“基于风险的思维和基于机遇的思维”在“9绩效评价”条款中应用专业操作指南（雷泽佳编制）

“基于风险的思维和基于机遇的思维”在“9绩效评价”条款中应用专业操作指南（雷泽佳编制）“基于风险的思维和基于机遇的思维”在“9绩效评价”条款中应用专业操作指南（雷泽佳编制）“基于风险的思维和基于机遇的思维”在“9.1监视、测量、分析和评价-9.1.1总则”条款中应用专业操作指南（雷泽佳编制）9.1.1条款原文“基于风险的思维”在9.1.1条款中应用专业操作指南“基于机遇的思维”在9.1.1条款中应用专业操作指南组织应确定：

a）需要监视和测量什么；（1）建立组织与职责：由最高管理者授权（按5.1.1k)项“促进基于风险的思维和基于机遇的思维”要求）成立由质量、生产、工程、采购、信息技术等部门组成的监视测量策划跨职能团队，指定各过程所有者承担本过程监视测量对象的确定与维护；监视测量对象的确定作为风险与机遇应对（6.1）的组成部分实施。

（2）以风险为确定监视测量对象的首要输入：应用基于风险的思维（旨在防止非预期结果）优先确定对质量管理体系实现预期结果、质量目标实现、过程输出合格及顾客满意能力影响大的对象；按4.4.1为每一过程确定包括监视、测量和相关绩效指标在内的准则和方法，检查点根据过程步骤和相关风险确定；对需监视的风险逐项记录其风险源、发生概率、对目标的影响、责任者、缓解措施及缓解后的剩余风险，形成“监视测量对象与风险监控清单”（风险登记表），并定期监视保持更新。

（3）覆盖重点领域与对象：监视对象应覆盖实现质量目标的风险与机遇、“监视和测量过程本身足以有效评价产品和服务符合性”的风险与机遇、不合格与纠正措施、顾客反馈、外部供方绩效、关键设备与基础设施、外包过程、合规义务等，同时覆盖在中断期间和中断后提供合格产品和服务能力相关的风险征兆。

（4）结构化识别应监视的风险对象：可采用头脑风暴、SWOT、PESTLE等分析技术及FMEA、FMECA、SWIFT、检查表等风险评估技术（按GB/T27921-2023选择适用技术）识别风险源与潜在事件；按GB/T23694-2024统一“风险”“风险源”“可能性”“后果”等术语口径，防范因术语歧义导致对象确定遗漏或偏差。

（5）警惕监视对象特有的风险形态：警惕“单点故障”类对象遗漏（如依赖单一供方、单一设备、单一关键人员的过程未被纳入监视）；避免纳入超出质量管理体系范围且无法通过该体系实际管控的对象；按ISO/TS31050:2023持续扫描内外部环境变化，捕捉薄弱信号与早期预警，将新兴风险及时纳入监视范围。

（6）按风险程度分级确定监视深度与频度：遵循重要性原则，对重大风险和关键业务流程实施重点监测、及时识别与应对，避免监视不足（遗漏高风险对象）与过度监视（资源浪费）两种偏差；对低风险对象采用简化监视安排。

（7）输出与衔接：将“监视测量对象与风险监控清单”作为6.1.2应对风险的直接输入并整合进质量管理体系过程，同步衔接9.1.3分析与评价、9.2内部审核方案和9.3.2管理评审输入。（1）同步识别监视测量对象蕴含的有益效应（机遇源）：由同一跨职能团队在基于风险思维确定监视对象的同时，应用基于机遇的思维（旨在借助机遇追求预期结果）逐项识别对体系绩效产生有益影响的情形类对象，形成“机遇类监视对象清单”，实现风险类与机遇类对象分别确定、分别管理。

（2）以内外部环境与相关方需求为机遇类对象的识别输入：基于对组织环境（4.1）和相关方需求与期望（4.2）的评估，识别新技术应用、新市场拓展、法规更新催生产品服务升级、顾客及相关方期望变化等机遇类对象，将机遇实现的先决条件与关键成功因素纳入监视范围。

（3）认识“抓住或不抓住机会都是风险的来源”：按GB/T23694-2024，机会（机遇）是预期有利于实现目标的情景，错失机遇本身构成风险；应将机遇窗口期、机遇实现概率等要素与风险对象一并纳入确定范围，防止片面规避风险而放弃发展机遇。

（4）利用内部绩效数据扩展对象：利用内部绩效数据和监视测量活动的结果，识别通过优化做事方式、全面改进工作开展模式的领域，将标杆研究、对标对象纳入监视范围以借鉴同行最佳实践。

（5）输出与衔接：将机遇类监视对象清单作为6.1.3应对机遇的直接输入，同步衔接9.1.2顾客满意监视和9.1.3分析与评价，并纳入管理评审机遇再识别场景。b）适用的监视、测量、分析和评价的方法，以确保结果有效；（1）以结果有效性为方法选择的首要准则：方法适用性评估应考虑对象的风险程度、信息的可获得性与可靠性（基于历史信息、当前信息和未来预期的最佳可用信息）、可用资源及成本收益平衡，以及法定与合同强制要求；方法宜与风险程度相匹配，确保结果有效。

（2）结构化选择风险评估与分析技术：按GB/T27921-2023选择定性、半定量或定量技术（如头脑风暴、检查表、因果图、FMEA、业务影响分析、风险指数等），并检查决策准则（包括风险准则）的适宜性；按GB/T19019-2026（ISO10009-2024）选择质量工具，如控制计划（确定测量方法、频率、结果记录方式及不符合反应计划）、交通灯评级法/热力图（用于KPI报告、风险登记表、仪表盘和预警信号）、帕累托图、箱线图、雷达图、GR&R等过程控制工具。

（3）确保分析要素完整：风险分析方法应能覆盖事件发生的可能性及后果、后果的性质及影响程度、复杂性和关联性、时间相关因素、现有控制措施的有效性、敏感性和置信水平；对高度不确定的对象综合使用多种分析技术以获得更合理的观点。

（4）建立监测预警类方法：针对需重点关注的风险设置风险预警指标体系，通过将指标值与预警临界值比较识别预警信号并进行预警分级；对重大风险实施持续不断监测、及时发布预警信息并制定应急预案；建立涵盖风险识别评估、监测预警、应对策略及考核评价的闭环机制。

（5）防范方法自身的失效风险：关注测量系统误差（如测量器具的重复性和再现性）、人员的认知偏差与群体思维对分析结果的影响；警惕对称结构热力图可能造成的偏差及颜色指示对色盲人员无效等适用性局限；专家意见尽可能以证据和数据为依据。（1）借方法更新识别效率提升机遇：评估云服务、人工智能、新型ICT及风险管理信息系统等新兴技术在监视、测量、数据自动采集与分析中的应用，实现实时反映风险矩阵和排序频谱、对超过预警上限的风险自动报警，提升分析评价的及时性与效率；方法选择时同步识别相关技术应用的机遇与伴随风险。

（2）以方法支撑机遇研判与决策：采用定量与定性相结合的方法为机遇决策提供深刻见解，在不同类别和等级的风险（含机会风险）间抉择时提供信息支撑；将机会风险视为企业的特殊资源，通过适宜的分析方法揭示其盈利可能性。

（3）应用对标与顾客感知类方法：采用标杆管理、净推荐值（NPS）、卡诺模型等工具洞察顾客及相关方需求变化，为推出新产品或新服务、改进现有过程提供方法支撑；开展对标研究借鉴同行高效实践。

（4）为应对机遇而选择的方法应与组织所处环境相适宜，并支持预期结果的实现，机遇研判前同步评价该机遇伴随的风险。c）何时实施监视和测量；（1）基于风险和重要性确定实施时机：实施频次形式包括连续监视、按批次、按月、按季、按年等，法定或合同强制的周期（如特种设备定期检验）必须执行，并设置事件触发时机（如异常发生、变更实施后、不合格发生后）；对高风险对象安排更高监视频次，对低风险对象适当放宽频次以匹配风险程度。

（2）保持时机安排的动态性：内外部环境变化时风险可能出现、变化或消失，应以适当、及时的方式预测、发现、确认和应对变化；定期或不定期对风险重新辨识、分析和评价，及时更新监视频次与安排；各类因素（如返工率或报废率上升、绩效指标超出既定接受准则）可能导致已识别风险变化，应触发监视安排再评审。

（3）将监视嵌入风险应对实施：监视和评审应作为风险应对实施的组成部分，贯穿风险管理过程所有阶段，明确界定责任，确保各项风险应对措施（含剩余风险）持续有效；组织可记录剩余风险并对其持续监视评审，适时采取进一步应对措施。

