Risicomatrix maken: een 5x5 risk heat map opstellen, scoren en lezen

Een risicomatrix plaatst risico's naar kans en impact. Leer een 5x5-matrix opstellen en scoren, risicobereidheid vaststellen en bekende valkuilen vermijden.

Een risicomatrix, ook wel risk heat map genoemd, is een raster met kleurcodes dat elk risico plaatst naar hoe waarschijnlijk het is en hoeveel schade het zou doen. Hoge kans en grote impact staan in de rode hoek, lage kans en lage impact in de groene hoek. Leiders gebruiken het om in één oogopslag te zien waar ze zich op moeten richten.

Het is een van de meest gebruikte hulpmiddelen in risicobeheer en een van de makkelijkste om verkeerd te gebruiken. Deze gids laat zien hoe u een 5x5-risicomatrix opbouwt, hoe u die scoort en kleurt, hoe u de risicobereidheid weergeeft en wat het onderzoek over de grenzen ervan zegt.

Hoe een 5x5-risicomatrix werkt

Het raster heeft vijf kansniveaus op de ene as en vijf impactniveaus op de andere, wat 25 cellen oplevert.

Een gebruikelijke manier om een score te krijgen is de twee beoordelingen met elkaar te vermenigvuldigen. Een risico dat als Waarschijnlijk (4) en Groot (4) is beoordeeld, scoort 16. Scores lopen van 1 tot 25.

Kleuren groeperen scores vervolgens in actieniveaus. Deze banden zijn een gangbaar vertrekpunt, geen standaard. Stel uw eigen banden vast.

We hebben geen standaard gevonden die deze kleuren voorschrijft. De richtlijnen van COSO voor risicobeoordeling noemen niveaus in plaats van kleuren, en stoplichtkleuren zijn gewoon de bekende conventie.

Een risicomatrix maken in 6 stappen

1. Bepaal de reikwijdte en de tijdshorizon. "Waarschijnlijk" betekent niets totdat u zegt binnen welke periode, bijvoorbeeld de komende 12 maanden.
2. Maak een lijst van de risico's. Beschrijf elk als een gebeurtenis en het gevolg, zoals "de belangrijkste leverancier valt weg, waardoor de levering een kwartaal vertraagt".
3. Definieer elk niveau in gewone taal. Waarschijnlijk kan bijvoorbeeld een kans van 60 tot 80% betekenen en Groot een verlies boven een vastgesteld bedrag. Dit zijn voorbeelden, dus kies bereiken die bij uw organisatie passen.
4. Beoordeel de risico's samen. Verschillende functies zullen het oneens zijn, en dat gesprek is vaak het nuttigste deel.
5. Zet de risico's in het raster en kleur het, en wijs voor elk risico boven uw actielijn een eigenaar aan.
6. Stel een evaluatiedatum vast. Een kaart die maar één keer per jaar wordt bijgewerkt, beschrijft al snel de werkelijkheid niet meer.

Uitgewerkt voorbeeld

Deze risico's zijn fictief en dienen ter illustratie.

Inherent versus residueel risico

Inherent risico is de beoordeling vóór enige beheersmaatregelen. Residueel risico is de beoordeling erna. Een kaart die de twee vermengt, vergelijkt ongelijksoortige dingen. Kies er één voor het hoofdbeeld, of teken een pijl van de inherente positie van elk risico naar de residuele positie om te tonen wat beheersing oplevert.

Risicobereidheid weergeven op een risicomatrix

Risicobereidheid is hoeveel risico een organisatie bereid is te accepteren bij het nastreven van haar doelen. Op een risicomatrix bepaalt die waar de kleurgrenzen liggen.

COSO's Risk Assessment in Practice legt uit dat niveaugrenzen met de bereidheid meebewegen: meer bereidheid verschuift ze naar rechtsboven, meer voorzichtigheid naar linksonder. Het merkt ook op dat grenzen asymmetrisch kunnen zijn, waarbij impact zwaarder weegt dan kans.

Hetzelfde risico kan dus voor de ene organisatie rood zijn en voor de andere geel. Spreek de grenzen af op niveau van leiding of bestuur voordat u iets plaatst, zodat niemand ze verschuift om bij een resultaat te passen.

COSO beschrijft ook het toevoegen van een extra variabele, bijvoorbeeld door de grootte van een stip te gebruiken om te tonen hoe snel een risico kan toeslaan.

3x3- versus 5x5-risicomatrix

Begin met het eenvoudigste raster dat nog beslissingen verandert. Meer cellen helpen alleen als mensen de niveaus eerlijk uit elkaar kunnen houden.

Wat het onderzoek zegt over de grenzen van risicomatrices

De bekendste kritiek is het artikel van Tony Cox uit 2008, "What's Wrong with Risk Matrices?", in het tijdschrift Risk Analysis. Hij vond dat typische matrices minder dan 10% van willekeurig gekozen paren gevaren correct en ondubbelzinnig kunnen vergelijken, en dat ze kwantitatief kleinere risico's een hogere beoordeling kunnen geven. Zijn conclusie is niet om ze op te geven, maar om ze met voorzichtigheid en zorgvuldige uitleg te gebruiken.

