ISO9001-2026标准“6.1应对风险和机遇的措施”条款（过程）风险管理应用专业操作指南（雷泽佳编制）

ISO9001-2026“6.1应对风险和机遇的措施”条款（过程）风险管理应用专业操作指南(雷泽佳编制)ISO9001-2026“6.1应对风险和机遇的措施”条款（过程）风险管理应用专业操作指南(雷泽佳编制)6策划6.1应对风险和机遇的措施6.1.1条款目的和意图条款目的6.1.1.1条款目的融入双思维，系统确定需要应对的风险和机遇。指导组织将基于风险的思维和基于机遇的思维融入“6.1.1确定风险和机遇”条款（过程）的实施：在策划质量管理体系时，以4.1所提及的因素和4.2所提及的要求为输入，确定需要应对的风险和机遇，以：a）确保质量管理体系能够实现其预期结果；b）预防或减少不利影响；c）实现持续改进；d）增强有利影响。6.1.1.2条款意图1）把握双思维的内涵与界线。基于风险的思维和基于机遇的思维，是辅助组织研判影响质量管理体系各类因素的理念；在质量管理中，风险通常被理解为不确定性对质量管理体系实现其预期结果能力的负面效应，机遇被理解为可能对质量管理体系绩效产生有益影响的情形。风险和机遇是不同的，二者能通过各自独立的过程予以确定和应对，不宜将机遇简单视为“风险的正面”。2）立足两个直接输入。内外部因素（见4.1）和相关方要求（见4.2）是识别与质量管理体系相关的风险和机遇时应考虑的输入；研判结论应直接用于确定需要应对的风险和机遇，并与组织的战略方向保持一致。3）聚焦四项意图的落实重点。落实a）～d）项要求时：a）提供信任——关注实现质量目标、确保监视和测量过程足以有效评价产品和服务的符合性、保障内部审核有效性等相关的风险与机遇；b）预防或减少非预期影响——规避、消除或分担风险，改变风险发生的可能性或后果；c）实现持续改进——关注产品和服务符合性提升、顾客满意度增强以及质量管理体系持续改进的机遇；d）增强预期效果——关注实施新过程、优化现有过程、消除冗余过程、应用新技术、推出全新或改进型产品和服务相关的风险与机遇。4）覆盖中断情形与新兴变化。所确定的风险宜包括与中断期间和中断之后提供合格产品和服务的能力有关的风险；对新兴风险宜通过多重环境扫描、弱信号监测与风险情报循环加以识别，并关注变化速度、预警间隔、从识别到事件发生的时间等时间维度。6.1.2应对风险的措施6.1.2.1条款目的对风险实施“确定、分析和评价—策划应对—整合实施—评价有效性”的闭环管理。指导组织对已识别风险（见6.1.1）进行分析和评价，并策划：a）应对这些风险的措施；b）如何将措施在质量管理体系过程中整合并实施（b1）、如何评价这些措施的有效性（b2）。评价风险并确定应对措施时，组织应考虑自身在中断发生期间及中断恢复后持续提供合格产品和服务的能力。6.1.2.2条款意图1）确保措施的相称性。应对风险的措施应与风险对质量管理体系预期结果的潜在影响相适应，防止对高风险应对不足、对低风险过度投入；措施选择宜权衡潜在收益与付出的成本、耗费的精力或由此引发的不利后果。2）确保措施嵌入过程。应对措施不应停留在风险清单层面，而应整合并实施到相应质量管理体系过程的策划、运行准则与控制活动之中（对应4.4.1“按照6.1的要求应对风险和机遇”），避免措施与过程运行“两张皮”。3）确保形成有效性证据。组织宜对措施有效性进行评价，经过一定周期验证风险确未发生或已降至可接受水平，并保留相关成文信息，为数据分析与评价、管理评审和审核提供证据。4）明确方法选择的自由度。应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程；组织可选择更广泛的风险管理方法（如参照GB/T24353、GB/T27921、管理会计应用指引第700号等），但所选方法宜与自身环境相适应并一致、有效地应用。6.1.3应对机遇的措施6.1.3.1条款目的对机遇实施独立成条的全过程管理。指导组织对已识别机遇（见6.1.1）进行分析和评价，并策划：a）应对这些机遇的措施；b）如何将措施在质量管理体系过程中整合并实施（b1）、如何评价这些措施的有效性（b2）。应对机遇的措施应与组织环境相适应，并支持实现有利结果。6.1.3.2条款意图1）机遇独立成条、单独应对。2026版标准将机遇应对独立成条（6.1.3），与风险通过各自独立的过程分别确定和应对；组织宜单独建立机遇清单并配置独立评价准则，避免将机遇作为“风险的正面”附带处理或机遇栏目空白。2）措施与组织环境相适应。应对机遇的措施宜结合组织的规模与复杂性、能力与资源、战略方向确定深度与力度，并支持实现有利结果；措施可能包括采用新实践、推出新产品或服务、建立新的伙伴关系、利用新兴技术、实施有关计划，以及为应对顾客和其他有关相关方当前和不断变化的需求和期望所采取的其他措施。3）坚持机遇伴随风险的双向研判。研判机遇时，组织还应识别并评价机遇伴随的风险及其对质量管理体系的潜在影响，按“为寻求机遇承担风险”路径决定是否把握该机遇，防止盲目决策引发新问题。4）明确机遇的典型来源与去向。机遇可通过评估内外部环境确定，来源如市场条件的变化、新兴技术、法规要求、相关方需求和期望、监视和测量活动的结果及相关绩效指标；识别出的机会宜传达给管理层，作为战略和目标设定的一部分加以考虑，并与持续改进相衔接。6.1.4与相关条款的接口6.1条款与相关条款的接口关系本条款（过程）与相关条款的接口关系见下表。相关条款接口关系4.1理解组织及其环境4.1输出的风险源清单、机遇清单分别作为6.1.2、6.1.3的直接输入；6.1确定风险和机遇时应以4.1所提及的因素为输入4.2理解相关方的需求和期望相关方要求是确定风险和机遇的直接输入；机遇识别宜覆盖相关方需求和期望及其变化4.4质量管理体系及过程依据4.4.1g）“按照6.1的要求应对风险和机遇”将措施整合到过程管理；过程监视测量准则与绩效指标宜以风险分析评价结果为输入5.1/5.3领导作用与岗位职责权限最高管理者推动基于风险和基于机遇的思维；职责权限的分配宜覆盖风险和机遇的策划、批准、实施与报告6.2质量目标及其实现的策划风险和机遇清单及应对措施是质量目标策划的直接输入；质量目标宜反映组织在风险和机遇方面要取得的结果6.3变更策划组织及其质量管理体系的变更可能带来风险或机遇，变更策划时宜同步评审、更新已确定的风险、机遇及应对措施7.4沟通研判结论应积极共享并落地应用；宜建立报告制度，明确报告的内容、对象、频率和路径7.5成文信息风险和机遇清单、应对计划、有效性评价记录等宜纳入成文信息并受控8.1运行策划和控制应对措施宜落实到过程设计、程序文件、作业指导书、资源配备与培训等运行控制中8.3产品和服务的设计和开发设计和开发策划应考虑为应对已识别的风险和机遇所确定的必要措施9.1监视、测量、分析和评价“应对风险和机遇所采取措施的有效性”作为分析与评价的输入（9.1.3）；监视测量结果及绩效指标作为机遇再识别的常设输入9.2内部审核审核宜评审组织如何应对已确定的风险和机遇，并为风险、机遇确定过程的可信度提供保证9.3管理评审“应对风险所采取措施的有效性”“应对机遇所采取措施的有效性”分别作为管理评审输入项（9.3.2）10.1/10.2/10.3改进改进可通过渐进式或突破性变革、创新或重组实现；实施纠正措施后，必要时更新在策划期间确定的风险和机遇6.2总则6.2.1基本原则术语与总体要求。本指南所用风险管理术语宜以GB/T23694-2024为准；组织应用本指南宜遵循以下基本原则：a）双思维融合原则。将基于风险的思维和基于机遇的思维融入质量管理体系的策划、运行与决策全过程，二者同步确定、分别应对、双向衔接；b）融合性原则。