По всем ли рискам нужно писать что будешь делать в случае наступления этих рисков

Нет, не по всем. Риски нужно оценивать по двум критериям: вероятность и влияние.

1. Высокая вероятность + высокое влияние — обязательны mitigation-планы (например, резервный поставщик для критичного компонента).
2. Низкая вероятность + низкое влияние — можно просто зафиксировать (например, "задержка курьера с документами").
3. Средние риски — решается индивидуально (например, мониторинг + эскалация).

Пример:

# Риск: срыв сроков из-за блокирующего кода
if risk_occurred:
    activate_plan_b()  # Параллельная разработка MVP
    notify_stakeholders()
else:
    monitor_metrics()

Главное — не перегружать документацию, фокусируясь на значимых угрозах.