Semikvantitativní analýza rizik: pracujeme s bodovými odhady expertů

Přechod od kvalitativních metod ke kvantitativní analýze rizik nebývá jednoduchý. Nejjednodušší cesta obvykle vede přes semikvantitativní přístup. Místo slov a barev začneme pracovat s čísly, ale pořád ještě ne s celým pravděpodobnostním rozložením.

V této fázi často přichází lákavé zjednodušení. Vezmeme intervaly, které už máme někde v metodice definované, použijeme jejich středy a máme krásné číslo. Asi už tušíte, že s tím bude spojený nějaký problém.

Pokud jsme například dosud pracovali s maticí 4×4, máme pravděpodobně implicitně (tj. nepřímo, bez explicitního zápisu) definované intervaly pro frekvenci i dopad. Stačí tedy vzít „typickou“ hodnotu z každého pole a máme hotovo. Na první pohled to vypadá celkem elegantně. V risk matici jsme se dosud pohybovali po řádcích a sloupcích. Rozdíly mezi scénáři byly rafinovaně skryté uvnitř širokých intervalů, kde rozdíly mezi scénáři zůstávají bez povšimnutí.

To, že jeden expert měl na mysli škodu za 100 000 Kč a druhý za 400 000 Kč, nikomu nevadilo. Oba se pohodlně vešli do stejného chlívku. Rovněž frekvence „několikrát ročně“ představovala velmi široké a bezpečné rozpětí a nikoho to pranic neznepokojovalo. Jakmile ale tyto intervaly nahradíme konkrétními čísly, začne se problém matic projevovat v plné nahotě.

To, co nám v matici nevadilo, nám najednou začne vadit a fest. Začneme říkat: „No jo, ale tohle by byla spíš menší škoda“, „a tohle se nestává zas až tak často“ a „tady má několik různých scénářů stejnou hodnotu ALE“. A najednou vyvstane (ne)překvapivá otázka, kterou matice nikdy neřešila: jak tyto scénáře mezi sebou skutečně porovnat. A tak se začneme přirozeně snažit ty hodnoty ARO a SLE zpřesnit. A v tu chvíli narazíme na další krutou realitu: naši draze placení experti se neshodnou a dostaneme od nich různé odhady.

Dokud jsme pracovali s barvami v risk matici, tak to až takový problém nebyl. Jako občas se někdo s někým pohádal jestli je to zelené nebo žluté, ale nakonec se vždy došlo ke shodě. Jakmile ale potřebujeme jedno číslo a máme více vstupů, rozdíly mezi odhady expertů najednou začnou představovat problém. A ten budeme muset vyřešit.

Budeme tedy předpokládat, že máme k dispozici několik expertních čísel pro frekvenci výskytu události, tedy ARO, a několik expertních čísel pro dopad jedné události, tedy SLE. Z těchto odhadů potřebujeme získat jedno číslo pro ARO a jedno číslo pro SLE. Následně je vynásobíme a získáme ALE = ARO × SLE.

Metodika

Nechceme, aby výsledek byl jen matematickou exhibicí. Pro účely tohoto článku proto zvolíme agregační metodu pragmaticky podle počtu expertů a míry rozptylu jejich odhadů. Pokud jsou odhady vzájemně blízké a neobsahují zjevně odlehlou hodnotu, použijeme prostý aritmetický průměr. Pokud máme pouze velmi malý počet expertů, zejména tři odhady, a jeden z nich zjevně vybočuje, upřednostníme medián, protože je vůči extrémní hodnotě odolnější a zároveň se u takto malého souboru nevyplatí používat agresivnější robustní techniky. Pokud je expertů více, lze použít robustní odhady polohy, zejména trimovaný nebo winsorizovaný průměr.

U frekvence (ARO) se agregace provádí přímo na původní škále. U dopadu (SLE) budeme vzhledem k předpokladu lognormálního charakteru pracovat na logaritmické škále; pro výpočet ALE pak použijeme nikoli medián exp(μ), ale očekávanou hodnotu exp(μ + σ²/2). Označení μ (mí) představuje průměr logaritmovaných hodnot dopadu a σ (sigma) jejich směrodatnou odchylku.

