Od zlepšení metrik k selhání triáže: proč kalibrace risk matic neřeší jejich podstatu

Risk matice patří mezi nejrozšířenější nástroje řízení rizik, přesto jejich schopnost poskytovat spolehlivý podklad pro rozhodování zůstává odborně zpochybněná.

Analýza, za kterou stojí Jan Kopřiva, tento problém kvantifikuje pomocí metrik pořadové korelace a ukazuje, že nejde pouze o intuitivní nedokonalost, ale o měřitelný a systematický jev.

Její přínos spočívá zejména v tom, že exaktně ukazuje, proč běžně používané risk matice selhávají, a proč nelze bez dalšího spoléhat na tabulky, které organizace mechanicky převezme z metodického nebo regulatorního vzoru. Klíčovou otázkou však není pouze statistická přesnost, ale věcná významnost. Jinými slovy nejde jen o to, zda se po kalibraci zlepší nějaká metrika, ale zda se skutečně zlepší rozhodování.

Při hlubším pohledu se ukazuje, že ani po kalibraci nedochází k odstranění strukturálních nedostatků modelu. Problém přetrvává zejména v okamžiku, kdy má být výstup matice použit pro triáž rizik, tedy pro rozhodnutí, která rizika budou akceptována, která eskalována a která mají dostat přednost při financování opatření.

Pořadová konzistence versus věcná významnost

Kopřiva hodnotí risk matice pomocí Kendallova τ, tedy míry shody mezi „skutečným“ pořadím rizik, například podle očekávané ztráty, a pořadím generovaným metodikou. Z metodologického hlediska jde o užitečný postup, protože umožňuje měřit, zda matice alespoň přibližně zachovává pořadí rizik.

Výsledky ukazují, že risk matice systematicky produkují inverze pořadí, tedy případy, kdy méně závažné riziko dostane vyšší hodnocení než riziko závažnější. Kalibrace sice hodnotu Kendallova τ zvyšuje a počet těchto chyb snižuje, ale toto zlepšení je nutné interpretovat velmi opatrně.

Kendallovo τ odpovídá na otázku, zda se globálně zlepšila shoda pořadí. Neodpovídá však přímo na otázku, zda metoda správně rozhoduje na hranici akceptovatelnosti rizika. A právě tato hranice je z hlediska řízení rizik rozhodující. Management totiž obvykle nepotřebuje vědět pouze to, zda je jedno riziko o něco výše než druhé. Potřebuje vědět, zda dané riziko může být akceptováno, nebo zda musí být řešeno.

Problém diskretizace a ztráty informace

Zásadní omezení risk matic spočívá v jejich konstrukci. Spojitý prostor rizik je redukován na malý počet kategorií, typicky čtyři nebo pět úrovní. Tato diskretizace vede k výrazné ztrátě informace. Reálné dopady i frekvence se mohou pohybovat přes několik řádů, zatímco matice je převádí do několika širokých pásem.

V důsledku toho:

• dochází ke koncentraci většiny scénářů pouze do některých kategorií, zatímco jiné zůstávají málo využité nebo fakticky prázdné,
• efektivní rozlišovací schopnost modelu je výrazně nižší než nominální počet úrovní,
• rizika se stejným hodnocením mohou mít ve skutečnosti zásadně odlišnou očekávanou ztrátu,
• a model není schopen adekvátně zachytit rozdíly v oblastech, kde je variabilita dopadů nebo frekvencí nejvyšší.

Problém tedy není pouze v tom, že risk matice někdy zamění pořadí dvou rizik. Hlubší problém spočívá v tom, že samotný převod reality do několika kategorií odstraní informace, které jsou pro rozhodování často podstatné.

Široká pásma, sémantický překryv a hranice kategorií

Dalším problémem je způsob, jakým jsou jednotlivé kategorie definovány. Číselné intervaly mohou být na první pohled formálně oddělené, ale jejich slovní a věcný význam bývá často široký, neurčitý a v praxi sémanticky překryvný. Kategorie typu „střední“, „vysoké“ nebo „kritické“ nevystihují jednoznačně konkrétní ekonomickou realitu.

To má dva důsledky:

• hranice mezi kategoriemi působí přesněji, než ve skutečnosti jsou,
• rizika ležící poblíž hranic kategorií mohou být z hlediska reality téměř totožná, ale v matici povedou k odlišným rozhodnutím.

Právě hranice kategorií jsou přitom místem, kde se rozhoduje. Pokud je riziko těsně pod hranicí, může být označeno jako akceptovatelné. Pokud je těsně nad ní, může být eskalováno. Jenže u kategoriálního modelu není zřejmé, zda takové rozlišení odpovídá skutečnému rozdílu v expozici, nebo pouze artefaktu zvolené škály.

