точностью характеризовать кривую распределения вероятностей, которая играет роль центрального элемента, при количественном анализе рисков.
Распределение вероятностей появления рисков содержит информацию о возможности появления каждого значения, которое может иметь переменная, отражающая потенциальное или явное появление риска/ов. Если переменные, составляющие распределение вероятности, имеют непрерывное значение, тогда становится возможным построение непрерывной функции, описывающей их развитие. Подобную функцию принято называть плотность вероятности.
Благодаря плотности вероятности становится возможным осуществлять активности контроля над суммарной вероятностью риска, манипулирую различными факторами, суммарная характеристика которых известна в каждый определенный момент времени. Использование плотности вероятности позволяет организовать процессы контроля над рисковыми объектами
Имея достоверные, полные и, что наиболее важно, количественнохарактеризованные данные по жизненному циклу/ам рисков, становится возможным прогнозирование ресурсных затрат и последующих выгод, связанных с проявлением рисков в процессах, подконтрольных риск-менеджменту за счет их достоверного описания путем составления диаграммы распределения вероятностей.
Количественное описание и анализ рисков способствует становлению высококачественных процедур оценки в процессах риск-менеджмента, на данной конкретной итерации и на более ранних итерациях (идентификация и т.д.), что способствует повышению организационной культуры рассматриваемой организации.
Но понимая реалии рынка компаний информационных технологий можно утверждать, что распределение вероятности найдет свое место только в достаточно крупных структурах, поэтому мы дополнительно рассмотрим ряд методов, более доступных для использования при большем дефиците бюджета, отводимого на домен по работе с рисками.
Этот метод мы упоминали ранее, когда речь шла о качественном анализе рисков ("лекция 5").
Строго говоря, этот метод более относится к группе количественных методов, так как ряд его характеристик, таких как ранг риска и т.д., представляют конкретный риск с точки зрения количественного описания и дают возможность аргументировано выделить более приоритетные задачи. Но за счет того, что этот тип анализа рисков является относительно простым в исполнении и доступным к пониманию широкой аудитории специалистов, мы отнесли его к группе качественных анализов рисков. В дополнение, к уже приведенной нами ранее информации, в целях обоснованного приведения данного метода в данной лекции, стоит сказать, что МВП (матрица "Вероятность и последствия") может представлять собой более точный инструмент (в сравнении с прошлой итерацией его обсуждения). В качестве управляющих параметров при её построении будем использовать не трехоценочная шкалу, а более точные числовые атрибуты, обоснованность которых продиктована конкретными процедурами оценки и анализа рисков.
Таким образом, можно представить матрицу не только в качестве инструмента, отражающего "крайние" ситуации рискового развития, а более детальное их развитие и миграцию по этапам и стадиям процесса их жизненного цикла.
Метод сценариев.
Эта техника позволяет получать достаточно наглядную картину для различных вариантов от реализации рисков, а также предоставляет информацию о чувствительности рискового окружения и возможных отклонениях, в случае выполнения анализа рисков за счет манипуляции рисковыми переменными специалистом, выполняющим данный метод.
Преимущество метода состоит в том, что с помощью него можно получать "довольно" комплексную картину, содержащую максимально различные степени реализации рисков и предусмотреть возможные "граничные" отклонения. Но недостатком является то, что вряд ли можно будет выявить что-то "новое" (внезапно возникшее), так как метода не предусматривает выявление неизвестных, не заложенные в его сценарное моделирование параметров.
В случае применение программных электронных средств, позволяющих автоматизировать процессы расчета результатов (Excel и т.п.), становится возможным значительно повысить эффективность подобного анализа путем практически неограниченного увеличения числа сценариев и введения дополнительных оценочных переменных. Главная рекомендация, которую можно дать, относительно этой методики – она не самодостаточная и использовать её можно только как часть комплексной системы по работе с рисками, с учетом того, что риск-менеджер, должен неплохо ориентироваться методически в домене, для которого выполняется анализ ИТ рисков.
Имитационное моделирование.
Данный метод хорошо себя зарекомендовал в инвестиционной сфере и продемонстрировал широкие возможности своего использования в условиях рисковых составляющих. Неоспоримым преимуществом, в общем, так же как и недостатком, является то, что он эффективен в использовании только в рамках конкретной модели или же в сочетании с другими методами.
Имитационное моделирование позволяет максимально точно, достоверно и детально описать рисковый процесс. Использование имитационного моделирования, совместно с качественными методами анализа рисков, которые позволят целостно, концептуально и полно описать аналитическую модель/и, в которой возможно выявление новых рисков позволят говорить о создании системы по работе с рисками, необходимость которой мы изучим немного позднее.
Подводя итоги описания методов сценариев и имитационного моделирования нужно констатировать, что практическое применение этих методов свидетельствует о том, что с их помощью, удается достичь более точного результата, по сравнению с другими техниками, но за счет выполнения большого количества шагов по перебору возможных случайных рисковых параметров.
