熟悉2008版ISO9001質量管理體系的朋友都清楚，基于風險的思維是2015版新增的主要內容之一。為了應對企業在經營中所面臨的日益加劇的復雜性、需求和動態的環境的變化，企業在管理體系建設中，需要策劃和實施應對風險和機遇的措施，以提高質量管理體系的有效性。
1、風險管理的基本概念
有關風險管理的標準的源于ISO31000《風險管理――準則和實施指南》，因為組織所有的活動都存在風險，所以，組織可以通過這個標準來識別、分析和評定是否運用風險處理修訂風險以滿足組織的要求。因ISO9001的風險主要是針對質量的風險，在這里就不詳細講解該標準了，只是重點講解下風險的概念、風險管控過程以及在質量管理體系方面的應用。有興趣的朋友可以在網絡上找相應的資料進行學習。
風險的定義（ISO9001）
風險是指不確定性的影響。
注1：影響是指偏離預期，可以是正面或負面的；
注2：不確定是一種對某個事件，甚至是局部的結果或可能性缺乏理解或知識的信息的狀態；
注3：一般通過有關可能事件和后果或兩者組合，來表現風險的特性；
注4：通常風險是以某個事件的后果 及其發生可能性的組合來描述；
注5：風險一詞有時僅在有負面結果的可能性時使用；
風險管理是指導和控制某一組織與風險相關問題的協調活動，可通過識別、分析和評定來管理風險，以確保是否采用修正風險的措施。
2、風險管理的主要過程
風險管理過程是指管理方針、程序和慣例對溝通、協商、明確環境，以及識別、分析、平價、處理、監測和評審風險活動的系統應用。
對于不熟悉風險管控過程的朋友來說，這一方面內容可能比較抽象。下面簡單對各過程的定義，考慮因素以及使用的工具簡要做一個說明，后期慢慢運用就會逐漸熟悉起來了。
2.1 風險識別
a）定義：發現、列舉和描述風險要素的過程；
b）考慮要素：通過識別風險源、影響范圍、事件及其原因和潛在的后果等，形成一個全面的風險列表（了解OHSAS18001的朋友知道這個類似于危險源的識別）。在進行風險識別的時候，除了識別出可能發生的風險事件外，還要考慮其可能的原因和可能導致的后果。
c）風險識別的方法：德爾菲法、頭腦風暴法、虛擬團隊技術、訪談法、因果圖法等
2.2 風險分析
a）定義：系統地運用相關信息來確認風險的來源，并對風險進行評估。
b）考慮因素：考慮導致風險的原因和風險源、風險事件的正面喝負面的后果及其發生的可能性，影響后果和可能性的因素、不同風險及其風險源的相互關系，還要考慮現有的管理措施及其效果。
c）風險分析的方法分為定性分析方法（會議方法、概率影響風險矩陣、項目假設測試、風險緊迫性評估 ）和定量分析方法（敏感性分析、決策樹分析、期望價值分析、項目模擬、項目評審技術、層次分析法）兩部分。
2.3風險評價
a）定義：將估計后風險與給定風險準則進行對比，以決定風險的水平并確定控制風險的有限順序。
經過風險評價，確定該風險是可承受還是需要進行控制處理。
2.4 風險控制
a）定義：風險管理者采取各種措施和方法， 消滅或減少風險事件發生的各種可能性，或者減少事件發生時造成的損失。
b）風險控制的方法：消極風險應對策略（風險回避、風險降低、風險轉移、風險接受）；積極風險應對策略（風險利用、風險承擔、風險促進）。
3、質量風險的概念和范圍
3.1質量風險的概念：
影響客體（包括產品和服務、過程或體系）質量的某些因素的不確定性或缺失對目標和期望的影響程度，或其導致傷害的可能性和后果的嚴重程度，或及其組合。
3.2質量風險涉及范圍：
產品和服務質量風險涉及到產品的整個壽命周期，包括產品和服務市場調研和預測、設計和開發、外部供方提供過程、產品和服務的控制、運行的策劃和控制、生產和服務提供過程、監視和測量過程、產品營銷管理過程，以及產品處置和報廢過程等。
質量風險來源于產品和服務本身特性或產品和服務過程中影響這些特性的5M1E特性。例如：
人員：人員的資質、能力和意識等；
機器：設備設施、工裝等
物料：外部供方管理過程；
方法：形成文件的信息、設計和開發過程方法、工藝等；
環境：產品的運行環境，生產環境，使用環境等
測量：驗證、測試以及測量設備的管理等。
當以上因素不受控時，必然會影響到產品和服務本身的特性，導致質量風險的發生。
4、2015版質量管理體系中對風險管理的要求
質量管理體系的風險來源于組織內外部以及相關方。在2015版ISO9001中，涉及風險相關的內容包括13個方面：
（1）4.1和4.2要求識別組織和外部和內部環境，以及來自相關方的風險因素。
（2）4.3要求在界定質量管理體系范圍時應考慮4.1和4.2所識別的風險，以及風險的重要度；
（3）4.4 規定應對所確定的風險和機遇；
（4）5.1.1 提出促進機遇風險的思維；
（5）5.1.2提出確定和應對能夠影響產品和服務的符合性，以及增強顧客滿意度能力的風險和機遇；
（6）5.2.1 提出質量方針應適應組織的宗旨和環境（即環境風險）并支持其戰略方向。
（7）6.1.1 要求策劃質量管理體系時，組織應考慮4.1所描述的因素和4.2所提出的要求，確定需要應對的風險和機遇。
（8）6.1.2 組織應策劃應對這些風險和機遇的措施，應對風險和機遇的措施都應與其對于產品和服務符合性的潛在影響相適宜。
（9）8.1 要求組織策劃、實施和控制滿足產品和服務要求所需的過程（4.4），并實施第6章應對風險和機遇所確定的措施。
（10）8.3.3 要求組織應考慮由產品和服務性質所決定的失效的潛在后果。
（11）8.3.6 要求組織應識別、評審和控制在產品和服務設計和開發期間以及后續所做的變更，以避免不利影響，確保符合要求。
（12）9.1.3 要求組織應利用分析結果評價針對風險和機遇所采取的措施的有效性。
（13）9.3.2 要求規定策劃和實施管理評審時應考慮與質量管理體系相關的內外部因素的變化以及應對風險和機遇所采取措施的有效性（6.1）。
總的來說，基于風險的思維使得組織能確定可能導致過程和質量管理體系偏離預期結果的各種因素，采取預防控制，最大限度的降低不利影響，并最大限度的利用出現的機遇。
5、總結：
本文主要對風險管理的基本概念、管理方法以及2015版ISO9001中有關風險點的控制進行了簡要概括。在后面學習標準條款時，再通過詳細舉例的方式說明風險如何管控，形成怎樣的表單，寫體系文件時應考慮哪方面的內容。
