ISO9001-2026标准“4.3确定质量管理体系的范围”条款（过程）风险管理应用专业操作指南（雷泽佳编制）

ISO9001-2026“4.3确定质量管理体系的范围”条款（过程）风险管理应用专业操作指南(雷泽佳编制)ISO9001-2026“4.3确定质量管理体系的范围”条款（过程）风险管理应用专业操作指南(雷泽佳编制)组织环境理解组织及其环境条款目的和意图条款目的指导组织将基于风险的思维和基于机遇的思维融入“4.3确定质量管理体系的范围”条款的实施，以结构化、循证的方式界定质量管理体系的边界和适用性，使所确定的范围与组织所处环境、相关方的相关要求及组织的战略方向保持一致，为质量管理体系的过程确定、风险和机遇管理、绩效评价与持续改进奠定清晰的边界基础。条款意图1）奠定体系边界基础：本条旨在确保组织为其质量管理体系界定清晰的边界，该边界与组织所处环境及相关方的相关要求保持一致，并与组织的战略方向保持一致；清晰的范围可就产品和服务、场所、活动和过程等要素向内部和外部各方提供透明度；2）强制关联“三输入”：以4.1中提及的各种外部和内部因素、4.2中提及的要求、组织的产品和服务作为范围确定的必选输入；直接跳过三个输入凭感觉写范围，是“两张皮”的典型源头；3）实施“默认全覆盖”下的适用性管理：本文件规定的所有要求是通用的；全部要求适用时组织应实施全部要求；某些要求不适用时应说明理由，且不得影响组织确保其产品和服务合格的能力或责任，不得影响增强顾客满意；4）为后续条款提供直接输入：范围确定结论是4.4过程确定、6.1风险和机遇识别、内部审核与认证审核方案范围界定的直接输入；5）双向研判风险与机遇：范围确定过程既须防范“范围失真”“边界遗漏”等负面效应，也须同步研判资源聚焦、透明度与信任、业务拓展等正面效应，实现风险与机遇通过各自独立的过程分别确定；6）保持动态迭代：当组织运行环境发生变化时，可对范围进行调整以与之匹配；每次范围评审均是重新审视体系覆盖是否错过新业务、新市场、新技术机会窗口的契机。与相关条款的接口4.3条款（过程）与相关条款的接口关系见下表；4.3条款（过程）与相关条款的接口关系相关条款接口关系4.1理解组织及其环境4.1输出的各种外部和内部因素（含气候变化相关性判定结论）是确定质量管理体系范围的必选输入之一；范围确定后的新变化信号应反馈至4.1的监视和评审；4.2理解相关方的需求和期望4.2中判定“将通过质量管理体系应对”的要求是确定范围的必选输入；法律法规要求的辨识与适用性判定需与范围界定联动；4.4质量管理体系范围确定结论是确定质量管理体系所需过程及其在整个组织中应用的直接输入；外部提供过程的控制安排应与范围界定同步明确；6.1应对风险和机遇的措施范围是6.1确定风险和机遇的边界条件；4.3双向研判形成的风险清单、机遇清单分别作为6.1.2、6.1.3的直接输入；6.2质量目标及其实现的策划质量目标及其实现的策划宜在范围覆盖内展开，并反映范围界定与调整过程中识别的风险和机遇；8.4外部提供的过程、产品和服务范围界定时须识别由未纳入体系范围的组织其他部门（如总部采购职能）或外部供方履行的职能；外包过程无论在组织设施内还是设施外执行，组织仍对输出承担责任；9.1监视、测量、分析和评价监视和测量活动的结果及相关绩效指标作为范围评审与机遇再识别的常设输入；9.2内部审核内部审核方案的范围以质量管理体系范围为输入；内部审核可用于评价范围的准确性；9.3管理评审范围评审与调整结论作为管理评审的输入，并支撑质量管理体系的演进决策。总则基本原则组织应用本文件宜遵循：a）融合性原则，范围确定与风险管理应与组织的战略设定、经营管理与业务流程相结合，风险管理要求与体系边界同步策划；b）全面性原则，边界研判应覆盖产品和服务、场所、活动和过程等全部边界要素以及全部要求的适用性判定，防止边界遗漏；c）重要性原则，应对各输入和判定项进行评价，确定需重点研判与重点监测的关键边界、关键接口和关键排除项；d）平衡性原则，应权衡范围广度与体系深度、风险与回报、成本与收益之间的关系，既防止“范围写大”，也防止“范围刻意缩水”；e）双向研判原则，对每一项输入与范围决策均按正面/负面双栏判定，同步形成风险清单与机遇清单，防止只识别风险不识别机遇；f）动态迭代原则，将范围相关信息的确定、监视和评审作为持续性活动，定期复评并随重大变化即时更新。注：本文件运用风险、机遇、风险源、风险准则等术语时，宜与GB/T23694—2024《风险管理术语》保持一致；需要采用更全面的风险管理方法时，可参照GB/T24353—2022《风险管理指南》、GB/T27921—2023《风险管理风险评估技术》等标准建立系统支撑。