リスクヒートマップの作り方と運用｜確率×影響度マトリクスで危険なリスクを一目で可視化する

※ 本記事はアフィリエイト広告（Amazon アソシエイト等）を含みます

「リスクを 20 個も洗い出したのに、いざステコミで見せたら『で、結局どれが一番ヤバいの？』と聞かれて言葉に詰まった」——リスクの一覧表（リスク登録簿）を作ったことがある人なら、一度は経験する場面ではないでしょうか。表に確率も影響度も書いてあるのに、数字が縦に並んでいるだけでは、どこに危険が集中しているかが直感的に伝わりません。

結論から言えば、この「一覧では危険が見えない」問題を解決するのが リスクヒートマップ（リスクマトリクス） です。リスクヒートマップとは、発生確率を縦軸（または横軸）、影響度をもう一方の軸にとったマス目の上に、各リスクを配置し、危険度を赤・黄・緑で色分けした図のこと。数字の羅列を「色の濃淡」に変換することで、赤いエリアに固まっているリスクから手をつければいいと、開いた瞬間に判断できるようになります。

なぜ色分けが効くのか。理由はシンプルで、人間は数字の大小を読み取るより、色の違いを認識するほうが圧倒的に速いからです。「確率4・影響5」と書かれても一瞬考えますが、真っ赤なマスに置かれたリスクは考える前に「危ない」と分かる。この記事では、実務でそのまま使える 確率×影響度の5×5マトリクスの作り方5ステップ、赤・黄・緑の色分け閾値、そして多くの人が陥る掛け算スコアの「定量化の罠」と、月次で回す更新サイクルまでを、具体的に解説します。

そもそもリスクヒートマップ（リスクマトリクス）とは？

リスクヒートマップは、発生確率（起こりやすさ） と 影響度（起きたときの大きさ） の2軸でマス目を作り、その上に各リスクを配置して危険度を色で表現した図です。「発生確率・影響度マトリックス」「リスクマトリクス」「リスク評価マトリックス」とも呼ばれ、いずれもほぼ同じものを指します。PMBOK でもリスクの定性的分析の代表的な手法として位置づけられています。

一覧表（リスク登録簿）との違いは、目的にあります。登録簿は「リスクを漏れなく記録し、対応状況を追う」ための台帳。一方ヒートマップは「どのリスクに資源を集中すべきかを一目で判断する」ための可視化ツールです。同じ確率・影響度のデータを使っても、縦に並べる（登録簿）か、マス目に置く（ヒートマップ）かで、伝わり方がまったく変わります。

リスクヒートマップの作り方5ステップ

ここからが本題です。実務でそのまま使える5×5マトリクスの作り方を、5ステップで示します。

1. リスクを洗い出す：ブレインストーミング・過去案件の教訓・チェックリスト等で、プロジェクトのリスクを列挙する（この工程は登録簿づくりと共通）
2. 評価軸の段階を決める：発生確率と影響度を、それぞれ何段階にするか決める。まずは5段階（1〜5）が標準。小規模なら3段階でも可
3. 各段階の「基準」を言葉で定義する：「確率5＝ほぼ確実に起こる／3＝五分五分／1＝めったに起きない」のように、数字と言葉の対応表をチームで合意する。ここが評価のブレを防ぐ生命線
4. 各リスクをマス目に配置する：リスクごとに（確率, 影響度）の座標を決め、対応するマスに置く。同じマスに複数リスクが入ってもよい
5. 色分けして危険度を可視化する：リスクスコア（確率×影響度）に応じてマスを赤・黄・緑に塗り分ける。赤いマスに置かれたリスクから対処する

赤・黄・緑の色分け閾値とマトリクスの見方

色分けの基準は、リスクスコア＝発生確率×影響度で機械的に決めます。5×5マトリクスなら、スコアは最小1（1×1）から最大25（5×5）まで。代表的な閾値は次のとおりです。

色	リスクスコア	意味	対応の方針
🟥 赤（高）	15〜25	発生も影響も大きい最優先リスク	直ちに対応策を立て、対応中で監視
🟨 黄（中）	8〜14	無視できない中程度のリスク	対応策を準備し、変化を注視する
🟩 緑（低）	1〜7	受容しやすい軽微なリスク	定期モニタリングで様子を見る

