Матрица рисков: инструмент управления или формальность для отчета?

Матрицу рисков часто заполняют один раз на старте и считают, что раз сетка раскрашена, угрозы под контролем. Сам по себе цвет ничего не меняет: баллы одного события у разных экспертов расходятся, а без плана действий ячейка остается красной из отчета в отчет. Матрица работает, когда команда заранее договорилась, что означает каждая ячейка, а по серьезному риску назначила меры с владельцем и сроком. Ниже разберем, как описать шкалы вероятности и влияния по ГОСТ и рекомендациям Минэкономразвития, что записывать в план реагирования и когда матрицу дополняют количественным расчетом.

Что матрица рисков решает в проекте и чего не решает

Матрица рисков сравнивает между собой разные события. PMI определяет риск как неопределенное событие или условие, которое при наступлении положительно или отрицательно влияет на одну или несколько целей проекта. Это определение приводят испанские авторы академического исследования 2024 года. Матрица раскладывает такие события по двум осям: вероятности и влиянию. Каждый риск занимает ячейку на пересечении двух баллов. Ячейки окрашены по уровню риска в красный, желтый и зеленый цвет.

ГОСТ Р 58771-2019 описывает преимущество матрицы так: матрица позволяет быстро ранжировать риски по разным уровням значимости. Стандарт называет ее инструментом для проверки, когда выявлено много рисков: с ее помощью решают, какие риски направлять на более высокий уровень управления. Потери в деньгах и времени матрица не измеряет: она сортирует риски и показывает, какие из них разбирать первыми.

Потребность в такой сортировке у проектных команд есть. В исследовании Академии бизнеса Б1 риски и сроки заняли второе место среди сложностей управления проектами: 115 и 96 респондентов из 289 отметили их в анкете. Первое место — у человеческих ресурсов и заинтересованных сторон.

Для руководства матрица служит обзором портфеля. По опросу ADVANTA, 36,5% респондентов называют ценностью проектного управления возможность видеть полную картину и риски по проектам и ускорять работу с проблемами — этот ответ на третьем месте. Авторы опроса связывают прозрачность с оперативностью риск-менеджмента.

Смежные инструменты решают свои задачи:

• Реестр хранит полное описание каждого риска.
• Корпоративная карта рисков охватывает компанию целиком.
• Матрица помогает сравнить риски одного проекта или портфеля.

Шкалы вероятности и влияния: что предлагают ГОСТ и Минэкономразвития

Единой сетки для матрицы рисков стандарты не задают. ГОСТ Р 58771-2019 допускает любое количество точек и называет наиболее распространенными 3-, 4- и 5-точечные шкалы. Стандарт не определяет и содержание делений: что считать высокой вероятностью и сильным влиянием, организация решает сама.

Методические рекомендации Минэкономразвития устроены иначе. Приказ № 585 от 19.09.2024 предлагает использовать для вероятности пятибалльную шкалу из букв от А до Е. Буква А означает высокую вероятность наступления риска, Е — низкую. Уровень риска обозначают римскими цифрами от I до V по убыванию. Влияние оценивают по затронутому объекту: от недостижения показателей национальной цели до срыва контрольной точки. Рекомендации адресованы национальным, федеральным, ведомственным и региональным проектам — для коммерческой компании они не обязательны.

Третий документ появился недавно: ГОСТ Р 72160-2025 «Управление рисками проектов» введен с 1 апреля 2026 года. Готовой сетки в нем нет. Стандарт описывает последовательность: когда утверждать критерии и как выбирать способ оценки.

Проектный офис компании может перенести из рекомендаций главный приём: шкалу влияния описывают через объекты проекта.

• Высокое — срыв цели или ключевого результата.
• Среднее — сдвиг контрольной точки или перерасход бюджета.
• Низкое — незначительные неудобства внутри команды.

Формулировки «сильно» и «слабо» каждый участник понимает по-своему, а сорванный этап все трактуют одинаково.

22 октября 16:00 МСК Онлайн Бесплатно Онлайн-конференция: От «да» до первого шага Практика тех, кто каждый день доводит до результата дилеров, клиентов и сотрудников. Зарегистрироваться

Критерии до первой оценки: как команда договаривается о шкалах

Договориться о делениях нужно раньше, чем в матрицу внесут риски. ГОСТ Р 72160-2025 обязывает определять критерии риска до оценки. Там же записан порядок работы: оценку риска проводят систематически, итеративно и совместно, с опорой на знания и опыт руководителя проекта и других заинтересованных сторон. Без общих критериев обсуждение превращается в спор о баллах.

