ISO9001-2026之“6.1应对风险和机遇的措施”条款（过程）审核检查单（雷泽佳编制-2026B0）

ISO9001-2026之"6.1应对风险和机遇的措施”条款（过程）审核检查单（雷泽佳编制-2026B0）雷泽佳编制-2026B0ISO9001-2026之"6.1应对风险和机遇的措施”条款（过程）审核检查单（雷泽佳编制-2026B0）审核维度审核项目审核内容与要点审核方法所需证实的成文信息典型不符合项提示1.策划的输入与范围(P)1.1确定风险和机遇的输入1.1.1组织在策划质量管理体系时，是否将4.1条（理解组织及其环境）提及的内外部因素作为输入？

1.1.2组织是否将4.2条（理解相关方的需求和期望）提及的要求作为输入？

1.1.3所识别的风险和机遇是否紧密围绕标准6.1.1a)至d)的四个核心目的：实现预期结果、防止/减少不利影响、实现持续改进、增强有利影响？

1.1.4是否将气候变化、数字化转型、循环经济等内外部新兴因素纳入风险与机遇的识别输入，与4.1条的环境分析结果保持一致？

1.1.5是否将相关方提出的合规、可持续性、供应链韧性等新要求（对应4.2条）作为风险与机遇的识别依据？

1.1.6是否考虑了超出质量管理体系范围、且无法通过该体系实际管控的风险，并确保已识别风险均在质量管理体系可控范围内？查：查阅战略分析报告、管理评审输入报告、SWOT/PESTLE分析记录、相关方需求清单等文件；问：与高层和策划人员访谈，询问他们在策划质量管理体系时考虑了哪些具体的宏观环境因素和相关方的新要求，并如何将这些输入与质量管理体系的风险和机遇关联起来；抽：抽取3-5项核心风险/机遇，反向追溯其识别输入是否对应4.1、4.2的分析结论，验证输入溯源性。1)内外部因素分析报告（4.1的证据）

2)相关方及其需求清单（4.2的证据）

3)风险和机遇识别记录（如SWOT分析表、风险登记册），需明确显示与4.1、4.2输入的关联；

4)环境因素专项分析记录（如气候变化、供应链韧性分析报告）1)风险和机遇清单与组织的战略方向、内外部环境明显脱节；

2)仅关注了产品质量风险，忽略了实现质量目标或顾客满意的风险与机遇；

3)未能提供将4.1和4.2的输出作为风险识别输入的证据；

4)未识别气候变化、供应链中断等新兴外部因素对应的风险与机遇；

5)将超出质量管理体系能力范围的外部经济或政治风险纳入风险登记册，但无法制定有效管控措施。1.2风险和机遇识别的全面性1.2.1识别是否覆盖了标准及指南中提示的重点领域：实现质量目标、过程与产品符合性监控、内审有效性、运行中断、顾客满意提升等？

1.2.2是否考虑了单点故障（SPOF）引发的风险，如关键人员依赖、独家供应？

1.2.3机遇的识别是否包括新做法、新技术、新合作关系、新市场等方面？

1.2.4识别范围是否覆盖质量管理体系全部过程、所有产品/服务类别、所有组织单元及外部提供的过程/产品/服务，包括关键外包过程？

1.2.5是否识别了全类型单点故障风险，包括关键技术人员、独家供方、核心生产设备、核心信息系统等单一节点失效风险？

1.2.6是否覆盖运行中断场景下的风险，包括自然灾害、公共卫生事件、基础设施故障等导致的产品/服务交付中断风险？

1.2.7识别过程是否包含跨职能团队的协作，并对识别的结果进行了评审和确认，以确保不同视角的全面覆盖？

1.2.8是否识别了因关键员工流失、知识传承中断或文件化知识不足，导致过程能力丧失的知识风险？查：详细审查“风险登记册”或“机遇清单”，验证其范围是否全面；检查有无针对关键过程（如设计、采购、生产）的风险和机遇识别记录；问：询问质量经理：“如果你们的首席工程师明天离职，对持续提供合格产品有何影响？这个风险识别了吗？”；询问销售经理：“我们是否识别了通过直播电商开辟新市场的机遇？”验：对照体系范围和过程清单，核查风险识别的覆盖度，确认是否存在遗漏的关键过程或外包环节。1)经审批的风险和机遇清单/登记册