（4）保持中断期间的监视韧性：对中断事件期间及恢复后的产品和服务交付状态保持监视；针对新兴风险按弱信号与早期预警要求提前安排扫描性监视时机，整合风险情报循环并实施动态治理。（1）将机遇跟踪纳入监视时机安排：对已确定的机遇应对转化措施（利用、促进、合作、研发、抢占等策略）安排进度跟踪与效果验证的时机，保留落地证据（如项目报告、收益数据、评审记录）。

（2）设置机遇再识别的定期与触发时机：将战略会议、管理评审、内部审核、质量目标制定会议、新产品和新服务设计开发策划等场景作为机遇再识别与监视的常规时机；组织战略、法律法规、顾客要求、供应链、重大质量事故等发生重大变化时随时启动补充识别与监视。

（3）按信息变化速率确定机遇类对象的监视频次：对重要相关方及其需求变化安排更高频次跟踪（如季度跟踪、年度全面复审），信息变化速率快、影响紧迫的机遇对象加密监视频次，实现及时捕捉机遇窗口。d）何时对监视和测量的结果进行分析和评价。（1）基于信息获取能力和风险等级确定分析评价时机：分析评价的频次取决于组织的信息获取能力（如电子方式与纸质方式、自动获取与人工获取）以及所涉及风险和机遇的等级；组织应明确界定并传达分析范围（基于质量目标、风险及既往结果确定），避免效率低下或资源浪费，并确定评审所获信息的研讨形式（如月度质量例会、季度绩效回顾）。

（2）以风险准则为评价标尺：将风险分析结果与既定风险准则相比较，确定风险是否可以接受或容忍，并支持是否采取进一步行动的决策（包括维持现有控制措施、开展进一步分析、考虑应对方案或重新考虑目标）；风险准则应基于组织目标、内外部环境和相关方意见确定，并持续审视、动态更新；风险评价结果应予以记录、沟通并在组织适当层级确认。

（3）关注趋势与组合效应：分析评价应呈现趋势而非孤立的当期数字；分析风险之间的关系以发现组合效应；当指标变化（如KPI超出既定接受准则）可能导致已识别风险改变时，对风险进行再评审，确保应对措施持续适用；必要时按监管要求对重大经营风险事件履行首报、续报和终报等报告义务。

（4）多元检验方法：采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法检验风险管理与控制的有效性，根据变化情况和存在缺陷及时改进。（1）将分析评价结果作为机遇再识别的常设输入：从监视测量数据中发现进一步提升的空间，在适宜且可行的前提下开展对标研究，借鉴同行实践；将经证实有效的做法固化为新实践方法或新过程并推广应用，实现持续改进。

（2）借分析评价洞察相关方需求与改进机会：基于对相关方需求和期望的评价洞察开展研发、推出新产品或改进型产品和服务，识别优化资源配置与跨职能协同的机会；分析评价结果向管理层报告，作为战略和目标设定的考虑内容。

（3）以分析评价驱动体系优化：利用过程绩效数据识别消除冗余过程、整合重复活动、简化过度细分过程的机会，更新质量目标并刷新风险与机遇清单，形成PDCA闭环。组织应评价质量管理体系的绩效和有效性。（1）统一评价口径：绩效是可测量的结果（定量或定性），有效性是完成策划的活动并取得策划结果的程度；评价应以质量方针和质量目标（5.2、6.2）、过程绩效指标以及产品和服务的合格情况为标尺开展。

（2）结构化开展绩效与有效性评价：以评价质量管理体系绩效和有效性为目的策划内部审核方案（9.2），按过程而非按条款策划审核，在建立审核方案时应用基于风险的思维考虑过程重要性、过程绩效（如KPI超出既定接受准则）、影响组织的变更、以往审核结果、顾客投诉趋势和法定监管事项，据此动态确定审核频次；评价结果（含监视和测量结果及其趋势）作为管理评审（9.3）输入，向最高管理者报告。

（3）分别评价风险与机遇应对措施的有效性：对应对风险所采取措施的有效性（基于风险登记册）和应对机遇所采取措施的有效性（基于机遇登记册）分别形成独立书面判断，未开展有效性评价的不得以“措施有效”一句带过；并检查依据风险偏好、风险承受度和风险控制预警线实施的结果，提出定性或定量的有效性标准。

（4）关注风险与绩效的非线性关系：风险与绩效之间很少是线性的一对一关系，绩效目标变化时风险严重程度随之变化；应评价与不同绩效水平相关的风险总量，在期望绩效与可承受风险量之间取得平衡，防止忽视风险片面追求绩效，也防止单纯规避风险而放弃机遇。

（5）界定评价责任：最高管理者对质量管理体系的有效性负责，定期评审体系有效性，及时处置反映体系缺陷与薄弱环节的问题，不将有效性责任转由管理者代表或单一部门承担；风险管理职能部门定期对各部门实施情况和有效性进行检查考核，内部审计部门至少每年一次开展监督评价。（1）借评价识别体系改进与优化机遇：定期评价质量管理体系及其风险管理工作是否仍适用于支持组织目标实现，识别差距或改进空间后制定改进计划并分配实施；将评价结果作为第10章改进、战略会议和管理评审中机遇再识别的输入，衔接9.3.2管理评审输入中的“改进的机会”。

（2）以评价驱动目标更新与清单刷新：根据绩效和有效性评价结果适时更新质量目标（6.2）并刷新风险与机遇清单（6.1），识别通过新过程、新技术、新产品实现增强有利影响（预期结果）的机会，形成PDCA闭环。

（3）培育基于机遇思维的改进文化：将主动改进成效纳入管理者与人员的评价维度，支持培养人员的风险与机遇评估能力，通过评价激励全员关注风险防范与机遇利用，促进风险与机遇讨论文化的形成。成文信息作为结果的证据应可获取。（1）确定成文信息的范围与详略程度：监视测量对象清单、方法、时机安排、分析和评价的结果、绩效和有效性评价的结论等均应形成成文信息并可获取，作为结果证据；成文信息的类型与范围应运用基于风险的思维、综合考虑不合格的潜在后果确定，防止过度文件化或文件化不足，并按7.5实施控制。

（2）规范记录与报告：风险分析的影响因素应考虑、记录并与决策者沟通；风险评价结果宜记录、沟通后在适当层级确认；报告应考虑信息用途与敏感性、报告成本、频率和及时性、报告方式及与组织目标和决策的相关性；监视和评审的结果应纳入组织绩效管理、考核和报告活动。

（3）保障数据质量：通过风险管理信息系统确保输入数据的一致性、准确性、及时性、可用性和完整性，未经批准不得更改；电子载体记录宜保留修订留痕和审计日志，确保可追溯、不可被非授权删改。

（4）满足审核与评审佐证要求：按ISO19011:2026准备审核佐证；管理评审输入信息须与9.1.1、9.1.2、9.1.3所确定的监视测量安排一致，由数据自然汇总生成，不得为评审临时编造；风险和机遇应对措施的有效性评价应在评审会议前完成并形成书面判断。（1）将成文信息作为组织知识的载体：将经评价证实有效的监视测量方法、分析评价结论和成功实践固化为成文信息与组织的知识，作为后续策划的基准与输入，防止知识流失。

（2）借信息化降低证据管理负担：利用信息系统实现信息的采集、存储、加工、分析、传递、报告与共享，减少纸质冗余记录，提升证据的可获取性与利用效率；机遇应对措施的落地证据（如项目报告、收益数据、评审记录）应保留，作为有效性评价与外部审核核查的依据“基于风险的思维和基于机遇的思维”在“9.1监视、测量、分析和评价-9.1.2顾客满意”条款中应用专业操作指南（雷泽佳编制）9.1.2条款原文"基于风险的思维"在9.1.2条款中应用专业操作指南"基于机遇的思维"在9.1.2条款中应用专业操作指南组织应监视顾客满意。组织应确定获取、监视和评审顾客满意信息的方法。（1）建立组织与职责：由最高管理者授权成立顾客满意监视跨职能团队（成员涵盖质量、销售/市场、顾客服务、投诉处理、数据分析及信息技术等部门），负责顾客满意风险与机遇的识别、监视方案策划和评审；按GB/T24353-2022明确风险责任人、权限与资源配置，风险管理承诺与职责应在组织内沟通；风险管理过程中需与内外部相关方充分沟通和协商，兼顾信息保密性、完整性和个人隐私保护；参照三道防线（三线）模型界定治理机构、管理层与内部审计在顾客满意信息监视中的职责分工与协同机制。

