基于風險的思維是ISO 9001：2015標準的核心理念。“基于風險的思維”與“過程方法”的管理原則一起，融于質量管理體系及其各過程之中，是質量管理體系策劃和過程策劃的重要輸入內容。

本文從風險的基本概念出發剖析ISO 9001：2015標準中基于風險的思維，明確了基于風險的思維的作用、風險管理框架、基于風險思維與PDCA的關系、單一過程要素中基于風險的思維活動以及基于風險的思維的組織行為。

基于風險思維的作用

簡單來講，就是確定和應對風險和機遇，這些風險和機遇可能影響產品和服務合格以及增強顧客滿意能力。

顧客是指“能夠或實際接受為其提供的，或按其要求提供的產品或服務的個人或組織”，包括消費者、委托人、最終使用者、零售商、內部過程的產品或服務的接收人、受益者和采購方等，顧客可以是組織內部的或外部的。在市場經濟條件下，顧客成為現代組織重要的稀缺性資源，顧客決定著組織的命運和前途。因此誰能占有更多的顧客資源，誰就擁有更多的市場份額，誰就能獲得更多的機會。占有更多的顧客資源的同時也存在著風險，因此“以顧客為關注焦點”就應以基于風險的思維，識別影響產品和服務符合性及顧客滿意的風險和機會，并予以處理。

最高管理者應在組織中培育意識和環境，建立過程，使組織能夠主動地關注、識別和理解顧客當前和未來的期望，及時了解政治、經濟、社會、技術的發展趨勢對顧客需求和期望影響的風險，及時了解顧客的需求和期望的變化，并能夠以敏捷、高效的方式及時做出響應。最高管理者需要確保與已經確定的風險和機會相適應的措施都得到實施，并實現預期結果。如果未達到，則需進行PDCA管理循環以確保為進一步改進分配相應的職責，直到滿足顧客需求及期望為止。

風險管理框架

風險（risk）：不確定性對目標的影響（ISO 31000：2009 風險管理原則與指南）。

注1：影響可能偏離預期——正面的和/或負面的；

注2：目標可以有不同的方面（如財務、健康安全以及環境目標），并應用于不同層次（如戰略、組織整體、項目、產品和過程）；

注3：風險常具有潛在的事件、結果和兩者結合的特征；

注4：經常用一個事件的結果和對應的發生可能性這兩者的結合來表示風險；

注5：不確定性是缺乏甚至部分缺乏一個事件其結果或發生可能性有關信息、了解或認知。

風險管理（ risk management ）：組織針對風險所采取的管理和控制的協調活動。

風險管理的成功取決于風險管理框架的有效性。風險管理框架為組織提供了基礎和安排，這些基礎和安排將風險管理框架嵌入到全組織的所有層次。風險管理框架各組成部分之間的關系如圖1所示。從圖1中可以看出，風險管理框架實際上是PDCA循環的過程。

2015版ISO 9001標準修訂的關鍵點之一就是用系統的方法應對風險和機遇，而不僅是質量管理體系中的一個單獨條款。在2008版的ISO 9001《質量管理體系 要求》中，預防措施作為單獨的條款，而2015版整個標準都要考慮風險。

通過基于風險的方法，組織積極地尋求改進機會，而不是單純地響應、預防或減少不期望的影響來進行持續改進。基于風險的方法而建立的質量管理體系，預防措施是自然而然的行為。

什么是基于風險的方法

基于風險的方法在某種程度上是一種自然而然的做法。

例如：過馬路前看紅綠燈。看到有汽車行駛，立即止步。

新版ISO 9001中始終貫穿基于風險的方法。在標準中，自始至終考慮風險，預防措施是戰略策劃和運作、評審的一部分。

基于風險的方法已經是過程方法的一部分。

例如：可以直接過馬路或者從附近的過街天橋過，通過考慮風險來確定怎樣過馬路。

通常認為風險是負面的。在基于風險的方法中，也可以發現機會，也就是說正面的風險。

例如：直接過馬路，能獲得快速到達對面的機會，但增加了被汽車撞傷的風險。

過人行天橋的風險是時間延遲，機會是避免被汽車撞傷。

機會并不總是與風險相關，但與目標相關。考慮所處的環境，可能識別改進的機會。

例如：分析所處的環境以發現進一步改進的機會：

——馬路有地下通道。

——有行人通過的紅綠燈。

——走其他的馬路，不必過馬路就可到達目的地。

有必要分析機會，并考慮采取措施。應考慮抓住機會的影響和可能性。并考慮采取措施后對環境的變化和產生的風險。

ISO 9001:2015中關注風險的地方

在 ISO 9001:2015《質量管理體系要求》引言中引入了基于風險的方法的概念。風險是針對預期結果的不確定性的影響，ISO 9001標準已經運用了基于風險的方法這一理論，而新版標準將基于風險的方法更加明確，并將其融入了質量管理體系的建立、實施、維護和持續改進的要求中。組織可選擇制定比標準中要求的更加全面的基于風險的方法，ISO 31000《風險管理 —原則和指南》提供了適用于特定組織環境的規范的風險管理指南。

