矩陣使用指南

從決定和範圍開始

矩陣用於組織有關風險的記錄討論。它不能預測危機，也不能將集體評估轉化為科學衡量。要使用它，請定義活動、相關站點或產品、接觸的受眾、時間範圍和準備決策。在這個集合中，建議的演練期限是十二個月；這是一項需要調整的協議，而不是監管期限。

ISO 31000 系列提供了通用風險管理框架。該集合中的矩陣和閾值是原始編輯建議：它們不復制 ISO 規定的網格。部門訊息來源闡明瞭所提到的問題；他們不驗證此處提出的機率或假設場景。

描述一個特定事件、可能產生該事件的條件及其可能的後果。像聲譽風險這樣的通用公式是不夠的。例如，可操作的措辭表明，由於經銷商聯絡方式不完整，安全資訊可能無法到達受影響的使用者。這種表述使得識別行動和成就證明成為可能。

考慮對人員、運營、環境、適用義務和信任的影響。在這些例子中，重力保留了那些看似合理的維度中最嚴格的維度。它沒有取人為損失和商業成本之間的平均值。該協議必須與業務經理和相關專家討論。

對於機率，說明性網格從 1（例外但可信）到 5（非常頻繁或重複出現）。中間級別為 2，不太可能，3，似是而非，4，可能。這些術語只有在具有共同的視野和正當理由的情況下才有意義。它們與通用百分比不對應。缺失的資料不應該被低分默默地取代。

對於嚴重程度，1 表示影響較小且容易逆轉； 2 效果有限，需要修正； 3 對公眾的活動或體驗造成重大影響； 4 具有持久影響的重大影響； 5 嚴重影響，尤其是在可能造成嚴重人類傷害或重大中斷的情況下。每個組織的精確操作閾值仍有待定義。

示例評分為 P × G，取值為1至25：1—4為低，5—9為中等，10—15為高，16—25為危急。這些區間是本系列的教學約定，並非法定閾值。嚴重程度為5的情景，無論乘積是多少，都需要優先關注；較低的發生可能性並不能抵消潛在的嚴重後果。

序數分數的乘積不是預期的損失或計算的機率。具有相同分數的兩個場景可能需要截然不同的決策。新增對進化速度、可檢測性、依賴性、不確定性和響應性的討論。當事件啟動時，事實和操作閾值必須指導升級；你不應該等待重新計算機率。

首先在考慮採取措施之前評估風險，然後描述已經到位的保護措施和額外的措施。處理的目的可能是避免該活動、減少可能性或後果、分擔某些合同後果或接受規定許可權下的剩餘風險。財政轉移並不能免除保護人員或告知的責任。

殘餘風險必須根據實際實施和驗證的措施重新評估。已宣佈的行動並不能證明自動降低評級是合理的。因此，該集合中的矩陣不提供虛構的殘差分數。對於每種情況，指定負責人、截止日期、預期證據和審查日期；這些元素必須在使用者組織中定義。

該矩陣應指定觸發審計、向管理層發出警報或啟動危機管理團隊的訊號。當常用工具不可用時，提供替代品和可用的渠道。安全決策、通知義務以及醫療或技術指導是主管管理者的責任：編輯網格無法為他們確定這些內容。

對於每次演講，區分既定事實、假設、未知、決定的措施和下一個資訊點。內部團隊、合作伙伴和公共渠道之間的資訊必須保持一致。翻譯必須保留保留和確定性程度；歐洲或美國的來源仍然位於其上下文中，並且不會僅僅透過改變語言就成為當地的規則。

一個有用的演練會引入矛盾的資訊、經理的缺席以及理解上的困難。它衡量利用部分資訊做出決定、糾正版本並接觸相關受眾的能力。撰寫新聞稿的速度只是測試的一部分。

演練結束後，記錄差異、驗證更正並審查評級。保留版本以瞭解分數或閾值發生變化的原因。當活動、合作伙伴、風險或知識發生變化時，必須重新檢查該矩陣。它的價值在於這種經常性的使用，而不是盒子的顏色。

來源查閱日期：2026年10月9日。文中示例均為假設，不代表客戶專案。