Проверку критериев предусматривает и более ранний стандарт. ГОСТ Р 58771-2019 требует проверять черновики матриц: соответствуют ли предложенные матрицей действия отношению организации к риску. И правильно ли пользователи понимают, как применять шкалы. ГОСТ Р ИСО 31000-2019 добавляет, что критерии риска динамичны: их устанавливают в начале процесса оценки и при необходимости пересматривают.

Сами участники рынка считают риск-менеджмент зоной роста. По опросу ADVANTA, он занял второе место с долей 45,1% среди областей знаний, в которых руководители проектного управления хотят стать увереннее. Первое место с близкой долей — у управления изменениями.

Из требований стандартов следует такая калибровка до начала работы:

• Описать каждое деление конкретными событиями. Вместо «высокое влияние» записать, какая цель или контрольная точка сорвется и на сколько сдвинется график.
• Проверить формулировки на уже известных команде рисках. Если участники расходятся в баллах, деления уточняют, прежде чем браться за анализ новых рисков.
• Назначить ответственного за красную зону. Его определяют заранее, а не в момент, когда риск уже наступает.

Какие риски заносить в матрицу проекта в первую очередь

Проектный офис может не составлять перечень рисков с нуля. В исследовании «Современные практики управления проектами 2022–2024» Школы управления СКОЛКОВО респонденты расположили серьезные риски от критических к наименее значимым:

• Ключевые решения по проекту часто и неуправляемо меняются.
• Обязательства по срокам, бюджету и результатам не выполняются.
• Руководство затягивает принятие решений.
• Ответственность в команде не распределена. Неясно, кто и что должен сделать.
• Конфликты между заинтересованными сторонами блокируют принятие решений.

В этом списке нет технических угроз: все пять рисков управленческие, они возникают из договоренностей, обязательств и распределения ролей. Поэтому команда сначала проверяет управленческие риски из этого перечня и оценивает их вероятность у себя, а затем добавляет отраслевые и технические.

В перечень стоит добавить ещё один управленческий риск, связанный с загрузкой команды. Участники проектной команды часто совмещают проектную работу с операционной.

«Другая частая проблема с техническим заданием — перегрузка ключевых сотрудников, которые рассматривают и согласовывают проект с операционной работой. Риск этот настолько распространенный, что его нужно вводить в список обязательных к отработке везде, где участники проектной команды не располагают 100% времени на проект»

Павел Алферов, профессор бизнес-практики Школы управления СКОЛКОВО, 2022 год

Матрица рисков на портфеле: как проектный офис «БАРС Груп» собрал ее на 300+ проектах

На уровне портфеля матрицу применяют вместе с отбором приоритетных проектов. Без такого фокуса проектный офис получает сотни одинаково окрашенных ячеек и не понимает, с чего начинать разбор.

По данным компании «БАРС Груп», ее проектный офис ввел централизованное управление рисками во всех подразделениях. Масштаб задачи: в компании почти 3 000 сотрудников, 300+ активных проектов и 100+ руководителей проектов. Систему собрали из пяти элементов:

• Классификация проектов по 13 критериям. Около 10% проектов получили класс А по важности.
• Предзаполненный типовой реестр рисков в информационной системе управления проектами.
• Качественная оценка каждого риска по матрице «Вероятность / Влияние». Матрица дала два разреза: по приоритетности проектов и по наличию критичных рисков.
• Выборочные разборы рисков с менеджерами приоритетных проектов, где обнаружились критичные риски. Итоги представляли руководству.
• Отдельный перечень для непредвиденных событий, которые уже наступили. Каждый проект с отклонением от базового плана на 5 рабочих дней и больше проектный офис разбирал вместе с руководителем.

Количественную оценку рисков на этом этапе в компании сочли избыточной и отложили.

Внедрение заняло чуть более 3 месяцев. Еще 3 месяца понадобилось, чтобы система заработала устойчиво.

От красной зоны к плану реагирования: что записывать по каждому риску

Красная ячейка сама по себе ничего не решает: матрица только сортирует риски, а команда работает с ними по плану — у каждого риска есть мера, владелец и срок. Состав такого плана два нормативных документа описывают по-разному.

ГОСТ Р ИСО 31000-2019 перечисляет варианты обработки риска:

• Избежать. Не начинать или не продолжать деятельность, из-за которой возникает риск.
• Устранить источник риска.
• Изменить вероятность или последствия.
• Разделить риск с другой стороной. Через аутсорсинг или страхование.
• Удержать. Осознанно оставить риск по обоснованному решению.

Последний вариант отвечает на вопрос о зеленой зоне: оставить риск без мер допустимо, если команда сделала это осознанно и записала обоснование.