質量管理體系的各個過程在組織實現其目標方面的風險水平并非是一致的，過程、產品、服務或體系的不符合因組織而異。對于一些組織而言，交付不合格的產品和服務的后果可能只是造成顧客輕微的不便；而對于其他組織，這樣做的影響可能是深遠和致命的。因此，“基于風險的方法”意味著在建立質量管理體系及其組成過程和活動時，定性（根據組織環境，定量地）地考慮風險。

在ISO 9001:2015 《質量管理體系—基礎和術語》 給出了有關風險的定義。風險是針對預期結果的不確定性的影響。 對偏離預期的影響，可以是正面或負面的，不確定性是缺乏關于事件、后果或可能性的了解。風險通常被形容為潛在“事件”（如ISO導則73: 2009，3.5.1.3定義）和“后果”（如ISO導則73: 2009，3.6.1.3定義），或二者的結合。風險通常被表述為某個事件（包括環境變化）的后果及其發生“可能性”的組合（ISO導則73: 2009，3.6.1.1定義）。術語“風險”有時僅用于負面后果的可能性。

質量管理體系的目的是獲得合格產品、服務以及實現顧客滿意。在ISO 9001:2015中，用下列條款運用基于風險的方法。

在第4章 (組織的環境)： 求組織確定影響其目標的相關風險。

在第5章(領導作用) ：要求最高管理者承諾確保實施第4章的內容。

在第6章 (策劃) ：要求組織采取行動識別風險和機會。

在第8章 (運作)：要求組織在實施過程中關注風險和機會。

在第9章 (績效評價)： 要求組織監視、測量、評價機會和風險。

在第10章 (改進)：要求組織通過響應風險中的變化而改進（因為有風險，需要改進，而不僅是采取糾正措施進行改進）。

為什么使用基于風險的方法

第一，通過考慮組織的風險，增加了實現規定目標的可能性。

第二，基于風險的方法可導致:建立牢固全面的知識庫；營造積極的改進文化；確保產品、服務持續合格；增強顧客滿意。

第三，成功的企業自覺地采用基于風險的方法。

基于風險方法的應用

在組織的過程中使用風險驅動的方法。識別組織的風險和機會——取決于組織的環境。

例如：穿過有很多車輛快速行駛的馬路和穿過很少車輛行駛的馬路，風險是不同的。還需要考慮其他的事情，如天氣、能見度、人群移動和特定的人員目標。

分析并優化風險和機會。什么是可接受的？什么是不可接受的？過程中的優勢和劣勢是什么？

例如：目標：我需要安全地穿過馬路，按時參加會議。

受傷是不可接受的。遲到是不可接受的。

快速到達目的地的機會一定要與受傷的可能性相平衡。但是，避免受傷比按時參加會議重要。

如果直接穿過馬路受傷的可能性很高，那么，走旁邊的過街天橋，導致遲到也是可以接受的。

分析現狀。過街天橋有200米的距離，將增加到達會議地點的時間。天氣很好，能見度很好，我可以看到馬路上行駛的車輛不多。

決定直接穿過馬路，接受受傷的低風險，并抓住按時到達會議地點的機會。

策劃關注風險的活動。怎樣避免或消除風險？怎樣規避風險？

例如：雖然可以走過街天橋消除受傷的風險，但已經決定直接過馬路，接受受傷的風險。

現在，策劃如何減少受傷的可能性。由于不可能控制車輛不撞到，只能減少被撞的可能性。

策劃在附近沒有車輛通過的時段穿過馬路，以減少事故的可能性。也選擇在能見度很好的地方穿行馬路，并可以安全地停在中間，以再次穿行馬路，進一步減少事故的可能性。

實施策劃——采取措施（行動）。

例如：走到馬路邊上，通過查看發現沒有阻止穿行的欄桿，馬路中間有安全島。再查看沒有車輛通過。穿過一半的馬路，停在安全島上，再查看馬路的另一個方向，穿過另一半馬路。

檢查措施的有效性——效果好嗎？

例如：安全地穿過馬路，及時到達會場：這個策劃有效，并避免了不期望的結果。

吸取經驗教訓——持續改進。

例如：在接下來幾天，在不同的時間和天氣下重復這個策劃。

這就積累了一些數據，理解變化的環境（時間、天氣、車流量）對策劃有效性的直接影響，以及增加了不能實現目標的可能性。

由經驗可知，在每天的某個時段穿行馬路是非常困難的，因為行駛的車輛太多。為了限制風險，改進了過程，在該時段從天橋過馬路。

繼續分析過程的有效性，并當環境因素變化時進行改進。也繼續考慮創新機會。

——可以改變會議地點以避免過馬路嗎？

——可以改變會議時間以便在車流量少時過馬路嗎？

——可以舉行電子會議嗎？

結論

綜上所述，基于風險的方法并不是新概念，在某些方面，組織已經采用了基于風險的方法。基于風險的方法是持續運用的，需要具備更多的知識和準備。基于風險的方法增加了實現目標的可能性，減少了不良結果的可能性，并促使組織養成預防的習慣。