2)关键过程/业务连续性计划中识别的风险点

3)创新提案、市场分析报告等

4)业务连续性风险识别记录、关键设备/信息系统风险台账

5)外包过程风险评估记录

6)跨部门风险识别评审会议纪要或记录

7)知识管理清单/知识流失风险评估记录1)风险识别范围狭窄，仅关注操作层面，忽略了战略和声誉风险；

2)完全未识别任何机遇；

3)对于依赖单一供应商的关键物料，未识别为风险；

4)未覆盖外包过程、远程运维等外部提供过程的风险识别；

5)未识别核心信息系统宕机等运行中断风险；

6)风险识别仅由一个部门闭门造车；

7)未将关键技术人员流失或核心工艺知识失传识别为风险。2.风险的分析与评价(P)2.1风险分析与评价方法2.1.1组织是否采用了适宜的方法对已识别的风险进行分析和评价？

2.1.2分析和评价是否考虑了风险发生的可能性和后果？

2.1.3方法是否明确且应用一致？例如是否使用了后果-可能性矩阵、FMEA、风险指数等？

2.1.4是否明确了风险可接受准则（如ALARP最低合理可行原则），且准则与组织的质量目标、风险偏好相匹配？

2.1.5风险分析是否同时考虑了发生可能性、后果严重度，以及可探测度等维度（适用于过程/产品风险），评价方法在组织内应用一致？

2.1.6针对运行中断类风险，是否开展了业务影响分析（BIA），明确了最大可接受中断时间、恢复目标和优先级？

2.1.7是否结合知识管理要求，对关键知识丢失的风险进行了专项分析与评价？查：检查组织的风险管理程序或作业指导书，其中是否定义了风险分析评价准则；抽查风险登记册，验证其是否依据准则进行了评分；问：询问风险管理人员，展示一个具体风险，请其解释如何分析、评价并确定当前风险等级；核：核对不同部门、不同过程的风险评价尺度是否统一，是否存在判定结果差异过大的情况。1)形成文件的风险管理程序/准则

2)经评价的风险登记册

3)风险评价准则文件

4)业务影响分析报告（适用时）

5)关键知识风险的分析评价记录1)缺乏评价准则，仅凭主观感觉判断风险高低；

2)对风险的分析评价仅停留在定性描述；

3)评价准则未与组织的风险接受程度（ALARP原则）相关联；

4)风险可接受准则未结合组织实际设定，与质量目标要求不匹配；

5)不同部门风险评价尺度不统一；

6)对关键设计、工艺等技术知识未进行流失风险分析。2.2机遇的分析与评价2.2.1组织是否以类似严谨的方法，对已识别的机遇进行了分析和评价？

2.2.2在评价机遇时，是否识别并评价了机遇伴随的风险及其对质量管理体系的潜在影响？

2.2.3机遇评价是否涵盖预期收益、资源投入、实施可行性、战略契合度四个维度，并进行优先级排序？

2.2.4研判机遇时是否同步识别伴随的次生风险，评估其对质量管理体系有效性、产品符合性和顾客满意的潜在负面影响？

2.2.5是否就机遇伴随的风险制定了风险应对预案，并将该风险录入风险登记册中进行闭环管理？查：查看机遇清单或评估记录，看是否包含对机遇潜在收益、所需资源、成功可能性及伴随风险的分析；问：询问产品研发负责人：“关于我们计划进军高端市场这个机遇，我们分析过它将给现有生产体系和供应链带来哪些风险和挑战吗？”谈：与战略/研发负责人访谈，验证重大机遇决策前是否开展了风险收益平衡分析。1)机遇评估分析记录

