Una matrice dei rischi è una tabella che ordina le cose che possono andare storte in base a due domande: quanto è probabile, e quanto farebbe male? Ogni rischio ottiene una posizione nella griglia, e quella posizione decide quanta attenzione e quanto budget merita adesso.
La maggior parte dei team usa una griglia cinque per cinque. Valuti la probabilità da 1 (molto improbabile) a 5 (quasi certo) e l'impatto da 1 (fastidioso) a 5 (fine dell'attività), poi moltiplichi i due valori. Un punteggio da 20 a 25 richiede un piano entro questo mese. Un punteggio da 1 a 4 finisce in una lista da rivedere due volte l'anno.
Un esempio con tre rischi. Il fornitore principale fallisce: probabilità 2, impatto 5, punteggio 10. Lo sviluppatore capo se ne va: probabilità 3, impatto 4, punteggio 12. Un nuovo concorrente abbassa il tuo prezzo: probabilità 4, impatto 3, punteggio 12. Due rischi pareggiano a 12, quindi confronti quanto costerebbe una soluzione. Documentare la tua codebase e formare un secondo sviluppatore richiede poche settimane di lavoro. Impedire a un concorrente di entrare nel mercato non è qualcosa che controlli. Quindi agisci sul rischio dello sviluppatore e ti limiti a monitorare il rischio sul prezzo.
Una matrice è utile solo con quattro colonne accanto: il rischio, il punteggio, la contromisura, e la persona responsabile con una data. Senza un responsabile è una tabella decorativa.
Un business plan generato di solito contiene una matrice dei rischi nella sezione sui rischi, perché banche e investitori se ne aspettano una. È lì che i founder commettono due errori. Valutano tutto come alto, il che appiattisce la classifica e non aiuta nessuno. Oppure elencano solo i rischi esterni ovvi, come una recessione, e saltano quelli interni specifici che potrebbero correggere, come una sola persona che detiene l'unica password di amministratore. Aggiorna la matrice ogni trimestre.
