Матрица рисков: как приоритизировать угрозы и разработать план реагирования
Матрица рисков: от интерпретации к действиям. Приоритизация, 20 кейсов, шаблоны отчётов
Что такое матрица рисков и зачем она нужна
Матрица рисков — инструмент визуализации угроз, позволяющий оценить и приоритизировать риски по двум осям: вероятность возникновения и воздействие (тяжесть последствий).
Применяется в:
- страховании — для расчёта тарифов и резервов;
- производстве — для предотвращения аварий;
- проектах — для контроля сроков и бюджета;
- финансах — для управления инвестиционными рисками.
Цель матрицы — ответить на вопросы:
- Какие риски требуют немедленных действий?
- Какие можно мониторить в штатном режиме?
- Какие допустимо принять как допустимые?
Основные понятия и структура матрицы
Вероятность (P) Шкала от «крайне маловероятно» (1) до «почти наверняка» (5). Воздействие (I) Шкала от «незначительное» (1) до «катастрофическое» (5). Уровень риска ® Рассчитывается как произведение: $R = P \times I$.Цветовая кодировка (стандарт ISO 31000):
- Зелёный — низкий риск (R = 1–5): мониторинг;
- Жёлтый — умеренный (R = 6–12): плановые меры;
- Оранжевый — высокий (R = 15–20): срочные действия;
- Красный — критический (R = 25): немедленное реагирование.
Как построить матрицу рисков: пошаговый алгоритм
- Идентификация рисков — мозговой штурм команды (технолог, безопасник, финансист).
- Оценка вероятности (P) — по шкале 1–5, на основе статистики или экспертных оценок.
- Оценка воздействия (I) — по шкале 1–5, с учётом финансовых, репутационных, юридических последствий.
- Расчёт уровня риска ® — $R = P \times I$.
- Нанесение на матрицу — точка в ячейке с координатами (P, I).
- Приоритизация — сортировка по R, начиная с максимальных значений.
- Разработка планов реагирования — для рисков уровня «оранжевый» и «красный».
Пример матрицы 5×5
| Воздействие \ Вероятность | 1 (маловероятно) | 2 | 3 | 4 | 5 (почти наверняка) |
|---|---|---|---|---|---|
| 5 (катастрофа) | 5 | 10 | 15 | 20 | 25 |
| 4 (сильно) | 4 | 8 | 12 | 16 | 20 |
| 3 (умеренно) | 3 | 6 | 9 | 12 | 15 |
| 2 (слабо) | 2 | 4 | 6 | 8 | 10 |
| 1 (незначительно) | 1 | 2 | 3 | 4 | 5 |
Примечание: Ячейки окрашены по правилу: R ≤ 5 — зелёный, 6–12 — жёлтый, 15–20 — оранжевый, 25 — красный.
20 кейсов по интерпретации матрицы рисков в страховании и на производстве
Ниже — реальные примеры анализа рисков с расчётами уровня риска и планами реагирования.
- Кейс 1. Страховка автопарка
Риск: ДТП с тяжёлыми последствиями.
P = 3 (умеренная вероятность), I = 5 (катастрофические последствия для бизнеса).
R = 3 × 5 = 15 → оранжевый уровень.
План реагирования: внедрение системы телематики для контроля стиля вождения, обучение водителей, пересмотр маршрутов. - Кейс 2. Страхование склада
Риск: пожар из‑за неисправности проводки.
P = 2 (маловероятно при регулярной проверке), I = 4 (сильный ущерб товару).
R = 2 × 4 = 8 → жёлтый уровень.
План: ежегодная диагностика электросетей, установка датчиков дыма, резервное хранение товаров. - Кейс 3. Производственная линия
Риск: остановка конвейера из‑за поломки ключевого узла.
P = 4 (часто при износе), I = 5 (простои, срывы поставок).
R = 4 × 5 = 20 → красный уровень.
План: закупка запасных узлов, договор с сервисной службой на экстренный выезд, резервирование мощностей. - Кейс 4. Банк, кредитный портфель
Риск: дефолт заёмщика.
P = 3 (на фоне кризиса), I = 4 (потеря дохода).
R = 3 × 4 = 12 → жёлтый уровень.
План: ужесточение скоринга, резервирование под потери, диверсификация портфеля. - Кейс 5. Строительная компания
Риск: задержка поставки материалов.
P = 4 (часты логистические сбои), I = 3 (срыв сроков).
R = 4 × 3 = 12 → жёлтый уровень.
План: заключение договоров с двумя поставщиками, буферный запас критических материалов. - Кейс 6. Медицинская клиника
Риск: утечка персональных данных пациентов.
P = 2 (при защите FireWall), I = 5 (репутационные и юридические последствия).
R = 2 × 5 = 10 → оранжевый уровень.
План: аудит ИТ‑безопасности, шифрование данных, обучение персонала правилам конфиденциальности. - Кейс 7. Авиаперевозчик
Риск: отмена рейса из‑за непогоды.
P = 3 (в сезон штормов), I = 4 (убытки, компенсации пассажирам).
