ISO9001-2026标准“9.1.1（监视、测量、分析和评价）总则”条款（过程）风险管理应用专业操作指南（雷泽佳编制）

ISO9001-2026“9.1.1（监视、测量、分析和评价）总则”条款（过程）风险管理应用专业操作指南(雷泽佳编制)ISO9001-2026“9.1.1（监视、测量、分析和评价）总则”条款（过程）风险管理应用专业操作指南(雷泽佳编制)9绩效评价9.1监视、测量、分析和评价9.1.1总则9.1.1.1条款目的和意图9.1.1.1.1条款目的指导组织将基于风险的思维和基于机遇的思维融入“9.1.1总则”条款（过程）的实施，系统确定监视、测量、分析和评价的对象、方法、时机以及结果分析与评价的安排，评价质量管理体系的绩效和有效性，确保成文信息作为结果的证据可获取，使组织能够可靠判定是否正在实现预期结果，并为应对风险和机遇、推动持续改进提供可靠的证据基础。9.1.1.1.2条款意图1）建立判定基线：本条款旨在确保组织开展监视、测量、分析和评价工作，使组织能够判定是否正在实现预期结果；未开展此项工作或开展不充分，组织无从判定是否实现预期结果，体系运行将处于“盲区”。2）构建“四位一体”总架构：系统建立“确定对象—确定方法—确定时机—确定分析评价时机”的监视、测量、分析和评价总架构，为绩效评价和有效性评价提供证据基础。3）实现绩效与有效性双维评价：分别以“绩效”评价组织可测量的结果，以“有效性”评价策划的活动得到实施、策划的结果得到实现的程度，形成双维度评价体系，防止将绩效指标与有效性评价混同。4）支撑循证决策与PDCA闭环：监视和测量提供可用于分析和评价的数据和信息；本条款的输出直接衔接6.1应对风险和机遇、9.1.2顾客满意、9.1.3分析与评价、9.2内部审核、9.3管理评审和10.1持续改进，作为“检查（Check）”环节的核心落点支撑“处置（Act）”环节的决策与改进。5）体现风险与机遇分线管控：ISO9001-2026将应对风险与应对机遇的策划及有效性评价分列，本条款的实施宜相应建立风险类与机遇类监视对象的分别确定、分别管理与分别评价机制，防止将两类对象混同处理。6）保持动态适配与证据支撑：监视和测量的方法可能受外部和内部因素变化、相关方要求以及组织战略方向的影响，组织宜同步评审和更新监视测量安排，使评价体系与战略方向保持一致；成文信息作为结果的证据应可获取。9.1.1.2与相关条款的接口相关条款接口关系4.1理解组织及其环境监视和测量活动的结果及相关绩效指标是机遇再识别的常设输入；内外部因素信息的变化是监视测量安排再评审的触发输入。4.4质量管理体系及过程组织宜为每一过程确定包括监视、测量和相关绩效指标在内的准则和方法；检查点根据过程步骤和相关风险确定。5.1领导作用与承诺最高管理者促进基于风险的思维和基于机遇的思维，授权成立监视测量策划跨职能团队，并对质量管理体系的有效性负责。6.1应对风险和机遇的措施监视测量对象的确定作为风险与机遇应对的组成部分实施；“监视测量对象与风险监控清单”和“机遇类监视对象清单”分别作为6.1.2应对风险、6.1.3应对机遇的直接输入；应对风险和应对机遇所采取措施的有效性分别评价。6.2质量目标及其实现的策划以质量方针和质量目标为评价标尺；关键绩效指标宜准确可靠、与战略和目标相一致并适当逐级分解；质量目标宜可测量、可监视并有评价结果的方式。7.1.5监视和测量资源按对象风险和关键程度配置监视测量资源并实施维护控制；保持测量结果溯源，标识校准状态，防止设备失效。7.5成文信息监视、测量、分析和评价结果的成文信息按成文信息控制要求管理，确保可获取、受保护；成文信息类型与范围的详略程度按基于风险的思维确定。8运行运行策划和控制的要求是确定监视和测量内容的重要输入；在中断期间和中断后提供合格产品和服务能力相关的风险征兆宜纳入监视。9.1.2顾客满意顾客满意监视纳入9.1总体安排，其获取、监视和评审顾客满意信息的方法与结果进入分析与评价。9.1.3分析与评价本条款确定的监视测量数据信息是分析评价的输入；分析评价结果反馈用于再评审监视测量安排；应对风险和应对机遇所采取措施的有效性分别评价（见9.1.3的e）项和f）项）。9.2内部审核组织宜以评价质量管理体系绩效和有效性为目的策划内部审核方案，按过程而非按条款策划审核；审核结果作为分析与评价的数据来源之一。9.3管理评审监视和测量结果是管理评审必列输入项；绩效和有效性评价结论汇总形成报告作为管理评审输入。10.1持续改进分析评价结果作为确定改进机遇的直接输入，支撑渐进式或突破性改进。9.1.1.3关键术语与概念基础1）风险：不确定性对目标的影响。影响是指偏离预期，偏离可能是正面和/或负面的，可能带来机会和威胁；风险通常可用风险源、潜在事件及其后果和可能性来描述。2）机会（机遇）：预期有利于实现目标的情景或情景组合。抓住或不抓住机会都是风险的来源；错失机遇本身构成风险，组织宜将机遇窗口期、机遇实现概率等要素与风险对象一并纳入确定范围。3）风险源：可能单独或共同引发风险的要素或要素的集合。4）可能性与后果：可能性是某件事发生的机率；后果是某事件对目标的影响结果，对目标的影响可能是正面的，也可能是负面的；风险等级以后果和可能性的组合来描述。5）风险准则：评价风险重要性的依据，其确定需要基于组织的目标、外部环境和内部环境，并宜持续审视、动态更新。6）监督（监视）与检查（评审）：监督是以识别当前状态与要求或期望绩效的差距，持续地检查、监控、观察或确认状态的活动；检查（评审）是为实现既定目标而进行的决定某一事项的适宜性、充分性和有效性的活动。7）风险预警：依据风险指标值及所处的预警区间、预警频率，对尚未确定但可能出现的正常或异常风险状态发出预先警示的行为或活动。