Statystyczne pułapki analizy ryzyk

Opracowano: kwiecień 2000

Kluczowym etapem zarządzania ryzykiem w organizacji jest najczęściej analiza ryzyk. Błędy popełniane na tym etapie nie zawsze mogą być zauważone i poprawione później - przy podejmowaniu ryzyka. Oczywiście równie istotny jest wstępny etap risk managementu tj. identyfikacja ryzyk.

Skupiając się jednak na samej analizie ryzyka należy tutaj wyróżnić kilka kolejnych faz badań. W każdej z nich będą używane najczęściej różne techniki analiz.

Przede wszystkim konieczna jest analiza potencjalnych przyczyn zagrożeń. Mogą to być tak nowe, dopiero wprowadzane technologie jak i nowi, jeszcze nie dość dobrze sprawdzeni poddostawcy. Wszystko, co nowe bowiem niesie ze sobą pewien naturalny ładunek niepewności.

Zadaniem risk managera musi być najpierw zidentyfikowanie ewentualnych niebezpieczeństw, a później właśnie próba określenia ich możliwego wpływu na funkcjonowanie organizacji. Wpływ ten należy przy tym badać zarówno w skali mikro - dla maszyny, zakładu, jak i makro - dla całego przedsiębiorstwa, czy holdingu. To ostatnie będzie zresztą chyba oczywiste przy uwzględnieniu stopnia powiązań wewnętrznych w dzisiejszych organizacjach.

Kolejny etap to ocena powiązań pomiędzy poszczególnymi przyczynami szkód, a ryzykami mogącymi spowodować określone straty. Tak więc będzie to analiza - obrazowo rzecz ujmując - spięć, czy iskier powodujących pożary. W wielu wypadkach jest to najobszerniejszy i najbardziej pracochłonny kawałek pracy risk managera.

Znając zależności pomiędzy przyczynami szkód, a poszczególnymi ryzykami nie można nie pominąć analizy rzeczywistych efektów ich realizacji. Nie każdy bowiem pożar niszczy doszczętnie fabrykę i nie każde włamanie do sieci oznacza katastroficzne straty (tak finansowe jak i w postrzeganiu firmy przez klientów). Tak więc będzie to w rzeczywistości ocena ostatecznego wpływu realizacji ryzyk na organizację.

Wyżej zaznaczono iż w całości tych działań wykorzystywane być muszą inne techniki analizy. I tak będzie w praktyce. Jednak można będzie tu postawić jeden wspólny mianownik. Wszystkie dane muszą być przedstawione w formie możliwej do prostej oceny i porównania, a więc najczęściej w postaci liczbowej, statystycznej. Każda bowiem inna forma prezentacji narażona byłaby na oczywiste trudności interpretacyjne. To ostatnie nie oznacza przy tym, że nie można dokonywać opisów analiz statystycznych na potrzeby zarządów, czy też poszczególnych jednostek organizacji - taki wymóg byłby nieżyciowy i niemożliwy do spełnienia.

Statystyka ma jednak jak wiadomo swoje pułapki.

Jednym z najpoważniejszych błędów, a jednocześnie nagminnie popełnianym, jest wyciąganie wniosków na podstawie uogólnionych danych. Przedstawmy krótkie porównanie szkód w dwu sklepach o podobnym obrocie i (to założenie) podobnych asortymentach.

Wyraźnie tutaj widać, że w sklepie B mamy niemal o 30% kradzieży więcej niż w sklepie A. Oczywiście jest to zjawisko niepokojące i każdy risk manager powinien na tego typu różnice zwrócić uwagę. Najprawdopodobniej bowiem będzie to związane z błędami popełnionymi przy organizacji zabezpieczenia placówki lub też nieuczciwością personelu.

Jednocześnie problem taki powinien być zbadany głębiej. Podstawowa analiza to właśnie próba rozbicia zagregowanych danych na mniejsze jednostki i / lub okresy. My tutaj przedstawimy rozbicie powyżej pokazanych danych rocznych na poszczególne miesiące.

Osoba obyta z liczbami już na pierwszy rzut oka zauważy, że roczne wyniki 2,1% oraz 2,7% nie odpowiadają do końca rzeczywistości. Wyraźnie bowiem widać, iż procent kradzieży w sklepie B został w ciągu roku zduszony na pewno z ponad trzech do niewiele ponad dwa procent podczas gdy w sklepie A był on w ciągu całego roku na podobnym poziomie.

Jeszcze wyraźniej zależności te widać na rysunku, gdzie porównano procentowe 'wyniki' kradzieży w każdej z placówek wyznaczając przy tym linie trendu dla każdej z nich. Linia trendu dla sklepu B jest wyraźnie malejąca podczas, gdy trend dla sklepu A jest nawet lekko rosnący.

Należy więc zmienić nasze początkowe przypuszczenia, co do istnienia błędów w ochronie placówki B. Jeśli takie wystąpiły to wyraźnie zostały przez kierownictwo zauważone i wyeliminowane. W tej chwili istotne byłoby więc raczej poznanie zarówno dziur, które w przeszłości wystąpiły (bo mogą one pojawić się gdzie indziej) oraz poznać metody działania, które pozwoliły na ich usunięcie.

W ten sposób możliwa będzie poprawa działania i bezpieczeństwa całej organizacji.

Jak widać analiza ryzyk występujących w organizacji jest procesem wieloetapowym. W każdej chwili też czekają na osoby jej dokonujące pułapki, które mogą spowodować błędną ocenę poszczególnych ryzyk, a w rezultacie niepoprawne działania mające za zadanie ich podjęcie.

Jednocześnie bardzo trudne lub wręcz niemożliwe jest proceduralne wyeliminowanie wszystkich możliwych fałszywych interpretacji. W wielu wypadkach pozostaje więc jedynie trzeźwy umysł i wyobraźnia.

Marcin Z. Broda