«Принятие решений в системах защиты информации» (стр. 3 )

Предъявлен/ Распознан	Образ 1	...	Образ j	...	Образ n
Образ 1	0	...		...
...	...	...	...	...	...
Образ i		...		...
...	...	...	...	...	...
Образ n		...		...	0

В ТПР возможна также подобная процедура, но за желаемый результат принимается выигрыш или минимальные потери при оптимальном решении. Вычисление величины риска для квадратной матрицы выполняется по формуле .

Результаты представлены выше в таблице. Квадратная матрица в этом случае имеет нулевые диагональные элементы.

В конечном итоге формируется некоторый алгоритм распознавания. Его эффективность в значительной степени зависит от интегральной величины среднего риска при выбранной стратегии. По строкам можно определить усредненный риск от принятия решения с индексом , который не зависит от стратегии.

,

где вероятность появления образа - го типа.

Учет стратегии заключается в ведении коэффициента , который имеет смысл вероятности оценки объекта , как в стратегии .

Тогда для стратегии средний риск при принятии - го решения

.

Наряду со средней величиной риска при решении используют понятие максимального риска. Учитывая отрицательный характер величины получим .

Эта величина не зависит от стратегии и часто используется, как опорная, показывающая наибольший риск от принятия решения , его опасность. Средний риск принятия решения при стратегии

.

В системах с противодействием матрица потерь немного изменяется. В качестве опорной ситуации ищется наилучшее решение противника. Тогда матрица, например, платежей принимает вид расплаты в случае применения противником решения и нами решения .

По минимаксному критерию ищется решение, которое обеспечивает наибольший выигрыш в наихудших условиях.

По Бейесу ищется решение минимизирующее средний риск.

По Нейману – Пирсону - решение дающее максимальную величину условной вероятности правильного обнаружения при заданной величине ложной тревоги.

Таким образом, работа с матрицей рисков – итоговая процедура принятия решений. Но работа с общим деревом принятия решений по матрице рисков затруднена из–за большого объема условий и вариантов. Анализ ситуации, формирование описаний классов подготавливает условия корректного решения этой процедуры как правило только для локальных решений. Сказанное не снимает целесообразности запуска итерационного процесса (подготовки описания ситуаций, дополнительных измерений и т. д.), если прогнозируемый риск выше допустимого или желательного.

Теория полезности изучает предпочтения в среде последствий решений. При этом считается то, что каждое решение порождает вектор или матрицу полезности учитывающую интересы всех агентов (инвесторы, работники и т. п.). Считается что решение предпочтительнее или эквивалентно решению , если полезность для всех .

В матрице рисков для отдельных задач учитывается и вероятность появления придельных последствий, таких как смерть человека.

При принятии решений она должна быть ниже, чем вероятность летального исхода указанная в шкале профессионального риска. Например:

Ÿ  Горные работы - чел/час;

Ÿ  Металлургическая промышленность - 0,6 чел/час;

Ÿ  Транспортные работы - 10 чел/час;

Ÿ  Работа с электричеством - 51 чел/час.

Теоретически теория риска многими рассматривается как задача теории принятия решений в условиях неопределенности. Пусть S – множество всевозможных состояний окружающей среды, D – множество всевозможных решений, R – множество результатов. Если принято решение d D, а среда находится в состоянии s S, то решение приводит к результату r R, который вычисляется по формуле r = G(s, d), то есть, является значением отображения G : S × D → R.

На множестве результатов R, как правило, задан некоторый естественный порядок или отношение предпочтения _, так что для любой пары результатов r1, r2 R можно сказать, какой из них лучше: r1 r2 или r2 _ r1, или же они одинаково предпочтительны: r1 r2 и r2 r1. Если бы любое наше решение d D приводило к вполне определенному результату r = G(d) R, то, сравнивая между собой результаты eG(d1), eG(d2), мы могли бы тем самым сравнивать и решения d1, d2, выбирая лучшее из них. Поскольку, кроме собственно решения, на результат влияет и неопределенное состояние среды, проблема принятия решения усложняется. Пусть S снабжено σ алгеброй A и вероятностной мерой Ps так, что тройка (S,A,Ps) образует вероятностное пространство, задаваемое как модель неопределенности окружающей среды.

