ISO9001-2026典型模板示例程序文件之8-风险管理程序（风险确定、分析、评价与应对控制程序）（雷泽佳编制）

ISO9001-2026典型模板示例程序文件之8：风险管理程序（风险确定、分析、评价与应对控制程序）（雷泽佳编制）ISO9001-2026典型模板示例程序文件之8：风险管理程序（风险确定、分析、评价与应对控制程序）（雷泽佳编制）1目的为了系统确定、分析和评价可能对组织持续、稳定地提供合格产品和服务以及增强顾客满意的能力产生不利影响的风险，规范风险的确定、分析、评价、应对措施的策划与整合实施、有效性评价、清单更新及相应成文信息管理等活动，以4.1所提及的内外部因素（含气候变化是否为相关因素的判定结果）和4.2所提及的相关方要求作为风险确定的强制输入，预防不合格（包括不合格输出）、预防或减少不利影响、实现持续改进，确保质量管理体系能够实现其预期结果，特制定本文件。2范围本文件规定了风险的确定、分析、评价、应对措施的策划与整合实施、有效性评价、风险清单更新、异常处置及相应成文信息管理的管理要求和工作程序。本文件适用于公司总部及所属分/子公司质量管理体系范围内（见QM-01第4.3条）的全部过程、职能部门和工作场所开展的风险管理活动，覆盖风险管理全生命周期的控制。本文件不适用于机遇的确定、分析、评价与应对（按QP-06-02《机遇管理程序》执行）；不适用于超出质量管理体系范围、组织无法通过该体系实际管控的风险（如纯粹经营投资风险）。注1：“为寻求机遇承担风险”属于本文件规定的风险应对选项之一，属于本文件范围。注2：为把握机遇而实施新过程、新设备、新产品等引发的伴随风险，属于本文件风险识别与应对范围，按第6.8.2条与QP-06-02《机遇管理程序》建立移交与回写接口。3规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。凡是注日期的引用文件，仅该日期对应的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO9001-2026质量管理体系——要求ISO9000-2026质量管理——基础和术语GB/T19023-2025质量管理体系成文信息GB/T24353-2022风险管理指南GB/T23694-2024风险管理术语GB/T27921-2023风险管理风险评估技术GB/T1526-1989信息处理数据流程图、程序流程图、系统流程图、程序网络图和系统资源图的文件编制符号及约定IEC31010:2019风险管理风险评估技术QM-01质量管理手册QP-04-02相关方管理程序QP-06-02机遇管理程序QP-07-01成文信息控制程序（文件与记录控制程序）QP-09-01管理评审控制程序QP-10-01不合格与纠正措施控制程序4术语和定义ISO9000-2026界定的以及GB/T23694-2024界定的术语和定义适用于本文件。4.1风险准则评价风险重要程度所依据的、经最高管理层批准的判定条件集合，包括发生可能性分级、后果严重程度分级、风险等级划分及风险可接受准则。4.2风险等级按既定风险准则对风险分析结果进行综合评定所确定的级别（重大、较大、一般、轻微）。4.3剩余风险风险应对措施实施后仍然存在的风险。4.4风险接受（风险保留）经信息充分的知情决策后，不采取额外应对措施而有意保留风险的决定；接受决策应留存研判依据、决策人及决策日期的证据。4.5中断事件对所策划的产品和服务的提供产生负面影响的事件，包括但不限于关键设备故障、供应链中断、关键人员流失、信息系统宕机及自然灾害等突发事件。4.6单点故障因依赖单一条件（如关键设备单台运行、独家外部供方、单一领域专家知识或单一技能人员）且无备份替代，一旦失效即导致过程或交付中断的故障形态。