2)项目可行性分析报告（需包含风险章节）

3)机遇优先级排序表

4)机遇项目可行性研究报告（含风险评估章节）1)只看到机遇的正面影响，未对其带来的负面风险进行评估；

2)对机遇的评价仅凭管理层直觉，缺乏数据和事实支持；

3)重大机遇决策前未开展伴随风险评估；

4)机遇未进行优先级排序，资源分散。3.措施的策划(P)3.1应对措施的适宜性3.1.1针对评价出的风险，是否策划了与其潜在影响相适应的措施？

3.1.2措施是否体现了风险应对选项的多样性，如规避、消除、承担、分担、接受等？

3.1.3针对机遇，是否策划了与环境相适宜并支持预期结果实现的措施？

3.1.4策划的措施是否明确说明了“如何”融入质量管理体系过程并实施？

3.1.5是否策划了“如何评价这些措施的有效性”的方法和指标？

3.1.6风险应对措施是否匹配风险等级，体现分级管控原则：高风险制定专项管控方案，中风险制定常规管控措施，低风险予以监视；

3.1.7针对运行中断类风险，是否策划了应急预案、备用方案和业务连续性恢复措施，明确了应急响应流程和职责？

3.1.8措施策划是否明确了融入的具体质量管理体系过程（如采购控制、设计开发、生产控制），以及对现有文件、流程的调整要求？

3.1.9是否策划了措施有效性的评价指标、评价频次和评价责任主体，指标可测量且与风险/机遇的预期影响对应？

3.1.10对于高风险的应对措施，是否制定了阶段性的实施里程碑计划和监控手段？

3.1.11应对风险和机遇的措施是否与相应的质量目标建立关联，确保措施的实施能够支撑质量目标的达成？查：审查风险/机遇应对计划或措施清单；针对一个高风险项，检查其措施是否足够有力；针对一个低风险项，检查是否过度投入；核实是否有明确的责任人、完成时间和资源需求；问：询问项目经理：“对于‘开发B供应商’这个措施，如何判断它已经有效了？是通过样品通过率，还是小批量供货稳定性？这些在策划时就定好了吗？”对：对照风险等级，验证应对措施的力度是否匹配，核查是否存在高风险轻管控、低风险过度管控的情况。1)风险和机遇应对措施计划/方案

2)包含以下内容的措施表：

-应对措施具体描述

-责任人/部门

-完成时限

-与质量管理体系过程的关联

-有效性评价指标/方法

3)业务连续性计划、应急预案

4)措施有效性评价指标清单

5)高风险措施的项目实施计划/甘特图

6)质量目标与风险/机遇应对措施的关联矩阵1)“一刀切”地采取控制措施，未考虑风险水平与措施的相称性；

2)措施模糊不清、无可操作性（如“加强培训”）；

3)措施未明确如何融入现有过程；

4)未策划有效性评价方法；

5)高等级风险仅制定原则性要求，无专项管控方案；

6)运行中断类风险无对应应急预案和恢复措施；

7)应对措施孤立于质量目标之外，无法证明其对组织战略的贡献。3.2措施的资源与职责保障3.2.1是否为每项应对措施明确了过程所有者、责任部门/岗位及相应权限，确保责任无盲区？

3.2.2是否识别并保障了措施实施所需的人力、财力、设备、技术、信息等资源，资源配置与措施难度相匹配？

3.2.3措施的资源配置是否已经过管理层审批并纳入预算，确保了资源的可获得性？查：查阅应对措施计划表，核实责任主体和资源配置的明确性；问：与措施责任人访谈，确认其是否知晓自身职责及可用资源。1)风险/机遇应对措施责任分配矩阵

