Матрица рисков: как ее построить и не превратить в формальность

Матрица помогает оценить корпоративные риски по пересечению двух параметров: вероятности возникновения и силы влияния на проект. Чтобы собрать матрицу, нужно составить специальную таблицу и распределить по ней потенциальные угрозы. Но если ее не анализировать и не обновлять, спустя время она перестает работать.

Рассказываем, из чего состоит матрица рисков, как составить ее по шагам и вести вместе с командой так, чтобы она действительно помогала улучшить рабочие процессы.

Из чего состоит матрица рисков

Каждый риск в матрице оценивают дважды: сначала по вероятности, потом по силе влияния. Эти две оценки и задают оси таблицы.

Ось вероятности показывает, насколько реально событие. Вероятность возникновения риска — это оценка шансов, что угроза сработает в горизонте проекта или планового периода. Ее выражают в категориях: высокая, средняя или низкая. Или числом: баллом по шкале от 1 до 5 либо процентом.

Ось влияния, она же ось последствий, отвечает на другой вопрос: что будет, если риск все-таки сработает. Влияние — это масштаб ущерба: прямые потери денег, срыв сроков, уход клиентов, репутационные или юридические последствия. Его тоже оценивают словами или баллами. Отсюда второе имя инструмента, принятое в стандартах управления проектами, — матрица вероятности и последствий: название просто перечисляет обе оси.

Чем выше вероятность и тяжелее последствия, тем ближе риск к опасному углу матрицы. Размерность выбирают под масштаб команды: обычно от 3 × 3 до 5 × 5. Трех градаций хватает небольшой команде, пять дают более тонкую приоритизацию на крупных проектах. Пересечение двух оценок и дает итоговый уровень опасности, поэтому матрицу рисков еще называют матрицей определения уровня риска.

Что такое матрица рисков по сути: способ расставить приоритеты. Она не предсказывает будущее и не заменяет план действий. Матрица оценки рисков отвечает на один вопрос — чем заниматься в первую очередь, а что достаточно держать в поле зрения.

Зоны матрицы рисков: красная, желтая, зеленая

Ячейки матрицы красят в три цвета. Цвет показывает, какого обращения требует риск, который попал в эту ячейку: от красного, где нужны немедленные действия, до зеленого, где достаточно наблюдения. Из-за такой раскраски инструмент и получил название светофорной матрицы рисков.

Красная зона — критические угрозы, способные остановить проект. Сюда попадает высокая вероятность с критичным влиянием, высокая вероятность со средним влиянием и средняя вероятность с критичным. По таким рискам работу начинают сразу: назначают ответственного, готовят план снижения и резервный сценарий.

Желтая зона — средний уровень. Событие вероятно, но ущерб небольшой, либо ущерб велик, но событие маловероятно. Такие риски держат на контроле и заранее договариваются, кто и что делает в случае их срабатывания.

Зеленая зона — слабое влияние при невысокой вероятности или низкая вероятность при среднем влиянии. Эти риски просто принимают: отдельный план не готовят, но и из таблицы не убирают.

Границы зон компания задает сама, и одни и те же ячейки разные команды красят по-разному. Там, где срыв срока стоит дорого, в красную зону уйдет и средняя вероятность со средним влиянием — та ячейка, которая в примере выше окрашена в желтый. Команда, привыкшая работать в условиях неопределенности, оставит красным только верхний правый угол таблицы.

Договориться о границах стоит до того, как расставите оценки. Иначе граница поедет под текущие обстоятельства: неудобный риск покрасят желтым, по нему не назначат ответственного, и к нему не вернутся до того дня, когда он сработает.

Виды матриц рисков

Матрицы бывают двух видов, в зависимости от того, чем заполнены ячейки: словами или баллами.

Качественная матрица работает на словесных шкалах, тех самых, что были в примере выше: вероятность низкая, средняя или высокая, влияние слабое, среднее или критичное. Качественная оценка — это суждение экспертов без вычислений. Собрать такую матрицу можно за одну встречу, она понятна без пояснений. Малому и среднему бизнесу ее обычно достаточно.

Балльная матрица (она же числовая) переводит те же оценки в цифры. Вероятность и влияние получают балл по шкале от 1 до 5 или от 1 до 10, а уровень риска считают как произведение: вероятность 4 и влияние 5 дают 20 баллов из 25 возможных.

Зоны здесь тоже цветные, но границы задают числами. Команда заранее договаривается, какие диапазоны баллов чему соответствуют: например, от 1 до 5 — зеленая зона, от 6 до 11 — желтая, от 12 и выше — красная. Дальше ячейки красят по этим границам, а не по сочетанию слов. Это удобно: чтобы сместить порог, достаточно поменять одно число.

