风险热力图：如何绘制、评分和解读 5x5 矩阵
风险热力图按可能性和影响标出风险。学习绘制并评分 5x5 矩阵、设定风险偏好，并避开已知的陷阱。
风险热力图是一张用颜色标示的网格，按发生的可能性和造成损害的大小，把每一项风险标在图上。高可能性、高影响位于红色角落，低可能性、低影响位于绿色角落。领导者借助它一眼就能看出该把精力放在哪里。
它是风险管理中最常见的工具之一，也是最容易被误用的工具之一。本指南介绍如何绘制 5x5 风险矩阵，如何评分和着色，如何表达风险偏好，以及研究怎么说它的局限。
5x5 风险热力图的原理
网格的一条轴有五个可能性等级，另一条轴有五个影响等级，共25个格子。
常见的得分方法是把两个评级相乘。可能性为“很可能”（4）、影响为“重大”（4）的风险，得分为16。得分范围是1到25。
然后用颜色把得分归为不同的行动级别。这些分段只是一个常用的起点，并非标准，请设定适合自己的分段。
| 得分 | 级别 | 颜色 | 常见应对 |
|---|---|---|---|
| 1 到 4 | 低 | 绿色 | 在定期复盘时监控 |
| 5 到 12 | 中 | 黄色 | 指定负责人并制定缓解计划 |
| 15 到 25 | 高 | 红色 | 上报领导层并立即行动 |
我们没有找到要求使用这些颜色的标准。COSO 的风险评估指南使用的是级别名称，而不是颜色，红绿灯只是大家熟悉的惯例。
分6步绘制风险热力图
- 确定范围和时间跨度。在你说明是多长时间之内之前，“很可能”没有意义，例如未来12个月。
- 列出风险。把每项风险描述为一个事件及其后果，例如“关键供应商出问题，导致交付延迟一个季度”。
- 用通俗的语言定义每个等级。例如，“很可能”可以指60%到80%的概率，“重大”可以指超过某一金额的损失。这些只是示例，请选择适合你组织的范围。
- 一起对风险评级。不同职能会有分歧，而这场讨论往往是最有价值的部分。
- 绘制并给网格着色，然后为每一项高于行动线的风险指定负责人。
- 设定复盘日期。一年只更新一次的风险图，很快就不再反映现实。
实例
以下风险为虚构，仅作说明。
| 风险 | 可能性 | 影响 | 得分 | 级别 |
|---|---|---|---|---|
| 关键工程师离职 | 很可能（4） | 重大（4） | 16 | 高 |
| 主要供应商涨价 | 有可能（3） | 中等（3） | 9 | 中 |
| 某个市场出台新法规 | 不太可能（2） | 重大（4） | 8 | 中 |
| 办公室租约不再续签 | 极少发生（1） | 轻微（2） | 2 | 低 |
固有风险与剩余风险
固有风险是未采取任何控制措施时的评级。剩余风险是采取控制措施之后的评级。把两者混在一张图里，就是拿不同的东西比较。主视图请选其一，或者从每项风险的固有位置到剩余位置画一个箭头，显示缓解措施取得了什么效果。
如何在热力图上体现风险偏好
风险偏好是组织为实现目标愿意承受多大的风险。在热力图上，它决定了颜色分界线的位置。
COSO 的《Risk Assessment in Practice》解释说，级别分界线会随风险偏好移动：偏好越高，分界线越向右上方移动；越谨慎，则越向左下方移动。它还指出，分界线可以是不对称的，赋予影响比可能性更大的权重。
因此，同一项风险对一个组织来说可能是红色，对另一个组织来说可能是黄色。在标注任何风险之前，请先在领导层或董事会层面商定分界线，避免有人为了迎合结果而移动它们。
COSO 还介绍了再增加一个变量的做法，例如用圆点的大小表示风险爆发的速度有多快。
3x3 与 5x5 风险矩阵
| 3x3 | 5x5 | |
|---|---|---|
| 格子数 | 9 | 25 |
| 最适合 | 小团队，快速初筛 | 较长的风险清单，定期汇报 |
| 优势 | 快速简单 | 对风险的区分更精细 |
| 弱点 | 多数风险挤在中间 | 可能暗示你并不具备的精确度 |
从仍能改变决策的最简单网格开始。只有当人们能真正分清各个等级时，更多格子才有帮助。
研究如何看待热力图的局限
最著名的批评来自 Tony Cox 2008年发表在《Risk Analysis》期刊上的论文《What's Wrong with Risk Matrices?》。他发现，典型的矩阵只能对不到10%的随机抽取的危害对做出正确且明确的比较，而且可能给在数量上更小的风险打出更高的评级。他的结论不是放弃矩阵，而是应当谨慎使用并做好说明。
