לכל סיכון בתוכנית, 4 צעדים סטנדרטיים: 1) הימנעות - לוותר על הפעילות שמייצרת את הסיכון (לא תמיד אפשרי). 2) הקטנת הסתברות - פעולות שמורידות את הסיכוי שיקרה (לדוגמה, MFA על מייל מקטין סיכון פריצה). 3) הקטנת השפעה - פעולות שמקטינות את הנזק אם יקרה (לדוגמה, גיבוי יומי מקטין נזק ransomware). 4) העברת סיכון - הוצאת חלק מהסיכון לגורם חיצוני (ביטוח, חוזה הגנה אצל ספק). בכל סיכון, יש לבחור 2-3 מהצעדים, לפי עלות-תועלת.

סיכון 1 (יום 1-30): פעולה 1 (יום 1-7), פעולה 2 (יום 8-14), פעולה 3 (יום 15-21), פעולה 4 (יום 22-30). דוגמה: סיכון ריכוזיות לקוחות - יום 1-7: חישוב ריכוזיות מדויק. יום 8-14: זיהוי 10 לקוחות פוטנציאליים. יום 15-21: פנייה ל-10 לקוחות. יום 22-30: 3 פגישות מתואמות. סיכון 2 (יום 31-60): אותו מבנה לסיכון השני. סיכון 3 (יום 61-90): אותו מבנה. ביום 91 - סקירה: מה הצליח, מה נדחה, מה הצעד הבא. עבודה שבועית: 60-90 דקות. אפשר לבעל עסק שכבר עסוק.

קליניקה עם מחזור 320K לחודש, 3 רופאות. מטריצת סיכונים זיהתה 3 קריטיים: 1) רופאה ראשית (Key Person) עם 55% מההכנסות. 2) ריכוזיות לקוחות - 3 לקוחות VIP = 28%. 3) חשיפה לדיני עבודה (5 עובדות בלי חוזה כתוב). תוכנית 90 יום: ימים 1-30 (Key Person) - חוזה אי-תחרות, גיבוי לרופאה שנייה, בניית מותג של הקליניקה. ימים 31-60 (ריכוזיות) - 5 לקוחות VIP חדשים. ימים 61-90 (דיני עבודה) - חוזים לכל ה-5, פגישה עם עורך דין דיני עבודה. תוצאות אחרי 6 חודשים: חשיפה כוללת ירדה ב-72%. הרופאה הראשית עזבה בחודש 8 - הקליניקה איבדה 18% במקום 55%.

1) לבחור יותר מ-3 סיכונים - תוכנית עם 8 סיכונים לא מסתיימת, תוכנית עם 3 כן. 2) לא לקבוע תאריכים ספציפיים - 'בחודש הבא' לא יקרה. 'יום 14 לאוקטובר' יקרה. 3) לא לעקוב פעם בשבוע - תוכנית בלי בקרה דועכת. 30 דקות שבועיות מספיקות. 4) לא לחגוג ביום 90 - הסיום הוא חשוב, גם אם לא כל הצעדים בוצעו. ב-90 יום אתה אחר. תכנן יום 91 עם 3 סיכונים חדשים.