组织与职责1）最高管理者授权：范围确定与适用性判定宜由最高管理者授权、沿用4.1/4.2跨职能团队机制（质量管理部门牵头）统筹开展；2）跨职能团队构成：团队成员宜涵盖销售、生产、质量、工程与采购等部门，并可根据需要纳入法务、财务、信息化、售后服务等职能；当工作委派至单人负责时，该人员应向更广泛的团队汇报，避免监督薄弱或不全面；3）批准与知悉：范围文件及不适用要求的理由应经管理层负责人批准发布，并确保全员特别是部门负责人知悉；4）职责分工：组织宜明确范围确定、监视和评审的职责分工，职责分工建议见表2。表2范围确定与风险管理职责分工建议角色主要职责最高管理者/管理层负责人批准质量管理体系范围及不适用要求的理由；为范围确定、监视和评审配置必要资源；推动基于风险的思维和基于机遇的思维；跨职能团队（质量管理部门牵头）组织实施三项必选输入的研判与边界界定；开展风险与机遇双向研判；提出范围草案及风险清单、机遇清单；质量管理部门牵头维护范围文件、《范围—因素—要求关联矩阵》及相关记录；组织定期与触发式评审；协调与认证机构的范围口径核对；各过程所有者提供本过程、场所、产品和服务的输入信息；落实接口控制和外包过程控制安排；监测并反馈变化信号；各相关部门与岗位知悉并执行范围相关要求；反馈实际活动、场所、产品和服务与范围文件不一致的情形；工作程序组织宜按以下程序开展本条款（过程）的风险管理应用：a）建立组织与职责：由最高管理者授权组建（或沿用4.1/4.2）跨职能团队，明确分工与工作规则；b）明确范围确定的目标与准则：按GB/T24353—2022“界定范围”的要求，明确过程的范围、目标及其与组织目标的一致性，考虑：目标和需要做的决策，各步骤预期结果，时间、地点、具体包含和排除的事项，适当的风险评估工具和技术，所需资源、责任和需保留的记录，与其他过程的关系；同时界定“纳入/不纳入”决策的风险准则；c）收集并研判必选输入：汇总4.1因素、4.2要求、产品和服务信息，逐项研判其与范围的关联，建立《范围—因素—要求关联矩阵》（模板见附件A）；d）结构化界定边界并形成范围草案：按产品和服务、场所、活动和过程三要素界定边界（见4.6.1），形成范围草案；e）逐项判定适用性：对每项具体要求判定适用性，对不适用要求编制理由说明（见4.6.3）；f）双向研判形成清单：开展风险与机遇的双向研判，形成风险清单与机遇清单，分别衔接6.1.2、6.1.3（见4.7）；g）批准发布：范围作为成文信息经批准后可获取（见4.9）；h）监视、评审与动态调整：建立并实施监视、评审与调整机制（见4.8），保留成文信息并持续改进。确定范围的必选输入及其风险管理研判输入a）：4.1中提及的各种外部和内部因素1）必选输入地位：外部因素（按国际、国内、地区或当地层面考虑法律、技术、竞争、市场、文化、政治、社会、经济和环境因素）和内部因素（与组织的战略方向、价值观、文化、资源、知识和绩效有关的因素）是确定范围的必选输入，因素研判结论应直接约束体系覆盖的广度与深度（如政策变化、市场竞争、技术革新决定是否将海外仓、新业务纳入范围）；2）风险提示：因素研判缺位：未逐项确定哪些内外部因素会给组织持续成功带来风险，将导致范围界定与内外部环境脱节；对照抄同行模板、范围与实际脱节、业务变更后范围数年不变等情形，应通过营业执照经营范围、订单结构、组织架构和场所分布等客观证据校验；3）机遇提示：从正面因素提炼扩展方向：内外部因素包括需要考虑的正面要素或条件，正面因素（如新兴技术、市场环境变化）可能支持将新产品线、新服务模式、新场所纳入体系覆盖，实现体系与战略同向扩张；4）气候专项衔接：4.1中“气候变化是否为相关因素”的判定结论应作为范围研判的输入一并考虑；判定为相关时，气候类风险与机遇（如降低产品和服务碳足迹、气候韧性运营、绿色低碳市场）宜纳入范围覆盖与边界研判；输入b）：4.2中提及的要求1）要求传导闭环：4.2中判定“将通过质量管理体系应对”的要求必须在4.3范围中找到落点；当外部提供的过程、产品和服务相关时，应考虑外部供方要求的适用性；2）法律法规要求的关联：不应将适用于产品和服务的法律法规要求，与适用于组织但与质量管理体系范围无关的法律法规要求相混淆（如员工职业健康安全要求，但在特定情形下也可能适用，如建筑公司在客户现场作业时）；当组织提供的服务或产品本身属于环境保护范畴时（如污水处理厂），环境法律法规要求适用于组织的质量管理体系；3）风险提示：要求传导断裂：判定结论未在范围中落点、相关要求漏判，将导致体系覆盖与相关方要求脱节，并为审核所质疑；4）机遇提示：相关方要求转化：顾客对新产品、新交付方式的期望等要求，应视为体系覆盖扩展的机遇信息，逐项评估纳入范围的增值空间。