Risk Matrix: Template 5x5, Contoh & Cara Menilai Risiko

Oleh Tara Minh · Diperbarui 6 Oktober 2026

Risk matrix adalah grid yang menilai setiap risiko berdasarkan seberapa besar kemungkinan terjadinya (probabilitas) dan seberapa parah dampaknya jika benar-benar terjadi (dampak), lalu mengalikan keduanya menjadi satu skor prioritas. Matriks 5x5 menghasilkan skor 1 sampai 25, sehingga Anda bisa memperingkat risiko, menetapkan penanggung jawab, dan memutuskan apa yang harus diperbaiki lebih dulu.

Project manager, risk officer, dan eksekutif menggunakannya sebelum melakukan hal yang berdampak besar, mulai dari peluncuran produk hingga pergantian pemasok. Panduan ini membahas cara kerjanya, perbedaannya dengan risk register, heat map, dan FMEA, kapan memilih 3x3, 4x4, atau 5x5, template yang bisa disalin, serta contoh nyata per fungsi.

Apa Itu Risk Matrix?

Risk matrix (disebut juga probability and impact matrix atau risk assessment matrix) adalah grid dua dimensi yang memetakan risiko berdasarkan kemungkinan terjadinya (likelihood) pada satu sumbu dan tingkat keparahan dampaknya pada sumbu lainnya. Setiap sel dalam grid mewakili skor risiko gabungan. Semakin tinggi skornya, semakin mendesak respons yang diperlukan.

Rumus intinya singkat:

Skor Risiko = Probabilitas x Dampak

Kekuatannya terletak pada penerapan yang sama untuk setiap risiko, sehingga keterlambatan rantai pasok dan kebocoran data sama-sama menjadi angka yang bisa Anda urutkan, beri kode warna, dan tetapkan penanggung jawabnya. Standar umum untuk disiplin ini, ISO 31000, memandang manajemen risiko sebagai proses mengidentifikasi, menganalisis, mengevaluasi, dan menangani risiko, dan standar tersebut menyerahkan pilihan teknik penilaian kepada masing-masing organisasi. Itulah sebabnya skala matriks sangat bervariasi dari satu perusahaan ke perusahaan lain.

Matriks ini tidak menggantikan penilaian manusia. Ia menyusunnya menjadi terstruktur. Grid ini menunjukkan ke mana Anda harus melihat lebih dulu; tim Anda yang memutuskan apa yang harus dilakukan terhadapnya.

Fakta Penting

• Health and Safety Executive (HSE) Inggris menjelaskan bahwa menilai risiko berarti memutuskan seberapa besar kemungkinan seseorang bisa terluka dan seberapa serius dampaknya. Kedua pertanyaan itu persis sama dengan dua sumbu pada risk matrix.
• HSE membingkai manajemen risiko dalam lima langkah: mengidentifikasi bahaya, menilai risiko, mengendalikan risiko, mencatat temuan Anda, dan meninjau kembali pengendalian. Matriks berada di langkah kedua dan menjadi masukan bagi langkah ketiga.
• HSE menyatakan bahwa pemberi kerja dengan lima orang atau lebih wajib mencatat temuan pentingnya, itulah sebabnya matriks yang bertanggal dan memiliki versi juga berfungsi sebagai jejak audit.
• Zona skor adalah konvensi, bukan hukum. Rentang 1-4 / 5-9 / 10-16 / 17-25 yang digunakan dalam panduan ini adalah default praktis untuk grid 5x5. Sesuaikan dengan toleransi risiko Anda sendiri, lalu pertahankan agar tetap tetap.

Risk Matrix vs Risk Register vs Risk Heat Map vs FMEA

Keempat istilah ini sering dipakai secara bergantian, padahal seharusnya tidak. Masing-masing menjawab pertanyaan yang berbeda dan paling efektif digunakan sebagai satu set.