Směrodatnou odchylku σ počítáme jako výběrovou směrodatnou odchylku logaritmovaných expertních odhadů SLE, tedy s dělením n−1. Nejde o směrodatnou odchylku původních korunových hodnot, ale o směrodatnou odchylku jejich přirozených logaritmů. Výraz exp(μ) odpovídá mediánu lognormálního rozdělení, zatímco exp(μ + σ²/2) představuje jeho očekávanou hodnotu (střední hodnotu, značenou E[X]).

Směrodatnou odchylku σ počítáme z logaritmovaných hodnot dopadu, nikoli z původních korunových částek. Pokud máme expertní odhady dopadu x₁, x₂, …, x_n, nejprve spočítáme jejich přirozené logaritmy ln(x_i). Z těchto logaritmů vypočítáme průměr μ a následně výběrový rozptyl. Směrodatná odchylka je potom odmocnina z tohoto rozptylu.

s² = Σ(ln(x_i) − μ)² / (n − 1)
σ = √s²

Tento postup nepředstavuje žádnou závaznou normu, ale praktické a metodicky obhajitelné použití robustních statistických principů na expertní bodové odhady. Současně je třeba poctivě přiznat, že nejde o formální statistický odhad parametrů skutečné škody z empirických dat, ale o praktickou agregaci expertních odhadů, z nichž se snažíme získat jednu reprezentativní hodnotu pro ARO a jednu reprezentativní hodnotu pro SLE. Předpokládáme přitom, že dopady mají lognormální rozdělení, které je pro modelování škod běžné.

V pokročilejších přístupech lze expertní odhady dále zpřesňovat pomocí bayesovských metod, kdy nové odhady aktualizují předchozí znalosti ve formě pravděpodobnostního rozdělení.

Příklad 1: experti se v zásadě shodují

Předpokládejme, že jsme od tří expertů získali následující bodové odhady:

ARO: 0,05; 0,08; 0,09

SLE: 100 000 Kč; 120 000 Kč; 130 000 Kč

V tomto případě jsou odhady relativně blízko sobě. V relativním vyjádření se sice liší, ale pro účely semikvantitativního přístupu je budeme považovat za dostatečně blízké. Nevidíme zde žádnou očividně odlehlou hodnotu, která by deformovala výsledek. Pro ARO proto použijeme prostý aritmetický průměr. U SLE si můžeme dovolit ukázat dvě čísla: pro úplnost medián lognormálního modelu a hlavní hodnotu pro výpočet ALE, tedy očekávaný dopad. Pro ALE ale budeme dále používat jen očekávaný dopad.

Výpočet ARO

ARO = (0,05 + 0,08 + 0,09) / 3 = 0,0733

Výpočet SLE

Nejprve vezmeme přirozené logaritmy jednotlivých odhadů dopadu:

ln(100000) = 11,5129

ln(120000) = 11,6952

ln(130000) = 11,7753

Průměr logaritmů je:

μ = (11,5129 + 11,6952 + 11,7753) / 3 = 11,6611

Směrodatnou odchylku logaritmů spočteme jako odmocninu rozptylu, který vypočítáme jako součet druhých mocnin odchylek od průměru, dělený počtem odhadů minus jedna:

s² = [(11,5129 − 11,6611)² + (11,6952 − 11,6611)² + (11,7753 − 11,6611)²] / (3 − 1)

s² = [0,02196 + 0,00116 + 0,01304] / 2 = 0,01808

σ = √0,01808

σ = 0,1345

Kdybychom provedli pouze zpětnou transformaci průměru logaritmů, dostali bychom medián lognormálního rozdělení, tedy geometrický průměr. Pro lognormální rozdělení platí, že medián je exp(μ) a očekávaná hodnota je exp(μ + σ²/2).

exp(μ) = exp(11,6611) = 116 153 Kč

Pro výpočet ALE ale použijeme očekávaný dopad:

SLE = exp(μ + σ²/2) = exp(11,6611 + 0,1345² / 2) = 117 204 Kč

Výpočet ALE

ALE = ARO × SLE = 0,0733 × 117 204 = 8 591 Kč za rok

Když se experti v zásadě shodují, není třeba kolem toho stavět statistické divadlo. Prostý průměr u ARO a lognormální výpočet očekávaného SLE zde poslouží bez větších komplikací.