4.7风险登记册对风险及其分析、评价、应对、有效性评价与更新状态进行结构化登记并动态维护的成文信息，现行有效版本持续受控。5职责5.1最高管理层（总裁/总经理办公会）对质量管理体系策划中风险的确定工作承担总体决策与问责责任，确保在战略、战术和运行层面应用基于风险的思维；负责批准风险准则、风险偏好及风险可接受准则；负责批准高等级风险专项应对方案及战略性风险应对安排，对接受类（保留）风险结论行使知情决策批准职责；负责在管理评审（见9.3）中对应对风险所采取措施的有效性（9.3.2g）进行评审并作出决议；负责确保风险管理所需资源的配置。5.2管理者代表（分管质量副总经理）负责归口统筹风险确定、分析、评价与应对策划工作，协调4.1内外部因素和4.2相关方要求输入的汇集与转化；负责审核风险等级评价结论、《风险登记册》及高等级风险专项应对方案并报最高管理层批准；负责协调解决跨部门风险管理协同问题，对风险管理实施情况进行检查与督办，对风险应对不到位的情形行使纠正要求权；负责组织风险应对措施有效性评价结果的汇总审核，并将评价结果分别纳入9.1.3e)分析与评价输入和管理评审9.3.2g)输入；负责定期向最高管理层报告风险管理工作进展及改进机会。5.3质量管理部（归口管理部门）负责本文件的制定、修订、维护及培训实施，归口汇总各部门、各过程上报的风险信息并纳入《风险登记册》统一管理；负责组建风险与机遇管理小组并建立常态化沟通机制（月度例会），统筹风险识别、分析、评价活动的组织实施；负责建立和维护《风险登记册》，跟踪风险应对措施实施状态，建立更新跟踪台账；负责编制《风险管理年度工作计划》，明确年度识别、评审、评价及更新的时间节点，于每年12月20日前报批发布；负责组织风险应对措施有效性的评价及汇总，编制《风险应对措施有效性评价报告》，作为9.1.3e)和管理评审9.3.2g)输入；负责每季度对风险管理实施情况进行监督检查，对未按分工履行风险管理职责的情形提出纠正要求。5.4风险与机遇管理小组（含跨职能环境分析小组）负责归口组织风险的识别、分析和评价，汇集4.1内外部因素（含气候变化判定结果）和4.2相关方要求作为识别输入，覆盖6.1.1a)至d)项重点领域；负责选定和运用适用的识别、分析与评价方法及工具（头脑风暴法、调查法、SWOT、PESTLE、FMEA、FMECA、SWIFT、HACCP、ALARP、后果-可能性矩阵、风险指数、蝴蝶结分析等），开展风险分析与等级评价；负责专项识别“单点故障”风险及与中断期间和中断之后提供合格产品和服务能力有关的风险；负责组织风险应对措施的策划，编制《风险应对措施策划表》，提出措施适度性判断意见；负责组织对已识别风险的定期评审和触发式复评，维护《风险登记册》更新，确保风险持续得到有效应对和保持适用性；负责风险识别中发现的机遇条目向QP-06-02《机遇管理程序》的移交，以及机遇伴随风险向本文件风险登记册的回写。5.5各过程所有者及各职能部门各过程所有者作为所辖过程风险识别的第一责任人，负责在过程策划阶段及日常运行中识别、分析影响过程实现预期结果的风险，于发现后3个工作日内按程序上报风险与机遇管理小组；负责识别所辖过程的“单点故障”风险（关键设备单台运行、独家供方、单一领域专家、单一技能人员）及返工率、报废率上升等风险变化信号；负责落实针对所辖过程的风险应对措施，将措施整合到过程运行控制中，收集并报告措施有效性证据；各职能部门负责按《风险管理年度工作计划》参加识别、评审活动，负责识别本部门职责范围内的风险，当发现新的或变化的风险信号时于3个工作日内向质量管理部报告。5.6行政与文控中心负责对《风险登记册》、风险分析评价记录、风险接受决策记录、有效性评价记录等成文信息实施标识、审批、发放、更改和归档的受控管理；负责确保风险管理相关成文信息在必要的范围和程度上可获取，在风险清单更新时组织成文信息的及时更换和作废版本回收。