위험 노출도

Risk Exposure; RE, 위험 노출, 리스크 노출도
위험이 실제로 일어날 확률과 일어났을 때의 손실 크기를 곱해 구하는, 위험의 크기를 나타내는 기댓값

개요

위험 노출도는 배리 보엠(Barry Boehm)이 1989년 소프트웨어 위험 관리를 정리하면서 위험의 우선순위를 정하는 기준으로 제시한 값이다. 위험 하나가 프로젝트에 얼마만큼의 손실을 평균적으로 안기는지를 하나의 수로 나타내므로, 서로 다른 위험을 같은 잣대로 비교할 수 있다.

R E = P (U O) \times L (U O)

P(UO): 바람직하지 않은 결과(Unsatisfactory Outcome)가 일어날 확률
L(UO): 그 결과가 일어났을 때의 손실(Loss). 금액, 일정 지연 일수, 결함 수 등으로 나타낸다

손실이 L 이거나 0 인 두 가지 경우만 있는 위험이라면 RE 는 손실의 기댓값 $E = L \times P + 0 \times (1 - P)$ 과 같다. 즉 위험 노출도는 손실의 기댓값이다.

계산 예

핵심 개발자가 프로젝트 도중 이직할 확률이 0.2 이고, 이직하면 대체 인력 교육·재작업에 4,000만 원이 든다면
- RE = 0.2 × 4,000만 원 = 800만 원
주사위·동전처럼 확률을 직접 셀 수 있는 사건이면 경우의 수로 확률을 먼저 구한다. 예를 들어 주사위 두 개의 눈의 합이 9 일 확률은 (3,6)(4,5)(5,4)(6,3) 네 가지이므로 4/36 = 1/9 이고, 이때 900만 원 손실이 나는 위험의 노출도는 900만 원 × 1/9 = 100만 원이다
노출도는 실제로 생기는 손실이 아니다. 위 예에서 위험이 일어나면 900만 원을 잃고, 안 일어나면 0원을 잃는다. 100만 원은 평균적으로 예상되는 손실이다

쓰임

위험 우선순위

식별한 위험마다 RE 를 구해 큰 순서로 정렬하고 상위 위험부터 대응 계획을 세운다. 확률만 높거나 영향만 큰 위험보다, 둘을 곱한 값이 큰 위험을 먼저 다룬다는 뜻이다. 프로젝트 위험 관리의 확률·영향 매트릭스는 이것을 등급(높음·중간·낮음)으로 단순화한 것이다.

위험 감소 레버리지

대응책이 돈값을 하는지 따질 때 쓴다.

R R L = \frac{R E_{b e f o r e} - R E_{a f t e r}}{위험 감소 비용}

RRL(Risk Reduction Leverage)이 1 보다 크면 들인 비용보다 줄어든 노출도가 크므로 할 만한 대응이다.

비슷한 지표

지표	식	쓰는 곳
위험 노출도(RE)	확률 × 손실	소프트웨어 프로젝트 위험의 우선순위
기대 금전 가치(EMV)	Σ(확률 × 금전적 영향). 위협은 음수, 기회는 양수	PMBOK 정량적 위험 분석, 의사결정 나무
연간 예상 손실(ALE)	단일 예상 손실(SLE) × 연간 발생률(ARO)	정보보호 정량적 위험분석

셋 다 확률(빈도)과 손실을 곱한 기댓값이라는 같은 생각에서 나왔다.

같이 보기