リスク密度、単位リスクという考え方

同じリスクでも、大企業と中小企業では捉えるリスクが異なるだろうという事で「リスク密度」または「単位リスク」という考え方は有用ではないだろうかと思った。

リスク密度/単位リスクの定義

「リスク密度/単位リスク」というものを以下と定義する。

とある人が単位時間辺りに、とあるセキュリティ事故を起こす確率 ： 「ρ」
密度なので、ギリシア文字「ロー(ρ)」にした

単位は「％／人×時間」

例えば
「重要書類の入ったカバンを電車に置き忘れる確率」を単位時間(または通勤一回分でもよいと思う)で割って、さらに一人当たりに換算した値。
ということ

例えば、
カフェなどで仕事していて情報漏えい事故が起きる確率とか、、、
メールの誤送信で機密情報が漏えいする事故の発生確率とか、、、

リスク密度/単位リスクからみるリスクの性質

0≦ρ≦1 ： 確率なので、0以上 1以下

ρ≒0 ： おそらくリスク密度が有益な場面は、リスク密度が 0 に近い確率の場面

ある一定期間を t とすると、その期間内でのトータルでの個人のリスク r は、
r = t × ρ

n を組織に属する人間の数、期間を t とすると、その期間内での組織全体でのリスク R は、
R = n × r = n × t × ρ

または、n と t の積算でもよいと思う。
ρ → ρ(t,n) (ρ は t と n の関数とみなす)
R = ΣΣρ(t,n)
または
R = ∬ρ(t,n)

m ≪ n であり 0 ≪ n ならば、
R(m) ≪ R(n) であり 0 ≪ R(n)
(大組織の場合は、該当する人が多くなるので、組織としてのリスクも大きくなる)

一人あたりの確率が小さくても、人数の多い大組織では受容できるような小さな値ではなくなる

n が大きくても、
例えば、飲み会に重要書類の入ったカバンを持参する人を m に減少するなどの対策を採用することで、n → m (m ≪ n)
0 ＜ R(m) ≒ 0 ： リスク受容できる範囲まで減少させられるかもしれない

m ≒ 0 (中小企業や、少人数のチーム)ならば、
0 ＜ R(m) ≒ 0
中小企業や小規模なチームであれば、許容できる範囲かも知れない

次は期間 t について考えてみる。
二つの期間 s と t を考える。s ＜ t とすると、
R(s) ＜ R(t)
日常的に外出している営業マン(t が大きい)より、稀にしか外出しない内勤者(t より小さい = s)の方がリスクは小さい
(リスクとして、電車に重要書類の入ったカバンを忘れるリスクを考えた場合)

「緊急事態のみの限定対応とする」とか「この週末だけとする」などの期間限定とすると、(期間を s とする)
0 ＜ s ≒ 0 となり、
0 ＜ R(s) ≒ 0 ： リスク受容できる範囲かもしれない

「緊急事態のみの限定対応とする」とか、期間限定だったはずが、気づいたら日常になってしまっている場合、
もともと期間は小さな値 s だったものが、ある程度大きな値 t にまで成長していて、つまり、
s → t (s ≪ t) となり、リスクの大きさも
R(s) ≪ R(t) となり、気づいたら受容できないほど大きなリスクとなっているかもしれない。

「期間限定」とか「今日だけ特別」とかは、限定的であるという事に常に気を付けておかないと、気づいたら日常とならないようにしなければならない。

こういう関数を考える。
S(u) = ∫ρ(t,n) (積分区間を 0→u (期間 t について)) とする
「今回だけの期間限定」とか「今日だけ特別」とかは、
S(s) (ただし 0 ＜ s ≒ 0) と表現でき、特別対応をなんとなく延長してしまった期間 t は S(t) (ただし s → t (s ≪ t)) と表現できるだろう。
当然のことながら
S(s) ≪ S(t)
と気づかないうちに小さな値ということで受容していたリスクが受け入れないほど増大しないように気をつけたいところ。

大企業と中小企業のリスクの違い

上記でも示しているが、所属人数 m と n とする。

m ≪ n なら、
R(m) ≪ R(n)

当然だが、m 人の中小企業(小規模チーム)と n 人の大企業(大組織)ではリスクの大きさが異なる

緊急時を日常にするリスク

上記でも示しているが、緊急時のみということで期間 t が小さければ、リスクは受容できるほど小さいかもしれないが、こういう緊急事態をそのまま日常にしてしまうと、期間 t が気づかないうちに大きくなり、
リスクの値も「0 ≪ R(t)」となり、
受容できるような小さな値から、受容できないような大きな値になりうることに常に注意する必要がある。

緊急事態の特別対応の時こそ、リスク管理のセンスというものが問われるだろうね。