6管理内容及要求6.1总体要求本程序按“策划（P）—实施（D）—检查（C）—处置（A）”的过程方法建立风险管理流程，总体流程见附件A（规范性），流程编号与本章条款编号一一对应；风险的确定、分析、评价与应对应与机遇管理分轨运行：风险的确定、分析、评价与应对由本文件承载，机遇的确定、分析、评价与应对由QP-06-02《机遇管理程序》承载，风险记录与机遇记录分轨建立、互不混同；风险的确定应以4.1输出的内外部因素分析成果（含气候变化相关性判定结果，见QP-05-01《组织环境管理程序》）和4.2输出的相关方需求和期望清单（见QP-04-02《相关方管理程序》）为强制性输入，不得脱离上述输入凭经验识别，并保留“4.1/4.2输入依据→已识别风险事项→对应的a)/b)/c)/d)目标→风险等级评定”的溯源映射证据；应对风险的措施应与风险对质量管理体系预期结果的潜在影响相适应：重大、较大风险配置充足资源与管控力度并形成专项应对方案；一般、轻微风险可采取简化管控或经知情决策接受，避免过度管控造成资源浪费；应警惕“单点故障”类风险并纳入必查范围；不应将超出质量管理体系范围、无法通过该体系实际管控的风险纳入登记；本程序产生的成文信息按QP-07-01《成文信息控制程序（文件与记录控制程序）》进行标识、评审、批准、存储、防护与更改控制；电子形式记录统一存储于质量管理体系系统“风险管理模块”。6.2风险管理基础（静态要求）6.2.1风险偏好与风险准则质量管理部应组织制定《风险评价准则表》（见附件B，规范性），明确发生可能性分级（5级：极少发生、不太可能、可能、很可能、几乎肯定）、后果严重程度分级（5级：轻微、一般、较重、严重、灾难性，覆盖产品/服务符合性、顾客满意度、合规性、财务损失、组织声誉、业务中断时长等维度）及风险可接受准则；风险准则应反映组织的价值观、质量目标及资源状况，经风险与机遇管理小组评审、管理者代表审核、最高管理层批准后发布，每年与管理评审同步复核一次。6.2.2风险等级划分方法采用定性、半定量或定量方法（定性：描述性分级；半定量：后果-可能性矩阵、风险指数；定量：故障树分析、事件树分析），默认采用“风险值=发生可能性×后果严重程度”的矩阵法，将风险划分为重大、较大、一般、轻微四级；等级划分及对应行动要求：重大风险——立即制定专项应对方案，经最高管理层批准后实施，设置强制性检查控制点（停止点）；较大风险——制定应对措施并纳入过程控制，限期实施；一般风险——制定简化措施或纳入监视；轻微风险——可经知情决策接受，保留决策证据。6.2.3识别方法与工具选用组织可选用：头脑风暴法、调查法、SWOT或PESTLE等分析技术；FMEA、FMECA、SWIFT等风险识别技术；HACCP、ALARP；或后果-可能性矩阵、风险指数、蝴蝶结分析等简便方法。方法选择应与组织规模、业务复杂度、风险类型相适配，并在《风险识别与评价记录》中记载所用方法及理由。6.3风险管理的策划（P阶段）6.3.1输入信息筹备与识别时机输入信息筹备：风险管理小组应以4.1内外部因素清单（外部：法律法规与标准更新、行业技术变革、供应链波动、市场与竞争格局、气候变化影响、宏观经济趋势等；内部：资源能力、过程成熟度、组织知识、绩效数据、变更管理状态等）和4.2相关方要求清单为基础，重点提取与产品/服务符合性、顾客满意、合规性、业务连续性相关的要求，覆盖产品/服务全生命周期、所有质量管理体系过程及所有业务场所，并考虑战略、战术和运行三个层级；识别时机：a)质量管理体系建立、修订或换版时；b)每年年度全面识别，与管理评审周期协调（每年至少一次）；c)内外部环境发生重大变化时（政策调整、技术革新、市场格局突变、气候变化相关法规或顾客气候要求调整等）；d)产品/服务结构、工艺、材料重大变更及组织重组时；e)发生重大质量事故、供应链重大变动时；f)实施纠正措施（10.2.1e)）后；g)质量管理部认为有必要的其他情形；验收标准：输入信息覆盖4.1、4.2全部有效输出，形成《4.1/4.2输入关联与覆盖性核查记录》，逐项建立因素/要求与风险条目的映射关系，未转化项说明理由。