风险管理应与组织的战略设定、经营管理与业务流程相结合，成为组织所有活动的有机组成部分，而非独立的合规活动；c）全面性原则。覆盖所有风险类型、业务流程、操作环节和管理层级；风险和机遇的识别宜在实体、部门、职能和过程各层面全面开展，并考虑中长期趋势；d）重要性原则。对风险和机遇进行评价，确定需重点管理的对象，有针对性地实施重点监测、优先排序与资源配置；e）平衡性原则。权衡风险与回报、成本与收益之间的关系；既防止忽视风险片面追求收益，也防止单纯为规避风险而放弃发展机遇；f）相称性原则。应对风险的措施应与风险对质量管理体系预期结果的潜在影响相适应；应对机遇的措施应与组织环境相适应并支持实现有利结果；g）动态迭代原则。将确定、分析和评价、应对、监视和评审作为持续性活动，定期复评，并随内外部重大变化（如返工率或报废率上升）即时更新。6.2.2组织与职责a）最高管理者。组织宜由最高管理者授权并推动6.1条款（过程）的风险管理活动：确保策划形成应对风险和机遇的措施，配置必要资源，接收策划与实施情况的报告，适当时介入处置影响预期结果实现的障碍。b）跨职能研判团队。组织宜由最高管理者授权成立涵盖销售、生产、质量、工程与采购等部门的跨职能团队，负责风险和机遇的确定、分析和评价及措施策划；采用跨职能方法获得均衡判断，防止过度依赖单一视角或单部门判断导致研判片面；当确定工作委派至单人负责时，该人员应向更广泛的团队汇报。c）风险责任人与机遇责任人。组织宜明确各项风险和机遇的责任人及其批准与实施权限；组织中每个人都宜在各自权限及所分配的职责范围内管理风险，机遇应对措施的风险控制部署可与风险的严重程度相一致。d）各职能、层次与过程责任人。组织宜将应对措施分解落实到相关职能、层次和过程，并明确“要做什么、需要什么资源、由谁负责、何时完成、如何评价结果”，确保措施可执行、可跟踪、可评价。e）报告与监督。组织宜建立风险和机遇管理报告制度，明确报告的内容、对象、频率和路径；必要时通过内部审核、管理评审等方式，对风险和机遇确定过程的可信度、措施的实施与有效性进行监督检查。6.2.3工作程序总体流程。组织宜按“确定输入—识别—分析和评价—应对策划—整合实施—有效性评价—监视与更新—记录与报告”的程序开展6.1条款（过程）的风险管理活动，并将沟通和协商、监视和评审、记录和报告贯穿于各步骤：a）确定输入。以4.1因素研判结论、4.2相关方要求为直接输入，并利用监视和测量活动结果、相关绩效指标、顾客反馈与投诉、审核发现、员工建议、水平对比等多元信息源；b）识别。对每一输入逐项开展正面/负面双向研判，同步形成“风险源清单”与“机遇清单”，实现风险与机遇通过各自独立的过程分别确定；c）分析和评价。对风险调查现有控制措施有效性、分析后果与可能性并确定风险等级和优先序；对机遇从可行性、收益性、紧迫性、资源需求等维度评估并确定类别；d）应对策划。按措施选项清单选择适宜的应对方案，编制风险和机遇应对计划，明确理由、责任人、资源、时限、评价方法和监视要求；e）整合实施。将措施整合并实施到质量管理体系相关过程，落实到过程设计、程序文件、作业指导书、资源配备与培训之中；f）有效性评价。通过观察过程绩效、评审成文信息、开展内部审核或其他策划的活动，验证措施有效性及剩余风险的可接受性；g）监视与更新。设置关键风险指标跟踪变化趋势，定期或当因素变化时对风险和机遇再评审，动态更新清单与措施；h）记录与报告。保留各步骤成文信息，按既定路径和频次向管理层报告；将有关结果纳入数据分析与评价及管理评审。典型开展场景。风险和机遇的应对可在多种场景下开展，例如战略会议、管理评审、内部审核、质量目标制定会议、新产品和新服务的设计开发策划阶段，以及生产过程的策划阶段。6.3风险和机遇的确定6.3.1判定准则与识别输入输入来源。组织宜以4.1所提及的因素（PESTLE外部因素，以及产品和服务提供、基础设施与环境、人员与行为、组织知识、沟通、运行因素、不合格等内部因素）和4.2所提及的要求为直接输入，并扩展覆盖组织战略方向、组织能力、容量与胜任力、监视和测量活动的结果及相关绩效指标、审核发现、顾客反馈投诉、员工建议等来源。判定准则。组织宜逐项判定各输入因素是否构成“不确定性对质量管理体系实现其预期结果能力的影响”：可能产生负面效应的，确定为风险；可能产生有益效应的，确定为机遇。注意影响是指与预期的偏离，既可为负面也可为正面，防止将正面偏离一律排除在风险研判之外。力度与视野。确定风险的力度宜与组织实际需求相匹配；不宜仅关注财务与运营因素而忽视社会、政治、技术与环境影响，不宜仅聚焦当前问题而错失战略层面因素；识别宜覆盖各层面，采用自上而下与自下而上相结合的方法，并可运用红队策略挑战识别结果、防止遗漏。6.3.2风险的识别方法工具。组织可自行选择适用的方法或工具，包括：头脑风暴法、调查法、德尔菲技术、SWOT或PESTLE等分析技术；FMEA、FMECA、SWIFT等风险识别技术；HACCP；情景分析、检查表/分层分类法；更简便的方法包括后果-可能性矩阵、风险指数以及蝴蝶结分析等（工具选择详见6.9）。考虑因素。识别时宜考虑有形和无形风险源，原因和事件，脆弱性和应对能力，内外部环境变化，新兴风险，资产和资源的性质和价值，知识的局限性和信息的可靠性，识别人员的偏见、假设和看法，以及与时间有关的因素；无论风险源是否在组织控制范围内都宜识别。输出记录。识别结果宜形成风险清单（风险登记表），描述风险性质、发生概率、对组织的影响、责任者、缓解措施及剩余风险，并可按战略、财务、市场、运营、法律等类别归类。特有风险形态。组织宜警惕“单点故障（SPOF）”引发的风险，例如依赖单一领域专家的知识、采用独家外部供方提供物料、关键设备无备机等；同时宜避免纳入超出质量管理体系范围、且无法通过该体系实际管控的风险。中断与新兴风险。组织宜评估中断事件（如供方失效、网络攻击、极端天气、公用设施故障、关键人员缺位）对持续提供合格产品和服务能力的影响，可运用情景分析和事件树分析等比较不同应对方法，对可能产生严重后果者纳入业务连续性安排；对新兴风险可参照GB/T46409开展识别与治理。6.3.3机遇的识别评估维度与来源。组织宜通过对内外部环境的评估识别机遇，评估维度包括相关方的需求和期望、组织的能力、容量与胜任力，以及监视和测量活动的结果及相关绩效指标；机遇来源如市场条件的变化、新兴技术、法规要求、顾客需求变化、技术发展、行业趋势等。典型类型。机遇可包括：发掘新顾客；明确市场对新产品或新服务的需求；通过引入新技术改进或替代现有过程；采用新的实践方法；推出新产品；识别与自身战略方向契合的潜在合作方并建立新的合作关系；利用新技术及其他措施满足顾客和其他相关方当前和不断变化的需求与期望。战略一致与传达。识别的机遇宜与组织的战略方向保持一致；识别出的机会宜传达给管理层，作为战略和目标设定的一部分加以考虑。新兴扫描。组织宜采用情景分析等富有想象力的思考技术及多样化信息来源，持续扫描环境变化，将新兴技术、新兴市场等纳入机遇清单并动态治理；在适宜且可行的前提下开展对标研究，借鉴同行高效实践。6.3.4风险和机遇的双向研判与清单形成同一因素的双重属性。某一因素可同时是风险与机遇（如技术进步、法规变化、人口结构变化等）：一方机会可能对另一方构成威胁，抓住或不抓住机会都是风险的来源；组织宜对每一因素均按正面/负面双栏判定，复核负面因素蕴含的机会，实现风险与机遇的联动转化分析。双向转化示例。