8）风险知情决策：考虑了与决策相关风险的知识和信息，以及风险是否在可接受水平的决策方法或流程，也称“基于风险的决策”。9）绩效与有效性：按照“9.1.1总则”条款及其应用指南的界定，“绩效”指组织可测量的结果；“有效性”指策划的活动得到实施、策划的结果得到实现的程度。10）监视与测量：以“监视”确定体系、过程或活动的状态（包括产品或服务状态），以“测量”确定量值（包括顾客满意、过程绩效等无形维度，可采用信息技术系统收集分析数据），实现定量与定性全覆盖。9.1.1.4总则9.1.1.4.1基本原则组织应用本指南宜遵循：a）融合性原则：监视、测量、分析和评价应与组织的战略设定、经营管理与业务流程相结合，嵌入质量管理体系各过程和职能，防止与既有管理活动相脱节。b）全面性原则：覆盖所有的风险类型、业务流程、操作环节和管理层级与环节；监视对象宜覆盖质量管理体系建立及其过程、质量目标、运行策划和控制、顾客满意、分析和评价、内部审核以及管理评审等相关条款所规定的要求。c）重要性原则：对风险进行评价，确定需重点管理的风险并有针对性地实施重点监测、及时识别与应对；对重大风险和关键业务流程实施重点监测，同时避免监视不足（遗漏高风险对象）与过度监视（资源浪费）两种偏差。d）平衡性原则：权衡风险与回报、成本与收益之间的关系，方法宜与风险程度相匹配，使监视投入与风险相匹配。e）双向研判原则：对监视、测量、分析和评价对象按风险与机遇双栏分别确定、分别管理、分别评价，防止只识别风险不识别机遇，也防止将机遇混入风险一并笼统评价。f）动态迭代原则：将确定、监视、评审作为持续性活动；当内外部环境变化时，风险可能出现、变化或消失，监视测量方法可能受内外部因素变化、相关方要求以及组织战略方向的影响，组织宜同步评审和更新监视测量安排，并对风险进行再评审。g）循证决策原则：基于数据和信息的分析评价开展决策，改进决策过程、提升对过程绩效和目标实现能力的评估水平、提高运行的有效性和效率。9.1.1.4.2组织与职责1）最高管理者：按最高管理者“促进基于风险的思维和基于机遇的思维”的要求，授权成立监视测量策划跨职能团队；对质量管理体系的有效性负责，定期评审体系有效性，及时处置反映体系缺陷与薄弱环节的问题，不将有效性责任转由管理者代表或单一部门承担。2）监视测量策划跨职能团队：成员宜涵盖质量、生产、工程、采购、信息技术、销售/服务等部门，负责监视、测量、分析和评价对象、方法、时机及分析评价安排的系统确定与维护，并同步识别风险类与机遇类对象；采用跨职能方法获得均衡判断，防止过度依赖单一视角。3）过程所有者：承担本过程监视测量对象的确定与维护，按过程步骤和相关风险设置检查点；对需监视的风险逐项记录其风险源、发生可能性、对目标的影响、责任者、缓解措施及缓解后的剩余风险，形成“监视测量对象与风险监控清单”（风险登记表），并定期监视保持更新。4）数据分析和评价团队：负责监视和测量数据与信息的收集、分析、评价和报告；可参照三道防线（三线）模型界定治理机构、管理层与内部审计在数据分析与风险管控中的职责分工与协同机制。5）风险管理职能部门与绩效考核部门：风险管理职能部门负责风险预警设计与监督工作、定期评价风险预警工作成效，并定期对各职能部门和业务部门的风险管理实施情况和有效性进行考核，形成考核结论并出具考核报告，及时报送管理层和绩效管理部门；绩效考核部门对风险预警设计和执行情况、风险预警成效等内容进行考核。9.1.1.4.3工作程序组织宜按下列步骤开展：a）建立组织与职责（见9.1.1.4.2）；b）确定需要监视和测量的对象，分别形成风险类与机遇类监视对象清单（见9.1.1.5）；c）确定适用的监视、测量、分析和评价的方法，并配置相应资源（见9.1.1.6）；d）确定实施监视和测量的时机与频次（见9.1.1.7）；e）确定对监视和测量结果进行分析和评价的时机与形式（见9.1.1.8）；f）评价质量管理体系的绩效和有效性，分别评价应对风险和应对机遇所采取措施的有效性（见9.1.1.9）；g）确保成文信息作为结果的证据可获取，输出并衔接6.1、9.1.2、9.1.3、9.2、9.3和10.1，持续改进（见9.1.1.10、9.1.1.12）。注：作为操作性补充，组织可参照六步法落地：①识别对产品和服务符合性、顾客满意或风险具有显著影响的过程与活动；②确定待监视活动的关键特性；③选择测量关键特性的适宜方式；④记录绩效、控制与符合性数据；⑤确定测量频次；⑥建立管理评审与报告机制。9.1.1.5确定需要监视和测量的对象（对应条款a项）9.1.1.5.1判定准则与识别输入1）判定准则：组织宜结合质量管理体系过程清单和质量目标，优先确定对质量管理体系实现预期结果、质量目标实现、过程输出合格及顾客满意能力影响大的对象；在确定监视和测量的内容时，宜考虑其他条款所规定的要求，例如质量管理体系的建立及其过程、质量目标、运行策划和控制、顾客满意、分析和评价、内部审核以及管理评审，逐项映射形成“要求—对象”对照清单，确保覆盖完整。2）识别输入：以风险和机遇为确定监视和测量对象的首要输入——对需监视的风险逐项记录其风险源、发生可能性、对目标的影响、责任者、缓解措施及缓解后的剩余风险；同步识别对体系绩效产生有益影响的情形类对象（机遇类对象），将机遇实现的先决条件与关键成功因素纳入监视范围。3）方案设计依据：监视与测量方案的设计宜依据：业务目标与目的的测量指标和目标值；支撑运行过程及支持过程能力的参数；过程风险与机遇，以及为确保风险管控、机遇实现所建立的控制措施；固有过程控制及配套测量指标；业务目标、合规履约等驱动因素与成功结果之间的关联及潜在相互依存关系。