Používáte matici rizik a mohl bych ji vidět?
3. díl

Znovu musíme zopakovat, že risk matice jest pro valuaci rizik naprosto nevhodný nástroj.

Nyní se podíváme na to, jak moc je risk matice, kterou používáte, špatná a o kolik miliónů můžete v důsledku jejího používání přijít.

Možná stále doufáte, že to nebude tak zlé. Chápu, naděje umírá poslední. A dnes bohužel umře i ta naděje. V rámci našeho výzkumu kvalitativních risk matic jsme dospěli k závěru, že matice rizik jsou z principu pofiderním nástrojem kategorie „křišťálových koulí“ a parametry matice, jako jsou její velikost (dimenze), rozdělení intervalů pro pravděpodobnost, pro dopad a počet barev (hladin) rizika, nehrají v tomto kategorickém tvrzení v zásadě vůbec žádnou roli.

Abychom naše tvrzení doložili, použijeme středně velkou risk matici o rozměrech 4×4, kterou jsme našli na internetu. A jsme samozřejmě připraveni stejný výpočet a důkaz provést i pro jakoukoliv jinou matici, a orientačně odhadnout, jak velké je riziko vyplývající z jejího používání. Ano, čtete dobře, s risk maticí v ruce si neuvěřitelně zahráváte a jejich nejznámější odborná kritika se jmenuje „The risk of using risk matrices“.

Je nasnadě, že vaše potenciální ztráta z „maticového šarlatánství“ se bude odvíjet od výše vašeho risk apetitu (míry citlivosti k riziku a ochoty riskovat) a tržní hodnoty vaší společnosti (navázané zpravidla na obrat a provozní zisk, viz. nedávný článek na toto téma). A v okamžiku, kdy budete vyhodnocovat několik desítek hrozeb, budou se související rizika soustředit v určitých konkrétních „krabicích“ (sběrných koších) a škody v důsledku chyb v jejich měření a vyhodnocování s použitím šarlatánských risk matic tak jenom porostou.

A pokud vezmeme matici, kde jsou intervaly rozděleny nerovnoměrně, tedy tu, která se více blíží realitě, tak v ní můžeme spolehlivě prioritizovat jen ta nejvyšší rizika, protože do většiny prvního řádku a většiny prvního sloupce matice se nám natlačily hned 3 izorisk křivky (pro nízké, střední i vysoké riziko). To už si můžete rovnou místo analýzy rizik hodit korunou.

Ovšem ono je to celé ještě mnohem horší. Některé „rizik-krabice“ budou řídce populované nebo téměř prázdné, zejména ty s kombinací vysoké až extrémní (anualizované!) pravděpodobnosti a katastrofického dopadu na společnost. Tato katastrofická, kritická a existenciální rizika a související situace (scénáře) totiž ze své podstaty vůbec neřeší řadový pracovník společnosti, ta patří výhradně nejvyššímu vedení.

Navíc v případě správných (realisticky odhadnutých) takto vysokých složek rizika jsou pro společnost nevyhnutelně likvidační a po několika málo měsících otálení v risk logu už by k nějaké existenciální události skutečně došlo.

Obdobně málo situací (scénářů) budeme mít ve sběrných koších pro rizika, kde se kombinuje nízká až marginální (anualizovaná!) pravděpodobnost a nízký až zanedbatelný dopad. Tyto situace jsme totiž ze své podstaty historicky vůbec nerozpoznali (neviděli), ani je v budoucnu nezaregistrujeme (neuvidíme), protože nastávají velmi zřídka (pro anualizovanou P=0.1 je to jednou za deset let). A když už nastanou, tak vzniklé dopady a škody nepocítíme a ve firmě je daná obchodní nebo technologická linie snadno zahrne do běžných provozních výdajů. Tato „náhodná zakopnutí, zaškobrtnutí“ by vlastně neměl pracovník-riskař ve společnosti vůbec řešit, nestojí za řeč ani za jeho mzdu.