（2）确定获取、监视与评审方法及范围：所获取的顾客满意信息可按顾客类型、区域、销售量或其他符合组织业务需求与期望的准则进行分类，据此确定评价顾客满意的方法，可包括意见调查、顾客沟通、顾客对所交付产品和服务质量的反馈、市场份额分析（包括采用人工智能算法开展的分析）、表扬、投诉、保修索赔、经销商报告、社交媒体（如网站和留言板，包括采用网络爬虫开展的监测）、发票问询及公开信息；组织宜确定向哪些顾客收集反馈（每次交易向所有顾客征集，或基于目标销售数量、有重复订单的顾客或新顾客进行代表性抽样），并可按组织确定的频率持续开展；应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件化的风险管理过程，组织也可根据需要选择更全面的方法（如按GB/T24353-2022/ISO31000建立框架）；顾客满意监视与测量过程的界定与实施可按ISO10004（GB/T19014）执行。

（3）结构化识别顾客满意监视过程的潜在负面后果（风险源）：在质量管理领域，风险通常被理解为不确定性对质量管理体系实现其预期结果的能力产生负面效应的情形，应识别"监视顾客满意"自身固有风险，包括：过于频繁或范围过大的反馈请求引发顾客反感（调查疲劳）的风险，侵犯性提问导致调查回应不足的风险；敏感顾客数据丢失或滥用的风险；数据不具代表性、有偏性、缺乏时效性、完整性和准确性的风险；确认偏误（刻意寻求或解读信息以印证既有观点）的风险；过度依赖滞后指标（如缺陷率、顾客投诉）而忽视领先（预测性）指标的风险；开展分析人员缺乏必要知识、经验或背景理解导致结论错误的风险；自行采集数据因参与调查的个人关系致使数据偏离的风险。可采用头脑风暴法、SWOT或PESTLE等分析技术，以及FMEA、FMECA、SWIFT等风险识别技术和后果-可能性矩阵、风险指数、蝴蝶结分析等简便技术（按GB/T27921-2023选择适用技术；COSO框架亦将数据跟踪、访谈、引导式研讨会、问卷和调查、领先指标列为风险识别输入与方法），对每项风险识别其风险驱动因素与脆弱性，评估风险等级，形成"顾客满意风险清单"，实现风险与机遇通过各自独立的过程分别确定和应对。

（4）保障数据质量与测量有效性：样本量可用统计法确定以保证结果精度和置信度，抽样方法（随机抽样、分层抽样等）宜保证样本充分代表总体；调查问卷应经试验调查并进行信度和效度检验，未达要求时修正；数据获取过程应有效控制（调查人员培训、过程监控如电话调查全程录音），获取数据应进行有效性检验并剔除不可用数据；分析时应检查数据的误差、完整性和准确度；必要时委托独立第三方采集数据，避免自行采集的偏差风险；统计技术可作为分析工具（ISO10017提供选择指南）。

（5）警惕监视过程特有的风险形态：警惕"单点故障（SPOF）"引发的风险（如依赖单一调查渠道、单一社交媒体监测工具或黑箱化AI算法）；避免纳入超出质量管理体系范围且无法通过该体系实际管控的已识别风险；按GB/T23694-2024统一风险术语口径，防范因术语歧义导致研判偏差；对风险识别所涉及人员的偏见、假设和看法保持警觉。

（6）识别监视过程引发的次生与新兴风险：按ISO/TS31050:2023持续扫描环境变化，识别数字化渠道（社交媒体舆情、AI算法分析偏差、大数据应用）带来的新兴风险，整合风险情报循环并实施动态治理；识别由顾客满意监测结果衍生的次生风险（如投诉集中爆发、担保索赔攀升、负面舆情扩散、大客户流失），对中断事件（对产品和服务的计划交付产生负面影响的各类事件）保持韧性研判；大中型组织（尤其国有企业）发生重大经营风险事件时，按监管要求履行首报、续报和终报等报告义务。

（7）策划与风险程度相匹配的应对措施：应对措施可包括规避风险、消除风险源、改变发生的可能性或后果、分担风险，或经知情决策保留风险，也可包括为寻求机遇而承担风险；避免或降低顾客满意监视负面影响的示例措施包括：控制调查频次与范围、尊重顾客边界、运用大数据分析减少打扰式调查、建立敏感顾客数据管理与保护流程以遵守法定义务及顾客要求、补充使用领先（预测性）指标提前识别潜在根本原因、保持开放心态并重视与固有假设相悖的证据。

（8）评审、输出与衔接：建立涵盖目标设定、风险识别评估、监测预警、应对策略及考核评价的闭环机制；按GB/T27921-2023妥善记录和报告风险评估过程及结果（含假设条件、数据与方法局限），对关键参数持续监控以便更新风险评估；定期评审与监视和测量顾客满意有关的风险，并评估对风险所采取措施的有效性；将顾客满意风险清单及应对措施作为6.1.2应对风险的直接输入，分析评价结果经9.1.3评价（含应对风险所采取措施的有效性）后作为9.3.2管理评审输入，并保留成文信息作为审核佐证。（1）同步识别顾客满意监视过程蕴含的有益效应（机遇源）：由同一跨职能团队在研判顾客满意风险的同时，逐项识别监视过程中可能对质量管理体系绩效及预期结果产生有益效应的要素或条件，形成"顾客满意机遇清单"，实现风险与机遇通过各自独立的过程分别确定和应对；在监视和测量顾客满意环境中，机遇与识别实现正面结果的可能的新方法有关，并不一定来自组织现有的风险。

（2）从顾客满意信息中捕捉改进机遇：监视和测量顾客满意获得的信息能帮助组织确定战略、产品、服务、过程和顾客关注特性的改进机会，实现组织目标；这些改进能增强顾客信心并带来商业利益和其他收益；基于机遇的思维有助于组织识别哪些领域存在可对质量管理体系绩效及其预期结果产生有益效应的机遇。

（3）应用机遇识别输入：机遇可通过对组织内外部环境的评估予以识别，评估维度包括相关方的需求和期望、组织的能力、容量与胜任力，以及监视和测量活动的结果和相关绩效指标——顾客满意监视结果本身即为6.1.1/6.1.3机遇识别的法定输入之一；机遇可来源于多种渠道，例如市场环境变化、新兴技术或法规要求更新，这些情形能够助力组织提升其质量管理体系绩效。

（4）示例化顾客满意类机遇的积极成效：妥善利用顾客满意信息可产生积极成效，例如从顾客满意测量中顾客提供的建议识别一种新的产品、服务或过程；通过评审相关过程后重新考虑资源配置，带来监视和测量顾客满意方法的改进；期望-感受差距分析可分别转化为改进理解期望及实现期望的过程、改进产品或服务（特征、培训、支持等）、告知顾客产品或服务全部潜力、与可比对象对标等改进机会。

（5）应用适宜质量工具深化机遇识别：按GB/T19019-2026（ISO10009:2024）选择适宜工具——净推荐值（NPS）衡量顾客忠诚与整体满意并预测业务增长、卡诺模型理解并量化满意度驱动因素以发现未知需求和顾客愉悦点、质量功能展开（QFD）将顾客需求转化为设计、以及流失业务分析、神秘顾客、焦点小组、顾客关系管理（CRM）等；挑战或潜在的机会应作为顾客满意信息监视的内容之一。

（6）研判机遇伴随的风险并覆盖机遇应对措施选项：实施前应识别并评价该机遇伴随的风险及其对质量管理体系的潜在影响，按"承担风险以把握机遇"路径经充分研判后决定是否把握（如投资CRM系统、引入AI市场份额分析工具等投资回报尚不确定的举措）；机遇应对措施可包括：采用能够实现更优成果的新实践方法或运行新过程、基于对相关方需求和期望的评价洞察开展研发工作以推出新产品、识别与自身战略方向契合的潜在合作方（经销商、第三方调查机构等）建立新的合作关系、应用能够提升顾客体验管理效率和质量的新技术、实施各类举措满足顾客及其他相关方当前和不断变化的需求与期望；为应对机遇而采取的措施应与组织所处环境相适宜，并支持预期结果的实现。

（7）输出与衔接：将顾客满意机遇清单作为6.1.3应对机遇的直接输入；确定顾客满意程度后应基于上述信息采取措施，该信息作为9.3.2管理评审输入，用于确定为提升顾客满意所需采取的措施，并经9.1.3评价应对机遇所采取措施的有效性；分析结果可提供给最高管理者用于制定政策和策略，按信息性质提供给采购、销售、产品支持等相应职能部门及全体员工以指导改进，并可与顾客共享相关满意信息和改进措施以鼓励其参与将来的满意测量；机遇的再识别与应对可在战略会议、管理评审、内部审核、质量目标制定会议等场景下开展。注：支持理解顾客满意的信息来源可能包括顾客调查、顾客对已交付产品和服务的反馈、与顾客座谈、市场占有率分析、顾客赞扬、投诉、担保索赔、经销商报告或社交媒体。（1）逐项评估各信息来源的固有风险与数据质量：各信息来源在覆盖面、时效性、结构化程度和可靠性上差异显著，数据来源不可靠、不一致、不充分（如收集的数据类型或收集方法发生改变、定性词语描述或理解存在歧义、以往数据因背景改变不足以支持预测）会导致分析输出出现不确定性，宜与决策者沟通这些不确定性及其影响；识别风险应考虑有形和无形的风险源、原因和事件、威胁和机遇、脆弱性和应对能力、内外部环境变化、新兴风险、知识的局限性和信息的可靠性、与时间有关的因素以及人员的偏见。