Числовая матрица риска удобнее и для ранжирования: когда рисков три десятка, отсортировать их по оценкам быстрее, чем спорить о словах. Количественный анализ считают в деньгах и днях: ожидаемая денежная стоимость, дерево решений, имитационное моделирование.

Иногда составляют матрицу рисков и возможностей. Такой вариант матрицы добавляет к списку угроз еще и позитивные события: например, спрос окажется выше плана и понадобится срочно расширять склад. К такому событию тоже готовятся заранее, иначе возможность пройдет мимо.

В крупных проектах к вероятности и влиянию добавляют третий параметр — скорость наступления. Он нужен, чтобы развести риски внутри одной зоны: два события с одинаковым баллом требуют разной реакции, если одно сработает через неделю, а другое через год.

Где применяется матрица рисков

Метод матрицы рисков работает на двух уровнях: отдельного проекта и компании целиком. Разница в горизонте и в том, кто отвечает за таблицу.

Матрица рисков проекта охватывает угрозы конкретной инициативы: запуск продукта, внедрение системы, переезд офиса. Горизонт равен сроку проекта, оценки пересматривают на контрольных точках. Ведет таблицу руководитель проекта вместе с командой.

Матрица рисков предприятия собирает операционные, финансовые, юридические и стратегические угрозы всей компании. Горизонт здесь год и больше, а владельцы — руководители направлений и собственники. На этом уровне таблица становится частью управления рисками: она связывает угрозы с бюджетом на их снижение и помогает объяснить совету директоров, почему деньги уходят именно туда.

Метод описан в PMBOK, международном своде правил по управлению проектами, и в стандарте ISO 31000 по управлению рисками. Так что если руководство спросит, откуда взялся подход, ответ есть.

Задача у матрицы на обоих уровнях одна: превратить бесконечный список того, что может пойти не так, в короткий перечень приоритетов.

Как составить матрицу рисков: алгоритм из шести шагов

Шаг 1. Определите цель и границы

Что оцениваете: проект, направление или компанию целиком? На каком горизонте? Кто участвует в оценке? Без границ в таблицу попадут несопоставимые угрозы, и приоритеты в ней не выстроятся.

Шаг 2. Соберите риски

Проведите мозговой штурм с командой, поднимите опыт прошлых проектов, опросите смежные отделы: продажи, юристов, финансистов. Формулируйте риск как событие с последствием: например, «поставщик срывает сроки отгрузки, монтаж сдвигается».

Шаг 3. Договоритесь о шкалах

Решите до оценки, что считать критичным влиянием, и привяжите шкалу к своим цифрам: например, сдвиг срока больше чем на месяц или потеря свыше 10% выручки. Иначе каждый будет оценивать по своему представлению о критичном уровне.

Шаг 4. Оцените риски по двум осям

Каждое событие получает оценку вероятности и оценку влияния. Спорные случаи разбирайте вслух: если один считает вероятность высокой, а другой низкой, за этим обычно стоит разная информация.

Шаг 5. Разместите риски в таблице

Разнесите события по ячейкам и раскрасьте зоны. Здесь и появляется тот самый квадрат рисков, он же таблица рисков или квадрат оценки рисков. Картина приоритетов впервые видна целиком.

Шаг 6. Назначьте действия и дату пересмотра

По красной зоне: ответственный, план снижения, резервный сценарий. По желтой: наблюдение и заранее оговоренная реакция. Стратегии выбирают из четырех: избежать риска, снизить его, передать (страхование, ответственность подрядчика по договору) или осознанно принять.

Тут же назначьте дату следующей встречи по матрице и человека, который ее соберет. На этой встрече команда проходит по таблице сверху вниз и отвечает на пять вопросов: что за это время сработало, что уже неактуально, какие риски сместились между зонами, что появилось нового и где сорваны сроки по красной зоне. Правки вносят сразу в таблицу.

Главная ошибка — построить матрицу один раз и убрать в папку. Оценки устаревают быстрее, чем кажется: меняются подрядчики, законы, курсы валют и состав команды. Риски мигрируют между зонами, появляются новые, а часть из них закрывается сама. Матрица, которую не пересматривали полгода, опаснее, чем ее отсутствие: она создает ложное ощущение, что риски находятся под контролем.

Пример заполнения матрицы рисков

Разберем пример: региональная торговая компания открывает филиал в соседнем городе. Команда собирает риски на общей встрече, отбирает шесть основных и оценивает каждый по шкале от 1 до 5. Пороги считают так: от 1 до 5 баллов — зеленая зона, от 6 до 11 — желтая, от 12 и выше — красная.