Abychom zjistili, jak moc je naše matice špatná, tak musíme spočítat pro každou buňku matice jakých nejnižších (levý dolní roh) a nejvyšších (pravý horní roh buňky) škod v ní může takto kategorizované riziko nabývat (ona totiž ta matice rizika neměří, jen je dvourozměrně kategorizuje a výsledek velmi špatně zobrazuje).

Toto je skutečně nutné spočítat pro každou konkrétní matici a buňku, protože pokud chceme škodu v důsledku chybného měřidla odhadnout v absolutních číslech, tak záleží na tom, jakého je matice rozměru, jak jsou v ní rozděleny intervaly pravděpodobnosti a dopadu a konečně kolik je v ní výsledných kategorií (hladin, úrovní) rizik, jak jsou tato rizika obarvena (zobrazena) a jaká je tržní hodnota vaší společnosti, protože vůči ní budeme škodu poměřovat.

V našem modelovém příkladu jsme si intervaly (anualizované!) pravděpodobnosti rozdělili takto: krajně nepravděpodobné (0,10), málo pravděpodobné (10,20), pravděpodobné (20,50), téměř jisté (50,100). Dopady jsme pak stanovili jako procentuální ztrátu z tržní hodnoty společnosti a to takto: nízký (0, 5), střední (5, 15), vysoký (15,30), kritický (30,100). Ale stejně tak by se mohlo jednat o relativní ztrátu z obratu nebo zisku. Samotnou matici jsme nechali obarvenou tak jak byla, přičemž zelená symbolizuje nízké riziko, žlutá střední, oranžová vysoké a červená kritické. Sledovat tak budeme 4 úrovně (hladiny) rizika.

Začneme tím, že vynásobíme odpovídající dolní hodnotu intervalu dopadu (Impact Lower Bound, zkr. I_LB) dolní hodnotou intervalu pravděpodobnosti (Likelihood Lower Bound, zkr. L_LB), čímž získáme dolní hranici škody (Risk Lower Bound, zkr. R_LB).

Následně pak vynásobíme horní hodnotu intervalu dopadu (Impact Upper Bound, zkr. I_UB) horní hranicí intervalu pravděpodobnosti (Likelihood Upper Bound, zkr. L_UB), čímž získáme horní hranici škody (Risk Upper Bound, zkr. R_UB).

Když se na jednotlivé tabulky podíváme, zdá se to celkem fajn, hodnoty v buňkách obarvených zeleně jsou nižší, než hodnoty v buňkách obarvených žlutě a ty jsou zase nižší než hodnoty v buňkách obarvených oranžově a ty jsou zase nižší než hodnoty v buňkách obarvených červeně. Prostě ideál. Jenže když začneme porovnávat hodnoty v obou tabulkách, začíná celý tento koncept dostávat povážlivé trhliny a zhmotňovat se ta nejhorší noční můra.

Rozsah škod, rozuměj velikost hodnoty rizika v příslušné buňce risk matice, je dána intervalem (R_LB, R_UB). Tuto absolutní škodu pak převedeme na anualizovanou relativní škodu v procentech. Tímto získáme pro jednotlivé kategorie rizika vždy nejnižší možnou škodu a nejvyšší možnou škodu, které riziko v dané kategorii může nabývat. Následně pak vezmeme nejnižší a nejvyšší hodnotu škody v příslušné kategorii a ty zobrazíme v grafu.

Nyní jasně vidíme, kde se nám jednotlivé intervaly překrývají. Všude. Není zde jediný interval, který by se nepřekrýval. V grafu vidíme, že máme pod sebou nízké, střední, vysoké i kritické riziko a pro očekávané ztráty v klíčovém rozsahu 6 %-10 % tržní hodnoty firmy si dokonce můžeme vybrat ze 3 barev najednou! A to je problém, protože v této oblasti s významnou ztrátou a velkým zastoupením hodnocených situací nevyhnutelně dochází k chybnému rozhodnutí ohledně prioritizace a zvládání rizik a vypadá to, že 2 ze 3 takto velkých rizik jsou maticí rizik významně podhodnocena a že naši židli čeká řada velmi zajímavých výbuchů. A obecně ani v jiných oblastech rozumných očekávaných ztrát nejsme schopni odlišit nízké riziko od středního, střední od vysokého a vysoké od kritického.

