1. 风险暴露评估概述

1.1 风险暴露的定义

风险暴露（Risk Exposure）是指特定风险事件一旦发生，对组织或个体可能造成的最大潜在损失。它通常由两个核心维度构成：

• 发生概率（Probability）：风险事件在给定时间内发生的可能性，取值范围 [0, 1]。
• 影响程度（Impact）：风险事件发生后造成的损失金额、声誉损害或业务中断时长。

风险暴露的经典量化公式为：

风险暴露 = 发生概率 × 影响程度

例如，一笔 100 万元的贷款，违约概率为 5%，则其风险暴露为 100 万 × 5% = 5 万元。在金融领域，风险暴露常以货币单位计量；在互联网行业，则可能转化为用户流失率、数据泄露记录数或系统可用性下降百分比。

1.2 风险暴露与风险管理的区别

风险暴露评估是风险管理流程的起点，而非终点。下表清晰展示了两者的核心差异：

简言之，风险暴露评估回答“有多大风险”，而风险管理回答“如何处置风险”。没有准确的暴露评估，风险管理就会失去靶心。

1.3 风险暴露评估在金融与互联网行业的应用场景

不同行业对风险暴露的侧重点差异显著。以下通过两个典型场景进行对比：

金融行业：信用风险与市场风险

• 信用风险暴露：银行在发放贷款时，需计算每笔贷款的违约概率（PD）与违约损失率（LGD），从而确定预期损失（EL）。例如，信用卡业务中，风险暴露等于当前未偿还余额。
• 市场风险暴露：投资组合在极端市场波动下的潜在损失，常用在险价值（VaR）模型衡量。例如，某交易账户在 99% 置信水平下，日 VaR 为 500 万元，意味着一天内损失超过 500 万的概率仅为 1%。
• 操作风险暴露：因内部流程、人员或系统失效导致的损失，如交易员违规操作造成的直接财务损失。

互联网行业：产品风险与数据风险

• 产品功能风险暴露：新功能上线后导致用户转化率下降或核心指标恶化的风险。例如，改版支付流程后，支付成功率从 95% 降至 85%，风险暴露为 10% 的转化率损失。
• 数据安全风险暴露：用户隐私数据泄露可能带来的法律罚款、品牌声誉损失及用户流失。例如，某社交平台因 API 漏洞导致 500 万用户数据被爬取，风险暴露包括监管罚款（如 GDPR 最高 2000 万欧元）与用户信任修复成本。
• 系统可用性风险暴露：服务宕机造成的收入损失与用户体验下降。例如，电商平台大促期间宕机 1 小时，风险暴露为当日 GMV 的 1/24。

1.4 风险暴露评估的通用流程框架

无论行业如何，风险暴露评估通常遵循以下五个步骤：

1. 风险识别：列出所有可能影响业务目标的风险事件。
2. 概率评估：基于历史数据或专家判断，估计每个风险事件的发生概率。
3. 影响评估：量化每个风险事件一旦发生可能造成的损失（金额、时间、用户数等）。
4. 暴露计算：将概率与影响相乘，得到风险暴露值。
5. 优先级排序：按暴露值从高到低排序，确定需要优先处理的风险。

1.5 风险暴露评估与 A/B 测试的天然联系

在互联网产品迭代中，A/B 测试本质上是一种风险暴露控制实验。其核心逻辑如下：

• 小流量验证：仅让 1%–10% 的用户看到新版本，将功能风险暴露限制在可控范围内。
• 量化影响：通过统计显著性检验，评估新功能对核心指标（如转化率、留存率）的真实影响。
• 决策依据：若实验组指标显著优于对照组且无负面副作用，则全量上线；否则回滚或优化。