输入c）：组织的产品和服务1）精准描述要求：范围应描述所覆盖的产品和服务类型，准确反映组织的实际活动、场所、产品和服务；应列明产品/服务的具体类型、规格参数、适用标准，拒绝“电子产品”“机械部件”等笼统描述；适用时单个场所可拥有特定范围，多场所企业需逐场所明确覆盖状态；质量管理体系的边界可能受特定顾客要求的影响，组织隶属于更大实体时，应在范围中如实表述体系的组织边界；2）体系深度匹配：应以产品和服务的性质与复杂程度匹配体系深度，既避免“针对极为简单或重复的设计采用完整繁重流程”式的过度复杂化，也防止遗漏必要过程，使体系深度与业务价值创造相匹配；3）风险提示：输入失真：照抄同行模板范围、范围与实际产品服务/组织单元/场所脱节、业务变更后范围数年不变，均为审核高发不符合项。《范围—因素—要求关联矩阵》的建立与应用1）逐项对应三输入：组织应建立《范围—因素—要求关联矩阵》，将4.1因素、4.2要求、组织的产品和服务逐项对应到范围界定结论，确保范围界定与内外部环境同频；未建立关联矩阵、直接跳过三个输入凭感觉写范围，是“两张皮”的典型源头；2）作为策划的边界条件：三输入研判记录及范围草案应作为6.1.2风险应对措施策划（规避风险、为寻求机遇承担风险等选项）的边界条件；3）模板应用：关联矩阵模板见附件A，组织可根据自身规模和复杂程度调整栏目与颗粒度。边界与适用性的确定边界三要素的结构化界定组织宜按产品和服务、场所、活动和过程三要素结构化界定质量管理体系的边界；三要素的界定要点见表3；表3边界三要素的界定要点边界要素界定要点产品和服务明确纳入全部产品和服务，还是仅纳入部分产品和服务；多数组织的体系适用于全部产品和服务，含在既定场所利用配置资源开展的所有过程、交付及交付后过程，覆盖整个组织及其人员；部分纳入时，适当时生产交付所需的所有过程均应纳入，并清晰界定其与其他产品、服务及过程的边界；场所（物理或虚拟）确定适用于单一地点还是多个地点；该判定与提供产品和服务所需过程的实施地点密切相关；并考虑是否存在将范围限定于某一场所局部的合理理由（如该场所某部分由其他组织拥有并控制）；活动和过程包括集中化过程、外部提供的职能及组织单元；应识别组织是否必须控制某接口才能实现预期结果并满足适用要求（见4.6.2）；风险提示：边界三要素界定失真：产品和服务（全部还是部分纳入、是否覆盖交付及交付后过程、覆盖整个组织及人员）、场所（单一还是多场所、物理或虚拟、场所局部限定的理由）、活动和过程（集中化过程、外部提供的职能及组织单元）未结构化界定，将导致范围要素缺失或错划；机遇提示：透明度与协同：清晰的范围可就产品和服务、场所、活动和过程等要素向内部和外部各方提供透明度，增强顾客、监管方与市场的信任；集团化组织可捕捉多场所协同机遇（如以集团/上级实体全球质量管理体系为框架确定自身范围，实现资源共享、能力复用与协同增值）；活动与过程归属的判定1）不得假定“体系外”：不得仅因某项活动在异地、已自动化、由另一法人实施或由外部供方支持，就假定其处于体系之外；应回答“组织是否必须控制该接口，才能实现预期结果并满足适用要求”；2）外部提供与“体外”职能：外部供方可包括由未纳入质量管理体系范围的组织其他部门履行的职能（如总部采购职能）；外包过程无论在组织设施内还是组织设施外执行，组织仍对输出承担责任，范围界定时应同步明确对外部提供过程的控制安排；3）供应链与依赖研判：复杂供应链共用少数核心供方的情形，宜借助供应链“图谱”形成可接受方案；应警惕独家供方、单一专家等“单点故障（SPOF）”对体系边界完整性的影响。适用性判定与不适用理由的说明1）逐项判定：在判定要求的适用性时，组织应对每项具体要求逐一考虑，不应以整条条款的要求为基础判定适用性，防止以整条条款为单位笼统弃用；2）书面论证：“不适用”一词表明组织已对该要求进行考虑，并基于合理理由确定该要求在其质量管理体系语境中不适用；应编制《不适用条款论证报告》或理由说明，说明基于业务实际的事实依据（过程分析、产品服务特性、顾客要求），包含风险评估与影响分析，由质量负责人与技术负责人双签，杜绝主观臆断；3）判定底线：仅当不适用不影响组织确保产品和服务合格、不影响增强顾客满意、且不影响履行适用法律法规义务的能力时，某项要求才能被确定为不适用；4）正反示例校准：正当示例：经销商按顾客规格转售成品、不从事任何设计，可论证8.3不适用；不当示例：软件公司以“敏捷开发、不做正式设计”为由排除8.3，但其仍将顾客要求转化为新功能，实属设计活动，审核员将针对范围开出不符合项；5）“未涉及”情形：当组织不涉及处理顾客或外部供方财产时（如8.5.3），应在质量管理体系范围中对要求不适用作出文件化说明并论证理由；其他未涉及要求的判定同理；6）动态复检：当运行模式、顾客承诺、技术或产品服务范围发生变化时，应重新核查不适用结论是否仍然成立，并同步更新范围文件；7）证据衔接：不适用判定记录作为声称符合本文件的前置证据，接受内部审核、认证审核与管理评审的核查。