3 regneark der gør dit supply chain risk management konkret på 30 dage

Jeg kan stadig huske første gang jeg sad med en mindre produktionsvirksomhed, hvor direktøren sagde: “Hvis vores største leverandør lukker i morgen, har vi et problem” og så grinede lidt. Stilheden der fulgte, da vi lagde tallene ind i et regneark, var meget lidt sjov. Det viste sig, at “et problem” var lig med 62 % af omsætningen og 9 ugers reelt stop.

Det er dér, supply chain risk management bliver virkeligt: når man går fra løse mavefornemmelser til helt konkrete tal og simple scenarier. Og nej, du behøver ikke et konsulenthus til 7-cifrede honorarer for at komme i gang. Du kan komme rigtig langt på tre regneark, et par møder og en smule disciplin.

Hvorfor supply chain risk management skal være kedeligt konkret

De fleste virksomheder har allerede noget, der minder om en risikoliste. Der står typisk ting som “geopolitik”, “leverandørsvigt” og “IT-nedbrud”. Problemet er, at den liste ikke hjælper dig, når en skibsrute lukker, eller når en nicheleverandør pludselig bliver opkøbt.

Jeg oplever især tre udfordringer:

• Risici er formuleret for bredt til, at man kan omsætte dem til handling.
• Ingen har sat tal på: hvor slemt er “slemt” egentlig.
• Der mangler klare triggers for, hvornår nogen skal gøre noget.

Supply chain risk management bliver brugbart, når du får styr på tre ting:

• En simpel risk taxonomy for forsyningskæden, så I taler om det samme.
• En scoringmodel, der gør det muligt at prioritere.
• Nogle få, men skarpe stress tests, I kan køre jævnligt.

Det er også i forlængelse af den måde vi ofte arbejder med målstyring og KPI’er: ikke flere tal for tallets skyld, men få nøgletal der faktisk flytter beslutninger.

En praktisk risk taxonomy til din forsyningskæde

Hvis du vil have et system, der kan bruges om en måned, ikke om et år, så er pointen at gøre det simpelt nok til, at indkøb, produktion og økonomi kan bruge det sammen. Her er en taksonomi, der fungerer overraskende godt i praksis:

De 7 typiske risikokategorier i SCRM

• Leverandørrisiko: finansiel sundhed, ejerskab, kapacitet, afhængighed af nøglepersoner.
• Logistik og infrastruktur: transporttid, ruter, flaskehalse, afhængighed af enkelte havne eller speditører.
• Kvalitet og leveringssikkerhed: fejlrate, reklamationer, leveringspræcision, stabilitet over tid.
• Compliance og regulering: eksportkontrol, sanktioner, miljøkrav, arbejdsforhold, toldregler.
• Cyber og IT-afhængighed: leverandørens IT-sikkerhed, systemintegrationer, adgang til jeres systemer.
• Råvare og priseksponering: afhængighed af bestemte råvarer, valutaeksponering, kontraktform.
• Single points of failure: unikke komponenter, specialværktøjer, certificerede processer, hvor skifte er svært eller langsomt.

Du behøver ikke starte med at dække alt. Tværtimod. Vælg 3-4 kategorier, hvor I ved, I er mest sårbare, og hvor konsekvensen af et nedbrud er størst. For mange industrivirksomheder er det typisk: leverandør, logistik, single points of failure og i stigende grad cyber.

Sådan mapper du taksonomien på jeres leverandørbase

Her er den praktiske fremgangsmåde, jeg ofte bruger sammen med virksomheder:

1. Eksporter jeres leverandørliste med omsætning de sidste 12 måneder.
2. Sorter efter spend og tag de 50 største (eller 20, hvis I vil starte mindre).
3. For hver leverandør markerer du, hvilke risikokategorier der er relevante. Brug 0/1 i et regneark.
4. Lad indkøb og drift kvalificere listen på et kort møde: “Har vi overset noget åbenlyst?”

Resultatet er ikke perfekt. Men du har nu et første udkast til en struktureret risikooversigt, som er væsentligt mere brugbar end en generisk “leverandørrisiko” på et slide.

Metodisk minder det lidt om at bygge en simpel model i vores kategori om analysemetoder og modeller: pointen er ikke elegancen, men at du kan gentage det og forbedre det.

