Материал: Спецглавы математики. учеб.-метод. пособие. Карпеев Д.О., Олейниченко Д.Г

2. Риски и шансы: аналитический подход в методологии оценки

3.2.Понятие риска и шанса

В современном недетерминированном мире понятие риска широко употребляется в различных сферах деятельности. Это понятие, как правило, применяется к описанию какого-либо потенциально опасного явления. Задолго до появления пока несовершенной теории риска и методов вероятностной оценки негативных явлений с термином «риск» обычно связывалось какое-то значение (качественное или количественное), которое характеризовало потенциальную степень опасности одной или нескольких угроз. При этом принятие управленческого решения в условиях действия негативных факторов связано с минимизацией отрицательных последствий, которые могут возникнуть при реализации этих угроз. В данном контексте сравнительно недавно было введено понятие управления рисками, которое фактически отражает суть выбора такого решения. Зачастую оно употребляется в основном в сфере менеджмента и экономики и сравнительно недавно пришло в область обеспечения безопасности информационных систем.

По аналогии с риском может быть введено понятие «шанс», характеризующее потенциальную степень успешности системы в условиях действия позитивных факторов. Этот термин, очевидно, связан с максимизацией пользы, т.е. положительных последствий, которые могут возникнуть при функционировании исследуемой системы.

Управление информационными рисками [70] представляет собой весьма широкое понятие, которое используется в литературе как вид деятельности, включающий определение угроз безопасности информационной системы, оценку уровня опасности угроз (то есть размера возможного ущерба), а также вероятностей реализации этих угроз – то есть проведение полного анализа рисков системы. На основе этого анализа принимается решение о мерах по снижению общего уровня риска для системы. Причем конкретное содержание этого понятия зависит от решаемой задачи.

Управление шансами является еще более важной задачей с точки зрения эффективности системы. Однако ее рационально решать совместной с управлением рисками. Разумный баланс ущербов и пользы принесет наиболее позитивные результаты. Поэтому в данной работе делается попытка выработки единой методологии оценки и управления как шансами, так и рисками, аналитически обоснованной и удобной для решения прикладных задач численного анализа и управления.

1. Концепции оценки рисков и шансов

Риск (шанс) проявляется в различных сферах деятельности человека [25], таких как функционирование организаций, взаимодействие с окружающей средой. Риск (шанс) является проявлением неполной определенности, с которой приходится сталкиваться во многих сферах жизнедеятельности. Из этого следует, что его появление обусловлено случайными процессами, протекающими в мире. Понятие риска связано с возможным проявлением негативных последствий, в результате реализации этих процессов. Однако в некоторых случаях с точки зрения управления имеет смысл допускать определенную величину риска для того, чтобы иметь возможность получить определенный позитивный результат, с какой-либо вероятностью. Примером этого является коммерческая деятельность, в которой лицо, принимающее решение, может целенаправленно идти на риск, чтобы достичь материального выигрыша (реализованного шанса). В других случаях риск является сугубо негативным явлением. Наиболее очевидным примером этого является риск нарушения безопасности (техногенной, информационной и т.п.). Такой вид рисков, проявляясь, имеет только негативные последствия. Кроме вышеупомянутой полезности, существует еще один, в котором предсказуемость развития событий является основной целью управления. То есть сама неопределенность является источником риска.

Неопределенность имеет место и при получении пользы систем, которая зачастую является случайной величиной. Вышеприведенный пример коммерческого риска, очевидно, свидетельствует в пользу оценки, в данном случае, шансов. То есть неопределенность порождает не только риски, но и шансы, которые так же следует измерять и учитывать.

Для каждого из перечисленных случаев необходимо использовать собственную методику оценки и управления. Однако на практике [25] применяют три основные концепции:

1. Концепция шанса и риска как возможности. В рамках этой концепции управление ведется на основе взаимосвязи между риском и пользой. В данном случае обычно с возрастанием риска возрастает и потенциальный доход. Менеджмент в этом случае направлен на максимизацию пользы с одновременным ограничением потерь.

2. Концепция риска как опасности и шанса как успешности. Эта концепция предполагает рассмотрение негативных событий, причиняющих вред. Риск характеризует возможность наступления такого события, а также его последствия. Управление рисками в этом случае – минимизация вероятности наступления негативных событий, а также величин ущерба.

В отношении шанса по заданной концепции реализуется зеркальная картина, т.е. управление шансом предусматривает максимизацию вероятности наступления позитивных событий и величин пользы.

3. Концепция неопределенности. Данная концепция предполагает увеличение уровня риска по мере роста количества различных вариантов развития событий. То есть, если система находится в единственно возможном состоянии, то риск для нее минимален и, соответственно, уровень риска возрастает в случае увеличения вероятности реализации других альтернатив. Управляющие воздействия в рамках концепции неопределенности направлены на увеличения вероятности появления ожидаемых результатов, то есть снижения дисперсии для рассматриваемой случайной величины.

В рамках исследования проблемы оценки и управления рисками и шансами систем каждая из этих стратегий представляет определенный интерес, поскольку применение первой концепции связано с получением определенной выгоды от функционирования системы, второй – с минимизацией последствий негативных воздействий и максимизацией позитивных, а третьей – с улучшением предсказуемости поведения системы.

2. Обобщенная модель оценки риска и шанса

Рассмотрим предлагаемую модель оценки рисков для произвольной системы . Для начала введем общее понятие риска.

