Вероятность наступления риска

Что это

Вероятность наступления риска — это количественная или качественная оценка шанса того, что конкретное нежелательное событие произойдёт в течение определённого периода или в рамках определённого процесса. Выражается в виде числа от 0 до 1 (или от 0% до 100%), где 0 означает невозможность события, а 1 — его неизбежность. Это один из двух ключевых параметров риска: второй — размер возможного ущерба. Вместе они формируют базовую формулу: Риск = Вероятность × Ущерб.

Зачем это нужно

Без оценки вероятности управление рисками превращается в угадывание. Компания не может рационально распределить бюджет на защиту: нельзя одинаково серьёзно готовиться к землетрясению в Москве и к сбою сервера. Страховые компании строят на этом показателе весь бизнес — актуарии рассчитывают страховые премии, опираясь на исторические данные о частоте страховых случаев. В проектном управлении (PMBoK, PRINCE2) вероятность наступления риска — обязательный элемент реестра рисков: без неё невозможно расставить приоритеты и понять, какие угрозы требуют немедленного реагирования, а какие достаточно просто мониторить.

Как это работает

Оценку вероятности получают несколькими способами в зависимости от доступных данных и контекста:

Статистический метод — анализ исторических данных. Если за 10 лет сервер падал 2 раза, грубая вероятность сбоя в конкретный год — 0,2 (20%). Используется в страховании, банковском риск-менеджменте (Basel III требует именно такого подхода для кредитных рисков).
Экспертная оценка — когда статистики нет. Группа специалистов выставляет вероятность по шкале: низкая (до 20%), средняя (20–50%), высокая (выше 50%). Применяется в проектах с уникальными условиями.
Метод аналогий — сравнение с похожими проектами или событиями. Если 7 из 10 стартапов в нише закрылись за первые 3 года, вероятность провала нового проекта оценивается как ~70%.
Вероятностное моделирование — метод Монте-Карло и другие симуляции. Программа прогоняет тысячи сценариев с разными входными данными и выдаёт распределение вероятностей. Используется в финансовом моделировании и оценке сложных инфраструктурных проектов.

Примеры

IT-проект: команда оценила вероятность задержки релиза из-за болезни ключевого разработчика как 30%. Ущерб — штраф по контракту 500 000 ₽. Ожидаемый убыток: 150 000 ₽. Это обосновало найм бэкапного специалиста.
Банковское кредитование: скоринговая модель присваивает заёмщику вероятность дефолта (PD — Probability of Default) 4%. Это напрямую влияет на процентную ставку и размер резервов по МСФО 9.
Страхование автомобилей: на основе статистики ДТП для водителей 18–25 лет вероятность страхового случая в год оценивается выше, чем для водителей 35–50 лет — отсюда разница в тарифах КАСКО.
Кибербезопасность: по данным отчёта IBM Cost of a Data Breach 2023, вероятность утечки данных для компании без многофакторной аутентификации существенно выше — это аргумент для CISO при защите бюджета на безопасность.
Строительство: при оценке проекта моста вероятность превышения сметы более чем на 20% исторически составляет около 70% для крупных инфраструктурных объектов — этот факт закладывается в резервный фонд.

Связанные понятия

Ущерб от риска (Impact) — второй компонент формулы оценки риска
Ожидаемые потери (Expected Loss) — произведение вероятности на размер ущерба
Матрица рисков — инструмент визуализации рисков по осям «вероятность» и «влияние»
Реестр рисков — документ проекта или компании, где фиксируются все идентифицированные риски с их вероятностями
Вероятность дефолта (PD) — специализированный термин в банковском риск-менеджменте
Остаточный риск — уровень риска, остающийся после применения мер контроля

Частые ошибки

Главная ошибка — путать вероятность с частотой. Если событие не происходило последние 5 лет, это не значит, что его вероятность равна нулю: просто не было реализации. Вторая распространённая проблема — присваивать всем рискам одинаковую вероятность «на глаз», без обоснования. Это делает реестр рисков бесполезным документом. Ещё одна ловушка — игнорировать зависимость между рисками: вероятность двух связанных событий не суммируется арифметически, а считается с учётом корреляции. Именно недооценка корреляции рисков стала одной из причин финансового кризиса 2008 года, когда модели оценивали ипотечные дефолты как независимые события.