お世話になります。

もちろんスマホのロックも複雑にしたいところですが、注意点としては2段階認証をアプリで行い、認証コードをロック画面の通知に表示させないことです。
SMSや電話で認証する方式は、SIMを抜き取ったり端末の初期化で誰でもコードを受け取れるので効果は薄い。
また、可能性があるという意味ではスマホの使用中に強盗に遭うとロックは意味がありません。

個人的におすすめなのは一定のルールを作成し、サイト毎にパスワードを決める方法です。
簡単な例だと、hatenaを逆にしてanetahとか。
もっと複雑で桁数が多くなるようにすれば覚えなくてもその場で割り出せます。
入力するときに少し考える時間が必要だったり、パスワードを変更するときにどうするかという問題もありますが。
ヒントを記録するのもありだと思いますが、複数のヒントからパターンが割り出せるかもしれないので、なるべく推測されにくいヒントにしたいところです。

自分は最近捨てアカに不正ログインがあってからクラウド型のパスワードマネージャーを一部のアカウントで試しています。
マスターパスワードは16桁、スマホで2段階認証。
各サイトのパスワードは16桁をランダム生成。
自宅ではブラウザの拡張機能からログインすれば自動的に入力してくれますしスマホのアプリも同様、外出先でもサイトにログインすれば使えるので、今のところ満足しています。