Про небезпеку ілюзії точності, обмеження традиційних методів оцінювання та необхідність приймати рішення навіть тоді, коли інформації недостатньо.

Ми оцінюємо ризики чи доступність інформації про них?

«У нас немає для цього даних». Здавалося б, звичайна відповідь, яку ризик-менеджери досить часто чують від керівників підрозділів, фінансових аналітиків або інших фахівців, залучених до оцінювання ризиків, проте за цією фразою може приховуватися одна з найбільших проблем сучасного ризик-менеджменту: відсутність необхідної інформації нерідко стає підставою не для пошуку інших способів оцінювання, а для фактичного виключення ризику з повноцінного аналізу.

На цю проблему звернув увагу професор управління ризиками Люцернського університету прикладних наук і мистецтв (Швейцарія) Штефан Гунцікер (Stefan Hunziker) у своєму нещодавньому дописі в LinkedIn, присвяченому кількісному оцінюванню ризиків. Публікація з’явилася після його вебінару для The Risk Society «Enterprise Risk Management: Moving from Compliance to Better Decisions», який відбувся 16 жовтня 2026 року.

Автор пропонує замислитися над досить незручним питанням: чи не сталося так, що організації навчилися добре оцінювати передусім ті ризики, щодо яких накопичено достатньо статистичної інформації, залишаючи поза увагою значно небезпечніші, але складніші для вимірювання загрози?

Валютні коливання, зміни відсоткових ставок, кредитні ризики зазвичай забезпечені великими масивами історичних даних, математичними моделями та усталеними методиками розрахунків, натомість втрата ключового клієнта, невдала стратегія розвитку, помилкове інвестиційне рішення або придбання збиткового бізнесу часто оцінюються за допомогою експертного судження і відображаються кольоровою позначкою на карті ризиків. Іноді такі ризики взагалі не потрапляють до кількісного аналізу.

Гунцікер використовує влучну метафору: людина шукає загублені ключі під вуличним ліхтарем не тому, що загубила їх у цьому місці, а тому, що там краще видно. Подібне відбувається і в ризик-менеджменті, коли доступність інформації починає визначати не лише метод оцінювання, а й пріоритетність самого ризику.

На мою думку, проблема тут значно глибша, ніж недостатня кількість статистичних даних, — йдеться про поступову підміну мети управління ризиками. Замість того щоб допомагати керівництву зрозуміти невизначеність, яка супроводжує досягнення стратегічних і операційних цілей, система ризик-менеджменту іноді зосереджується на підготовці показників, які можна відносно легко розрахувати, перевірити та включити до звітності. У результаті найбільш детально описаними можуть виявитися не найбільш суттєві ризики, а ті, що найкраще піддаються традиційним методам вимірювання.

Відсутність статистики ще не означає неможливості оцінювання

Одне з центральних положень допису Гунцікера полягає в тому, що відсутність даних часто означає лише те, що організація не намагалася знайти їх за межами звичних інформаційних джерел, навіть коли достатньої статистики дійсно немає, це не означає, що кількісне оцінювання неможливе. Для аналізу можна використовувати інформацію про аналогічні події в інших організаціях, результати попередніх проєктів, сценарні припущення, структуровані експертні судження та ймовірнісні методи, які дозволяють поступово уточнювати оцінки в міру надходження нової інформації.

Як приклад автор наводить ситуацію, коли серед 30 порівнюваних компаній протягом року відбулася одна певна несприятлива подія. Спостережувана частота становить приблизно 3,3%, однак використання простої байєсівської моделі з рівномірним початковим розподілом дає інший результат: середню оцінку ймовірності близько 6% та широкий 90-відсотковий інтервал імовірних значень.

Важливо, що отриманий результат не слід сприймати як точне передбачення майбутнього. За такого обмеженого обсягу інформації невизначеність залишається значною, а результат залежить від обраної моделі, початкових припущень і того, наскільки обґрунтовано компанії вважаються порівнюваними, проте навіть така оцінка дає керівництву більше інформації для роздумів, ніж формальне твердження про неможливість визначити ймовірність ризику.

Інший приклад стосується лише п’яти незалежних спостережень з однієї сукупності. За певних статистичних умов імовірність того, що найменше та найбільше зі спостережених значень охоплять справжню медіану розподілу, становить 93,75%. Цей результат демонструє, що навіть невелика кількість даних може містити корисну інформацію про окремі характеристики невизначеності.

Водночас наведений приклад потребує важливого застереження. Йдеться про властивість статистичної процедури за умови незалежної випадкової вибірки з неперервного розподілу, а не про універсальну можливість надійно оцінювати ризики за п’ятьма довільними спостереженнями. Такий підхід нічого не гарантує щодо оцінювання рідкісних катастрофічних подій, максимальних збитків або складних взаємозалежностей між ризиками, проте головна думка залишається незмінною: обмежена інформація не обов’язково означає повну відсутність підстав для кількісного аналізу.