全部要求适用时的实施与声称符合的前提1）全部实施与履约能力校验：本文件规定的所有要求是通用的，适用于各种类型、不同规模和提供不同产品和服务的组织；全部要求适用时，组织应实施本文件的全部要求，并考虑可用资源、能力、产能和交付周期等因素校验履约能力，防止“范围写大、能力跟不上”导致制度悬空；全部要求的实施应保留过程按策划进行的证据；2）防范“过度裁剪”：把设计开发（8.3）、监视测量资源等条款一概声明不适用、理由栏空白或不成立，是高发不符合项；仅按客户提供图样加工、不承担设计责任方可论证8.3不适用，若存在任何形式的改型设计则不能声明不适用；3）“三重检验”底线：声称符合前应逐项检验：是否影响确保产品和服务合格的能力或责任、是否影响增强顾客满意、是否影响履行适用法律法规义务的能力；任一不满足即不得声称不适用；4）自评机制：声称符合前宜完成风险评估与影响分析并双签审批，形成“范围文件+论证记录+能力验证”的完整证据链；5）接受审核专业判断：审核中凡影响产品和服务符合性或顾客满意的活动、产品或服务被遗漏于范围之外，审核员均将提出质疑；豁免条款绝对不能影响产品符合性、不能降低顾客满意度、不能规避质量责任。风险和机遇的双向研判与清单形成风险研判与风险清单组织宜由跨职能团队按“正面/负面”双栏逐项研判，构建围绕本条款（过程）的风险清单，主要包括以下类别（完整清单见附件E）：a）组织与方法类风险：职责缺位与视角单一：未由最高管理者授权、未沿用4.1/4.2跨职能团队机制（质量管理部门牵头）统筹范围确定与适用性判定，导致边界界定与组织所处环境、相关方要求及战略方向脱节，研判片面；b）边界界定类风险：边界三要素界定失真、“范围失真”（范围写得过大、实际能力覆盖不了，或范围刻意缩水、规避关键工序与质量责任）、边界遗漏、外部提供与“体外”职能、供应链与依赖（SPOF）；c）输入研判类风险：“三输入”缺失、因素研判缺位、要求传导断裂、输入失真、“适用”语义误判、决策方法缺失、输出衔接不到位；d）适用性与覆盖类风险：违背“默认全覆盖”原则、判定颗粒度不当、“过度裁剪”、“未涉及”情形漏说明、动态复检缺失、证据衔接不足；e）成文信息类风险：可获得性与受控缺失、内容要素与批准缺失、记录缺失与版本失控、“口径不一”（质量手册、体系范围与认证证书范围互相矛盾）、支持性文件缺失；f）声称符合类风险：“三重检验”缺失、自评机制缺失、审核质疑、触碰红线（豁免条款影响产品符合性、降低顾客满意度或规避质量责任）。机遇研判与机遇清单同一跨职能团队在研判风险的同时，宜逐项研判正面效应，构建机遇清单（完整清单见附件E），主要包括：a）资源配置类机遇：以范围为杠杆，通过清晰边界将资源集中配置于对合格产品和服务、增强顾客满意最关键的活动、场所与过程；对确不适用的要求不实施，也可使组织将有限资源集中于实际运行、创造价值的过程（但范围并非越小越省事，关键是与实际业务一致）；b）透明度与信任类机遇：清晰范围向内部和外部各方提供透明度；向相关方公开范围是一项良好实践，可增强顾客、监管方与市场的信任；在守住底线的前提下准确界定并公开声称符合的范围，可提升认证通过的确定性与市场公信力；c）协同与拓展类机遇：集团化与多场所协同（资源复用与协同增值）；以清晰覆盖描述支持业务拓展，使新产品、新服务、新场所纳入体系有据可依；对暂不纳入的相邻业务或场所保留清晰边界与再评估机制，预置未来机遇接口；前瞻性评估数字化服务、供应链延伸、ESG与气候等前沿议题的纳入价值；d）评审与改进类机遇：每次范围评审均是重新审视体系覆盖是否错过新业务、新市场、新技术机会窗口的契机；逐项判定适用性促使组织全面研读标准要求，发现被忽视的要求落差与能力缺口，形成改进项目来源；凡对“增强顾客满意可能产生影响”的要求均应保留实施，并可进一步评估能否超越顾客期望；e）生命周期与价值类机遇：运用生命周期观点，识别既能增加价值又能最大限度减少环境影响的领域，为绿色低碳方向的体系扩展提供输入；f）输出衔接类机遇：将范围决策（覆盖什么、扩展空间在哪里）纳入机遇清单管理，与6.1机遇识别联动，确保机遇研判不越过体系边界、机遇应对有体系承载。与6.1、6.2及9.3.2的衔接1）清单双轨衔接：风险清单作为6.1.2确定风险的直接输入；机遇清单作为6.1.3确定机遇的直接输入；风险与机遇应通过各自独立的过程分别确定，不得混同管理；2）范围作为边界条件：范围确定结论及三输入研判记录作为6.1.2风险应对措施策划（规避风险、为寻求机遇承担风险、分担风险、接受风险等选项）的边界条件；机遇应对措施（新实践、新产品或服务、新合作关系、新兴技术、改进方案）宜在范围覆盖与边界内策划实施；3）支撑目标与评审：范围研判结论应积极共享并落地应用，支撑6.2质量目标策划与9.3.2管理评审输入。