Naše matice začne spolehlivě rozlišovat až rizika s nerozumnou očekávanou ztrátou přesahující 20 % tržní hodnoty organizace. Co z toho vyplývá? Že drtivá většina rizik v matici bude buď nadhodnocena anebo naopak podhodnocena. V prvním případě budeme zbytečně vynakládat prostředky na eliminaci rizik, která si to nezasluhují a ve druhém případě bude zase naopak podceňovat rizika, která by nám mohla způsobit značnou škodu, a zvyšovat nálož pod naší židlí.

Za zmínku také stojí uvést skutečnost, že čím nižší má organizace risk apetit, tím více se jednotlivé kategorie překrývají a tím větší je šance, že budeme rizika řídit špatně. Jinými slovy, obvykle se předpokládá, že čím je riziko závažnější, tak je umístěno více vpravo a nahoře. Problém je, že tento předpoklad v mnoha případech neplatí.

Jestliže tedy tržní hodnota společnosti bude např. 10 mld., pak můžeme v případě použití této risk matice tratit od několika miliónů až do několika miliard korun a to rozhodně není zanedbatelná částka a jedná se i o systémové riziko, obzvláště pokud organizace prohlašuje, že její risk apetit je nízký a ztrátu vyšší 600 mil. považuje za kritické riziko. Ale nejlepší bude si to ukázat přímo na konkrétních příkladech.

Příklad 1 – s kvantitativně zcela odlišnými riziky je zacházeno stejně

Riziko A: pravděpodobnost 20% x dopad 3 mld. = riziko 0,6 mld.

Riziko B: pravděpodobnost 50% x dopad 10 mld. = riziko 5 mld.

Obě rizika skončí ve stejném „chlívečku“ (buňka [4, 3]) a přitom B má více jak dvojnásobnou pravděpodobnost výskytu a více jak trojnásobný dopad. Rozdíl mezi oběma riziky je více jak 8-násobný (řádový!) a přesto s nimi bude zacházeno stejně. K této principiální chybě dochází v maticích v důsledku tzv. komprese rozsahů (range compression, compression of ranges).

Příklad 2 – kvantitativně vyšší riziko je akceptováno

Riziko C: pravděpodobnost 10 % x dopad 3 mld. = riziko 300 mil. (zelený chlíveček [3, 1])

Riziko D: pravděpodobnost 20 % x dopad 500 mil. = riziko 100 mil. (žlutý chlíveček [2, 3])

Byť je riziko C trojnásobné, tak přesto skončí v chlívečku pro nízká rizika a naopak riziko D skončí v chlívečku pro střední rizika. Pokud je risk apetit společnosti nízký, tak riziko C bez okolků akceptuje a D bude naopak řešit a přitom by to mělo být naprosto obráceně. K této principiální chybě dochází v maticích v důsledku tzv. chybného zařazení (errorneous ranking, ranking error).

Příklad 3 – kvantitativně nižší riziko je prioritně řešeno

Riziko E: pravděpodobnost 10 % x dopad 10 mld. = riziko 1 mld (žlutý chlíveček [4,1])

Riziko F: pravděpodobnost 50 % x dopad 500 mil. = riziko 250 mil (oranžový chlíveček [2,4])

Byť je riziko E čtyřnásobné, tak přesto skončí v chlívečku pro střední rizika a naopak riziko F skončí v chlívečku pro vysoká rizika. Riziko F je vyhodnoceno jako závažnější než E a bude prioritně řešeno. Opět chybné zařazení.

Výše uvedené příklady, resp. umístění rizik v příslušných chlívečcích, je názorně zachyceno v následující heat mapě.