Scoringmodel: impact x likelihood x detectability

Når du har taksonomien på plads, kommer næste spørgsmål: hvordan prioriterer du? Her giver en simpel scoringmodel meget værdi. Jeg bruger ofte en variant af FMEA-logikken (Failure Modes and Effects Analysis), men oversat til et regneark, der ikke skræmmer nogen væk.

De tre dimensioner

• Impact (konsekvens): Hvor stor er forretningsmæssig skade, hvis denne leverandør fejler i 4 uger?
• Likelihood (sandsynlighed): Hvor sandsynligt er et væsentligt afbrud inden for de næste 12-24 måneder?
• Detectability (opdagelighed): Hvor tidligt vil I opdage problemet, før det rammer fuldt ud?

Scor hver dimension fra 1 til 5. Lav en simpel, fælles definition, så I ikke ender i ordkløveri:

• Impact 1: Mindre forsinkelse, ingen væsentlig kunde- eller produktionspåvirkning.
• Impact 3: Produktionsforstyrrelser, men kan håndteres med overarbejde eller midlertidige løsninger.
• Impact 5: Langvarigt produktionsstop, tab af nøglekunder eller kontraktbrud.

Samme logik for likelihood og detectability. For opdagelighed vender du skalaen, så 1 er “vi ser det måneder i forvejen” og 5 er “det opdages først, når det brænder”.

Et konkret eksempel

Forestil dig en nicheleverandør, der leverer et specialværktøj til jeres produktion. I har kun én leverandør i verden, og ordretiden er 10 uger.

• Impact: 5 (uden værktøjet står linjen stille længere tid).
• Likelihood: 3 (leverandøren er sund, men meget afhængig af en enkelt fabrik).
• Detectability: 4 (I opdager først et problem, når de selv melder ud, og der er ikke meget gennemsigtighed).

Risikoscore: 5 x 3 x 4 = 60.

Nu tager vi en anden leverandør af standard-emballage fra EU, hvor der findes 8 alternativer:

• Impact: 2 (I kan skifte leverandør på 2-3 uger).
• Likelihood: 2 (stabil, diversificeret virksomhed).
• Detectability: 2 (I har løbende dialog og tidlige signaler).

Score: 2 x 2 x 2 = 8.

Du behøver ikke være statistiker for at se, hvor I skal starte. Regnearket gør det tydeligt for alle, også dem der ikke normalt elsker tal.

Gør scoringen brugbar i praksis

Et par erfaringer fra virkeligheden:

• Lav scoringen i et workshopformat med indkøb, drift og økonomi i samme rum.
• Accepter, at 70 % nøjagtighed er fint. Det vigtigste er relativ prioritering.
• Marker de 10 højeste scores som “kritiske” og de næste 20 som “overvågning”.

Det minder faktisk om, når man bygger et simpelt beslutningsdashboard: du skal kunne pege på, hvad der kræver handling nu, i stedet for at drukne i detaljer.

Triggers og signposts: hvornår skal nogen reagere?

Et klassisk problem: Man laver et flot risiko-overblik. Og så sker der ingenting. Det ligger og samler digitalt støv, indtil nogen en dag siger: “Skulle vi ikke også kigge på den der liste igen?”.

Løsningen er at definere klare triggers. Altså specifikke signaler, der skal udløse en handling. Ikke generelt “opmærksomhed”.

Eksempler på gode triggers

• Finansielle signaler: Leverandøren får nedgraderet kreditrating, eller betalingsbetingelser ændres markant.
• Driftssignaler: Leveringssikkerhed falder under fx 95 % over et kvartal.
• Geopolitiske signaler: Nye sanktioner eller toldsatser på landet/branchen.
• Cyber-hændelser: Leverandøren melder om alvorlige sikkerhedsbrud eller langvarige IT-nedbrud.

For jeres top-10 kritiske leverandører kan du definere 2-3 konkrete triggers hver. Og vigtigst: skrive, hvem der ejer dem. Er det indkøb, der skal holde øje? Eller økonomi? Eller IT, når vi taler om NIS2 og cybersikkerhed?

Tre stress tests du kan køre de næste 30 dage

Nu kommer den del, hvor forsyningskæder går fra teori til virkelighed. Stress tests er i praksis kontrollerede “hvad nu hvis”-scenarier, der presser modellen og viser, hvor det gør mest ondt.

Her er tre, som de fleste danske virksomheder kan få meget ud af at køre én gang om året. Eller oftere i urolige perioder.