范围相关信息的监视、评审与动态调整监视对象与信息源1）监视对象：范围与三项必选输入的一致性；内外部因素变化（法规、技术、市场预期、顾客承诺、运行模式）；不适用判定结论的持续有效性；范围文件的受控状态与版本一致性；2）信息源：外部信息源包括政府与监管网站、行业协会、顾客通知、市场与舆情等；内部信息源包括绩效数据、订单与业务结构变化、组织架构与场所调整、内部审核结果、员工反馈等。评审的时机、方法与输出1）评审时机：范围评审宜作为持续性活动，至少每年评审一次；遇重大变更（新增产品线、搬迁场地、组织调整、扩产并购、事故、法规变化、顾客承诺变化等）即时启动；2）评审方法：宜以内部审核评价范围的准确性，将“范围与实际活动、场所、产品和服务的一致性”列入审核方案；结合管理评审对范围的有效性作出判断；3）评审输出：范围及其理由说明的更新、关联矩阵与风险/机遇清单的更新、版本控制与文件换版，必要时调整过程确定、目标与资源配置；评审结论作为管理评审输入。常见风险防范组织宜防范以下常见问题：将范围确定做成一次性工作而不随环境与业务变化维护（静态化）；范围变化时不适用结论未复检、证据未更新；照抄同行模板导致范围与实际脱节；质量手册、体系范围与认证证书范围“口径不一”；变更（新增产品线、搬迁场地、组织调整）后范围未同步更新；范围内风险与机遇“只识别不行动”；范围文件版本失控或未受控分发。成文信息与记录建议的成文信息组织宜保持以下成文信息：a）质量管理体系范围（范围文件）：描述所覆盖的产品和服务类型，包含产品和服务描述、组织单元与场所说明、不适用条款及理由；作为成文信息可获取（如纳入质量手册、其他成文信息或发布于组织网站），经管理层负责人批准发布并受控，必要时更新（见7.5）；b）三输入研判记录及范围草案；c）《范围—因素—要求关联矩阵》；d）不适用要求的理由说明及自评论证记录（如《不适用条款论证报告》，含风险评估与影响分析、双签审批）；e）风险清单与机遇清单及其与6.1的衔接记录；f）范围监视、评审与调整记录；g）《产品/服务覆盖清单》（范围描述的支持性文件和认证审核的核心依据之一）。证据链与审核佐证1）必查文件准备：认证审核中范围文件为必查文件，应有获取与保留记录；范围成文信息宜按GB/T19023列入组织应保持的成文信息清单，并与质量方针、目标、过程信息协调一致；2）客观证据校验：审核将核查范围与营业执照经营范围、订单结构、组织架构和场所分布等客观证据的一致性；不适用判定记录作为声称符合的前置证据，接受内部审核、认证审核与管理评审的核查；3）版本与分发控制：范围表述提交认证机构前应与体系文件核对一致；宜优先采用受控电子化发布，以便获取相关版本、控制变更（含撤销作废文件）、及时受控分发，并保持可检索性和可保留性。应用工具与方法结构化界定与策划类工具1）SIPOC/COPIS：过程映射工具，在较高层面识别所有过程的核心要素（供方、输入、过程、输出、顾客）；COPIS反向识别“面向顾客的过程”，可用于映射现有或新过程、定义改进活动或项目的范围；2）乌龟图：将过程的组成要素或特征可视化（输入→过程→输出，以及“用什么做”“谁来做”“怎么做”“用什么准则”），有助于将过程绩效与更高层次的组织战略及目标对齐；3）流程图/泳道图：以直观方式展示活动、任务或过程的排序，泳道图增加各项活动的职责，用于识别低效环节并进行分析和改进；4）权责矩阵/RACI/RASCI：明确范围确定、接口控制与外供控制中的负责者、批准者、咨询者（支持者）、知情者，消除职责模糊，并与岗位职责关联；5）控制计划：以过程FMEA为输入，确定应用于过程的控制措施（含测量方法、频率、结果记录方式及不符合要求时的反应计划）。分析类工具1）SWOT分析：评审内外部因素影响、确定优先行动与战略选择；宜经常性评估、由领导团队执行、辨别数据质量局限，并考虑外部输入；2）PESTLE分析：确定并跟踪组织运营环境（政治、经济、社会、技术、法律、环境），可与SWOT、波特五力或六力模型结合使用，并定期更新信息；3）波特五力或六力模型：分析新进入者的威胁、现有企业之间的竞争、买家的议价能力、替代产品/服务的威胁、供方的议价能力及互补者等六种竞争力，同时考虑风险与机会；4）组织环境（COTO）图、矩阵或日志：可视化组织环境要素，辅助识别和沟通因素及其相互关系。风险与机遇研判类工具1）结构化识别与分析技术：头脑风暴、调查法、SWIFT、FMEA、FMECA、后果—可能性矩阵、风险指数、蝴蝶结分析等，用于识别负面效应、构建风险源清单并确保关键领域不被遗漏；2）范围覆盖决策排序：运用头脑风暴、SWOT或PESTLE等分析技术研判“纳入/不纳入”各选项的风险后果，并以后果—可能性矩阵排序，为范围决策提供结构化支撑；3）风险登记表：记录每项风险的性质或类型、发生概率、对组织的影响、风险责任者、缓解措施、应急行动以及缓解后的剩余风险，并定期监视更新；4）交通灯评级法/热力图：以红、黄、绿显示事态或风险状态（通常以严重性与频率矩阵形式呈现），用于关键绩效指标报告、风险分析与预警。