9.1.1.5.2监视和测量对象的覆盖范围监视对象宜覆盖（但不限于）下列重点领域：a）实现质量目标的风险与机遇；b）“监视和测量过程本身足以有效评价产品和服务符合性”的风险与机遇；c）产品和服务的符合性（可通过不合格率、报废率、返工率、准时交付率、订单履约情况等体现；服务可通过排队时长、顾客问题解决情况、服务获取便捷性、现场管理等体现）；d）顾客反馈与顾客满意（按9.1.2接口监视）；e）质量管理体系的绩效和有效性（可通过质量目标相关策划措施的完成状态等体现）与策划实施的有效性；f）不合格与纠正措施、外部供方绩效（可通过准时交付率、质量水平、拒收率等体现）；g）关键设备与基础设施、外包过程、合规义务；h）在中断期间和中断后提供合格产品和服务能力相关的风险征兆。注：确定对象时宜区分“监视”与“测量”，并区分滞后指标与领先（预测性）指标——在缺陷率、顾客投诉等滞后指标基础上，补充采用过程稳定性、培训有效性、未遂事件等领先指标，识别潜在根本原因，提前预防问题发生。9.1.1.5.3基于风险的思维应用要点1）建立组织与职责：由最高管理者授权成立由质量、生产、工程、采购、信息技术等部门组成的监视测量策划跨职能团队，指定各过程所有者承担本过程监视测量对象的确定与维护；监视测量对象的确定作为风险与机遇应对的组成部分实施。2）以风险为确定监视测量对象的首要输入：优先确定对质量管理体系实现预期结果、质量目标实现、过程输出合格及顾客满意能力影响大的对象；为每一过程确定包括监视、测量和相关绩效指标在内的准则和方法，检查点根据过程步骤和相关风险确定；形成“监视测量对象与风险监控清单”（风险登记表），并定期监视保持更新。3）结构化识别应监视的风险对象：可采用头脑风暴、SWOT、PESTLE等分析技术及FMEA、FMECA、SWIFT、检查表等风险评估技术（按GB/T27921-2023选择适用技术）识别风险源与潜在事件；按GB/T23694-2024统一“风险”“风险源”“可能性”“后果”等术语口径，防范因术语歧义导致对象确定遗漏或偏差。4）警惕监视对象特有的风险形态：警惕“单点故障”类对象遗漏——如依赖单一供方、单一设备、单一关键人员的过程未被纳入监视；避免纳入超出质量管理体系范围且无法通过该体系实际管控的对象；按新兴风险管理的持续环境扫描要求，捕捉薄弱信号与早期预警，将新兴风险及时纳入监视范围。5）按风险程度分级确定监视深度与频度：遵循重要性原则，对重大风险和关键业务流程实施重点监测、及时识别与应对；对低风险对象采用简化监视安排。9.1.1.5.4基于机遇的思维应用要点1）同步识别监视测量对象蕴含的有益效应（机遇源）：由同一跨职能团队在基于风险思维确定监视对象的同时，逐项识别对体系绩效产生有益影响的情形类对象，形成“机遇类监视对象清单”，实现风险类与机遇类对象分别确定、分别管理。2）以内外部环境与相关方需求为机遇类对象的识别输入：基于对组织环境和相关方需求与期望的评估，识别新技术应用、新市场拓展、法规更新催生产品服务升级、顾客及相关方期望变化等机遇类对象，将机遇实现的先决条件与关键成功因素纳入监视范围。3）认识“抓住或不抓住机会都是风险的来源”：机会（机遇）是预期有利于实现目标的情景，错失机遇本身构成风险；宜将机遇窗口期、机遇实现概率等要素与风险对象一并纳入确定范围，防止片面规避风险而放弃发展机遇。4）利用内部绩效数据扩展对象：利用内部绩效数据和监视测量活动的结果，识别通过优化做事方式、全面改进工作开展模式的领域，将标杆研究、对标对象纳入监视范围以借鉴同行最佳实践。9.1.1.5.5输出与衔接1）将“监视测量对象与风险监控清单”作为6.1.2应对风险的直接输入并整合进质量管理体系过程，同步衔接9.1.3分析与评价、9.2内部审核方案和9.3管理评审输入。2）将“机遇类监视对象清单”作为6.1.3应对机遇的直接输入，同步衔接9.1.2顾客满意监视和9.1.3分析与评价，并纳入管理评审机遇再识别场景。3）关键绩效指标（KPI）宜准确可靠、可确立可测量的目标并监视预测趋势、作为战略和经营决策的依据、适当逐级分解到各职能和层级、与战略和目标相一致；在选择KPI时考虑与风险和机遇有关的特定信息，并为风险驱动因素制定风险控制措施和预警指标，使监视体系同时服务于风险预警。示例：将关键供方依赖识别为交付风险时，可设置“供方准时交付率”为监视指标按月跟踪，并设定阈值（如低于95%触发供方纠正措施要求），使监视体系具备前瞻预警能力。9.1.1.6确定适用的监视、测量、分析和评价的方法（对应条款b项）9.1.1.6.1方法选择的准则1）以结果有效性为首要准则：方法适用性评估宜考虑对象的风险程度、信息的可获得性与可靠性（基于历史信息、当前信息和未来预期的最佳可用信息）、可用资源及成本收益平衡，以及法定与合同强制要求；方法宜与风险程度相匹配，确保结果有效。2）方法与活动类型相适宜：监视测量方法宜与所开展的活动的特定类型相适宜（如采用经确认的服务反馈模型、测量设备校准或溯源），防止基于无效结果的判定误导决策。3）分析要素完整：分析方法宜能覆盖事件发生的可能性及后果、后果的性质及影响程度、复杂性和关联性、时间相关因素、现有控制措施的有效性、敏感性和置信水平；对高度不确定的对象综合使用多种分析技术以获得更合理的观点。9.1.1.6.2方法工具箱1）风险评估与分析技术：按GB/T27921-2023选择定性、半定量或定量技术（如头脑风暴、检查表、因果图、FMEA、业务影响分析、风险指数等），并检查决策准则（包括风险准则）的适宜性。2）质量工具：按GB/T19019-2026（ISO10009:2024）选择质量工具，如控制计划（确定测量方法、频率、结果记录方式及不符合反应计划）、控制图与直方图、箱线图、预控制等过程控制工具，以及平衡计分卡、管理仪表盘等绩效展示工具；交通灯评级法/热力图可用于KPI报告、风险登记表、仪表盘和预警信号。