“基于风险的思维和基于机遇的思维”在“5领导作用”条款中应用专业操作指南（雷泽佳编制）

“基于风险的思维和基于机遇的思维”在“5领导作用”条款中应用专业操作指南（雷泽佳编制）“基于风险的思维和基于机遇的思维”在“5领导作用”条款中应用专业操作指南（雷泽佳编制）“基于风险的思维和基于机遇的思维”在“5.1领导作用和承诺-5.1.1总则”条款中应用专业操作指南5.1.1条款原文"基于风险的思维"在5.1.1条款中应用专业操作指南"基于机遇的思维"在5.1.1条款中应用专业操作指南最高管理者应通过以下方面，证实其对质量管理体系的领导作用和承诺：(1)概念定位：基于风险的思维是支持组织考虑影响质量管理体系因素的理念，指不确定性的影响可能对体系实现预期结果的能力产生负面影响；最高管理者应将其作为治理与领导承诺的组成部分，在重大不确定期间亲自担责。

(2)组织与职责：最高管理者是质量管理体系第一责任人，对本节各项承诺的落实负总责，并推动风险意识文化在组织各层面建立、作为“组织知识"的重要组成部分，每个人都应在其各自权限、职责和责任范围内管理风险。

(3)机制保障：通过培育风险讨论文化、预留专项讨论时间、重大决策前落实基于风险的思维研判等机制，为各项承诺的证实提供组织保障。

(4)审核佐证准备：审核将核查最高管理者可见的支持、参与和承诺，应保存领导参与风险研判、管理评审与重大质量决策的记录证据。(1)概念定位：机遇是可能对质量管理体系绩效产生有益影响的情形；基于机遇的思维用于利用机会追求有利结果；风险和机遇不同，二者可通过不同过程予以确定和应对，应用这两个理念于策划和决策时，能支持体系在战略、战术和运行层面的一致性。

(2)组织与职责：最高管理者应亲自推动机遇意识文化，将"风险和机遇是决策与策划的核心考虑"确立为组织价值取向，并支持各相关角色在其职责范围内识别和应对机遇。

(3)机制保障：开展具备创造性的研讨会议，将主动改进成效纳入管理者与人员的评价维度，鼓励人员参与改进团队，为机遇的识别与转化提供组织保障。

(4)审核佐证准备：保存机遇清单、机遇评审记录、创造性研讨纪要及重大决策中的机遇研判证据，以证实领导承诺。a）确保制定质量方针和质量目标，并与组织的战略方向相一致；(1)方针层面：将"基于风险的思维"（预防为主）纳入质量方针与质量原则，使方针体现组织的质量宗旨并反映对风险的态度。

(2)目标层面：目标建立与能力发展策划应运用基于风险的思维确定优先次序，并与4.1风险源清单及6.1风险应对措施相衔接，确保目标支撑战略方向的落地实现。

(3)目标的达成情况作为管理评审输入，风险应对不力导致的偏差应及时处置。(1)方针层面：质量策划宜对需应对的机遇加以考虑，将机遇清单中的增长机会（新顾客、新产品或新服务需求、新技术应用）纳入战略与目标设定。

(2)目标层面：先为组织各过程设定目标，再基于过程目标为团队或部门分解目标，使机遇应对措施通过目标分解落实到职能与过程层级。

(3)目标达成情况纳入管理评审，机遇转化成效同步评审。b）确保质量管理体系要求融入组织的业务过程；(1)按过程方法建立和管理体系，对每个过程及整个体系按PDCA循环管理，并始终基于风险的思维开展过程策划与运行，防止体系要求与业务"两张皮"。

(2)将应对风险的措施（规避、消除风险源、改变可能性或后果、分担、知情保留等）整合进相应过程的过程说明、程序文件或作业指导书，明确责任、时限、资源及监控方式，并通过过程运行实施（检验加严、供方开发、预防性保养、人员培训等）。

(3)注1语境下，覆盖核心业务活动相关的风险（市场波动、供应链中断、质量不合格、合规、数字化安全、人员流失、外包控制等）。(1)以基于机遇的思维开展过程策划与运行，将应对机遇的措施（采用新实践、推出新产品或服务、建立新的伙伴关系、利用新兴技术）整合并实施到质量管理体系过程中。

(2)在过程文件体系中设置"过程机遇识别与价值创造策划"环节，将机遇应对转化为可落地的利用措施（利用、促进、合作、研发、抢占），明确路径、资源、目标、责任与节点。

(3)通过引入新技术改进或替代现有过程、消除冗余过程，增强体系对核心业务活动的增值作用。c）确保质量管理体系所需的资源是可获得的；(1)资源需求确定时应用基于风险的思维，系统评估内部资源的能力与制约（预算、进度、场地、技能缺口、设备老化），区分可通过内部建设弥补与必须外部获取的局限。

(2)关注资源流失风险（关键设备损坏、核心人员离职、关键资源短缺或供方中断），将其纳入6.1风险和机遇应对，明确备选供方、服务水平协议等应对安排。

(3)对外部获取资源开展自制/外购与成本效益分析，权衡合规风险降低程度后再决策。(1)在批准质量举措时同步配置必要的预算、人员和工具，为机遇识别、评价与转化提供资源保障。

(2)当外部因素带来业务增量机遇时，同步识别并配置支撑机遇实现的内部条件（招聘补充人员、改善设施、提升组织知识水平、确保新入职人员能力）。

(3)资源配置决策同时权衡资源投入成本与体系绩效收益、顾客满意提升程度，确保机遇投入产出相称。d）沟通有效的质量管理和符合质量管理体系要求的重要性；(1)通过持续沟通（专项举措、内部会议、内联网、电子邮件、面对面沟通）让各层级人员知晓要求的相关性，同步传递质量风险信息与不合格上报路径。

