Od dłuższego czasu podświadomie czułem, że pewien aspekt metody szacowania ryzyka jakiej mnie nauczono już kilka lat temu jest niewłaściwy, prowadzi do błędnych wyborów i wniosków. Nie było jednak lepszych a równie prostych i przyjaznych alternatyw. Kilka tygodni temu przedstawiłem swoją wątpliwość na Linkedin, w grupie "Enterprise Risk Management Association".

Ci z czytelników, którzy posłuchali mojego wezwania do współtworzenia historii współczesnego zarządzania ryzykiem i założyli sobie konto na Linkedin, mogą wczytać się w dyskusję. Dyskusja jest dostępna tutaj.

Okazuje się, że po dwóch miesiącach jest to najbardziej popularny temat dyskusji w tej grupie - wielu menedżerów ryzyka nurtuje ten sam problem.

A problem najczęściej jest widoczny w sposób najbardziej ostry podczas prowadzenia warsztatów identyfikacji i szacowania ryzyk z managementem różnych firm. Mimo, iż często w roli uczestników biorą w nich udział osoby ze stosunkowo małym doświadczeniem i wiedzą o zarządzaniu ryzykiem, zwykle są to osoby trzeźwo myślące, doświadczone w biznesie i krytyczne. Najczęściej przedmiotem ich krytyki jest założenie, jakie każę im zrobić, że dla danego ryzyka "prawdopodobieństwo jest niezależne od skutku", to znaczy, że ocenę (szacowanie, pomiar) obu wartości należy prowadzić według zasady:

• skutek - najgorszy rozsądnie przewidywalny przypadek (scenariusz)
• prawdopodobieństwo - dla każdego możliwego zdarzenia, jakie może prowadzić do scenariusza jak zdefiniowano powyżej
• obie wartości uwzględniają istniejące środki kontroli (stan "with existing controls" wg AS/NZS 4360)
• prawdopodobieństwo jest oceniane niezależne od skutku (tj maksima dla obu wartości).

Dla każdego ryzyka (zjawiska, zdarzenia, scenariusza, zagrożenia) można przywołać cały zakres możliwych prawdopodobieństw i skutków. Przykładowo: małych pożarów zdarza się 1'000 w roku ale pożarów kończących się dużymi stratami majątkowymi już tylko 100, a kończących się przy tym śmiercią osób jest 10 w roku. W ten sposób pojmowane "ryzyko pożaru" na mapie ryzyka stanowi nie jeden punkt (jedną parę wartości skutek - prawdopodobieństwo) co chmurę punktów. 

Krytyka - moim zdaniem w pełni słuszna i uzasadniona - dotyczy zasady "prawdopodobieństwo jest niezależne od skutku" i tego co z niej wynika: ocena ryzyka jest w ten sposób zawsze zawyżana co do swojej wartości. Jest tak, bowiem zestawia się ze sobą skrajnie wysoki (choć jeszcze możliwy) skutek i skrajnie wysokie (choć jeszcze możliwe) prawdopodobieństwo. Zdawałem sobie z tego sprawę od lat, ale jedyne co miałem na obronę takich założeń i metody, to fakt, że wszystkie ryzyka na mapie zostają podczas oceny przesunięte w kierunku rogu matrycy ryzyka w takim samym stopniu, a więc nadal zachowują właściwą relację między sobą.

Mogłoby się wydawać, że to wątpliwość akademicka, ale tak nie jest. Skoro bezpośrednim efektem przeglądu mapy ryzyka mają być decyzje menedżerskie dotyczące akceptowania ryzyk lub nie, przedsięwzięcie dodatkowych działań ograniczających ryzyka, podjęcie wydatków kapitałowych, spożytkowanie czasu managementu i pracowników czy dokonanie zmian w operacjach i procesach - po to aby ryzyko obniżyć, to pomiar ryzyka i jego przedstawienie na mapie ryzyka powinna być bardzo mocno urealnione i diablo wiarygodne. Chodzi bowiem nie tylko o wiarygodność oceny tego jednego ryzyka, ale wiarygodność i przydatność zarządzania ryzykiem dla managementu w ogóle.

Na Linkedin otrzymałem olbrzymi tzw feedback a wiele osób zaglądało tam nie aby wziąć udział w dyskusji lecz żeby się czegoś dowiedzieć i nauczyć. Po tej dość żywej dyskusji z praktykami risk managementu utwierdziłem się w swoim wczesniejszym przeczuciu, które w tej chwili jest już przekonaniem, że zasada "prawdopodobieństwo jest niezależne od skutku" jest bardzo szkodliwa i należy ją odłożyć na półkę archiwalną.

Od dziś będę przekonywał, że niestety należy sobie - innym uczestnikom procesu zarządzania ryzykiem - trochę skomplikować życie przyjmując następujące założenia i algorytm oceny (szacowania, pomiaru) ryzyka:

• założenie, że jedno ryzyko (jako zdefiniowane zdarzenie, zjawisko) może być przedstawione w kilku wariantach, jako kilka punktów na mapie ryzyka
• ocenę skutku i prawdopodobieństwa dokonuje się zawsze wziąwszy pod uwagę istniejące środki kontroli (ograniczania) ryzyka
• skutek i prawdopodobieństwo dla określonego scenariusza ryzyka są od siebie zależne
• zakres "minimum" oceny ryzyka powinien brać pod uwagę skutek jako "worst credible scenario" i odpowiadające temu scenariuszowi prawdopodobieństwo
• zakres "optimum" oceny ryzyka powinien ponadto uwzględniać skutek jako "most probable inmpact/scenario" i odpowiadające mu prawdopodobieństwo.

W ten sposób, na mapie ryzyka otrzymuje się dwa najbardziej charakterystyczne - i najbardziej interesujące z perspektywy zarządzania ryzykiem - punkty w "chmurze punktów", dla danego ryzyka. Taka para daje obraz kierownictwu jakiego zakresu zdarzeń i scenariuszy należy się realnie spodziewać, a tym samym jakie są najbardziej racjonalne środki zaradcze.

Wasz w ryzyku,

R