Методические рекомендации Минэкономразвития добавляют жесткое ограничение: меры реагирования разрабатывают по каждому риску, который прошел оценку, и плановый срок исполнения меры назначают не более чем на 60 календарных дней.

Дисциплину «оценка, мера, владелец, срок» наглядно показывает пример из корпоративного риск-менеджмента. В АО «ПРОГРЕСС», производителе детского питания, владелец риска в течение 5 дней после выявления заводит паспорт риска с оценкой вероятности и последствий, планом мер и ответственными исполнителями. По данным компании, в системе проработано более 100 паспортов рисков по 11 категориям и разработано 196 мер по снижению риска.

Почему матрица рисков превращается в формальность

Матрица перестает влиять на управление, если после запуска к ней не возвращаются. Риски меняются вместе с объемом работ, составом команды и графиком, а документ не меняется. Формальную матрицу видно по четырем признакам:

• Матрицу заполнили при запуске и с тех пор не открывали. У рисков нет даты очередного пересмотра.
• Критерии не менялись при смене объема работ. В градациях влияния описан проект, которого уже нет.
• Красная зона не доходит до повестки руководителей. О критических рисках знает только тот, кто ведет матрицу.
• У мер нет владельца и срока. Ячейка так и стоит красной из отчета в отчет.

Отдачу от работы с рисками участники рынка замечают реже, чем экономию затрат. По опросу ADVANTA, снижение вероятности и тяжести рисков среди эффектов проектного управления отметили 14,7% респондентов. Сокращение общих затрат на проект назвали 27,9%, уменьшение числа провальных проектов — 20,8%.

Матрицу пересматривают регулярно, так же как отчет по графику. Баллы обновляют на каждой контрольной точке и при изменении объема работ, одновременно проверяют и критерии.

«Большая ошибка — создавать её один раз в начале проекта и больше к ней не возвращаться. Без регулярного мониторинга и актуализации матрица превращается в формальный документ, который никак не влияет на управление проектом»

Александр Алексеев, руководитель отдела аналитики SimbirSoft

Ограничения матрицы рисков, которые признает сам стандарт

Даже откалиброванная матрица искажает сравнение рисков: грубые деления стирают различия между ними. ГОСТ Р 58771-2019 прямо перечисляет слабые места метода:

• Субъективность. Баллы одного и того же риска у разных экспертов расходятся.
• Качество делений. Достоверность оценок зависит от того, насколько хорошо разработаны и откалиброваны шкалы.
• Невозможность агрегировать риски. Нельзя сказать, равен ли набор низких рисков одному риску среднего уровня.
• Требование к опыту. Обоснованную матрицу разрабатывают специалисты со значительным опытом.

Новый стандарт для проектов идет дальше: разработчики ГОСТ Р 72160-2025 пишут, что большинству существующих стандартизированных моделей и методов оценки риска не хватает достоверности для принятия обоснованных решений.

Матрицу с количественным подходом сравнили исследователи из Университета Вальядолида в Испании. В статье 2024 года в научном журнале группы Nature они перечисляют главные проблемы матриц: матрицы бывают неточны при сравнении рисков и иногда дают похожий рейтинг рискам с большой разницей в количественных характеристиках. Сравнение авторы провели на учебном проекте: приоритизация дала другой порядок рисков. Вывод сделан на одном примере, долю ошибок авторы не приводят.

Когда матрицы рисков достаточно, а когда нужна количественная оценка

Специалисты по риск-менеджменту оценивают матрицу жестче стандарта. Сомнение у них вызывает сама конструкция из двух осей с грубыми делениями: по ней трудно отличить риск из красной зоны от риска из желтой.

«Вот и риски, которые на карте рисков попадают в красную и желтую зоны, нередко путают между собой из‑за ошибок методологии, и если ущерб и вероятность поменять местами, результат будет другим. Уровень ошибки, который добавляет эта методология, слишком высокий, чтобы всерьез полагаться на ее результат»

Алексей Сидоренко, основатель портала risk-academy.ru, 2020 год

Отказываться от матрицы при этом не обязательно. Она служит рабочим фильтром для портфеля: дает команде общий язык и показывает, какие риски выносить на решение руководителя. Такую роль ей отводит и ГОСТ Р 58771-2019.

Если риск и после мер стоит в красной зоне или проект имеет высший приоритет, оценку по матрице проверяют количественным расчетом: последствия считают в деньгах и времени. К такому порядку подталкивает и ГОСТ Р 72160-2025: метод оценки подбирают под нужный для решения класс достоверности. Матрица рисков отбирает приоритетные риски, а точность по ним дает расчет.