Ma trận rủi ro là một bảng sắp xếp những điều có thể xảy ra sai theo hai câu hỏi: khả năng xảy ra cao đến đâu, và nó sẽ gây tổn hại nghiêm trọng đến mức nào? Mỗi rủi ro được đặt vào một vị trí trong lưới, và vị trí đó quyết định mức độ chú ý và ngân sách nó xứng đáng nhận ngay bây giờ.
Hầu hết các đội dùng một lưới năm nhân năm. Bạn đánh giá xác suất từ 1 (rất khó xảy ra) đến 5 (gần như chắc chắn) và mức độ ảnh hưởng từ 1 (gây khó chịu) đến 5 (có thể chấm dứt doanh nghiệp), rồi nhân hai con số đó. Điểm từ 20 đến 25 cần một kế hoạch xử lý ngay trong tháng này. Điểm từ 1 đến 4 được đưa vào một danh sách rà soát hai lần một năm.
Một ví dụ với ba rủi ro. Nhà cung cấp chính gặp sự cố: xác suất 2, ảnh hưởng 5, điểm 10. Lập trình viên trưởng nghỉ việc: xác suất 3, ảnh hưởng 4, điểm 12. Đối thủ mới hạ giá thấp hơn bạn: xác suất 4, ảnh hưởng 3, điểm 12. Hai rủi ro cùng điểm 12, vậy bạn so sánh chi phí để khắc phục từng cái. Việc tài liệu hóa mã nguồn và đào tạo một lập trình viên thứ hai mất vài tuần làm việc. Ngăn một đối thủ gia nhập thị trường không phải điều bạn kiểm soát được. Vì vậy bạn hành động với rủi ro về lập trình viên và chỉ theo dõi rủi ro về giá.
Một ma trận chỉ hữu ích khi có bốn cột đi kèm: rủi ro, điểm số, biện pháp đối phó, và người chịu trách nhiệm cùng một mốc thời gian. Không có người phụ trách, nó chỉ là một bảng trang trí.
Một kế hoạch kinh doanh được tạo tự động thường chứa một ma trận rủi ro trong phần rủi ro, vì ngân hàng và nhà đầu tư mong đợi có một bảng như vậy. Đó cũng là nơi người sáng lập mắc hai sai lầm. Họ đánh giá mọi thứ đều ở mức cao, điều này làm phẳng thứ hạng và không giúp ích cho ai. Hoặc họ chỉ liệt kê những rủi ro bên ngoài hiển nhiên, như suy thoái kinh tế, và bỏ qua những rủi ro nội bộ cụ thể mà họ có thể khắc phục, như một người duy nhất nắm giữ mật khẩu quản trị. Hãy cập nhật ma trận này mỗi quý.
