ISO9001:2015標準中涉及的風險
1、ISO 9001:2015 中的風險
在 ISO 9001：2015 標準中有很多基于風險思考的內(nèi)容，這些內(nèi)容將影響組織為
符合修訂后的標準而進行的工作。以下是節(jié)選并歸納本標準中涉及風險的有關(guān)內(nèi)
容。
定義：ISO 9001：2015 標準所指的風險是“對預(yù)期結(jié)果 的不確定的影響”。標
準未提出對預(yù)防措施的要求。
過程方法：標準 4.4 條款討論的要素之一是過程方法， 要求組織“識別質(zhì)量管
理體系所需的過程”以及這些過程在 組織中的應(yīng)用。這包括識別：
輸入、輸出和資源； 順序和相互作用；
有效的運行；
責任和改進機會；
風險以及應(yīng)對風險的機會和措施。
關(guān)注顧客： 5.1.2 條款指出最高管理層必須“證明其在 關(guān)注顧客方面的領(lǐng)導(dǎo)力
和承諾，確保實施了相關(guān)工作……識別和處理可能對產(chǎn)品、服務(wù)和增強顧客滿意
度的能力方面的風險和機會”。
應(yīng)對風險和機會的措施：6.1.1 和 6.1.2 條款指出組織必 須識別那些必須應(yīng)對
的“風險和機會”，以確保質(zhì)量管理體系能夠：
“實現(xiàn)預(yù)期結(jié)果；
預(yù)防或減少非預(yù)期后果；
實現(xiàn)持續(xù)改進。”
應(yīng)對風險和機會的措施必須與產(chǎn)品、服務(wù)、顧客滿意方面的潛在影響相適應(yīng)。另
外，組織在進行改變的時候宜“有計 劃并系統(tǒng)地實施”，識別風險和機會，并
注意核查變化的潛在后果。應(yīng)對風險可能采取的方法有避免風險、消除風險源、
分擔風險以及決定是否承擔風險等。
交付后的活動：根據(jù) 8.5.5 條款，適用時，組織必須確定并滿足與產(chǎn)品、服務(wù)
的性質(zhì)及其預(yù)定使用壽命有關(guān)的交付后活動的有關(guān)要求：
與產(chǎn)品和服務(wù)有關(guān)的風險。
使用壽命。
顧客反饋。
法律法規(guī)要求。
管理評審： 9.3 條款指出組織必須考慮其采取的應(yīng)對風 險和機會的措施的有效
性(同時參見 6.1 條款)。這包括：
識別需要監(jiān)視和測量的內(nèi)容，使得組織能夠證明符合產(chǎn) 品和服務(wù)標準的要求；
評估過程的績效(同時參照條款 4.4)；
確保質(zhì)量管理體系的符合性和有效性；
評估顧客的滿意度。
內(nèi)審：條款 9.2 指出組織必須“策劃、建立、實施并維護 內(nèi)審的審核方案”，
并且確定“內(nèi)審的頻次、方法、責任、策劃要求和報告方式”。內(nèi)審方案必須考
慮質(zhì)量目標、相關(guān)過程 的重要性、相關(guān)風險以及之前審核的結(jié)果。
基于風險的方法：附錄 A 的 A4 章節(jié)內(nèi)容描述了基于風 險的管理方法，包括：
要求組織充分了解自身所處環(huán)境，包括內(nèi)部和外部的問題；
明白管理體系的重要目的之一是作為一個預(yù)防工具；
確定風險和機會；
處理識別出的風險和機會。
2、應(yīng)用基于風險的思考方法
對組織有影響的風險主要有以下 4 類：
1、組織風險：發(fā)生在組織實體及其活動層面；
2. 戰(zhàn)略風險： 發(fā)生在組織的戰(zhàn)略或業(yè)務(wù)計劃制定不夠周 密時；
3. 合規(guī)風險：發(fā)生不符合法律法規(guī)要求的情形時；
4. 運營風險：分為與組織的程序和措施有關(guān)的 7 個分類 別。
1、組織風險
實體層面的風險可以是外來的也可以是內(nèi)部存在的。外來因素包括技術(shù)、競爭以
及法律環(huán)境；內(nèi)部因素包括安保、信息系統(tǒng)、收發(fā)貨物遺失、人員能力和責任變
化等方面。 活動層面的風險對個人和部門發(fā)生影響，包括在系統(tǒng)中輸入信息或
材料時的疏漏；收發(fā)貨記錄遺失；安?？刂扑尚福蝗鄙偈炀毤夹g(shù)人員以及員工的
疏忽大意等。如果在組織的各個環(huán)節(jié)活動層面的風險不斷，最后勢必形成實體層
面的風險。
2. 戰(zhàn)略風險
