リスクマトリクス

リスクマトリクスとは、起こりうる問題を「発生確率はどれくらいか」「発生した場合の影響はどれほど大きいか」という2つの問いによって整理する表です。それぞれのリスクはグリッド上に位置づけられ、その位置によって現時点でどれだけの注意と予算を割くべきかが決まります。

多くのチームは5×5のグリッドを使います。発生確率を1(ほぼあり得ない)から5(ほぼ確実)まで、影響度を1(煩わしい程度)から5(事業存続にかかわる)まで評価し、両者を掛け合わせます。スコアが20から25の場合は今月中に対策を立てる必要があります。スコアが1から4の場合は、年2回見直すリストに載せておきます。

3つのリスクを例に挙げます。主要サプライヤーの破綻: 確率2、影響5、スコア10。リード開発者の離職: 確率3、影響4、スコア12。新規競合による価格切り下げ: 確率4、影響3、スコア12。2つのリスクがスコア12で並ぶため、対策にかかるコストを比較します。コードベースを文書化し、2人目の開発者を育成するには数週間の作業で済みます。一方、競合が市場に参入するのを防ぐことは自分でコントロールできることではありません。そのため、開発者リスクには対策を講じ、価格リスクは監視するにとどめます。

マトリクスは、リスク、スコア、対策、そして日付付きの担当者という4つの列が揃って初めて役に立ちます。担当者がいなければ、それは単なる飾りの表にすぎません。

銀行や投資家がリスクマトリクスの提示を期待するため、自動生成される事業計画には通常、リスクセクションにリスクマトリクスが含まれます。ここで創業者は2つの間違いを犯しがちです。すべてを高リスクと評価してしまい、順位付けが平坦になって誰の役にも立たなくなることです。あるいは、景気後退のような明白な外部リスクだけを挙げ、管理者パスワードを1人しか知らないといった、自分たちで解決できる具体的な内部リスクを見落としてしまうことです。マトリクスは四半期ごとに更新してください。