Knowledge Base Wiki

En risikomatrise brukes i risikovurderinger ved at man setter inn sannsynlighetene og konsekvensene i oppgitte skalaer i matrisen. Risikomatriser er brukt i stor skala i risikostyring i de fleste virksomheter. Risikomatriser er en forenkling av risikobildet for å rangere og prioritere risikoer ved å visualisere dem i forhold til hverandre.

Risikomatriser har to hovedformål, det ene handler om risikoaksept, og det andre handler om hvilke risikoer som trengs å addresseres først i risikostyringen. Risikoaksept kan sees fra fargerangeringen, rød farge vil vanligvis ikke gi akseptabel risiko og det bør utføres risikoreduserende tiltak. Gul farge (ALARP – as low as reasonable practicable) er normalt akseptabel risiko, men det bør vurderes å utføre risikoreduserende tiltak, grønn risiko gir normalt en generell aksept for risikoen.^[2]

Det er rettet kritikk mot risikomatriser ved at slike matriser i hovedsak kun viser til forventningsverdier til risikoene og hvor det fulle «risikopotensialet» ikke nødvendigvis blir tatt hensyn. I dette ligger det at en risikokilde kan forårsake mange senarioer eller konsekvenser.^[3] For eksempel, Covid-19 som vil ramme Norge som en risikokilde kan ha mange konsekvenspotensialer som kan eksempelvis være fra 100 000 smittede til 1 000 000 smittede. Dersom forventningsverdien til denne risikoen er 250 000 smittede, og realiteten blir 1 000 000 smittede, vil håndteringen av de ulike senarioene kreve stor forskjell i risikorespons. Dersom styrken på kunnskapen som forventningsverdien bygger på er svak vil ikke bruk av en standard risikomatrise gi en god kommunikasjon eller håndteringsgrunnlag for en risiko. Den reelle risikoverdien inneholder ofte mange usikkerheter som kan forårsake store usikkerheter som svarte svaner som kan forekomme, og store usikkerheter bør tas høyde for i risikostyringen. Annen kritikk mot bruk av risikomatrise er at to hendelser kan ha samme lokasjon i risikomatrisen, men kunnskapen som støtter vurderingsgrunnlaget for risikoene kan være vidt forskjellig.^[4]

For å løse noen av kritikkene mot den tradisjonelle risikomatrisen, har risikovitenskapen utviklet forbedringsforslag til hvordan alternative matriser kan se ut. Slike matriser tar også for seg kunnskapsstyrken som tilhører vurderingen av risikoen.^[5] De utvidete matrisene er foreløpig lite anvendt eller anbefalt i veiledere og standarder. Et eksempel på en veileder som har anbefalt alternative matriser er Veileder i risiko- og sårbarhetsanalyse for Kunnskapssektoren.^[6] Noe av årsaken til at virksomhetene ikke har tatt i bruk de mest moderne risikoanalysemetodene som risikovitenskapen er grunnet i at det eksisterer et gap mellom eksisterende teorier i risikovitenskapen og praksis som virksomhetene bruker. Dette gapet er delvis grunnet i prinsipper for endringsledelse, organisasjonskultur og at det kan føre til mere ekstraarbeid for virksomhetene å implementere nye kunnskaper og metoder å utføre arbeidet på.^[7]