Riskmatris: så bygger, poängsätter och läser du en heatmap 5x5
En riskmatris placerar risker efter sannolikhet och konsekvens. Lär dig bygga och poängsätta en 5x5-matris, sätta risktolerans och undvika kända fallgropar.
En riskmatris, ofta kallad riskheatmap, är ett färgkodat rutnät som placerar varje risk efter hur sannolik den är och hur stor skada den skulle orsaka. Hög sannolikhet och hög konsekvens hamnar i det röda hörnet, låg och låg i det gröna hörnet. Ledare använder den för att snabbt se var de ska lägga fokus.
Det är ett av de vanligaste verktygen inom riskhantering och ett av de lättaste att missbruka. Den här guiden visar hur du bygger en riskmatris på 5x5, hur du poängsätter och färgar den, hur du visar risktolerans och vad forskningen säger om dess begränsningar.
Så fungerar en riskmatris på 5x5
Rutnätet har fem sannolikhetsnivåer på ena axeln och fem konsekvensnivåer på den andra, vilket ger 25 rutor.
Ett vanligt sätt att få en poäng är att multiplicera de två bedömningarna. En risk som bedöms som Sannolik (4) och Stor (4) får 16 poäng. Poängen går från 1 till 25.
Färgerna grupperar sedan poängen i åtgärdsnivåer. Dessa band är en vanlig utgångspunkt, inte en standard. Sätt dina egna.
| Poäng | Nivå | Färg | Typisk åtgärd |
|---|---|---|---|
| 1 till 4 | Låg | Grön | Bevaka vid regelbundna uppföljningar |
| 5 till 12 | Medel | Gul | Utse en ansvarig och en åtgärdsplan |
| 15 till 25 | Hög | Röd | Eskalera till ledningen och agera direkt |
Vi hittade ingen standard som kräver just de här färgerna. COSO:s vägledning om riskbedömning anger nivåer snarare än färger, och trafikljus är helt enkelt den välbekanta konventionen.
Så skapar du en riskmatris i 6 steg
- Definiera omfattning och tidshorisont. "Sannolik" betyder ingenting förrän du anger inom vilken period, till exempel de kommande 12 månaderna.
- Lista riskerna. Beskriv varje risk som en händelse och dess följd, till exempel "nyckelleverantören fallerar, vilket försenar leveransen ett kvartal".
- Definiera varje nivå med enkla ord. Sannolik kan till exempel betyda 60 till 80 procents chans och Stor kan betyda en förlust över ett visst belopp. Det är exempel, så välj intervall som passar din organisation.
- Bedöm riskerna tillsammans. Olika funktioner kommer att vara oense, och det samtalet är ofta den mest värdefulla delen.
- Placera ut och färglägg rutnätet, och utse sedan en ansvarig för varje risk över din åtgärdsgräns.
- Sätt ett datum för uppföljning. En karta som bara uppdateras en gång per år slutar snart att beskriva verkligheten.
Exempel
Riskerna är fiktiva och används som illustration.
| Risk | Sannolikhet | Konsekvens | Poäng | Nivå |
|---|---|---|---|---|
| Nyckelingenjör slutar | Sannolik (4) | Stor (4) | 16 | Hög |
| Huvudleverantören höjer priserna | Möjlig (3) | Måttlig (3) | 9 | Medel |
| Ny reglering på en marknad | Osannolik (2) | Stor (4) | 8 | Medel |
| Kontorskontraktet förnyas inte | Sällsynt (1) | Liten (2) | 2 | Låg |
Inherent jämfört med residual risk
Inherent risk är bedömningen före några kontroller. Residual risk är bedömningen efter dem. En karta som blandar de två jämför olika saker. Välj en av dem för huvudvyn, eller rita en pil från varje risks inherenta position till dess residuala position för att visa vad riskreducerande åtgärder åstadkommer.
Så visar du risktolerans i en riskmatris
Risktolerans (risk appetite) är hur mycket risk en organisation är beredd att acceptera för att nå sina mål. I en riskmatris avgör den var färggränserna går.
COSO:s Risk Assessment in Practice förklarar att nivågränserna flyttas med risktoleransen: större tolerans flyttar dem mot det övre högra hörnet, och mer försiktighet flyttar dem mot det nedre vänstra. Den påpekar också att gränserna kan vara asymmetriska, så att konsekvensen väger tyngre än sannolikheten.
Samma risk kan alltså vara röd för en organisation och gul för en annan. Enas om gränserna på ledningsnivå eller i styrelsen innan du placerar ut något, så att ingen flyttar dem för att passa ett resultat.
COSO beskriver också hur man kan lägga till en ytterligare variabel, till exempel punktstorlek för att visa hur snabbt en risk kan slå till.
Riskmatris 3x3 jämfört med 5x5
| 3x3 | 5x5 | |
|---|---|---|
| Rutor | 9 | 25 |
| Bäst för | Små team, snabb första genomgång | Längre risklistor, regelbunden rapportering |
| Styrka | Snabb och enkel | Skiljer riskerna åt mer detaljerat |
| Svaghet | De flesta risker klumpas ihop i mitten | Kan antyda en precision du inte har |
Börja med det enklaste rutnät som ändå förändrar besluten. Fler rutor hjälper bara om människor ärligt kan skilja nivåerna åt.
Vad forskningen säger om riskmatrisers begränsningar
Den mest kända kritiken är Tony Cox artikel från 2008, "What's Wrong with Risk Matrices?", i tidskriften Risk Analysis. Han fann att typiska matriser korrekt och entydigt kan jämföra färre än 10 % av slumpmässigt valda par av faror, och att de kan ge högre betyg åt kvantitativt mindre risker. Hans slutsats är inte att överge dem, utan att de bör användas med försiktighet och noggranna förklaringar.
