Tepelná mapa rizik: jak sestavit, bodovat a číst matici 5x5

Tepelná mapa rizik zobrazuje rizika podle pravděpodobnosti a dopadu. Naučte se sestavit a bodovat matici 5x5, určit ochotu riskovat a vyhnout se známým chybám.

Tepelná mapa rizik je barevně odlišená mřížka, která zobrazuje každé riziko podle toho, jak je pravděpodobné a jak velkou škodu by způsobilo. Vysoká pravděpodobnost a vysoký dopad leží v červeném rohu, nízká a nízký v zeleném. Vedoucí s ní na první pohled vidí, kam zaměřit pozornost.

Je to jeden z nejběžnějších nástrojů řízení rizik a zároveň jeden z nejsnáze zneužitelných. Tento průvodce ukazuje, jak sestavit matici rizik 5x5, jak ji bodovat a barevně označit, jak zobrazit ochotu podstupovat riziko a co o jejích limitech říká výzkum.

Jak funguje tepelná mapa rizik 5x5

Mřížka má na jedné ose pět úrovní pravděpodobnosti a na druhé pět úrovní dopadu, což dává 25 polí.

Běžný způsob výpočtu skóre je vynásobit obě hodnocení. Riziko hodnocené jako Pravděpodobné (4) a Závažné (4) má skóre 16. Skóre se pohybuje od 1 do 25.

Barvy pak seskupují skóre do úrovní reakce. Tato pásma jsou jedním z běžných výchozích bodů, ne standardem. Nastavte si vlastní.

Nenašli jsme standard, který by tyto barvy vyžadoval. Pokyny COSO k hodnocení rizik uvádějí úrovně, ne barvy, a semafor je prostě známá konvence.

Jak vytvořit tepelnou mapu rizik v 6 krocích

1. Vymezte rozsah a časový horizont. "Pravděpodobné" nic neznamená, dokud neřeknete, v jakém období, například během příštích 12 měsíců.
2. Sepište rizika. Každé popište jako událost a její důsledek, například "klíčový dodavatel selže, což zdrží dodávky o čtvrtletí".
3. Definujte každou úroveň jednoduše. Například Pravděpodobné může znamenat šanci 60 až 80 % a Závažné ztrátu nad stanovenou částku. Jde o příklady, zvolte rozsahy, které odpovídají vaší organizaci.
4. Hodnoťte rizika společně. Různé funkce se neshodnou a právě ten rozhovor bývá nejužitečnější částí.
5. Zakreslete a obarvěte mřížku a pak určete vlastníka každého rizika nad vaší hranicí pro akci.
6. Stanovte datum kontroly. Mapa aktualizovaná jen jednou ročně brzy přestane popisovat realitu.

Praktický příklad

Tato rizika jsou fiktivní, pro ilustraci.

Inherentní vs reziduální riziko

Inherentní riziko je hodnocení před jakýmikoli kontrolními opatřeními. Reziduální riziko je hodnocení po nich. Mapa, která obojí míchá, srovnává nesrovnatelné. Pro hlavní pohled vyberte jedno, nebo nakreslete šipku od inherentní polohy každého rizika k jeho reziduální poloze, aby bylo vidět, čeho zmírnění dosahuje.

Jak na tepelné mapě zobrazit ochotu podstupovat riziko

Ochota podstupovat riziko (risk appetite) je míra rizika, kterou je organizace ochotna přijmout při sledování svých cílů. Na tepelné mapě určuje, kde leží hranice barev.

Publikace COSO Risk Assessment in Practice vysvětluje, že hranice úrovní se posouvají s ochotou: větší ochota je posouvá směrem doprava nahoru a větší opatrnost doleva dolů. Uvádí také, že hranice mohou být asymetrické a dávat dopadu větší váhu než pravděpodobnosti.

Totéž riziko tak může být pro jednu organizaci červené a pro jinou žluté. Dohodněte hranice na úrovni vedení nebo představenstva dřív, než cokoli zakreslíte, aby je nikdo neposouval podle výsledku.

COSO také popisuje přidání další proměnné, například velikosti bodu, která ukazuje, jak rychle může riziko udeřit.

Matice rizik 3x3 vs 5x5

Začněte nejjednodušší mřížkou, která ještě mění rozhodnutí. Více polí pomáhá, jen pokud lidé dokážou úrovně poctivě rozlišit.

Co říká výzkum o limitech tepelných map

Nejznámější kritikou je práce Tonyho Coxe z roku 2008 "What's Wrong with Risk Matrices?" v časopise Risk Analysis. Zjistil, že typické matice dokážou správně a jednoznačně porovnat méně než 10 % náhodně vybraných dvojic nebezpečí a že mohou přiřadit vyšší hodnocení kvantitativně menším rizikům. Jeho závěrem není matice opustit, ale používat je opatrně a s pečlivým vysvětlením.

Pozdější práce jdou dál. Přehled Krispera z roku 2021 katalogizuje 24 problémů a obhajuje místo toho kvantitativní metody a Douglas Hubbard je přední kritik metod bodování obecně.