Риском называется любое распределение P Ps, которое назовем альтернативой. Если множество результатов лежит в множестве вещественных чисел: то рисками являются распределения случайных величин, которые можно отождествлять с функциями распределения на вещественной прямой. Другими примерами рисков могут служить распределения случайных векторов в , случайных процессов, случайных множеств. Для сравнения различных решений достаточно научиться сравнивать распределения из P (риски). Для этого оказывается более естественным использовать не отношение порядка, а отношение предпочтения, поскольку существенно различные риски могут оказаться "одинаковыми"с точки зрения их качества в задаче принятия решения.

Отношение предпочтения. Понятие предпочтения: на множестве R задано отношение предпочтения , если это отношение обладает свойствами

а) полноты: для произвольной пары r1, r2 R выполняется либо r1 r2, либо r2 r1, либо справедливы оба этих соотношения;

б) транзитивности: если r1 r2 и r2 r3, то r1 r3.

Элементы r1, r2 R, для которых верно r1 r2, r2 r1, эквивалентны: r1 ~ r2. Заданное таким образом отношение в действительности является отношением эквивалентности, то есть обладает свойствами симметричности, рефлективности и транзитивности.

Вводится также отношение строгого предпочтения , определяемого следующим образом: r1 r2 r1 r2, r2 r1.

Используются и обозначения: , .

Одним из способов задания отношения предпочтения является введение меры риска: функционала на P.

Определение 2.3 Мерой риска называется функционал (математическое ожидание или функционал прицеливания) μ : P → R. "Хорошая" мера риска должна отражать отношение предпочтения, в интересах которого принимается решение. Например:

.

Эта мера риска, по существу, используется до сих пор, когда решения принимаются на основании средних значений, то есть, неопределенность игнорируется. Если неопределенность состояний среды значительна, такой способ принятия решений приводит к ошибкам.

Другим примером может служить дисперсия распределения

Эта мера риска позволяет уже по существу учитывать неопределенность; на ее основе были построены теории Марковица, а также развившая ее CAPM (Capital Asset Pricing Model) Шарпа.

Можно ввести также смесь

.

где β – взвешивающий параметр.

В современных приложениях активно используется мера ожидаемой полезности

,

где U – некоторая вещественная функция.

Недавно была предложена перспективная мера возмущенной вероятности

где g : [0, 1] → [0, 1] – функция, со свойствами g(0) = 0, g(1) = 1.

В приложениях активно используется мера риска v, называемая VaR (Value at Risk), которая представляет собой квантиль распределения заданного уровня α:

2.2.  Управление рисками

Причиной возникновения рисков являются неопределенности, существующие в каждом проекте. Риски могут быть "известные" – те, которые определены, оценены, для которых возможно планирование. Риски “неизвестные” – те, которые не идентифицированы и не могут быть спрогнозированы. Хотя специфические риски и условия их возникновения не определены, менеджеры проекта знают, исходя из прошлого опыта, что большую часть рисков можно предвидеть.

Реализуя проекты, имеющие высокую степень неопределенности в таких элементах, как цели и технологии их достижения многие компании уделяют внимание разработке и применению корпоративных методов управления рисками. Данные методы учитывают как специфику проектов, так и корпоративных методов управления.

Американский Институт управления проектами (PMI), разрабатывающий и публикующий стандарты в области управления проектами, значительно переработал разделы, регламентирующие процедуры управления рисками. В новой версии PMBOK (принятие которого ожидается в 2000 году) описаны шесть процедур управления рисками. В данной статье мы предлагаем краткий обзор процедур управления рисками (без комментариев).

Управление рисками – это процессы, связанные с идентификацией, анализом рисков и принятием решений, которые включают максимизацию положительных и минимизацию отрицательных последствий наступления рисковых событий. Процесс управления рисками проекта обычно включает выполнение следующих процедур:

1.  Планирование – выбор подходов и планирование деятельности по управлению рисками проекта.

2.  Идентификация– определение рисков, способных повлиять на проект, и документирование их характеристик.