(2)鼓励在内部依托风险研判结论支撑决策制定，将跨职能风险研判结论按既定周期汇总报告并积极共享，核心价值在于实际运用。

(3)建立举报（关切反映）机制并承诺为提出合理关切的人员提供支持，营造人员敢于报告质量问题与风险的环境。(1)将识别出的机会及时传达给管理层，作为战略和目标设定的考虑内容，防止机遇信息滞留于基层。

(2)通过非正式、开放式沟通明确传递期望，向各部门分享针对性信息，公开表彰良好实践与创新贡献，营造鼓励发现和利用机会的氛围。e）确保质量管理体系实现其预期结果；(1)采取主动管理模式，确保策划形成应对风险（见6.1）及质量目标（见6.2）的措施，向最高管理者同步结果监视情况，适当时介入处置影响预期结果实现的各类障碍。

(2)评价风险并确定应对措施时，考虑组织在中断发生期间及中断恢复后提供合格产品和服务的能力，将中断韧性作为预期结果实现的底线保障。

(3)对照措施目标验证落实情况与效果（风险值/等级是否降低），有效性不足时重新策划，剩余风险不可接受时采取进一步措施。(1)将应对机遇所采取措施的有效性（基于机遇登记册的评价结果）作为独立的管理评审输入，向最高管理者报告，防止机遇应对流于形式。

(2)确保为应对风险与机遇所采取的措施不会损害增强顾客满意的能力，机遇的把握以不削弱交付合格产品和服务能力为前提。

(3)把握机遇前识别并评价该机遇伴随的风险及其对体系的潜在影响，以决定是否把握，确保预期结果稳健实现。f）指导和支持人员为质量管理体系的有效性作出贡献；(1)支持培养人员的风险评估能力，指导人员在其各自权限、职责和责任范围内管理风险。

(2)清晰传递工作期望，适当时提供方向指引与资源支持，担任重点项目或专项举措的牵头人与推动者，通过导师带教、经验分享和授权促使人员积极参与。

(3)应用风险评估技术时关注人的因素与群体思维、过度自信等偏见，通过熟练引导降低人因偏差对风险研判的影响。(1)开展具备创造性的研讨会议，鼓励人员（含生产和服务一线人员）参与改进团队，支持其提出并验证改进机会。

(2)支持培养人员识别和利用机遇的能力，将人员对机遇识别与转化的贡献纳入认可和表彰范围。

(3)通过授权使各级人员主导其职责范围内的质量工作，助力组织实现要求符合性并驱动改进。g）推动持续改进；(1)改进活动以事实为依据，同步运用基于风险的思维，从不合格、纠正措施、绩效监视结果中识别改进需求，预防风险复发。

(2)推动持续改进在组织各层级创造价值：向各部门分享针对性信息、指导和支持改进项目、鼓励人员参与改进团队。

(3)对已识别风险进行再评审（如返工率或报废率上升时），确保风险应对持续保持适用性，支撑体系有效性的持续保持。(1)充分利用各类机遇提升质量管理体系有效性，改进是管理风险并创造新机会的必要途径。

(2)利用监视和测量活动的结果及相关绩效指标作为机遇再识别的常设输入，识别优化做事方式、全面改进工作开展模式的领域，建立主动预防与改进的文化。

(3)关注质量管理体系的演进方向以支撑业务变革；在适宜可行时启动对标研究，借鉴同行高效实践挖掘改进机会。h）支持其他相关角色在其职责范围内证实领导作用。(1)支持各级管理者及相关岗位人员在职责范围内展现领导作用与承诺，落实风险研判要求；当风险监视工作委派至单人负责时，该人员应向更广泛的团队汇报，避免监督薄弱或不全面。

(2)按风险管理三道防线定位各角色职责：一线业务部门管理本过程风险、二线风险与质量职能归口组织识别评价、三线内部审计独立确认，防止职责交叉或缺位。

(3)支持形式包括导师带教、协助制定专项决策、授权其主导职责范围内的风险管控工作。(1)支持其他相关角色在其职责范围内主导机遇识别与应对策划，通过授权使各级管理者在本部门业务中落实机遇管理要求。

(2)为各层级管理者提供机遇研判所需的信息、数据与跨职能协作支持，最高管理者批准高等级风险和重大机遇的应对方案。

(3)各级管理者的支持可包括协助制定专项决策、表彰其职责范围内的机遇转化成果。i）促进质量文化和道德行为；(1)以身作则践行道德行为：拒绝在不合格产品或错误检验记录上签字放行、不隐瞒不合格、不因赶工施压导致违规减化流程；人员的行为与决策会影响组织持续满足要求的能力。

(2)使风险准则（评估严重程度与选择应对方案）基于组织的道德准则，从环境、社会、经济可持续性角度评价成本与效益。

(3)组织的质量文化和道德行为反映在其共同价值观、态度、惯例和行动中，应通过文化感知调查、内部审核等机制监视，并在管理评审中定期评审其有效性。(1)认可和表彰良好实践与创新贡献，使"主动识别和利用机遇"成为质量文化的共同行为特征。

(2)顾客越来越期望组织行为合乎道德，决策、行动和互动中的道德行为有助于增强相关方对组织能力的信任，为组织带来声誉与市场机遇。

(3)核查目标与KPI选取、设计输入、外部供方评价选择等管理实践是否在无意中阻碍预期质量文化与道德行为的形成，消除机遇转化的文化障碍。j）促进使用过程方法；(1)明确"过程方法"结合了PDCA循环、基于风险的思维和基于机遇的思维；始终基于风险的思维以防止发生不利结果。

(2)按"从输入到输出"的完整业务流界定过程边界，逐过程识别影响其实现预期结果能力的不利因素，避免将孤立活动误当作过程、避免过度细分子过程增加复杂性。

(3)分析并掌握组织的过程能力，明确过程管理的职权与职责（指定过程所有者），建立冲突处理与规避机制，批准过程相互作用图和过程清单。(1)始终基于机遇的思维利用机会追求有利结果，将机遇识别嵌入过程策划、过程绩效监视与过程改进各环节。

