什么是定量风险分析？

"无法衡量就无法管理。" 

这是一句管理学经典名言，也是一句伪造的话。彼得·德鲁克从未说过这句话。他实际警告的几乎是相反的观点，这个理念更接近V. F. 里奇韦在其经典论文《绩效测量的功能失调后果》（1956年）中阐述的批评：被测量的东西会被管理，即使测量和管理它毫无意义。他关心的不是测量本身，而是数字能说明全部情况这种错觉。

然而这句话之所以流传至今，是因为它满足了一种令人安心的信念：如果我们能量化某些东西，我们就能控制它。但是数字风险管理真的可以量化吗，还是说数字只是掩饰了我们的恐惧和希望？

它可以而且必须量化。但不是作为一门静态的事实科学。相反，它是一种持续的建模练习，一门将数据、感知和背景重塑为洞察的学科。

量化风险管理可以提升准备程度，但它永远不应承诺确定性的结果；它的力量在于迭代，而非错觉。而且人类大脑仍然是我们拥有的最精密的测量工具。我们能够感知任何数据集都无法完全捕获的模式。

从实际角度来看，定量风险分析是一种建模工作，它使用数值（通常是货币）估算来评估风险潜在影响的频率和规模，无论是机遇还是威胁。这使得风险能够与企业积压工作中的其他项目直接比较，因此更容易确定优先级。

尽管定量分析仍然成本高昂且在一定程度上依赖于判断，但建模风险的努力增强了组织面对意外情况的能力。它使企业能够调整其风险控制能力，以管理机遇和威胁。

频发的风险事件更容易理解和量化，使组织能够加强其防御措施，就像日本的抗震建筑或在民防规划中使用极端降雨统计稀有性一样。 

为了应对这一挑战，定量风险管理依赖于概念分解，将复杂、不透明的风险分解为更简单、更通用的组件，这些组件可以被估算、建模并最终进行比较。 如果没有这种建模努力，罕见风险将仍然难以处理，使组织无法有意义地评估其风险敞口或优先安排投资。

在DARE25（企业数字化风险方法）中，一个有用的比喻是竞技游戏，其中攻击方代表试图挑战或占有资产的行为者，而防御方代表负责保护资产的一方。这些是描述互动行为者在任何组织或战略环境中如何围绕资产定位自己的广义系统性角色。然而，这并不是一个规则固定的游戏：随着新玩家的加入，发挥作用的力量可能会动态演变，双方都会实时调整其策略。从这个意义上说，定量分析提供了一个结构化的视角，通过它可以对这些变化的动态进行建模。

在这样的背景下，关键问题变成：双方可以部署哪些能力和控制措施来提高成功的概率和程度？在数字世界中，可能的获胜者是那些掌握关于资产及其对手的可操作信息，并能够吸收这些知识并将其转化为实际行动的一方。

在开始阶段，防守方将采用隔离控制来隐藏资产或使其无法访问。它还可能试图通过威慑控制来影响攻击方的商业案例，通过减少攻击的感知收益和/或增加感知成本以及防御反应的威胁。

例如，如果我们是旨在在特定市场细分领域取代竞争对手的攻击方，竞争对手（防守方）可能会试图隐藏其关键客户数据，保护分销渠道，或通过独家协议锁定合作伙伴，使目标市场变得不那么容易进入，降低我们商业案例的吸引力。

相反，攻击方可能会试图绕过隔离障碍，增加对资产和防守方的了解，耐心地逐步收集洞察，就像熟练的观察者在规划行动方案之前先学习行为模式一样。在我们的例子中，这可能涉及逐渐了解竞争对手如何运作——理解其定价策略、客户获取方法和运营弱点——这样我们就能制定更有效的进入策略。

攻击方也可能受到企业内部实验文化的鼓励而无视防守方的威慑措施。在我们的场景中，奖励实验的文化可能会推动我们测试非常规的营销策略或替代产品组合，即使竞争对手试图通过激进定价或对供应商施加合同压力来阻止新进入者。

攻击方还可能发起一种保持隐形的非常规攻击，仅仅因为防守方从未意识到游戏已经开始而获得成功。因此，检测能力成为一项关键的防御资产。在实践中，这可能意味着通过竞争对手忽视的新客户群体或间接渠道进入市场——让我们能够在防守方意识到其地位受到挑战之前获得牵引力。

一旦这种"知识博弈"开始运行，结果取决于双方部署的资源和学习能力的相对强度。如果两家公司在一个市场细分领域竞争，可能的获胜者是首先理解新兴客户需求并预测竞争对手行动的那一方。为学习和快速知识转移而构建的组织，如分形组织，拥有战略优势。

即使在博弈进行之后，防守方仍可能通过反应性控制挽回部分损失，而攻击方如果已准备多种选择，可以选择最有利的路径（一种期权思维形式）。

强大的利益相关者管理技能对双方都至关重要：防守方将试图最小化声誉影响，而攻击方将寻求利用早期胜利来建立势头并加强利益相关者支持。竞争对手可能仍会试图通过改善其产品或参与防御性沟通来重新获得优势。同样，在目标细分领域的早期胜利可以帮助我们获得来自利益相关者、投资者或合作伙伴的更广泛内部支持，从而实现进一步扩张。

