Majoritatea metodologiilor de evaluare a riscurilor prezintă două dimensiuni ale subiectului: probabilitatea şi severitatea/impactul:

În alte lucrări, imaginea de mai sus arată altfel:

Aţi observat că sînt inversate axele?

Am scris, de mai multe ori, că teoria riscurilor are la bază probabilităţi iar probabilităţile se bazează pe teoria numerelor mari. Altfel spus, atunci cînd dorim o modificare asupra viitorului, schimbarea trebuie realizată în prezent, pe baza unor informaţii cît mai corecte şi complete despre trecut. Am scris/spus, la fel de des, că în lipsa unor astfel de informaţii, managementul riscurilor este irelevant. Este făcut de dragul de a fi făcut sau pentru că e o cerinţă de conformitate. Recunosc că e puţin forţată afirmaţia anterioară. Ceva, ceva tot se obţine.

Ce lipseşte din primul meu grafic şi din cel de la ITGI? Cea de a treia dimensiune care apare în ultima figură, cînd se evaluează scenariul: TIMPUL.

Pentru a exemplifica această dimensiune, aş aminti ce s-a întîmplat cu creditarea la noi, şi de o parte şi de alta a celor implicaţi. Eu îi spun “miopie” în evaluarea orizontului de timp cînd faci management de risc. În 2008 şi 2009, angajaţii din sectorul bugetar erau dintre cei mai siguri clienţi ai băncilor. Imediat după decizia cu privire la reducerea numărului şi a salariilor “statusul lor” s-a modificat. Ar fi trebuit să existe o altă abordare? Există o explicaţie, în afara apariției „comisionului de risc”? 🙂

Riscul nu evoluzează liniar comparativ cu timpul pentru că timpul nu este finit! Să ne gîndim la cutremure, de exemplu (aici este o evidenţă cu ce s-a întîmplat în lume din 2009 pînă în prezent). Sau la inundaţii.

Atitudinea noastră faţă de risc se modifică în timp ca efect al experienţelor trăite! Probabilitatea poate să crească sau să descrească în timp. Ne bazăm pe date probabilistice din trecut, dar cum va evolua probabilitatea unui eveniment în viitor nu ştim!

Mai aduc în discuţie şi “lebăda neagră”: evenimente cu o probabilitate redusă de apariţie. Multe modele de evaluare a riscurilor spun că aceste evenimente pot fi eliminate din analiză: fie pentru că impactul este nesemnificativ, fie pentru că impactul este catastrofic. Realitatea ne dovedeşte că nu a fost o abordare corectă. Stabilirea perioadei pentru care proiectezi analiza de risc este critică.

Cînd vorbim de riscuri de tipul evenimentelor naturale, orizontul de timp interesează să fie mare sau redus? Dar cînd vorbim de IT?

Neuronii oglindă