(2)通过应用新技术改进或替代现有过程、优化现有过程、消除冗余过程，实现过程层面的价值创造。

(3)先为组织各过程设定目标再逐级分解，使机遇转化措施与过程绩效指标联动跟踪。k）促进基于风险的思维和基于机遇的思维；(1)培育风险讨论文化并预留专项讨论时间（见6.1），将风险意识文化作为组织各层面的共同行为方式而非一次性活动。

(2)将主动改进成效纳入管理者与人员的评价维度，从考核导向上强化基于风险的思维的行为激励。

(3)支持培养人员的风险评估能力，指导运用头脑风暴、SWOT、PESTLE、FMEA、FMECA、SWIFT、HACCP、后果-可能性矩阵、风险指数、蝴蝶结分析等结构化技术开展识别与评价。

(4)在重大决策前要求落实基于风险的思维研判，形成"决策必研判、研判必留痕"的刚性机制。

(5)应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程；组织可选择采用更广泛的风险管理方法，例如按ISO31000（GB/T24353-2022）建立风险管理框架与过程。

(6)按ISO/TS31050持续扫描环境变化、整合风险情报循环，识别新兴风险的早期警示信号并动态治理。

(7)保留风险识别、评价、应对及有效性评价的成文信息，作为管理评审输入和外部审核核查依据。(1)将基于机遇的思维与基于风险的思维并重推行，风险意识文化旨在利用机遇并防止不良结果，防止"重防轻机"的单一取向。

(2)开展具备创造性的研讨会议，通过PESTLE六维度正面研判从技术、经济市场、社会文化、法律、环境维度识别可提升体系绩效的机遇。

(3)重大决策前同步研判机遇及其伴随风险，必要时按"为寻求机遇而承担风险"路径策划（如投资新设备推出新产品线，但投资回报尚不确定）。

(4)将新兴技术、新兴市场等纳入机遇清单并动态治理，从趋势与驱动因素中捕捉增长机会并传达给管理层。

(5)将主动改进成效与机遇转化成效一并纳入管理者与人员的评价维度。

(6)保留机遇识别、评价、应对措施及转化验证证据（项目报告、收益数据、评审记录），作为有效性评价与审核核查依据。l）对质量管理体系的有效性负责。(1)以足够的深度参与质量管理体系的治理与改进工作，定期评审体系有效性（见9.3），及时处置反映体系缺陷与薄弱环节的问题；不将有效性责任转由管理者代表或单一部门承担，管理者代表的工作仅为最高管理者履行责任提供支持。

(2)在管理评审中主持风险应对措施有效性的独立评审（基于风险登记册的有效性评价结果形成判断），未开展有效性评价的不得以"措施有效"一句带过。

(3)无可用应对方案或方案不足以改变风险时，要求将剩余风险的性质和程度报告决策者并持续跟踪。(1)在管理评审中主持机遇管理有效性的评审，批准重大机遇应对方案并对机遇转化的实际成效担责。

(2)以体系有效性支撑组织战略方向与持续成功：通过建立结构化框架确保所有过程、决策和资源围绕共同目标协调运作，并在确定风险的同时确定和利用机遇。

(3)定期评审机遇应对措施与组织环境的持续适宜性，确保机遇应对随因素变化保持适用。注1：本文件中“业务"一词可广义地理解为涉及组织存在目的的核心活动。(1)将风险识别范围延伸至核心业务活动的全过程，覆盖战略、财务、运营、合规等类别（如市场波动、供应链中断、合规、数字化安全、气候变化对核心活动的中断影响），防止仅关注财务与运营因素而遗漏社会、政治、技术与环境影响。

(2)研判结论与组织存在目的（核心活动）保持关联性判定，避免纳入超出体系范围且无法通过该体系实际管控的风险。(1)从核心业务活动的变化中捕捉机遇（新市场准入、新兴技术、法规更新引发的合规服务与产品升级需求），确保机遇与组织宗旨和战略方向一致。

(2)某一因素可能同时是风险与机遇（如人口结构变化、技术进步），应双栏同步研判后分别输出至6.1。注2：组织的质量文化和道德行为反映在其共同价值观、态度、惯例和行动中。(1)使风险意识文化成为组织各层面共同的行为惯例，将"质量第一、预防为主、基于风险的思维"写入组织共同质量价值观，并通过真实记录、不造假、不隐瞒、公平公正的道德惯例加以体现。

(2)核查KPI选取、设计输入、供方管理等惯例是否无意中阻碍基于风险的思维的形成，通过行动（专项讨论、决策研判、上报支持）留下可核查的文化证据。(1)将"风险和机遇是决策与策划的核心考虑"写入组织价值取向的一致性要求，使机遇导向成为共同价值观的组成部分。

(2)以行动强化文化：认可表彰机遇识别与创新贡献、公开分享改进成果、在战略会议和管理评审等管理场景中常态化嵌入机遇研判。“基于风险的思维和基于机遇的思维”在“5.1领导作用和承诺-5.1.2以顾客为关注焦点”条款中应用专业操作指南5.1.2条款原文“基于风险的思维”在5.1.2条款中应用专业操作指南“基于机遇的思维”在5.1.2条款中应用专业操作指南最高管理者应通过确保以下方面，证实其以顾客为关注焦点的领导作用和承诺：（1）建立组织与职责：最高管理者以足够深度亲自参与、决策和资源配置，证实以顾客为关注焦点的领导作用与承诺；按GB/T23694-2024为每项影响产品和服务合格及增强顾客满意能力的风险指定“风险责任人”（具有管理风险责任和权力的个人或实体），实现权责一致。

