Оцінювання ризиків — це процес визначення: небезпек, потенційних (майбутніх) подій, які можуть негативно вплинути (завдати шкоди) окремій особі (особам), активу (активам) та/або довкіллю; імовірності (вірогідності) виникнення таких небезпек; наслідків таких небезпек; дій (методів зниження ризику), які можуть пом'якшити ці небезпечні наслідки.
Як перший етап процесу оцінювання ризиків, аналіз небезпек визначає ситуації та події для всіх потенційних або передбачуваних небезпек.
У рамках процесу оцінювання ризиків можуть робитися висновки «щодо прийнятності ризику на основі аналізу ризику» (тобто оцінювання ризику з урахуванням витрат і переваг подальшого зниження ризику). Іноді ризики можуть вважатися прийнятними, тобто ризик «є зрозумілим і прийнятним... зазвичай тому, що вартість або складність впровадження ефективного контрзаходу для відповідної вразливості перевищує очікувані втрати».
Результати процесу оцінювання ризиків можуть бути виражені у кількісній або якісній формі.Hodge, N. (2021), "How to Address Low-Probability, High-Impact Risks", Risk Management
Оцінювання ризиків є ключовою частиною ширшої стратегії керування ризиками, що допомагає зменшити будь-які потенційні наслідки, пов'язані з ризиками.
Швидкі технологічні зміни, зростання масштабів промислових комплексів, посилення інтеграції систем, ринкова конкуренція та інші фактори, як було показано, підвищили суспільний ризик починаючи з 1990-х років. Тому оцінювання ризиків набуло дедалі більшого значення для запобігання аваріям, підвищення безпеки та покращення результатів.
Якщо говорити простіше, оцінювання ризиків складається з об'єктивного оцінювання ризику, під час якого припущення та невизначеності чітко враховуються й представляються. У повнішому розумінні оцінювання ризиків передбачає документування результатів оцінювання ризиків, дат впровадження методів пом'якшення наслідків та періодичного перегляду оцінювання ризиків (або плану керування ризиками), разом з оновленнями за необхідності.
Категорії Оцінювання індивідуального ризику
Оцінювання ризиків може проводитися в індивідуальних випадках, зокрема під час взаємодії між пацієнтом і лікарем. У вузькому розумінні оцінювання хімічного ризику — це оцінювання ризику для здоров'я окремої людини у відповідь на вплив факторів довкілля.
Методи подання статистики окремій людині — як за допомогою слів, так і чисел — впливають на її інтерпретацію користі та шкоди. Наприклад, повідомлення окремій людині рівня смертності може сприйматися як менш сприятливе, ніж відповідний рівень виживання.
Систематичний огляд 2017 року, присвячений пацієнтам і лікарям, виявив, що перебільшення користі та применшення ризиків траплялися частіше, ніж протилежний варіант — применшення користі та перебільшення ризиків.
Систематичний огляд 2024 року, проведений Кокранівською співпрацею, свідчить, що «добре документовані засоби підтримки прийняття рішень» допомагають зменшити вплив такої тенденції або упередження. Засоби підтримки прийняття рішень можуть допомогти людям: прийняти рішення щодо свого лікування на основі інформації, підтвердженої доказами, яка відповідає їхнім цінностям. чіткіше зрозуміти ризики; брати активну участь у прийнятті медичних рішень.
У людей, які мали несприятливі результати лікування, систематичний огляд не виявив різниці у жалкуванні щодо прийнятого рішення між тими, хто використовував засоби підтримки прийняття рішень, і тими, хто отримував звичайне стандартне лікування без таких засобів.
На власне сприйняття ризику людини можуть впливати психологічні, ідеологічні, релігійні або інші суб'єктивні фактори, які впливають на раціональність процесу. Люди схильні бути менш раціональними, коли ризики та вплив стосуються їх самих, на відміну від інших людей. Також існує тенденція недооцінювати ризики, які є добровільними або щодо яких людина вважає, що контролює ситуацію, наприклад у випадку куріння.
