На деловых переговорах и заседаниях советов директоров слова «неопределенность» и «риск» употребляются как взаимозаменяемые синонимы. Руководители часто говорят: «Этот проект несет слишком высокую неопределенность», подразумевая прямую угрозу катастрофы, или заявляют: «Риски под контролем», не имея на руках ни одной числовой оценки.
Смешение этих категорий парализует стратегическое планирование. Без четкого понятийного аппарата бизнес не способен оценить, где требуется защищаться от потерь, а где неопределенность открывает уникальные рыночные возможности.
Понятийный разбор и аналитическая база
В прикладной информационной экономике эти термины разграничены предельно строго:
- Неопределенность (uncertainty) — это состояние знания, при котором существует более одного возможного исхода, а истинный результат (числовое значение, физическое состояние, рыночная цена) неизвестен. Показатель неопределенности — это набор вероятностей, соотнесенных с набором возможных исходов. Например: «Существует 60% вероятности, что рынок удвоится, 30% — что вырастет умеренно, и 10% — что сократится». Сама по себе неопределенность нейтральна: она включает в себя как триумф, так и неудачу.
- Риск (risk) — это состояние неопределенности, в котором часть возможных исходов несет негативные последствия: финансовые убытки, аварии, срыв сроков. Показатель риска — это набор нежелательных исходов, выраженных количественными вероятностями и количественно определенным денежным ущербом. Например: «Вероятность того, что разведочная скважина окажется пустой, составляет 40%, а прямой финансовый ущерб от затрат на бурение равен 12 млн долларов».
Чтобы структурировать процесс оценки, аналитик применяет шесть универсальных вопросов Хаббарда:
- Что именно вы пытаетесь измерить (объект)?
- Ради какого решения проводится измерение (каков порог выбора)?
- Какова экономическая ценность информации (цена ошибки и ее вероятность)?
- Что уже известно на текущий момент (априорные интервалы)?
- Какие конкретные наблюдения позволят подтвердить или исключить сценарии?
- Как учесть и устранить предотвратимые ошибки измерений?
Первые три вопроса отсекают холостую работу. Если результат измерения ни при каких условиях не способен изменить поведение руководства, ценность такой информации равна нулю, и тратить бюджет на сбор данных бессмысленно.
Измерение имеет экономический смысл только тогда, когда его результат способен изменить принимаемое решение. Если проект будет запущен независимо от полученных цифр, любое измерение становится пустой тратой ресурсов.
Практическая иллюстрация
Рассмотрим типичный запрос службы безопасности: «Руководство должно выделить 15 млн рублей на новый комплекс защиты, потому что риски вирусных атак выросли». Для финансового директора это абстрактный лозунг.
Аналитик AIE декомпозирует проблему по методу Ферми и переводит абстрактную угрозу в строгую формулу риска:
Среднегодовые убытки = Число атак × Пострадавшие сотрудники × Снижение эффективности × Часы простоя × Годовая ставка / 2080 часов
Подставив калиброванные интервалы:
- Число крупных атак в год: 2;
- Затронуто сотрудников: 250 человек;
- Снижение продуктивности: 50% (0,5);
- Продолжительность простоя: 16 рабочих часов;
- Средняя годовая зарплата сотрудника: 1,2 млн рублей при фонде 2080 рабочих часов в год (ставка ~577 рублей в час).
Расчет дает: $2 \times 250 \times 0{,}5 \times 16 \times 577 \approx 2{,}3$ млн рублей среднегодового прямого ущерба. Если система безопасности стоит 15 млн рублей при годовой лицензии в 3 млн, инвестиция в таком объеме экономически нецелесообразна: ущерб от риска существенно ниже затрат на его предотвращение.
Декомпозиция рисков безопасности
Перевод расплывчатого понятия «киберугроза» в конкретные часы простоя персонала и ставку оплаты труда позволяет сопоставить реальный финансовый риск со стоимостью защитного программного обеспечения.
Управленческие выводы и следствия
- Требуйте вероятности и суммы ущерба. Отклоняйте отчеты, в которых риски описаны качественными прилагательными («высокий», «критический»). Требуйте 90%-й доверительный интервал потенциальных потерь.
- Проверяйте развилку решений. Перед утверждением бюджета на исследование спросите инициатора: «Какое число заставит вас отказаться от проекта?». Если ответа нет — исследование не нужно.
- Разделяйте нейтральную неизвестность и риск. Не стремитесь устранить любую неопределенность: устранять нужно лишь ту ее часть, которая грозит неприемлемым финансовым ущербом.