Для чего нужна матрица рисков

СОДЕРЖАНИЕ

Определения

Итоговая матрица рисков может быть:

Затем компания или организация должны рассчитать, какие уровни риска они могут принять в связи с различными событиями. Это может быть сделано путем сопоставления риска возникновения события с затратами на обеспечение безопасности и получаемыми от этого выгодами.

Пример матрицы

Ниже приведен пример матрицы возможных травм, при этом конкретные несчастные случаи распределены по соответствующим ячейкам в матрице:

Разработка

30 января 1978 г. была выпущена новая версия Инструкции 6055.1 Министерства обороны США («Программа Министерства обороны США по охране труда»). Считается, что это был важный шаг на пути к разработке матрицы рисков.

В августе 1978 года автор учебника по бизнесу Дэвид Э. Хасси определил инвестиционную «матрицу рисков» с риском на одной оси и прибыльностью на другой. Значения на оси риска были определены путем первоначального определения значений воздействия риска и вероятности риска способом, идентичным заполнению версии 7 x 7 современной матрицы рисков.

Версия матрицы рисков 5 x 4 была определена Министерством обороны США 30 марта 1984 г. в «Требованиях программы безопасности системы MIL-STD-882B».

Матрица рисков использовалась группой по реинжинирингу приобретения в Центре электронных систем ВВС США в 1995 году.

Хуэйхуэй Ни, Ан Чен и Нин Чен предложили некоторые усовершенствования этого подхода в 2010 году.

В 2019 году тремя самыми популярными формами матрицы были:

Также используются другие стандарты.

Проблемы

В своей статье «Что не так с матрицами рисков?» Тони Кокс утверждает, что матрицы рисков имеют несколько проблемных математических особенностей, затрудняющих оценку рисков. Эти:

Томас, Братвольд и Бикель демонстрируют, что матрицы рисков дают произвольное ранжирование рисков. Рейтинги зависят от структуры самой матрицы рисков, например от того, насколько велики ячейки и от того, используется ли шкала увеличения или уменьшения. Другими словами, изменение масштаба может изменить ответ.

Дополнительной проблемой является неточность категорий вероятности. Например; «определенный», «вероятный», «возможный», «маловероятный» и «редкий» иерархически не связаны. Лучший выбор может быть получен за счет использования одного и того же базового термина, такого как «чрезвычайно часто», «очень часто», «довольно часто», «менее распространенный», «очень необычный», «чрезвычайно необычный» или аналогичной иерархии в базовый термин «частота».

Другой распространенной проблемой является присвоение индексов ранжирования осям матрицы и умножение индексов для получения «оценки риска». Хотя это кажется интуитивно понятным, это приводит к неравномерному распределению.

Компьютерная безопасность

Источник

«Матрица рисков» компании. Алгебраическое исследование

Мне доводилось принимать участие в упражнениях с Матрицей рисков компании.
Действие происходило в три этапа. Первый: мальчики и девочки анкетировали вопросами типа «перестал ли ты пить коньяк по утрам», на которые надо отвечать только «да» или «нет».
На втором этапе показывалась «научно-обоснованная» матрица рисков.
На перманентном третьем этапе все подразделения той компании пытались из года в год сдвинуться на более низкие позиции на матрице, но это удавалось только за счет личного обаяния. Те же, кто не смог сдвинуться становились крайними по любой неудаче бизнеса.

1. Матрица рисков: удобно заполнять, не удобно работать.

Вот типовая Матрица рисков, которую предлагает Google.

Для примера в Интернете найдена случайная Матрица рисков из очень старого отчета.

Числа внутри цветных прямоугольников означают содержательную интерпретацию риска, которая пока не очень нужна. Описание риска очень широко и размыто. Не верится, что все компоненты описания по отдельности и вместе дают единственное число в очень узком диапазоне.

Если следовать типовой матрицы Google, то всем содержательным описаниям «вероятность» и «влияние» можно поставить в соответствие конкретные числа.

Вот шаблон модернизированной матрицы Google с умноженными вероятностями, соответствующие горизонтальному и вертикальному шкалированию.

Она не очень удобна для применения стандартных матричных операций, так как симметрична относительно дополнительной, а не главной диагонали.