（2）贯通5.1.1k)项领导要求：最高管理者促进基于风险的思维（培育风险讨论文化并预留专项讨论时间、将主动改进成效纳入评价维度、培养人员风险评估能力、开展创造性研讨、重大决策前落实基于风险的思维研判），使顾客关注焦点研判融入战略、战术和运行层面的策划与决策，保障质量管理体系一致性。

（3）明确风险输入口径：本条款是6.1.2确定风险的顾客维度直接输入——凡可能对组织持续、稳定地提供合格产品和服务以及增强顾客满意的能力产生不利影响的风险，均应纳入确定、分析和评价范围，包括与中断期间及中断后提供合格产品和服务能力有关的风险。

（4）融合风险管理通用过程：参照GB/T24353-2022，将风险评估（风险识别、风险分析、风险评价的全过程）系统地、循环地、协作性地开展，充分考虑顾客等相关方观点，使用最佳可用信息；应用基于风险的思维并不要求采用正式的风险管理方法或形成文件化的风险管理过程，组织可按需选择更全面的方法。

（5）输出与佐证：将顾客维度风险研判形成成文信息，作为管理评审（9.3.2）输入，并按ISO19011:2026A.10保存审核将核查的风险确定输入及评价方法可信度的证据。（1）同步承诺：最高管理者在证实以顾客为关注焦点承诺的同时促进基于机遇的思维（5.1.1k)），将“增强顾客满意的能力”视为可培育、可提升的组织能力，主动识别能对该能力产生有利影响的情形。

（2）明确机遇输入口径：本条款是6.1.3确定机遇的顾客维度直接输入——确定能够对组织持续、稳定地提供合格产品和服务以及增强顾客满意的能力产生有利影响的机遇。

（3）界定机遇判定准则：按GB/T23694-2024和GB/T27921-2023，机会是预期有利于实现目标的情形（积极情形下很可能获得收益且主体有相当控制力；一方的机会可能对另一方构成威胁；抓住或不抓住机会都是风险的来源）。

（4）风险—机遇协调决策：参照COSO《企业风险管理—战略与绩效整合》，风险应对可含“追求”（接受增加的风险以提高绩效），故以顾客焦点为目标的机遇把握决策应与组织风险偏好相协调。

（5）输出与衔接：将顾客维度机遇清单输出至6.1.3策划机遇应对措施，整合到质量管理体系过程中并评价措施有效性，可在战略会议、管理评审、质量目标制定会议等场景中确定和应对。a）确定、理解并持续地满足顾客要求以及适用的法律法规要求；（1）建立确定与理解过程：最高管理者确保建立有效过程，用以确定组织产品和服务的顾客要求及法律法规要求；同时确定隐含要求、预判未来的顾客需求与期望、识别潜在的未明示要求。

（2）识别要求环节的风险源：风险识别包括对风险源（可能单独或共同引发风险的要素或要素集合）、事件及其原因和潜在后果的识别，并同步识别已有的风险应对措施；结合GB/T24353-2022考虑有形和无形风险源、原因和事件、脆弱性和应对能力、内外部环境变化、新兴风险、后果及对目标的影响、与时间有关的因素及人员偏见。

（3）逐项负面研判：识别可能削弱“确定、理解并持续满足”能力的负面情形——要求识别遗漏或跨部门传递衰减（销售答应而生产做不到）、隐含/未明示要求被忽视、法规更新滞后（产品性能、使用安全、标识与声明、消费者权益如保修与投诉权、环境方面）、基础设施相关法规被遗漏（尤其服务业中构成经营许可的要求）、合同评审与交付后要求落差。

（4）分析、评价与应对：按GB/T27921-2023选择与情形复杂度匹配的评估技术（头脑风暴、检查表、FMEA/FMECA、SWIFT、情景分析、石川分析、蝴蝶结分析、后果-可能性矩阵、风险指数、ALARP等），识别风险驱动因素与脆弱性，评估风险等级（后果与可能性组合），输出可排序的风险清单；参照COSO框架在业务环境、成本收益、风险偏好、风险严重程度、义务和期望等考量下选择规避、降低、分担或保留等措施，并确保措施与风险程度相匹配且切实有效。

（5）警惕特有风险形态：警惕“单点故障（SPOF）”引发的风险（依赖单一领域专家的知识、独家外部供方提供物料）；避免纳入超出质量管理体系范围且无法通过该体系实际管控的已识别风险。

（6）领导证实与全员贯通：最高管理者通过参与产品和服务设计相关活动（见8.3）确认要求已得到理解并落地满足，可亲身测试服务或参与服务交付过程验证符合性；确保全员知晓并理解顾客要求，建立跨部门的顾客需求传递机制，防止“信息传递衰减”。

（7）动态监视与评审：法律法规与顾客要求随时间变化，建立涵盖目标设定、风险识别评估、监测预警、应对策略及考核评价的完整机制；监视评审依托8.2顾客要求过程、8.3设计开发过程及管理评审开展并保存佐证。（1）同步识别正面效应：由同一跨职能团队在确定顾客要求与法律法规要求的同时，逐项识别可能提升“确定、理解并持续满足要求”能力的有益情形，形成机遇清单，与风险分别确定。

（2）从要求变化中捕捉机遇：顾客需求与期望的变化、未明示需求的显现、法规更新既是风险也是机遇（法规加严催生合规服务与产品升级需求、竞争压力催生差异化定位）；与相关方建立合作协作关系有助于更早识别需求和期望。

（3）示例化机遇类型：发掘新顾客、明确市场对新产品或新服务的需求、通过引入新技术改进或替代现有过程、采用新的实践方法、推出新产品，或利用新技术及其他措施满足顾客及其他相关方当前和不断变化的需求与期望，并与组织战略方向保持一致。

（4）机遇伴随风险研判：把握机遇前识别并评价机遇伴随的风险及其对质量管理体系的潜在影响（如新产品推出后需求高于预测会给供应链管理带来风险，无法供货将导致顾客不满意）。

