Роль искусственного интеллекта в управлении рисками организации

Введение

Управление рисками традиционно основывается на последовательности действий: установление контекста, идентификация угроз и возможностей, анализ вероятности и последствий, выбор способа обработки, мониторинг и коммуникация. Международный стандарт ISO 31000:2018 закрепляет риск-ориентированный подход как общую систему, применимую к организации любого типа и масштаба [1]. В условиях цифровизации проблема заключается не в отсутствии данных, а в их избытке, неоднородности и высокой скорости изменения. Риск-менеджер должен учитывать финансовые показатели, операционные события, изменения спроса, действия контрагентов, информационную безопасность, новости, правовые документы и внутреннюю переписку.

Искусственный интеллект создаёт возможность преобразовать управление рисками из периодической процедуры в более динамический процесс. Алгоритмы могут выявлять аномалии, анализировать большие массивы текста, строить прогнозы временных рядов, обнаруживать взаимосвязи между факторами и моделировать сценарии. При этом AI не устраняет неопределённость. Напротив, к исходному риску добавляется модельный риск: алгоритм может быть обучен на нерепрезентативных данных, отражать устаревшие закономерности или формировать убедительный, но недостаточно обоснованный вывод.

Актуальность исследования определяется необходимостью сформировать архитектурный принцип, при котором искусственный интеллект усиливает корпоративный риск-менеджмент, не размывая ответственность руководителя. Цель работы – предложить многофакторную модель AI-поддержки управления рисками организации. Объект исследования – процессы корпоративного риск-менеджмента. Предмет – методы искусственного интеллекта, применяемые на этапах идентификации, оценки, мониторинга и обработки риска.

Научная новизна состоит в представлении AI не как отдельного аналитического инструмента, а как непрерывного оценочного контура, интегрированного с управленческим контуром риск-аппетита и полномочий. Предлагаемая модель учитывает не только вероятность и ущерб, но также скорость реализации риска, взаимосвязанность с другими рисками, качество данных и неопределённость алгоритмического вывода.

1. Теоретическая основа интеграции AI в риск-менеджмент

ISO 31000 рассматривает риск как эффект неопределённости на достижение целей и подчёркивает необходимость интеграции управления рисками в процессы управления организацией [1]. Для систем искусственного интеллекта действует специализированное руководство ISO/IEC 23894:2023, ориентированное на риск, связанный с разработкой, внедрением и использованием AI [2]. Тем самым возникают два пересекающихся направления: использование AI для управления рисками организации и управление рисками самого AI.

NIST AI Risk Management Framework предлагает функции Govern, Map, Measure и Manage, которые формируют жизненный цикл управления AI-риском [3]. Данный подход важен для корпоративного внедрения: недостаточно проверить точность модели один раз. Необходимо установить ответственность, контекст использования, методы измерения качества и механизм управления выявленными проблемами.

В корпоративной практике риск редко определяется одним фактором. Даже финансовый риск может зависеть от ликвидности, структуры долгов, валютной позиции, концентрации контрагентов и изменения спроса. Многофакторный подход позволяет избежать редукции сложной ситуации к одной метрике. В работе В. В. Осадчего показана логика построения многофакторной модели для коммерческой финансовой системы [6, с. 12-16]. В настоящем исследовании эта логика переносится на более широкий контур организационного риска, где факторы могут иметь различную природу и временной горизонт.

Искусственный интеллект особенно полезен там, где количество факторов и связей превышает возможности статической матрицы рисков. Однако математическая сложность не означает автоматически лучшего управления. Если результат невозможно интерпретировать и связать с конкретными данными, руководитель фактически делегирует решение непрозрачному механизму. Поэтому архитектура должна обеспечивать аналитическую трассируемость.

2. Применение искусственного интеллекта на этапах цикла управления рисками

На этапе идентификации AI расширяет пространство наблюдения. Методы обработки естественного языка позволяют анализировать договоры, отчёты, новости, обращения клиентов и внутренние документы. Модель может обнаруживать повторяющиеся темы, новые типы претензий и изменения тональности. Методы обнаружения аномалий применимы к финансовым транзакциям, производственным параметрам и операционным показателям.

На этапе анализа риска машинное обучение используется для оценки вероятности события или диапазона будущих значений. Принципиально важно различать прогноз и причинное объяснение. Высокая корреляция признака с убытком не означает, что изменение этого признака вызовет убыток. Поэтому AI-прогноз должен дополнять, а не подменять предметную модель риска.