Для практики управління ризиками це означає необхідність розрізняти три ситуації: коли інформації справді немає, коли її недостатньо для застосування звичної моделі та коли організація просто не використовує доступні альтернативні методи оцінювання. Ці ситуації потребують різних управлінських рішень, хоча в багатьох звітах вони приховуються за одним формулюванням — «ризик не піддається кількісному оцінюванню».

Чому точне число може бути небезпечнішим за широкий діапазон

У практиці ризик-менеджменту існує зрозуміле прагнення отримати конкретний результат. Керівництво хоче знати, якою є ймовірність події, скільки коштуватимуть її наслідки, який капітал необхідно зарезервувати та наскільки очікувані втрати відповідають встановленому ризик-апетиту, тому результати на кшталт «імовірність становить 4,7%» або «очікувані втрати дорівнюють 12,3 млн грн» часто виглядають переконливіше, ніж оцінка у вигляді широкого інтервалу, однак наявність десяткових знаків ще не свідчить про достовірність розрахунку.

Якщо модель побудована на неповних даних, сумнівних припущеннях або не враховує суттєвих змін зовнішнього середовища, її математична точність може створювати небезпечну ілюзію визначеності. Особливо це стосується стратегічних ризиків, для яких історичні закономірності далеко не завжди зберігаються в майбутньому.

Уявімо компанію, яка розглядає можливість виходу на новий ринок. Фінансова модель передбачає очікуваний прибуток у розмірі 20 млн грн, але результат суттєво залежить від припущень щодо поведінки конкурентів, вартості залучення клієнтів, регуляторних змін та швидкості розвитку продажів. Формально можна побудувати складну модель і отримати конкретне значення очікуваного фінансового результату, проте для ухвалення рішення значно корисніше знати, за яких обставин проєкт може стати збитковим, яким буде можливий розмір втрат і наскільки компанія готова їх витримати. У такій ситуації сценарний аналіз, оцінювання чутливості та визначення діапазону можливих результатів можуть мати більшу практичну цінність, ніж один прогнозний показник.

При цьому не слід протиставляти точкові оцінки та інтервали як правильний і неправильний підходи. Обидва можуть бути корисними залежно від характеру ризику, якості вихідної інформації та мети аналізу. Проблема виникає тоді, коли точковий результат сприймається як достовірне знання, а діапазон невизначеності — як недолік методики. Професійний ризик-менеджмент повинен не приховувати невизначеність, а робити її зрозумілою для тих, хто приймає рішення.

Ця логіка узгоджується з одним із принципів ISO 31000:2018 — використанням найкращої доступної інформації (Best Available Information). Стандарт передбачає врахування обмежень інформації та пов’язаної з нею невизначеності, а не очікування моменту, коли всі необхідні дані стануть повними й беззаперечними. Інакше кажучи, відсутність ідеальної інформації не звільняє організацію від необхідності управляти ризиками.

Від карти ризиків до аналізу управлінських рішень

Питання кількісного оцінювання безпосередньо пов’язане з іншою проблемою, яку Штефан Гунцікер порушує у своїх публікаціях: надмірною залежністю корпоративного ризик-менеджменту від традиційних матриць і карт ризиків. У статті «Mandated Tools, Missing Impact: Rethinking Risk Matrices» він звертає увагу на те, що карта ризиків може бути зручним засобом комунікації, але її наявність ще не означає проведення повноцінного аналізу невизначеності. Кольорова позначка дозволяє швидко продемонструвати умовний рівень ризику, однак не розкриває характер можливих втрат, взаємозалежності між ризиками, вплив управлінських альтернатив та обґрунтованість припущень. Це не означає, що від карт ризиків необхідно відмовитися. Вони залишаються корисним інструментом узагальнення інформації, визначення пріоритетів моніторингу та комунікації між учасниками системи управління ризиками, однак карта ризиків не повинна підміняти аналіз, на підставі якого приймаються управлінські рішення.

Розглянемо умовний приклад страхової компанії, яка планує розширити присутність у певному сегменті страхування. За результатами традиційного оцінювання ризик погіршення збитковості може отримати середній рівень і відповідну позначку на карті ризиків. Але що фактично означає така оцінка для Правління? Для прийняття рішення необхідно розуміти, як зміниться фінансовий результат за різних сценаріїв збитковості, яким буде вплив на капітал і ліквідність, чи може зростання портфеля призвести до перевищення встановленого ризик-апетиту та які управлінські заходи дозволять обмежити можливі втрати. У цьому випадку навіть приблизні кількісні сценарії, побудовані на обґрунтованих припущеннях, можуть виявитися значно кориснішими за формально точну оцінку ризику за п’ятибальною шкалою.

Аналогічна ситуація виникає з ризиками залежності від ключових контрагентів, втрати критично важливих працівників, переривання операційної діяльності або невиконання стратегічних планів. Історичних даних може бути недостатньо, проте організація здатна оцінити можливі фінансові наслідки, тривалість відновлення діяльності, витрати на заміну постачальника, втрату доходів або вплив на виконання зобов’язань. Особливої актуальності такий підхід набуває для українських підприємств, діяльність яких супроводжується воєнними ризиками, порушенням логістичних ланцюгів, кадровими обмеженнями, нестабільністю енергопостачання та іншими чинниками, для яких традиційна статистика може бути малопридатною.