Центрально предельная теорема
Если же для целей нашей организации удовлетворительной оценки распределения вероятностей агрегированных рисков достаточно, то имеет смысл отказать от трудоемких методов рассмотренных ранее и воспользоваться количественно-аналитическими методами. Один из таких методов – метод, основанный на центрально предельной теореме. Суть теоремы состоит в том, что при достаточно большом числе отдельных случайных рисков, кривую, описывающее ее состояние можно аппроксимировать нормальным распределением.
Преимущество нормального распределения состоит в том, что оно полностью характеризуется и описывается своим средним значением и своей плотностью, которое можно вычислить и определить, зная конечные, пограничные значения возможности проявления/реализации рисковых величин. Но, рассматривая и применяя нормальное распределение необходимо помнить о том, что его стабильность и возможность применения зависит от определенного временного интервала, для которого известны его "пограничные" характеристики рисков.
Выводы
Что бы получить качественные результаты количественной оценки рисков необходимо, чтобы данные, на основе которых будет выполняться процессы анализа, соответствовали по своим характеристикам целям анализа рисков.
Сбор данных осуществляется на этапах идентификации угроз и качественной оценки. Приемлемым результатом выполнения этих активностей является достоверный и адекватный массив статистических данных который в дальнейшем может быть применим для количественного анализа.
В центре количественного анализа может находиться метод, более чувствительный к качеству данных (метод Монте-Карло) или менее чувствительный (метод Центрально предельной теоремы), но погрешность результатов которого, будет выше.
При решении использовать количественный анализ рисков, в процессах конкретной организации, необходимо взвешенно подходить к выбору методов, которые будут использоваться и чья эффективность будет обоснована, за счет параметров окружения, в котором предполагается его использование.
Итогом сегодняшнего обсуждения является то, что мы пришли к выводам о необходимости использования количественного анализа рисков только при условии "готовности" конкретной организации к структурным и процессным изменениям моделей их активности. Величина и степень изменения будет зависеть от тех результатов, которые должны быть получены.
Для "тех", жребий которых брошен, существуют множество различных системных, математических, аналитических методологий и методов анализа риска, ранжированных по точности получаемых результатов и ресурсным затратам на их использование.
Одним из основных недостатков большинства методов является то, что они содержат в себе много предположений и ограничений. Эти "погрешности" необходимы для создания диаграммы распределения вероятности и/или построения модельного сценария, и т.д., элементов, которые представляют собой центральную и базисную часть выбранной техники.
Конкретный метод позволяет создать модель деятельности с определенным уровнем детализации и оценки проявления рисков, допускающий обобщенное описание процессов, часть составляющих которого, идеализирована или упрощенна, что так же необходимо учитывать при дальнейшим использовании результатов процессов анализа рисков.
Множество различных рисков ситуаций делает возможным применение любого из описанных методов, в зависимости от причин возникновения конкретного риска и достоверных данных, характеризующих и количественно описывающих его.
В заключении, отметим необходимо отметить, что все методы количественного анализа рисков являются достаточно сложным инструментом. Они требуют привлечения квалифицированных специалистов со стороны предметной области, для которой используется анализ рисков и выстроенной системы по сбору информации для количественного анализа рисков.
Количественный анализ это активность, использование которой будет способствовать достижению точных, достоверных и эффективных бизнес процессов. Это станет возможным по причине полноценной оценки критериев функционирования рассматриваемой системы, в условиях оцененных рисков.
Достаточно большое внимание стоит уделять процессам верификации и валидации созданных рисковых моделей.
Любая модель создается для параметров конкретного временного интервала, которые могут сильно влиять/изменять друг друга с течением времени. Оперативность создания модели и её соответствие реалиям одни из ключевых факторов для получения точных рисковых параметров.
Немного отвлекшись, и вспомнив ранее обсуждаемый материал, стоит сказать о том, что большинство количественных методов анализа рисков являются специализированными и направлены на решение конкретных проблем. Их применение, для решения более универсальных задач, таких как выявление новых рисков, не описанных ранее, является не приемлемым.
В наших лекциях мы подводим слушателя к осознанию того, что тема создания и использования системы (именно системы) по работе с рисками будет определять тот уровень результирующей информации и размер возможной прибыли, который потенциально будет достигнут риск-менеджментом.
Если организация ожидает от данного процесса высоких результатов и предполагает, что данный домен со временем должен стать одним из основных активностей предприятия, на результатах которого представляется возможным планировать стратегию и тактику его финансового развития, то отдельными частями риск-менеджмента не обойтись и единственным возможным вариантом представляется создание системы процессов анализа рисков. Каждая по отдельности активность анализа рисков способна "закрыть" временные, "случайные" проблемы, но не предложить инструмент их системной минимизации и устранения.
Таким образом, в следующий раз мы рассмотрим комплексные вопрос системы анализа рисков, подытожим и систематизируем уже изложенную информацию и предложим новые и инновационные методы.
Всего доброго и до следующей встречи!
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.