（2）分类分级管控各来源特有风险：顾客调查——调查疲劳、侵犯性提问导致回应不足、样本无代表性、自行采集因个人关系致数据偏离的风险；顾客反馈与座谈——主观性、确认偏误的风险；市场占有率分析——AI算法偏差与数据来源不可靠的风险；顾客赞扬——信息不完整、代表性不足（"无投诉≠满意"）的风险；投诉与担保索赔——处理迟延演变为争议的风险，投诉和争议的频次或趋势应作为间接指标纳入监视，并与纠正措施过程衔接（审核时关注投诉处理与纠正措施的关联及对具体投诉的抽样验证）；经销商报告——传递滞后与筛选偏差的风险；社交媒体——负面舆情快速扩散的声誉风险（低发生概率、高后果）以及网络爬虫采集涉及的合规与数据质量风险。企业还应按全面风险管理要求广泛收集主要客户信用情况、营销环境、竞争者及替代品情况等风险信息，并对收集的初始信息进行筛选、提炼、对比、分类、组合。

（3）防范信息分析与解读风险：以直接来自顾客的数据验证或补充间接信息，避免孤立解读单一来源；应基于目标、风险及既往结果明确界定并传达分析范围，避免效率低下或资源浪费；对照内部数据或其他经营指标定期评审，确保顾客满意信息的有效性。

（4）定期评审信息来源的持续适宜性并保留证据：定期评审顾客满意间接指标（包括流失顾客分析），保证来源是最新的、全面的和适宜的；保证获取顾客期望（隐含的和明示的）的过程是最新的和范围全面的，包括可能时由顾客确认；按GB/T24353-2022实施监视和评审并按GB/T27921-2023保留记录（支持跟踪绩效和趋势、提供审计记录）；定期评审与监视和测量顾客满意有关的风险和机遇，并评估对风险所采取措施的有效性；投诉处理（ISO10002）、争议解决（ISO10003）和顾客满意行为规范（ISO10001）过程的信息可用于维护和改进监视和测量顾客满意过程。（1）将每一信息来源同时视为机遇探测渠道：顾客调查和与顾客座谈可发现未知需求、改进构思与期望变化趋势；顾客对已交付产品和服务的反馈揭示产品、服务和相关过程（产品支持、顾客服务、投诉处理、顾客沟通）的优缺点；市场占有率分析（含AI算法）识别竞争定位与新产品空间；顾客赞扬可提炼最佳实践并固化为组织的知识；投诉和担保索赔是产品设计、过程改进及新服务开发的直接信号源；经销商报告与社交媒体捕捉需求趋势、品牌偏好变化和潜在流失预警。

（2）从期望-感受差距分析中系统转化机遇：通过顾客满意概念模型洞察差距原因——组织未能充分理解顾客期望（改进理解期望及实现期望的过程）、顾客有不现实的期望（通过对标、技术介绍等告知局限性）、顾客对产品或服务缺乏理解（告知产品全部潜力并进行对标）、顾客期望已改变（改进产品或服务或探索其他用途）——将每一类原因转化为具体的改进和新产品、新服务机会。

（3）借助数字技术扩展机遇识别能力：运用人工智能算法开展市场份额分析、采用网络爬虫监测社交媒体、运用大数据分析，从海量非结构化信息中发现新兴需求、潜在流失顾客赢回机会与业务增长空间；关注质量领域新兴趋势（顾客体验、新兴技术、信息方面等）对顾客满意监视方式的赋能。

（4）传播与应用信息以放大机遇成效并形成闭环：将分析获得的信息提供给适当职能部门指导改进措施（如部件满意程度高可提供给采购部门、员工态度问题提供给销售部门、支持响应不足提供给产品支持部门）；验证向相关职能部门沟通顾客满意信息的过程是可操作和有效的，识别沟通障碍和帮助手段；将顾客满意趋势、对手或竞争者信息、优势劣势及"挑战或潜在的机会"纳入管理评审，作为战略和目标设定的考虑内容，衔接第10章持续改进，并评价应对机遇所采取措施的有效性，形成PDCA闭环。“基于风险的思维和基于机遇的思维”在“9.1监视、测量、分析和评价-9.1.3分析与评价”条款中应用专业操作指南（雷泽佳编制）9.1.3条款原文“基于风险的思维”在9.1.3条款中应用专业操作指南“基于机遇的思维”在9.1.3条款中应用专业操作指南组织应分析和评价通过监视和测量获得的相关数据和信息。应利用分析结果评价：（1）建立组织与职责：由最高管理者授权成立数据分析和评价跨职能团队（成员涵盖质量、生产、工程、采购、销售及信息技术等部门），负责监视和测量数据与信息的收集、分析、评价和报告；参照三道防线（三线）模型界定治理机构、管理层与内部审计在数据分析与风险管控中的职责分工与协同机制。

（2）明确分析评价的对象与范围：分析评价的对象是“通过监视和测量获得的相关数据和信息”，覆盖产品和服务符合性、顾客满意、体系绩效、策划实施、风险应对、机遇应对、外部供方绩效等数据；监视和测量的方法可受内外部因素变化、相关方要求以及组织战略方向的影响；应基于目标、风险及既往结果明确界定并传达分析范围，避免效率低下或资源浪费，避免孤立评价各过程而不考虑其重要性、复杂性、相关风险及对整体体系和目标的影响。

（3）确定分析评价的频次与研讨形式：组织宜考虑开展数据分析和评价的频次，这取决于组织的信息获取能力（电子方式与纸质方式、自动获取与人工获取）；组织宜确定运行数据分析和评价的适宜频次，以及评审所获信息的研讨形式。

（4）确保数据与信息质量：所采用的方法生成的数据应具有代表性、无偏性、时效性、完整性和准确性，能够为决策提供可靠依据；按GB/T27921-2023对信息有效性、可靠性和局限性的要求，评估信息的年代和相关性、来源及收集方法、信息中存在的不确定性和缺失。

（5）防范数据分析特有的风险：警惕“确认偏误”风险，即刻意寻求或解读信息以印证既有观点或预期，应保持开放心态、重视与固有假设相悖的证据；开展分析或评价的人员若缺乏必要的知识、经验或对场景背景的理解，存在导致结论错误的风险，应确保人员胜任力；防范过度依赖滞后指标（如缺陷率、顾客投诉），应同时使用领先（预测性）指标（如过程稳定性、培训有效性、未遂事件），有助于识别潜在根本原因、提前预防问题发生。

（6）选择与风险程度相匹配的分析与评价方法：应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件化的风险管理过程，组织可根据需要选择更全面的方法（如按GB/T24353-2022/ISO31000建立框架）；按GB/T23694-2024统一风险与机遇术语口径，防范因术语歧义导致研判偏差；风险与机遇相互区别，应通过各自独立的过程分别确定、分析和评价（ISO9001:2026已将e)与f)分列，管理评审9.3.2中g)与h)亦分别对应）。

（7）输出与衔接：分析结果以报告形式呈现（如趋势分析报告、平衡计分卡、管理仪表盘），作为9.3.2管理评审输入、10.2纠正措施和10.3持续改进的输入，并保留成文信息作为审核佐证。（1）建立机遇分析的平行过程：由同一跨职能团队在分析风险相关数据的同时，逐项识别数据中可能对质量管理体系绩效及预期结果产生有益效应的要素或条件，形成“分析机遇清单”，实现风险与机遇通过各自独立的过程分别确定和应对；ISO9001:2026已将风险与机遇分线管控，机遇分析应作为独立的工作流保留所有者、措施与评审记录。

（2）应用机遇识别输入：机遇可通过对组织内外部环境的评估予以识别，评估维度包括相关方的需求和期望、组织的能力、容量与胜任力，以及监视和测量活动的结果和相关绩效指标；9.1.3的分析结果正是机遇再识别的常设输入，应利用内部绩效数据识别优化做事方式、全面改进工作开展模式的领域。

