Матрица риска — это матрица , которая используется во время оценки риска для определения уровня риска путем рассмотрения категории вероятности (часто путаемой с одной из ее возможных количественных метрик, т.е. вероятностью ) в сравнении с категорией серьезности последствий. Это простой механизм для повышения видимости рисков и содействия принятию управленческих решений. [1]
Риск — это отсутствие уверенности в результате принятия конкретного выбора. Статистически уровень риска убытков можно рассчитать как произведение вероятности причинения вреда (например, несчастного случая) на тяжесть этого вреда (т. е. средний размер вреда или, более консервативно, на максимально возможную величину вреда). На практике матрица риска является полезным подходом, когда вероятность или тяжесть вреда не могут быть оценены с точностью и достоверностью.
Хотя стандартные матрицы рисков существуют в определенных контекстах (например, US DoD , NASA , ISO ), [2] [3] [4] отдельным проектам и организациям может потребоваться создать свою собственную или адаптировать существующую матрицу рисков. Например, тяжесть вреда можно классифицировать следующим образом:
Вероятность возникновения вреда можно классифицировать как «определенную», «вероятную», «возможную», «маловероятную» и «редкую». Однако следует учитывать, что очень низкая вероятность может быть не очень надежной.
Результирующая матрица рисков может быть следующей:
Компания или организация затем рассчитает, какие уровни риска они могут принять при различных событиях. Это будет сделано путем взвешивания риска возникновения события по отношению к затратам на реализацию безопасности и полученной от этого выгоде.
Ниже приведен пример матрицы возможных телесных повреждений, в которой конкретные несчастные случаи распределены по соответствующим ячейкам матрицы:
Матрица риска является приблизительной и часто может быть оспорена. Например, вероятность смерти в авиакатастрофе составляет около 1:11 миллиона [5], а смерть в автокатастрофе — 1:5000, [5] но обычно никто не выживает в авиакатастрофе, так что это гораздо более катастрофично [ требуется цитата ] .
30 января 1978 года [6] была выпущена новая версия Инструкции Министерства обороны США 6055.1 («Программа Министерства обороны по охране труда и технике безопасности»). Говорят, что это был важный шаг на пути к разработке матрицы рисков. [7]
В августе 1978 года автор учебника по бизнесу Дэвид Э. Хасси определил инвестиционную «матрицу риска» с риском на одной оси и прибыльностью на другой. Значения на оси риска были определены путем предварительного определения значений воздействия риска и вероятности риска способом, идентичным заполнению версии 7 x 7 современной матрицы риска. [8]
Версия матрицы риска 5 x 4 была определена Министерством обороны США 30 марта 1984 года в «Требованиях программы безопасности систем MIL-STD-882B». [9] [10]
Матрица рисков использовалась группой по реинжинирингу закупок в Центре электронных систем ВВС США в 1995 году. [11]
Хуэйхуэй Ни, Ан Чэнь и Нин Чэнь предложили некоторые усовершенствования подхода в 2010 году. [12]
В 2019 году тремя наиболее популярными формами матрицы были:
Используются и другие стандарты. [14]
В своей статье «Что не так с матрицами риска?» [15] Тони Кокс утверждает, что матрицы риска имеют несколько проблемных математических особенностей, затрудняющих оценку рисков. Это:
Томас, Братволд и Бикель [16] демонстрируют, что матрицы риска создают произвольные рейтинги риска. Рейтинги зависят от конструкции самой матрицы риска, например, от того, насколько велики ячейки и используется ли возрастающая или убывающая шкала. Другими словами, изменение шкалы может изменить ответ.
Дополнительная проблема — неточность, используемая в категориях вероятности. Например, «определенный», «вероятный», «возможный», «маловероятный» и «редкий» не связаны иерархически. Лучший выбор может быть получен путем использования того же базового термина, например, «чрезвычайно распространенный», «очень распространенный», «довольно распространенный», «менее распространенный», «очень нераспространенный», «крайне нераспространенный» или аналогичной иерархии на базовом термине «частота». [ требуется цитата ]
Другая распространенная проблема — назначение индексов ранга осям матрицы и умножение индексов для получения «оценки риска». Хотя это кажется интуитивно понятным, это приводит к неравномерному распределению. [ необходима цитата ]
Дуглас В. Хаббард и Ричард Сайерсен берут общее исследование Кокса, Томаса, Братволда и Бикеля и приводят конкретное обсуждение в области риска кибербезопасности . Они указывают, что поскольку 61% специалистов по кибербезопасности используют ту или иную форму матрицы риска, это может быть серьезной проблемой. Хаббард и Сайерсен рассматривают эти проблемы в контексте других измеренных человеческих ошибок и приходят к выводу, что «Ошибки экспертов просто еще больше усугубляются дополнительными ошибками, вносимыми самими шкалами и матрицами. Мы согласны с решением, предложенным Томасом и др. Нет необходимости для кибербезопасности (или других областей анализа риска, которые также используют матрицы риска) заново изобретать хорошо зарекомендовавшие себя количественные методы, используемые во многих столь же сложных проблемах». [17]