Рассмотрим множество угроз для системы. Под угрозой будем понимать совокупность условий и факторов, при реализации которой будет причинен ущерб системе. Риск является величиной, которая позволяет оценить априорную степень опасности угрозы. Для оценки степени опасности необходимо ввести меру риска как числовую характеристику, позволяющую определить его уровень. Вообще говоря, риск можно определить как отображение множества негативных факторов (угроз) на некоторое числовое множество значений меры риска

.

В частном случае риск можно рассмотреть как функционал угрозы:

В общем случае не трудно определять, каким образом производится отображение. Рассмотрим угрозу как абстрактный объект, имеющий определенный набор характеристик, исходя из которых, определяется значение меры риска для угрозы. Вид отображения зависит от класса задач, решаемых системой.

В свою очередь шанс можно определить как отображение множества позитивных факторов V на множество значений меры шанса С:

или в частном случае

.

Очевидно, что здесь вид отображения должен отвечать специфике решаемых задач.

3. Вероятностная природа риска и шанса

Всякая система не является полностью детерминированной, хотя бы исходя из того, что чрезвычайно сложно учесть всевозможные условия и факторы, которые оказывают на нее влияние. Обычно у лица, принимающего решение, по управлению системой недостаточно информации для точного прогнозирования ее поведения.

Поэтому при расчете меры риска или шанса должна учитываться неопределенность, связанная с системой. Возникновение риска и шанса в общем случае является следствием неопределенностей в системе. В противном случае возможно было бы существование полностью детерминированных систем с нулевым риском и максимальной пользой.

Поэтому при рассмотрении риска, как априорной степени опасности угрозы, очевидна целесообразность применения методов теории вероятностей для расчета значении меры риска. Наиболее распространенное представление угрозы заключается в сочетании количественной оценки ущерба при реализации угрозы – и вероятности реализации угрозы (обычно в течение определенного периода времени) – . В этом случае мерой риска является следующее выражение:

которое приемлемо для решения многих практических задач, так как представляет собой решение проблемы оценки риска в упрощенной инженерной форме, а также эффективно для оценки риска по одной угрозе.

По аналогии для шанса имеем:

где – j-ая польза и – вероятность её наступления.

Такой подход имеет ряд преимуществ. Наряду с простотой использования стоит учесть то, что в результате мера риска (шанса) оценивается той же физической величиной, что и значение ущерба (пользы). Это говорит о том, что ее достаточно удобно использовать при расчетах в наглядной форме.

На практике, если имеется статистика, величины ущерба (пользы) и вероятность его появления зачастую представлены не конкретными значениями, а законами распределения ущербов (пользы) для конкретной системы в целом. Это позволяет более реалистично оценить вероятность возникновения ущерба (пользы) определенной величины. В этом случае целесообразно рассмотреть два основных класса описания возникновения ущерба или дохода:

• законы распределения, представляющие дискретную случайную величину;

• законы распределения, представляющие непрерывную случайную величину.

Для каждого из данных классов распределения необходимо определить меру, позволяющую адекватно оценивать уровень риска и шанса.

4. Методы оценки риска и шанса

Случайный характер процессов, протекающих в системе, обуславливает применение соответствующих методов оценки риска (шанса) Важным этапом анализа рисков (шансов) системы является выбор наиболее подходящего из них. Для выбора метода оценки необходимо учитывать следующие [25] факторы:

• наличие и объем статистических данных о функционировании данной системы или аналогичных систем;

• требуемая точность оценки;

• существование математических моделей процессов, протекающих в системе.

В зависимости от этих условий применяются [25] следующие методы оценки: статистический, вероятностно-статистический, теоретико-вероятностный, экспертный.

Статистический метод. Является наиболее предпочтительным с точки зрения требуемой точности, однако требует накопления больших объемов статистических данных, так как от них напрямую зависит точность оценки. При этом специальных требований к наличию математических моделей нет, поскольку из статистических данных извлекается вся необходимая информации о случайных величинах.

Вероятностно-статистический метод. Данный метод основан на привлечении дополнительной информации о законе распределении случайных величин. В этом случае кроме наличия статистики необходимо иметь математические модели системных процессов, позволяющие судить о виде законов распределения рассматриваемых случайных величин. В этом случае требования к объему статистики менее высокие, потому что недостающая часть информации компенсируется теоретическими оценками на основе имеющихся моделей. Точность этого метода достаточно высока, но зависит от точности определения видов исследуемых законов распределения.

Теоретико-вероятностный метод. Позволяет оценивать риски (шансы) связанные с событиями, которые происходят редко и нерегулярно, но имеют значительные негативные (позитивные) проявления. Для таких событий обычно нет достаточной статистики. Метод основан на использовании математический моделей, в основе которых лежат закономерности появления таких событий. Является достаточно трудоемким и имеет невысокую точность, но при отсутствии статистических данных его применение оправданно.

Экспертный метод. Данный метод основан на использовании знаний и опыта экспертов – высококвалифицированных специалистов в заданной предметной области. Целесообразно его применять в том случае, когда отсутствуют и статистические данные, и математические модели. Эксперты производят субъективную оценку значений, определяющих уровень риска (шанса) для системы. Основным недостатком метода является отсутствие гарантий достоверности полученных оценок.

Таким образом, выбор метода оценки, обусловленного случайными факторами, зависит, прежде всего, от наличия информации об объекте оценки.

5. Формальное определение меры риска и шанса

Рассмотрим понятие меры риска.

Числовое множество значений меры риска является заданным, если на нем существует отношение предпочтения.

Говорят [23], что на множестве задано отношение предпочтения , если оно обладает следующими свойствами:

1. Полноты: для произвольной пары выполняется либо , либо , либо справедливы оба этих отношения.

2. Транзитивности: если и , то справедливо отношение .