Возможно, что Матрица рисков в такой форме более удобна для менеджеров. Её перестройка с симметрией относительно главной диагонали не меняет сути матрицы. Кроме того, всегда можно сделать шаг назад и вернуться к исходному представлению.
Перестроение матрицы происходит путём замены порядка строк на обратный (симметрия относительно вертикальной центральной оси). В результате получена матрица симметричную относительно главной диагонали.

Эти же преобразования для исследуемой Матрицы рисков.

Числа, отличные от 0 — это номер риска, связанный в итоге с неким структурным подразделением. Эта кодировка имеет место только в связи с бюрократической иерархией в компании, а не с рисками. Например, для элемента <1,5>. В плане риска ситуация ничем не будет отличаться, если совместить описания риска1 и риска5. Если это разные риски, то можно уменьшить шаг матрицы и поместить риск в более подходящую позицию.
В итоге преобразования должны приводить к тому, что каждый различный риск является отдельным элементом.

Позиция [1,3] в стандартной системе нумерации матриц означает элемент, находящийся на пересечении 1-ой строки и 3-го столбца. Для рассматриваемой матрицы в позиции [1,3] стоит число 2. Это означает, что если имеет место шкала с максимальным значением «5 — почти произошло» (1.), то в [1,3] ожидаем «3 — среднее» (0.6) влияние. Пусть «влиянию» в шкалируемом промежутке соответствует определенный ущерб (damage): 5-d5, 4-d4, 3-d3, 2-d2,1-d1. Тогда, если за определенный период имело место 1 происшествие из группы 2, то ущерб составит 1.*0.6*d3*1, а если за этот же период произошло n происшествий из группы 2, то ущерб составит 1.*0.6*d3*n

Тогда исследуемая матрица примет вид.

Проводится еще одно преобразование: транспонирование путём перемены мест столбцов и строк.

Нижняя строка легенды становится излишней, так как соответствующая вероятность учтена в значениях матрицы. Первый вертикальный столбец также учтен в значениях матрицы, но он важен тем, что задает структуру событий, которые можно фиксировать или прогнозировать за некий период. Имея вектор-столбец из количества событий, относящихся к соответствующему типу (очень сильное, критическое,…) можно стандартным образом умножать матрицу на вектор-столбец и получать структурированный размер ущерба.

Без легенды матрица будет выглядеть так.

2. Матрица рисков: удобно вычислять, не удобно анализировать.

Первая основная задача.

Получив матрицу А можно приступать к решению первой основной задачи: при известном количестве и качестве произошедших событий вычислить размер ущерба.

Пусть за определенный период произошло 2 — «очень сильных» событий, 3 — «критичных», 1 — «среднее», 5 — «минимальных» и 7 — «незначительных». Умножив матрицу А на вектор количества событий получаем структуру ущерба.

Теперь можно проверять точность оценок, вносить коррективы, оценивать возможные варианты сокращения размера ущерба.

Приведенные трансформации исходной матрицы были проведены, чтобы получить простую вычислительную процедуру ущерба. От матрицы А всегда можно однозначно вернуться к исходной матрице.

3. Матрица рисков: какая теория за ней стоит?

Для любой невырожденной квадратной матрицы имеется однозначное линейное преобразование, соответствующее этой матрице. При обозрении матрицы сложно понять какое линейное преобразование стоит за ней. Кроме того, неизвестно в каком базисе произведено матричное представление.

Матрица риска — квадратная матрица и ей должно соответствовать некое линейное преобразование. Этот факт не зависит от способа получения матрицы и идей реализованных в конкретном способе получения матрицы.

Важно, чтобы определитель матрицы не равнялся нулю. Это требования метода, обеспечивающего каноническое представление матрицы.
Далее показывается, что это не просто ограничение метода, а требование отвечающее потребностям практики.

Рассматриваемая Матрица рисков имеет две нулевых строки и один нулевой столбец. В любом случае определитель этой матрицы будет равняться нулю. Ниже приведен рисунок, показывающий как компания намерена снижать риски.

Стрелками показано как будут снижаться риски. Каким образом — не важно, важно, что при этом новая ситуация опять представляется матрицей. Этой матрице соответствует некое линейное преобразование. Переход от «старой» матрицы к «новой» — это матрица и линейное преобразование.