Příklad 2: tři experti, jeden odhad zjevně vybočuje

Nyní si vezměme méně pohodlný případ:

ARO: 0,02; 0,08; 0,30

SLE: 100 000 Kč; 120 000 Kč; 900 000 Kč

Na první pohled je zřejmé, že třetí expert tlačí obě hodnoty výrazně výše než zbylí dva. Zde je nejčistším řešením medián pro ARO a lognormální výpočet pro SLE s vědomím, že výsledek bude silně citlivý na rozptyl logaritmů. Alternativně by bylo možné použít vážený průměr nebo strukturovanější přístupy, ty však přesahují rámec tohoto zjednodušeného příkladu.

Výpočet ARO

Seřazené hodnoty ARO jsou:

0,02; 0,08; 0,30

Medián je tedy:

ARO = 0,08

Výpočet SLE

Nejprve vezmeme logaritmy dopadů:

ln(100000) = 11,5129

ln(120000) = 11,6952

ln(900000) = 13,7102

Průměr logaritmů je:

μ = (11,5129 + 11,6952 + 13,7102) / 3 = 12,3061

Směrodatná odchylka logaritmů je přibližně:

σ = 0,9956

Medián lognormálního modelu, tedy geometrický průměr, by byl:

exp(μ) = exp(12,3061) = 221 042 Kč

Pro ALE však použijeme očekávaný dopad:

SLE = exp(μ + σ²/2) = exp(12,3061 + 0,9956² / 2) = 362 838 Kč

Výpočet ALE

ALE = ARO × SLE = 0,08 × 362 838 = 29 027 Kč za rok

Právě tady je vidět, jak nebezpečné je tvářit se, že nám stačí jedno číslo. Už samotná volba agregačního postupu může výsledek posunout velmi výrazně. A přitom jsme ještě pořád jen v semikvantu, nikoli u plnohodnotného modelu ztrát.

Příklad 3: více expertů

Teď si vezměme pět expertů.

ARO: 0,03; 0,04; 0,05; 0,06; 0,25

SLE: 100 000 Kč; 120 000 Kč; 140 000 Kč; 160 000 Kč; 900 000 Kč

Nejprve obyčejný průměr

ARO = (0,03 + 0,04 + 0,05 + 0,06 + 0,25) / 5 = 0,086

SLE aritmeticky = (100000 + 120000 + 140000 + 160000 + 900000) / 5 = 284 000 Kč

ALE = 0,086 × 284000 = 24 424 Kč za rok

Tohle je přesně ten moment, kdy průměr začíná vypadat uhlazeně, ale ve skutečnosti už poslušně pochoduje za jedním extrémem. Proto přicházejí na řadu robustnější postupy: trimovaný (ořezaný) průměr jako průměr vypočtený po odříznutí části hodnot v obou ocasech rozdělení (tj. extrémních hodnot na obou koncích) a winsorizovaný průměr jako obdobný postup, při němž se krajní hodnoty nenulují, ale nahrazují nejbližšími hodnotami, které zůstaly po odstranění extrémů. Oba přístupy mají výhodu mediánu v tom, že nejsou nepatřičně ovlivněny extrémy v ocasech.