1) Top-10 leverandørnedbrud

Spørgsmålet er simpelt: Hvad sker der, hvis hver af jeres 10 største leverandører ikke kan levere i 8 uger?

1. Tag jeres top-10 fra spend-listen.
2. For hver leverandør: estimer hvor mange uger I kan køre videre med lager og alternativer.
3. Beregn omsætning og dækningsbidrag, der er i risiko, hvis stopperioden overstiger jeres buffer.
4. Noter, hvilke kunder/produkter der rammes først.

Her er 80/20-reglen brutal: ofte vil 2-3 leverandører stå for langt størstedelen af risikoen. Det giver et meget konkret mandat til at arbejde med fx dual sourcing eller lagerstrategi.

2) Transit-chok på jeres vigtigste ruter

I de sidste år har vi set Suez, pandemier, havnestrejker og pludselige omlægninger af ruter. Transit-chok handler om at teste, hvad der sker, hvis transporttiden på vigtige ruter pludselig fordobles.

1. Identificer jeres 3 vigtigste transportruter (fx Asien til DK, Østeuropa til DK, internt i EU).
2. Antag at transittiden fordobles i 3 måneder.
3. Regn på, hvor meget ekstra lager I skulle have haft for at holde samme servicegrad.
4. Regn på kapitalbinding og likviditetseffekt, hvis I faktisk skulle lægge det lager op.

Pointen er ikke at I skal have det lager i morgen, men at I forstår kurven: hvornår giver det mening at betale for fleksibilitet, alternative ruter eller måske en redesign af produktporteføljen.

3) Råvare- eller prischok på 30 %

For virksomheder med stor råvareeksponering er det her ofte den mest øjenåbnende test. Hvad sker der, hvis jeres vigtigste råvare stiger 30 % i pris i 6 måneder?

1. Vælg 3-5 nøgle-råvarer eller indkøbskategorier.
2. Simuler en 30 % prisstigning over 6 måneder.
3. Indregn, hvor hurtigt I realistisk kan justere priser over for kunder.
4. Beregn effekt på dækningsgrad og EBIT i perioden.

Her møder supply chain risk management hurtigt økonomi og prisstrategi. Hvis du har arbejdet med priselasticitet eller prisscenarier, fx som i artiklen om at planlægge prisstigninger som kontrollerede eksperimenter, kan du koble de to øvelser direkte.

Mitigation playbook: de fem klassiske greb

Når du har scoringen og stress tests på plads, kommer det naturlige spørgsmål: Hvad gør vi så? Heldigvis er værktøjskassen ikke uendelig. Faktisk ser jeg de samme fem typer tiltag gå igen igen i virksomhed efter virksomhed.

1) Dual sourcing og backup-leverandører

Det mest oplagte: find en nummer to. Men det kræver, at du beslutter, hvor du vil betale prisen. Dual sourcing koster typisk lidt på stykprisen, lidt på kompleksiteten i indkøb og måske lidt på volumenrabatter. Til gengæld køber du risikoaflastning.

Start med de 5-10 højeste risikoscorer. Spørg: “Vil vi betale 1-3 procentpoint af bruttoavancen for at reducere risikoen her?”. Nogle steder er svaret ja. Andre steder lever du bevidst med risikoen.

2) Bufferlager der er valgt, ikke bare vokset

Mange virksomheder har lager, men ikke valgt lager. Det er bare blevet sådan. Brug risikoscoring og stress tests til at definere, hvor du vil have strategisk buffer, og hvor du skal være skarpere.

• På kritiske komponenter med lang ledetid: mere buffer.
• På standardvarer hvor du har alternativer: mindre buffer.

Det er her økonomi og supply chain bør arbejde tæt sammen. Højere lager er ikke gratis, men nogle gange er alternativet et produktionsstop, som er markant dyrere.

3) Kontrakter og kommercielle værn

Kontrakter løser ikke alt, men de kan gøre to ting: give dig bedre gennemsigtighed og dele risikoen mere rimeligt. Overvej fx:

• Klarere SLA’er på leveringssikkerhed og oplysning om driftshændelser.
• Prisreguleringsmekanismer, så råvarechok ikke udelukkende rammer din margin.
• Krav til informationssikkerhed og incident-håndtering, især i lyset af NIS2.

