Voor een informatiesysteem wordt geschat dat een incident dat per keer een verlies van 20 miljoen yen veroorzaakt 0,1 keer per jaar voorkomt. Een maatregel die 0,5 miljoen yen per jaar kost, zou de frequentie verlagen tot 0,02 keer per jaar. Wat is het jaarlijkse netto-effect van deze maatregel (de afname van het verwachte verlies min de kosten van de maatregel)?

Antwoord: C. 1,1 miljoen yen

De omvang van een risico kan worden vergeleken met het verwachte verlies per jaar (de jaarlijkse verliesverwachting): het verlies per incident vermenigvuldigd met de frequentie. Vóór de maatregel is dat 20 miljoen yen × 0,1 per jaar = 2 miljoen yen per jaar, erna 20 miljoen yen × 0,02 per jaar = 0,4 miljoen yen per jaar. Het verwachte verlies daalt met 2 miljoen − 0,4 miljoen = 1,6 miljoen yen, en na aftrek van de kosten van 0,5 miljoen yen blijft een netto-effect over van 1,6 miljoen − 0,5 miljoen = 1,1 miljoen yen. Omdat het netto-effect positief is, kan de maatregel als de kosten waard worden beoordeeld. Verwachtingswaarden alleen kunnen incidenten die zelden voorkomen maar catastrofaal zijn echter onderschatten, dus ook de omvang van de impact wordt meegewogen.