范围决策专用方法1）《范围—因素—要求关联矩阵》：逐项对应4.1因素、4.2要求、产品和服务，确保范围界定可追溯、可验证（模板见附件A）；2）供应链“图谱”与单点故障（SPOF）分析：识别复杂供应链中共用少数核心供方的情形及独家供方、单一专家等依赖，研判其对边界完整性的影响；3）生命周期观点：识别既能增加价值又能最大限度减少环境影响的领域，为绿色低碳方向的体系扩展提供输入；4）《产品/服务覆盖清单》：作为范围描述的支持性文件，使命名可追溯到过程、顾客要求和绩效证据。风险评估技术的选择与组合应用1）匹配性原则：风险评估方式与输出形式宜与预设准则相符；简单情形可按既定规则与以往评估决定评估方式；新颖、复杂、高不确定性的情形，宜组合使用多种技术获得部分理解，再依据组织与社会价值及相关方观点作出判断；2）技术应用框架：按照GB/T27921—2023，风险评估技术可覆盖风险识别、确定风险源/原因/驱动因素、调查控制措施有效性、理解后果和可能性、分析依赖和交互、风险度量、风险重要性评价、选项间决策以及记录和报告等环节；组织宜依据背景环境与决策需求选用适宜技术组合，并充分考虑人员、模型及数据局限性；3）系统支撑：当组织需要更全面的风险管理方法时，可参照GB/T24353—2022、GB/T27921—2023等指南或标准实施。附件A（资料性）《范围—因素—要求关联矩阵》附件A.1范围—因素—要求关联矩阵（模板）表A.1范围—因素—要求关联矩阵（模板）序号输入类别对应条目及来源与范围相关的研判要点倾向结论（纳入/不纳入/待定）涉及边界要素责任部门/岗位1a）4.1外部因素例：××年××政策变化（PESTLE-政治）是否要求将××业务/场所纳入或排除……产品和服务/场所/活动和过程……2a）4.1内部因素例：组织知识缺口对覆盖能力的影响………………3b）4.2要求例：顾客对××交付方式的期望要求是否在范围中找到落点………………4b）4.2要求例：适用法律法规要求合规义务与范围的关联………………5c）产品和服务例：主要产品/服务族具体类型、规格参数、适用标准………………6………………注：本矩阵作为三输入研判记录与范围草案的组成部分，作为6.1.2风险应对措施策划的边界条件；附件B（资料性）质量管理体系边界界定核查表附件B.1质量管理体系边界界定核查表（模板）表B.1质量管理体系边界界定核查表（模板）序号核查维度核查要点核查结论证据/备注责任人1产品和服务全部或部分纳入；交付及交付后过程；覆盖组织及人员2场所单一/多场所；物理/虚拟；局部限定的理由3活动和过程集中化过程；外部提供的职能；组织单元4接口判定异地、自动化、另一法人实施、外部供方支持：是否必须控制该接口5外部提供与外包体系外部门职能（如总部采购）；外包过程控制安排6供应链与依赖供应链图谱；独家供方、单一专家（SPOF）7边界一致性与相邻产品、服务及过程的边界清晰界定附件C（资料性）条款要求适用性判定及不适用理由说明表附件C.1条款要求适用性判定及不适用理由说明表（模板）表C.1条款要求适用性判定及不适用理由说明表（模板）序号条款号及要求适用性判定不适用理由及事实依据影响分析（产品和服务合格能力/责任、增强顾客满意、法律法规义务）证据判定/复核人日期18.3设计和开发例：不适用例：仅按顾客提供图样加工，不承担设计责任不影响……顾客图样、合同约定2……注：判定应逐项具体要求开展，不得以整条条款为单位笼统判定；判定记录作为声称符合本文件的前置证据；附件D（资料性）范围监视、评审与调整记录表附件D.1范围监视、评审与调整记录表（模板）表D.1范围监视、评审与调整记录表（模板）序号监视/评审对象信息源或触发事件评审结论调整内容（范围/理由说明/矩阵/清单）责任人日期下次复评1例：范围与订单结构一致性例：新增产品线…………2……附件E（资料性）“4.3确定质量管理体系的范围”条款（过程）风险和机遇清单附件E4.3条款（过程）风险和机遇清单表E.1“4.3确定质量管理体系的范围”条款（过程）风险和机遇清单4.3条款（过程）4.3条款（过程）对应风险清单4.3条款（过程）对应机遇清单总要求：组织应确定质量管理体系的边界和适用性，以确定其范围（1）职责缺位与视角单一风险：未由最高管理者授权、未沿用4.1/4.2跨职能团队机制（质量管理部门牵头）统筹范围确定与适用性判定，导致边界界定与组织所处环境、相关方要求及战略方向脱节，研判片面