Что означает ненулевой определитель? Это возможность шагать «вперед-назад». Если определитель нулевой, то шага «назад» сделать нельзя.
При этом матрица снижения рисков изначально связана со «старой» матрицей. То есть на картинке можно и нужно парить «вперед-назад», а в формализованном варианте шагать «вперед-назад» нельзя.

Следующая проблема связана с тем, что большой риск с малой вероятностью может быть сопоставим с риском от очень большого количества малых рисков с малой вероятностью.
В приведенном выше примере 7 незначительных событий формально не вызывают ни какого ущерба. Понятно, что это не так. Отсутствие малых рисков только подчеркивают недостаточную некорректность формирования Матрицы рисков.

Пусть определитель Матрицы рисков не равен нулю и это следствие преемственности работ по снижению рисков, а не искусственное для бизнеса требование математического метода.

Итак, имеются:
— Матрица рисков, которая соответствует неизвестному линейному преобразованию и неизвестному базису;
— определитель Матрицы, который не равен нулю.

Что можно сделать? Привести Матрицу рисков к каноническому виду с понятным ортонормированным базисом.

В работе Александра Емелина дается следующее аллегорическое описание преимуществ канонического вида. “Предположим, что есть листок бумаги, на котором написано некоторое слово. Но он сложен так, что слова не видно. После канонического преобразования листок разворачивается таким образом, что слово можно увидеть. Если используется ортонормированный базис, то листок бумаги останется того же размера.”

Никакие приведенные в работе операции и трансформации не меняют существа явлений, отраженных и содержащихся в Матрице рисков.

4. Матрица рисков как алгебраическая конструкция.

Вторая основная задача. Каноническое представление.

В рассматриваемую матрицу добавляются элементы так, чтобы определитель не равнялся нулю. Чтобы избежать слишком больших формул значения округляются.

Далее по стандартной схеме матрица приводится к каноническому виду.

Собственные значения Матрицы рисков.

Дальнейшая работа с символическими значениями будет тяжёлой при ортогонализации и результат будет невозможно визуализировать (очень громоздкие символические матрицы).
Пусть (для примера) d1=1, d2=2, d3=5, d4=8, d5=12.
Тогда Матрица рисков М в симметрическом представлении принимает вид.

Проверяется, что определитель М не равен нулю.
Вычисляются собственные значения.

Находится матрица из собственных векторов.

Она ортогонализируется. Получается матрица ORT ортонормированных векторов.

Для проверки первый вектор (столбец) умножается попарно на все остальные. Значения ненулевые, но близки к 0.

В новом базисе находится представление исходного линейного преобразования (определяющего Матрицу рисков) в переменных z1, z2, z3, z4, z5.

Если пренебречь очень маленькими слагаемыми, то получается каноническое представление линейного преобразования.

Причем коэффициенты при квадратах соответствуют ранее вычисленным собственным значением.

Новый вид Матрицы рисков в ортонормированном базисе.

Получается знакопеременная квадратичная форма.

5. Практическая польза канонического представления.

Что можно сказать про исходную Матрицу рисков?
Она представляет неизвестное линейное преобразование.
Её строки обозначаются (сверху-вниз) как x1, x2, x3, x4, x5. Строки Матрицы рисков представляют разложение по неизвестному базису.
Так
x1=10*d5*b1+0*b2+0*b3+0*b4+0*b5,
x2= 8*d4*b1+0*b2+4*d4*b3+0*b4+0*b5, и так далее.

Наличие ортонормированного базиса обеспечивает свободу хождения между переменными X и Z.
В переменных Z явно видна функция линейного преобразования в ортонормированном базисе. Поведение этого же линейного преобразования в исходной Матрице рисков было непонятным.

Явная польза от канонического вида состоит в возможности корректировки шкалирования для разных типов событий (происшествий). Если изначально шкалирование событий (очень сильное, критическое,…) шло по шагу в 20%, то теперь его можно пересмотреть, пересчитав значения концов диапазонов в новом базисе. Останется так же 5 типов событий (происшествий), но шаги между ними будут разными.

6. Матрица рисков: квадратичная форма определяет содержание.