法规加严可催生合规能力建设与产品升级需求；竞争压力可催生差异化定位；供应链中断风险可推动开发第二供方，进而形成新的合作机遇；反之，把握机遇时宜同步识别并评价其伴随风险，按“承担风险以把握机遇”路径决定是否把握。清单形成与评审。研判结论宜分别形成“风险源清单”与“机遇清单”（或风险登记表和机遇登记册）；组织应对已识别的风险和机遇进行评审，因为各类因素（如返工率或报废率上升）可能导致其发生变化，评审宜确保风险和机遇得到有效应对且持续保持适用性。6.3.5常见风险防范组织宜防范下列确定环节的常见问题：a）机遇栏目空白。只识别风险不识别机遇，或以“持续改进顾客满意”等套话敷衍应付，机遇管理沦为“配角”；b）输入不完整。未以4.1因素和4.2要求为直接输入，或仅关注负面偏离、将正面偏离一律排除在研判之外；c）视角单一。未成立跨职能团队，仅凭单人、单部门或临时讨论确定，导致识别薄弱或不全面；d）范围与力度失当。将超出质量管理体系范围、无法实际管控的风险纳入清单，或识别力度与组织实际需求不匹配；e）方法认知偏差。误认为必须采用正式风险管理方法或形成文件化风险管理过程而导致过度文件化，或走向另一极端完全不做识别；f）清单静态化。风险和机遇清单长期不更新，未随因素变化再评审，导致应对措施不再适用。6.4风险和机遇的分析和评价6.4.1风险的分析与评价调查现有控制措施。组织宜调查现存控制措施及其有效性：考虑控制措施旨在改变风险的机制、是否到位并按预期运行、设计或应用方式是否存在缺陷或缺失、是否单独起效还是需要其他措施配合、是否存在降低控制有效性的因素（包括共因失效），以及控制措施是否会带来其他风险。分析要点。风险分析宜对不确定性、风险源、后果、可能性、事件、情境、控制措施及其有效性进行详尽考虑；可在定性、半定量或定量层面开展，分析的细致和复杂程度取决于分析目的、信息可获得性和可靠性及可用资源。评价与排序。组织宜将风险分析结果和既定风险准则相比较，确定是否需要采取进一步行动，并基于风险程度及适应性、复杂性、速度、持续性、恢复等准则对风险进行优先排序；可采用最低合理可行（ALARP）等准则判断是否需要进一步处理；定量评估时宜统一制定风险度量单位和风险度量模型。分析结论的用途。风险分析与评价结果宜为应对措施的策划、资源配置以及过程监视测量准则和绩效指标的确定提供输入依据；高度不确定事件可能难以量化，综合使用多种分析技术通常能提供更合理的观点。6.4.2机遇的分析与评价四维评估。组织宜从可行性（技术能否实现）、收益性（质量改善或效率提升程度）、紧迫性（窗口期长短）、资源需求（需投入多少）四个维度对已识别机遇开展分析和评价，明确预期收益及关键假设。分类管理。根据评估结果，宜将机遇分为“优先追求、条件成熟后追求、持续关注、暂不处理”四类，为资源配置提供依据；优先追求高价值、高可行性的机遇，条件不成熟者纳入持续关注清单并定期复评。伴随风险评价。对拟把握的机遇，宜同步识别并评价机遇伴随的风险及其对质量管理体系的潜在影响，以决定是否把握该机遇；参照示例，推行无纸化生产及质量管理体系文件系统这类机遇可能伴随软件故障和错误导致合规问题或记录不完整的风险、员工对新型数字化界面不熟悉的挑战，应一并识别并纳入评价。评审更新。机遇研判结果宜随相关因素变化（如返工率或报废率上升）适时评审更新，确保机遇应对持续保持适用性。6.4.3评价准则与结果应用风险准则的界定。组织宜基于目标确定所能承受的风险数量和类型，界定评价风险重要性的准则并支持决策；准则宜与风险管理方针一致，反映组织价值观、目标和资源，并考虑组织义务和相关方意见；准则宜持续审视并于必要时修改。容忍度与预警线。组织宜确定风险的最低限度和不能超过的最高限度，并据此确定预警线及相应对策；评价与应对宜与组织的风险偏好和风险承受度相协调。结果应用。分析和评价结果宜用于：确定应对措施的优先级与力度；作为质量目标策划的输入（必要时通过剩余风险信息支撑更高目标绩效的设定）；对风险和机遇进行优次排序，可借助机遇研判提高或降低已识别风险的优先级，促进资源重新配置；作为过程监视测量准则和绩效指标的直接输入，分析与评价的频次由风险等级决定。6.4.4常见风险防范组织宜防范下列分析评价环节的常见问题：a）分析评价缺位。仅罗列风险或机遇而未开展分析和评价，无法按可能性与后果等研判水平，导致应对措施缺乏优先级与力度依据；b）未调查现有控制措施。未分析现有控制的有效性及其缺陷，易造成重复配置或遗漏关键控制；c）忽视组合效应。未分析风险之间的相互和依赖关系（含组合效应），或未考虑多重风险叠加情形；d）评价准则缺失。未事先界定风险准则和机遇评价维度，评价结果难以支持决策、无法追溯；e）机遇评价缺位。仅罗列机遇而未研判可行性、收益性、紧迫性与资源需求，未确定优先级。6.5应对风险的措施6.5.1措施选项与选择准则六类措施选项。组织宜对照标准注2所列措施逐项研判并选择最适宜的应对方式：a）规避风险：停止开展可能产生风险的过程（不开始或不再继续带来风险的行动）；b）为寻求机遇承担风险：如投资新的生产设备以推出新的产品线（其投资回报尚不确定）；c）消除风险源：从源头消除或降低风险，如通过形成文件的程序为经验不足的人员提供操作指引；d）改变风险的可能性或后果：实施风险缓解策略，如对仅依赖独家供方的关键产品在可行时开发第二供方或收购该供方；e）分担风险：如产量不确定时与顾客协作提前采购原材料，或通过合同约定、购买保险方式分担；f）通过信息充分的决策保留风险——基于潜在影响或应对成本，经充分研判后决定不采取措施。选择准则与决策顺序。措施选择宜根据风险的性质、严重程度和优先次序以及组织风险偏好与风险承受度确定，确保与风险对质量管理体系预期结果的潜在影响相适应；可参照“违反法律法规必须行动→违反组织政策或风险准则通常行动→健康安全按最低合理可行（ALARP）→总效益超过总成本才行动”的顺序作出应对决策，并权衡实现目标的潜在收益与付出的成本、耗费的精力或由此引发的不利后果。组合应用与批准。应对方案之间不一定是相互排斥的，可组合使用（如购买保险加实施内部措施的组合），有时一个应对措施可同时影响多个风险；超出风险偏好且拟接受的风险通常需经董事会或监督机构批准；选择方案时宜考虑相关方的价值观、认知及与其沟通协商的适宜方式。6.5.2风险应对计划的编制计划内容。组织宜将所选方案编制成风险应对计划，内容宜包括：选择应对方案的理由（含可获得的预期收益）；批准和实施计划的责任人；拟采取的措施行动（包括应急预案）；所需资源（含风险准备）；绩效考核的标准和方法；限制因素；必要的报告和监视；行动预期开展和完成的时间。实施顺序与纳入运营。应对计划宜明确实施顺序，并纳入管理计划和组织运营过程；应对可在战略会议、管理评审、内部审核、质量目标制定会议、设计开发策划及生产过程策划等场景下开展，并征询相关方意见。典型示例。某中型金属零部件制造企业的管理层识别出机加工车间唯一一台空气压缩机存在故障停运的重大风险；为缓解该风险，组织宜实施预防性维护方案保障主机持续可靠运行，并制定应急预案、增设一台小型备用压缩机，由管理层批准该策略、在资本预算中划拨专项资金并列为核心目标限期落地。6.5.3措施的整合与实施嵌入过程控制。组织宜将应对措施整合嵌入相应质量管理体系过程的策划、运行准则与控制活动，如将措施落实到过程设计、程序文件、作业指导书、资源配备与培训中，并按7.5对相关成文信息实施控制，防范措施与过程运行“两张皮”。职责与资源保障。措施宜明确责任人、经管理层批准并配置相应资源（必要时在资本预算中划拨专项资金、列为关键目标并明确完成时限），确保措施从策划走向实施。变更联动。质量管理体系变更时，组织宜同步评审和更新已整合的风险应对措施，管控变更对实现目标能力的不利影响；在某一领域采取的措施可能对另一领域造成不良影响的，宜在实施前策划缓解手段。