Later werk gaat verder. Een overzicht van Krisper uit 2021 catalogiseert 24 problemen en pleit voor kwantitatieve methoden, en Douglas Hubbard is een vooraanstaand criticus van scoremethoden in het algemeen.

Vier beperkingen doen er in de praktijk het meest toe.

Risico-inversie

Hier is een illustratie die wij hebben opgesteld. Risico X heeft 20% kans op een verlies van EUR 500.000, een verwacht verlies van EUR 100.000. Risico Y heeft 80% kans op een verlies van EUR 50.000, een verwacht verlies van EUR 40.000.

Op deze schaal rangschikt de matrix Y boven X, hoewel X meer dan twee keer zoveel verwacht verlies heeft. Het raster heeft de volgorde omgekeerd.

Bereikcompressie

Elke cel beslaat een breed bereik. Een verlies van EUR 300.000 en een verlies van EUR 3 miljoen kunnen in dezelfde impactkolom belanden en er identiek uitzien.

Schijnrekenkunde

De getallen 1 tot 5 zijn labels voor geordende categorieën, geen metingen. COSO merkt op dat ze niet geschikt zijn voor wiskundige bewerkingen, hoewel sommige organisaties ze vermenigvuldigen voor een voorlopige rangschikking. Gebruik scores om een lijst te sorteren, niet om te beweren dat het ene risico precies twee keer zo groot is als het andere.

Statische en subjectieve beoordelingen

Beoordelingen weerspiegelen het oordeel van de mensen in de kamer op die dag. Kalibreer ze met gedeelde definities en werk ze bij als er iets verandert, in plaats van op de jaarcyclus te wachten.

Betere beslissingen halen uit uw risicomatrix

• Kijk goed naar de gele zone. Deze risico's worden het vaakst te weinig beheerd, omdat de kleur geen urgentie suggereert.
• Gebruik bereiken voor uw grootste risico's. Een bereik zoals EUR 200.000 tot EUR 800.000 zegt meer dan één impactniveau.
• Zie gelijke scores als aanleiding voor discussie, niet als uitkomst.
• Raam voor de belangrijkste risico's kosten en baten van beheersing in geld, want een kleur alleen kan u niet vertellen wat u moet uitgeven.

Risicomatrix versus risicoregister

U hebt beide nodig. Bouw eerst het register en laat dat de kaart aansturen. Zie hoe u een risicoregister bouwt dat werkt.

Risico's bijhouden in Aitraxus

In Aitraxus Risicobeheer voegt u elk risico toe met een categorie, kans en impact, en de score en het niveau worden voor u berekend. Risico's worden gesorteerd met de hoogste score bovenaan. Elk risico heeft een eigenaar en een status, beheersacties hebben eigenaren en deadlines, achterstallige acties worden rood gemarkeerd en residuele scores tonen hoeveel een actie het risico verlaagt.

Lees voor meer hoe u strategische risico's beheert en onze gids over bestuursrapportagesoftware.

Bronnen

• Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
• COSO, Risk Assessment in Practice, 2012
• Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint

Veelgestelde vragen

Wat is een risicomatrix of risk heat map?

Het is een raster met kleurcodes dat risico's plaatst naar kans en impact, zodat leiders snel kunnen zien welke risico's de meeste aandacht nodig hebben.

Wat is het verschil tussen een risicomatrix en een heatmap?

De termen worden vaak door elkaar gebruikt. Een risicomatrix is het raster van kans- en impactniveaus, en een heatmap is dat raster met kleuren en met de risico's erin geplaatst.

Hoe berekent u een 5x5-risicoscore?

Beoordeel de kans van 1 tot 5 en de impact van 1 tot 5 en vermenigvuldig ze voor een score van 1 tot 25. Gebruik de uitkomst om risico's te sorteren en te groeperen, niet als nauwkeurige meting.

Welke score is een hoog risico in een 5x5-matrix?

Dat hangt af van uw risicobereidheid. Een gangbaar vertrekpunt beschouwt 15 tot 25 als hoog, 5 tot 12 als midden en 1 tot 4 als laag.

Wat betekenen de kleuren in een risicomatrix?

Meestal betekent groen een laag risico dat u bewaakt, geel een middelmatig risico dat een eigenaar en een plan nodig heeft, en rood een hoog risico dat actie en opschaling vraagt.

Hoe vaak moet een risicomatrix worden bijgewerkt?

Evalueer die in een vaste cyclus, zoals per kwartaal, en telkens als er iets belangrijks verandert. De belangrijkste risico's verdienen vaker aandacht.

Waarom worden risicomatrices bekritiseerd?

Onderzoek toont dat ze kleinere risico's hoger kunnen beoordelen dan grotere, zeer verschillende risico's kunnen samenvoegen en op subjectieve beoordelingen berusten. Ze zijn nuttig om de discussie te prioriteren, maar zwak als basis voor precieze beslissingen.

Probeer Aitraxus gratis en open het ACME-demoproject om een gescoord risicoregister te zien.