6.3.2风险的确定围绕6.1.1a)至d)项重点领域开展识别：a)提供信任——实现质量目标的风险、监视和测量过程与内部审核有效性的风险；b)预防或减少不利影响——产品和服务质量失效、合规性违规、供应链中断、业务连续性中断、顾客满意度下滑等；c)实现持续改进——与实施新过程、优化现有过程、应用新技术相关的风险；d)增强预期效果中与推出新产品/服务相关的风险；专项识别与中断有关的风险：考虑组织在中断发生期间及中断恢复后提供合格产品和服务的能力，覆盖基础设施故障、供应链中断、关键人员流失、信息系统宕机、突发事件等场景；专项识别“单点故障”风险：依赖单一领域专家知识、独家外部供方提供关键物料、关键设备单台运行、核心系统无备份等情形；风险描述应可追溯到具体过程、产品、服务或顾客结果，避免“火灾”“经济衰退”等与体系无关的泛化表述；逐项记录风险描述、所属过程、潜在原因、潜在影响维度及识别来源（4.1因素/4.2要求/过程/场所/纠正措施）；风险识别中发现的机遇条目，移交QP-06-02《机遇管理程序》登记并建立移交记录，不在《风险登记册》中登记。6.3.3风险的分析对每项风险逐一分析：成因（为何发生）、传导路径、现有控制措施的有效性、发生可能性、潜在影响程度、影响范围及持续时间；分析应写明影响推理，使风险“确定”与“应对”之间的分析过程可被审核追溯；分析结果记入《风险识别与评价记录》。6.3.4风险的评价将风险分析结果与6.2.1风险准则对照，逐风险评级并确定等级，判定“应对或接受”并记录判定依据；形成“应对/接受”结论清单，每条均有明确结论，禁止留空；接受类结论须基于对潜在影响或应对成本的充分研判，并填写《风险接受与剩余风险决策记录》（载明决策依据、决策人、决策日期），经最高管理层或其授权人批准；缺少研判痕迹的“接受”视为未应对；对不可接受风险按优先级排序，重大风险事项经管理者代表审核后提请最高管理层确认。6.3.5应对风险的措施策划应对措施选项库包括：a)规避风险（终止或退出产生风险的活动）；b)消除风险源（如淘汰存在安全隐患的老旧设备、利用形成文件的程序帮助经验较少的人员）；c)为寻求机遇承担风险（如投资新设备建立生产线、采用新技术、开拓新市场，须经最高管理层授权批准）；d)分担风险（如关键设备购买财产保险、与供方签订质量赔偿协议、与顾客协作预先采购原材料）；e)改变风险发生的可能性或后果（如设备预防性维护、储备备品备件、为独家供方开发第二供方）；f)通过信息充分的决策接受风险（保留风险）。上述选项可组合使用；每项需应对的风险应填写《风险应对措施策划表》（见附件D，规范性），完整覆盖八项结构：基本信息栏、分析评价栏、应对决策栏、适度性说明栏、整合实施栏、责任与时限栏、有效性评价栏、状态与版本栏；措施描述应具体、可验证（如“六个月内采购并调试一台备用压缩机，制定主设备维保期间切换预案”），禁止使用“加强设备管理”“强化培训”等空泛表述；适度性说明：每项措施应载明措施力度与风险对质量管理体系预期结果潜在影响的匹配判断（“为何到此程度、不到更多”）；中断相关风险应编制应急预案和恢复方案，明确实施应对措施的顺序、中断后的处置流程、替代方案与恢复目标，必要时开展应急演练并保留演练记录；时限要求：风险识别完成后15个工作日内完成分析、评价与应对措施策划；重大风险专项应对方案于评价结论确认后10个工作日内编制完成。