Матриця ризиків

Що це означає

Матриця ризиків відображає ризики за двома осями: ймовірність настання і тяжкість наслідків. Добуток задає черговість їх усунення, і це її єдине призначення.

До кожного ризику належать чотири відомості: опис, власник, захід і залишковий ризик після його впровадження. Без власника і заходу матриця лишається списком побоювань.

Ризик - це подія, яка може статися; те, що вже сталося, - це проблема, і їй місце в плані вирішення, а не в матриці. Матриця також не прогноз: ймовірність і наслідки оцінюються грубими щаблями, наприклад низька, середня і висока, і їхня цінність у тому, що вони змушують порівняти ризики між собою, а не в точності цифри.

Як це працює на практиці

У невеликій компанії найбільше варто описати ризики, що загрожують роботі: відмова ключового постачальника, вихід єдиної людини, яка знає процес, втрата даних, неплатіж великого покупця, зміна законодавства.

Заходи перетворюються на конкретні речі: план відновлення, резервний постачальник, страхування, контрольні точки у внутрішньому контролі, ліміт на одного покупця.

Щодо фінансових ризиків ми можемо дати матриці цифри з обліку: яку частку виручки дає найбільший покупець, наскільки стара дебіторка в сальдо-контокоренті і на скільки місяців постійних витрат вистачить грошей. Тоді наслідки - це не відчуття, а сума, і під час наступного перегляду можна виміряти, чи спрацював захід.

На що звернути увагу

Ризик, у якого немає власника, не усувається. А матриця має сенс лише за перегляду: щонайменше раз на рік і після кожної великої зміни в бізнесі, інакше вона лишиться додатком до дослідження, яке ніхто не відкриє.

Часта помилка - поставити всім ризикам середню ймовірність і середні наслідки, тож матриця нічого не сортує. Протилежна помилка - захід, дорожчий за сам ризик: страхування перерви в діяльності чи дубльована система окупаються, лише якщо річні витрати не перевищують шкоди, яку вони відвертають. Дрібні ризики розумно свідомо прийняти і записати це.