Описанная практическая польза может показаться смешной на фоне сделанных перед этим не совсем простых манипуляций: «овчинка не стоит выделки».

Ясная, понятная и простая форма Матрицы рисков Google не совсем соответствует содержанию работе с рисками.

Что такое риск: рассчитываешь на одно, а по факту получаешь другое.
Матрица рисков Google сделана так, что компания всегда однозначно знает свои риски и последовательно работает над их снижением. Более того, все высокие риски с большим ущербом постепенно ликвидируются. Слава мудрым менеджерам.

Напротив, полученная в ортонормированном базисе Матрица рисков будет всегда показывать наличие непустых высоких рисков.
Сформированное в 4 разделе каноническое представление можно интерпретировать как ущерб, который получается, когда происходят те события, которые ожидаются: переменная в квадрате.

Есть еще одно немаловажное обстоятельство. Ущерб имеет место так же в том случае, если произведены затраты для предотвращения ситуаций, которые никак не происходят.

Следующая новая конструкцию.

Значения v[i,j] соответствуют ущербу (выгоде) при условии, что рассчитывали на событие f(j), а реально произошло событие f(i). Значения v[i,j] могут быть как положительными (ущерб), так и отрицательными (выгода).
Значение v[i,i] соответствует ситуации, когда фактически произошло то событие, к которому готовились: на что рассчитывали, то и получили.

В этом случае Матрица рисков принимает вид.

Вектор-столбец событий имеет вид.

При этом размер ущерба описывается квадратичной формой.

Приведенную новую конструкцию описания рисков можно связать со следующими вычислениями: оценка ущерба при фактическом наступлении события f(i), тогда как мероприятия ориентированы на событие f(j).

Тогда проясняется какие «мероприятия по снижению рисков» требуются:
— для тех рисков, к которым не готовились, но они часто проявляются;
— для рисков, выделенных как базовые.

Кроме того, все алгебраические манипуляции описанные выше становятся не просто уместными, а обязательными.
Задача минимизации рисков сводится к минимизации значения ущерба, задаваемого каноническим представлением квадратичной формы ущерба.

7. Матрица рисков как инструмент цифрового управления.

В общем случае можно использовать разные методы оценки и управления рисками: имитационное моделирование, системы массового обслуживания, оценку устойчивости структурных схем последовательно-параллельного соединения компонентов и другие.

В данном случае рассматривается «жанр» Матриц риска и его возможности для улучшения бизнеса.
Фактически новая форма позволяет Матрице рисков уйти от роли «жупела» и стать нормальным инструментом цифрового управления бизнесом. Одним из многих для современного бизнеса.

Для этого необходимо поменять методику исчисления ущерба, сделав упор на проверяемые количественные значения по сравнению с ориентацией на качественные экспертные оценки.

Источник

Как управлять рисками проекта: советы и шаблон таблицы для анализа

Digital-агентство «Атвинта» пишет про основы управления рисками на примере веб-разработки. Статья будет полезна тем, кто делает первые шаги в риск-менеджменте.

4 октября почти на шесть часов отказали WhatsApp, Instagram и Facebook. В Facebook объяснили, что многочасовой сбой произошел из-за изменений конфигураций магистральных маршрутизаторов, которые координируют сетевой трафик между центрами обработки данных.

Если судить по новостям, компания не была готова к проблеме — кроме самого сбоя на сотрудников свалилось еще множество трудностей. Они не могли попасть в дата-центр, так как у них не срабатывали электронные пропуска, а также в штаб-квартире не работали внутренние службы, что затянуло исправление сбоя.

Кейс в масштабах одной из самых крупных IT-компаний мира показывает, насколько важно бизнесу работать с рисками и заранее прорабатывать план работы на случай, если что-то пойдет не так.

Управлять рисками важно не только гигантам вроде нынешней Meta — игнорирование рисков в любой компании приводит к негативным последствиям. Для digital-агентства самые частые:

Если в компании управление рисками не закреплено как процесс, и у нее нет соответствующих методик и регламентов, то риски в какой-то степени все равно учитываются, но интуитивно. Например, при планировании контуров проекта проджект-менеджер держит в голове, что согласование или разработка могут затянуться, и закладывает дополнительное время на такой случай.