主动预防文化。以风险应对的整合实施为契机，组织宜培育主动预防文化，聚焦优化做事方式、全面改进工作开展模式。6.5.4措施有效性的评价评价方式。对控制措施实际效果和可靠性作出的假设宜尽可能验证，可结合常规监控和检查获取信息；评价措施有效性可经过一定周期验证风险确未发生或已降至可接受水平，验证可通过观察过程绩效、评审成文信息、开展内部审核或其他策划的活动完成。评价标准与输出。组织宜设定定性的或定量的有效性标准，并按风险管理职责设置考核指标纳入绩效管理；将“应对风险所采取措施的有效性”纳入数据分析与评价（9.1.3）和管理评审输入（9.3.2），据此作出改进机会、体系变更与资源需求决定。剩余风险与循环提升。风险应对是一个循环提升的过程——制定和选择应对方案、计划和实施应对措施、评估应对措施成效、确定剩余风险是否可接受，若不可接受则采取进一步应对措施；剩余风险宜记录、监视和评审；无可用应对方案或方案不足以改变风险时，可记录并持续跟踪。6.5.5常见风险防范组织宜防范下列风险应对环节的常见问题：a）措施缺失或错配。对已分析和评价的风险未策划应对措施，或机械套用单一应对方式（如一律“加强培训”），未按风险性质作出针对性选择；b）决策依据不足。未经信息充分的研判即决定保留（接受）风险，或未权衡应对收益与成本、耗费精力及引发的不利后果；c）衍生风险忽视。实施风险应对可能产生新的风险或改变现有风险，未对此类衍生风险予以评估、应对、监督和检查；d）“两张皮”与职责资源缺位。措施停留在风险清单层面，未整合嵌入过程；或未明确责任人、未获批准、未配置资源，导致无法按期落地；e）评价缺失与剩余风险失管。措施实施后未评价有效性，对应对后仍存在的剩余风险未持续监视和评审，风险自留决定未经慎重考虑和信息充分的批准。6.6应对机遇的措施6.6.1措施选项与选择准则五类措施选项。组织宜对照标准注所列措施逐项研判并选择最适宜的应对方式：a）采用能够实现更优成果的新实践方法或运行新过程；b）基于对相关方需求和期望的评价洞察，开展研发工作以推出新产品；c）识别与自身战略方向契合的潜在合作方，进而签订正式协议，建立新的合作关系；d）应用能够提升生产效率和质量的新技术；e）实施各类举措和措施，满足顾客及其他相关方当前和不断变化的需求与期望。与环境相适应的选择准则。应对机遇的措施宜与组织所处环境相适宜，结合组织的规模与复杂性、能力与资源、战略方向确定措施的深度与力度；应对方案的确定宜权衡实现目标获得的潜在收益与付出的成本、耗费的精力或由此引发的不利后果，并考虑组织义务、自愿性承诺和相关方的价值观与观点，防止措施超出组织实际管控与承载能力。风险与机遇协同。把握机遇本身即承担不确定性，组织宜对每项机遇应对选项复核其附带的不确定性（如投资回报不确定、技术成熟度、人员适配），并与“为寻求机遇承担风险”的应对措施协同策划，实现价值创造与风险管控并举；确保承担的风险不超过组织风险偏好与风险承受度。6.6.2机遇应对计划的编制项目化策划。组织宜将所选方案编制成机遇应对计划（或项目方案），内容宜包括：选择应对方案的理由（含可获得的预期收益）；批准和实施计划的责任人；拟采取的措施行动（包括应急预案）；所需资源；绩效考核的标准和方法；限制因素；必要的报告和监视；行动预期开展和完成的时间；并通过项目论证（风险概述、根本原因、应对方案、成本效益分析、关键假设、角色责任、变化管理、实施时间表）对机遇转化方案进行比选并获得支持。伴随风险的配套控制。对机遇伴随风险，组织宜同步制定配套控制（如对数字化转型采用分阶段推行方案、配套严格的软件测试和全面的培训课程）；对创新类机遇宜评价与其活动计划相关的风险和机遇，必要时制定降低这些风险的行动计划，并使引入创新的时机与相关风险评估相匹配，在创新紧迫性与可获得资源之间达成平衡。典型示例。某中型电气设备制造企业的管理层将推行无纸化生产及质量管理体系文件系统确定为重大机遇，同时考虑了软件故障和错误可能导致合规问题或记录不完整、员工对新型数字化界面不熟悉等挑战；组织宜采用分阶段推行方案并配套软件测试与培训课程，由管理层批准项目、在资本预算中划拨专项资金并列为关键目标，明确落地时限（如18个月）。6.6.3措施的整合与实施转化为成文信息与过程要求。组织宜将机遇措施转化为程序文件、作业指导书、质量目标、改进计划、绩效指标等成文信息，纳入过程运行并按7.5受控，形成“修订后的程序文件＋有效性评价记录”的闭环输出。专项管理与领导推动。组织宜将重点机遇应对项目列为关键/核心目标，在资本预算中划拨专项资金并明确完成时限；最高管理者宜担任重点项目或专项举措的牵头人与推动者，确保措施从策划走向实施；机遇转化伴随过程、产品或体系变更时，宜按6.3对变更进行策划并保持体系完整性。渐进与突破并举。改进可通过渐进式或突破性变革、创新或重组实现，包括新过程、新产品或新服务的落地以及新兴技术的引入；组织宜运用基于机遇的思维建立主动进取文化，日常追问“还能怎样做得更好、为顾客创造更多价值”。6.6.4措施有效性的评价正向指标设计。机遇措施效果评价指标宜侧重正向改善——合格率提升了多少、周期缩短了多少、顾客满意度提高了多少，区别于风险措施“风险是否降低”的评价导向；组织宜为每项机遇措施设定跟踪指标和评审周期，从活动指标（如开展的培训活动数量）与结果指标（如绩效与风险暴露变化）两方面监测实施情况并设定阈值。验证途径与输出。评价措施有效性可经过一定周期验证机遇应对确已实现预期收益，通过观察过程绩效、评审成文信息、开展内部审核或其他策划的活动完成；将“应对机遇所采取措施的有效性”纳入数据分析与评价（9.1.3）和管理评审输入（9.3.2），并依据风险管理职责设置考核指标、纳入绩效管理。收益实证与闭环更新。组织宜以项目报告、收益数据等落地证据证明转化效果（如运营效率提升、行政工作量减少、文件丢失风险缓解）；措施未得到有效策划或实施、或已实施措施改变了既定机遇时，宜及时更新机遇清单及对应措施。6.6.5常见风险防范组织宜防范下列机遇应对环节的常见问题：a）措施口号化。识别机遇后未策划应对措施，机遇停留于头脑风暴阶段而未进入项目管理——无责任人、无时间表、无评价指标；b）类型错配。机械套用单一应对方式，未按机遇性质在采用新实践、推出新产品或服务、建立新伙伴关系、利用新兴技术、实施有关计划等类型中作出针对性选择；c）论证不足。未开展成本效益分析和项目论证即投入资源，机遇收益预期缺乏成本、效益及关键假设支撑；d）资源与时机错配。措施超出组织能力、容量与现有可用资源；未跟踪市场环境、新兴技术、法规要求的变化并对已识别机遇评审更新，机遇窗口期关闭后仍按旧清单决策；e）创新评审缺位。对拟采用的创新和新技术未评价相关收益、风险和机遇，未开展成本/收益评价与市场化评价即贸然投入。6.7对措施及风险和机遇的监视、评审与更新6.7.1监视对象与信息源监视对象。组织宜将以下内容纳入监视范围：已确定的风险和机遇及其变化；应对措施的实施进度与运行状况；剩余风险水平；关键风险指标与预警信号；机遇窗口期变化。信息源。监视信息源宜包括：监视和测量活动的结果及相关绩效指标、过程绩效数据、顾客反馈与投诉、不合格与纠正措施信息、供方表现、审核发现、员工建议及外部环境变化信息。6.7.2方法、频次与职责方法、频次与职责。组织宜将持续监视和定期检查及其结果作为过程内计划性工作的组成部分：明确监视的责任部门和责任人，设定监视频次，收集和分析信息、记录结果并提供反馈；监视和评审宜贯穿6.1全过程，其结果宜纳入组织绩效管理、考核和报告活动。