Kalibrace: užitečné zlepšení, nikoli řešení

Kalibrace tabulek je často prezentována jako způsob, jak uvedené problémy zmírnit. V tomto ohledu je třeba být spravedlivý: kalibrace je rozhodně lepší než slepé převzetí univerzálních tabulek. Organizace s odlišným rizikovým apetitem, jinou tolerancí výpadků a jiným ekonomickým kontextem nemohou používat stejné hranice kategorií a očekávat srovnatelně smysluplné výsledky.

Kalibrace proto může:

• lépe přizpůsobit hranice kategorií konkrétní organizaci,
• snížit počet zjevných nesouladů mezi kategoriálním hodnocením a realitou,
• zlepšit globální pořadovou shodu mezi výstupem matice a referenčním výpočtem,
• a omezit situace, kdy některé úrovně škály zůstávají prakticky nevyužité.

Z toho však neplyne, že se z kalibrované matice stává spolehlivý rozhodovací nástroj. Kalibrace neodstraňuje základní problém diskretizace. Pořád dochází k převodu spojité reality do několika kategorií. Pořád se ztrácí informace uvnitř kategorií. A hlavně: zlepšení pořadové korelace samo o sobě neprokazuje, že se zlepšila rozhodovací spolehlivost právě na hranici akceptovatelnosti.

Jinak řečeno, kalibrace může zlepšit čísla, ale nemusí dostatečně zlepšit rozhodnutí.

Triáž jako slabé místo

Praktické řízení rizik stojí na triáži. Organizace potřebuje rozhodnout, která rizika jsou zjevně nízká, která vyžadují další analýzu, která mají být řešena prioritně a která nelze akceptovat. Právě zde se ukazuje největší slabina risk matic.

Triáž totiž není obecné seřazení rizik od nejmenšího po největší. Triáž je rozhodnutí na hranici. A právě hranice mezi kategoriemi jsou nejméně spolehlivou částí modelu.

Problém lze shrnout jednoduše: pokud i po kalibraci může riziko, které podle skutečné expozice překračuje rizikový apetit, skončit v akceptovatelné kategorii, pak matice nemůže být bezpečně použita jako rozhodovací triážní nástroj. Takové riziko se totiž ztratí z radaru. Management jej nebude řešit, protože metoda mu sdělila, že je zelené.

To je horší než pouhá chyba v pořadí. Chyba v pořadí může znamenat, že se nejprve řeší druhé nejdůležitější riziko místo prvního. Falešně zelené riziko ale může znamenat, že se neřeší vůbec.

Z tohoto pohledu je klíčové, že zlepšení Kendallova τ neimplikuje automaticky zlepšení triáže. Model může mít lepší globální pořadí a zároveň stále selhávat v rozhodování na hranicích, kde je to pro řízení rizik nejdůležitější.

Proč nestačí říci, že se matice po kalibraci zlepšila

Tvrzení, že se kalibrací risk matice zlepší, je pravdivé, ale samo o sobě nedostatečné. Rozhodující otázka nezní, zda je kalibrovaná matice lepší než nekalibrovaná. Rozhodující otázka zní, zda je dostatečně dobrá pro účel, k němuž má být použita.

Pokud má sloužit pouze jako orientační vizualizace nebo jako pomůcka pro první diskusi, může mít omezený smysl. Pokud má ale sloužit jako podklad pro akceptaci rizik, alokaci rozpočtu nebo prioritizaci opatření, pak je požadavek podstatně vyšší.

V takovém případě musí metoda prokazatelně minimalizovat zejména falešně zelená rizika. Nestačí ukázat, že se zlepšila průměrná nebo globální metrika. Je třeba ukázat, že rizika překračující stanovený apetit nekončí v akceptovatelné oblasti. Bez takového ověření zůstává zelená kategorie pouze hypotézou, nikoli bezpečným rozhodnutím.

A co na to kvant?

Kvantitativní analýza rizik tento problém neřeší tím, že by pouze nahradila barvu nebo kategorii jedním přesněji vypadajícím číslem. To by byla jen jiná forma stejné iluze. Očekávaná roční ztráta může být užitečná orientační hodnota, ale sama o sobě nestačí, protože skrývá rozptyl, nejistotu i extrémní scénáře v ocasu rozdělení.

Skutečná výhoda kvantitativního přístupu spočívá v tom, že umožňuje rozhodovat nad celým rozdělením možných ztrát. Management pak nemusí vidět pouze jednu bodovou hodnotu, ale také interval nejistoty, pravděpodobnost překročení rizikového apetitu, hodnotu v riziku, očekávanou ztrátu v ocasu rozdělení a citlivost výsledku na jednotlivé předpoklady.