Оцінювання ризиків систем Оцінювання ризиків також може проводитися у значно ширшому масштабі теорії систем, наприклад для оцінювання ризиків екосистеми або інтерактивно складної механічної, електронної, ядерної та біологічної системи чи урагану (складної метеорологічної та географічної системи). Системи можуть бути визначені як лінійні та нелінійні (або складні), де лінійні системи є передбачуваними та відносно легкими для розуміння за умови зміни вхідних даних, а нелінійні системи є непередбачуваними при зміні вхідних даних. Тому оцінювання ризиків нелінійних/складних систем, як правило, є складнішим.
У галузі проєктування складних систем складні оцінювання ризиків часто проводяться в межах інженерії безпеки та інженерії надійності, коли йдеться про загрози життю, природному середовищу або функціонуванню машин. Сільське господарство, ядерна, аерокосмічна, нафтова, хімічна, залізнична та військова галузі мають тривалу історію роботи з оцінюванням ризиків. Крім того, медична, лікарняна, соціальна та харчова галузі здійснюють контроль ризиків і проводять оцінювання ризиків на постійній основі. Методи оцінювання ризику можуть відрізнятися залежно від галузі та від того, чи стосується він загальних фінансових рішень або оцінювання екологічного, природоохоронного чи ризику для громадського здоров'я.
Концепція Помірний та дикий ризик
Бенуа Мандельброт розрізняв «помірний» та «дикий» ризик і стверджував, що оцінювання ризиків та керування ризиками мають принципово відрізнятися для цих двох типів ризику. Помірний ризик відповідає нормальному або близькому до нормального розподілу ймовірностей, підпорядковується регресії до середнього та закону великих чисел, а тому є відносно передбачуваним. Дикий ризик відповідає розподілам із товстими хвостами, наприклад розподілу Парето або степеневим розподілам, підпорядковується регресії до хвоста (нескінченне середнє або дисперсія, що робить закон великих чисел недійсним або неефективним), а тому його важко або неможливо передбачити. За Мандельбротом, поширеною помилкою в оцінюванні та керуванні ризиками є недооцінювання «дикості» ризику, тобто припущення, що ризик є помірним, коли насправді він є диким; цього необхідно уникати, якщо оцінювання та керування ризиками мають бути обґрунтованими й надійними.
Математичне представлення
Щоб представити процес керування ризиками математично, можна визначити очікуваний ризик як суму окремих ризиків, , яку можна обчислити як добуток потенційних втрат, , та їхніх імовірностей, :
Навіть якщо для деяких ризиків ми маємо , якщо ймовірність мала порівняно з , її оцінювання може ґрунтуватися лише на меншій кількості попередніх подій і, отже, бути більш невизначеним. З іншого боку, оскільки , має бути більшим за , тому рішення, засновані на цій невизначеності, матимуть більш значні наслідки і, отже, потребуватимуть іншого підходу.
Це стає важливим, коли ми розглядаємо дисперсію ризику:
оскільки велике змінює її значення.
Фінансові рішення, такі як страхування, виражають втрати у грошових сумах. Коли оцінювання ризиків використовується для рішень у сфері громадського здоров'я або довкілля, втрати можуть бути виражені за допомогою спільної метрики, наприклад валюти країни або певного числового показника якості життя в певному місці. Для рішень у сфері громадського здоров'я та довкілля втрати просто описуються словами, наприклад як збільшення захворюваності на рак або частоти вроджених вад. У такому випадку «ризик» виражається як:
Якщо оцінювання ризику враховує інформацію про кількість осіб, які зазнали впливу, воно називається «ризиком для популяції» та вимірюється в очікуваній кількості додаткових випадків за певний період часу. Якщо оцінювання ризику не враховує кількість осіб, які зазнали впливу, воно називається «індивідуальним ризиком» та вимірюється показником захворюваності за певний період часу. Ризики для популяції більше придатні для аналізу витрат і вигод; індивідуальні ризики більше придатні для оцінювання того, чи є ризики для окремих осіб «прийнятними».