3.  Качественная – качественный анализ рисков и условий их возникновения для определения их влияния.

4.  Количественная – количественный анализ вероятности возникновения и влияния последствий рисков.

5.  Планирование реагирования на риски– определение процедур и методов по ослаблению отрицательных последствий рисковых событий и использованию возможных преимуществ.

6.  Мониторинг и контроль рисков - мониторинг рисков, определение остающихся рисков, выполнение плана управления рисками проекта и оценка эффективности действий по минимизации рисков.

Все эти процедуры взаимодействуют друг с другом, а также с другими процедурами. Каждая процедура выполняется, по крайней мере, один раз в каждом проекте. Несмотря на то, что процедуры, представленные здесь, рассматриваются как дискретные элементы с четко определенными характеристиками, на практике они могут частично совпадать и взаимодействовать.

Планирование управления рисками – процесс принятия решений по применению и планированию управления рисками для конкретного проекта. Этот процесс может включать в себя решения по организации, кадровому обеспечению процедур управления рисками проекта, выбор предпочтительной методологии, источников данных для идентификации риска, временной интервал для анализа ситуации. Важно спланировать управление рисками, адекватное как уровню и типу риска, так и важности проекта для организации.

Идентификация рисков определяет, какие риски способны повлиять на проект, и документирует характеристики этих рисков. Идентификация рисков не будет эффективной, если она не будет проводиться регулярно на протяжении реализации проекта.

Рис. 2.1. Планирование управления

Идентификация рисков - итерационный процесс. Вначале идентификация рисков может быть выполнена частью менеджеров проекта или группой аналитиков рисков. Далее идентификацией может заниматься основная группа менеджеров проекта.

Для формирования объективной оценки в завершающей стадии процесса могут участвовать независимые специалисты. Возможное реагирование может быть определено в течение процесса идентификации рисков.

Рис.2.2. Идентификация рисков

Качественная оценка рисков – процесс представления качественного анализа
идентификации рисков и определения рисков, требующих быстрого реагирования. Такая оценка рисков определяет степень важности риска и выбирает способ реагирования. Доступность сопровождающей информации помогает легче расставить приоритеты для разных категорий рисков.

Рис. 2.3. Качественная оценка рисков

Качественная оценка рисков это оценка условий возникновения рисков и определение их воздействия на проект стандартными методами и средствами. Использование этих средств помогает частично избежать неопределенности, которые часто встречаются в проекте. В течение жизненного цикла проекта должна происходить постоянная переоценка рисков.

Количественная оценка рисков определяет вероятность возникновения рисков и влияние последствий рисков на проект, что помогает группе управления
проектами верно принимать решения и избегать неопределенностей. Количественная оценка рисков позволяет определять:

·  Вероятность достижения конечной цели проекта

·  Степень воздействия риска на проект и объемы непредвиденных затрат, которые могут понадобиться.

·  Риски, требующие скорейшего реагирования и большего внимания, а также влияние их последствий.

·  Фактические затраты, предполагаемые сроки окончания.

Количественная оценка рисков часто сопровождает качественную оценку и также требует процесс идентификации рисков. Количественная и количественная оценка рисков могут использоваться по отдельности или вместе, в зависимости от располагаемого времени и бюджета, необходимости в количественной или качественной оценке рисков.

Рис.2.4. Количественная оценка рисков

Планирование реагирования на риски - это разработка методов и технологий снижения отрицательного воздействия рисков на проект. Берет на себя ответственность за эффективность защиты проекта от воздействия на него рисков. Планирование включает в себя идентификацию и распределение каждого риска по категориям. Эффективность разработки реагирования прямо определит, будут ли последствия воздействие риска на проект положительными или отрицательными.

Стратегия планирования реагирования должна соответствовать типам рисков, рентабельности ресурсов и временным параметрам. Вопросы, обсуждаемые во время встреч, должны быть адекватны задачам на каждой стадии проекта, и согласованы со всеми членами группы по управлению проектом. Обычно требуются несколько вариантов стратегий реагирования на риски.