（3）关注机遇的多源性质：机遇可来源于市场环境变化、新兴技术或法规要求更新等多种渠道，这些情形能够助力组织提升其质量管理体系绩效；基于机遇的思维有助于考虑能够对质量管理体系预期结果产生积极影响的因素，帮助组织识别哪些领域存在可产生有益效应的机遇。

（4）输出与衔接：将分析识别出的机遇清单作为6.1.3应对机遇和10.3持续改进的直接输入；机遇的再识别与应对可在战略会议、管理评审、内部审核、质量目标制定会议等场景下开展。a）产品和服务的符合性；（1）明确符合性数据来源与指标：产品和服务与规定要求的符合性，可通过不合格率、报废率、返工率、准时交付率、订单履约情况等予以体现；服务的符合性，可通过排队时长、顾客问题解决情况、服务获取便捷性、清洁度、现场管理、服务态度友好度等予以体现。

（2）研判符合性趋势与过程波动风险：应用统计过程控制（SPC）控制图、趋势图等统计技术监控过程稳定性，识别描绘点超出控制限的“失控”信号及其“可查明原因”，必要时调查并调整过程，防范不合格输出扩大的风险；避免只看最终合格率而不看过程波动的失效模式。

（3）确保评价方法的科学性：按GB/T19027-2025（ISO10017:2021）选择描述性统计、抽样、假设检验、过程能力分析、可靠性分析等适宜统计技术，确保抽样方案与数据代表性，防范因样本偏差导致符合性误判。

（4）衔接与反馈：将符合性分析中暴露的风险点（如特定过程能力不足、特定供方来料异常）反馈至8.7不合格输出控制、10.2纠正措施，必要时更新6.1.1风险清单。（1）从符合性数据中识别过程优化机遇：利用内部绩效数据识别通过改进优化做事方式、全面改进工作开展模式的领域，如过程能力提升、防错措施引入、冗余过程消除、新过程或新技术应用等。

（2）以符合性提升作为机遇收益的验证指标：实施新过程、优化现有过程、应用新技术、推出全新或改进型产品和服务等机遇应对措施，应与产品和服务符合性提升目标相关联，并在分析中评价其实际产生的积极成效（如减少不合格输出、降低人为失误引发的事件发生率）。b）顾客满意；（1）规范顾客满意信息的分析口径：顾客满意的监视结果来源于顾客调查、顾客对已交付产品和服务的反馈、与顾客座谈、市场占有率分析（包括采用人工智能算法开展的分析）、顾客赞扬、投诉、担保索赔、经销商报告或社交媒体等；可按顾客类型、区域、销售量或其他准则分类分析，避免以偏概全。

（2）防范顾客数据相关风险：过于频繁或范围过大的反馈请求会引发顾客反感，组织宜避免调查疲劳、尊重顾客边界并运用大数据分析；防范敏感顾客数据丢失或滥用的风险，建立有效的数据管理与保护流程，以遵守法定义务及顾客要求。

（3）异常信号的风险研判：投诉、担保索赔等负面信息上升时，应研判其背后的风险源与驱动因素，触发对相关过程风险与机遇的再评审；符合性达标而顾客满意下降时，应提示规定要求本身可能未充分反映顾客需求和期望。（1）应用顾客感知工具深化机遇洞察：运用净推荐值（NPS）、卡诺模型、质量功能展开（QFD）、顾客价值潜在收益（PGCV）指数等工具（按GB/T19019-2026选择），识别顾客未被满足的需求与潜在期望，为新产品或新服务开发提供输入；顾客满意相关信息用作改进措施的输入，并支撑质量管理体系的宗旨。

（2）从投诉与流失中捕捉机遇：流失业务分析、神秘顾客、焦点小组、顾客调查等方法可揭示服务流程再设计、顾客体验提升的机遇；对反复出现的顾客问题，分析并改进其根本原因，不仅防止顾客流失，还可减少返工、改善顾客体验并形成竞争优势。c）质量管理体系的绩效和有效性；（1）以目标完成状态为评价载体：质量管理体系的绩效和有效性，可通过质量目标相关策划措施的完成状态等予以体现；设定关键绩效指标（KPI）并监视其波动，关键绩效指标与绩效可接受波动范围可揭示对战略或业务目标的潜在风险。

（2）警惕“感觉良好”式评价：避免管理评审时以主观判断替代数据支撑；可运用平衡计分卡（BSC）、目标管理（MBO）、方针管理（X-矩阵）等工具开展体系绩效的多维量化分析。

（3）绩效异常的风险归因：当绩效未达标时，区分是策划问题、执行问题还是资源问题，追溯其对体系预期结果的影响，必要时更新6.1风险与机遇清单并调整资源配置。（1）将体系绩效数据作为机遇识别的系统性输入：体系绩效和有效性数据用于识别哪些领域存在可对绩效及预期结果产生有益效应的机遇，支撑“哪些工作可以做得更好、如何全面改进工作开展模式”的判断。

（2）以绩效数据衔接战略与目标：通过平衡计分卡等工具将绩效数据与战略方向衔接，识别目标设定优化、资源整合和跨职能协同的机遇，使改进机遇在战略、战术和运行层面保持一致。d）策划实施的有效性；（1）明确策划有效性的评价载体：策划的有效性，可通过策划项目的进展状态、预算、进度及结果等予以体现；对进度延误、预算超支、结果偏离预期设定监测指标与预警临界值，识别预警信号并分级。

（2）开展偏差分析：对未按策划实施的事项分析其原因（如资源短缺、职责不清、内外部环境变化），判定是否需要调整策划、更新6.1风险与机遇清单或启动6.3变更的策划。

（3）防范“策划归策划、执行归执行”的失效模式：确保评价结论反馈至策划环节，形成“策划—实施—检查”的验证闭环，避免策划与实际执行脱节的风险持续累积。（1）从策划执行偏差中识别策划方法改进机遇：分析偏差原因可揭示策划工具选择、目标设定方式、资源配置和进度安排的优化空间，为后续质量目标策划（6.2）、变更策划（6.3）和运行策划提供改进输入。

（2）固化成功策划经验：将经证实有效的策划项目成果固化为组织的知识与新实践方法并推广应用，实现持续改进。e）应对风险所采取措施的有效性；（1）建立“事前预设目标—事中监测预警—事后效果验证”的评价闭环：将风险应对措施有效性评价与6.1.2应对风险的措施一一对应，评价措施是否达到预期效果，评价结论反馈至策划环节形成动态迭代机制；对风险而言，有效性通常表现为下游度量——风险未再发生或发生时影响小于措施实施之前。

（2）以风险登记表为跟踪基础：风险登记表可用作跟踪应对措施实施情况的基础，包含风险所有者、行动、行动所有者、行动业务案例摘要、预算和时间表等信息，按GB/T27921-2023（B.10.2）记录、报告并保持更新；按GB/T24353-2022，风险应对是循环提升的过程，包括评估风险应对措施的成效、确定剩余风险是否可接受、若不可接受则采取进一步应对措施，并关注应对措施可能产生的新风险。

（3）设定风险预警指标体系：针对需重点关注的风险，设置风险预警指标体系对风险状况进行监测，通过将指标值与预警临界值比较识别预警信号并进行预警分级；建立涵盖风险识别评估、监测预警、应对策略及考核评价的闭环机制。

（4）运用多元化评价证据：对事件、违规和损失的披露可深入了解风险应对的有效性；趋势分析显示风险组合观、风险概况和绩效的进展与变化；跟踪风险管理计划和措施可反映组织对风险管理的承诺（COSO《企业风险管理—战略与绩效整合》监视绩效原则）。

（5）实施考核与报告：根据风险管理职责设置风险管理考核指标并纳入绩效管理，建立权责利相结合的奖惩制度；风险管理部门定期对各部门风险管理实施情况和有效性进行考核，形成考核结论和考核报告报送管理层与绩效管理部门；大中型组织（尤其国有企业）发生重大经营风险事件时，按监管要求履行首报、续报和终报等报告义务。

（6）评审已识别风险的持续适用性：组织应对已识别的风险进行评审，因为各类因素（如返工率或报废率上升）可能导致其发生变化，此类评审有助于确保风险应对措施持续保持适用性；防范“风险清单写了就放着、不验证效果”的失效模式；避免纳入超出质量管理体系范围且无法通过该体系实际管控的已识别风险。

（7）输出与衔接：将风险应对措施有效性评价结论作为9.3.2管理评审输入（对应g)项）和10.2纠正措施的输入，并反馈至6.1.2更新；保留成文信息作为审核佐证。（1）在风险应对有效性评价中同步寻找机遇：风险得到有效控制后的稳定性改善、成本下降、过程可靠性提升本身可转化为支撑质量目标达成的基础，应识别在此基础上的进一步提升空间，如供应韧性增强后拓展多元供方合作、知识冗余建立后释放骨干人员投入创新等。

