Risikomatrix: Sådan laver, scorer og læser du en 5x5-matrix
En risikomatrix placerer risici efter sandsynlighed og konsekvens. Lær at bygge og score en 5x5-matrix, fastsætte risikoappetit og undgå de kendte faldgruber.
En risikomatrix, også kaldet et risk heat map, er et farvekodet felt, der placerer hver risiko efter, hvor sandsynlig den er, og hvor stor skade den ville gøre. Høj sandsynlighed og høj konsekvens ligger i det røde hjørne, lav og lav i det grønne. Ledere bruger den til at se med et blik, hvor de skal fokusere.
Den er et af de mest almindelige værktøjer i risikostyring og et af dem, der er nemmest at misbruge. Denne guide viser, hvordan du bygger en 5x5-risikomatrix, hvordan du scorer og farvelægger den, hvordan du viser risikoappetit, og hvad forskningen siger om dens begrænsninger.
Sådan virker en 5x5-risikomatrix
Feltet har fem sandsynlighedsniveauer på den ene akse og fem konsekvensniveauer på den anden, hvilket giver 25 celler.
En almindelig måde at få en score på er at gange de to vurderinger. En risiko vurderet til Sandsynligt (4) og Alvorlig (4) scorer 16. Scorerne går fra 1 til 25.
Farver grupperer derefter scorerne i handlingsniveauer. Disse intervaller er et almindeligt udgangspunkt, ikke en standard. Fastsæt dine egne.
| Score | Niveau | Farve | Typisk reaktion |
|---|---|---|---|
| 1 til 4 | Lav | Grøn | Følg op ved faste gennemgange |
| 5 til 12 | Middel | Gul | Udpeg en ejer og en afbødningsplan |
| 15 til 25 | Høj | Rød | Eskalér til ledelsen og handl nu |
Vi fandt ingen standard, der kræver disse farver. COSO's vejledning om risikovurdering nævner niveauer frem for farver, og trafiklys er blot den velkendte konvention.
Sådan laver du en risikomatrix i 6 trin
- Fastlæg omfang og tidshorisont. "Sandsynligt" betyder intet, før du siger inden for hvilken periode, for eksempel de næste 12 måneder.
- List risiciene. Beskriv hver som en hændelse og dens konsekvens, for eksempel "nøgleleverandøren svigter, hvilket forsinker leveringen med et kvartal".
- Definér hvert niveau i klart sprog. Sandsynligt kan for eksempel betyde 60 til 80 % chance, og Alvorlig kan betyde et tab over et fastsat beløb. Det er eksempler, så vælg intervaller, der passer til din organisation.
- Vurdér risiciene sammen. Forskellige funktioner vil være uenige, og den samtale er ofte den mest nyttige del.
- Placér og farvelæg feltet, og udpeg derefter en ejer for hver risiko over din handlingsgrænse.
- Fastsæt en gennemgangsdato. Et kort, der kun opdateres én gang om året, holder snart op med at beskrive virkeligheden.
Gennemarbejdet eksempel
Disse risici er fiktive og tjener som illustration.
| Risiko | Sandsynlighed | Konsekvens | Score | Niveau |
|---|---|---|---|---|
| Nøgleingeniør forlader virksomheden | Sandsynligt (4) | Alvorlig (4) | 16 | Høj |
| Hovedleverandør hæver priserne | Muligt (3) | Moderat (3) | 9 | Middel |
| Ny regulering på ét marked | Usandsynligt (2) | Alvorlig (4) | 8 | Middel |
| Kontorlejemålet fornys ikke | Sjældent (1) | Mindre (2) | 2 | Lav |
Iboende vs. resterende risiko
Iboende risiko er vurderingen før kontroller. Resterende risiko er vurderingen efter dem. Et kort, der blander de to, sammenligner ting, der ikke kan sammenlignes. Vælg én til hovedvisningen, eller tegn en pil fra hver risikos iboende position til dens resterende position for at vise, hvad afbødningen opnår.
Sådan viser du risikoappetit i en risikomatrix
Risikoappetit er, hvor megen risiko en organisation er villig til at acceptere for at nå sine mål. I en risikomatrix afgør den, hvor farvegrænserne ligger.
COSO's Risk Assessment in Practice forklarer, at niveaugrænserne flytter sig med appetitten: mere appetit skubber dem mod øverste højre hjørne, og mere forsigtighed skubber dem mod nederste venstre. Den bemærker også, at grænserne kan være asymmetriske og give konsekvens større vægt end sandsynlighed.
Den samme risiko kan derfor være rød for én organisation og gul for en anden. Aftal grænserne på ledelses- eller bestyrelsesniveau, før du placerer noget, så ingen flytter dem for at tilpasse et resultat.
COSO beskriver også, at man kan tilføje en yderligere variabel, for eksempel ved at bruge prikkens størrelse til at vise, hvor hurtigt en risiko kan ramme.
3x3 vs. 5x5 risikomatrix
| 3x3 | 5x5 | |
|---|---|---|
| Celler | 9 | 25 |
| Bedst til | Små teams, hurtig første gennemgang | Længere risikolister, regelmæssig rapportering |
| Styrke | Hurtig og enkel | Adskiller risici mere finkornet |
| Svaghed | De fleste risici samler sig i midten | Kan antyde en præcision, du ikke har |
Start med det enkleste felt, der stadig ændrer beslutninger. Flere celler hjælper kun, hvis folk ærligt kan skelne niveauerne fra hinanden.