3）统计技术：统计技术可作为分析和评价过程中的有效工具；宜按ISO10017:2021选择适宜统计技术，应用于进货物料的质量评定与控制、过程的控制与优化、产品和服务的绩效与可靠性评价等。4）监测预警类方法：针对需重点关注的风险设置风险预警指标体系，通过将指标值与预警临界值比较识别预警信号并进行预警分级；预警等级一般分为不可接受、关注、正常三级，分别对应红色、黄色、绿色预警；预警频率宜不高于风险指标数据的可收集分析频率、不低于相关流程节点的决策频率。5）顾客感知与对标类方法：采用标杆管理、净推荐值（NPS）、卡诺模型等工具洞察顾客及相关方需求变化；在适宜且可行的前提下开展对标研究，借鉴同行高效实践。9.1.1.6.3资源与能力保障1）资源匹配：监视和测量资源取决于所提供产品和服务的类型以及所建立过程的特性，宜按对象风险和关键程度配置适宜的监视测量资源并实施维护控制（如按测量在判定符合性方面的风险和关键程度制定校准计划）。2）溯源保障：当要求测量结果溯源或组织认为溯源是信任测量结果有效的基础时，宜对照可溯源至国际或国家测量标准的测量标准按规定间隔或使用前校准/检定，并标识校准状态、保护设备防止失效。3）人员胜任：开展分析或评价的人员宜具备必要的知识、经验和对场景背景的理解，防止因人员不胜任导致结论错误；宜关注测量系统误差（如测量器具的重复性和再现性，可运用GR&R）及人员的认知偏差与群体思维对分析结果的影响。4）方法自身的失效防范：警惕对称结构热力图可能造成的偏差及颜色指示对色盲人员无效等适用性局限；专家意见宜尽可能以证据和数据为依据；宜对模型与数据局限进行核查，不假设过去数据继续适用于未来。9.1.1.6.4方法评审与更新1）动态评审：监视和测量的方法可能受内外部因素变化、相关方要求以及组织战略方向的影响，方法长期不作评审更新将与新要求脱节；组织宜在内外部环境变化时同步评审更新监视测量安排，使评价体系与战略方向保持一致。2）再评审触发：各类因素（如返工率或报废率上升、绩效指标超出既定接受准则）可能导致已识别风险改变，宜触发对监视安排及方法的再评审；风险预警指标、预警区间、预警频率宜根据实践效果定期验证和调整。3）借方法更新识别效率提升机遇：评估云服务、人工智能、新型信息与通信技术及风险管理信息系统等新兴技术在监视、测量、数据自动采集与分析中的应用，提升分析评价的及时性与效率；方法选择时同步识别相关技术应用的机遇与伴随风险。9.1.1.6.5输出与衔接将方法选择与资源保障的结论纳入监视、测量、分析和评价策划安排（见附件A），作为监视和测量时机安排（见9.1.1.7）、分析评价安排（见9.1.1.8）和监视和测量资源管理的输入。9.1.1.7确定实施监视和测量的时机（对应条款c项）9.1.1.7.1时机与频次的确定要点1）检查点布局：结合过程步骤及相关风险设计监视测量检查点布局，在输入、活动和输出各环节设置适宜的控制及检查点，实现全过程覆盖，使问题在最早适宜节点被发现，防止纠正成本上升。2）频次形式：实施频次形式包括连续监视、按批次、按月、按季、按年等；法定或合同强制的周期（如特种设备定期检验）必须执行；宜制定列明检查频次的成文计划以确保结果有效可靠。3）差异化频次：对高风险对象安排更高监视频次，对低风险对象适当放宽频次以匹配风险程度；按测量的风险和关键程度差异化设置校准与监视间隔，使监视投入与风险相匹配。4）事件触发时机：设置事件触发时机（如异常发生、变更实施后、不合格发生后）；为关键因素设定指标和阈值，当指标结果超过阈值时提醒管理层跟进，并区分活动指标（评估实施有效性，如培训活动数量）与结果指标（侧重绩效和整体风险暴露），实现“何时监视”的预警化管理。9.1.1.7.2基于风险的思维应用要点1）保持时机安排的动态性：内外部环境变化时风险可能出现、变化或消失，宜以适当、及时的方式预测、发现、确认和应对变化；定期或不定期对风险重新辨识、分析和评价，及时更新监视频次与安排。2）将监视嵌入风险应对实施：监视和评审宜作为风险应对实施的组成部分，贯穿风险管理过程所有阶段，明确界定责任，确保各项风险应对措施（含剩余风险）持续有效；可记录剩余风险并对其持续监视评审，适时采取进一步应对措施。3）保持中断期间的监视韧性：对中断事件期间及恢复后的产品和服务交付状态保持监视；针对新兴风险按弱信号与早期预警要求提前安排扫描性监视时机，整合风险情报循环并实施动态治理。4）信息获取能力匹配：开展数据分析和评价的频次取决于组织的信息获取能力（电子方式与纸质方式、自动获取与人工获取），宜评估和提升信息获取能力，防止时机安排超出组织能力而无法执行；可利用电子方式、自动数据获取等信息化手段提升信息获取能力，支撑更高频次、更及时的监视和测量。9.1.1.7.3基于机遇的思维应用要点1）将机遇跟踪纳入监视时机安排：对已确定的机遇应对转化措施（利用、促进、合作、研发、抢占等策略）安排进度跟踪与效果验证的时机，保留落地证据（如项目报告、收益数据、评审记录）。2）设置机遇再识别的定期与触发时机：将战略会议、管理评审、内部审核、质量目标制定会议、新产品和新服务设计开发策划等场景作为机遇再识别与监视的常规时机；组织战略、法律法规、顾客要求、供应链、重大质量事故等发生重大变化时随时启动补充识别与监视。3）按信息变化速率确定机遇类对象的监视频次：对重要相关方及其需求变化安排更高频次跟踪（如季度跟踪、年度全面复审），信息变化速率快、影响紧迫的机遇对象加密监视频次，及时捕捉机遇窗口。9.1.1.8确定对监视和测量结果进行分析和评价的时机（对应条款d项）9.1.1.8.1时机、频次与范围1）频次与研讨形式：分析评价的频次取决于组织的信息获取能力（如电子方式与纸质方式、自动获取与人工获取）以及所涉及风险和机遇的等级；宜确定运行数据分析和评价的适宜频次，并明确评审所获信息的研讨形式（如月度质量例会、季度绩效回顾），使分析时机制度化，防止结果积压未及时分析而错失纠正窗口。