R = 3 × 4 = 12 → жёлтый уровень.
План: страховка от отмены рейсов, резервные самолёты, гибкая система возврата билетов. - Кейс 8. Ресторанный бизнес
Риск: пищевое отравление гостей.
P = 2 (при соблюдении СанПиН), I = 5 (судебные иски, закрытие заведения).
R = 2 × 5 = 10 → оранжевый уровень.
План: контроль поставщиков сырья, ежедневная гигиена персонала, страхование ответственности. - Кейс 9. IT‑компания, SaaS‑сервис
Риск: сбой сервера → недоступность сервиса.
P = 3 (при резервировании), I = 5 (потеря клиентов).
R = 3 × 5 = 15 → оранжевый уровень.
План: облачное резервирование, мониторинг нагрузки, SLA с компенсациями за простой. - Кейс 10. Сельхозпредприятие
Риск: гибель урожая из‑за засухи.
P = 2 (в засушливом регионе), I = 5 (банкротство).
R = 2 × 5 = 10 → оранжевый уровень.
План: страхование урожая, системы капельного орошения, диверсификация культур. - Кейс 11. Логистическая фирма
Риск: повреждение груза при транспортировке.
P = 4 (при неправильной упаковке), I = 3 (финансовые потери).
R = 4 × 3 = 12 → жёлтый уровень.
План: стандартизация упаковки, страхование грузов, фотофиксация погрузки/выгрузки. - Кейс 12. Энергетическая подстанция
Риск: короткое замыкание → отключение района.
P = 2 (при плановом обслуживании), I = 5 (социальные последствия).
R = 2 × 5 = 10 → оранжевый уровень.
План: резервирование линий, автоматические выключатели, аварийные бригады на дежурстве. - Кейс 13. Туроператор
Риск: банкротство партнёра‑отеля.
P = 3 (в кризис), I = 4 (срывы туров, компенсации).
R = 3 × 4 = 12 → жёлтый уровень.
План: проверка финансовой устойчивости партнёров, резервные варианты размещения, страховка ответственности. - Кейс 14. Фармацевтическое производство
Риск: отклонение от стандарта качества партии лекарства.
P = 2 (при валидированном процессе), I = 5 (отзыв продукции, штрафы).
R = 2 × 5 = 10 → оранжевый уровень.
План: 100 % контроль критических параметров, аудит поставщиков сырья, система отзыва. - Кейс 15. Торговый центр
Риск: массовая давка при эвакуации.
P = 1 (при соблюдении норм ПБ), I = 5 (трагедия).
R = 1 × 5 = 5 → зелёный уровень (но требует постоянного контроля).
План: тренировки персонала, разметка путей эвакуации, системы оповещения. - Кейс 16. Нефтебаза
Риск: разлив нефти → экологическая катастрофа.
P = 2 (при исправных резервуарах), I = 5 (штрафы, ликвидация последствий).
R = 2 × 5 = 10 → оранжевый уровень.
План: датчики утечки, боновые заграждения, договор с аварийно‑спасательной службой. - Кейс 17. Интернет‑магазин
Риск: хакерская атака → утечка данных клиентов.
P = 3 (при среднем уровне защиты), I = 5 (репутация, GDPR‑штрафы).
R = 3 × 5 = 15 → оранжевый уровень.
План: пентестинг, двухфакторная аутентификация, резервное копирование данных. - Кейс 18. Завод металлоконструкций
Риск: падение крана → травма персонала.
P = 2 (при техосмотре), I = 5 (смертельный случай).
R = 2 × 5 = 10 → оранжевый уровень.
План: ежедневный осмотр кранов, обучение операторов, зона ограждения при работе. - Кейс 19. Страховая компания, ОСАГО
Риск: рост убыточности из‑за увеличения ДТП.
P = 4 (в период гололёда), I = 4 (снижение прибыли).
R = 4 × 4 = 16 → оранжевый уровень.
План: корректировка тарифов, стимулирование безаварийного вождения, партнёрство с эвакуаторами. - Кейс 20. Университет, онлайн‑обучение
Риск: сбой платформы LMS → срыв экзаменационной сессии.
P = 3 (при пиковой нагрузке), I = 5 (массовые жалобы, репутационные потери).
R = 3 × 5 = 15 → оранжевый уровень.
План: резервирование серверов, тестирование нагрузки перед сессией, альтернативный канал коммуникации (email, чат), инструкция для преподавателей и студентов на случай сбоя.
Как интерпретировать уровни риска и выбирать стратегию реагирования
На основе матрицы рисков принимают одно из четырёх решений:
- Избежание — устранить источник риска (например, отказаться от опасного технологического процесса).
- Снижение — уменьшить P или I (внедрение защиты, резервирование, обучение).
- Передача — переложить риск на третью сторону (страхование, аутсорсинг).
- Принятие — оставить риск, если R ≤ 5 и последствия допустимы.
Правила приоритета:
- Сначала — риски уровня «красный» (R = 25): немедленное действие.