（2）从失败与成功中学习：按GB/T27921-2023和GB/T24353-2022，通过监视和评审“从失败和成功中学习，从而提高风险管理的能力”；将经证实有效的风险应对实践固化为组织的知识、新实践方法或新过程并推广，实现持续改进。f）应对机遇所采取措施的有效性；（1）研判机遇应对措施伴随的衍生风险：评价机遇利用措施有效性时，应同时识别并评价机遇利用过程中伴随的衍生风险及其对质量管理体系的潜在影响，只有同时评估机遇收益与衍生风险控制效果，才能全面判断机遇措施的真实价值。

（2）警惕机遇“伪对称”陷阱：不得将机遇简单作为风险的镜像登记（如“风险：失去重要顾客；机遇：不失去该顾客”），此类对称登记不构成有效证据；机遇应是组织能够实际利用、开发或推进以改善结果的实质性情形。

（3）防范机遇评价形式化风险：避免机遇仅作为风险表中附带的数行乐观描述、无所有者、无措施、无有效性度量——这是2026版换版审核中最可能产生不符合的环节之一。（1）建立独立的机遇台账（价值和机会登记表）：机遇（即可以利用的情况或想法）通常单独记录，并以考虑成本、收益和任何潜在负面后果的方式进行分析；机遇台账应具备风险登记表同等的管理纪律——机遇所有者、计划措施、预期结果、有效性度量与评审日期，可采用“推进/暂缓/不推进”的决策及理由记录。

（2）以价值指标评价有效性：对机遇而言，有效性通常表现为价值度量——预期有益效应是否实现并得以保持、实现了何种收益；风险与机遇的有效性评价结论应分开报告（如分别报告“多少项风险措施经验证有效”“多少项机遇措施实现预期收益并量化收益”），不得合并为“风险和机遇措施80%有效”之类单一结论。

（3）复核机遇应对措施选项的适宜性：复核机遇应对措施是否涵盖采用能够实现更优成果的新实践方法或运行新过程、基于相关方需求和期望评价洞察开展研发推出新产品、识别战略契合的合作方建立新合作关系、应用提升生产效率和质量的新技术、实施各类举措满足顾客及相关方当前和不断变化的需求与期望等选项；评价措施与组织所处环境的适宜性及其对预期结果的支持程度。

（4）输出与衔接：将机遇应对措施有效性评价结论作为9.3.2管理评审输入（对应h)项）和10.3持续改进的输入，并反馈至6.1.3更新；保留已识别机遇及应对措施有效性的成文信息。g）外部供方的绩效；（1）明确供方绩效指标与分析方法：外部供方的绩效，可通过准时交付率、质量水平、拒收率等予以体现；应用描述性统计、抽样等统计技术分析供方绩效数据（按GB/T19027-2025表1，外部供方过程的控制数据可采用描述性统计、实验设计、假设检验、测量系统分析、过程能力分析、可靠性分析、抽样、统计过程控制、统计容差法、时间序列分析等）。

（2）识别供应链依赖风险：警惕独家外部供方（单点故障SPOF）引发的风险；对关键供方失稳、来料质量波动、供方知识或能力流失等设定早期预警信号并纳入风险登记表；对供方风险进行重要性评价时宜考虑控制失败的可能性。

（3）联动供方管理机制：将供方绩效评价结果与外部供方的评价、选择、绩效监视和再评价准则联动，形成供方绩效动态管理机制；当外部供方不满足要求时，应确定并采取必要措施。

（4）避免单一价格导向：纠正“只看价格、不评绩效”的失效模式，将供方绩效风险与组织质量目标关联研判。（1）识别供方合作与优化机遇：基于供方绩效数据识别与自身战略方向契合的潜在合作方，签订正式协议建立新的合作关系；发掘供应资源配置优化、联合改进和能力共建的机会，例如供方多元化提升交付韧性并缩短中断后的恢复时间。

（2）借供方数据分析引入使能技术与外部资源：评估云服务、人工智能、新型信息通信技术（ICT）等新兴技术在供方协同与绩效监视中的应用空间，按GB/T19019-2026（ISO10009:2024）选择适宜的质量工具支撑供方数据分析与决策。h）质量管理体系改进的需求。（1）综合关联分析识别改进需求：h)项处于评价链条的终点与改进链条的起点，应综合a)至g)项全部评价结果系统识别体系层面的改进需求；某一维度的异常往往可追溯至其他维度的潜在原因，需综合多维度信息进行关联分析方可识别真正根因，避免孤立评价各过程而不考虑其重要性、复杂性、相关风险及对整体体系和目标的影响。

（2）区分改进类型并设定优先级：区分日常改进与战略突破型改进，分别纳入持续改进（10.3）或纠正措施（10.2）予以应对；可采用帕累托图（80-20法则）设定优先级，明确“改什么、先改什么”，并利用风险指数、决策树、多标准分析（MCA）等技术（按GB/T27921-2023选择）在改进选项之间进行权衡决策。

（3）防范分析结论失效风险：确保改进需求有数据与评价证据支撑，避免“分析完就完了、不输出改进项”；警惕分析人员能力不足、范围界定不当或确认偏误导致改进方向误判。（1）将改进需求同时视为改进机遇：质量管理体系改进的需求本身即是体系绩效提升机遇的来源；分析与评价的结果可帮助组织识别改进质量管理体系的措施，并识别通过改进可以获得的积极成效（如更优成果的新实践、新过程）。

（2）启动对标研究：在适宜且可行的前提下开展对标分析，借鉴同行最佳实践，形成改进与突破的机遇清单；识别出的改进机会应传达给管理层，作为战略和目标设定的考虑内容。

（3）输出与衔接：将改进需求识别作为10.3持续改进的直接输入，并纳入战略会议、管理评审等场景下的机遇再识别，形成PDCA闭环。注：数据分析方法可包括统计技术。（1）把握统计技术的推荐性定位：“注”表明统计技术是适宜且推荐的分析方法而非强制要求；ISO10017:2021（GB/T19027-2025）为适宜统计技术的选择提供了指南，此类技术具有广泛的应用场景，例如进货物料的质量评定与控制、过程的控制与优化、产品和服务的绩效与可靠性评价等。

（2）按数据类型选择统计技术：针对9.1.3涉及的质量管理体系绩效数据，GB/T19027-2025表1列明的可选统计技术包括描述性统计、实验设计、假设检验、测量系统分析、过程能力分析、可靠性分析、抽样、统计过程控制、时间序列分析等；统计技术的选择及应用方式取决于使用的环境和目的、组织的规模和复杂性以及对组织的潜在益处。

（3）防范统计技术误用风险：样本量和抽样方法限制结论的适用范围，结论须符合对总体的特定假设；排序量表不宜进行数学运算；即使完全定量分析，其输入值往往也是估计值，准确度和精度不应受到与所用数据和方法不一致的因素影响；确保分析人员具备相应专业知识，必要时按GB/T19019-2026选择适宜质量工具辅助。（1）以统计技术揭示改进与机遇线索：描述性统计、趋势图、控制图、时间序列分析等图形化与量化技术能够揭示数据中不易在数值分析中发现的异常特性与变化趋势，为改进方向判定和机遇识别提供线索；描述性统计经常在管理评审中发挥作用。

（2）运用新技术扩展机遇视野：市场份额分析可包括采用人工智能算法开展的分析，社交媒体监测可采用网络爬虫，为顾客满意与市场机遇分析提供新技术手段；机遇可来源于新兴技术等渠道，统计与数字化分析能力本身即是组织把握机遇、提升质量管理体系绩效的使能条件。“基于风险的思维和基于机遇的思维”在“9.2内部审核”条款中应用专业操作指南（雷泽佳编制）9.2条款原文“基于风险的思维”在9.2条款中应用专业操作指南“基于机遇的思维”在9.2条款中应用专业操作指南9.2.1总则：组织应按照策划的时间间隔进行内部审核，以提供有关质量管理体系的下列信息：a）是否符合：1）组织自身的质量管理体系要求；2）本文件的要求；b）是否得到有效的实施和保持。（1）明确内审的风险保证定位：内部审核是识别问题、不符合、风险和机遇的有效工具，也是监视解决以前所发现问题和不符合的进展状况的有效工具，应从公正视角获取质量管理体系绩效与有效性的信息；审核方案目标应与审核委托方（组织）的战略方向、其所处环境保持一致，并支持其质量方针和质量目标。

（2）确定审核频次时应用基于风险的思维：在确定审核频次时，组织宜应用基于风险的思维和基于机遇的思维，需考虑的因素包括但不限于：a)过程的重要性；b)过程的成熟度与复杂程度；c)管理优先级；d)过程绩效；e)影响组织的变更；f)以往审核结果（如问题历史）；g)顾客投诉趋势；h)法定与监管事项。

