Mapa ryzyka: jak zbudować, ocenić i czytać macierz ryzyka 5x5

Mapa ryzyka pokazuje ryzyka według prawdopodobieństwa i wpływu. Dowiedz się, jak zbudować i ocenić macierz 5x5, ustalić apetyt na ryzyko i uniknąć znanych pułapek.

Mapa ryzyka (heat map) to kolorowa siatka, która umieszcza każde ryzyko według tego, jak jest prawdopodobne i jak duże szkody wyrządzi. Wysokie prawdopodobieństwo i duży wpływ trafiają do czerwonego rogu, niskie i niskie do zielonego. Liderzy używają jej, aby jednym spojrzeniem zobaczyć, na czym się skupić.

To jedno z najczęstszych narzędzi zarządzania ryzykiem i jedno z najłatwiejszych do nadużycia. Ten poradnik pokazuje, jak zbudować macierz ryzyka 5x5, jak ją oceniać i kolorować, jak pokazać apetyt na ryzyko i co badania mówią o jej ograniczeniach.

Jak działa mapa ryzyka 5x5

Siatka ma pięć poziomów prawdopodobieństwa na jednej osi i pięć poziomów wpływu na drugiej, co daje 25 komórek.

Częsty sposób uzyskania oceny to pomnożenie obu ocen. Ryzyko ocenione jako Prawdopodobne (4) i Duże (4) daje wynik 16. Wyniki mieszczą się w przedziale od 1 do 25.

Kolory grupują wyniki w poziomy działania. Te przedziały to jeden z popularnych punktów wyjścia, a nie standard. Ustal własne.

Nie znaleźliśmy standardu, który wymagałby tych kolorów. Wytyczne COSO dotyczące oceny ryzyka nazywają poziomy, a nie kolory, a sygnalizacja świetlna to po prostu znajoma konwencja.

Jak stworzyć mapę ryzyka w 6 krokach

1. Określ zakres i horyzont czasowy. "Prawdopodobne" nic nie znaczy, dopóki nie powiesz, w jakim okresie, na przykład w ciągu najbliższych 12 miesięcy.
2. Wypisz ryzyka. Opisz każde jako zdarzenie i jego skutek, na przykład "kluczowy dostawca zawodzi, co opóźnia dostawę o kwartał".
3. Zdefiniuj każdy poziom prostymi słowami. Na przykład Prawdopodobne może oznaczać szansę 60 do 80%, a Duże może oznaczać stratę powyżej ustalonej kwoty. To są przykłady, więc wybierz zakresy pasujące do Twojej organizacji.
4. Oceniajcie ryzyka razem. Różne funkcje będą się spierać, a ta rozmowa bywa najcenniejszą częścią.
5. Nanieś i pokoloruj siatkę, a następnie wyznacz właściciela każdego ryzyka powyżej Twojej linii działania.
6. Ustal datę przeglądu. Mapa aktualizowana tylko raz w roku szybko przestaje opisywać rzeczywistość.

Przykład praktyczny

Te ryzyka są fikcyjne i służą jako ilustracja.

Ryzyko nieodłączne a rezydualne

Ryzyko nieodłączne to ocena przed jakimikolwiek zabezpieczeniami. Ryzyko rezydualne to ocena po nich. Mapa, która miesza oba, porównuje rzeczy niepodobne. Wybierz jedno do głównego widoku albo narysuj strzałkę od pozycji nieodłącznej każdego ryzyka do jego pozycji rezydualnej, aby pokazać, co daje ograniczanie.

Jak pokazać apetyt na ryzyko na mapie ryzyka

Apetyt na ryzyko to ilość ryzyka, jaką organizacja gotowa jest zaakceptować w dążeniu do celów. Na mapie ryzyka decyduje o tym, gdzie leżą granice kolorów.

Publikacja COSO Risk Assessment in Practice wyjaśnia, że granice poziomów przesuwają się wraz z apetytem: większy apetyt przesuwa je w prawy górny róg, a większa ostrożność w lewy dolny. Zaznacza też, że granice mogą być asymetryczne i nadawać wpływowi większą wagę niż prawdopodobieństwu.

To samo ryzyko może więc być czerwone dla jednej organizacji i żółte dla innej. Uzgodnij granice na poziomie kierownictwa lub zarządu, zanim cokolwiek naniesiesz, aby nikt nie przesuwał ich pod wynik.

COSO opisuje też dodanie kolejnej zmiennej, na przykład użycie wielkości punktu do pokazania, jak szybko ryzyko może się ziścić.

Macierz ryzyka 3x3 a 5x5

Zacznij od najprostszej siatki, która nadal zmienia decyzje. Więcej komórek pomaga tylko wtedy, gdy ludzie potrafią uczciwie odróżnić poziomy.

Co badania mówią o ograniczeniach mapy ryzyka

Najbardziej znaną krytyką jest artykuł Tony'ego Coxa z 2008 roku "What's Wrong with Risk Matrices?" w czasopiśmie Risk Analysis. Stwierdził w nim, że typowe macierze potrafią poprawnie i jednoznacznie porównać mniej niż 10% losowo wybranych par zagrożeń oraz że mogą przypisywać wyższe oceny ryzykom ilościowo mniejszym. Jego wniosek nie brzmi: porzućcie je, lecz: używajcie ich ostrożnie i z dokładnym wyjaśnieniem.