Мониторинг и контроль. Мониторинг и контроль следят за идентификацией рисков, определяют остаточные риски, обеспечивают выполнение плана рисков и оценивают его эффективность с учетом понижения риска. Показатели рисков, связанные с осуществлением условий выполнения плана фиксируются. Мониторинг и контроль сопровождает процесс внедрения проекта в жизнь.

Качественный контроль выполнения проекта предоставляет информацию, помогающую принимать эффективные решения для предотвращения возникновения рисков. Для предоставления полной информации о выполнении проекта необходимо взаимодействие между всеми менеджерами проекта.

Рис. 2.5. Реагирование

Рис. 2.6. Контроль

Целью мониторинга и контроля является выяснить, было ли:

·  Реагирование достаточно эффективно или необходимы изменения

·  Риски изменились по сравнению с предыдущим значением

·  Наступление влияния рисков

·  Необходимые меры приняты

·  Воздействие рисков оказалось запланированным или явилось случайным результатом.

Контроль может повлечь за собой выбор альтернативных стратегий, принятие корректив, перепланировку проекта для достижения базового плана. Между менеджерами проекта и группой риска должно быть постоянное взаимодействие, должны фиксироваться все изменения и явления.

 Алгоритм управления рисками. В последнее время много пишется на тему управления рисками - о процедурах оценки рисков, о возможности применения различных процедур в российских условиях и т. д. Но на практике зачастую сталкиваешься с тем, что руководство компаний и банков не понимает смысла организации риск-менеджмента. Начальник подразделения по управлению рисками одного крупного банка однажды на семинаре по Value at Risk (одна из возможных оценок риска, представляющая собой ожидаемый максимальный убыток в течение установленного периода времени и с установленным уровнем вероятности) в сердцах произнес: "Какие там VaRы, когда у нас неизвестно кто, где, когда и зачем рисками занимается!" Для банков вопрос управления рисками - это вообще особенный вопрос. Западные банки обычно посвящают десятка два страниц годового отчета описанию того, как у них организована система управления различными типами рисков. Руководитель риск-менеджмента западного банка по статусу - один из основных руководителей банка. В России же должность вице-президента по управлению рисками есть всего в нескольких банках, да и появилась она в большинстве из них после кризиса 1998 г., когда многие банки пересмотрели свой подход к управлению рисками.

При работе с наполнением риска необходим комплексный подход. Он должен состоять из следующих этапов:

Прежде всего необходимо разработать стратегию управления риском. Как можно управлять риском, не зная, чего мы хотим этим управлением добиться? Общеизвестный принцип no free lunch (бесплатного обеда не бывает) как нельзя лучше иллюстрирует это: чем больше доход, тем больше риск, связанный с получением этого дохода. Необходимо четко сформулировать "аппетит на риск" и строить политику управления риском на основании этого.

После определения стратегии управления риском необходимо выявить присущие данной организации риски и разработать подходы для их количественной оценки: какие методы должны использоваться, на каких данных будут основываться расчеты и т. д. Многие риск-менеджеры считают приоритетным именно этот шаг, хотя без всей описываемой цепочки самые современные методы оценки рисков будут бесполезны.

Для более сложных задач необходимы специализированные пакеты по оценке рисков. Особое внимание необходимо уделить интегрированию систем и данных, необходимых для вычислений.

Следующий шаг - собственно разработка процедур по управлению риском. Управление рисками, которое часто принимают за "основную науку", - это всего лишь один из этапов описываемого процесса, пусть даже один из наиболее важных. В мире существует множество методов по управлению рисками, наиболее распространенный из которых - хеджирование – часто мало применим ввиду почти полного отсутствия финансовые инструменты
" href="/text/category/proizvodnie_finansovie_instrumenti/" rel="bookmark">производных финансовых инструментов
. Российские компании и банки используют множество своих методов для управления рисками: это и работа по предоплате, и особые условия в договорах, и многое, многое другое. Вот один из характерных примеров управления рисками по-российски: один из крупных трубных заводов, прогнозируя рост цен на металл, взял кредит в банке и закупил металл впрок, вычислив, что проценты по кредиту ниже, чем предполагаемый рост цен на металл.

