Risk Register הוא טבלה ב-Google Sheets עם 6 עמודות: 1) Risk ID (מספר). 2) Risk Description (תיאור הסיכון במשפט אחד). 3) Probability (הסתברות 1-5: 1=נמוכה מאוד, 5=גבוהה מאוד). 4) Impact (השפעה 1-5: 1=שולית, 5=הרסנית). 5) Score (הכפלה - 1 עד 25). 6) Response (תגובה: Mitigate / Avoid / Transfer / Accept). הסיכונים מסודרים מ-Score הגבוה ביותר. 5-8 סיכונים מספיקים לפרויקט SMB - יותר מזה הופך לרשימת חרדות במקום כלי ניהול.

1) Mitigate (הפחתה) - לפעול כדי להוריד את ההסתברות או ההשפעה. דוגמה - סיכון 'שרת יקרוס' מטופל ב-hosting מקצועי. 2) Avoid (הימנעות) - לשנות את התכנית כדי שהסיכון לא יחול בכלל. דוגמה - סיכון 'הקבלן יאחר' מטופל בבחירת קבלן אחר. 3) Transfer (העברה) - להעביר את הסיכון לגורם אחר. דוגמה - סיכון 'גניבת ציוד' מטופל בביטוח. 4) Accept (קבלה) - להחליט שהסיכון קביל, לעקוב ולא לפעול מראש. דוגמה - סיכון 'מזג אוויר' באירוע פנימי. הבחירה תלויה ב-Score: 15+ = Mitigate או Avoid. 6-14 = Transfer או Mitigate. 1-5 = Accept.

יצרן קוסמטיקה השיק קו מוצרים. Risk Register: 1) דחיית רגולציה (הסתברות 4, השפעה 5, Score 20) - Mitigate: התחיל הליך אישור 4 חודשים מראש. 2) בעיית מלאי חומרי גלם (3 ו-4, Score 12) - Transfer: הסכם רכש עם 2 ספקים, אחד מהם מחסן בקיסריה. 3) קמפיין שיווק חלש (3 ו-3, Score 9) - Mitigate: תקציב מילואים 8,000 ₪. 4) ירידה במכירות מוצר ישן (4 ו-2, Score 8) - Accept: צפוי, לא קריטי. 5) פערים במחירים מול מתחרים (2 ו-3, Score 6) - Mitigate: סקר מחירים חודשי. בפועל, סיכון 1 (רגולציה) קרה - נוספו 6 שבועות, אך כי התחילו מוקדם, ההשקה התרחשה בזמן. בלי Register, לא היו מתחילים מוקדם.

1) לבנות Register פעם אחת ב-Kick-off ולא להסתכל עליו שוב. סיכונים משתנים, סיכונים חדשים מתגלים, ויש לעדכן שבועית. 2) להגיב על כל סיכון ב-Mitigate. אם תפעל למנוע כל סיכון, תבזבז את כל התקציב על הגנה. Accept הוא תגובה לגיטימית לסיכון בעל Score נמוך. 3) לא לתעד את התגובה בכתב. אומרים 'נחשוב על זה כשיקרה' - אבל אז זו לא תגובה מתוכננת, אלא אלתור בלחץ. כל סיכון חייב לקבל מילים בכתב מה עושים אם הוא מתרחש.