Heat-map

Et risiko-heat-map er den grafiske udgave af den konsekvens-sandsynlighedsmatrix, som ISO/IEC 31010:2019 beskriver som teknik til risikovurdering. De typiske formater er 3×3, 4×4 eller 5×5, og hvert niveau på akserne defineres med forankrede beskrivelser: sandsynlighed som frekvensintervaller ("sjældnere end hvert tiende år", "flere gange om året") og konsekvens som tærskler for hver type skade (økonomisk tab, timers nedetid, antal eksponerede poster, sanktioner fra myndigheder). Farven på hvert felt er en politisk beslutning, ikke en beregning; den udtrykker risikokriterierne og bør stemme med den dokumenterede risikoappetit, så "rød" betyder det samme som "uden for appetitten, skal håndteres". NIST SP 800-30 Rev. 1, bilag I, viser et eksempel på sådan en opslagstabel fra niveauer for sandsynlighed og konsekvens til et samlet risikoniveau.

Den mest udbredte praksis er at gange ordinale scorer, sandsynlighed 1-5 gange konsekvens 1-5. Det behandler ordinale betegnelser som rigtige tal, hvad de ikke er: Afstanden fra "sjælden" til "usandsynlig" er ikke den samme som fra "sandsynlig" til "næsten sikker". Produktet kan desuden kun antage 14 forskellige værdier mellem 1 og 25, og ens scorer skjuler meget forskellige profiler: En irritation med 5×1 og en katastrofe med 1×5 får begge 5. Mange organisationer bruger derfor asymmetriske matricer, hvor kolonnerne med høj konsekvens bliver røde ved lavere sandsynlighed, eller fastlægger felternes farve direkte frem for ud fra produktet.

Louis Anthony Cox Jr.s artikel "What's Wrong with Risk Matrices?" (Risk Analysis, 2008) formaliserede begrænsningerne: Intervalkompression placerer kvantitativt meget forskellige risici i samme felt, feltgrænserne kan rangere en mindre risiko over en større, og når hyppighed og alvor er negativt korrelerede, kan en matrix prioritere dårligere end tilfældigt. Placeringen er også subjektiv, så to vurderende personer lægger ofte samme scenarie i forskellige felter. Et heat-map understøtter derfor dialog og grovsortering, men beregner ikke risiko, og det kan ikke lægge sammen: Ti gule risici med en fælles afhængighed kan være værre end én rød.

God praksis er at placere hver risiko to gange, som iboende og residual risiko, med en pil, der viser effekten af håndteringen; at vise udviklingen siden sidste rapport; at have en skriftlig begrundelse for hver placering; og at skifte til kvantitativ analyse for de få risici, hvor en stor investeringsbeslutning afhænger af rækkefølgen.