Jinými slovy, kvantitativní přístup není lepší proto, že vytváří jedno „správné“ číslo. Je lepší proto, že ukazuje tvar nejistoty, se kterou se má rozhodovat.

To je zásadní rozdíl oproti risk matici. Matice redukuje spojitou realitu do několika kategorií a poté předstírá, že hranice mezi nimi jsou dostatečné pro rozhodování. Kvantitativní přístup naopak umožňuje pracovat s tím, že hranice apetitu není barva v tabulce, ale rozhodovací práh, vůči němuž lze přímo vyhodnotit pravděpodobnost překročení a možný rozsah následků.

Ani kvantitativní analýza tedy není bez předpokladů a chyb. Její přednost spočívá v tom, že tyto předpoklady lze explicitně ukázat, testovat, zpochybnit a postupně zlepšovat. To je kvalitativně jiná situace než u risk matice, kde je nejistota často skryta uvnitř kategorií a slovních štítků.

Závěr

Analýza Jana Kopřivy jednoznačně ukazuje, že risk matice nejsou schopné spolehlivě zachovat pořadí rizik, pokud jsou používány mechanicky a bez úprav. Její přínos spočívá právě v tom, že tento problém dokládá exaktně, nikoli pouze intuitivně.

Doplnění o pohled na rozhodovací význam však ukazuje ještě hlubší problém. Pro praktické řízení rizik není rozhodující jen to, zda se po kalibraci zlepší globální shoda pořadí. Rozhodující je, zda metoda správně funguje na hranici akceptovatelnosti rizika. A právě tam risk matice zůstávají slabé.

Kalibrace je proto užitečné zlepšení, ale nikoli řešení. Může snížit počet chyb, ale neodstraňuje strukturální omezení kategoriálního modelu. Diskretizace, ztráta informace, široká pásma a nespolehlivost hranic přetrvávají.

Risk matice proto nelze považovat za spolehlivý nástroj pro prioritizaci rizik ani po jejich kalibraci, pokud má výstup sloužit k rozhodování o akceptaci rizik nebo o alokaci významných zdrojů. Případné zlepšení metrik pořadové shody může vytvářet falešný dojem funkčnosti, aniž by došlo ke skutečně dostatečnému zlepšení rozhodovací kvality.

Krátké shrnutí pro management

Kalibrace risk matic je lepší než slepé převzetí univerzálních tabulek. Neznamená ale, že se z matice stává spolehlivý rozhodovací nástroj. Hranice mezi kategoriemi zůstávají nespolehlivé a právě na těchto hranicích se rozhoduje, která rizika budou akceptována a která řešena.

Pokud může nadlimitní riziko skončit v zelené kategorii, nelze matici bezpečně použít ani pro triáž ve smyslu „zelené neřešíme“. Risk matice může sloužit nanejvýš jako orientační vizualizace nebo první hrubý filtr, jehož závěry musí být ověřeny přesnějším výpočtem.

LITERATURA

ČESKO. Vyhláška č. 409/2025 Sb., o bezpečnostních opatřeních poskytovatele regulované služby v režimu vyšších povinností. In: Sbírka zákonů a mezinárodních smluv. 2025, částka 409. Dostupné také z: https://e-sbirka.gov.cz/sb/2025/409

COX, Louis Anthony. What’s Wrong with Risk Matrices? Risk Analysis. 2008, roč. 28, č. 2, s. 497–512. ISSN 0272-4332. Dostupné z: https://doi.org/10.1111/j.1539-6924.2008.01030.x

HUBBARD, Douglas W. a EVANS, Dylan. Problems with scoring methods and ordinal scales in risk assessment. IBM Journal of Research and Development. 2010, roč. 54, č. 3, s. 2:1–2:10. ISSN 0018-8646. Dostupné z: https://doi.org/10.1147/JRD.2010.2042914

ISO/IEC. ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection — Guidance on managing information security risks. Geneva: International Organization for Standardization, 2022.

ISO. ISO 31000:2018: Risk management — Guidelines. Geneva: International Organization for Standardization, 2018.

KOPŘIVA, Jan. Proč značné procento analýz rizik zpracovaných v kontextu zákona o kybernetické bezpečnosti nedává (a ani nemůže dávat) smysluplné výsledky? Untrusted Network. Online. 28. 6. 2026. Dostupné z: https://untrustednetwork.net/cs/2026/06/28/analyza-rizik-vyhlaska-409/ [cit. 2026-07-02].

THE OPEN GROUP. The Open FAIR™ Body of Knowledge. Online. San Francisco: The Open Group. Dostupné z: https://www.opengroup.org/open-fair [cit. 2026-07-02].

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!