この閾値で5×5マトリクスを塗ると、次のようになります。縦＝影響度（上ほど大）、横＝発生確率（右ほど高）。各マスの数字はリスクスコア（確率×影響度）です。

影響度＼確率	1	2	3	4	5
5	5 🟩	10 🟨	15 🟥	20 🟥	25 🟥
4	4 🟩	8 🟨	12 🟨	16 🟥	20 🟥
3	3 🟩	6 🟩	9 🟨	12 🟨	15 🟥
2	2 🟩	4 🟩	6 🟩	8 🟨	10 🟨
1	1 🟩	2 🟩	3 🟩	4 🟩	5 🟩

見方はシンプルです。右上（高確率×高影響）ほど赤く、左下（低確率×低影響）ほど緑になります。ヒートマップを開いたら、まず右上の赤いマスに置かれたリスクを探し、そこから対処する——これがヒートマップの使い方の核心です。

リスクヒートマップの記入例（Web システム導入プロジェクト）

言葉だけではイメージしにくいので、Web システム導入プロジェクトを例に、リスクを配置してみます。まず登録簿から確率・影響度・スコアを拾い、色を判定します。

ID	リスク事象（原因→事象→影響）	確率	影響	スコア	色
R-01	キーSEが兼務のため設計が遅れ、後続テストが圧迫	4	5	20	🟥 赤
R-02	外部API仕様が未確定のため実装手戻りが発生	3	4	12	🟨 黄
R-03	繁忙期リリースで問い合わせが集中し初期対応が遅延	3	3	9	🟨 黄
R-04	要件追加が続きスコープが膨張し予算超過	2	4	8	🟨 黄
R-05	検証環境の準備が軽微に遅れる	2	2	4	🟩 緑

これをヒートマップ上に置くと、R-01 が右上の赤いエリアに単独で浮かび上がり、R-02〜R-04 が中央の黄色エリアに固まり、R-05 は左下の緑に沈みます。ステコミで「今このプロジェクトで一番危ないのは R-01 の要員リスクで、ここに手を打ちます」と、図を指さすだけで説明できる——これが一覧表にはできない、ヒートマップの強みです。

なお、配置したリスクの対応策を検討する際の関係者の洗い出しは「ステークホルダーマネジメント」、リスクが現実化して”すでに起きた事実”になった後の追い方は「課題管理表（Issue Log）の運用方法」も参考になります。

掛け算スコアの「定量化の罠」に注意する

ここで、リスクヒートマップを使ううえで必ず知っておくべき限界に触れます。確率×影響度の掛け算は直感的で便利ですが、万能の物差しではありません。

もう一つの罠は、マトリクスを作っただけで満足してしまうことです。色鮮やかな図が完成すると達成感がありますが、ヒートマップは貼って終わりではなく、更新して初めて価値が出るツールです。次のセクションで、その更新サイクルを説明します。

• 同スコアでも中身を見る：スコア12が2つあっても、「高確率×中影響」と「中確率×高影響」では打ち手が違う。数字だけで並べず、事象の中身で最終判断する
• 境界のリスクは慎重に：スコア14（黄）と15（赤）は色こそ違えど危険度はほぼ同じ。閾値ちょうどのリスクは色に頼りすぎない
• 粒度をそろえる：巨大なリスクと些細なリスクを同じ土俵で比べると、マトリクスがゆがむ。リスクの粒度を近づけてから配置する

リスクヒートマップを回す月次更新サイクル

リスクヒートマップは、作った瞬間から古くなっていく図です。プロジェクトが進めば、確率が上がるリスクもあれば、対応が効いて緑に下がるリスクもある。だからこそ、更新を”気が向いたとき”ではなく定例に組み込むことが決定的に重要です。

更新サイクルは、次の流れで回すとシンプルです。

1. 登録簿を更新する：まずリスク登録簿側で確率・影響度・ステータスを最新化する（ヒートマップは登録簿の出力なので、入力を先に直す）
2. 位置を動かす：確率・影響度が変わったリスクを、新しい座標のマスへ移動する
3. 色の変化を確認する：赤→黄→緑（改善）、緑→黄→赤（悪化）の動きを追い、赤に上がったリスクを重点対応にする
4. 比較して共有する：前月のヒートマップと並べ、「赤が3個→1個に減った」のように推移でステークホルダーに報告する

リスクヒートマップを使うメリット・デメリット

デメリットの多くは「掛け算を過信する」「基準がぶれる」「更新しない」に集約されます。裏を返せば、スコアは出発点と割り切り、評価基準を固定し、月次で塗り直す——この3点さえ守れば、ヒートマップはリスクを見せる強力な武器になります。