后来的研究走得更远。Krisper 2021年的一篇综述归纳了24个问题，主张改用定量方法，而 Douglas Hubbard 则是对各类评分方法的主要批评者。
实践中最重要的有四个局限。
风险倒置
这是我们自己构造的一个例子。风险 X 有20%的概率造成 EUR 500,000 的损失，预期损失为 EUR 100,000。风险 Y 有80%的概率造成 EUR 50,000 的损失，预期损失为 EUR 40,000。
| 风险 | 可能性 | 影响 | 得分 | 预期损失（EUR） |
|---|---|---|---|---|
| X | 不太可能（2） | 重大（4） | 8 | 100,000 |
| Y | 很可能（4） | 中等（3） | 12 | 40,000 |
按这个量表，矩阵把 Y 排在 X 之前，尽管 X 的预期损失是 Y 的两倍多。网格把顺序颠倒了。
范围压缩
每个格子涵盖很宽的范围。EUR 300,000 的损失和 EUR 300 万的损失可能落在同一个影响列，看起来完全一样。
虚假的算术
数字1到5是有序类别的标签，而不是测量值。COSO 指出它们不适合进行数学运算，尽管有些组织会把它们相乘来做初步排序。用得分给清单排序即可，不要据此声称某项风险恰好是另一项的两倍。
静态且主观的评级
评级反映的是当天在场人员的判断。请用统一的定义来校准评级，并在情况变化时及时更新，而不是等到年度周期。
如何让热力图带来更好的决策
- 认真审视黄色区域。这里的风险最容易管理不足，因为颜色暗示并不紧急。
- 对最大的风险使用区间。像 EUR 200,000 到 EUR 800,000 这样的区间，比单一的影响等级传达更多信息。
- 把评分相同当作需要讨论的信号，而不是结果。
- 对最重要的风险，用金额估算缓解措施的成本和收益，因为光看颜色无法告诉你该花多少钱。
风险热力图与风险登记册
| 热力图 | 风险登记册 | |
|---|---|---|
| 目的 | 显示该看哪里 | 记录该做什么 |
| 形式 | 可视化网格 | 详细表格 |
| 内容 | 位置和级别 | 描述、得分、负责人、行动、日期 |
| 受众 | 董事会和领导层 | 风险负责人和管理者 |
两者都需要。先建立登记册，再由它来驱动风险图。请参阅如何建立真正有效的风险登记册。
如何在 Aitraxus 中跟踪风险
在 Aitraxus 风险管理（Risk Management）中，你为每项风险添加类别、可能性和影响，得分和级别会自动计算。风险按得分从高到低排序。每项风险都有负责人和状态，缓解行动有负责人和截止日期，逾期的行动以红色标记，剩余风险得分则显示某项行动把风险降低了多少。
想了解更多，请阅读如何管理战略风险和我们的董事会报告软件指南。
资料来源
- Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
- COSO, Risk Assessment in Practice, 2012
- Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint
常见问题
什么是风险热力图？
它是一张用颜色标示的网格，按可能性和影响标出各项风险，让领导者能快速看出哪些风险最需要关注。
风险矩阵和热力图有什么区别？
这两个术语常被互换使用。风险矩阵是由可能性和影响等级构成的网格，热力图则是带有颜色并标出风险的这张网格。
如何计算 5x5 风险得分？
把可能性评为1到5，把影响评为1到5，然后相乘，得到1到25的得分。请用结果来给风险排序和分组，而不是当作精确的测量值。
5x5 矩阵中多少分算高风险？
这取决于你的风险偏好。常见的起点是把15到25分视为高，5到12分视为中，1到4分视为低。
风险热力图上的颜色代表什么？
通常绿色表示需要监控的低风险，黄色表示需要负责人和计划的中等风险，红色表示需要行动和上报的高风险。
风险热力图应该多久更新一次？
按固定周期复盘，例如每季度一次，并在发生重要变化时随时更新。最重要的风险值得更频繁地关注。
为什么风险矩阵会受到批评？
研究表明，它们可能把较小的风险评得比较大的风险更高，把差别很大的风险归在一起，并且依赖主观评级。它们适合用来确定讨论的优先顺序，但不足以作为精确决策的依据。
免费试用 Aitraxus，打开 ACME 演示项目，查看已评分的风险登记册。