这些要素定义了一组需要评估的变量，并在可能的情况下进行量化。 

对于每个变量，我们分配一个概率分布，然后使用蒙特卡罗模拟计算总体风险，产生综合风险分布。

从定量角度来看，总体风险是通过将影响频率（风险在转换期间产生切实影响的次数；要素1）乘以影响规模（冲击；要素2）得出的，如RCD图所示。

影响频率的概率分布由以下因素决定：

• 资产可访问性（要素3）：隐藏或隔离关键资产的能力与攻击方规避保护屏障的能力之间的对比，这决定了攻击方处于能够触发博弈位置的频率。

• 博弈触发（要素4）：威慑措施的强度与激励塑造机制之间的对比，这决定了攻击方实际选择行动的概率。

• 防御触发（要素5）：攻击策略的创新性与防御方检测成熟度之间的对比，这决定了防御方识别并应对挑战的概率。

• 博弈结果（要素6）：对抗双方的相对学习和吸收能力（要素7和8），这影响最终结果。

影响规模的概率分布主要取决于反应性控制措施的有效性，这决定了博弈影响规模（要素9），以及利益相关者管理能力的稳健性，这决定了博弈支持者产生的外部影响（要素10）。

总之，蒙特卡罗技术可以数值模拟以下序列：

访问 → 决策 → 检测 → 学习 → 结果 → 扩展影响

例如，通过为市场进入尝试的概率建模分布，并为其潜在财务影响建模分布，蒙特卡罗可以模拟数千种可能的组合，以得出预期货币价值和范围。

由此，我们可以得出：

• 最可能的货币价值风险；
• 最佳情况和最坏情况的结果。

这种技术还可以与决策树分析相结合，用于比较不同的战略选择，例如，决定是针对细分市场中的竞争对手，还是将挑战扩展到全球细分市场。

定量风险分析为组织提供了一种规范的方法，以可衡量、可比较的方式理解不确定性。通过对风险进行建模而不是仅仅依赖直觉或历史模式，它能够实现更明智、透明和可辩护的决策。

此外，在当今的数字化世界中，真正重要的是赋能团队在信息和知识实际存在的地方做出决策。因此，定量风险管理应当支持企业各个层面的决策制定，而不仅仅是在高管或投资组合层面。这意味着团队本身必须配备解读不确定性、建模情境场景以及在日常工作中运用定量洞察所需的概念工具。

定量风险分析的主要优势包括：

• 明确的风险优先级排序：数值估算有助于在同等基础上比较风险和其他待办事项；

• 更好的资源配置：量化支持对控制措施和应对方案进行更理性的投资；

• 改进的情境规划：模拟显示最佳情况、最坏情况和最可能的结果；

• 更深入的敏感性洞察：分析显示哪些假设驱动了变异性；

• 评估罕见风险的能力：建模支持对低频率、高影响事件的评估；

• 支持持续学习：迭代建模加强学习和适应能力。

定性风险分析方法依赖于本质上主观的判断，但它们在为后续定量评估提供信息和指导方面发挥着至关重要的作用。它们在组织中的受欢迎程度，特别是在较小项目中，源于其易用性：它们不需要数值建模或仿真，并允许将风险分类为广泛的可能性和利益相关者影响类别。该过程通常产生一个优先级风险列表。它有助于更清晰地理解其潜在影响，通常通过矩阵或面板分配风险分数来达到高潮。

相比之下，定量方法试图使用代表潜在影响频率和规模的变量来评估风险。尽管旨在最小化主观性，但它们无法完全消除主观性，特别是在人类行为和组织文化影响潜在风险动态的情况下。因此，当代定量方法越来越多地整合系统性、行为性和文化维度，以实现更稳健和现实的评估。

如果定量方法不可避免地包含主观元素这一点是正确的，那么反之亦然：定性方法在定义结合概率（影响频率）和影响（影响规模）的网格中使用的类别时嵌入了定量判断。要将风险描述为潜在关键风险，必须将其影响规模与企业规模进行比较，例如其总体营业额，或者与所考虑的特定项目的营业额进行比较。同样，要将风险归类为频繁风险，必须相对于倡议的时间框架评估其重现性。

定性分析旨在优先考虑最相关的风险，识别那些应被选择进行进一步和更耗费精力的定量评估的风险。

定量风险分析在测量必须服务于学习而非错觉时变得至关重要。正如开始时所论述的，数字并不保证控制：它们提供了一种严格的方式来进行实验、比较替代方案并完善我们对不确定性的理解。

当不确定性必须转化为支持优先级排序、资源配置和基于情景的规划的经济术语时，定量分析特别有效。它远非提供数字确定性，而是为组织提供更有价值的东西：一种比其面临的风险学习更快的系统化方法。 

将定性洞察与定量严谨性相结合的真正价值在于它如何重塑决策制定：它推动企业直面不确定性，质疑假设，并以更强的战略纪律性行动。在风险变化比计划更快的数字时代，这种能力应该成为任何组织生存工具包的标准组成部分。