- Затем — «оранжевый» (R = 15–20): план на 1–2 недели.
- Далее — «жёлтый» (R = 6–12): план на 1–3 месяца.
- «Зелёный» (R ≤ 5) — мониторинг раз в 6–12 месяцев.
Формулы и методики расчёта уровня риска
$R = P \times I$
Где:
- $P$ — вероятность возникновения риска (1–5):
1 — крайне маловероятно (< 1 %), 5 — почти наверняка (> 90 %). - $I$ — воздействие на цели организации (1–5):
1 — незначительное (потеря < 1 % бюджета), 5 — катастрофическое (угроза существованию).
Альтернативные методы:
- Качественный анализ — экспертная оценка «высокий/средний/низкий» без чисел.
- Количественный анализ — расчёт в денежных единицах (например, ожидаемые потери = P × стоимость ущерба).
- Метод Дельфи — опрос группы экспертов для уточнения P и I.
Шаблон отчёта по матрице рисков
Рекомендуемая структура документа:
- Титульный лист (объект, дата, команда).
- Описание контекста (процесс, проект, актив).
- Список идентифицированных рисков с кодами.
- Матрица рисков (таблица 5×5 с цветовой заливкой).
- Анализ критических рисков (R ≥ 15) — детальное описание, причины, последствия.
- Планы реагирования — для каждого критического и оранжевого риска:
- мероприятие;
- ответственный;
- срок исполнения;
- бюджет (если требуется);
- критерий выполнения.
- График пересмотра матрицы (например, раз в 6 месяцев или после инцидента).
- Приложения: анкеты экспертов, фото объектов, выписки из нормативных актов.
Формат: PDF или Excel с защитой листов, чтобы предотвратить случайное изменение данных.
Типичные ошибки при работе с матрицей рисков
- Субъективность оценок — эксперты ставят P и I «на глазок», без данных. Решение: использовать статистику происшествий, отчёты аудитов.
- Игнорирование вторичных рисков — не учтена цепочка: сбой сервера → простой CRM → потеря клиентов. Решение: строить деревья отказов (FTA).
- Формальное заполнение — матрица есть, но меры не реализуются. Решение: внедрить контроль исполнения планов.
- Отсутствие пересмотра — матрица актуальна на дату составления, но не обновляется. Решение: закрепить график актуализации.
- Переоценка «зелёных» рисков — низкий R не значит «без последствий». Решение: мониторить даже маловероятные катастрофы (например, землетрясение в стабильном регионе).
Матрица рисков и страхование: как обосновать тариф
Страховщики используют матрицу для:
- оценки вероятности страхового случая (P);
- расчёта максимального убытка (I);
- определения премии: $\text{Тариф} = k \times P \times I$, где $k$ — коэффициент нагрузки (административные расходы, прибыль).
Пример: Для склада с R = 8 (жёлтый уровень) тариф будет ниже, чем для нефтебазы с R = 10 (оранжевый), даже если стоимость активов одинакова.
Выгода для клиента: доказанное снижение R (например, с 15 до 6 после установки сигнализации) — основание для пересмотра тарифа в сторону уменьшения.
Уроки, которые мы извлекли
- Матрица рисков — не «бумажная формальность», а инструмент принятия решений.
- Чем раньше выявлен риск (на стадии проектирования), тем дешевле его устранить.
- Количественные методы (R = P × I) убедительнее качественных («высокий/низкий»).
- Коммуникация — ключ: все участники должны понимать, что значит «оранжевый риск» и что с ним делать.
- Интеграция с другими методами (FMEA, HAZOP, SWOT) даёт полную картину угроз.
Заключение
Матрица рисков — универсальный инструмент для приоритизации угроз и планирования реагирования. Она позволяет:
- визуализировать риски в едином формате;
- объективно сравнивать разнородные угрозы (пожар, кибератака, сбой поставки);
- обосновывать инвестиции в безопасность и страхование;
- демонстрировать регуляторам и инвесторам системный подход к управлению рисками.
Для студентов и начинающих специалистов освоение матрицы — шаг к компетенции руководителя, способного принимать решения на основе данных, а не интуиции.
Список источников
- ISO 31000:2018 «Менеджмент риска — Руководящие указания».
- ГОСТ Р ИСО/МЭК 31010-2011 «Менеджмент риска. Методы оценки риска».
- COSO ERM — Integrated Framework (Committee of Sponsoring Organizations).
- PMI PMBOK Guide — раздел «Управление рисками проекта».
- Документы ЦБ РФ по риск‑менеджменту в страховых организациях.
- Материалы Международной ассоциации управления рисками (IRM).
- Научные статьи в журналах «Управление риском», «Страхование сегодня».
- Методические рекомендации по оценке рисков для промышленных предприятий (Минпромторг РФ).
- Учебники по риск‑менеджменту: В. Н. Вяткин, В. А. Гамза, И. Б. Котлобовский.
- Отчёты международных рейтинговых агентств (S&P, Moody’s) по оценке корпоративных рисков.