（5）输出与衔接：将顾客要求维度的机遇纳入6.1.3机遇应对措施选项（新实践、新产品或服务、新合作关系、新兴技术、改进方案），保留成文信息并评价措施有效性。b）确定和应对风险和机遇，这些风险和机遇可能影响产品和服务合格以及增强顾客满意的能力；（1）界定条款定位：本项是标准中直接指向最高管理者的风险确定和应对要求；最高管理者应通过参与关键活动，确保在确定和应对风险与机遇时充分考虑顾客视角以及产品和服务符合性的重要性（见6.1）。

（2）建立独立的风险确定过程：风险与机遇相互区别，应通过各自独立的过程予以确定和应对；应用基于风险的思维不要求正式的风险管理方法或文件化风险管理过程，组织可选择更广泛的方法（如ISO31000/GB/T24353）。

（3）结构化识别风险源：识别与产品和服务合格及增强顾客满意能力相关的风险——过程风险（设备故障导致交期延误）、供应风险（关键原材料断供、全球供应链中断）、声誉风险（影响顾客信任与忠诚度，低概率高后果）、战略风险（中等概率高后果）、网络安全风险（即便不造成物理损坏也可能损害服务质量）、环境与气候因素（风暴、洪涝、火灾、干旱频次与强度上升引发运营中断）、交付后支持缺失（顾客信任流失、长期声誉损害）、顾客数据风险（敏感顾客数据丢失或滥用）等，并按战略、财务、运营、市场、法律合规等类别归类。

（4）评估与排序：以内外部因素（4.1）和相关方要求（4.2）为输入，采用头脑风暴结合顾客和员工反馈、简易评分法等进行识别、分析和评价（如大型分销企业对订单跟踪、咨询处理、退货及顾客满意度调查相关风险的分析示例）；为每项风险确定风险责任人。

（5）策划应对措施：应对风险的措施可包括规避风险、为寻求机遇承担风险、消除风险源、改变风险发生的可能性或后果、分担风险，或通过信息充分的决策保留风险；措施应与风险对质量管理体系预期结果的潜在影响相适应，整合到质量管理体系过程中并评价有效性；应对时充分考虑现有可用资源。

（6）维持中断韧性：通过确定并实施适宜措施，使质量管理体系即使在发生中断事件时仍能持续实现预期结果；重点关注资源流失风险（关键设备损坏、核心人员离职）。

（7）监视评审与场景嵌入：对已识别风险进行评审，因各类因素（如返工率或报废率上升）可能导致其变化；按ISO/TS31050持续扫描环境变化以识别新兴风险并动态治理；应对可在战略会议、管理评审、内部审核、质量目标制定会议、设计开发策划、生产过程策划等场景开展。（1）建立独立的机遇确定过程：与风险分别确定，识别可能影响产品和服务合格以及增强顾客满意能力的机遇（6.1.3）。

（2）应用机遇识别输入：通过组织内外部环境评估识别机遇，评估维度包括相关方（尤其顾客）的需求和期望、组织的能力、容量与胜任力，以及监视和测量活动的结果和相关绩效指标。

（3）覆盖顾客维度机遇来源：市场环境变化、新兴技术、法规要求更新等；具体包括顾客满意数据分析中发现的改进空间、顾客沟通与反馈中显现的新需求、数字技术提升响应速度、供应链韧性建设中的第二供方合作等。

（4）机遇应对措施选项：采用能够实现更优成果的新实践方法或运行新过程；基于顾客需求和期望洞察开展研发推出新产品；识别与战略方向契合的潜在合作方建立新合作关系；应用提升生产效率和质量的新技术；实施举措满足顾客当前和不断变化的需求与期望。

（5）“追求”型决策与伴随风险研判：“追求”是采取措施接受增加的风险以提高绩效（如接受与加快新产品批准有关的风险以支持更快推向市场的机会和竞争优势）；把握机遇前应识别并评价机遇伴随的风险及其对质量管理体系的潜在影响，以决定是否把握。

（6）从顾客满意监视数据中挖掘：以9.1.2获取的顾客满意信息（意见调查、顾客沟通、交付质量反馈、市场份额分析、表扬、投诉、保修索赔、经销商报告、社交媒体、发票问询、公开信息）作为机遇再识别的常设输入，分析评价后确定提升顾客满意所需的措施；避免调查疲劳，防止过于频繁或范围过大的反馈请求引发顾客反感。

（7）输出与衔接：将顾客维度机遇纳入6.1.3策划，整合实施到质量管理体系过程中并评价有效性，保留已识别机遇及应对措施有效性的成文信息。c）始终致力于增强顾客满意。（1）确保能力稳健性：确保增强顾客满意的能力保持稳健，并对为应对风险与机遇所采取的措施进行副作用复核，确保其不会损害该能力（风险应对与机遇把握行动本身可能对顾客满意能力产生不利影响）。

（2）系统监视顾客满意（9.1.2）：确定获取、监视和评审顾客满意信息的方法（意见调查、顾客沟通、交付质量反馈、市场份额分析、表扬、投诉、保修索赔、经销商报告、社交媒体、发票问询、公开信息等），按顾客类型、区域、销售量等准则分类，确定顾客满意程度并基于信息采取措施。

（3）建立风险预警机制：对顾客满意相关指标设置定性或定量的关键风险指标，当投诉、保修索赔、退货等指标恶化时触发风险再评审；对后果分析考虑连锁反应与累积效应；识别、确认和描述可能妨碍实现顾客满意目标的风险。

（4）数据与调查风险管控：防范过于频繁或范围过大的反馈请求引发顾客反感的风险（避免调查疲劳、尊重顾客边界、运用大数据分析）；防范敏感顾客数据丢失或滥用的风险，建立有效的数据管理与保护流程，遵守法定义务及顾客要求。