6.7.3关键风险指标与预警KRI与预警线。组织宜对风险源设置定性或定量的关键风险指标跟踪变化趋势，确定风险的最低限度和不能超过的最高限度，并据此确定预警线及相应对策；当指标接近预警临界值时，宜主动预警并启动应对措施。预警机制。组织宜参照GB/T46410建立风险预警机制，明确监测、预警、响应的流程和要求，推动风险管理从事后应对转向事前预防。6.7.4评审与动态更新定期与触发式评审。组织宜定期或当内外部因素变化时（如返工率或报废率上升、法规变化、组织变更）对已识别风险和机遇进行再评审；实施纠正措施后，宜评审是否存在其他未被识别的风险和机遇、应对措施是否未得到有效策划或实施、已实施措施是否改变了既定风险和机遇，必要时更新清单及对应措施。输出与应用。监视和评审的输出宜用于：更新风险和机遇清单及应对措施；更新过程监视测量准则与绩效指标；作为数据分析与评价（9.1）、管理评审（9.3，含“改进的机会”）、持续改进（10.1）及纠正措施（10.2）的输入。6.7.5常见风险防范组织宜防范下列监视评审环节的常见问题：a）静态化。将风险和机遇研判做成一次性报告后束之高阁，未设置关键风险指标并跟踪趋势；b）再评审缺失。未按既定周期采集跨职能团队信息并汇总形成报告，因素变化后清单未更新；c）预警失灵。未确定风险限度与预警线，或指标越限后未及时响应处置；d）输出脱节。监视和评审结果未反馈到清单、措施、目标和决策，管理评审输入未引用相关输出。6.8成文信息与记录6.8.1建议的成文信息建议保留的成文信息。保留已识别风险和机遇及应对措施有效性的成文信息，可使组织获益（见4.4.1）；组织宜保留：风险和机遇的判定准则与评价方法；风险源清单、机遇清单（或风险登记表、机遇登记册）；风险和机遇分析、评价记录；应对计划及批准记录；措施整合实施证据；措施有效性评价与监视评审记录；报告与沟通记录等。控制要求。相关成文信息宜按7.5的要求实施控制（标识、格式、评审、批准、更新、版本控制、可获得性），并考虑信息的用途、敏感性及内外部环境。6.8.2证据链与审核佐证审核关注点。审核宜贯穿体系审核全过程，核查组织确定风险和机遇的输入（如4.1因素分析、战略方向、相关方信息、潜在风险源）及其评价方法的可信度，评审组织如何应对其已确定的风险和机遇；组织愿意接受的风险水平及其控制方式需审核员运用专业判断，组织宜保存风险和机遇确定、分析、评价、应对措施策划、批准、实施与有效性验证的证据。典型证据。宜包括：跨职能团队组成与研判记录；风险清单与机遇清单及其更新记录；风险矩阵或评价准则文件；应对计划与预算/目标立项证据；过程文件修订记录与培训记录；有效性评价记录（风险降低的证据、机遇收益数据）；内部审核与管理评审中的相关输入输出记录。6.9应用工具与方法6.9.1识别类工具征求相关方和专家意见类。头脑风暴法、德尔菲技术、名义小组技术、结构化或半结构化访谈、调查法，用于汇集不同领域专业知识、识别风险和机遇，并降低群体思维和过度自信等偏见。风险识别类。检查表、分层分类法；故障模式和影响分析（FMEA）、故障模式、影响和危害性分析（FMECA）；危险和可操作性（HAZOP）分析；情景分析；结构化假设分析技术（SWIFT）。原因分析与系统扫描类。石川分析（鱼骨）法；SWOT分析、PESTLE分析；红队策略；多重环境扫描与弱信号监测（用于新兴风险识别）。6.9.2分析和评价类工具后果与可能性分析类。后果-可能性矩阵（风险矩阵或热图）、风险指数；事件树分析（ETA）、故障树分析（FTA）；业务影响分析（BIA）、贝叶斯分析、蒙特卡罗模拟分析；人因可靠性分析（HRA）。控制分析与依赖分析类。蝴蝶结分析、危险分析和关键控制点法（HACCP）、保护层分析法（LOPA）；因果映射、交叉影响分析。评价与记录类。最低合理可行（ALARP）和在合理可行范围内（SFAIRP）；频率-数量（F-N）图、帕累托图、以可靠性为中心的维修（RCM）；简易评分法；风险登记表、S曲线。6.9.3应对决策类工具方案比选类。风险应对方案工作表（备选方案—优势—劣势—结论）、成本/收益分析（CBA）、决策树分析、博弈论、多标准分析（MCA），用于应对选项之间的选择并形成可追溯的决策记录。实施与韧性类。应急预案与备用资源配置、预防性维护方案、业务连续性安排；项目论证（风险概述、根本原因、应对方案、成本效益分析、关键假设、角色责任、变化管理、实施时间表）。改进类。六西格玛、改善（Kaizen）、自我评价模型；PDCA循环贯穿全程。6.9.4工具的选择与组合应用选择依据。组织宜依据背景环境与决策需求选用适宜技术组合：明确评估目的和范围及所需输出（定性/半定量/定量）；考虑利益相关者参与和人员、组织、社会因素；检查决策准则（风险偏好、风险承受能力、ALARP/SFAIRP等）。局限与注意事项。充分考虑人员、模型及数据局限性：不宜假设过去数据继续适用于未来；只有在所选度量指标允许时才能使用数学运算，数学运算不宜与排序量表一起使用；综合使用多种技术通常能提供更合理的观点；即使完全定量分析，输入值往往也是估计值。方法来源与定制。组织宜参照GB/T27921选择风险评估技术，参照GB/T24353、ISO31000确立风险管理原则与过程，参照GB/T19019选用质量工具，并结合自身环境、特定领域进行定制化调整；所选方法宜被一致、有效地应用。附件A（资料性）风险和机遇识别、分析与评价表附件A.1风险和机遇识别、分析与评价表（模板）序号条款子项输入来源（4.1因素/4.2要求/其他）风险和机遇描述类别（风险/机遇/兼有）可能性后果或有益影响等级或优先序责任部门/岗位备注A-016.1.14.1因素：…………A-026.1.14.2要求：…………附件B（资料性）风险和机遇应对措施策划与实施表附件B.1风险和机遇应对措施策划与实施表（模板）序号关联风险和机遇编号应对方案类型（规避/为寻求机遇承担风险/消除风险源/改变可能性或后果/分担/保留；新实践/新产品或服务/新合作关系/新兴技术/有关计划）应对措施与行动计划（含应急预案）所需资源责任人及批准权限完成时限整合的过程/文件监视与报告方式B-01A-01……B-02A-02……附件C（资料性）应对措施有效性评价表附件C.1应对措施有效性评价表（模板）序号对应措施编号评价指标（风险：风险是否降低/未发生；机遇：正向改善）指标现状评价方法与证据评价结论剩余风险是否可接受更新内容责任人日期C-01B-01…………C-02B-02…………附件D（资料性）风险和机遇监视、评审与更新记录表附件D.1风险和机遇监视、评审与更新记录表（模板）序号监视对象（风险/机遇/措施/因素）监视指标或信息源频次指标现状（红/黄/绿）评审结论措施或更新内容责任人日期D-01…………D-02…………附件E（资料性）“6.1应对风险和机遇的措施”条款（过程）风险和机遇清单附件E.1“6.1应对风险和机遇的措施”条款（过程）风险和机遇清单附件E.1-1:“6.1应对风险和机遇的措施-6.1.1确定风险和机遇”条款（过程）风险和机遇清单6.1.1条款/过程6.1.1条款（过程）对应风险清单6.1.1条款（过程）对应机遇清单总要求：在策划质量管理体系时，组织应考虑4.1所提及的因素和4.2所提及的要求，并确定需要应对的风险和机遇，以：a）确保质量管理体系能够实现其预期结果；b）预防或减少不利影响；c）实现持续改进；d）增强有利影响（1）组织与方法风险：未由最高管理者授权成立涵盖销售、生产、质量、工程与采购等部门的跨职能团队，过度依赖单一视角或单部门判断导致研判片面；确定工作委派单人且未向更广泛团队汇报，识别薄弱或不全面；