6.4应对措施的整合与实施（D阶段）6.4.1整合落点每项应对措施应明确其在质量管理体系过程中的整合落点，包括：修订的程序文件/作业指导书编号、新增控制点、调整的供方评价准则、纳入的质量目标（6.2）与运行策划（8.1）安排，实现风险管控与业务流程深度融合，避免“两张皮”；示例：供方中断风险融入8.4外部提供过程的控制要求；设备故障风险融入7.1.3基础设施的维护过程；运行中断风险融入8.1运行策划和控制过程。6.4.2方案发布与能力准备《风险应对措施策划表》及高等级风险专项应对方案经管理者代表审核、最高管理层或其授权人批准后，按QP-07-01受控文件要求于5个工作日内分发至所有责任部门与岗位；组织方案交底，保留交底记录；涉及新工具、新流程、新技术的措施，应对执行人员开展专项培训并保留培训与能力确认记录。6.4.3运行嵌入与高风险控制各责任部门按批准的时限推进措施实施，保留实施证据：文件修订版本记录、预防性维护执行记录、第二供方开发评价记录、合同与保险凭证、关键岗位AB角排班记录、资源配置审批记录等；高风险过程设置强制性检查控制点（停止点）：重大风险应对措施未经授权人员验证合格并签字确认，不得进入下一阶段；明确风险预警阈值与触发条件：风险指标达到预警阈值（量化指标由《风险管理年度工作计划》确定）时，责任部门于当日上报质量管理部，质量管理部于3个工作日内组织研判并确定处置方案；重大风险措施实施进展由责任部门每月5个工作日前向质量管理部报送。6.5有效性评价（C阶段）按策划的时间节点对照措施目标逐项验证落实情况与效果，评价方式包括绩效指标监测、过程审核、专项检查、事件复盘等；评价指标应在措施策划时明确目标值，评价时以目标值、实际值和日期构成证据，“有效”是结论而非证据，有效性栏不得长期空白；评价结论分为有效、需改进、无效三类，记入《风险应对措施有效性评价记录》；对有效性不足的措施，由风险与机遇管理小组在评价结论确认后10个工作日内组织重新策划应对方案或按程序关闭，剩余风险不可接受时采取进一步应对措施；质量管理部于每年管理评审前10个工作日完成风险应对措施有效性的汇总评价，编制《风险应对措施有效性评价报告》，分别纳入9.1.3e)分析与评价输入和管理评审9.3.2g)“应对风险所采取措施的有效性”输入，不得与应对机遇措施的有效性合并呈报。6.6风险清单的更新（A阶段）定期评审：每年至少在管理评审中集中复核一次《风险登记册》，结合年度质量目标调整、内部审核结果、绩效数据及内外部环境变化，刷新风险等级与应对措施，更新后的清单经管理者代表审核、最高管理层或其授权人批准后发布；触发式更新：出现下列情形时，风险与机遇管理小组应在触发事项确认后15个工作日内完成复评与更新：厂区搬迁、产品或服务结构调整、工艺材料变更、顾客标准或法规更新、重大质量事故、供应链或关键供方重大变化、组织重组或关键人员变动、内外部审核提出要求；纠正措施联动（10.2.1e)）：每份不合格应评价其是否暴露风险评估缺口；风险未被识别而成为现实不合格时，《风险登记册》必须更新；识别方法本身存在缺陷时，由风险与机遇管理小组回写6.3.1、6.3.2策划流程检讨（识别范围、频次、方法覆盖面及参与者），形成检讨记录；接受类风险条目应登记剩余风险并纳入监视，每年至少复核一次；复核确认不可接受时启动进一步应对。6.7异常与例外处置异常上报：任一部门发现重大风险事件（如关键供方突发断供、重大设备故障导致交付中断、重大质量事故）时，应于当日报告质量管理部和管理者代表；升级路径：管理者代表于3个工作日内组织初步研判；构成重大影响的，于24小时内提请最高管理层决策并启动专项应对；处置要求：按“原因分析—纠正措施制定—重新验证—记录归档”闭环处理；不合格的处置与纠正措施按QP-10-01《不合格与纠正措施控制程序》执行，并按第6.6.3条完成风险登记册联动更新；所有异常处置记录纳入成文信息管理，确保可追溯。