Dalam praktiknya, risk register menyimpan daftarnya, matriks menilai setiap entri, heat map menunjukkan hasilnya kepada pimpinan, dan FMEA menggali lebih dalam mode kegagalan teknis. FMEA menambahkan faktor ketiga, yaitu deteksi (seberapa besar kemungkinan Anda menangkap masalah sebelum menimbulkan kerugian), yang diabaikan oleh matriks probabilitas dan dampak. Jika risikonya adalah "sesuatu mungkin rusak dan kita tidak menyadarinya," gunakan FMEA. Jika risikonya adalah "sesuatu mungkin menimpa proyek," mulailah dengan matriks.

Cara Kerja Risk Matrix

Matriks ini memiliki dua sumbu. Probabilitas (atau likelihood) berjalan sepanjang satu sumbu, biasanya vertikal. Dampak (atau konsekuensi) berjalan sepanjang sumbu lainnya, biasanya horizontal. Setiap sumbu dibagi menjadi tingkat penilaian: tiga tingkat untuk matriks 3x3, lima untuk matriks 5x5.

Skala probabilitas

Rentang persentase ini adalah titik awal yang umum. Kalibrasikan dengan proyek Anda sendiri.

Skala dampak

Zona skor risiko (grid 5x5)

Kalikan probabilitas dengan dampak untuk mendapatkan skor risiko (1 sampai 25). Setiap sel di bawah ini menunjukkan skor beserta zonanya (L = Rendah, M = Sedang, H = Tinggi, C = Kritis).

Zona skor:

• 1-4 (Rendah): Pantau; tidak diperlukan tindakan segera
• 5-9 (Sedang): Tetapkan penanggung jawab; rencanakan respons namun bisa diterima
• 10-16 (Tinggi): Kelola secara aktif; mitigasi diperlukan sebelum proyek berlanjut
• 17-25 (Kritis): Eskalasi segera; mungkin memerlukan penghentian atau perancangan ulang proyek

Satu kelemahan yang sudah dikenal dari perkalian dua skala ordinal: risiko yang berbeda bisa mendapat angka yang sama. Risiko katastrofik yang jarang terjadi (1 x 5 = 5) mendapat skor yang sama dengan risiko sepele yang hampir pasti terjadi (5 x 1 = 5). Tambahkan aturan override agar perhitungan tidak menyembunyikan risiko yang berbahaya: setiap risiko dengan dampak 5 ditinjau oleh penanggung jawab senior, apa pun skornya.

Risk Matrix 3x3 vs 4x4 vs 5x5

Pertanyaan paling umum adalah berapa tingkat yang dipakai per sumbu. Ketiga ukuran berfungsi baik. Pilihan yang tepat tergantung pada kompleksitas proyek Anda dan seberapa besar detail penilaian yang bisa dipertahankan tim tanpa berdebat apakah sesuatu bernilai 3 atau 4.

Cara memilih:

• Pilih 3x3 untuk pemindaian awal, audiens non-spesialis, atau kurang dari sekitar 15 risiko.
• Pilih 4x4 ketika tim Anda terus memberi nilai tengah untuk semuanya. Jumlah tingkat yang genap tidak memiliki nilai tengah, sehingga orang harus memilih sisi.
• Pilih 5x5 ketika Anda perlu membedakan probabilitas 20% dari 40%, ketika auditor atau regulator akan membaca hasilnya, atau ketika proyeknya cukup besar sehingga puluhan risiko bersaing untuk anggaran mitigasi yang sama.

Apa pun pilihan Anda, jangan ubah ukurannya di tengah proyek, atau garis tren menjadi tidak bermakna.

Cara Membuat Risk Matrix

Membangun matriks adalah disiplin lima bagian: kalibrasi kedua skala, identifikasi risiko, nilai secara konsisten, tetapkan ambang batas tindakan, dan tetapkan kepemilikan.

Langkah 1: Definisikan tingkat probabilitas Anda

Tuliskan apa arti sebenarnya dari setiap penilaian probabilitas untuk proyek Anda. "Cukup mungkin" berarti hal yang berbeda pada sprint dua minggu dibandingkan program infrastruktur tiga tahun. Kaitkan setiap tingkat dengan rentang persentase dan, jika memungkinkan, titik referensi historis yang dikenali tim Anda.

