Уровень риска

Что это

Уровень риска — это количественная или качественная оценка того, насколько опасна та или иная угроза: насколько вероятно, что она реализуется, и насколько серьёзными будут последствия. Формально уровень риска рассчитывается как произведение вероятности события на величину ущерба. Например, если вероятность сбоя сервера — 10%, а потери от простоя составят 1 000 000 рублей, уровень риска равен 100 000 рублей ожидаемых потерь. В нефинансовых контекстах риск часто выражают в баллах или категориях: низкий, средний, высокий, критический.

Зачем это нужно

Без оценки уровня риска невозможно расставить приоритеты: непонятно, с какой угрозой бороться в первую очередь, а какую можно принять и не тратить на неё ресурсы. Управление рисками стало обязательным элементом корпоративного управления после серии крупных корпоративных скандалов начала 2000-х — Enron, WorldCom — и финансового кризиса 2008 года. Сегодня банки обязаны рассчитывать уровни кредитного, рыночного и операционного риска по стандартам Базельского комитета (Basel III), а публичные компании раскрывают риски в годовых отчётах. В проектном управлении уровень риска помогает решить, нужен ли резервный бюджет или план Б.

Как это работает

Оценка уровня риска обычно проходит в несколько шагов. Сначала идентифицируют угрозы — всё, что может пойти не так. Затем для каждой угрозы оценивают два параметра: вероятность (как часто это может случиться) и воздействие (насколько больно ударит). После этого риски ранжируют и наносят на матрицу рисков — таблицу, где по осям отложены вероятность и ущерб. Риски в правом верхнем углу матрицы требуют немедленных мер, в левом нижнем — принимаются без активных действий.

• Идентификация угроз — мозговой штурм, анализ инцидентов прошлого, экспертные интервью.
• Оценка вероятности — от качественной шкалы (редко / иногда / часто) до статистических моделей.
• Оценка ущерба — в деньгах, человеко-часах, репутационных потерях или баллах.
• Расчёт уровня риска — перемножение двух параметров или присвоение итоговой категории.
• Приоритизация и выбор стратегии — принять, снизить, передать (страхование) или избежать риск.

Примеры

• Банк оценивает кредитный риск заёмщика: смотрит на кредитную историю, доход, долговую нагрузку и присваивает рейтинг от AAA до D. Чем ниже рейтинг, тем выше уровень риска и ставка по кредиту.
• IT-команда перед запуском нового сервиса строит матрицу рисков: риск DDoS-атаки — высокая вероятность, высокий ущерб → критический уровень, нужна защита на уровне инфраструктуры.
• Строительная компания оценивает риск задержки поставки материалов: вероятность 30%, потери от простоя — 2 млн рублей в неделю. Уровень риска достаточно высок, чтобы заключить договор с резервным поставщиком.
• Инвестор использует показатель VaR (Value at Risk): при уровне риска 5% портфель не потеряет больше 500 000 рублей за день с вероятностью 95%.
• Регулятор Роскомнадзор классифицирует операторов персональных данных по уровню риска утечки — от этого зависит частота плановых проверок.

Связанные понятия

• Риск-аппетит — максимальный уровень риска, который организация готова принять осознанно.
• Матрица рисков — визуальный инструмент для ранжирования угроз по вероятности и ущербу.
• VaR (Value at Risk) — статистическая мера максимальных потерь за период с заданной вероятностью.
• Риск-менеджмент — система процессов по выявлению, оценке и управлению рисками.
• Стресс-тестирование — проверка устойчивости системы при экстремальных, но возможных сценариях.
• Остаточный риск — уровень риска, который остаётся после применения защитных мер.

Частые ошибки

Главная ошибка — путать уровень риска с самим риском. Риск — это угроза, уровень риска — её измеренная характеристика. Вторая распространённая проблема: оценивать только вероятность, игнорируя масштаб последствий. Редкое, но катастрофическое событие (пожар в дата-центре) опаснее частого, но мелкого (ошибка в форме). Ещё одна ловушка — статичность оценки: уровень риска меняется со временем, и матрицу рисков нужно пересматривать регулярно, а не раз в год для галочки.