2）范围界定：宜基于目标、风险及既往结果明确界定并传达分析范围，避免效率低下或资源浪费，形成聚焦而有边界的分析安排。3）关注趋势与组合效应：分析评价宜呈现趋势而非孤立的当期数字；分析风险之间的关系以发现组合效应；当指标变化（如KPI超出既定接受准则）可能导致已识别风险改变时，对风险进行再评审，确保应对措施持续适用。9.1.1.8.2以风险准则为评价标尺1）将风险分析结果与既定风险准则相比较，确定风险是否可以接受或容忍，并支持是否采取进一步行动的决策（包括维持现有控制措施、开展进一步分析、考虑应对方案或重新考虑目标）。2）风险准则宜基于组织目标、内外部环境和相关方意见确定，并持续审视、动态更新；风险评价结果宜予以记录、沟通并在组织适当层级确认。3）采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法检验风险管理与控制的有效性，根据变化情况和存在缺陷及时改进。9.1.1.8.3基于机遇的思维应用要点1）将分析评价结果作为机遇再识别的常设输入：从监视测量数据中发现进一步提升的空间，在适宜且可行的前提下开展对标研究，借鉴同行实践；将经证实有效的做法固化为新实践方法或新过程并推广应用，实现持续改进。2）借分析评价洞察相关方需求与改进机会：基于对相关方需求和期望的评价洞察开展研发、推出新产品或改进型产品和服务，识别优化资源配置与跨职能协同的机会；分析评价结果向管理层报告，作为战略和目标设定的考虑内容。3）以分析评价驱动体系优化：利用过程绩效数据识别消除冗余过程、整合重复活动、简化过度细分过程的机会，更新质量目标并刷新风险与机遇清单，形成PDCA闭环。9.1.1.8.4输出与衔接1）分析评价结果宜作为6.1确定风险和机遇及应对措施有效性评价、9.3管理评审输入（监视和测量结果为管理评审必列输入项）、10.1持续改进的直接输入，防止分析活动流于形式。2）以趋势分析报告、平衡计分卡、管理仪表盘等报告形式呈现分析和评价输出，直观展示绩效和关键结果趋势（红绿灯图表、帕累托图、趋势图等），并作为管理评审输入。3）适用时，按监管要求对重大经营风险事件履行首报、续报和终报等报告义务，做到重大风险早发现、早处置。9.1.1.9评价质量管理体系的绩效和有效性9.1.1.9.1评价口径与双维评价1）统一评价口径：绩效是可测量的结果（定量或定性），有效性是策划的活动得到实施、策划的结果得到实现的程度；评价宜以质量方针和质量目标、过程绩效指标以及产品和服务的合格情况为标尺开展，防止将绩效指标与有效性评价混同。2）双维评价体系：评价宜同时覆盖“绩效”（可测量的结果）与“有效性”（策划的活动得到实施、策划的结果得到实现的程度）两个维度，形成完整证据链；组织可考虑设定目标与里程碑，以评价是否实现了预期结果，使有效性评价有明确基准、可量化、可追踪。9.1.1.9.2结构化开展评价1）以评价质量管理体系绩效和有效性为目的策划内部审核方案，按过程而非按条款策划审核；在建立审核方案时应用基于风险的思维考虑过程重要性、过程绩效（如KPI超出既定接受准则）、影响组织的变更、以往审核结果、顾客投诉趋势和法定监管事项，据此动态确定审核频次。2）评价结果（含监视和测量结果及其趋势）作为管理评审输入，向最高管理者报告。3）不孤立评价过程：防止孤立地评价过程而不考虑其重要性、复杂性、相关风险，以及对整体体系和目标的影响，避免评价资源错配、结论片面。9.1.1.9.3分别评价风险与机遇应对措施的有效性1）对应对风险所采取措施的有效性（基于风险登记册）和应对机遇所采取措施的有效性（基于机遇登记册）分别形成独立书面判断；未开展有效性评价的不得以“措施有效”一句带过；ISO9001-2026将二者分别列为分析与评价的事项（见9.1.3的e）项和f）项）并在管理评审输入中分别列示，组织宜同步更新分析与评价事项清单和管理评审输入安排。2）检查依据风险偏好、风险承受度和风险控制预警线实施的结果，提出定性或定量的有效性标准；监视和评审的结果宜纳入组织绩效管理、考核和报告活动。9.1.1.9.4风险与绩效的关系及评价责任1）关注非线性关系：风险与绩效之间很少是线性的一对一关系，绩效目标变化时风险严重程度随之变化；宜评价与不同绩效水平相关的风险总量，在期望绩效与可承受风险量之间取得平衡，防止忽视风险片面追求绩效，也防止单纯规避风险而放弃机遇。2）界定评价责任：最高管理者对质量管理体系的有效性负责，定期评审体系有效性，及时处置反映体系缺陷与薄弱环节的问题；风险管理职能部门定期对各部门实施情况和有效性进行检查考核，内部审计部门至少每年一次开展监督评价。9.1.1.9.5基于机遇的思维应用要点1）借评价识别体系改进与优化机遇：定期评价质量管理体系及其风险管理工作是否仍适用于支持组织目标实现，识别差距或改进空间后制定改进计划并分配实施；将评价结果作为改进、战略会议和管理评审中机遇再识别的输入，衔接管理评审输入中的“改进的机会”。2）以评价驱动目标更新与清单刷新：根据绩效和有效性评价结果适时更新质量目标并刷新风险与机遇清单，识别通过新过程、新技术、新产品实现增强有利影响（预期结果）的机会，形成PDCA闭环。3）培育基于机遇思维的改进文化：将主动改进成效纳入管理者与人员的评价维度，支持培养人员的风险与机遇评估能力，通过评价激励全员关注风险防范与机遇利用，促进风险与机遇讨论文化的形成。9.1.1.10成文信息作为结果的证据应可获取9.1.1.10.1确定成文信息的范围与详略程度1）监视测量对象清单、方法、时机安排、分析和评价的结果、绩效和有效性评价的结论等均应形成成文信息并可获取，作为结果证据。