Langkah 2: Definisikan tingkat dampak Anda

Lakukan hal yang sama untuk dampak. Petakan setiap tingkat ke konsekuensi nyata: berapa hari keterlambatan jadwal, ambang batas pembengkakan biaya berapa, hasil kualitas atau regulasi seperti apa. Acuan yang konkret mengurangi penyimpangan subjektif ketika orang yang berbeda menilai risiko yang sama.

Langkah 3: Identifikasi dan daftar risiko Anda

Kumpulkan risiko melalui brainstorming terstruktur, wawancara pakar, log lessons-learned, atau latihan pre-mortem. Project charter Anda sering kali memuat daftar awal asumsi dan batasan yang layak diperiksa. Catat setiap risiko dalam risk register sebelum dinilai. Matriks memperingkat risiko; register melacaknya dari waktu ke waktu.

Langkah 4: Nilai setiap risiko

Untuk setiap risiko, tetapkan penilaian probabilitas dan penilaian dampak secara independen. Lakukan ini sebagai kerja kelompok jika memungkinkan. Skor yang menyimpang (outlier) mengungkap asumsi tersembunyi yang layak didiskusikan. Kalikan kedua penilaian tersebut untuk mendapatkan skor risiko, lalu plot risiko tersebut ke dalam grid Anda.

Langkah 5: Tetapkan ambang batas respons dan penanggung jawab

Tentukan sejak awal apa yang diperlukan pada setiap zona skor. Risiko kritis memerlukan penanggung jawab yang jelas, rencana mitigasi, dan tanggal peninjauan sebelum pekerjaan dilanjutkan. Risiko tinggi memerlukan rencana respons dalam waktu seminggu. Risiko sedang masuk ke watch list. Risiko rendah dicatat dan dipantau. Tanpa ambang batas yang telah ditetapkan sebelumnya, matriks hanya menjadi hiasan, bukan alat pengambilan keputusan. RACI matrix adalah cara cepat untuk memastikan setiap risiko memiliki satu penanggung jawab yang akuntabel, bukan tiga orang yang masing-masing mengira orang lain yang menanganinya.

Template Risk Matrix 5x5 Gratis (Salin dan Tempel)

Salin blok di bawah ini ke Excel, Google Sheets, atau Notion, lalu ganti teks contoh dengan definisi Anda sendiri.

Template 1: Grid 5x5 kosong

Isi setiap sel dengan ID risiko yang jatuh di sana (R1, R4, dan seterusnya).

Template 2: Log penilaian

Ini adalah lembar kerja di balik grid. Satu baris per risiko.

Jika Anda membuat log di spreadsheet, letakkan probabilitas di kolom D dan dampak di kolom E, lalu gunakan dua rumus di baris 2 dan salin ke bawah:

• Skor (kolom F): =D2*E2
• Zona (kolom G): =IF(F2>=17,"Critical",IF(F2>=10,"High",IF(F2>=5,"Medium","Low")))

Template 3: Aturan respons

Tempel aturan zona dari bagian zona skor di atas (Kritis, Tinggi, Sedang, Rendah, beserta tindakan yang dipicu masing-masing) di samping grid agar tidak ada yang perlu menebak arti sebuah warna.

Jangan menyalin batas contoh tanpa memikirkannya. Health and Safety Executive Inggris, yang menerbitkan contoh penilaian risiko untuk kantor, toko, gudang, dan pabrik, memperingatkan agar tidak sekadar mencantumkan nama perusahaan Anda pada sebuah contoh, karena contoh itu tidak akan mencerminkan bahaya dan pengendalian yang benar-benar ada di bisnis Anda. Hal yang sama berlaku untuk template. Perlakukan ia sebagai kerangka.

