Risikomatrise: slik lager, skårer og leser du en 5x5-matrise

En risikomatrise, også kalt risikovarmekart, plasserer risikoer etter sannsynlighet og konsekvens. Lær å lage og skåre en 5x5-matrise, sette risikoappetitt og unngå kjente fallgruver.

En risikomatrise, også kalt risikovarmekart, er et fargekodet rutenett som plasserer hver risiko etter hvor sannsynlig den er og hvor stor skade den ville gjort. Høy sannsynlighet og høy konsekvens havner i det røde hjørnet, lav og lav i det grønne. Ledere bruker den til å se med et blikk hvor de bør rette oppmerksomheten.

Den er et av de vanligste verktøyene i risikostyring og et av de enkleste å misbruke. Denne guiden viser hvordan du lager en 5x5-risikomatrise, hvordan du skårer og farger den, hvordan du viser risikoappetitt, og hva forskningen sier om begrensningene.

Slik fungerer en 5x5-risikomatrise

Rutenettet har fem nivåer av sannsynlighet på den ene aksen og fem nivåer av konsekvens på den andre, noe som gir 25 ruter.

En vanlig måte å få en skår på er å gange de to vurderingene. En risiko vurdert som Sannsynlig (4) og Stor (4) får skåren 16. Skårene går fra 1 til 25.

Fargene grupperer deretter skårene i handlingsnivåer. Disse grensene er ett vanlig utgangspunkt, ikke en standard. Sett dine egne.

Vi fant ingen standard som krever disse fargene. COSOs veiledning om risikovurdering navngir nivåer i stedet for farger, og trafikklys er rett og slett den kjente konvensjonen.

Slik lager du en risikomatrise i 6 steg

1. Definer omfang og tidshorisont. "Sannsynlig" betyr ingenting før du sier innenfor hvilken periode, for eksempel de neste 12 månedene.
2. List opp risikoene. Beskriv hver som en hendelse og dens konsekvens, for eksempel "nøkkelleverandøren svikter, noe som forsinker leveransen med et kvartal".
3. Definer hvert nivå med enkle ord. Sannsynlig kan for eksempel bety 60 til 80 % sjanse, og Stor kan bety et tap over et fastsatt beløp. Dette er eksempler, så velg intervaller som passer organisasjonen din.
4. Vurder risikoene sammen. Ulike funksjoner vil være uenige, og den samtalen er ofte den mest nyttige delen.
5. Plasser og farg rutenettet, og navngi deretter en eier for hver risiko over handlingsgrensen din.
6. Sett en dato for gjennomgang. Et kart som bare oppdateres én gang i året slutter snart å beskrive virkeligheten.

Gjennomarbeidet eksempel

Disse risikoene er fiktive og brukes som illustrasjon.

Iboende mot gjenstående risiko

Iboende risiko er vurderingen før noen kontrolltiltak. Gjenstående risiko er vurderingen etter dem. Et kart som blander de to sammenligner ting som ikke kan sammenlignes. Velg ett for hovedvisningen, eller tegn en pil fra hver risikos iboende posisjon til dens gjenstående posisjon for å vise hva avbøtende tiltak oppnår.

Slik viser du risikoappetitt i en risikomatrise

Risikoappetitt er hvor mye risiko en organisasjon er villig til å akseptere for å nå målene sine. I en risikomatrise avgjør den hvor fargegrensene ligger.

COSOs Risk Assessment in Practice forklarer at nivågrensene flytter seg med appetitten: mer appetitt flytter dem mot øvre høyre hjørne, og mer forsiktighet flytter dem mot nedre venstre. Den påpeker også at grensene kan være asymmetriske, slik at konsekvens veier tyngre enn sannsynlighet.

Den samme risikoen kan derfor være rød for én organisasjon og gul for en annen. Bli enige om grensene på ledelses- eller styrenivå før du plasserer noe, slik at ingen flytter dem for å tilpasse et resultat.

COSO beskriver også å legge til en ekstra variabel, for eksempel å bruke prikkstørrelse til å vise hvor raskt en risiko kan inntreffe.

3x3 mot 5x5 risikomatrise

Start med det enkleste rutenettet som fortsatt endrer beslutninger. Flere ruter hjelper bare hvis folk ærlig kan se forskjell på nivåene.

Hva forskningen sier om risikomatrisers begrensninger

Den best kjente kritikken er Tony Cox' artikkel fra 2008, "What's Wrong with Risk Matrices?", i tidsskriftet Risk Analysis. Han fant at typiske matriser bare kan sammenligne korrekt og entydig under 10 % av tilfeldig valgte par av farer, og at de kan gi høyere vurdering til kvantitativt mindre risikoer. Konklusjonen hans er ikke å forlate dem, men at de bør brukes med forsiktighet og nøye forklaring.