（5）承诺一致性风险：营销阶段过度承诺但交付后服务兑现不足会加剧顾客不满，确保顾客感知（顾客确定）与顾客满意（组织测量）对齐。

（6）管理评审闭环：将顾客满意信息作为管理评审输入，用于确定为提升顾客满意所需采取的措施，形成“始终致力于”的持续机制并保存审核佐证。（1）保持持续增强导向：保持对增强顾客满意的关注，将“增强有利影响、实现持续改进”作为机遇应对主线，确保质量管理体系有助于组织持续满足顾客要求并增强顾客满意（A.5.1）。

（2）从满意与绩效数据中识别改进机遇：利用顾客满意监视结果与绩效指标识别优化做事方式、全面改进工作开展模式的领域，建立主动预防与改进的文化；利用用户及其他相关方的反馈提升顾客满意度。

（3）机遇措施示例：主动对接顾客了解满意度、基于投诉与保修索赔分析改进产品、利用数字技术提升响应速度、精益改进让利顾客、建立新的产品供应合作关系、在适宜可行的前提下开展对标研究借鉴同行高效实践、按ISO/TS31050扫描顾客需求变化中的新兴机遇。

（4）交付后与生命周期机遇：完善交付后活动（在合同中界定交付后责任、建立清晰顾客沟通渠道、监视交付后绩效并与持续改进关联、提供不同环境条件下的操作与维护指引、培训顾客支持人员）既是风险防范也是增强顾客满意的重要机遇。

（5）数据共享赋能：最高管理者应确保将相关顾客满意数据（见9.1.2）提供给相关参与方，使机遇识别与改进在组织各层级展开。

（6）输出与衔接：将顾客满意增强类机遇输出至6.1.3与6.2质量目标策划，并在战略会议、管理评审等场景滚动评审其持续适用性。“基于风险的思维和基于机遇的思维”在“5.2质量方针”条款中应用专业操作指南5.2条款原文“基于风险的思维”在5.2条款中应用专业操作指南“基于机遇的思维”在5.2条款中应用专业操作指南5.2.1最高管理者应制定质量方针。质量方针应：（1）建立组织与职责：建立质量方针的责任由最高管理者承担；方针制定过程应吸纳来自不同领域的内部相关方参与（跨职能方法），防止单一视角导致方针片面；按GB/T23694-2024为方针制定、评审和修订相关活动明确“风险责任人”（具有管理风险责任和权力的个人或实体）。

（2）贯通5.1.1k)项领导要求：最高管理者促进基于风险的思维（培育风险讨论文化、纳入评价维度、培养人员风险评估能力、重大决策前落实基于风险的思维研判），将方针制定与修订纳入重大决策范畴开展风险研判。

（3）识别方针制定环节的风险源：方针未结合组织环境而缺乏实际意义、无法为行动提供指引；方针过于模糊抽象或仅为空泛口号，无法作为设定可测量目标的基础；承载过多细节或技术术语而难以理解；与组织其他方针（如环境、职业健康安全、信息安全）不协调导致冲突；方针承诺与组织风险偏好、风险容忍度不一致。识别时按GB/T24353-2022考虑有形和无形风险源、原因和事件、威胁和机遇、脆弱性和应对能力、内外部环境变化、新兴风险及识别人员的偏见与假设。

（4）分析与评价：采用头脑风暴、调查法、SWOT/PESTLE、情景分析、后果-可能性矩阵、风险指数等GB/T27921-2023所列技术，研判拟采用方针表述及其各项承诺的可实现性与支撑条件；以ISO9000质量管理原则作为制定方针的基础（3.5.1注2）。

（5）输出与衔接：方针制定研判记录作为6.1确定风险的输入并纳入管理评审（9.3.2）；方针表述应反映组织质量文化及对道德行为的期望（A.5.2，参见ISO10010），保持与5.1领导作用和承诺要求的一致性。（1）同步识别正面效应：由同一跨职能团队在制定方针的同时，逐项识别可能对质量管理体系绩效及预期结果产生有益效应的要素与条件，形成方针级“机遇清单”，实现风险与机遇通过各自独立的过程分别确定。

（2）应用机遇识别输入：将“建立质量方针需重点考虑的方面”作为机遇识别的结构化输入——基于组织指导原则与核心价值观的战略方向、对组织环境的清晰认知、有关相关方的需求与期望、与组织活动相关的风险和机遇、质量管理体系当前绩效、支撑组织持续成功的顾客满意水平、未来改进的层级与类型、实现预期结果所需的资源、相关方的潜在贡献、与其他方针的协调一致性。

（3）示例化机遇类型：使方针与组织愿景和使命相一致（3.5.1注1）、以质量管理原则为基础、明确组织核心关注点（如医院侧重患者安全、食品生产企业聚焦食品安全）；优质且表述规范的方针可提升组织声誉，可对外公开或向有关相关方共享。

（4）从风险中捕捉机遇：与组织活动相关的风险和机遇是方针制定的直接输入；某一因素可能同时是风险与机遇（如技术进步既威胁现有模式也开辟新模式），识别出的机会应传达给最高管理者，作为战略和目标设定的一部分加以考虑。

（5）输出与衔接：将方针级机遇要素转化为方针承诺内容，并作为6.2建立质量目标框架和6.1.3机遇应对措施策划的直接输入。a）适应组织的宗旨；

b）为建立质量目标提供框架；

c）包括满足适用要求的承诺；

d）包括持续改进质量管理体系的承诺；（1）a)宗旨符合性风险研判：逐项判定方针表述是否与组织宗旨（及愿景、使命）相适应；识别方针偏离宗旨导致质量目标失准、资源错配、体系与战略脱节的风险。

（2）b)框架可实现性风险研判：方针应可便捷转化为可测量的质量目标（见6.2）；警惕方针过于模糊抽象或仅为空泛口号，导致无法作为设定可测量目标的基础、员工无法将方针与日常工作建立关联；建立“方针条款—质量目标”对照映射机制，防止方针承诺悬空落空。