2)资源配置计划/预算

3)经批准的资源（资金/人力/设备）申请与审批文件1)应对措施未明确具体责任人，仅分配至部门层级；

2)关键措施未配套相应资源，仅停留在纸面策划；

3)资源配置计划未获批，导致无法按时按量保障措施的推进。4.措施的实施与融入(D)4.1措施实施状态4.1.1所策划的应对风险和机遇的措施是否按计划予以实施？

4.1.2措施是否已实际融入到相关的质量管理体系过程（如采购、设计、生产、人力资源等）中？

4.1.3高优先级风险/机遇的应对措施是否按计划节点推进，是否建立了里程碑管控机制，对延迟项有原因分析和补救措施？

4.1.4涉及外部供方的应对措施（如第二供方开发、供方质量提升）是否已传递至供方并纳入供方绩效监视范围？

4.1.5岗位员工是否知晓其职责范围内的风险与机遇，以及自身在应对措施中的工作要求？

4.1.6措施实施引发的流程、文件变更是否按文件控制要求执行，确保相关岗位获取最新版本？

4.1.7是否建立了措施实施的跟踪和监控机制（如定期例会、看板管理），以监控措施的进展和偏差？查：抽样追踪2-3项已策划的措施；例如，策划的措施是“修改采购合同模板以分担风险”，则需审核最新的采购订单/合同，确认条款是否已更新；问：与过程所有者（如采购经理、生产主管）交谈，询问他们负责的风险/机遇措施的具体落实情况；察：现场观察一线岗位的操作，验证风险管控要求是否体现在实际作业中；访：随机访谈2-3名一线员工，确认其对岗位相关风险的知晓度。1)更新的流程文件、作业指导书、合同模板、系统设置等；

2)项目任务跟踪表或行动计划跟踪看板；

3)新设备运行记录、培训记录等；

4)供方沟通记录、供方绩效监视记录

5)员工培训/意识宣贯记录

6)文件变更审批与发放记录

7)措施实施的跟踪会议纪要或进展报告1)有完美的策划方案，但措施未实际执行或严重延迟；

2)措施实施了，但未融入体系过程；

3)供方相关的风险管控要求未传递至外部供方；

4)一线员工不了解岗位相关的风险管控要求；

5)措施实施带来的流程变更未更新作业文件。5.有效性评价与评审(C)5.1措施有效性评价5.1.1组织是否按照策划的方法和指标，评价了所采取措施的有效性？

5.1.2评价结果是否表明措施达到了预期效果？若未达到，是否有后续处理？

5.1.3有效性评价是否同时验证两方面：一是风险等级是否降至可接受水平/机遇是否达成预期收益；二是措施是否高效融入日常过程，未造成不必要的负担？

5.1.4针对重大风险的应对措施，是否开展了专项验证，确认剩余风险处于可接受范围内？

5.1.5对未达预期效果的措施，是否分析了失效原因并制定了优化/替代方案，形成闭环管理？

5.1.6评价结果是否与组织的质量目标绩效挂钩，并用于高层决策？

5.1.7措施有效性评价结果是否反馈至质量目标考核及风险评估流程，驱动风险准则和管理方案的持续改进？查：查措施有效性评价记录；例如，对于“开发B供应商”措施，检查B供应商的PPK数据报告、供货质量月报，看是否达到策划的指标；问：询问措施责任人：“评价结果显示‘B供应商’的PPK没达标，接下来我们做什么？是继续改进、接受现状还是放弃？”追：选取2项已完成评价的措施，追溯从实施数据到评价结论的完整逻辑，验证评价的客观性。1)措施有效性评价记录（如报告、会议纪要、数据统计分析图表）