（2）识别输入不完整风险：未以4.1外部和内部因素（PESTLE外部因素，以及产品和服务提供、基础设施与环境、人员与行为、组织知识、沟通、运行因素、不合格等内部因素）及4.2相关方要求作为直接输入，策划输入不完整；仅关注负面偏离、忽视“影响”也可能为正面偏离，将正面偏离一律排除在风险研判之外；

（3）力度与视野错配风险：确定和评审风险的力度与组织实际需求不匹配，造成资源浪费或覆盖不足；仅关注财务与运营因素、忽视社会政治技术与环境影响，仅聚焦当前问题而错失战略层面因素，未纳入中长期趋势（如人口结构变化、技术迭代），且未在实体、部门、职能和过程各层面全面开展识别；

（4）结构化方法缺失风险：未采用头脑风暴、调查法、SWOT/PESTLE、FMEA、FMECA、SWIFT、HACCP、ALARP、后果-可能性矩阵、风险指数、蝴蝶结分析等工具，识别时未考虑有形和无形风险源、脆弱性和应对能力、新兴风险、知识局限与信息可靠性、识别人员偏见等因素，或未形成风险登记表（含风险性质、发生概率、影响、责任者、缓解措施及剩余风险）；

（5）核心目的（a项）风险：未识别实现质量目标的风险，以及确保监视和测量过程足以有效评价产品和服务符合性、保障内部审核有效性等相关风险；未研判组织在中断事件发生期间及恢复后持续提供合格产品和服务能力的风险；

（6）评审失效风险：未对已识别风险进行评审，各类因素（如返工率或报废率上升）变化后风险清单未更新，导致风险失去控制且应对措施不再适用；

（7）分析与排序风险：未调查现有控制措施及其有效性，未分析后果与可能性及风险之间相互依赖关系（含组合效应）以确定风险等级并按适应性、复杂性、速度、持续性、恢复等准则排序，使6.1.2应对措施策划缺乏输入依据；

（8）特有风险形态：对单一领域专家知识、独家外部供方物料等“单点故障（SPOF）”依赖未被识别；或将超出质量管理体系范围且无法通过该体系实际管控的风险误列为需应对风险；措施与可用资源及风险程度不匹配；

（9）成果应用风险：研判结论未共享、未落地应用，未作为6.1.2应对措施、6.2质量目标策划及9.3.2管理评审的直接输入，识别活动流于形式；未保留成文信息，审核中缺乏风险确定过程可信度的证据；

（10）方法认知风险：误认为必须采用正式风险管理方法或形成文件化风险管理过程导致过度文件化，或走向另一极端完全不做识别，未根据自身环境选择GB/T24353、GB/T27921等适宜方法（1）由最高管理者授权成立涵盖销售、生产、质量、工程与采购等部门的同一跨职能团队，在确定风险的同时同步识别机遇，逐项研判各输入中可能对体系绩效及预期结果产生有益效应的要素或条件，形成“风险源清单”与“机遇清单”，实现风险与机遇通过各自独立的过程分别确定和应对；

（2）识别输入机遇：以4.1内外部因素和4.2相关方要求为输入，通过对组织内外部环境的评估识别机遇，评估维度覆盖相关方需求和期望、组织能力、容量与胜任力、监视和测量活动结果及相关绩效指标；

（3）持续改进机遇（c项）：识别实现产品和服务符合性提升、顾客满意度增强以及质量管理体系持续改进的机遇，从绩效数据、不合格信息与审核发现中识别改进领域，建立主动预防与持续改进的文化；

（4）增强有利影响机遇（d项）：重点覆盖增强预期效果方向，包括实施新过程、优化现有过程、消除冗余过程、应用新技术、推出全新或改进型产品和服务相关的机遇；

（5）机遇来源机遇：关注市场环境变化、新兴技术、法规要求更新等对体系绩效的提升作用；捕捉组织及其质量管理体系变更中表明存在推动改进的潜在机遇的变更信号；

（6）示例化机遇类型：发掘新顾客、明确市场对新产品或新服务的需求、通过引入新技术改进或替代现有过程、采用新的实践方法、推出新产品、识别与战略方向契合的潜在合作方建立新的合作关系，或利用新技术及其他措施满足顾客及其他相关方当前和不断变化的需求与期望，并与组织战略方向保持一致；