Senere arbeid går lenger. En gjennomgang fra 2021 av Krisper katalogiserer 24 problemer og tar til orde for kvantitative metoder i stedet, og Douglas Hubbard er en ledende kritiker av skåringsmetoder generelt.

Fire begrensninger betyr mest i praksis.

Risikoinversjon

Her er en illustrasjon vi har konstruert. Risiko X har 20 % sjanse for et tap på EUR 500 000, et forventet tap på EUR 100 000. Risiko Y har 80 % sjanse for et tap på EUR 50 000, et forventet tap på EUR 40 000.

På denne skalaen rangerer matrisen Y over X, selv om X har mer enn dobbelt så stort forventet tap. Rutenettet har snudd rekkefølgen.

Komprimering av intervaller

Hver rute dekker et bredt intervall. Et tap på EUR 300 000 og et på EUR 3 millioner kan havne i samme konsekvenskolonne og se identiske ut.

Falsk aritmetikk

Tallene 1 til 5 er etiketter for ordnede kategorier, ikke målinger. COSO bemerker at de ikke egner seg for matematiske operasjoner, selv om noen organisasjoner ganger dem for en foreløpig rangering. Bruk skårer til å sortere en liste, ikke til å hevde at én risiko er nøyaktig dobbelt så stor som en annen.

Statiske og subjektive vurderinger

Vurderingene gjenspeiler skjønnet til de som satt i rommet den dagen. Kalibrer dem med felles definisjoner, og oppdater dem når noe endrer seg i stedet for å vente på den årlige syklusen.

Slik får du bedre beslutninger ut av risikomatrisen

• Se nøye på den gule sonen. Disse risikoene har størst sjanse for å bli underhåndtert, fordi fargen antyder at det ikke haster.
• Bruk intervaller for de største risikoene. Et intervall som EUR 200 000 til EUR 800 000 sier mer enn ett enkelt konsekvensnivå.
• Se på likt resultat som en oppfordring til å diskutere, ikke som et resultat.
• For de viktigste risikoene, anslå kostnad og nytte av avbøtende tiltak i penger, siden en farge alene ikke kan fortelle deg hva du bør bruke.

Risikomatrise mot risikoregister

Du trenger begge. Bygg registeret først, og la det styre kartet. Se hvordan du bygger et risikoregister som fungerer.

Slik følger du opp risikoer i Aitraxus

I Aitraxus Risikostyring legger du inn hver risiko med kategori, sannsynlighet og konsekvens, og skår og nivå beregnes for deg. Risikoene sorteres med høyeste skår først. Hver har en eier og en status, tiltak har eiere og frister, forfalte tiltak markeres med rødt, og gjenstående skårer viser hvor mye et tiltak reduserer risikoen.

For mer, les hvordan du håndterer strategiske risikoer og vår guide til programvare for styrerapportering.

Kilder

• Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
• COSO, Risk Assessment in Practice, 2012
• Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint

Ofte stilte spørsmål

Hva er en risikomatrise (risikovarmekart)?

Det er et fargekodet rutenett som plasserer risikoer etter sannsynlighet og konsekvens, slik at ledere raskt kan se hvilke risikoer som trenger mest oppmerksomhet.

Hva er forskjellen mellom en risikomatrise og et varmekart?

Begrepene brukes ofte om hverandre. En risikomatrise er rutenettet med nivåer av sannsynlighet og konsekvens, og et varmekart er det samme rutenettet vist med farger og risikoer plassert på det.

Hvordan beregner du en 5x5-risikoskår?

Vurder sannsynlighet fra 1 til 5 og konsekvens fra 1 til 5, og gang dem sammen for en skår fra 1 til 25. Bruk resultatet til å sortere og gruppere risikoer, ikke som et presist mål.

Hvilken skår er høy risiko i en 5x5-matrise?

Det avhenger av risikoappetitten din. Et vanlig utgangspunkt regner 15 til 25 som høy, 5 til 12 som middels og 1 til 4 som lav.

Hva betyr fargene i en risikomatrise?

Vanligvis betyr grønn lav risiko som følges opp, gul betyr middels risiko som trenger en eier og en plan, og rød betyr høy risiko som trenger tiltak og eskalering.

Hvor ofte bør en risikomatrise oppdateres?

Gå gjennom den i en fast syklus, for eksempel hvert kvartal, og når noe viktig endrer seg. De viktigste risikoene fortjener hyppigere oppmerksomhet.

Hvorfor blir risikomatriser kritisert?

Forskning viser at de kan rangere mindre risikoer over større, gruppere svært ulike risikoer sammen og bygge på subjektive vurderinger. De er nyttige for å prioritere diskusjon, men svake som grunnlag for presise beslutninger.

Prøv Aitraxus gratis og åpne demoprosjektet ACME for å se et skåret risikoregister.