6.8与其他文件及过程的接口6.8.1输入接口4.1内外部因素分析结果（含气候变化判定结论）由QP-05-01《组织环境管理程序》传递至本程序并录入《风险登记册》；4.2相关方要求由QP-04-02《相关方管理程序》传递至本程序。6.8.2与QP-06-02《机遇管理程序》的接口风险识别中发现的机遇条目移交QP-06-02登记并建立移交记录；为把握机遇承担的风险及机遇实施引发的伴随风险，由QP-06-02回写本程序纳入《风险登记册》；两个程序输入输出清晰、无重复规定。6.8.3输出接口风险应对措施整合落点传递至6.2质量目标、6.3变更的策划、8.1运行策划和控制、8.4外部提供过程的控制；风险应对措施有效性评价结果输出至9.1.3e)分析与评价和管理评审9.3.2g)输入。6.9监督检查与持续改进质量管理部每季度对风险识别、分析、评价、应对及有效性评价的实施情况进行抽查，重点检查风险登记册更新及时性、措施实施进度、整合落点落实情况及记录完整性，形成《风险管理监督检查报告》；一般问题整改时限不超过30日，重大问题经批准可延长，整改完成后进行效果验证；将风险识别及时性、应对措施完成率、有效性评价按时完成率纳入相关部门及岗位绩效考核指标，量化可衡量并明确奖惩规则；每年至少开展一次本程序的合规性、充分性、适宜性和有效性评审；根据监督检查结果、管理评审决议及内外部环境变化，定期优化风险准则、识别方法与流程，将典型风险案例转化为组织知识并纳入知识库。6.10资源配置人员：风险与机遇管理小组成员应接受风险管理方法（FMEA、风险矩阵等）专项培训并保留培训记录；设施与信息系统：配置适宜的风险识别渠道与分析工具；采用数字化风险管理平台的，应明确所属信息系统与模块名称（质量管理体系系统“风险管理模块”）并纳入成文信息控制；经费：风险管理及风险应对措施所需经费纳入年度预算，重大风险应对经费由最高管理层批准。7相关记录本程序运行所需保持和保留的记录见表7-1，记录表样见附件B至附件E。表7-1记录清单记录编号记录名称保存期限保存部门QE-R0-001风险登记册5年质量管理部QE-R0-002风险识别与评价记录5年风险与机遇管理小组QE-R0-0034.1/4.2输入关联与覆盖性核查记录5年质量管理部QE-R0-004风险应对措施策划表5年质量管理部QE-R0-005风险接受与剩余风险决策记录5年质量管理部QE-R0-006风险应对措施实施与整合证据5年各责任部门QE-R0-007中断相关风险应对与业务连续性记录（应急预案、演练记录）5年各责任部门QE-R0-008风险应对措施有效性评价记录5年质量管理部QE-R0-009风险应对措施有效性评价报告5年质量管理部QE-R0-010风险管理监督检查报告及整改验证记录5年质量管理部8附件本文件包含下列附件：附件A（规范性）风险管理工作流程表附件B（规范性）风险评价准则表（表样）附件C（规范性）风险登记册（表样）附件D（规范性）风险应对措施策划表（表样）附件E（规范性）风险应对措施有效性评价记录（表样）附件A（规范性）风险管理工作流程表PDCA阶段一级流程二级流程关键活动步骤责任部门/岗位输入输出输出接收方主要风险绩效控制与检查点P策划P1输入筹备与准则建立P1.1风险准则制定制定可能性/后果分级及可接受准则；评审批准质量管理部、最高管理层质量目标、行业特点、资源状况风险评价准则表（附件B）各部门准则脱离实际、判定无标尺准则经批准发布；每年复核P1输入筹备与准则建立P1.2输入信息筹备汇集4.1因素、4.2要求及气候变化判定结果；建立映射质量管理部、风险管理小组内外部因素清单、相关方要求清