2）成文信息的类型与范围宜运用基于风险的思维、综合考虑自身规模、活动类型、产品/服务与过程的复杂程度、人员配置、资源条件、相关能力水平及不合格的潜在后果确定，防止过度文件化或文件化不足，并按成文信息控制要求实施管理。3）组织宜确定应保留哪些成文信息，作为监视、测量、分析和评价结果的证据；确保成文信息在需要的场合和时限可获取（如产品交付多年后处理投诉时调取历史数据）。9.1.1.10.2规范记录与报告1）风险分析的影响因素应考虑、记录并与决策者沟通；风险评价结果宜记录、沟通后在适当层级确认。2）报告宜考虑信息用途与敏感性、报告成本、频率和及时性、报告方式及与组织目标和决策的相关性；记录和报告旨在在组织各层级通报风险管理活动及结果、为决策制定提供信息、改进风险管理活动、促进与相关方的互动。3）监视和评审的结果宜纳入组织绩效管理、考核和报告活动。9.1.1.10.3保障数据质量与证据受保护1）通过风险管理信息系统确保输入数据的一致性、准确性、及时性、可用性和完整性，未经批准不得更改；电子载体记录宜保留修订留痕和审计日志，确保可追溯、不可被非授权删改。2）用于证实过程按策划实施的成文信息（记录）宜受保护，防止损坏、非预期或未经授权的更改；按成文信息控制要求实施分发、访问、检索、存储防护、更改控制、保留和处置管理，防止数据丢失、信息失密及非预期更改。3）利用信息系统实现信息的采集、存储、加工、分析、传递、报告与共享，减少纸质冗余记录，提升证据的可获取性与利用效率；机遇应对措施的落地证据（如项目报告、收益数据、评审记录）宜保留，作为有效性评价与外部审核核查的依据。9.1.1.10.4满足审核与评审佐证要求1）按ISO19011:2026准备审核佐证；管理评审输入信息须与9.1.1、9.1.2、9.1.3所确定的监视测量安排一致，由数据自然汇总生成，不得为评审临时编造。2）风险和机遇应对措施的有效性评价宜在评审会议前完成并形成书面判断。3）将经评价证实有效的监视测量方法、分析评价结论和成功实践固化为成文信息与组织的知识，作为后续策划的基准与输入，防止知识流失。9.1.1.11常见风险防范组织宜防范下列常见问题：a）判定失据（体系运行“盲区”）：未开展或未充分开展监视、测量、分析和评价工作，无从判定是否实现预期结果；b）概念混淆：将绩效指标与有效性评价混同，评价结论失真；c）孤立评价：不顾过程重要性、复杂性、相关风险及对整体体系和目标的影响，评价资源错配且结论片面；d）对象遗漏与指标失衡：未对照相关条款要求确定监视对象；过度依赖滞后指标而忽视领先指标；KPI不准确不可靠、未逐级分解或与战略脱节；e）方法失当与固守：方法与活动类型不相适宜、长期不评审更新；对单一方法、单一数据源或独家检测机构形成“单点故障”依赖；f）报喜不报忧（确认偏误）：刻意寻求或解读信息以印证既有观点或预期，监视安排被设计为“报喜不报忧”；g）时机与频次失控：检查点设置不当、频次时断时续、响应滞后于变化、时机安排超出信息获取能力；h）分析评价“两张皮”：结果积压未及时分析、分析范围未界定传达、分析评价结果未作为6.1、9.3、10.1的输入；i）证据缺失或失真：未确定应保留的成文信息；记录未受保护，发生损坏、非预期或未经授权的更改；j）里程碑缺省：未设定目标与里程碑，有效性判定无从比较。9.1.1.12成文信息与记录9.1.1.12.1建议的成文信息组织宜建立并保持：a）监视、测量、分析和评价策划方案（含对象清单、方法与依据、时机与频次安排、分析与评价时机及研讨形式、资源与职责）；b）“监视测量对象与风险监控清单”（风险登记表）及“机遇类监视对象清单”；c）分析和评价记录（含数据来源与统计期间、分析方法、分析结果与趋势、评价结论与措施建议）；d）质量管理体系绩效和有效性评价记录（含应对风险和应对机遇所采取措施有效性的分别书面判断）；e）报告类成文信息（如趋势分析报告、管理仪表盘输出、风险预警记录），可作为管理评审输入的组成部分。9.1.1.12.2证据链与审核佐证1）审核将核查组织监视、测量、分析和评价安排的适宜性与结果的有效性，组织宜保存相应证据：监视测量对象确定依据、方法确认与校准溯源证据、监视频次与责任人、分析与评价输出及其利用情况。2）宜将监视的频次、责任人、信息来源与输出形成文件，以便评审、更新、保障过程一致性并实现持续改进；成文信息宜在需要的时间和地点可供使用，并按规定期限保存和处置。9.1.1.13应用工具与方法9.1.1.13.1监视与测量类工具1）控制计划：提供结构化方法确定应用于过程的控制措施；按顺序列出每个过程，在各阶段识别需控制的产品和过程标准（含特殊特性），确定测量方法、频率、结果记录方式以及不符合要求时的反应计划；可用于过程/产品监视，以确定过程能力或评估符合性。2）测量系统分析（GR&R）：用于评估测量器具的重复性和再现性，防止测量系统误差影响结果有效性。3）校准与溯源管理：按测量在判定符合性方面的风险和关键程度制定校准计划，标识校准状态，保持测量结果溯源，防止设备失效。9.1.1.13.2分析类工具1）帕累托图：按重要性排列问题或原因，识别对结果影响最大的少数因素。2）因果图（鱼骨图/石川图）：用于分析风险源、原因及驱动因素，追溯问题的根本原因。3）控制图、直方图与箱线图：用于监视过程稳定性、分布与变异，区分普通原因与特殊原因变异。4）趋势分析与对比分析：呈现指标趋势而非孤立数字，发现偏差与组合效应。5）统计技术：按ISO10017:2021选择适宜统计技术，提升分析结论的客观性。9.1.1.13.3评价与记录类工具1）风险矩阵、风险指数与风险登记表：以表格形式描述每个风险的性质或类型、发生概率、对组织的影响、风险责任者、缓解措施、应急行动及缓解后的剩余风险，并定期监视保持更新；输出可用于指导改进、目标设定等。