Vidíte, že s maticí se budete rozhodovat naprosto špatně. Budete akceptovat rizika, která byste měli řešit a naopak bude řešit ta, která byste mohli s klidným vědomím akceptovat. K rizikům se zcela odlišnou škodou bude přistupovat stejně a vynakládat na významnou část z nich neadekvátní prostředky. S risk matici to ale nikdy nepoznáte a budete dál žít v domnění, že to řídíte. Neřídíte ale nic, jen si to myslíte, je to tzv. placebo efekt (placebo effect).

Pokud si teď říkáte, dobře, ale to je jen náhoda, při velkém počtu rizik začne jistě platit zákon velkých čísel a bude se jednat jen o ojedinělý exces… Ne. Vygenerovali jsme náhodně a naprosto rovnoměrně 16 000 000 syntetických rizik (s uniformě distribuovanou pravděpodobností i dopadem), pro každý chlívek v naší rovnoměrné 4×4 matici je jich přesně 1 000 000 (máme rovnoměrné rozložení pravděpodobnosti i dopadu do 4 kategorií). Jen jsme pro tento případ použili jako maximální vzniklou škodu 30 mld (hodnoty dopadu jsou v tisících). A pak jsme pro tento Augiášův chlév vytvořili histogram a výsledek hovoří naprosto jasně. Mixle pixle.

Opět vidíme, kde nám to spolehlivě měří – tam kde to vůbec nepotřebujeme, a tam kde to potřebujeme, vidíme směsku hned několika barev najednou (označeno fialově) jak pro obecnou kategorii rizika (nízké, střední, významné a vysoké), tak pro konkrétní „risk rating“ (rozmezí R1-R16) z divoké násobilky kategorie pro pravděpodobnost a kategorie pro dopad. A také je zřejmé, že při rovnoměrném rozložení kategorií začne matice spolehlivě rozlišovat až ultra-vysoká rizika s očekávanou jednotlivou ztrátou přesahující 60 % tržní hodnoty organizace. A spolehlivě rozpoznat vlastní exitus se hodí vždy, že ano?

(A drobná poznámka ke grafu samotnému: pokud jste si mysleli, že součin/produkt dvou rovnoměrně distribuovaných veličin bude vypadat také nějak tak rovnoměrně, tak to tak rozhodně nevypadá, že, takže šupky hupky potrápit tím svoji oblíbenou umělou inteligenci, ať se trochu předvede!) 

Jistě, můžete zkusit jiný rozměr matice, jiné intervaly hrozeb a škod a vždy to dopadne v zásadě stejně. V buňkách, kde se koncentruje nejvíce rizik, matice zcela selhává. Máme tedy matici, která nám neumožňuje měřit správně ta rizika, kterých je nejvíce, a která je třeba řešit.

Uveďme si příklad, který možná lépe vystihne samotnou závažnost tohoto obrovského problému. Představte si, že máte lékařský teploměr, který slouží k měření teploty lidského těla a ten by spolehlivě ukazoval teplotu jen v intervalu <34,36) a (40, 42> stupňů Celsia a v intervalu <36,40> stupňů Celsia by při opakovaném měření ukazoval pokaždé jiný výsledek. Vy nepotřebujete vědět, že umíráte na podchlazení nebo na přehřátí organismu! To už je pozdě. Vy potřebujete vědět, že máte zvýšenou teplotu nebo horečku a ta roste nebo klesá, abyste mohli nasadit včas správnou léčbu. Chtěli byste používat takový teploměr? Já tedy rozhodně ne. A přesně tenhle problém mají i rizikové matice, vy to víte a používáte je přesto dál. To přeci nedává smysl.

Závěr: To jak velkou matici použijete a jak rozdělíte jednotlivé intervaly pravděpodobnosti a dopadu hraje marginální roli, matice totiž selhávají principiálně, ve vícero aspektech a ve všech možných velikostech a rozloženích. A škody, které tady mohou vzniknout jsou značné. A jestli hledáte ve své firmě úspory nebo chcete na trhu dlouhodobě uspět, opusťte co nejdříve risk matice a začněte rizika skutečně počítat. A nebojte se, my vás v tom nenecháme.

Štítky: matice rizik, quant

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.