（7）风险-机遇双向转化机遇：对判定为负面的因素复核其蕴含的机会（如法规加严催生合规能力建设与产品升级需求、竞争压力催生差异化定位、供应链中断风险推动开发第二供方进而形成新的合作机遇）；研判机遇时同步识别并评价机遇伴随的风险及其对体系的潜在影响，按“承担风险以把握机遇”路径决定是否把握；

（8）新兴扫描机遇：采用情景分析等富有想象力的思考技术及多样化信息来源持续扫描环境变化，将新兴技术、新兴市场纳入机遇清单并动态治理；在适宜且可行前提下开展对标研究，借鉴同行高效实践；

（9）评审与更新机遇：对已识别机遇进行评审（如返工率或报废率上升等因素变化时再评审），将监视测量结果及绩效指标作为机遇再识别的常设输入，动态更新机遇清单，确保应对措施持续保持适用性；

（10）场景嵌入与输出衔接机遇：在战略会议、管理评审、内部审核、质量目标制定会议、设计开发策划及生产过程策划等场景下开展机遇识别与应对，将识别出的机会传达给管理层作为战略和目标设定考虑内容；将机遇清单作为6.1.3应对机遇措施的直接输入，衔接6.2质量目标策划与9.3.2管理评审，并保留成文信息作为审核佐证附件E.1-2:“6.1应对风险和机遇的措施-6.1.2应对风险的措施”条款（过程）风险和机遇清单6.1.2条款（过程6.1.2条款（过程）对应风险清单6.1.2条款（过程）对应机遇清单总要求：组织应确定、分析和评价可能对其持续、稳定地提供合格产品和服务以及增强顾客满意的能力产生不利影响的风险（1）分析评价缺位风险：仅罗列风险而未开展分析和评价，未按可能性与后果的组合研判风险水平，导致应对措施缺乏优先级与力度依据；

（2）范围错置风险：将超出质量管理体系范围、且无法通过该体系实际管控的风险纳入应对清单，造成资源空耗；对“单点故障（SPOF）”（如依赖单一领域专家知识、独家外部供方提供物料）这类特有风险形态未予识别；

（3）中断能力盲区风险：评价风险并确定应对措施时，未考虑组织在中断发生期间及中断恢复后提供合格产品和服务的能力，中断情景（如关键设备故障停运导致生产全面停滞）未被纳入；

（4）输入脱节风险：未以4.1内外部因素和4.2相关方要求为输入确定和分析风险，或未对已识别风险进行评审更新（如返工率、报废率上升等变化）；

（5）资源错配风险：确定应对措施时未充分考虑现有可用资源，措施与组织实际承受能力不匹配；

（6）成文信息缺失风险：未保留已识别风险及应对措施有效性的成文信息，无法支持过程运行（4.4.1）并为后续有效性评价、审核和管理评审提供证据；（1）结构化研判机遇：对已识别风险逐项开展可能性与后果分析，运用头脑风暴、SWOT、PESTLE、FMEA、FMECA、SWIFT、HACCP、ALARP、后果-可能性矩阵、风险指数、蝴蝶结分析等工具形成风险等级，为措施优选提供依据；

（2）中断韧性机遇：以中断情景评估为切入点，识别预防性维护、备用设备、应急预案、业务连续性安排等改进机会，使体系在中断事件下仍能持续实现预期结果；

（3）SPOF治理机遇：将单点故障排查转化为过程健壮性与供应链多元化改进机会（如开发第二供方或收购独家供方）；

（4）动态评审机遇：将风险评审与9.1.3分析评价及10.2纠正措施（必要时更新风险和机遇清单）联动，保持风险清单持续适用；

（5）过程准则输入机遇：将风险确定、分析和评价结果作为过程监视测量准则、绩效指标（4.4.1d)）的直接输入，分析与评价频次由风险等级决定；

（6）成文信息受益机遇：保留已识别风险及应对措施有效性的成文信息，形成可追溯的组织知识资产；a)应对这些风险的措施（1）措施缺失风险：对已分析和评价的风险未策划应对措施，风险识别与应对“断链”，6.1.1沦为“纸上谈兵”；

（2）类型单一错配风险：机械套用单一应对方式（如一律“加强培训”），未根据风险性质在规避、消除风险源、改变可能性或后果、分担、保留等措施中作出针对性选择；

（3）决策依据不足风险：未经信息充分的研判即决定保留（接受）风险，或未权衡应对收益与成本、耗费精力及引发的不利后果；

（4）衍生风险忽视风险：实施风险应对可能产生新的风险或改变现有风险，未对此类衍生风险予以评估、应对、监督和检查；

（5）方案组合缺失风险：应对方案并非相互排斥却未组合应用，错失更优的综合应对方案；

（6）相关方接受度忽视风险：未考虑相关方的价值观、认知及与其沟通协商的适宜方式，所选应对方案难以被关键相关方接受；（1）分类施策机遇：依据风险性质优选措施组合——规避（停止产生风险的过程）、消除/降低风险源（如通过形成文件的程序为经验不足人员提供操作指引）、为寻求机遇承担风险（如投资新设备推出新产品线）、分担（与顾客协作提前采购原材料、合同约定、购买保险）、知情接受、缓解（改变可能性或后果，如开发第二供方）；

（2）决策顺序机遇：按“违反法律法规必须行动→违反组织政策或风险准则通常行动→健康安全按最低合理可行（ALARP）→总效益超过总成本才行动”的顺序作出应对决策；

（3）工具化比选机遇：采用风险应对方案工作表（备选方案—优势—劣势—结论）对备选方案逐项比选，形成可追溯的决策记录；

（4）供应链专项机遇：采用多个供货源、缓冲库存、提高质量标准、加强产品接收检验、培训等针对性应对措施；

（5）分级应对机遇：按风险严重性与风险偏好配置对策——灾难级和高风险制定行动计划并投资应对，中低风险接受并监测其重大变化；b)1)在质量管理体系过程中整合并实施这些措施（1）“两张皮”风险：应对措施停留在风险清单层面，未整合嵌入相应质量管理体系过程的策划、运行准则与控制活动，措施与过程运行脱节；

（2）职责资源缺位风险：措施未明确责任人、未获管理层批准、未在预算中划拨资源，导致措施无法按期落地；

（3）场景脱节风险：未在战略会议、管理评审、内部审核、质量目标制定会议、新产品设计开发策划、生产过程策划等场景开展风险应对，整合实施流于形式；

（4）过程管理脱节风险：未按4.4.1确保针对过程相关风险制定的应对措施得到有效实施，“有策划、无落实”；

（5）变更失效风险：质量管理体系变更过程中未同步评审和更新已整合的风险应对措施，变更对实现目标能力的不利影响未被管控；（1）文件化嵌入机遇：将应对措施转化为程序文件、作业指导书、过程控制准则、绩效指标、应急预案等成文信息，实现与过程运行一体化并按7.5受控；