Her er der en naturlig kobling til jeres praksis omkring IT-kontrakter og leverandørvilkår, hvis en stor del af jeres forsyningskæde er digital eller systemtung.

4) Redesign af produkter og processer

Nogle af de mest effektive risikoreduktioner kommer ikke fra indkøb, men fra produktudvikling. Klassiske greb er:

• Standardisering af komponenter, så flere leverandører kan bruges.
• Modularisering, så kritiske dele kan udskiftes uden at ændre hele produktet.
• Erstatning af særligt udsatte materialer med mere tilgængelige alternativer.

Det tager længere tid, men kan ændre risiko-profilen dramatisk. Især hvis I allerede arbejder systematisk med strategiske projekter og forretningsudvikling under fx strategiudvikling og forretningsmodeller.

5) Nearshoring og regionalisering

Nearshoring er blevet et modeord, men den praktiske øvelse er faktisk ret jordnær: hvor giver det mening at flytte noget tættere på, enten fysisk eller i samarbejdsform?

Det er sjældent alt eller intet. Ofte ender man med en hybrid: noget bliver hvor det er, noget flyttes tættere på, og noget suppleres med lager eller alternative leverandører i regionen.

Governance: hvem ejer supply chain risikoen?

Her kommer det lidt kedelige, men afgørende: hvem har ansvaret for, at det her ikke bare bliver et projekt, men en fast del af måden I driver forretning på?

En enkel styringsmodel

Jeg ser ofte en model som denne fungere godt i praksis:

• Indkøb ejer leverandørscoring, relationer og daglig overvågning.
• Drift/produktion vurderer konsekvenser og mulige afbødende tiltag.
• Økonomi kobler risiciene til tal: EBIT, cash, kapitalbinding.
• IT/InfoSec tager ejerskab for cyber-delen og NIS2-relaterede krav.

Ledelsen sætter retningen: hvor meget risiko vil vi bære hvor, og hvor meget vil vi betale for at reducere den?

Kvartalsvis review, ikke endnu et møde uden effekt

Lav et fast, kort møde hvert kvartal hvor I kun gør tre ting:

1. Gennemgår top-10 risikopositioner og status på planlagte tiltag.
2. Opdaterer scoringen på 5-10 leverandører, hvor der er sket noget nyt.
3. Beslutter 2-3 konkrete handlinger til næste kvartal.

Det er her det hjælper at tænke i beslutningsskabelon: indgang, analyse, anbefaling, beslutning. Ellers ender I i endnu en runde “vi burde også”.

Koblingen til NIS2: cyber som supply chain risiko

For mange virksomheder er NIS2 stadig noget, man mest forbinder med IT og flere spørgeskemaer. I praksis handler en stor del af NIS2 netop om leverandørkæden: hvem har adgang til jeres data og systemer, og hvordan håndterer de sikkerhed?

Du kan se det som en naturlig udvidelse af din SCRM-model. Cyber bliver en risikokategori på linje med logistik og råvarepris, bare med andre triggers og tiltag. Hvis du allerede er i gang med NIS2-arbejdet eller overvejer det, kan artiklen om NIS2 og bedre beslutninger være en god makker til den her tilgang.

Pointen er: du behøver ikke to parallelle systemer. Du har én forsyningskæde. NIS2-krav og klassisk supply chain risk management kan sagtens bo samme sted.

Tre meget konkrete næste skridt

Hvis du vil kunne sige om en måned, at I faktisk har taget hul på supply chain risk management, og ikke bare talt om det, ville jeg gøre sådan her:

• Uge 1: Træk leverandørdata og vælg jeres top-50. Marker 3-4 risikokategorier pr. leverandør.
• Uge 2: Afhold en 2-timers workshop med indkøb, drift og økonomi og scor de 20 vigtigste leverandører.
• Uge 3-4: Kør stress testen på top-10 leverandører og transit-chok. Vælg 3 specifikke mitigation-tiltag og beslut ansvar og deadline.

Det kræver nogle timer, ja. Men sammenlignet med omkostningen ved 4 ugers uventet produktionsstop eller tab af en nøglekunde, er det en ret overkommelig forsikring.

Og hvis du er som mig og godt kan lide at se ting visuelt, så lav et simpelt heatmap i regnearket over risikoscore på leverandører. Det gør ondt at se det første gang. Men det er en sund slags smerte. Det er den, der får dig til at handle.