Матриця ризиків — це матриця, яка використовується під час оцінювання ризику для визначення рівня ризику шляхом зіставлення категорії ймовірності (яку часто плутають з одним із її можливих кількісних показників, тобто імовірністю) з категорією тяжкості наслідків. Це простий механізм для підвищення видимості ризиків і допомоги керівництву в ухваленні рішень.

Матриця ризиків широко використовується в різних галузях, таких як військова справа, авіація, фармацевтика, технічне обслуговування, поліграфія та видавнича справа, кібербезпека, морські операції, електроніка, пакування та промислова інженерія. Кілька нещодавніх досліджень показали, що оцінювання за допомогою матриць ризиків дедалі більше переходить від якісних до кількісних методів, особливо у виробничих і промислових процесах.

Визначення Ризик — це відсутність визначеності щодо результату здійснення певного вибору. Зі статистичного погляду рівень ризику несприятливих наслідків може бути розрахований як добуток імовірності виникнення шкоди (наприклад, імовірності того, що станеться аварія) на тяжкість цієї шкоди (тобто середній обсяг шкоди або, більш консервативно, максимально достовірний обсяг шкоди). Однак цей метод має суттєві обмеження (див. Проблеми), оскільки дослідження показали, що матриці ризиків, засновані на простому множенні, можуть мати низьку роздільну здатність, через що вони не розрізняють ризики, які кількісно дуже відрізняються, особливо коли частота та тяжкість подій мають від’ємну кореляцію.

На практиці матриця ризиків є корисним підходом у випадках, коли ймовірність або тяжкість шкоди неможливо оцінити з достатньою точністю та прецизійністю.

Хоча в певних контекстах існують стандартні матриці ризиків (наприклад, Міністерства оборони США, НАСА, ISO),International Organization for Standardization, Space Systems Risk Management, ISO 17666, окремим проєктам та організаціям може знадобитися створювати власну матрицю ризиків або адаптувати наявну. Наприклад, тяжкість шкоди може бути класифікована так:

Катастрофічна: смерть або повна постійна інвалідність, значний незворотний вплив на довкілля, повна втрата обладнання Критична: травма рівня аварії, що призводить до госпіталізації, часткова постійна інвалідність, значний оборотний вплив на довкілля, пошкодження обладнання Гранична: травма, що спричиняє втрату робочих днів, помірний оборотний вплив на довкілля, пошкодження на рівні незначної аварії Незначна: травма, що не спричиняє втрати робочих днів, мінімальний вплив на довкілля, пошкодження менше рівня незначної аварії

Імовірність виникнення шкоди може бути класифікована як «певна», «імовірна», «можлива», «малоймовірна» та «рідкісна». Однак слід враховувати, що дуже низька імовірність може бути не дуже надійною.

Отримана матриця ризиків може мати такий вигляд: Імовірність Тяжкість шкоди Незначна Гранична Критична Катастрофічна Певна Імовірна Можлива Малоймовірна Рідкісна Усунена colspan="4"

Потім компанія або організація визначає, які рівні ризику вона може прийняти для різних подій. Це здійснюється шляхом зіставлення ризику виникнення події з витратами на впровадження заходів безпеки та отриманою від них користю.

Розвиток 30 січня 1978 року було опубліковано нову версію Інструкції Міністерства оборони США 6055.1 («Програма охорони праці та здоров’я Міністерства оборони»). Вважається, що це був важливий крок у напрямку розвитку матриці ризиків.

У серпні 1978 року автор підручників з бізнесу Девід Е. Гассі визначив «матрицю ризиків» для інвестицій, у якій ризик розташовувався на одній осі, а прибутковість — на іншій. Значення на осі ризику визначалися спочатку встановленням значень впливу ризику та ймовірності ризику способом, ідентичним до побудови сучасної матриці ризиків розміром 7 × 7.

Версію матриці ризиків розміром 5 × 4 було визначено Міністерством оборони США 30 березня 1984 року в документі «MIL-STD-882B System Safety Program Requirements».

Матриця ризиків використовувалася командою з реінжинірингу процесу придбання в Повітряних силах США, у Electronic Systems Center у 1995 році.