Contoh Risk Matrix: Proyek IT (Migrasi Cloud)

Sebuah perusahaan SaaS sedang memigrasikan basis data pelanggannya ke penyedia cloud baru. Project manager menjalankan workshop risiko dan mengangkat lima risiko utama.

Risiko kehilangan data mendapat skor 10 meskipun probabilitasnya rendah karena dampaknya akan katastrofik. Risiko ini diberi penanggung jawab yang jelas (lead engineering), rencana rollback yang didokumentasikan sebelum migrasi dimulai, dan pemeriksaan status harian selama jendela waktu cutover. Risiko keterlambatan vendor mendapat skor 12 dan diberi klausul kontrak serta vendor cadangan yang sudah diidentifikasi. Tiga risiko lainnya masuk ke watch list dengan check-in dua mingguan.

Contoh Risk Matrix Lainnya per Fungsi

Grid yang sama berfungsi di luar IT. Ketiga contoh ini memakai skala dan zona di atas. Skornya bersifat ilustratif, jadi nilai ulang sesuai definisi Anda sendiri.

Peluncuran produk

Sebuah tim produk berada dua bulan sebelum merilis paket harga baru.

Tidak ada yang "Kritis" di sini, dan itu tidak masalah. Jika risiko tinjauan hukum naik ke probabilitas 4, skornya menjadi 20 dan rencana peluncuran akan berubah.

Risiko vendor dan pemasok

Sebuah produsen bergantung pada satu pemasok untuk komponen utama.

Baris terakhir menunjukkan mengapa aturan override ada: jika hanya melihat skor, kegagalan pemasok tampak sedang, padahal dampaknya katastrofik.

Kesehatan dan keselamatan

Sebuah bisnis distribusi meninjau gudang dan kantor di sebelahnya. Health and Safety Executive Inggris menerbitkan contoh penilaian risiko untuk lingkungan seperti ini, dan menyarankan untuk menengok kembali catatan kecelakaan dan gangguan kesehatan serta berbicara dengan para pekerja untuk menemukan bahaya. Matriks memperingkat apa yang Anda temukan.

Dalam pekerjaan keselamatan, matriks adalah alat bantu prioritisasi, bukan pembelaan hukum. HSE mengharapkan Anda melakukan apa yang "masuk akal dan praktis dilakukan" (reasonably practicable), yaitu menyeimbangkan tingkat risiko dengan uang, waktu, atau kerepotan yang diperlukan untuk mengendalikannya. Skor memberi tahu Anda di mana upaya itu harus dikeluarkan lebih dulu.

Manfaat Risk Matrix

• Kosakata bersama. Seorang developer, kepala keuangan, dan seorang eksekutif bisa melihat sel yang sama dan sepakat tentang artinya.
• Prioritisasi dalam skala besar. Dengan 30 atau 40 risiko yang teridentifikasi, Anda tidak bisa menindaklanjuti semuanya secara setara. Matriks memaksa terciptanya peringkat.
• Komunikasi dengan stakeholder. Zona berkode warna jauh lebih mudah dibaca dalam presentasi steering committee dibandingkan tabel angka mentah.
• Jejak audit. Matriks yang bertanggal dan memiliki versi memberi regulator dan sponsor bukti bahwa risiko telah dinilai secara formal. Di industri farmasi, konstruksi, dan keuangan, jejak ini sering kali wajib ada.

Do dan Don't pada Risk Matrix

Do

• Definisikan setiap tingkat secara tertulis. Lampirkan rentang persentase atau contoh konkret pada setiap tingkat probabilitas, dan acuan hari, dolar, atau hasil pada setiap tingkat dampak.
• Nilai secara independen, lalu bandingkan. Minta setiap orang menuliskan angka sebelum diskusi dimulai. Selisih di antara angka-angka itulah tempat percakapan yang berguna muncul.
• Tetapkan satu penanggung jawab per risiko. Risiko tanpa nama seseorang di sampingnya tidak punya penanggung jawab, apa pun yang tertulis di register.
• Tentukan di awal apa yang dipicu setiap zona. Putuskan responsnya sebelum Anda melihat skor, agar tidak ada yang menawar sel merah menjadi oranye.
• Kalibrasi dengan data historis. Gunakan frekuensi risiko di masa lalu yang sebenarnya untuk mengikat probabilitas. Firasat bisa menyimpang; log insiden tidak.