（2）边界三要素界定失真风险：未结构化界定产品和服务（全部还是部分纳入、是否覆盖交付及交付后过程、覆盖整个组织及人员）、场所（单一还是多场所、物理或虚拟、场所局部限定的理由）、活动和过程（集中化过程、外部提供的职能及组织单元），导致范围要素缺失或错划

（3）“范围失真”风险：范围写得过大，实际能力覆盖不了，制度悬空、执行缺位，审核必出问题；范围刻意缩水，规避关键工序与质量责任，在审核和客户验厂时被一票否决

（4）边界遗漏风险：仅因某项活动在异地、已自动化、由另一法人实施或由外部供方支持，就假定其处于体系之外，未回答“组织是否必须控制该接口，才能实现预期结果并满足适用要求”

（5）外部提供与“体外”职能风险：未识别由未纳入体系范围的组织其他部门履行的职能（如总部采购职能）属外部供方；外包过程无论在组织设施内外执行，组织仍对输出承担责任，范围界定时未同步明确对外部提供过程的控制安排

（6）供应链与依赖风险：复杂供应链共用少数核心供方未借助供应链“图谱”形成可接受方案；独家供方、单一专家等“单点故障（SPOF）”对体系边界完整性的影响未被识别

（7）成果应用风险：范围确定结论未作为4.4过程确定、6.1风险和机遇识别、内部审核与认证审核方案范围界定的直接输入（1）资源聚焦机遇：以范围为杠杆，通过清晰边界将资源集中配置于对合格产品和服务、增强顾客满意最关键的活动、场所与过程，为优化做事方式、全面改进工作开展模式奠定基础

（2）透明度与信任机遇：清晰范围可就产品和服务、场所、活动和过程等要素向内部和外部各方提供透明度；向相关方公开范围是一项良好实践，可增强顾客、监管方与市场的信任

（3）集团化与多场所协同机遇：以集团/上级实体全球质量管理体系为框架确定自身范围（如预拌混凝土企业仅纳入销售、设计开发、产品符合性、策划、生产及交付过程，战略、质量管理、人力资源及采购由集团统一管理），实现资源共享、能力复用与协同增值

（4）范围评审优化机遇：当组织运行环境发生变化时可对范围进行调整以与之匹配；按需开展范围评审、以内部审核评价范围准确性，每次评审均是重新审视体系覆盖是否错过新业务、新市场、新技术机会窗口的契机

（5）生命周期观点增值机遇：考虑范围时运用生命周期观点，可识别既能增加价值又能最大限度减少环境影响的领域，为绿色低碳方向的体系扩展提供输入

（6）输出衔接机遇：将范围决策（覆盖什么、扩展空间在哪里）纳入机遇清单管理，与6.1机遇识别联动，确保机遇研判不越过体系边界、机遇应对有体系承载在确定范围时，组织应考虑：a）4.1中提及的各种外部和内部因素；b）4.2中提及的要求；c）组织的产品和服务（1）“三输入”缺失风险：未以4.1内外部因素、4.2相关方要求、组织产品和服务为必选输入建立《范围—因素—要求关联矩阵》逐项对应，直接跳过三个输入凭感觉写范围，是“两张皮”的典型源头

（2）因素研判缺位风险：未逐项确定哪些内外部因素会给组织持续成功带来风险，因素研判结论未约束体系覆盖的广度与深度（如政策变化、市场竞争、技术革新决定是否将海外仓、新业务纳入范围）

（3）要求传导断裂风险：4.2中判定“将通过质量管理体系应对”的要求未在4.3范围中找到落点；当外部提供的过程、产品和服务相关时，未考虑外部供方要求的适用性

（4）输入失真风险：照抄同行模板范围、范围与实际产品服务/组织单元/场所脱节、业务变更后范围数年不变，均为审核高发不符合项，未通过营业执照经营范围、订单结构、组织架构和场所分布等客观证据校验