戰(zhàn)略風險指的是因執(zhí)行一項不成功的商業(yè)計劃或戰(zhàn)略而可能發(fā)生的損失。其原因
可能是由于做了糟糕的業(yè)務(wù)決策、執(zhí)行決定不力、資源不足或者是因為業(yè)務(wù)環(huán)境
發(fā)生了變化而未及時進行調(diào)整。
3. 合規(guī)風險
合規(guī)風險是與法律法規(guī)要求有關(guān)的風險。環(huán)境、健康和安全要求一直是人們關(guān)注
的問題，因為一旦這些方面出現(xiàn)問題，輕則罰款，重則停業(yè)甚至追究刑事責任都
是可能出現(xiàn)的后果。遵守質(zhì)量和環(huán)境方面的標準和規(guī)范也在這個范疇之內(nèi)。
環(huán)境風險包括液體危險品遺撒、危險氣體排放以及固態(tài)廢棄物的不當處理，包括
的情況還可能有以下情形：
采購部將從國內(nèi)采購改為向國外供應(yīng)商采購；
負責環(huán)境的關(guān)鍵管理人員離崗未及時替補；
引入新的物料卻未編制有關(guān)的安全管控記錄。
4. 運營風險
運營的風險可以具體從以下 7 個方面說明：
（1）管理體系風險。由于制定的戰(zhàn)略、制度規(guī)定和工具、數(shù)據(jù)處理、呼叫(電話
) 中心、合同管理、設(shè)計與開發(fā)等層面的效率低下，都可能造成管理體系的效率
低下。比如說，一個重度依賴外包的供應(yīng)鏈，可能有很大風險。
管理體系的其他風險包括不正確的收入確定；違反國家安全規(guī)定；不符合環(huán)境法
規(guī)以及薩班斯-奧克斯利法案(美國的一部涉及會計職業(yè)監(jiān)管、公司治理、證券市
場監(jiān)管方面的重要法律) 的要求。這些行為將可能導(dǎo)致罰款、停業(yè)甚至追究刑責
的后果。為了降低此類風險，組織的最高管理層以及董事會必須對管理體系有透
徹的了解，并努力提高其有效性。如果下述的活動效率低下，則組織的管理體系
必受其累：
人力資源管理制度
各種管理工具
數(shù)據(jù)處理
呼叫(電話)中心
營銷活動
合同管理
顧客溝通
設(shè)計和開發(fā)
總而言之，組織的最高管理層和董事會要了解自身的管理體系并不斷提高其有效
性。
（2） 顧客滿意風險。顧客溝通、送貨、產(chǎn)品本身、設(shè)計維修以及對顧客反饋的
回應(yīng)方式都會影響顧客滿意風險。為降低此類風險，宜將相關(guān)的產(chǎn)品質(zhì)量數(shù)據(jù)、
產(chǎn)品和過程監(jiān)控數(shù)據(jù)以及供應(yīng)商供貨質(zhì)量等數(shù)據(jù)也一并納入分析過程。
（3） 供應(yīng)鏈風險。采購經(jīng)理必須對外購產(chǎn)品和服務(wù)、獨家供應(yīng)商、送貨時間庫
存管理以及文檔管理等保持關(guān)注。信息溝通是確保供應(yīng)鏈有效運行的關(guān)鍵。用來
管理供應(yīng)鏈風險的數(shù)值包括送貨時間、庫存水平及成本等。
（4） 收入確認風險對利潤的影響。對此類風險的管理包括追蹤產(chǎn)品從生產(chǎn)、銷
售到發(fā)貨以及應(yīng)收賬款的全過程。收入的確認受到諸如應(yīng)付款、應(yīng)收賬、交付前
貨值記錄、現(xiàn)金報價錯誤、計算表錯誤以及價格信息不完整等原因影響。
質(zhì)量經(jīng)理在控制收入確認過程的有效性方面負有重要責任。質(zhì)量體系和財務(wù)管理
體系在此有交集，涉及產(chǎn)品實現(xiàn)、成本、銷售、開發(fā)票、付款、庫存管理以及發(fā)
貨等過程。發(fā)貨信息是對應(yīng)收賬款和收入確認的直接輸入。對于許多公司
來說，收入確認對其收入有著直接影響，甚至可能影響其股票價格。
由于不正確的收入確認，還可能出現(xiàn)背離事實的虛假聲明的風險。審核員宜對已
建立的用以檢查收入確認中問題的控制措施進行測試。
（5） 信息安全風險。信息安全風險的情況包括病毒、未加防范的文件、不正確
的財務(wù)記錄和報告、糟糕的修改控制、信息檢索錯誤、數(shù)據(jù)表格濫用、臨時工和
咨詢師的使用、新技術(shù)的引入以及遭遇工業(yè)間諜和欺詐行為等現(xiàn)象。
ISO/IEC27001：2005 《信息技術(shù)安全技術(shù)信息安全管 理體系要求》 包括了建