（3）c)适用要求承诺的完整性风险研判：按应用指南，“适用要求”至少包含满足顾客要求、遵守适用的法律法规要求以及ISO9001的各项要求，组织也可承诺满足额外要求；识别承诺遗漏（法规更新、顾客合同与行业要求）和承诺超出能力导致失信的风险；参照GB/T24353-2022权衡风险应对方案（规避、承担或增加风险以寻求机会、消除风险源、改变可能性、改变后果、分担风险、慎重考虑后保留风险），并按《管理会计应用指引第700号》在确定风险偏好的基础上，将总体风险和主要风险控制在风险容忍度范围之内，确保承诺与能力匹配。

（4）d)持续改进承诺的落地风险研判：识别改进举措资源配置不足（未分配时间、预算或专业人员即启动项目）、持续改进工作孤立化（被视为“质量部门的任务”而非全组织共同责任）、改进疲劳（团队承担过多改进举措导致参与度下降与职业倦怠）等风险；方针中的持续改进承诺应通过10.1持续改进机制兑现，措施包括改进过程、产品和服务，应对未来的需求和期望，纠正、预防或减少不利影响。

（5）评审与佐证：质量方针应定期评审以保持其适宜性与恰当性，评审可纳入管理评审流程，结合组织环境、战略方向及有关相关方需求与期望的变化开展考虑；保留方针文本、评审记录等成文信息作为审核佐证。（1）a)宗旨契合机遇：使方针与组织宗旨、愿景和使命相一致，为组织各层级行动提供统一导向，支撑质量管理体系与组织战略方向的协调。

（2）b)目标框架机遇：将方针作为6.2建立质量目标的直接输入（如方针为“超越顾客期望”，可对应设定缩短交付周期的质量目标），采用SMART原则（具体、可测量、可实现、相关、有时限）在相关职能、层级和过程上展开目标，覆盖战略、战术和运营层面，提升全员参与度与包容性。

（3）c)要求承诺机遇：将满足顾客要求、法律法规要求和ISO9001各项要求（及额外要求）的承诺载入方针并对外公示，向包括顾客和外部供方在内的相关方传达，有助于确保其理解方针意图（A.5.2）、提升组织声誉。

（4）d)改进驱动机遇：以方针承诺驱动持续改进文化融入日常工作（授权一线团队解决现场问题、组建跨职能改进团队）；改进机会可通过对绩效数据的分析评价（审核发现、检验结果、顾客投诉、社交媒体评论等）以及水平对比、创新举措、过程再造、顾客调查、市场调研等主动方式识别，此类举措有助于识别未来的需求与期望，并可能对战略方向产生影响。

（5）输出与衔接：将方针承诺逐项映射至6.2质量目标、6.1.3机遇应对措施与10.1持续改进，纳入9.3.2管理评审输入（应对风险和机遇所采取措施的有效性）。e）对考虑组织环境加以考虑并支持其战略方向。（1）确保环境输入的全面性：建立质量方针时按应用指南逐项考虑——基于组织指导原则与核心价值观的战略方向、对组织环境的清晰认知、有关相关方的需求与期望、与组织活动相关的风险和机遇、质量管理体系的当前绩效、支撑组织持续成功的顾客满意水平、未来改进的层级与类型、实现预期结果所需的资源、有关相关方的潜在贡献、与组织其他方针（如环境、职业健康安全、信息安全）的协调一致性（若有）。

（2）识别环境偏离风险：警惕未结合组织环境制定的方针缺乏实际意义、无法为行动提供指引；识别内外部因素（4.1）和相关方要求（4.2）发生变化导致方针失效的风险，建立环境变化触发的方针再评审机制。

（3）战略一致性风险研判：识别方针与战略方向不一致导致质量目标与战略脱节的风险；在评估备选战略时考虑其对风险概况的影响、在制定业务目标时考虑风险、规定可接受的绩效波动，并使方针承诺与组织风险偏好保持一致（风险偏好描述可含“目标、范围、下限、上限”级联表达）。

（4）分析与评审技术：采用PESTLE、SWOT、情景分析等结构化方法研判影响方针适宜性的环境因素及其变化趋势，风险评价结果予以记录、沟通并在组织适当层级确认（GB/T24353-2022）。

（5）输出与衔接：方针环境研判与4.1、4.2的输出相衔接；环境或战略变化触发方针修订时，按6.3变更的策划要求实施，保留评审与修订的成文信息。（1）从环境变化中捕捉机遇：市场环境变化、新兴技术、法规要求更新等既是风险也是机遇（如法规加严催生合规服务与产品升级需求）；人口结构变化、技术进步等中长期趋势既威胁现有模式也开辟新模式，方针应为战略弹性预留空间，即便其影响尚未即时显现。

（2）相关方贡献机遇：与相关方建立合作协作关系有助于更早识别需求和期望，将其转化为方针级承诺；向相关方传达方针有助于理解意图并扩大认同（A.5.2）。

（3）顾客满意导向机遇：以支撑组织持续成功的顾客满意水平为方针输入，将增强顾客满意和稳定提供合格产品和服务的能力纳入方针导向。

（4）“追求”型战略机遇对齐：“追求”是接受更多的风险以实现更高的绩效；当重大机遇需要调整方针或风险偏好时，应经最高管理者（董事会或其他风险监督机构）评审和批准，保持方针、战略与风险偏好三者联动。