Формально открытие филиала — проект, но риски здесь затрагивают всю компанию: деньги, персонал, поставщиков. Поэтому пример работает и как матрица рисков проекта, и как срез уровня предприятия. Оценки и планы действий команда сводит в таблицу.

Основные усилия уходят на ремонт и наем — по ним 16 и 12 баллов. В колонке действий у обоих конкретные шаги со сроками и деньгами: резерв на два месяца аренды, наем за три месяца до открытия. Согласование вывески набрало четыре балла, и решение по нему такое: принимаем риск и наблюдаем, отдельных шагов не предпринимаем. Заодно таблица дает аргументы для бюджета: из нее видно, почему резерв просят на аренду, а не на маркетинг.

Наем с 12 баллами попал в красную зону по нижней границе. Такие строки разбирают отдельно: команда решает, начинать ли полноценную работу или пока держать риск на контроле.

При работе с баллами стоит помнить об ограничении. Произведение уравнивает разные ситуации: редкое, но катастрофичное событие с оценками 1 и 5 и частое, но мелкое с оценками 5 и 1 дают одинаковые пять баллов. Работать с ними нужно по-разному: первое требует резервного сценария, второе — отлаженной процедуры. Балл открывает обсуждение, а не закрывает его.

Где удобнее вести матрицу рисков вместе с командой

Чаще всего матрицу ведут так: руководитель собирает оценки, сводит их в файл на своем компьютере и рассылает команде по почте. Через месяц у финансового директора одна версия, у руководителя проекта — другая, правки конфликтуют, и никто не знает, какая из таблиц актуальна.

Чтобы избежать подобной путаницы, лучше перенести всю работу в общее пространство. Если результат мозгового штурма, таблица и задачи по отработке рисков находятся в одном окне, версия останется одна на всех и каждый будет понимать, за что отвечает. Например, в цифровой среде VK WorkSpace матрицу рисков можно вести с помощью сервисов.

Таблица в Документах, файл на Диске. Матрица лежит в защищенном корпоративном облаке, а команда работает с ней во встроенном онлайн-редакторе. У всех открыт один файл, вопрос актуальной версии отпадает. Спорные оценки рисков можно обсуждать в комментариях к строкам. История версий показывает, кто и когда менял баллы: например, видно, что в марте у риска было 6 баллов, а в июле уже 12. Доступ открывают на команду или адресно, а на внешние ссылки можно поставить пароль, ограничить срок действия и количество скачиваний.

Работа по красной зоне в Задачах. Каждый риск красной зоны переносят в задачу: ответственный, срок, план снижения риска в описании. Дальше работа идет так же, как с обычными задачами — статус видно всей команде, а не только тому, кто ведет матрицу. Если риск всплыл в рабочем чате, задачу можно поставить прямо из сообщения.

Для больших команд и сложных процессов есть сервис Проекты: там задачи по рискам собираются вместе с остальными задачами проекта, со сроками и общей картиной по загрузке. В нем рутину можно автоматизировать: менять статусы по условию, назначать исполнителей, отправлять уведомления ответственным.**

Отбор рисков на Доске. Если собираете матрицу с нуля, начните с командного мозгового штурма. Выпишите риски стикерами на онлайн-доску, сгруппируйте их по причинам и проведите голосование. Каждый участник получает несколько голосов и отдает их рискам, которые считает главными, — так из длинного списка остаются те, с которыми команда действительно будет работать. Включите настройку «Один голос на объект», чтобы никто не отдал все голоса одному стикеру. Если оценки могут подстроиться под мнение руководителя, включите анонимный режим.

Напоминание о встрече в Календаре. Договорившись о дате следующей встречи по матрице, сразу поставьте повторяющееся событие и добавьте постоянный состав участников. Напоминание придет само, и пересмотр не будет зависеть от того, вспомнит ли о нем руководитель. Ссылка на Видеоконференции добавится в событие автоматически — распределенной команде не придется искать ее в переписке.

Заключение

Матрица рисков — инструмент, простой в сборке, но капризный в ведении. Две оси, три цвета, шесть шагов алгоритма — первую версию команда собирает за одну встречу. Ценность создает то, что происходит дальше: перенос красной зоны в задачи с ответственными и регулярные пересмотры с зафиксированной датой.

VK WorkSpace — российская цифровая среда для совместной работы команд. В ней есть Диск, Документы, Доска, Мессенджер, Видеоконференции, Задачи, Проекты, Почта, Календарь и другие сервисы. Матрицу рисков можно вести в Документах, отбирать риски на Доске, а работу по красной зоне — в Задачах, не переключаясь между приложениями. Попробовать все сервисы можно за 1 ₽ на 30 дней.