Macierz ryzyka to tabela, która porządkuje rzeczy, które mogą pójść źle, według dwóch pytań: jak prawdopodobne to jest i jak bardzo by to zaszkodziło? Każde ryzyko otrzymuje pozycję w siatce, a ta pozycja decyduje, ile uwagi i budżetu zasługuje w tej chwili.
Większość zespołów używa siatki pięć na pięć. Oceniasz prawdopodobieństwo od 1 (bardzo mało prawdopodobne) do 5 (niemal pewne) oraz wpływ od 1 (uciążliwe) do 5 (kończące działalność), a następnie mnożysz te dwie liczby. Wynik od 20 do 25 wymaga planu w tym miesiącu. Wynik od 1 do 4 trafia na listę przeglądaną dwa razy w roku.
Przykład z trzema ryzykami. Awaria głównego dostawcy: prawdopodobieństwo 2, wpływ 5, wynik 10. Odejście głównego programisty: prawdopodobieństwo 3, wpływ 4, wynik 12. Nowy konkurent podcina twoją cenę: prawdopodobieństwo 4, wpływ 3, wynik 12. Dwa ryzyka remisują na poziomie 12, więc porównujesz, ile kosztowałoby rozwiązanie. Udokumentowanie kodu i wyszkolenie drugiego programisty zajmuje kilka tygodni pracy. Zapobieżenie wejściu konkurenta na rynek nie jest czymś, co kontrolujesz. Więc działasz w sprawie ryzyka związanego z programistą, a ryzyko cenowe tylko monitorujesz.
Macierz jest użyteczna tylko z czterema kolumnami obok niej: ryzyko, wynik, środek zaradczy i osoba odpowiedzialna wraz z datą. Bez właściciela to tylko ozdobna tabela.
Wygenerowany biznesplan zwykle zawiera macierz ryzyka w części dotyczącej ryzyka, ponieważ banki i inwestorzy jej oczekują. To tam założyciele popełniają dwa błędy. Oceniają wszystko jako wysokie ryzyko, co spłaszcza ranking i nikomu nie pomaga. Albo wymieniają tylko oczywiste ryzyka zewnętrzne, takie jak recesja, i pomijają konkretne ryzyka wewnętrzne, które mogliby naprawić, takie jak jedna osoba mająca jedyne hasło administratora. Aktualizuj macierz co kwartał.