（3）评价体系实现预期结果的有效性与韧性：审核应评价质量管理体系的实施状况、有效性和效率；基于风险的思维通过确定并实施适宜的措施，使质量管理体系即使在中断事件（对产品和服务的计划交付产生负面影响的各类事件）发生时仍能持续实现预期结果，内审应对相关韧性安排（如应急预案、业务连续性措施）的实施有效性予以验证。

（4）以客观证据为审核基础：审核是为获取客观证据并对其进行客观评价，以确定满足审核准则的程度所进行的系统的、独立的和文件化的过程；审核判定可能引发识别风险、改进机会或记录良好实践，应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件化的风险管理过程，组织可根据需要选择更全面的方法（如按GB/T24353-2022/ISO31000建立框架）。（1）同步识别内审蕴含的有益效应（机遇源）：内部审核还能重点识别良好实践和改进机会；内审输出可作为以下方面的有用信息来源：a)处理问题、不符合和风险；b)识别机会；c)在组织内推广良好实践；d)增进对过程间相互作用的理解。

（2）将评价机遇应对能力纳入审核信息范围：审核方案目标可包括“评价受审核方确定风险和机遇以及识别并实施有效措施以应对这些风险和机遇的能力”，每次审核目标可包括“评价管理体系在变化的环境中建立和实现目标、有效应对风险和机遇的能力，包括相关措施的实施情况”，实现风险与机遇通过各自独立的过程分别确定和审核验证。

（3）应用机遇识别输入确定审核关注点：机遇可通过对组织内外部环境的评估予以识别，评估维度包括相关方的需求和期望、组织的能力、容量与胜任力，以及监视和测量活动的结果和相关绩效指标；组织可利用内部绩效数据确定审核重点与改进领域。

（4）借审核培育主动预防文化：应用基于风险的思维和基于机遇的思维，还有助于组织建立主动预防的文化，聚焦于优化做事方式、全面改进工作开展模式；意识能引导人员将基于风险的思维和基于机遇的思维融入日常活动，内审宜对此予以验证。9.2.2内部审核方案：组织应策划、建立、实施和保持审核方案，包括审核频次、方法、职责、策划要求和报告。在建立内部审核方案时，组织应考虑有关过程的重要性、以往审核结果以及影响组织的变化。（1）建立组织与职责：由最高管理者授权指定有能力的审核方案管理人员（可组建跨职能内审管理团队），负责审核方案的策划、建立、实施、保持、监视与评审；审核方案管理人员应确保维护审核方案的完整性、确保不对审核方案施加不当影响，并将审核方案提请审核委托方批准。

（2）识别和评价审核方案的风险：管理审核方案的人员应在制定审核方案和资源需求时识别风险和机遇，并向审核委托方报告；风险可能与以下方面相关：a)策划（如未能制定相关且适宜的审核目标，以及确定审核的范围、数量、持续时间、场所和日程安排）；b)资源（如时间、设备和/或培训不足，缺乏有能力的审核员，审核员流失或无法到位）；c)审核组的选择（如整体能力不足，审核员缺乏独立性和公正性）；d)审核方法的选择（现场、远程，需考虑所选方法实现既定审核目标的能力）；e)沟通（沟通过程/渠道无效）；f)实施（各项审核协调无效，未按审核方案实施审核，或未考虑信息安全和保密要求）；g)成文信息的控制（未能有效确定必要成文信息，未能充分保护审核记录）；h)审核方案的监视、评审和改进；i)领导支持；j)受审核方的配合程度和可获得性及拟抽样证据的可获得性；k)信息通信技术方法的安全性。

（3）按风险程度确定审核频次、深度与资源：在为审核方案分配资源和方法时，应优先考虑管理体系中固有风险较高且绩效水平较低的事项；风险加权决定审核的频次与深度，而非是否审核，每一过程和适用要求均须在规定周期内获得覆盖；审核组长应基于风险的方法策划审核，按产品/过程的复杂性、顾客投诉、以往的审核发现以及法规或运行环境的变化确定审核重点的优先顺序。

（4）选择与风险相适宜的审核方法：审核可在现场实施、远程实施或两者结合实施，方法使用应基于对相关风险和机遇的考虑适当平衡；审核策划应考虑实施审核给受审核方带来的风险（如审核组在场对其健康安全、环境、产品或基础设施的不利影响），并明确为应对实现审核目标的风险所需采取的特定措施；按GB/T23694-2024统一风险术语口径，防范因术语歧义导致研判偏差。

（5）动态监视与评审审核方案：应对审核方案的实施进行持续监视和评价，以确保实现审核方案目标；应对审核方案进行评审以确定是否需要变更以及是否存在改进机会；当审核发现、受审核方管理体系有效性水平和成熟度、外部供方、已识别的利益冲突等因素变化时，应修改审核方案；可建立触发机制（如重大或重复不合格、重大过程变更、法规变化、关键人员变动、供方变更、事件发生、管理评审决定），触发后立即重新评分并调整审核安排。

（6）输出与衔接：将审核方案风险清单及其应对措施作为6.1.2应对风险的直接输入并整合进质量管理体系过程；同步衔接7.1资源配置、7.2能力、9.3.2管理评审输入（审核结果作为管理评审输入），并保留成文信息作为审核佐证。（1）识别审核方案的改进机遇：改进审核方案的机遇可包括：允许在一次访问中实施多项审核；最大限度减少前往各场所的时间和行程；使审核组的能力与实现审核目标所需的水平相匹配；选择与信息通信技术的能力和可获得性相适应的审核方法。

（2）以结合审核减少重复工作：实施了覆盖多个领域（如质量、环境、职业健康安全）的一体化管理体系的组织，可开展结合审核以减少重复工作；审核方案可包含针对不同过程、以不同频次和周期开展的多项审核，也可策划单次审核以评价质量管理体系的整体符合性。

（3）以机遇为导向确立审核方案目标：审核方案目标可包括“识别管理体系及其绩效的改进机会”“确定受审核方管理体系的持续适宜性、充分性和有效性”，使内审超越合规演练，为管理层决策提供实际贡献；审核方案应根据组织的规模和复杂程度进行调整。

（4）应用使能技术与新的审核方法：评估远程审核、混合审核及新兴技术（如基于人工智能的评价工具、数字工具）在审核中应用带来的效率提升空间，按适宜性选择审核方法；审核方案评审应考虑可替代的或新的审核方法和审核员评价方法。

（5）覆盖机遇应对措施选项：识别与自身战略方向契合的潜在合作方（如外部审核服务机构、同行组织），建立审核能力互补的合作关系；利用内外部环境评估结果，将审核资源投向最具价值洞察潜力的领域，并借审核识别通过优化做事方式、全面改进工作开展模式的领域。

（6）输出与衔接：将审核方案机遇清单作为6.1.3应对机遇的直接输入；机遇的再识别与应对可在战略会议、管理评审、内部审核等场景下开展。a）规定每次审核的审核目标、准则和范围；（1）逐项规定审核目标并按风险排序：每次审核均应基于已确定的审核目标、范围和准则，且与审核方案的总体目标保持一致；审核目标规定了每次审核要完成的事项，可包括：a)确定待审核的管理体系或其部分与审核准则的符合程度；b)评价管理体系协助组织满足相关法律法规要求和其他要求的能力；c)评价管理体系实现其预期结果的有效性；d)识别管理体系的改进机会；e)评价管理体系相对于组织的环境和战略方向的适宜性和充分性；f)评价管理体系在变化的环境中建立和实现目标、有效应对风险和机遇的能力，包括相关措施的实施情况；g)考虑任何特定行业的管理体系审核标准。

（2）将风险与机遇信息纳入审核准则：审核准则用作确定符合性的依据，可包括适用的方针、过程、程序、包括目标在内的绩效准则、法律法规要求、管理体系要求、由审核委托方确定的关于环境以及风险和机遇的信息（包括相关的内外部相关方要求）、行业行为准则或其他策划的安排；组织自身要求与ISO9001-2026要求共同构成比对基准。

（3）界定审核范围并保障覆盖：审核范围应与审核方案和审核目标保持一致，包括待审核的场所、职能、活动和过程以及审核所覆盖的时间段；作为良好实践，组织宜按过程而非按ISO9001的条款策划和实施审核；编制检查表可作为保障评价一致性与完整性的辅助工具。