У 2010 році Хуейхуей Ні, Ань Чень і Нін Чень запропонували деякі вдосконалення цього підходу.

У 2019 році трьома найпопулярнішими формами матриці були:

матриця ризиків 3 × 3 (OHSAS 18001) матриця ризиків 5 × 5 (MIL-STD-882B) матриця ризиків 4 × 4 (AS/NZS 4360:2004)

Також використовуються інші стандарти.

Проблеми У своїй статті What's Wrong with Risk Matrices?Cox, L.A. Jr., 'What's Wrong with Risk Matrices?', Risk Analysis, Vol. 28, No. 2, 2008, Тоні Кокс стверджує, що матриці ризиків мають низку проблемних математичних властивостей, які ускладнюють оцінювання ризиків. До них належать:

Низька роздільна здатність. Типові матриці ризиків можуть правильно й однозначно порівняти лише невелику частку (наприклад, менше 10 %) випадково вибраних пар небезпек. Вони можуть призначати однакові оцінки кількісно дуже різним ризикам («стиснення діапазону»). Помилки. Матриці ризиків можуть помилково призначати вищі якісні оцінки кількісно меншим ризикам. Для ризиків із від’ємно корельованими частотами та тяжкістю вони можуть бути «гіршими за непотрібні», що призводить до рішень, гірших за випадкові. Неоптимальний розподіл ресурсів. Ефективний розподіл ресурсів на контрзаходи для зниження ризику не може ґрунтуватися на категоріях, представлених матрицями ризиків. Неоднозначні вхідні та вихідні дані. Категорії тяжкості не можуть бути об’єктивно визначені для невизначених наслідків. Вхідні дані матриць ризиків (наприклад, категорії частоти та тяжкості) та отримані результати (тобто оцінки ризику) потребують суб’єктивної інтерпретації, і різні користувачі можуть отримувати протилежні оцінки для однакових кількісних ризиків. Ці обмеження свідчать про те, що матриці ризиків слід використовувати з обережністю та лише з ретельним поясненням закладених у них суджень.

Томас, Братволд і БікельThomas, Philip, Reidar Bratvold, and J. Eric Bickel, 'The Risk of Using Risk Matrices,' SPE Economics & Management, Vol. 6, No. 2, pp. 56-66, 2014, демонструють, що матриці ризиків породжують довільні ранжування ризиків. Ранжування залежить від самої конструкції матриці ризиків, наприклад від розміру інтервалів та від того, використовується висхідна чи низхідна шкала. Іншими словами, зміна шкали може змінити результат.

Додатковою проблемою є неточність категорій імовірності. Наприклад, «певна», «імовірна», «можлива», «малоймовірна» та «рідкісна» не пов’язані між собою ієрархічно. Кращого результату можна було б досягти шляхом використання одного й того самого базового терміна, наприклад «надзвичайно поширена», «дуже поширена», «досить поширена», «менш поширена», «дуже рідкісна», «надзвичайно рідкісна», або подібної ієрархії на основі терміна «частота».

Іншою поширеною проблемою є присвоєння порядкових індексів осям матриці та перемноження цих індексів для отримання «оцінки ризику». Хоча це здається інтуїтивно зрозумілим, результатом є нерівномірний розподіл.

Кібербезпека Douglas W. Hubbard і Річард Зайерсен узагальнюють результати досліджень Кокса, Томаса, Братволда та Бікеля й надають конкретний аналіз у сфері ризиків кібербезпеки. Вони зазначають, що, оскільки 61 % фахівців із кібербезпеки використовують певну форму матриці ризиків, це може бути серйозною проблемою. Габбард і Зайерсен розглядають ці проблеми в контексті інших вимірюваних людських помилок і доходять висновку, що «помилки експертів просто додатково посилюються помилками, які вносяться самими шкалами та матрицями. Ми погоджуємося з рішенням, запропонованим Томасом та ін. Немає потреби в кібербезпеці (або інших сферах аналізу ризиків, які також використовують матриці ризиків) заново винаходити усталені кількісні методи, що використовуються в багатьох настільки ж складних задачах».

Примітки