Późniejsze prace idą dalej. Przegląd Krispera z 2021 roku katalogizuje 24 problemy i opowiada się za metodami ilościowymi, a Douglas Hubbard jest czołowym krytykiem metod punktowych w ogóle.

W praktyce najważniejsze są cztery ograniczenia.

Odwrócenie rankingu ryzyk

Oto przykład, który sami skonstruowaliśmy. Ryzyko X ma 20% szans na stratę 500 000 EUR, czyli oczekiwaną stratę 100 000 EUR. Ryzyko Y ma 80% szans na stratę 50 000 EUR, czyli oczekiwaną stratę 40 000 EUR.

Na tej skali macierz stawia Y wyżej niż X, choć X ma ponad dwukrotnie większą oczekiwaną stratę. Siatka odwróciła kolejność.

Kompresja zakresów

Każda komórka obejmuje szeroki zakres. Strata 300 000 EUR i strata 3 mln EUR mogą trafić do tej samej kolumny wpływu i wyglądać tak samo.

Fałszywa arytmetyka

Liczby od 1 do 5 to etykiety uporządkowanych kategorii, a nie pomiary. COSO zauważa, że nie nadają się do działań matematycznych, choć niektóre organizacje mnożą je dla wstępnego rankingu. Używaj wyników do sortowania listy, a nie do twierdzenia, że jedno ryzyko jest dokładnie dwa razy większe od innego.

Statyczne i subiektywne oceny

Oceny odzwierciedlają osąd osób obecnych w danym dniu w pokoju. Skalibruj je wspólnymi definicjami i aktualizuj, gdy coś się zmieni, zamiast czekać na roczny cykl.

Jak lepiej decydować dzięki mapie ryzyka

• Przyjrzyj się uważnie żółtej strefie. Te ryzyka najczęściej są niedostatecznie zarządzane, bo kolor sugeruje brak pilności.
• Dla największych ryzyk używaj zakresów. Zakres, taki jak 200 000 do 800 000 EUR, mówi więcej niż pojedynczy poziom wpływu.
• Traktuj remisy jako zachętę do dyskusji, a nie wynik.
• Dla głównych ryzyk oszacuj koszt i korzyść ograniczania w pieniądzach, bo sam kolor nie powie, ile wydać.

Mapa ryzyka a rejestr ryzyk

Potrzebujesz obu. Najpierw zbuduj rejestr i pozwól mu prowadzić mapę. Zobacz jak zbudować rejestr ryzyk, który działa.

Jak śledzić ryzyka w Aitraxus

W module Zarządzanie Ryzykiem w Aitraxus dodajesz każde ryzyko z kategorią, prawdopodobieństwem i wpływem, a wynik i poziom są obliczane automatycznie. Ryzyka są sortowane od najwyższego wyniku. Każde ma właściciela i status, działania ograniczające mają właścicieli i terminy, przeterminowane działania są oznaczane na czerwono, a wyniki rezydualne pokazują, o ile działanie zmniejsza ryzyko.

Więcej znajdziesz w jak zarządzać ryzykami strategicznymi oraz w naszym poradniku o oprogramowaniu do raportowania dla zarządu.

Źródła

• Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
• COSO, Risk Assessment in Practice, 2012
• Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint

Najczęściej zadawane pytania

Czym jest mapa ryzyka?

To kolorowa siatka, która umieszcza ryzyka według prawdopodobieństwa i wpływu, aby liderzy mogli szybko zobaczyć, które ryzyka wymagają największej uwagi.

Czym różni się macierz ryzyka od mapy ryzyka?

Te pojęcia są często używane zamiennie. Macierz ryzyka to siatka poziomów prawdopodobieństwa i wpływu, a mapa ryzyka (heat map) to ta siatka pokazana w kolorach, z naniesionymi ryzykami.

Jak obliczyć wynik ryzyka w macierzy 5x5?

Oceń prawdopodobieństwo od 1 do 5 i wpływ od 1 do 5, a następnie pomnóż je, aby uzyskać wynik od 1 do 25. Użyj wyniku do sortowania i grupowania ryzyk, a nie jako dokładnego pomiaru.

Jaki wynik oznacza wysokie ryzyko w macierzy 5x5?

To zależy od apetytu na ryzyko. Częsty punkt wyjścia uznaje 15 do 25 za wysokie, 5 do 12 za średnie, a 1 do 4 za niskie.

Co oznaczają kolory na mapie ryzyka?

Zazwyczaj zielony oznacza niskie ryzyko do monitorowania, żółty ryzyko średnie, które wymaga właściciela i planu, a czerwony ryzyko wysokie, które wymaga działania i eskalacji.

Jak często należy aktualizować mapę ryzyka?

Przeglądaj ją w regularnym cyklu, na przykład co kwartał, oraz zawsze, gdy zmieni się coś ważnego. Główne ryzyka zasługują na częstszą uwagę.

Dlaczego macierze ryzyka są krytykowane?

Badania pokazują, że mogą oceniać mniejsze ryzyka wyżej niż większe, grupować bardzo różne ryzyka razem i opierać się na subiektywnych ocenach. Są przydatne do ustalania priorytetów dyskusji, ale słabe jako podstawa precyzyjnych decyzji.

Wypróbuj Aitraxus za darmo i otwórz projekt demonstracyjny ACME, aby zobaczyć rejestr ryzyk z ocenami.