Senare arbeten går längre. En översikt från 2021 av Krisper katalogiserar 24 problem och förespråkar kvantitativa metoder i stället, och Douglas Hubbard är en ledande kritiker av poängsättningsmetoder i allmänhet.
Fyra begränsningar är viktigast i praktiken.
Riskinversion
Här är en illustration som vi har konstruerat. Risk X har 20 % chans till en förlust på 500 000 EUR, en förväntad förlust på 100 000 EUR. Risk Y har 80 % chans till en förlust på 50 000 EUR, en förväntad förlust på 40 000 EUR.
| Risk | Sannolikhet | Konsekvens | Poäng | Förväntad förlust (EUR) |
|---|---|---|---|---|
| X | Osannolik (2) | Stor (4) | 8 | 100 000 |
| Y | Sannolik (4) | Måttlig (3) | 12 | 40 000 |
På den här skalan rankar matrisen Y före X, trots att X har mer än dubbelt så stor förväntad förlust. Rutnätet har vänt på ordningen.
Komprimerat spann
Varje ruta täcker ett brett spann. En förlust på 300 000 EUR och en på 3 miljoner EUR kan hamna i samma konsekvenskolumn och se likadana ut.
Falsk aritmetik
Siffrorna 1 till 5 är beteckningar för ordnade kategorier, inte mätvärden. COSO noterar att de inte lämpar sig för matematiska operationer, även om vissa organisationer multiplicerar dem för en preliminär rangordning. Använd poängen för att sortera en lista, inte för att hävda att en risk är exakt dubbelt så stor som en annan.
Statiska och subjektiva bedömningar
Bedömningarna speglar omdömet hos de människor som sitter i rummet den dagen. Kalibrera dem med gemensamma definitioner, och uppdatera dem när något förändras i stället för att vänta på den årliga cykeln.
Så får du bättre beslut av din riskmatris
- Titta noga på den gula zonen. Riskerna där är mest benägna att hanteras för svagt, eftersom färgen antyder att det inte brådskar.
- Använd intervall för dina största risker. Ett intervall som 200 000 till 800 000 EUR säger mer än en enda konsekvensnivå.
- Se lika poäng som en anledning att diskutera, inte som ett resultat.
- För de främsta riskerna bör du uppskatta kostnad och nytta av riskreducering i pengar, eftersom en färg ensam inte kan säga hur mycket du ska lägga.
Riskmatris jämfört med riskregister
| Riskmatris | Riskregister | |
|---|---|---|
| Syfte | Visar var du ska titta | Dokumenterar vad som ska göras |
| Format | Visuellt rutnät | Detaljerad tabell |
| Innehåller | Placering och nivå | Beskrivning, poäng, ansvarig, åtgärder, datum |
| Målgrupp | Styrelser och ledning | Riskansvariga och chefer |
Du behöver båda. Bygg registret först och låt det styra kartan. Se hur du bygger ett riskregister som fungerar.
Så följer du upp risker i Aitraxus
I Aitraxus Riskhantering lägger du till varje risk med en kategori, sannolikhet och konsekvens, och poängen och nivån beräknas åt dig. Riskerna sorteras med högst poäng först. Varje risk har en ansvarig och en status, åtgärder har ansvariga och förfallodatum, försenade åtgärder markeras med rött och residuala poäng visar hur mycket en åtgärd minskar risken.
Läs mer i hur du hanterar strategiska risker och vår guide till programvara för styrelserapportering.
Källor
- Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
- COSO, Risk Assessment in Practice, 2012
- Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint
Vanliga frågor
Vad är en riskheatmap?
Det är ett färgkodat rutnät som placerar risker efter sannolikhet och konsekvens, så att ledare snabbt kan se vilka risker som behöver mest uppmärksamhet.
Vad är skillnaden mellan en riskmatris och en heatmap?
Termerna används ofta synonymt. En riskmatris är rutnätet av sannolikhets- och konsekvensnivåer, och en heatmap är samma rutnät visat med färger och med riskerna utplacerade.
Hur beräknar man en riskpoäng på 5x5?
Bedöm sannolikheten från 1 till 5 och konsekvensen från 1 till 5, och multiplicera dem sedan till en poäng från 1 till 25. Använd resultatet för att sortera och gruppera risker snarare än som ett exakt mått.
Vilken poäng är hög risk i en 5x5-matris?
Det beror på din risktolerans. En vanlig utgångspunkt är att räkna 15 till 25 som hög, 5 till 12 som medel och 1 till 4 som låg.
Vad betyder färgerna i en riskheatmap?
Vanligtvis betyder grönt låg risk att bevaka, gult medelhög risk som behöver en ansvarig och en plan, och rött hög risk som kräver åtgärd och eskalering.
Hur ofta bör en riskheatmap uppdateras?
Följ upp den i en regelbunden cykel, till exempel varje kvartal, och närhelst något viktigt förändras. De främsta riskerna förtjänar tätare uppmärksamhet.
Varför kritiseras riskmatriser?
Forskning visar att de kan rangordna mindre risker över större, gruppera mycket olika risker tillsammans och bygga på subjektiva bedömningar. De är användbara för att prioritera diskussion, men svaga som underlag för exakta beslut.
Testa Aitraxus gratis och öppna demoprojektet ACME för att se ett poängsatt riskregister.