У цих умовах очікування достатньої кількості історичних спостережень означало б відмову від аналізу багатьох ризиків, що безпосередньо впливають на життєздатність бізнесу. Натомість використання сценаріїв, експертних оцінок та аналізу стійкості дозволяє хоча б окреслити можливі наслідки й визначити, які управлінські рішення можуть зменшити вразливість організації.

Водночас кількісне оцінювання має свої межі. Не всі ризики можна обґрунтовано представити у вигляді ймовірнісного розподілу, а окремі стратегічні або репутаційні наслідки не завжди доцільно переводити у грошовий вимір. У таких випадках важливо чесно визначати межі застосовності обраного методу, а не створювати штучну точність там, де для неї немає достатніх підстав.

Головне питання — чи змінить оцінка наше рішення?

На завершення свого допису Штефан Гунцікер пропонує, на мою думку, найважливіший критерій практичної цінності кількісного оцінювання: чи призведуть різні значення ризику в межах отриманого діапазону до різних управлінських рішень? Це питання дозволяє по-іншому поглянути на роль аналітичних моделей у системі управління ризиками.

Якщо компанія готова реалізувати інвестиційний проєкт незалежно від того, чи становить оцінена ймовірність несприятливого результату 3%, 5% або 7%, подальше уточнення цього показника може не мати суттєвої управлінської цінності, звичайно, за умови, що інші характеристики ризику, насамперед можливі наслідки, також враховані.

Натомість якщо рішення про реалізацію проєкту залежить від того, чи може ймовірність значних втрат перевищити певний поріг, навіть приблизна оцінка діапазону стає важливою. Вона дозволяє визначити, чи потрібно збирати додаткову інформацію, змінювати умови проєкту, передбачати резервні заходи або взагалі відмовитися від обраної альтернативи. Таким чином, доцільність подальшого аналізу повинна визначатися не лише можливістю підвищити точність розрахунків, а й потенційною цінністю додаткової інформації для прийняття рішення (Value of Information).

Для ризик-менеджера це означає необхідність змінити послідовність роботи. Спочатку варто з’ясувати, яке управлінське рішення має бути прийняте, які невизначеності можуть на нього вплинути та які наслідки є критичними для організації, і лише після цього визначати, які дані необхідні, наскільки точними мають бути оцінки та які методи аналізу доцільно застосовувати.

Такий підхід дозволяє уникнути ситуації, коли значні ресурси витрачаються на вдосконалення моделей оцінювання другорядних ризиків, тоді як стратегічно важливі рішення продовжують прийматися без належного аналізу невизначеності. Він також змінює характер взаємодії між ризик-менеджером і керівництвом, — замість презентації чергової карти ризиків або таблиці розрахункових показників предметом обговорення стають управлінські альтернативи, можливі наслідки їх реалізації, допустимий рівень втрат і готовність організації приймати відповідну невизначеність.

Зрештою, у цьому й полягає один із найважливіших напрямів розвитку сучасного корпоративного ризик-менеджменту — поступовий перехід від переважно формального підтвердження виконання встановлених процедур до реальної участі в підготовці та обґрунтуванні управлінських рішень.

Замість висновку

Дискусія, яку порушив Штефан Гунцікер, стосується не лише методів кількісного оцінювання. Вона змушує замислитися над тим, наскільки повно сучасні системи управління ризиками виконують своє основне призначення — сприяти створенню та захисту цінності організації. Наявність складних моделей, великих масивів даних і деталізованих звітів ще не гарантує, що компанія розуміє свої найсуттєвіші ризики. Так само відсутність достатньої статистики не означає, що ризик неможливо проаналізувати або врахувати під час прийняття рішення.

На мою думку, зрілість системи управління ризиками визначається не кількістю розрахованих показників і не точністю їх представлення, а здатністю організації виявляти суттєву невизначеність, розуміти її можливі наслідки та використовувати результати аналізу для обґрунтованого вибору управлінських рішень. І якщо ризик-менеджер чує звичне «у нас немає для цього даних», можливо, найкращою відповіддю буде не відмова від оцінювання, а інше запитання: «А що ми вже знаємо про цей ризик і чого нам достатньо, щоб прийняти рішення?»

Матеріали, використані при підготовці огляду:

1. Stefan Hunziker. Допис у LinkedIn щодо кількісного оцінювання ризиків за умов обмеженості даних, жовтень 2026 року.
2. The Risk Society. Enterprise Risk Management: Moving from Compliance to Better Decisions. Вебінар, 16 жовтня 2026 року.
3. Stefan Hunziker. Mandated Tools, Missing Impact: Rethinking Risk Matrices. The Risk Society.
4. ISO 31000:2018. Risk management — Guidelines.

Докладніше за посиланням

Сергій БАБИЧ