（2）专项管理机遇：借鉴最佳实践，将措施列为关键/核心目标、在资本预算中划拨专项资金并明确完成时限（如要求六个月内落地），确保措施从策划走向实施；

（3）主动预防文化机遇：以风险应对的整合实施为契机建立主动预防文化，聚焦优化做事方式、全面改进工作开展模式；

（4）领导推动机遇：最高管理者采取主动管理模式，确保策划形成应对风险的措施并向其同步结果监视情况，适当时介入处置影响预期结果实现的障碍；b)2)评价这些措施的有效性（1）评价缺失风险：措施实施后未评价有效性，风险实际未被降低而组织不自知，构成体系运行“盲区”；

（2）方法不当风险：缺乏评价原则、评价方案与评价团队，未采用残余风险评价与成本效益评价等适宜方法，或评价周期不足难以验证措施真实效果；

（3）剩余风险失管风险：对应对后仍存在的剩余风险未持续监视和评审，风险接受（自留）决定未经慎重考虑和信息充分的批准；

（4）输出脱节风险：有效性评价结果未作为9.1.3分析与评价、9.3.2管理评审的输入，未用于更新风险和机遇清单及应对措施；

（5）跨域影响忽视风险：未判断某一领域采取的措施是否对组织另一领域造成不良影响，措施实施前未策划缓解手段；（1）多渠道验证机遇：通过观察过程绩效、评审成文信息、开展内部审核或其他策划的活动验证措施有效性，形成客观证据；

（2）双维评价机遇：从“降低事件发生可能性”和“减少事件影响后果”两个方面评价措施有效性，并辅以残余风险评价方法和效益（成本效益比）评价方法；

（3）管理评审联动机遇：将“应对风险所采取措施的有效性”作为管理评审的独立输入项，据此作出改进机会、体系变更与资源需求决定；

（4）审核确认机遇：在内部审核结论中涵盖风险识别情况与应对风险所采取措施的有效性，识别趋势并推动改进；

（5）闭环更新机遇：当措施未得到有效策划或实施、或已实施措施改变了既定风险时，及时更新风险和机遇清单及对应应对措施，形成PDCA闭环；适应性与注项要求：应对风险的措施应与风险对质量管理体系预期结果的潜在影响相适应（注1：中断风险；注2：措施类型）（1）力度错配风险：措施与风险的潜在影响不相适应——对高风险应对投入不足，或对低风险过度投入造成资源浪费，未体现“相称性”原则；

（2）中断风险低估风险：忽视注1要求，未将与中断期间和中断之后提供合格产品和服务能力相关的风险（如供方失效、网络攻击、极端天气、公用设施故障、关键人员缺位）纳入风险清单与应对范围；

（3）措施类型误用风险：混淆注2所列措施类型的适用条件（如对本应缓解的重大风险以“接受”处理，或对风险源明确可消除的情形仅作缓解）；

（4）形式化合规风险：仅满足“有措施”的形式要求，未基于风险对体系预期结果的影响程度作出力度判断，难以向审核方证明相称性判断过程；（1）相称性配置机遇：以风险水平（后果与可能性的组合）为标尺匹配应对力度，高风险构建嵌入过程的控制、低风险实施监视，实现资源投入与风险影响的相称；

（2）中断应对示范机遇：借鉴示例——对唯一空气压缩机故障停运风险实施预防性维护方案＋新增备用压缩机应急预案＋管理层批准并划拨专项资金限期落地，将“相称性”原则落实为可复制做法；

（3）措施标准菜单机遇：将注2六类措施（规避风险、为寻求机遇承担风险、消除风险源、改变可能性或后果、分担风险、经信息充分的决策保留风险）作为措施研判的标准清单，确保应对方案研判全面、不遗漏；附件E.1-3:“6.1应对风险和机遇的措施-6.1.3应对机遇的措施”条款（过程）风险和机遇清单6.1.3条款（过程6.1.3条款（过程）对应风险清单6.1.3条款（过程）对应机遇清单总要求：组织应确定、分析和评价可能对其持续、稳定地提供合格产品和服务以及增强顾客满意的能力产生有利影响的机遇（1）机遇识别缺失风险：只识别风险不识别机遇，机遇栏目空白，或以“持续改进顾客满意”等套话敷衍应付，机遇管理沦为“配角”；

（2）分析评价缺位风险：仅罗列机遇而未开展分析和评价，未研判可行性、收益性、紧迫性与资源需求，未确定机遇优先级，机遇把握无从决策；

（3）战略脱节风险：识别的机遇未与组织战略方向保持一致，机遇转化偏离宗旨和方向；

（4）来源单一风险：仅凭单一视角或临时讨论识别机遇，未覆盖市场条件变化、新兴技术、法规要求、相关方需求和期望、监视测量活动结果及相关绩效指标等机遇来源；

（5）伴随风险忽视风险：研判机遇时未识别并评价机遇伴随的风险及其对质量管理体系的潜在影响，盲目把握机遇引发新问题（如数字化转型中的合规与人员适应风险）；

（6）成文信息缺失风险：未保留已识别机遇及应对措施有效性的成文信息，机遇转化过程与收益缺乏可追溯证据；（1）双轨独立机遇：机遇在2026版独立成条（6.1.3），与风险通过各自独立的过程分别确定和应对，单独建立机遇登记册并配置独立评价准则，避免机遇被当作“风险的正面”附带处理；

（2）多维评估机遇：从可行性（技术能否实现）、收益性（质量改善或效率提升程度）、紧迫性（窗口期长短）、资源需求四个维度评估，将机遇分为“优先追求、条件成熟后追求、持续关注、暂不处理”四类；

（3）来源扩展机遇：从内外部因素（市场条件、法规、技术变化）、相关方需求和期望、组织能力容量与胜任力、监视测量结果及绩效指标、审核发现、顾客反馈投诉、员工建议、水平对比等多元渠道识别机遇；

（4）伴随风险联动机遇：把握机遇前同步识别评价其伴随风险，并以分阶段推行、严格测试、全面培训等配套措施保障机遇转化成功（如无纸化转型示例）；

（5）双向研判机遇：采用SWOT、PESTLE、情景分析、简易评分法等工具研判——一方机会可能对另一方构成威胁，抓住或不抓住机会都是风险的来源，实现风险与机遇的联动转化分析；

（6）输出衔接机遇：将机遇清单作为6.2质量目标策划、10.1持续改进及9.3.2管理评审“改进的机会”（e)）的直接输入，覆盖新过程、优化现有过程、消除冗余过程、应用新技术、推出全新或改进型产品和服务等方向。a)应对这些机遇的措施（1）措施缺失或口号化风险：识别机遇后未策划应对措施，机遇停留于头脑风暴阶段而未进入项目管理——无责任人、无时间表、无评价指标，最终不了了之；

（2）类型单一错配风险：机械套用单一应对方式，未按机遇性质在采用新实践、推出新产品或服务、建立新伙伴关系、利用新兴技术、实施有关计划等类型中作出针对性选择；

（3）论证不足风险：未开展成本效益分析和项目论证即投入资源，机遇收益预期缺乏成本、效益及关键假设支撑，难以赢得管理层与相关方认同；

（4）资源错配风险：确定机遇措施时未考虑组织能力、容量与现有可用资源，措施超出组织承受能力导致延误或失败；

（5）时机错失风险：未跟踪市场环境、新兴技术、法规要求的变化并对已识别机遇进行评审更新，机遇窗口期关闭后仍按旧清单决策；

（6）创新评审缺位风险：对拟采用的创新和新技术未评价相关收益、风险和机遇，未开展成本/收益评价与市场化评价即贸然投入；（1）措施菜单机遇：按注所列类型建立措施标准清单——采用能够实现更优成果的新实践方法或运行新过程、基于相关方需求洞察开展研发推出新产品、识别与战略契合的潜在合作方并签订正式协议建立伙伴关系、应用提升生产效率