Управлять рисками — это значит при планировании проекта зафиксировать, что может пойти не так, и что с этим делать, если это произойдет.

Чем плох подход, когда мы просто «держим в голове» возможные риски? Во-первых, нет глубокой проработки всех рисков, учитываются только наиболее очевидные. Во-вторых, когда риск случится, команда не всегда сможет оперативно разработать оптимальное решение и найти на него ресурсы.

Зачем работать с рисками:

Первым делом нужно составить список рисков проекта. Они могут быть общими и специфическими. Например, к общим относится отпуск сотрудника — это актуально для любого проекта. К специфическим можно отнести риски, связанные с работой с госзаказчиком, где есть свои стандарты разработки сайтов.

Удобный инструмент — общий реестр рисков. Когда у компании набирается достаточное количество кейсов и практики успешного управления рисками, формируется документ со всеми рисками, которые встречались в проектах компании. Ценность такого инструмента в ретроспективе — так как риски собраны на основе закрытых проектов, команда может более достоверно оценить их вероятность и отметить, как сработали те или иные решения.

Например, во время проекта уволился сотрудник, и компания передала его часть работы проверенному аутсорсеру. Проект закрыт успешно, подход сработал удачно, значит, и в будущем этот риск можно решать привлечением стороннего специалиста.

Приведем примеры рисков, с которыми сталкивались наши проджект-менеджеры:

Некоторые из них мы разберем в разделе «Пример анализа рисков».

Один из самых наглядных и удобных инструментов — реестр рисков, который составляется отдельно для каждого проекта digital-агентства. Для этого мы создаем таблицу со следующими колонками:

За основу взяли следующую матрицу определения рисков:

Особое внимание нужно уделять рискам с красным и оранжевым маркером (существенная, недопустимая степень). Даже если все риски проекта с зеленым маркером, среди них нужно выделить приоритетные.

Лучше заполнять таблицу исходя из приоритетности: риски из оранжевой и красной зоны идут в первую очередь, а менее опасные риски — после.

Таблицу можно составлять только для внутреннего пользования или добавлять ее в документацию по проектам.

Актуализировать риски рекомендуется раз в две недели. Если проект будет длиться полгода, то к третьему месяцу перечень рисков может измениться: какие-то риски станут более вероятны, а какие-то, наоборот, совсем минуют проект.

Еще одна рекомендация — сформировать топ-10 рисков проекта, которые всегда будут в поле зрения проджект-менеджера.

Самая важная графа в таблице — с действиями, которые мы будем выполнять, когда риск станет реальной ситуацией. План помогает действовать оперативно и заранее запланировать ресурсы не только на проект, но и на случай форс-мажора.

Когда риск выступает как возможность, а не угроза, можно придерживаться следующих стратегий:

Пропишите действия по каждому риску, а также подготовьте ресурсы для них.

Вернемся к примеру с заболевшим сотрудником — если вы рассматриваете возможность замены заболевшего сотрудника аутсорсером, то необходимо найти контакты профессионала с портфолио, которое соответствует задачам проекта. Когда решение нужно принимать срочно, вам вряд ли удастся быстро найти хорошую замену члену команды.

Проанализируем два риска по таблице выше.

Разберем ситуацию, в которой заказчик перевел коммуникацию на сотрудника с низкой заинтересованностью и вовлеченностью в проект.

Источник: внешний, на стороне заказчика

Ответственный: проджект-менеджер, так как он взаимодействует с заказчиком и контактным лицом

Вероятность: низкая. По опыту нашего агентства, риск случается редко.

Последствия: критичные. Если контактное лицо не будет предоставлять необходимую информацию, присутствовать на созвонах и проводить согласование, проект окажется на грани срыва.

Степень влияния на проект: по матрице рисков умеренная, желтый маркер.

Степень управляемости: управляемый, так как проджект-менеджер может принять меры для улучшения ситуации

Разберем ситуацию, в которой у дизайнера наступил творческий кризис. Такое случается, например, если заказчик не принимает дизайн-концепцию и дизайнеру не удается попасть в его видение. Он потерян, и не понимает, что делать дальше.

Источник: внутренний, на стороне агентства

Вероятность: низкая. По опыту нашего агентства, риск случается редко.