2)未达标措施的后续行动计划

3)重大风险专项验证报告

4)措施失效原因分析及整改记录

5)管理评审会议纪要或报告，显示措施有效性评价结果已被评审；

6)质量目标考核记录，体现风险应对措施有效性的贡献/影响；1)实施了措施但从未评价其有效性；

2)评价指标与预期效果不相关；

3)对评价发现的问题（措施无效或低效）未采取进一步行动；

4)有效性评价仅核对“是否实施”，未评价风险降低程度或实际收益；

5)措施失效后未分析原因也未调整方案；

6)评价结果未用于质量目标的复盘与更新，管理闭环缺失。5.2风险和机遇的定期评审5.2.1组织是否定期评审其已识别的风险和机遇及其状态？

5.2.2当内外部环境、相关方要求或过程绩效发生变化（如返工率上升）时，是否触发了对风险和机遇的重新评估？

5.2.3定期评审是否覆盖以下内容：内外部因素变化、相关方要求变化、措施有效性、剩余风险状态、新出现的风险与机遇、风险优先级调整？

5.2.4当发生重大质量事件、内外部环境重大变化、法规标准更新时，是否触发了专项风险评估与登记册更新？

5.2.5风险和机遇的评审结果是否作为管理评审输入，支撑质量管理体系的持续改进？

5.2.6评审结果是否在组织内部得到适当沟通，确保相关部门和人员了解最新的风险态势？查：查看管理评审输入/输出报告，是否包含了“风险和机遇状态”的议题和结论；查看最近的风险登记册的修订日期和修订历史，验证其是否为“活文件”；问：询问管代或高层管理者：“我们的风险和机遇清单上次是什么时候全面审阅的？有哪些新风险被纳入，或哪些旧风险已关闭/升级了？”验：核查管理评审输入材料，确认风险机遇评审内容的完整性；验证近期重大事件后是否开展了专项风险评估。1)管理评审报告/会议纪要（包含风险和机遇评审部分）

2)风险和机遇登记册的版本更新记录

3)因特定事件触发的临时评审记录

4)专项风险评估记录（触发式）

5)管理评审输入材料中风险与机遇章节

6)风险态势沟通记录或会议纪要1)将风险登记册当作一劳永逸的静态文件，多年未更新；

2)内外部环境已发生显著变化，但风险和机遇清单未作相应调整；

3)定期评审流于形式，仅核对清单未结合实际变化更新风险内容；

4)发生重大客户投诉、供应链中断等事件后，未触发风险重估；

5)风险和机遇的评审结果未输入管理评审。6.改进与持续优化(A)6.1风险管控失效的改进6.1.1当发生风险失控、不合格事件时，是否结合事件调查回溯风险识别、评价、管控全流程的不足，纳入纠正措施管理？

6.1.2是否将风险管控的经验教训转化为组织知识，更新风险评价准则、管控流程和相关文件？

6.1.3是否建立了风险管理的预警和上报机制，确保重大风险变化能及时传达到决策层？

6.1.4是否系统性收集行业内的风险事件与失效案例，进行差距分析，并用以更新本组织的风险数据库？查：查阅不合格纠正措施报告，验证是否包含风险管控流程的复盘改进；问：询问质量负责人，近期发生的质量问题是否推动了风险管理体系本身的优化。1)风险事件复盘报告、纠正措施记录

2)风险管控文件修订记录

3.风险报警与升级记录

4)行业风险数据库/经验教训库更新记录1)发生质量事件后仅处置具体问题，未回溯风险管控体系的漏洞；

2)风险管控的经验教训未沉淀为组织知识；

3)风险已明显加剧但未及时升级；

4)闭门造车，未能借鉴行业失效案例完善自身风险库。6.2机遇成果的固化与推广6.2.1对落地见效的机遇项目，是否将成功经验固化为标准流程，在组织内同类过程中复制推广？

6.2.2是否将风险与机遇管理的绩效纳入质量目标和绩效考核，驱动全员持续改进？

6.2.3是否建立了内部分享和激励机制，鼓励员工主动识别和报告新的风险和机遇，以推动持续改进文化的形成？

6.2.4是否将机遇把握的成功实践（如新做法、新技术应用）形成知识文档，纳入知识管理系统进行共享和传承？查：查阅最佳实践推广文件、绩效考核方案，验证机遇成果的固化落地情况；问：询问体系负责人，