Hvad forskningen siger om risikomatrixens begrænsninger
Den mest kendte kritik er Tony Cox' artikel fra 2008 "What's Wrong with Risk Matrices?" i tidsskriftet Risk Analysis. Han fandt, at typiske matricer korrekt og entydigt kan sammenligne under 10 % af tilfældigt udvalgte par af farer, og at de kan give højere vurderinger til kvantitativt mindre risici. Hans konklusion er ikke at opgive dem, men at de bør bruges med forsigtighed og omhyggelig forklaring.
Senere arbejde går længere. En gennemgang fra 2021 af Krisper katalogiserer 24 problemer og argumenterer for kvantitative metoder i stedet, og Douglas Hubbard er en førende kritiker af scoringsmetoder generelt.
Fire begrænsninger har størst betydning i praksis.
Risikoinversion
Her er et eksempel, vi selv har konstrueret. Risiko X har 20 % chance for et tab på 500.000 EUR, et forventet tab på 100.000 EUR. Risiko Y har 80 % chance for et tab på 50.000 EUR, et forventet tab på 40.000 EUR.
| Risiko | Sandsynlighed | Konsekvens | Score | Forventet tab (EUR) |
|---|---|---|---|---|
| X | Usandsynligt (2) | Alvorlig (4) | 8 | 100.000 |
| Y | Sandsynligt (4) | Moderat (3) | 12 | 40.000 |
På denne skala rangerer matricen Y over X, selvom X har mere end dobbelt så stort et forventet tab. Feltet har vendt rækkefølgen om.
Komprimering af intervaller
Hver celle dækker et stort interval. Et tab på 300.000 EUR og et på 3 millioner EUR kan havne i samme konsekvenskolonne og se ens ud.
Falsk regning
Tallene 1 til 5 er mærkater for ordnede kategorier, ikke målinger. COSO bemærker, at de ikke egner sig til matematiske operationer, selvom nogle organisationer ganger dem for en foreløbig rangering. Brug score til at sortere en liste, ikke til at påstå, at én risiko er præcis dobbelt så stor som en anden.
Statiske og subjektive vurderinger
Vurderingerne afspejler skønnet fra de mennesker, der sidder i lokalet den dag. Kalibrér dem med fælles definitioner, og opdatér dem, når noget ændrer sig, i stedet for at vente på den årlige cyklus.
Sådan får du bedre beslutninger ud af din risikomatrix
- Se grundigt på den gule zone. Disse risici er mest tilbøjelige til at blive underhåndteret, fordi farven antyder, at der ikke er hast.
- Brug intervaller for dine største risici. Et interval som 200.000 EUR til 800.000 EUR siger mere end ét enkelt konsekvensniveau.
- Betragt ligestillede score som en anledning til at diskutere, ikke som et resultat.
- For de største risici bør du anslå omkostning og gevinst ved afbødning i penge, da en farve alene ikke kan fortælle, hvad du skal bruge.
Risikomatrix vs. risikoregister
| Risikomatrix | Risikoregister | |
|---|---|---|
| Formål | Viser, hvor man skal kigge | Registrerer, hvad der skal gøres |
| Format | Visuelt felt | Detaljeret tabel |
| Indeholder | Placering og niveau | Beskrivelse, score, ejer, handlinger, datoer |
| Målgruppe | Bestyrelser og ledelse | Risikoejere og ledere |
Du har brug for begge. Byg registret først, og lad det styre kortet. Se sådan bygger du et risikoregister, der virker.
Sådan følger du risici i Aitraxus
I Aitraxus Risikostyring tilføjer du hver risiko med en kategori, sandsynlighed og konsekvens, og score og niveau beregnes for dig. Risici sorteres med den højeste score først. Hver har en ejer og en status, afbødende handlinger har ejere og forfaldsdatoer, forsinkede handlinger markeres med rødt, og resterende score viser, hvor meget en handling reducerer risikoen.
Vil du vide mere, så læs sådan styrer du strategiske risici og vores guide til software til bestyrelsesrapportering.
Kilder
- Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
- COSO, Risk Assessment in Practice, 2012
- Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint
Ofte stillede spørgsmål
Hvad er en risikomatrix (risk heat map)?
Det er et farvekodet felt, der placerer risici efter sandsynlighed og konsekvens, så ledere hurtigt kan se, hvilke risici der kræver mest opmærksomhed.
Hvad er forskellen på en risikomatrix og et heat map?
Begreberne bruges ofte i flæng. En risikomatrix er feltet med sandsynligheds- og konsekvensniveauer, og et heat map er det felt vist med farver og med risici placeret på det.
Hvordan beregner man en 5x5-risikoscore?
Vurdér sandsynlighed fra 1 til 5 og konsekvens fra 1 til 5, og gang dem derefter for en score fra 1 til 25. Brug resultatet til at sortere og gruppere risici frem for som en præcis måling.
Hvilken score er høj risiko i en 5x5-matrix?
Det afhænger af din risikoappetit. Et almindeligt udgangspunkt regner 15 til 25 som høj, 5 til 12 som middel og 1 til 4 som lav.
Hvad betyder farverne i en risikomatrix?
Som regel betyder grøn lav risiko, der skal følges, gul betyder middel risiko, der kræver en ejer og en plan, og rød betyder høj risiko, der kræver handling og eskalering.
Hvor ofte bør en risikomatrix opdateres?
Gennemgå den i en fast cyklus, for eksempel kvartalsvis, og hver gang noget vigtigt ændrer sig. De største risici fortjener hyppigere opmærksomhed.
Hvorfor bliver risikomatricer kritiseret?
Forskning viser, at de kan vurdere mindre risici højere end større, gruppere meget forskellige risici sammen og hvile på subjektive vurderinger. De er nyttige til at prioritere diskussionen, men svage som grundlag for præcise beslutninger.
Prøv Aitraxus gratis og åbn ACME-demoprojektet for at se et scoret risikoregister.