リスクヒートマップでよくある失敗5選

1. 評価基準を決めずに配置する：「確率3」の意味が人によって違うとマス目全体が信用できなくなる。数字と言葉の対応表を先に合意する。
2. 掛け算スコアを絶対視する：同じスコアでも「低確率×大影響」と「中確率×中影響」は打ち手が違う。スコアは出発点、最終判断は人が下す。
3. 作って更新しない：色鮮やかな図が完成すると満足してしまい放置される。月次の塗り直しを定例に固定する。
4. リスクの粒度がバラバラ：巨大なリスクと些細なリスクを同じマトリクスに混ぜると比較がゆがむ。粒度をそろえてから配置する。
5. 登録簿と二重管理して食い違う：ヒートマップと登録簿を別々に手で直すと数字がずれる。登録簿を入力、ヒートマップを出力と決め、更新は登録簿から始める。

よくある質問（FAQ）

Q. リスクヒートマップは何で作ればいいですか？ A. 小〜中規模なら Excel／Google スプレッドシートで十分です。リスクスコア列に =確率×影響度 の数式を入れ、条件付き書式で「15以上=赤・8〜14=黄・7以下=緑」を設定すれば、更新するたび色が自動で変わる簡易ヒートマップになります。より本格的なマトリクス図が必要なら、散布図でプロットするか、Miro・Smartsheet 等のテンプレートを使う手もあります。

Q. マトリクスは5×5でないとダメですか？ A. いいえ。3×3・4×4・5×5 のいずれでも構いません。段階を細かくするほど精緻に見えますが、その分「確率3と4の違い」を評価するのが難しくなります。迷ったら、まず5×5で始めるか、シンプルに3×3から入り、チームが評価に慣れてから調整してください。大切なのは段階数より、全員が同じ基準で配置できることです。

Q. リスク登録簿とリスクヒートマップはどう使い分けますか？ A. 登録簿＝データを貯める台帳、ヒートマップ＝データを見せる図です。登録簿にはリスクID・事象・対応策・オーナー・ステータスまで詳細を記録し、そのうち確率・影響度の2項目をマス目に可視化したものがヒートマップです。日々の管理は登録簿、俯瞰と報告はヒートマップ、と役割で分けます。

Q. 確率×影響度のスコアだけでリスクの順位を決めていいですか？ A. スコアは優先順位づけの出発点として非常に有効ですが、それだけで決めるのは危険です。同じスコアでも「低確率だが起きたら致命的」なリスクは、単純な平均的リスクより慎重に扱うべき場合があります。スコアで大まかに並べ、上位や境界のリスクは中身を見て最終判断するのが実務的です。

Q. どのくらいの頻度で更新すればいいですか？ A. リスク登録簿の更新は週次が目安ですが、ヒートマップの塗り直しは月次または各マイルストーンの節目で十分です。リスクの相対的な位置関係は週単位では大きく動かないことが多いため。細かい更新は登録簿で週次、全体像の俯瞰は月次でヒートマップ、と頻度を分けると続きます。

まとめ｜リスクヒートマップは「色分け」と「更新」で決まる

リスクヒートマップ（リスクマトリクス）を機能させるコツは、次の3点に集約されます。

1. 軸と基準を決める：発生確率×影響度の5×5（または3×3）マトリクスを作り、各段階の意味を数字と言葉の対応表でチームに合意する
2. スコアで色分けする：確率×影響度のスコアに応じて赤（15〜）・黄（8〜14）・緑（〜7）に塗り、右上の赤いリスクから対処する
3. 月次で塗り直す：登録簿を入力・ヒートマップを出力と決め、月次レビューで位置を動かし、赤の増減で健全性の推移を追う

リスクヒートマップの本質は、**リスクを”記録する”ことではなく、記録したリスクの危険度を”一目で見えるように翻訳する”**ことにあります。そして最大の勘所は、掛け算スコアを万能の答えと勘違いせず、優先順位づけの出発点として使い、最終判断は人が下すこと。まずは今日、リスク登録簿から確率・影響度の高い4〜5個を拾い、上の記入例のように5×5マトリクスへ置いてみてください。次の月次レビューで塗り直しを回し始めれば、「どれがヤバいのか分からない」がプロジェクトから消えていくはずです。

リスクを追い続ける台帳そのものの作り方は「リスク登録簿（リスクレジスター）テンプレートと使い方」で、リスク管理全体の識別→分析→対応→監視の流れは「リスクマネジメントの手順」で詳しく解説しています。あわせてどうぞ。