V praxi nejvíc záleží na čtyřech limitech.

Inverze rizik

Zde je ilustrace, kterou jsme sestavili sami. Riziko X má 20% šanci na ztrátu 500 000 EUR, tedy očekávanou ztrátu 100 000 EUR. Riziko Y má 80% šanci na ztrátu 50 000 EUR, tedy očekávanou ztrátu 40 000 EUR.

Na této stupnici matice řadí Y nad X, přestože X má více než dvojnásobnou očekávanou ztrátu. Mřížka obrátila pořadí.

Stlačení rozsahu

Každé pole pokrývá široký rozsah. Ztráta 300 000 EUR a ztráta 3 miliony EUR mohou skončit ve stejném sloupci dopadu a vypadat stejně.

Falešná aritmetika

Čísla 1 až 5 jsou štítky seřazených kategorií, ne měření. COSO poznamenává, že se nehodí pro matematické operace, přestože je některé organizace pro předběžné řazení násobí. Skóre používejte k řazení seznamu, ne k tvrzení, že jedno riziko je přesně dvakrát větší než jiné.

Statická a subjektivní hodnocení

Hodnocení odráží úsudek lidí v místnosti v daný den. Kalibrujte je společnými definicemi a aktualizujte, když se něco změní, místo čekání na roční cyklus.

Jak z tepelné mapy získat lepší rozhodnutí

• Podívejte se pozorně na žlutou zónu. Tato rizika jsou nejčastěji podceňována, protože barva naznačuje, že nic nehoří.
• U největších rizik používejte rozsahy. Rozsah, například 200 000 až 800 000 EUR, řekne víc než jediná úroveň dopadu.
• Shodu skóre berte jako podnět k diskusi, ne jako výsledek.
• U hlavních rizik odhadněte náklady a přínos zmírnění v penězích, protože samotná barva neřekne, kolik utratit.

Tepelná mapa rizik vs registr rizik

Potřebujete obojí. Nejdřív sestavte registr a nechte ho řídit mapu. Viz jak sestavit registr rizik, který funguje.

Jak sledovat rizika v Aitraxusu

V modulu Řízení rizik v Aitraxusu přidáte každé riziko s kategorií, pravděpodobností a dopadem a skóre i úroveň se vypočítají automaticky. Rizika jsou seřazena od nejvyššího skóre. Každé má vlastníka a stav, zmírňující akce mají vlastníky a termíny, zpožděné akce jsou označeny červeně a reziduální skóre ukazují, o kolik akce riziko snižuje.

Více se dočtete v článku jak řídit strategická rizika a v našem průvodci softwarem pro reporting pro představenstvo.

Zdroje

• Cox, "What's Wrong with Risk Matrices?", Risk Analysis 28(2), 2008
• COSO, Risk Assessment in Practice, 2012
• Krisper, "Problems with Risk Matrices Using Ordinal Scales", 2021 preprint

Často kladené otázky

Co je tepelná mapa rizik?

Je to barevně odlišená mřížka, která zobrazuje rizika podle pravděpodobnosti a dopadu, aby vedoucí rychle viděli, která rizika vyžadují nejvíc pozornosti.

Jaký je rozdíl mezi maticí rizik a tepelnou mapou?

Tyto pojmy se často zaměňují. Matice rizik je mřížka úrovní pravděpodobnosti a dopadu a tepelná mapa je tatáž mřížka zobrazená s barvami a zakreslenými riziky.

Jak se vypočítá skóre rizika 5x5?

Ohodnoťte pravděpodobnost od 1 do 5 a dopad od 1 do 5 a vynásobte je, čímž získáte skóre od 1 do 25. Výsledek používejte k řazení a seskupování rizik, ne jako přesné měření.

Jaké skóre je na matici 5x5 vysoké riziko?

Záleží na vaší ochotě podstupovat riziko. Běžný výchozí bod považuje 15 až 25 za vysoké, 5 až 12 za střední a 1 až 4 za nízké.

Co znamenají barvy na tepelné mapě rizik?

Zelená obvykle znamená nízké riziko ke sledování, žlutá střední riziko, které potřebuje vlastníka a plán, a červená vysoké riziko, které vyžaduje akci a eskalaci.

Jak často by se měla tepelná mapa rizik aktualizovat?

Kontrolujte ji v pravidelném cyklu, například čtvrtletně, a vždy, když se změní něco důležitého. Hlavní rizika si zaslouží častější pozornost.

Proč jsou matice rizik kritizovány?

Výzkum ukazuje, že mohou hodnotit menší rizika výše než větší, seskupovat velmi odlišná rizika a spoléhat na subjektivní hodnocení. Hodí se k určení priorit diskuse, ale jsou slabým základem pro přesná rozhodnutí.

Vyzkoušejte Aitraxus zdarma a otevřete ukázkový projekt ACME, kde uvidíte registr rizik se skóre.