单4.1/4.2输入关联与覆盖性核查记录（QE-R0-003）风险管理小组输入遗漏、时效不足覆盖4.1/4.2全部有效输出P2风险确定P2.1风险识别按a)~d)重点领域及识别时机识别；专项识别中断风险与单点故障；机遇条目移交风险管理小组、各过程所有者输入映射记录、业务数据风险识别与评价记录（QE-R0-002）；机遇移交记录质量管理部泛化识别、遗漏中断与单点故障描述可追溯；跨部门评审确认P3风险分析与评价P3.1风险分析逐项分析成因、可能性、影响程度及现有控制有效性风险管理小组识别记录分析结论（记入QE-R0-002）质量管理部只列名称无分析推理分析含影响推理，可追溯P3风险分析与评价P3.2风险评价与等级判定对照准则评级；判定“应对/接受”；接受须知情决策风险管理小组、管理者代表、最高管理层分析结论、风险评价准则表等级结论清单；风险接受与剩余风险决策记录（QE-R0-005）质量管理部结论留空、越权接受每条有结论；接受经批准留痕P4应对措施策划P4.1措施策划与适度性判断按选项库确定措施；填写八栏策划表；重大风险编制专项方案风险管理小组、各过程所有者等级结论清单风险应对措施策划表（QE-R0-004）；专项应对方案管理者代表措施空泛、无适度性说明措施具体可验证；含适度性栏D实施D1整合与发布D1.1整合落点确定与审批明确文件修订编号、控制点、目标纳入；审核批准管理者代表、最高管理层策划表批准后的策划表及整合方案各责任部门、行政与文控中心措施游离于体系之外整合栏填写完整具体D1整合与发布D1.2交底与能力确认受控分发；方案交底；专项培训行政与文控中心、责任部门批准文件发放记录、交底与培训记录各责任岗位交底不到位5个工作日内分发；记录完整D2措施实施D2.1措施落地与停止点控制按时限实施；保留实施证据；高风险设停止点；预警阈值监控各责任部门整合方案实施与整合证据（QE-R0-006）；中断应对与业务连续性记录（QE-R0-007）质量管理部实施偏差、预警未处置停止点经签认方可放行；偏差当日上报C检查C1有效性评价C1.1措施有效性验证对照目标值验证；区分有效/需改进/无效；无效再策划质量管理部、风险管理小组实施证据、绩效数据风险应对措施有效性评价记录（QE-R0-008）及报告（QE-R0-009）管理者代表、最高管理层评价流于形式目标值/实际值/日期构成证据；不与机遇混报C1有效性评价C1.2管理评审输入汇总评价结果纳入9.1.3e)和9.3.2g)输入质量管理部评价报告管理评审输入材料最高管理层与机遇有效性合并呈报评审前10个工作日提交A处置A1更新与联动A1.1定期与触发式更新年度全面复评；触发事项15个工作日内复评；纠正措施联动更新风险管理小组、质量管理部绩效数据、内审结果、纠正措施信息更新后的风险登记册（QE-R0-001）各部门登记册长期不更新更新经批准发布；可追溯A2监督与改进A2.1监督检查与知识沉淀季度抽查；整改闭环；程序优化与案例入库质量管理部各环节记录风险管理监督检查报告（QE-R0-010）各相关部门监督缺失、问题不闭环整改30日内闭环并验证附件B（规范性）风险评价准则表（表样）表B.1发生可能性分级等级分级判定描述发生频率参考1极少发生仅在极端例外情形下可能发生≤1次/5年2不太可能现有控制下基本不会发生约1次/2~5年3可能曾发生过，现有控制下仍可能发生约1次/年4很可能近一年内多次出现征兆或发生约1次/季度5几乎肯定频繁发生或风险因素持续存在≥1次/月表B.2后果严重程度分级等级分级判定描述（涵盖产品/服务符合性、顾客满意、合规、财务、声誉、业务中断）1轻微对产品质量和顾客无实质影响，损失可忽略2一般轻微不合格或顾客一般抱怨，损失较小，中断≤1天3较重批次不合格或顾客正式投诉，损失明显，中断≤3天4严重重大