На этапе оценки выполняется сопоставление рассчитанного риска с риск-аппетитом и критериями допустимости. Здесь возможно автоматическое ранжирование, но сами границы допустимости являются управленческим решением. Алгоритм может сообщить, что ожидаемый риск вырос на 30 %, но решение остановить проект, приобрести страховое покрытие или принять риск должно соответствовать стратегии организации.

На этапе обработки риска AI может оптимизировать набор мер. Для операционных процессов это перераспределение ресурсов, изменение графика или резервирование мощности; для финансового риска – лимиты и хеджирование; для киберриска – усиление контроля. Однако рекомендательная система должна учитывать ограничения бюджета и побочные эффекты. Мера, снижающая один риск, способна увеличить другой.

На этапе мониторинга формируется наиболее значительное преимущество AI: риск-профиль может пересчитываться при поступлении новых данных. Вместо ежеквартальной карты рисков организация получает потоковую оценку. При этом возникает опасность ложной точности. Частое обновление числа не означает, что сама модель стала точнее; поэтому вместе с оценкой риска должна отображаться её неопределённость.

Таблица

3. Многофакторная модель AI-оценки организационного риска

Классическая качественная матрица использует вероятность P и последствия I. Для динамической цифровой среды этого часто недостаточно. Предлагается расширенная оценка R = P · I · V · C, где V – коэффициент скорости реализации риска, а C – коэффициент взаимосвязанности с другими рисками. Отдельно рассчитывается показатель доверия Q = g(D, S, M), где D – качество данных, S – стабильность модели во времени, M – полнота подтверждающих источников. Такое разделение не позволяет низкому качеству данных искусственно уменьшить итоговую оценку.

Управленческое решение строится по паре (R, Q). Высокий риск при высоком доверии требует немедленного действия; высокий риск при низком доверии – срочной дополнительной проверки; низкий риск при низком доверии – наблюдения и улучшения данных. Такой подход особенно важен для редких событий, когда модель может формировать экстремальную оценку на слабой информационной базе.

Коэффициент взаимосвязанности C отражает системную природу риска. Например, отказ поставщика способен вызвать одновременно производственную остановку, нарушение срока перед клиентом, штрафы и репутационный ущерб. Графовые модели позволяют представить связи между активами, процессами и контрагентами. В такой архитектуре AI оценивает не только локальное событие, но и возможный каскад последствий.

Коэффициент скорости V нужен для приоритизации. Два риска с одинаковым ожидаемым ущербом требуют разной реакции, если один развивается за несколько месяцев, а другой – за несколько часов. AI может оценивать time-to-impact на основе исторических последовательностей событий. Тем самым управление риском сближается с прогнозным мониторингом бизнес-процессов.

Особое значение имеет неопределённость. Генеративные и сложные нелинейные модели могут формировать результат без простой причинной интерпретации. NIST для генеративного AI выделяет необходимость специальных действий по управлению рисками, включая оценку достоверности, безопасность и управление информационной целостностью [4]. Поэтому AI-вывод должен сопровождаться диапазоном уверенности, источниками и пояснением факторов.

4. Двухконтурная архитектура управления

Предлагаемая система состоит из аналитического и управленческого контуров. Аналитический контур собирает данные, идентифицирует сигнал, рассчитывает показатели, строит сценарии и предлагает варианты реакции. Управленческий контур задаёт цели организации, риск-аппетит, лимиты, полномочия и правила эскалации. Между контурами существует интерфейс решения.

Такое разделение предотвращает распространённую ошибку – превращение AI-скоринга в автоматическое управленческое решение. Например, модель может присвоить контрагенту высокий риск. Но прекращение отношений зависит от договорных обязательств, стратегической важности контрагента, возможности замены и стоимости разрыва. Эти факторы могут быть частично формализованы, однако ответственность остаётся у уполномоченного лица.

Автоматизация целесообразна на уровне обратимых и низкорисковых действий: запрос дополнительной проверки, повышение частоты мониторинга, изменение внутреннего приоритета, создание задания. Действия с существенным влиянием на права, финансы или непрерывность бизнеса должны проходить human-in-the-loop. Уровень участия человека определяется не «умностью» модели, а ценой возможной ошибки.

OECD подчёркивает необходимость систематического управления AI-рисками на протяжении жизненного цикла и принцип ответственности акторов AI [5]. В предлагаемой архитектуре ответственность материализуется через журнал решений: сохраняются версия модели, входные данные, сформированный прогноз, выбранное действие и итоговый результат. Это создаёт возможность последующего аудита и обучения.