Don't

Jangan menilai tanpa acuan. Jika tingkatnya hanya "rendah," "sedang," dan "tinggi," lima orang akan memberikan lima skor berbeda untuk risiko yang sama.

Jangan mengabaikan ambang batas zona. Matriks yang indah dan berkode warna dengan benar tidak ada gunanya jika risiko Kritis masuk ke watch list alih-alih dieskalasi.

Jangan memperlakukannya sebagai deliverable satu kali. Risiko yang berprobabilitas rendah saat kickoff bisa menjadi hampir pasti pada bulan ketiga. Nilai ulang setelah requirements freeze, setelah procurement, dan setelah go-live. Panduan HSE tentang meninjau pengendalian menunjuk pemicu yang sama: perubahan staf, proses, atau peralatan, ditambah kecelakaan dan nyaris celaka.

Jangan mencampuradukkan kategori dampak. Keterlambatan dua minggu mungkin nyaris tidak memakan biaya bagi tim internal, tetapi bisa katastrofik pada kontrak harga tetap dengan denda. Untuk program berisiko tinggi, pisahkan kolomnya (biaya, jadwal, keselamatan, reputasi) dan ambil skor yang terburuk.

Jangan biarkan setiap risiko bergeser ke tengah. Jika semuanya jatuh di zona sedang, definisi Anda terlalu longgar. Sel-sel di pojok kanan atas seharusnya jarang terisi.

Praktik Terbaik

• Pisahkan risiko inheren dan risiko residual. Nilai risiko sebelum kontrol diterapkan (inheren) dan sesudahnya (residual). Jika skor residual masih Tinggi, Anda memerlukan mitigasi yang lebih kuat.
• Padukan dengan RAID log. Matriks memperingkat risiko; RAID log melacaknya bersama asumsi, isu, dan dependency.
• Hubungkan dengan rencana project risk management. Rencana tersebut mendefinisikan seberapa sering Anda menilai ulang, siapa yang menghadiri tinjauan, dan bagaimana risiko dieskalasi. Tanpa rencana itu, matriks berjalan sendiri tanpa arah.
• Dukung keputusan yang lebih besar. Untuk pilihan seperti pasar mana yang dimasuki atau vendor mana yang dihentikan, gunakan skor sebagai salah satu masukan bagi pengambilan keputusan berbasis risiko.
• Tambahkan lapisan kuantitatif saat diperlukan. Matriks tidak bisa memodelkan beberapa risiko yang muncul bersamaan. Untuk eksposur jadwal atau anggaran yang besar, gunakan Monte Carlo simulation.
• Ketahui siapa yang perlu mendengar tentang setiap risiko. Stakeholder analysis matrix menunjukkan siapa yang peduli dengan risiko mana dan siapa yang bisa menyetujui mitigasi. Ketika risiko Tinggi lebih banyak daripada kapasitas Anda, peringkatkan responsnya dengan prioritisasi MoSCoW.
• Simpan di tempat pekerjaan berlangsung. Grid dalam slide deck sudah basi dalam seminggu. Jika tim Anda sudah merencanakan pekerjaan di alat proyek seperti Work Ops dari Rework, simpan log risiko di samping tugas-tugasnya agar para penanggung jawab melihat item mitigasi mereka bersama semua hal lain yang sudah mereka komitmenkan.

Risk matrix memberi Anda cara terstruktur untuk berhenti memperlakukan setiap risiko sebagai sama-sama mendesak. Nilai sekali, tetapkan respons yang tepat untuk setiap zona, dan tinjau kembali seiring berkembangnya proyek. Dipadukan dengan risk register yang solid dan jalur eskalasi yang jelas, matriks ini menjadi salah satu alat paling praktis dalam perangkat setiap project manager.