リスクマトリクス フレームワーク
発生確率と影響度の2軸でリスクを格子状に評価し、優先度と対策を決める手法。 高確率×高影響を最優先で潰し計画の頓挫を防ぐ。
発生確率×影響度で点数を付け、右上（高×高）から潰す。左下は受容して監視にとどめる。
対応は「回避・低減・移転・受容」の4択。手を打てないものはコンティンジェンシープラン（発生後の代替計画）へ回す。
用途
アクションプランには必ず「計画を狂わせる要因」が潜みます。 しかしリスクを箇条書きで並べただけでは、どれから手を打つべきか判断できず、結局すべて後回しになりがちです。 リスクマトリクスは、洗い出したリスクを「発生確率（起きやすさ）」と「影響度（起きたときの打撃の大きさ）」の2軸に配置し、格子（マトリクス）上の位置で優先順位を可視化するための手法です。 目的は主に3つあります。 第一に、限られた時間と人手を「発生確率が高く、かつ影響が大きい」右上のリスクに集中させ、対策の空回りを防ぐこと。 第二に、経営者・現場・投資家など立場の異なる関係者の間で「どれが最も危険か」の認識を1枚の図でそろえること。 第三に、優先度の高いリスクについて「発生したらどう動くか」をあらかじめ決めておく（コンティンジェンシープランへ橋渡しする）ことです。 戦略ファシリテーターの5プロセスでは、④アクションプラン（Step4）の「リスク管理」工程で使います。 優先施策・マイルストーン・KPIを固めた後、その計画を守り切るための最後の防波堤として位置づけられます。
使い方
- リスクを洗い出す：確定したアクションプラン（優先施策・マイルストーン・KPI）ごとに、達成を妨げる要因を「人・モノ・カネ・情報・外部環境」の観点でMECEに列挙する。 1つの粒度は『主力エンジニアの離職』のように主語と事象が特定できる具体レベルまで落とす。
- 2軸で評価する：各リスクに『発生確率（高・中・低＝3・2・1）』と『影響度（高・中・低＝3・2・1）』を付ける。 影響度は売上・キャッシュ・納期・信用のうち最も大きい打撃で判断し、感覚でなく金額やKPIへの跳ね返りで根拠づける。
- 格子に配置し優先度を出す：発生確率×影響度でスコア化（1〜9）し、右上（スコア6以上＝高×高付近）を最優先、左下（スコア1〜2）を受容・監視に振り分ける。 同点は影響度の大きい方を上位にする。
- 優先度の高い順に対策を決める：上位リスクから『回避・低減・移転・受容』の4択で対応方針を選び、担当者と着手期限を紐づける。 ここで手を打てないものはコンティンジェンシープラン（発生後の代替計画）へ回す。
- 定期的に更新する：四半期や重要マイルストーンごとに再評価し、対策で下がったリスクは格子の左下へ、新たに顕在化したリスクは追加する。 リスクマトリクスは一度作って終わりの静的な表ではなく、更新前提の生きた管理台帳として扱う。
適用例
B2B向けSaaSを提供する従業員18名のスタートアップ（ARR6,000万円＝MRR500万円/月）が、①〜④のプロセスを経て「1年でARRを1.5倍」というアクションプランを確定した後、Step4のリスク管理でリスクマトリクスを作った例です。 発生確率と影響度をそれぞれ高3・中2・低1で採点し、掛け算でスコア化しました。 - 主力エンジニア1名の離職で開発が停止：発生確率 中(2)×影響度 高(3)＝6 → 最優先 - ARR比15%（＝年900万円）を占める大口顧客1社の解約：中(2)×高(3)＝6 → 最優先 - 競合の値下げで新規商談の受注率が低下：高(3)×中(2)＝6 → 最優先 - AWS障害でSLA未達となり返金が発生：低(1)×高(3)＝3 → 監視 - 個人情報インシデント：低(1)×高(3)＝3 → 監視・保険で移転 スコア6の3件を右上（最優先）と判定し、対策を紐づけました。 エンジニア離職には「主要モジュールのペア開発＋ドキュメント化を2か月で完了（低減）」、大口顧客解約には「四半期ごとの利用状況レビューと契約前倒し更新の提案（低減）」、競合値下げには「価格でなく導入支援の手厚さで差別化する提案資料を1か月で整備（低減）」を割り当て、各担当と期限を決定。 監視カテゴリの2件は「解約という最悪ケースが起きたら」ではなく発生後の対応をコンティンジェンシープランへ送りました。 結果、漠然と5件を心配する状態から「まず潰すべき3件」に絞り込め、限られた18名の工数を最も危険な領域へ集中させられました。
よくある誤解・つまずき
- 「発生確率が低いリスクは無視してよい」という誤解。 確率が低くても影響度が致命的（事業停止・信用失墜レベル）なリスクは、確率で切り捨てず『移転（保険・契約条項）』や最低限の備えを検討すべき領域です。 マトリクスの左上（低確率×高影響）を安易に放置すると、一度起きたときに会社が傾きます。
- 「高・中・低の3段階を感覚で付ければ完成」という誤解。 評価の根拠を金額やKPIへの跳ね返りで言語化しないと、人によって『中』の基準がバラバラになり、優先順位が説得力を失います。 特に影響度は『いくらの損失か・何日遅れるか』まで具体化して初めて関係者の合意が取れます。
- 「表を作ること自体が対策」という誤解。 リスクマトリクスは優先順位を決めるための道具であって、対策そのものではありません。 マス目を埋めて満足し、担当者・期限・具体的な打ち手（回避/低減/移転/受容）まで落とし込まないと、いざ発生したときに誰も動けません。
使うタイミング
使うべきなのは、アクションプランの中身（優先施策・マイルストーン・KPI）が具体的に固まった後です。 早すぎる失敗の典型は、まだ戦略方針すら定まっていない企画段階で「起こりうるリスク」を並べ始めること。 守るべき計画が存在しないため評価軸が空回りし、抽象的な不安の羅列で終わります。 一方、遅すぎる失敗は、施策を走らせて問題が顕在化してから慌てて作ること。 事後の火消しになり、本来の目的である「先回りして優先度を決め、備える」効果が失われます。 リスクマトリクスは実行直前、いわば計画にゴーサインを出す直前の最終チェックとして使うのが最も効果的です。 また、リスクが3〜4件しかない小規模な計画では、2軸の格子化まではせず箇条書きと対策の対応表で十分なこともあります。 項目数が増え、優先順位の判断が人によって割れ始めたときこそ、マトリクスの真価が出ます。