Ответственный: проджект-менеджер, так как он управляет проектом, является связующим звеном между дизайнером и заказчиком, а также обладает ресурсами для разрешения ситуации.

Последствия: умеренные. Творческий кризис может привести к тому, что заказчик не согласует дизайн-концепцию, или дизайнеру потребуется больше времени на работу. Последствия достаточно весомые, но не критичные.

Степень влияния на проект: по матрице рисков терпимая, зеленый маркер.

Степень управляемости: управляемый, так как проджект-менеджер может принять меры для улучшения ситуации

Так будет выглядеть заполненная таблица с рисками:

Ссылка на таблицу для использования.

Чтобы снизить вероятность того, что риск произойдет, можно проводить «профилактику». Для этого нужно добавить особые действия в ежедневную работу команды и коммуникацию с заказчиком. Расскажем, что из таких действий работает у нас.

Некоторые задачи проекта ложатся на клиента, и во время коммуникации мы объясняем его ответственность в этой части. Например, если команда не получит контент, то мы не сможем приступить к дизайну и разработке.

Заказчик может не понимать, как устроена проектная деятельность и создание сайта, поэтому объяснять, к чему приведет игнорирование запросов агентства — задача исполнителя.

Другая частая ситуация — когда на этапе разработки заказчик хочет добавить еще одну функцию. Например,сейчас мы делаем образовательную игру, где заказчик уже в процессе разработки попросил добавить одно условие. Оно предполагало создание новых сценариев и огромный пул дополнительных работ с коррекцией того, что уже сделано.

Правки не приняли — объяснили, что это слишком масштабные изменения, которые приведут к срыву сроков. Заказчик понял, что работа более сложная, чем ему виделось, и затягивать разработку не в его интересах. Узнав о последствиях риска, клиент осознал его и согласился с решением уклониться от угрозы.

На крупных проектах есть риск потерять какую-либо информацию, поэтому все нужно фиксировать текстом. Для этого можно создать пространство, где команда будет закреплять все важные аспекты проекта. Например, это можно делать в Notion.

Чтобы вся важная информация была под рукой, создайте вики проекта. На скрине выше пример возможного наполнения, которое может варьироваться в зависимости от потребностей проекта и команды.

При расчете объема работ полезно закладывать коэффициент неопределенности на случай, если что-то пойдет не так, и реализовавшиеся риски продлят выполнение задач. На скрине ниже — один из примеров, где коэффициент неопределенности помог правильно скорректировать объем работ и попасть в точку с итоговым количеством часов.

Отсутствие регламентов и ответственных на крупных проектах ведет к хаосу. Чтобы управлять рисками эффективнее, назначайте ответственного за риск. Им не обязательно будет проджект-менеджер, ответственными могут быть и разработчики, и дизайнеры, и тестировщики.

Сотрудник должен понимать и принимать ответственность, нести ее. Для этого закрепляйте ответственных в таблице и во время митингов ставьте сотрудника в курс дела, чтобы он был внимателен к рискам, которые находятся под его контролем.

В долгих и крупных проектах может затеряться важная информация, и на этот случай лучше иметь памятку. Здесь пригодятся регламенты. Их можно фиксировать в чате или пространстве проекта, как мы показывали выше, чтобы они всегда находились под рукой.

При работе нескольких дизайнеров на проекте важно договориться о различных правилах при помощи UI-кита. Например, закрепить стандарты отступов на макетах и выделить ведущего дизайнера. Это поможет уменьшить влияние риска, связанного с работой нескольких дизайнеров и получить единообразные макеты.

Также можно фиксировать и мелкие организационные инструкции. Например, план бронирования переговорок, чтобы члены команды знали заранее, когда и куда идти.

Сформируйте адекватное отношение к рискам, это поможет спокойно заниматься проектом и относиться к угрозам как к рутине. Все риски предотвратить нельзя — какие-то из них можно игнорировать, но держать в поле зрения до того момента, пока они не станут критичными.

Введите управление рисками как один из рутинных процессов работы с проектом, тогда вероятность негативного события не потревожит команду, ведь у нее будет понятный план действий на случай, если что-то пойдет не так.

В комментариях предлагаем поделиться рисками, которые встречались в вашей практике, и рассказать, какие действия вы предприняли для их разрешения.

Источник