Кількісне оцінювання ризиків
У кількісному оцінюванні ризиків для обґрунтування вартості впровадження контрзаходів для захисту активу може використовуватися очікуване значення річних втрат (ALE). Його можна розрахувати шляхом множення очікуваних втрат від одиничного інциденту (SLE), які є втратою вартості на основі одного інциденту безпеки, на річну частоту виникнення (ARO), яка є оцінкою того, як часто загроза успішно використовуватиме вразливість.
Однак корисність кількісного оцінювання ризиків ставилася під сумнів. Баррі Коммонер, Браян Вінн та інші критики висловлювали занепокоєння, що оцінювання ризиків має тенденцію бути надмірно кількісним і редукціоністським. Наприклад, вони стверджують, що оцінювання ризиків ігнорує якісні відмінності між ризиками. Деякі з них вважають, що під час оцінювання може втрачатися важлива інформація, яку неможливо кількісно виміряти або отримати, наприклад відмінності між групами людей, які зазнають впливу небезпек, або соціальне посилення. Крім того, Коммонер та О'Браєн стверджують, що кількісні підходи відволікають увагу від запобіжних або превентивних заходів. Інші, як-от Насім Ніколас Талеб, вважають менеджерів ризиків не більш ніж «сліпими користувачами» статистичних інструментів і методів.
Інженерія ризиків
Інженерія ризиків є центральною частиною етапу оцінювання, де ризики не лише ідентифікуються, а й ретельно аналізуються, кількісно оцінюються та моделюються. У контексті фінансових систем — особливо кредитного ризику — інженерія ризиків передбачає розуміння динамічної поведінки параметрів ризику, таких як імовірність дефолту, величина експозиції при дефолті та втрати у разі дефолту. Вони не розглядаються як ізольовані показники, а як взаємопов'язані компоненти, які реагують на системні та специфічні для окремих об'єктів зміни. Коли окремі ризики агрегуються в портфелі або більші системи, інженери з ризиків застосовують статистичні моделі та методи моделювання, щоб виявити залежності та потенційні каскадні ефекти. Такий системний погляд дає змогу моделювати стресові сценарії та рідкісні події з великим впливом — те, що деякі називають «диким ризиком». Він також підтримує проєктування стійких структур, здатних поглинати удари та запобігати системному колапсу. Регуляторні рамки додають ще один рівень до процесу оцінювання, вимагаючи, щоб заходи з інженерії ризиків не лише відображали реальну складність, а й відповідали інституційним обмеженням.
Процес Індивідуальний та організаційний рівні
Процес оцінювання ризиків може бути дещо неформальним на індивідуальному рівні, коли оцінюються економічні ризики та ризики домогосподарства, або складним стратегічним процесом на організаційному рівні. Однак в обох випадках здатність передбачати майбутні події та створювати ефективні стратегії їх пом'якшення, коли вони вважаються неприйнятними, має життєво важливе значення.
На індивідуальному рівні може бути достатньо визначити цілі та ризики, оцінити їхню важливість і створити плани.
На організаційному рівні можуть бути необхідними складніші стратегічні політики, які визначають прийнятні рівні ризику (толерантність до ризику/корпоративну культуру), стандартні процедури, яких слід дотримуватися в організації, пріоритети ризиків, які потрібно пом'якшити, та розподіл ресурсів для такого пом'якшення.
На стратегічному корпоративному рівні керівництво, залучене до проєкту, у межах процесу планування складає оцінювання ризиків на рівні проєкту за допомогою доступної експертизи та створює системи, які забезпечують наявність необхідних заходів для пом'якшення оцінених ризиків. На динамічному рівні від персоналу, безпосередньо залученого до впровадження методів зниження ризиків, організація може вимагати реагування на непередбачені небезпеки в режимі реального часу. Тактичні рішення, прийняті на цьому рівні, слід переглядати після операції, щоб отримати зворотний зв'язок щодо ефективності як запланованих процедур, так і альтернативних рішень, прийнятих у відповідь на непередбачені обставини.