Для совета директоров и руководства AI должен формировать не поток технических предупреждений, а агрегированную картину: наиболее быстро растущие риски, концентрация, сценарии отклонения от целей и чувствительность к ключевым факторам. Для риск-менеджера необходим детальный уровень, позволяющий перейти от агрегированного показателя к конкретным событиям и данным.

5. Ограничения и риски AI-поддержки риск-менеджмента

Первое ограничение – историческая зависимость. Машинное обучение в значительной мере опирается на прошлые данные, тогда как наиболее опасные организационные риски могут быть структурно новыми. Поэтому AI эффективнее при повторяющихся процессах и слабее при редких переломных событиях. Для последних необходимо сценарного моделирования и экспертные допущения.

Второе ограничение – качество данных. Разрозненные справочники, разные определения показателей и неполная история создают систематические ошибки. До внедрения сложной модели организация должна сформировать единые идентификаторы объектов и правила происхождения данных. Иначе алгоритм лишь автоматизирует существующую неоднозначность.

Третье ограничение – automation bias. Руководители могут избыточно доверять числовому результату, особенно если он представлен с высокой точностью. Для снижения эффекта интерфейс должен показывать диапазон, альтернативные сценарии и причины, по которым модель не уверена. Неопределённость – часть результата, а не дефект визуализации.

Четвёртое ограничение – риск самой AI-системы. ISO/IEC 23894:2023 предлагает интегрировать управление рисками AI в деятельность организации [2]. Следовательно, модель корпоративного риска должна иметь собственный паспорт: назначение, допустимые сценарии, ограничения, наборы данных, владельца, критерии качества, процедуру мониторинга и вывода из эксплуатации.

Пятое ограничение – взаимное усиление ошибок. Если AI-прогноз используется для управленческого действия, а результат этого действия затем попадает в обучающие данные, возникает обратная связь. Модель может постепенно обучаться на последствиях собственных рекомендаций. Это требует разделения естественно наблюдавшихся данных и данных, сформированных политикой модели.

6. Показатели эффективности и этапы внедрения

Эффективность следует оценивать по нескольким группам показателей: качество прогнозов; скорость обнаружения изменения риска; доля своевременно предотвращённых потерь; снижение трудозатрат на обработку информации; качество эскалации; число ложных предупреждений; доля решений, которые потребовали последующей корректировки. Для генеративных компонентов дополнительно измеряется доля утверждений, подтверждённых доступными источниками.

Внедрение рекомендуется начинать с задач, где имеется достаточная история и понятный критерий результата. Это может быть прогноз просрочки, аномалий расходов, отклонений операционных сроков или вероятности нарушения SLA. После накопления доверия система расширяется на слабоструктурированные сигналы и сценарный анализ.

Отдельный этап – калибровка риск-аппетита. AI не должен сам выбирать границы допустимости на основании исторического поведения, поскольку прошлое поведение организации не обязательно соответствует её текущей стратегии. Порог эскалации задаётся руководством, а модель лишь оценивает положение текущего случая относительно этого порога.

В долгосрочной перспективе AI способен трансформировать риск-менеджмент из функции периодической отчётности в операционный механизм управления. Но это возможно только при наличии качественной методологии, ответственности и способности объяснить путь от исходного сигнала до управленческого действия.

Заключение

Искусственный интеллект является значимым инструментом повышения чувствительности и скорости системы управления рисками организации. Его сильные стороны проявляются при обработке больших и разнородных массивов данных, выявлении слабых сигналов, прогнозировании и обновлении риск-профиля в реальном времени.

Предложенная модель объединяет многофакторную оценку риска и двухконтурную архитектуру управления. Аналитический AI-контур рассчитывает вероятность, последствия, скорость, взаимосвязанность и неопределённость, а управленческий контур задаёт цели, риск-аппетит и полномочия. Такое разделение позволяет использовать масштабируемость алгоритмов без передачи им неограниченной ответственности.

Дальнейшие исследования целесообразно направить на эмпирическую калибровку факторов для различных отраслей, разработку показателей качества ранних сигналов и исследование влияния AI-рекомендаций на долгосрочное поведение организации. Устойчивый эффект возникает не тогда, когда риск-менеджмент становится полностью автоматическим, а когда AI сокращает информационную задержку и делает управленческое решение более обоснованным и проверяемым.