مصفوفة المخاطر هي جدول يُرتّب الأمور التي يمكن أن تسوء بحسب سؤالين: ما مدى احتمال حدوثها؟ وما مدى الضرر الذي ستُحدثه؟ يحصل كل خطر على موقع في الشبكة، وهذا الموقع يحدد مقدار الاهتمام والميزانية التي يستحقها الآن.
تستخدم معظم الفرق شبكة من خمسة أعمدة وخمسة صفوف. تُقيّم الاحتمال من 1 (مستبعد جدًا) إلى 5 (شبه مؤكد)، والأثر من 1 (مزعج) إلى 5 (يُنهي الشركة)، ثم تضرب الرقمين. الدرجة من 20 إلى 25 تحتاج خطة عمل هذا الشهر. والدرجة من 1 إلى 4 تُدرَج في قائمة تُراجَع مرتين سنويًا.
مثال بثلاثة مخاطر. فشل المورّد الرئيسي: الاحتمال 2، الأثر 5، الدرجة 10. مغادرة كبير المطورين: الاحتمال 3، الأثر 4، الدرجة 12. منافس جديد يخفّض سعرك: الاحتمال 4، الأثر 3، الدرجة 12. يتساوى خطران عند الدرجة 12، فتقارن تكلفة معالجة كل منهما. توثيق قاعدة الشيفرة وتدريب مطوّر ثانٍ يستغرق بضعة أسابيع من العمل. أما منع منافس من دخول السوق فليس أمرًا تتحكم فيه. لذلك تتصرف تجاه خطر المطور وتكتفي بمراقبة خطر السعر.
المصفوفة مفيدة فقط عندما تُرفق بأربعة أعمدة: الخطر، والدرجة، والإجراء المضاد، والشخص المسؤول مع تاريخ محدد. من دون مسؤول، تصبح مجرد جدول زخرفي.
عادةً ما تتضمّن الخطة المُولَّدة مصفوفة مخاطر في قسم المخاطر، لأن البنوك والمستثمرين يتوقعون وجودها. وهنا يقع المؤسسون في خطأين. الأول تصنيف كل شيء على أنه مرتفع، وهو ما يُسطّح الترتيب ولا يفيد أحدًا. والثاني إدراج المخاطر الخارجية الواضحة فقط، مثل الركود الاقتصادي، وتجاهل المخاطر الداخلية المحددة التي يمكن إصلاحها، مثل احتفاظ شخص واحد فقط بكلمة مرور المدير. حدّث المصفوفة كل ثلاثة أشهر.