立、實施、運營、監(jiān)視、評價、維 護并提高信息安全管理的要求。
（6） 物流風險。當今組織關(guān)注的一個風險問題是與國家安全威脅因素相關(guān)的。
運輸過程可能由于需要檢查是否藏有大規(guī)模殺傷性武器而拖慢。
如何篩查、識別、并追蹤從貨源地到購買方組織的全過程一直是個難點。以下因
素影響物流風險：
原材料和成品的運輸；
運輸中的貨損；
途中延誤造成的無法按期交貨；
運輸延誤造成的原材料庫存不足；
國家安全信息上報要求。
有必要開發(fā)出新的工具以減少篩查和追蹤等必須過程對供應(yīng)鏈的干擾?？傊?，產(chǎn)
品生產(chǎn)完成后，送到顧客手中之前，上述各種問題都可能出現(xiàn)，組織應(yīng)該有所準
備。
（7） 自然災(zāi)害風險。過去幾年間，我們這個星球上自然災(zāi)害頻發(fā)。業(yè)務(wù)連續(xù)性
要求對應(yīng)保護的存儲信息進行安全保障，并對災(zāi)后復(fù)原進行策劃。
信息技術(shù)在業(yè)務(wù)連續(xù)性中扮演著重要角色，宜專門設(shè)計相關(guān)的信息技術(shù)程序，以
確保業(yè)務(wù)連續(xù)性運行的及時性和有效性。組織的業(yè)務(wù)連續(xù)性開發(fā)團隊中不可缺少
負責信息技術(shù)的成員。
信息技術(shù)部門必須提供可將信息妥善有效存儲的保護措施，并對各種災(zāi)害進行管
理、防范并提供安全保護措施?？刹捎玫姆椒òㄐ畔⒌亩ㄆ趶?fù)制，并將備份信
息存儲于安全的另外一個地點。并且，宜對存放在該地點的數(shù)據(jù)進行定
期測試，以確保其正確無誤。
ISO/IEC27001 標準提供了業(yè)務(wù)連續(xù)性的管理控制措施， 以下是業(yè)務(wù)連續(xù)性計劃
(BCP)的相關(guān)因素：
業(yè)務(wù)風險及影響分析；
災(zāi)害事件初始反應(yīng)活動；
緊急事件和業(yè)務(wù)恢復(fù)過程管理程序；
各層級培訓(xùn)計劃；
保持業(yè)務(wù)連續(xù)性計劃及時更新的程序。
業(yè)務(wù)連續(xù)性計劃宜定期演練，組織可以用以下問題進行BCP 的自查：
是否已制定確保信息連續(xù)性的書面計劃？
上述計劃是否每年進行更新和檢驗？
何時對計算機硬件、軟件或應(yīng)用系統(tǒng)進行過重要的調(diào)整 或改變？
是否對用以備份的介質(zhì)進行了定期測試？
是否對應(yīng)用程序、應(yīng)用數(shù)據(jù)和運行系統(tǒng)軟件進行了定期備份？
是否將該計劃和信息進行了異地備份？
中企檢測認證網(wǎng)提供iso體系認證機構(gòu)查詢，檢驗檢測、認證認可、資質(zhì)資格、計量校準、知識產(chǎn)權(quán)貫標一站式行業(yè)企業(yè)服務(wù)平臺。中企檢測認證網(wǎng)為檢測行業(yè)相關(guān)檢驗、檢測、認證、計量、校準機構(gòu)，儀器設(shè)備、耗材、配件、試劑、標準品供應(yīng)商，法規(guī)咨詢、標準服務(wù)、實驗室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測認證網(wǎng)在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產(chǎn)權(quán)、版權(quán)法律法規(guī)知識資訊，包括商標注冊、食品檢測、第三方檢測機構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測、環(huán)境檢測、管理體系認證、服務(wù)體系認證、產(chǎn)品認證、版權(quán)登記、專利申請、知識產(chǎn)權(quán)、檢測法、認證標準等信息，中企檢測認證網(wǎng)為檢測認證商標專利從業(yè)者提供多種檢測、認證、知識產(chǎn)權(quán)、版權(quán)、商標、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場監(jiān)督總局 、國家認證認可監(jiān)督管理委員會、質(zhì)量認證中心
免責聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！