（5）输出与衔接：将环境与战略维度的机遇纳入6.1.3机遇应对措施策划，并确保6.2质量目标与方针一致、支撑组织战略方向；纳入9.3管理评审滚动评审方针的持续适宜性。5.2.2质量方针应：

a）作为成文信息可获取；

b）在组织内得到沟通；

c）适宜时，可为相关方所获取；

d）在组织内贯彻实施、理解和应用。（1）a)成文信息控制风险：质量方针可作为独立文件，也可作为更宏观方针的组成部分或纳入其他文件；按7.5实施分发、访问、检索和使用，存储和防护，更改控制（版本控制），保留和处置；防范版本失控、作废版本误用及信息安全风险（网络安全、数据丢失、失密、非预期更改，参见GB/T19023成文信息保护要求）；运用基于风险的思维综合组织规模、活动类型、过程复杂程度、人员能力及不合格潜在后果确定成文信息的详略程度。

（2）b)沟通风险：按7.4确定沟通的内容、时机、对象、方式和责任主体；采用包含方针内容的入职培训与复训、明确质量目标与方针的关联关系、阐释方针对日常工作的实际意义（如方针强调“产品可靠性”，员工可说明遵照维护计划执行、开展质量检验或及时上报缺陷等贡献方式）、引导员工阐述其工作中“质量”的核心内涵、可视化物料或宣传标语等宣贯方式；防范沟通衰减和员工不理解方针与自身工作关联的风险。

（3）c)相关方获取的控制风险：适宜时向顾客、外部供方、监管机构等提供方针；对外共享前管控敏感信息与保密要求，防止信息失密或不当使用。

（4）d)贯彻实施风险：将方针融入组织日常运营（嵌入过程与程序，以及外部供方与合作伙伴的合同中），并成为组织文化的组成部分；通过7.3意识确保人员知晓质量方针；利用内部审核验证员工对方针的认知度与落地执行情况（如医院示例在入职培训中讲解方针、临床科室公示、工作会议强化落实、内审验证认知与执行）。

（5）监视评审与可及性：定期评审方针（纳入管理评审，结合组织环境、战略方向及相关方需求与期望的变化）；考虑员工群体多样性，使用通俗易懂的非技术语言与短句，提供书面与音频版本并翻译为对应语种，提升可及性与覆盖范围。

（6）输出与佐证：保留方针成文信息、沟通培训记录、评审修订记录作为管理评审与内部审核的证据。（1）a)可及性机遇：通过多载体（独立文件、手册、内联网、公告栏）、多形式（书面、音频）、多语种发布扩大方针覆盖范围，对外公开或向有关相关方共享以提升组织声誉与信任。

（2）b)沟通机遇：将方针沟通与质量目标建立关联（见7.4），沟通可进行策划并评估其有效性，考虑影响预期结果的风险和机遇；通过沟通建立各层级对组织持续满足质量要求、实现质量目标并推进持续改进的认知。

（3）c)相关方协同机遇：与合作伙伴、供方等主体开展合作时，着力推动质量方针的宣传、理解与认同具有重要价值；向包括顾客和外部供方在内的相关方传达方针，有助于各方准确理解其内涵、建立对组织的信任。

（4）d)落地应用机遇：方针融入文化与日常运营后，引导员工阐述“质量”内涵以评估落地效果，从中识别改进机遇；将方针实施结果（质量目标实现程度、顾客满意信息、相关方反馈）作为机遇再识别的常设输入，用于滚动更新方针以把握新机遇。

（5）输出与衔接：将方针沟通与实施中的反馈纳入9.3管理评审和10.1持续改进，形成“制定—发布—沟通—实施—评审—更新”的闭环，持续保持方针的适宜性、充分性和有效性。“基于风险的思维和基于机遇的思维”在“5.3岗位、职责和权限”条款中应用专业操作指南5.3条款原文"基于风险的思维"在5.3条款中应用专业操作指南"基于机遇的思维"在5.3条款中应用专业操作指南5.3岗位、职责和权限最高管理者应确保组织相关岗位的职责、权限得到分配和沟通。最高管理者应分配职责和权限，以便：a）确保质量管理体系符合本文件的要求；b）向最高管理者报告质量管理体系的绩效；c）确保各过程实现其预期结果；d）确保在整个组织中推动以顾客为关注焦点；e）向最高管理者报告改进机会；f）确保质量管理体系的完整性得到保持，包括在策划和实施质量管理体系变更时。（1）建立组织与职责：由最高管理者主导开展职责与权限分配中的风险研判工作，授权成立跨职能团队或指定风险管理人员参与岗位职责设计与权限界定，在组织内相应层级分配权限、职责和责任并明确沟通，强调风险管理是一项核心职责，指定有责任和权限管理风险的个人（风险责任人）；权限可以逐级下放，但质量管理体系的总体责任与最终问责仍由最高管理者承担。

（2）确立风险研判准则：将风险理解为不确定性对质量管理体系实现其预期结果的能力产生负面效应的情形，基于风险的思维要求在各层级优先考虑并管理不确定性影响，在面临事情可能未按预期进行（包括错失机遇）时权衡不同行动方案的潜在利弊，使职责与权限分配决策在战略、战术和运行层面保持一致；应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件化的风险管理过程，组织可根据自身需要选择更全面的风险管理方法（如参照ISO31000）。

（3）结构化识别职责权限分配中的风险源：重点识别职责空白、职责重叠，或对"谁承担何事"产生误解的风险；在岗人员数量有限带来的业务连续性风险及"单点故障（SPOF）"类风险（关键职责仅依赖单一人员或单一领域专家知识）；权限过度集中、超越风险管理制度作出决策的风险；采用技术手段支撑体系运行时的信息可靠性风险；变更（如新ERP系统上线、业务外包、组织重组）期间体系完整性受损的风险。

（4）按a）至f）逐项负面研判：a）确定特定岗位任职人员（最高管理者、管理人员、作业人员、过程责任人、内部审核员等）时，研判岗位空缺、职责无人承担或人员能力不足导致体系不符合要求的风险；b）研判体系绩效报告信息失真、滞后或遗漏经验教训的风险，大型组织可指定专人协调、汇总不同领域与过程的报告活动；c）研判过程无人保障、