Необходимо разработать процедуры внутреннего контроля для каждого типа риска. Это включает в себя как оценку эффективности управления риском, так и контроль соблюдения процедур на различных этапах, например проверку соблюдения установленных лимитов или мониторинг чувствительности к риску.

Теперь можно разработать отчетные формы для данного типа риска: кому, что и когда предоставляется. Необходимо также понимать, кем и какие управленческие решения должны быть приняты на основе полученной информации.

И наконец, нужно определить, кто в организации занимается данным риском: кто оценивает риск, кто готовит отчетность, кто устанавливает лимиты, кто их контролирует и т. д. Здесь основную роль играет четкое разграничение ответственности, а также разделение обязанностей. Например, сотрудники, рассчитывающие лимиты, не должны подчиняться тому же руководителю организации, что и сотрудники, заключающие сделки, ведь вознаграждение этого руководителя зависит от дохода, полученного по сделкам, а лимиты ограничивают операции и, следовательно, величину дохода.

Внедрение этого процесса представляет собой сложную задачу, но от ее решения во многом зависит качество всей системы управления.

3.  Поддержка принятия решений. Математика и структуры.

3.1. Математические методы поддержки принятия решений

Методы теории полезности в принятии решений используются в подавляющем большинстве случаев. Мотивация многих игроков и т. п. может рассматриваться, как максимизация ожидаемой полезности.

В работах Дж. фон Неймана и О. Моргенштерна предполагается, что вероятности даны как объективно известные величины. Д. Сэдвиж разработал аксиоматическую теорию, позволяющую одновременно измерять полезность и субъективную вероятность. Это нашло отображение в модели субъективной ожидаемой полезности (СОП), где вероятность уже определяется как степень уверенности в свершении того или иного события. Модель нашла широкое применение среди экономистов и рассматривается ими как обоснованное средство выбора наилучших решений. Достоинством модели СОП является возможность задним числом так подобрать параметры модели СОП, что она объясняет любой сделанный выбор.

СОП рассматривается и в работе Х. Райфа "Анализ решений: введение в проблему выбора в условиях неопределённости". Автором обоснован метод деревьев решений, суть которого состоит в разбиении задачи на ряд подзадач, а те, в свою очередь, на другие подзадачи, и так далее. В результате основная задача представляется в виде дерева решений (ДР). В части вершин ДР выбор осуществляется непосредственно, в другой части - на основе субъективной вероятности свершения событий. ДР завершается исходами, каждому из которых приписывается определенная полезность. Вероятность каждого исхода подсчитывается как произведение субъективных вероятностей на пути, идущем от вершины ДР. Путем "сворачивания" ДР от конца к началу выбирается исход с наибольшей субъективной ожидаемой полезностью. Метод деревьев решений позволяет определить оптимальную стратегию с учетом личных оценок и предпочтений. Выбранная стратегия будет "лучшей" на данный момент из тех многих, которые имеются в распоряжении. "Лучшей", в смысле сравнения с множеством стратегий, которые стоило бы рассмотреть, стратегия будет в том случае, если она будет наиболее эффективной и рациональной в данной ситуации.

В основу многокритериальной теории полезности (МТП) положен научный труд Р. Кинни и Х. Райфа "Принятие решений при многих критериях: предпочтения и замещения". Учеными делается предположение, что варианты решений имеют оценки по многим критериям. В качестве дополнительных к общим аксиомам выступают аксиомы (условия) независимости, на основании которых доказываются теоремы о виде функции полезности. Авторы доказали, что при выполнении условия строгой условной независимости по полезности, функция полезности имеет либо аддитивный, либо мультипликативный вид, причем

, , где: весовые коэффициенты критериев (0 ≤ К < 1); - - функции полезности по i-му критерию; - U - общая функция полезности.

МТП, как и предыдущие методы, строится аксиоматическим способом. В качестве достоинства МТП отмечается детальная проработанность процедур выявления предпочтений.

Методы теории проспектов (ТП). Проспект - игра с вероятностными исходами. В методах ТП учитывается 3 поведенческих эффекта:

Эффект определенности - тенденция придавать больший вес детерминированным исходам.

Эффект отражения - к измерению предпочтений при переходе от выигрышей к потерям.