Trimovaný průměr pro ARO

Při pěti hodnotách použijeme 20% trimování, tedy odřízneme jednu nejnižší a jednu nejvyšší hodnotu. Zbývá:

0,04; 0,05; 0,06

Trimovaný (ořezaný) průměr je:

ARO = (0,04 + 0,05 + 0,06) / 3 = 0,05

Trimovaný postup pro SLE

Po odříznutí nejnižší a nejvyšší hodnoty zůstává:

120 000 Kč; 140 000 Kč; 160 000 Kč

Jejich logaritmy jsou přibližně:

11,6952; 11,8494; 11,9829

Průměr logaritmů:

μ = 11,8425

Směrodatná odchylka logaritmů:

σ = 0,1440

Medián lognormálního modelu by zde byl:

exp(μ) = 139 041 Kč

Očekávaný dopad pro ALE je:

SLE = exp(μ + σ²/2) = exp(11,8425 + 0,1440² / 2) = 140 489 Kč

Trimovaný výpočet ALE

ALE = 0,05 × 140 489 = 7 024 Kč za rok

Winsorizovaný průměr pro ARO

Při winsorizaci nahradíme nejnižší hodnotu nejbližší vnitřní a nejvyšší hodnotu rovněž nejbližší vnitřní hodnotou. Dostaneme tedy:

0,04; 0,04; 0,05; 0,06; 0,06

Winsorizovaný průměr je:

ARO = (0,04 + 0,04 + 0,05 + 0,06 + 0,06) / 5 = 0,05

Winsorizovaný postup pro SLE

Po winsorizaci dostaneme:

120 000 Kč; 120 000 Kč; 140 000 Kč; 160 000 Kč; 160 000 Kč

Průměr logaritmů je přibližně:

μ = 11,8411

Směrodatná odchylka logaritmů je přibližně:

σ = 0,1439

Medián lognormálního modelu by zde byl:

exp(μ) = 138 846 Kč

Očekávaný dopad pro ALE je:

SLE = exp(μ + σ²/2) = exp(11,8411 + 0,1439² / 2) = 140 295 Kč

Winsorizovaný výpočet ALE

ALE = 0,05 × 140 295 = 7 015 Kč za rok

Teď už je pointa vidět bez milosti a také proč např. můj kolega Michal Hanus často na školení říká, že jedno číslo nestačí. Obyčejný průměr by nám dal 24 424 Kč roční očekávané ztráty. Trimovaný a winsorizovaný nám dávají přibližně 7 000 Kč. Realita se nezměnila. Změnil se jen způsob, jak jsme naložili s několika expertními odhady.

Poznámka k použité metodice: V tomto článku se neopíráme o jedinou normu určenou přímo pro agregaci expertních bodových odhadů v analýze kybernetických rizik. Pro robustní agregaci více hodnot však analogicky využíváme principy běžně používané v robustní statistice a v mezilaboratorním porovnávání výsledků, zejména medián, trimovaný průměr, winsorizovaný průměr a robustní konsenzuální odhady.

Závěr:

Rozhodně není jedno, jak z více expertních odhadů uděláme jedno číslo, protože volba metodiky může výsledek posunout zásadním způsobem o desítky i stovky procent. Dále je třeba uvést, že i tento přístup je lepší než risk matice. ARO i SLE jsou veličiny na poměrové škále, u nichž dává jejich násobení smysl. To je pořád o několik pater výš než nesmyslné násobení ordinálních kategorií typu nízké, střední, vysoké a kritické, které vypadá logické jen z dálky a při bližším pohledu se naprosto rozsype.

LITERATURA

INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 13528:2022. Statistical methods for use in proficiency testing by interlaboratory comparison. Geneva: ISO, 2022. Online. Dostupné z: https://www.iso.org/standard/78879.html. [cit. 2026-03-31].

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST/SEMATECH e-Handbook of Statistical Methods. Gaithersburg: National Institute of Standards and Technology, 2012. Online. Dostupné z: https://www.itl.nist.gov/div898/handbook/. [cit. 2026-03-31].

POSSOLO, Antonio. NIST Special Publication 260-202: Cumulative distribution functions, moments, and quantiles for some elementary parametric models and some of their mixtures. Gaithersburg: National Institute of Standards and Technology, 2020. Online. Dostupné z: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.260-202.pdf. [cit. 2026-03-31].

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: CRQ