（4）控制审核策划风险：审核组长应考虑审核策划不当给实现审核目标带来的风险、适当的抽样技术以及审核组的组成及其整体能力；审核证据应基于可获得信息的样本，应合理运用抽样方法，因为这与审核结论的可信程度密切相关；作为单次审核任务的一部分，可包括对组织风险和机遇的确定与管理的审核（按ISO19011:2026附录A.10步骤收集客观证据，包括组织用于确定其风险和机遇的输入、风险和机遇的评价方法及其应对）。（1）在审核目标中显性纳入改进与增值：将“识别管理体系的改进机会”作为每次审核的目标选项之一，使每次审核不仅查符合性，也产出改进洞察；审核发现的符合事项、良好实践、改进机会及对受审核方的建议应一并形成审核判定输出。

（2）以绩效数据驱动目标与范围确定：基于监视和测量活动的结果及相关绩效指标确定审核目标与范围，对绩效趋势异常（如返工率或报废率上升）的过程优先安排审核并适当扩大深度，实现“从风险、机遇和增值角度考虑过程”。

（3）在审核计划中预设机遇应对措施：审核策划应明确“为应对所出现的机遇所需采取的特定措施”，审核计划应具有足够的灵活性，以允许在审核活动进行过程中出现必要的变更，使审核过程中新发现的机遇得以及时跟进。

（4）输出与衔接：将每次审核的目标、准则和范围规定及其变更记录纳入审核方案记录，作为9.3管理评审和下一周期审核方案优化的输入。b）选择审核员并实施审核，以确保审核过程客观公正；（1）防范独立性与公正性风险：在指派审核人员时，组织应确保审核人员不审核其自身工作，且不存在偏见，以保障审核过程的客观性和公正性；独立性是审核公正性和审核结论客观性的基础，审核员应独立于被审核的活动，在任何情况下均不带偏见、不存在利益冲突；当内部审核员无法独立于被审核的活动时，应尽一切努力消除偏见并体现客观；审核期间如出现利益冲突或能力问题需要变更审核组组成的，应在作出任何变更前与相关方协商解决。

（2）防范审核资源与能力风险：缺乏有能力的审核员、审核员流失或审核员无法到位属于审核方案资源类风险；在规模极小的组织中这一要求可能难以实现，组织可考虑聘请外部审核员；当需要特定岗位专业知识且无独立审核员可用时，组织可安排内部审核员在另一名审核员监督下开展工作，或由同行、管理者对审核结果进行评审，以确保结果公正。

（3）实施审核员能力评价与保持：审核员能力评价应予以策划、实施和成文，包括确定满足审核方案需求所需的能力、建立评价准则、选择适当的评价方法、实施评价四个步骤；审核员应具备与特定领域和特定行业相关的原则、方法和技术，以便能够确定和评价与审核目标相关的风险和机遇；应通过持续专业发展和定期参与审核培养、保持和提高其能力。

（4）恪守审核职业行为准则：审核员和审核方案管理人员应诚实正直（仅承担有能力完成的审核活动、对可能影响其判断的任何因素保持警觉）、公正表达（真实、准确地报告，报告审核中遇到的重大障碍及未解决的分歧意见）、具有职业素养、保守保密性。

（5）控制审核实施过程风险：审核员宜采用开放式提问，积极倾听与观察，保持开放心态以避免主观假设；事实陈述应得到其他证据佐证；审核员应确保自主选择抽样样本，不受引导；完整记录所有收集到的证据；一旦识别出偏差，宜尽快向组织代表通报以便澄清并确认所收集的证据。（1）把审核组能力建设作为改进机遇：为确保审核组的整体能力，应识别实现审核目标所需的能力并据此选择审核组成员；若审核组中的审核员不具备必要的能力，应配备具有补充能力的技术专家为审核组提供支持；实习审核员可纳入审核组在审核员指导和引导下参与审核，实现内审队伍的梯队培养。

（2）应用新兴技术拓展审核方式：理解使用信息通信技术工具以及新兴技术实施审核的适宜性和后果（例如基于人工智能的评价工具），适当时规定并实施远程审核或混合审核，提升审核灵活性并覆盖虚拟场所。

（3）借审核识别与推广良好实践：审核发现可包括具有证据支持的符合事项和良好实践；审核方案管理人员应适当时将审核结论和良好实践向组织的其他区域沟通，在组织内推广良好实践、增进对过程间相互作用的理解。

（4）输出与衔接：将审核组选择准则、审核组组成及能力和绩效评价记录纳入审核记录，作为后续审核组优化配置和7.2能力管理的输入。c）确保将审核结果报告给相关管理者；（1）防范沟通与报告风险：沟通过程/渠道无效属于审核方案风险之一；审核方案管理人员应利用已建立的内外部沟通渠道向相关方沟通审核方案的相关部分（包括所涉及的风险和机遇），并定期通报进展；审核发现、审核结论和审核报告应真实、准确地反映审核活动，应报告在审核过程中遇到的重大障碍以及审核组与受审核方之间未解决的分歧意见。

（2）规范报告内容与不合格判定：审核报告应包含与指定准则的符合程度、不符合和改进机会的信息；不符合报告可包括三个部分：1)审核证据（发现的导致不符合的客观证据）；2)审核发现（对照审核准则进行评价的结果，描述相关过程的系统问题）；3)审核准则（对标准或其他要求的具体引用）。

（3）确保报告送达并评审趋势：内部审核完成后，应将审核结果报告给相关管理者；最高管理者应建立对所有内部审核结果进行评审的过程，以识别可能需要在整个组织中采取纠正措施的趋势以及改进机会；组织还应使用第二方和第三方审核结果作为对纠正措施的反馈。（1）将观察项与改进机会纳入报告增值：为提升内部审核的增值作用，审核中可识别出符合要求、但在质量管理体系中存在潜在薄弱环节的情况；改进机会也可基于其他内部审核的经验以及在其他过程或场所观察到的实践加以确定；此类观察项与改进机会应纳入报告，以供分析和评价。

（2）以报告驱动管理决策：审核报告是管理评审的重要输入；从审核中获得的经验教训可为审核方案和受审核方识别风险和机遇；适当时，审核方案管理人员应将审核结论和良好实践向组织的其他区域沟通，放大审核成果的组织价值。

（3）输出与衔接：将审核报告按预先确定的分发对象分发，并向审核委托方报告以供管理评审（9.3），作为6.1风险与机遇清单更新和第10章改进的输入。d）及时采取适当的纠正和纠正措施。（1）及时纠正与原因分析：根据审核结果，需在规定期限内采取适当的纠正和纠正措施处置发现的不合格，并遵循组织的不合格与纠正措施管理流程（见10.2）；应针对审核发现进行原因分析，原因分析应追溯到管理体系的符合性和有效性上，尤其是防止同类问题发生的根本原因；针对消除所涉及的原因制定切实可行的纠正措施并予以评价后实施，记录所采取措施的结果。

（2）验证有效性与跟踪：应验证纠正措施的完成情况和有效性，该验证可作为后续审核的一部分，验证结果应向审核方案管理人员报告，并向审核委托方报告以供管理评审；组织可在纠正措施的过程中使用防错方法，防范同类不合格重复发生；内审可作为监视解决以前所发现问题和不符合的进展状况的有效工具。

（3）防范重复发生与措施失当风险：纠正措施有效性不足将导致不合格重复发生（可用“不合格重复发生率”“针对不合格所采取纠正措施的关闭率（百分比）”等指标评价内审有效性）；所采取措施应与问题风险程度相匹配且切实有效，充分考虑现有可用资源。（1）以纠正措施驱动新一轮机遇识别：不符合报告中的审核发现应能够识别组织管理体系需要改进的地方，将纠正措施实施结果作为战略会议、管理评审、内部审核等场景下机遇再识别的输入，衔接第10章改进，形成PDCA闭环。

（2）借纠正措施更新风险与机遇清单：在纠正措施实施及有效性验证过程中，识别体系暴露出的新风险和新机遇，刷新6.1风险与机遇清单并评审其持续适用性（因为各类因素如返工率或报废率上升可能导致其发生变化）。

（3）输出与衔接：将纠正和纠正措施报告及审核后续活动记录纳入审核方案记录；将经验教训固化为组织的知识，作为后续审核策划与纠正措施评价的基准与输入。成文信息作为审核方案实施和审核结果的证据应可获取。注：管理体系审核指南见ISO19011。（1）控制审核成文信息风险：未能有效确定审核员和相关方所需的必要成文信息、未能充分保护审核记录属于审核方案风险；审核方案管理人员应确保生成、管理和保持审核记录以证实审核方案的实施，并建立过程以确保满足与审核记录相关的任何信息安全和保密需求；未经审核委托方的明确批准以及适当时未经受审核方的批准，不得向任何其他方泄露审核期间获得的任何信息或审核报告。

（2）保障记录充分性与可追溯：审核方案相关的记录可包括审