2）后果-可能性矩阵与风险优先数（RPNs）：用于风险分析、排序与重点确定。3）风险准则与最低合理可行（ALARP）原则：以风险准则为标尺评价风险是否可以接受或容忍，支持风险应对决策。9.1.1.13.4风险预警类工具1）风险预警指标库：明确风险指标计算公式或模型、指标值对应时间范围、数据来源、置信度要求、责任主体等信息。2）预警区间与预警分级：依据组织风险偏好，将目标指标值的分段波动范围作为不同预警等级对应的预警区间，一般分为不可接受、关注、正常三级（红、黄、绿），并明确各等级对应的风险应对活动和责任主体。3）预警频率：宜不高于风险指标数据的可收集分析频率、不低于相关流程节点的决策频率；预警信息宜与业务管控活动、绩效考核紧密衔接。9.1.1.13.5绩效展示与沟通类工具1）交通灯评级法/热力图：用红、黄、绿三色表示事态或风险状态，通常以严重性与频率矩阵形式呈现，可用于涉及KPI的报告、风险登记表、仪表盘和预警信号；宜注意对称结构热力图的偏差风险及对色盲人员无效等局限。2）平衡计分卡与管理仪表盘：直观展示绩效和关键结果趋势，支持循证决策与报告。3）趋势图、红绿灯图表与雷达图：用于展示关键结果趋势和多维度绩效对比。9.1.1.13.6机遇识别类工具1）PESTLE分析与SWOT分析：用于确定并跟踪组织运营环境、评审内外部因素的影响，捕捉因素变化中的机遇；宜经常性评估并辨别数据质量局限。2）标杆管理与对标研究：借鉴同行高效实践，识别优化做事方式、全面改进工作开展模式的领域。3）净推荐值（NPS）、卡诺模型：洞察顾客及相关方需求变化，为推出新产品或新服务、改进现有过程提供方法支撑。9.1.1.13.7工具的选择与组合应用1）情形简单且风险被充分理解时，可依据既定规则、程序和以往评估决定评估方式；面对新颖、复杂、高度不确定的问题时，可使用多种技术获得部分理解，再结合组织和社会价值及相关方观点作出判断。2）宜关注人员因素对技术选择和使用的影响，通过熟练引导降低认知偏差，处理群体思维和过度自信等偏见；专家意见宜尽可能以证据和数据为依据。3）宜对模型与数据局限保持警觉，通过敏感性分析、极端场景压力测试、与历史数据比较等方法核查分析结果。附件A（资料性）监视、测量、分析和评价策划表附件A.1监视、测量、分析和评价策划表（模板）序号监视和测量对象类别具体指标或特性风险/机遇关联（清单编号）方法与依据资源与职责实施时机与频次分析与评价时机及形式成文信息及保存期限1质量管理体系建立及其过程运行情况（含过程绩效指标）2质量目标及其实现的策划措施的完成状态3产品和服务的符合性（如不合格率、返工率、准时交付率等）4顾客满意及相关反馈（按9.1.2接口）5策划实施的有效性（如策划项目的进展状态、预算与结果）6应对风险所采取措施及剩余风险状况7应对机遇所采取措施及落地情况8外部供方绩效（如准时交付率、质量水平、拒收率）9关键设备与基础设施、外包过程、合规义务10中断期间和中断后提供合格产品和服务能力相关的风险征兆11机遇再识别相关信息（新技术、新市场、法规更新等变化信息）注：本表可与“监视测量对象与风险监控清单”合并使用；对象确定与更新宜作为风险与机遇应对的组成部分，定期评审保持更新。附件B（资料性）监视和测量结果分析与评价记录表附件B.1监视和测量结果分析与评价记录表（模板）序号分析评价对象数据来源与统计期间分析方法与工具分析结果（现状、趋势、偏差）评价结论措施建议责任部门/岗位及日期1234注：评价结论宜与9.1.3所规定的分析与评价事项保持一致，并对应对风险和应对机遇所采取措施的有效性分别作出判断，避免以“措施有效”笼统带过。附件C（资料性）质量管理体系绩效和有效性评价表附件C.1质量管理体系绩效和有效性评价表（模板）评价维度评价对象与指标评价基准（质量目标、里程碑、风险准则）评价结果结论及原因分析措施与责任跟踪与再评价要求绩效——可测量的结果有效性——策划的活动得到实施的程度有效性——策划的结果得到实现的程度应对风险所采取措施的有效性（独立判断）应对机遇所采取措施的有效性（独立判断）综合评价结论与后续措施注：本表输出宜作为管理评审输入；未实现预期结果的事项，宜分析原因并转入改进过程跟踪。附件D（资料性）监视、测量、分析和评价成文信息清单附件D.1监视、测量、分析和评价成文信息清单（模板）序号成文信息名称类型（保持/保留）载体与格式来源活动用途（证据链环节）保存期限责任部门/岗位1监视、测量、分析和评价策划方案保持2监视测量对象与风险监控清单（风险登记表）保持（定期更新）3机遇类监视对象清单保持（定期更新）4监视和测量原始数据与记录保留5分析与评价记录（含趋势分析、评价结论与措施建议）保留6质量管理体系绩效和有效性评价记录（含风险/机遇措施有效性分别判断）保留7风险预警与报告类成文信息（趋势分析报告、管理仪表盘输出等）保留/可获取注：成文信息的类型与范围宜运用基于风险的思维确定，防止过度文件化或文件化不足；电子载体记录宜保留修订留痕和审计日志。附件E（资料性）“9.1.1总则”条款（过程）风险和机遇清单附件E9.1.1条款（过程）风险和机遇清单9.1.1条款（过程）9.1.1条款（过程）对应风险清单9.1.1条款（过程）对应机遇清单总要求（组织应确定需要监视和测量什么、适用的方法、何时实施监视和测量、何时对结果进行分析和评价；组织应评价质量管理体系的绩效和有效性；成文信息作为结果的证据应可获取）（1）判定失据风险：本条款旨在确保组织开展监视、测量、分析和评价工作，使组织能够判定是否正在实现预期结果；未开展此项工作或开展不充分，组织无从判定是否实现预期结果，体系运行处于“盲区”；