（5）“适用”语义误判风险：未对每项具体要求逐一考虑判定适用性，而以整条条款为单位笼统判定，导致误判适用性

（6）决策方法缺失风险：未运用头脑风暴、SWOT或PESTLE等分析技术研判“纳入/不纳入”各选项的风险后果，未以后果-可能性矩阵排序，覆盖决策缺乏结构化支撑

（7）输出衔接风险：未形成三输入研判记录及范围草案，作为6.1.2风险应对措施策划（规避风险、为寻求机遇承担风险等选项）的边界条件（1）从4.1正面因素提炼范围扩展机遇：内外部因素包括需要考虑的正面要素或条件，正面因素（如新兴技术、市场环境变化）可能支持将新产品线、新服务模式、新场所纳入体系覆盖，实现体系与战略同向扩张

（2）相关方要求转化机遇：4.2确定的相关方要求是识别机遇的法定输入，其中判定通过质量管理体系应对的要求（如顾客对新产品、新交付方式的期望）应视为体系覆盖扩展的机遇清单，逐项评估纳入范围的增值空间

（3）体系深度匹配机遇：以产品和服务性质匹配体系深度，既避免“针对极为简单或重复的设计采用完整繁重流程”式的过度复杂化，也防止遗漏必要过程，使体系深度与业务价值创造相匹配

（4）预置未来机遇接口：对暂不纳入的相邻业务或场所保留清晰边界与再评估机制，当市场机遇出现时可快速扩展体系覆盖而不必推倒重来

（5）输出衔接机遇：将范围扩展机遇信息传导至6.1机遇应对措施策划（采用新实践、推出新产品或服务、建立新的合作关系、利用新兴技术）如果本文件的全部要求适用于组织确定的质量管理体系范围，组织应实施本文件的全部要求（1）违背“默认全覆盖”原则风险：本文件规定的所有要求是通用的，适用于各种类型、不同规模和提供不同产品和服务的组织；全部要求适用时未全部实施

（2）判定颗粒度风险：以整条条款为单位笼统判定而非逐项具体要求判定，导致要求被笼统弃用

（3）“过度裁剪”风险：把设计开发（8.3）、监视测量资源等条款一概声明不适用、理由栏空白或不成立；仅按客户提供图样加工、不承担设计责任方可论证8.3不适用，若存在任何形式的改型设计则不能声明不适用

（4）履约能力失配风险：在确定要求并确保组织能够满足这些要求时，未考虑可用资源、能力、产能和交付周期等因素，“范围写大、能力跟不上”导致制度悬空

（5）证据缺失风险：全部要求的实施未保留过程按策划进行的证据（记录），无法证实符合性并支撑内部审核与管理评审（1）全要素实施红利机遇：通过应用ISO9001所有其他要求建立、实施、保持并持续改进体系，通过应用PDCA循环以及基于风险和机遇的思维对过程进行策划、监视、控制和改进，识别失效环节、风险点和改进领域，确保各项活动作为相互关联的过程系统进行管理

（2）信任与市场机遇：体系覆盖全部产品和服务、覆盖整个组织及其人员，可向顾客、认证机构与监管方传递完整的质量承诺，支撑长期可持续发展与信任维护

（3）改进文化机遇：应用基于风险的思维和基于机遇的思维，建立主动预防文化，聚焦于优化做事方式、全面改进工作开展模式该范围应描述所覆盖的产品和服务类型（1）描述歧义风险：范围未准确反映组织的实际活动、场所、产品和服务，如仅表述“管材生产”而未明确管材的类型、材质或预期用途，导致相关方对可有效交付的产品产生误解；使用“电子产品”“机械部件”等笼统描述，未列明产品/服务的具体类型、规格参数、适用标准

（2）多场所覆盖模糊风险：未逐场所明确覆盖状态（适用时单个场所可拥有特定范围），多场所企业存在模糊地带

（3）边界约束失实风险：质量管理体系边界可能受特定顾客要求影响、组织隶属于更大实体时可界定体系的组织边界，这些边界未在范围中如实表述

（4）“口径不一”风险：质量手册所写体系范围与实际业务对不上、认证证书范围与体系范围两个口径混用导致文件与证书互相矛盾，为审核高发问题；范围表述提交认证机构前未与体系文件核对一致

（5）支持性文件缺失风险：未形成《产品/服务覆盖清单》作为范围描述的支持性文件和认证审核的核心依据之一（1）沟通价值机遇：用顾客和运营团队的语言命名覆盖对象（实际的服务族、产品系列或明确的支持活动），使命名可追溯到过程、顾客要求和绩效证据，增强范围的沟通价值与市场辨识度

（2）“精确而不冗长”表述机遇：目标是足以展示覆盖输出的性质及其边界，而非罗列每个产品代码或内部任务；认证证书上的范围声明通常以简明语句概括（如“为航空航天和工业客户制造精密机械加工部件并交付”），既合规又传递专业能力

（3）业务拓展机遇：清晰的覆盖描述使新产品、新服务、新场所纳入体系有据可依，缩短市场响应周期如果组织确定本文件的某些要求不适用于其质量管理体系范围，应说明理由（1）论证缺失风险：未逐项书面论证——未编制《不适用条款论证报告》说明基于业务实际的事实依据（过程分析、产品服务特性、顾客要求）、未包含风险评估与影响分析、未经质量负责人与技术负责人双签，主观臆断

（2）判定底线失守风险：未坚持“双条件+