بسیاری از سازمان‌ها یک بار در سال جلسه‌ای برای «شناسایی ریسک‌های زنجیره تامین» برگزار می‌کنند، فهرستی بلند از نگرانی‌ها تولید می‌شود، و سپس فایل در پوشه‌ای بایگانی می‌شود. مشکل، فهرست‌نویسی نیست؛ مشکل این است که فهرست به تصمیم و اقدام نمی‌رسد. ثبت ریسک (Risk Register) وقتی ارزش دارد که زنده باشد و مالک و اقدام داشته باشد.
یک ثبت ریسک ساده برای هر ریسک چند فیلد دارد: توصیف دقیق رویداد (نه «ریسک تامین» بلکه «توقف عرضه‌ی ماده‌ی X از تامین‌کننده‌ی Y به‌دلیل محدودیت واردات»)، احتمال، اثر، میزان اطمینان از تشخیص زودهنگام، اقدام پیشگیرانه، اقدام واکنشی در صورت وقوع، و مالک. این ساختار از روش FMEA (تحلیل حالات خرابی و اثرات) الهام گرفته است که در مهندسی کیفیت رایج است.
در FMEA، امتیاز ریسک با ضرب سه عدد به دست می‌آید: شدت اثر، احتمال وقوع و دشواری تشخیص. اضافه شدن بُعد تشخیص مهم است، چون ریسکی که زود دیده می‌شود با ریسکی که ناگهان رخ می‌دهد تفاوت دارد، حتی اگر احتمال و اثر یکسان باشند. نتیجه، یک امتیاز اولویت است که کمک می‌کند منابع محدود به چند ریسک اول برسد، نه به همه‌ی ریسک‌ها به یک اندازه.
نکته‌ی کلیدی در امتیازدهی، استفاده از مقیاس‌های ساده (مثلاً ۱ تا ۵) با تعریف روشن هر سطح است. برای اثر، مثلاً سطح ۵ یعنی «توقف تولید بیش از دو هفته» و سطح ۱ یعنی «اثر قابل‌چشم‌پوشی». بدون تعریف مشترک، هر شرکت‌کننده عدد دیگری می‌دهد و بحث بر سر عدد جای بحث بر سر اقدام را می‌گیرد.
پس از امتیازدهی، برای ریسک‌های بالا باید اقدام تعریف شود. اقدام‌ها چند نوع‌اند: کاهش احتمال (تامین‌کننده‌ی دوم، قرارداد بلندمدت)، کاهش اثر (موجودی ایمنی هدفمند، طرح جایگزین)، بهبود تشخیص (پایش شاخص‌های هشداردهنده مثل تاخیر تحویل یا وضعیت مالی تامین‌کننده)، یا پذیرش آگاهانه. پذیرش هم یک تصمیم معتبر است، به شرط اینکه صریح گرفته و ثبت شود.
اشتباه رایج، تمرکز بر ریسک‌های بزرگ و کم‌احتمال (مثل بلایای طبیعی) و نادیده‌گرفتن ریسک‌های روزمره‌ای که هر ماه رخ می‌دهند، مثل تاخیر تامین‌کننده، نوسان ارز یا خطای اطلاعاتی. اغلب، مجموعه‌ی ریسک‌های کوچک و متکرر هزینه‌ی بیشتری از یک رویداد نادر دارد. اشتباه دیگر، تعریف مالک به‌صورت یک «تیم» به‌جای یک نفر؛ ریسک بدون مالک مشخص هیچ‌وقت پیگیری نمی‌شود.
ثبت ریسک را در یک چرخه‌ی منظم بازبینی کنید، مثلاً فصلی، و ترجیحاً آن را به جلسه‌ی S&OP یا بازبینی تامین‌کنندگان وصل کنید تا زنده بماند. هر بازبینی دو پرسش پاسخ دهد: کدام ریسک‌ها تغییر کرده‌اند، و کدام اقدام‌ها انجام شده یا عقب افتاده‌اند.
نقطه‌ی شروع عملی: ده ریسک اول را که امروز به ذهن شما می‌رسد با توصیف دقیق بنویسید، برای هر کدام امتیاز سه‌گانه بدهید، و برای سه ریسک اول یک مالک و یک اقدام با مهلت مشخص تعیین کنید. همین یک جدول ساده، از یک جلسه‌ی «شناسایی ریسک» بسیار مفیدتر است.