（2）概念混淆风险：未准确理解“绩效”指组织可测量的结果、“有效性”指策划的活动得到实施、策划的结果得到实现的程度，将绩效指标与有效性评价混同，导致评价结论失真；

（3）孤立评价风险：孤立地评价过程，而不考虑其重要性、复杂性、相关风险，以及对整体体系和目标的影响，评价资源错配且结论片面；

（4）输入失效风险：监视和测量的方法可能受外部和内部因素变化、相关方要求以及组织战略方向的影响，未随内外部环境变化和相关方要求变化同步评审和更新监视测量安排，方法失效而未察觉（1）判定框架机遇：系统建立“确定对象—确定方法—确定时机—确定分析评价时机”四位一体的监视测量分析评价总架构，使组织能够可靠判定是否正在实现预期结果，为绩效评价和有效性评价提供证据基础；

（2）绩效与有效性双维评价机遇：分别以“绩效”评价可测量的结果、以“有效性”评价策划的活动得到实施和策划的结果得到实现的程度，形成双维度评价体系；

（3）方法动态适配机遇：利用监视和测量方法受内外部因素变化、相关方要求及战略方向影响的特性，在内外部环境变化时同步评审更新监视测量安排，使评价体系与战略方向保持一致；

（4）循证决策机遇：依据“循证决策”原则，基于数据和信息的分析评价开展决策，改进决策过程、提升对过程绩效和目标实现能力的评估水平、提高运行的有效性和效率，增强证实以往决策有效性的能力a）确定需要监视和测量什么（确定监视和测量的对象）（1）对象遗漏风险：未考虑其他条款所规定的要求（如质量管理体系的建立及其过程、质量目标、运行策划和控制、顾客满意、分析和评价、内部审核以及管理评审）即确定监视测量对象，关键要求未被纳入监视范围；

（2）指标单一风险：过度依赖滞后指标，仅关注输出结果（如缺陷率、顾客投诉），忽视过程稳定性、培训有效性、未遂事件等领先（预测性）指标，无法识别潜在根本原因、提前预防问题发生；

（3）KPI错配风险：关键绩效指标不准确、不可靠，或未适当逐级分解为相关职能和层级的绩效指标，或不适合组织的性质和规模、产品和服务、过程和活动，监视与目标脱节；

（4）数据无代表性风险：所采用的方法生成的数据缺乏代表性、无偏性、时效性、完整性和准确性，不能为决策提供可靠依据；

（5）确认偏误风险：刻意寻求或解读信息以印证既有的观点或预期，监视安排被设计为“报喜不报忧”（1）条款联动机遇：在确定监视测量内容时，系统对照体系建立及其过程、质量目标、运行策划和控制、顾客满意、分析和评价、内部审核及管理评审等条款要求逐项映射，形成“要求—对象”对照清单，确保覆盖完整；

（2）领先滞后兼顾机遇：在滞后指标（缺陷率、顾客投诉等输出结果）基础上，补充采用过程稳定性、培训有效性、未遂事件等领先（预测性）指标，识别潜在根本原因，提前预防问题发生；

（3）KPI体系机遇：将对组织持续成功极为重要的可测量因素作为关键绩效指标（KPI）识别，确保其准确可靠、可确立可测量的目标并监视预测趋势、作为战略和经营决策的依据、适当逐级分解到各职能和层级、与战略和目标相一致；

（4）风险机遇联动机遇：在选择KPI时考虑与风险和机遇有关的特定信息，并为风险驱动因素制定风险控制措施和预警指标，使监视体系同时服务于风险预警；

（5）状态界定机遇：以“监视”确定体系、过程或活动的状态（包括产品或服务状态），以“测量”确定量值（包括顾客满意、过程绩效等无形维度，采用信息技术系统收集分析数据），实现定量定性全覆盖b）确定适用的监视、测量、分析和评价的方法，以确保结果有效（1）方法失当风险：监视测量方法与所开展的活动的特定类型不相适宜（如未采用经确认的服务反馈模型、测量设备未校准或未溯源），结果无效或不可靠，基于无效结果的判定误导决策；

（2）资源失配风险：未确定为开展监视、测量、分析和评价工作所需的资源，或提供的监视和测量资源未得到维护以确保持续适合其用途，测量结果有效性受损；

（3）人员不胜任风险：开展分析或评价的人员若缺乏必要的知识、经验或对场景背景的理解，存在导致结论错误的风险；

（4）方法固守风险：监视与测量的方法可受内外部因素变化、相关方要求以及组织战略方向的影响，方法长期不作评审更新，与新要求脱节；

（5）特有风险形态：对单一方法、单一数据源或独家检测机构的依赖形成“单点故障（SPOF）”，一旦失效即丧失结果有效性保障（1）资源匹配机遇：基于监视和测量资源取决于所提供产品和服务的类型以及所建立的过程的特性，按对象风险和关键程度配置适宜的监视测量资源并实施维护控制（如按测量在判定符合性方面的风险和关键程度制定校准计划）；

（2）方法工具机遇：运用GB/T19019—2026（ISO10009:2024）质量工具库——控制计划（通过检验和试验无法验证输出符合性且缺陷仅在后期显现时使用，可用于过程/产品监视以确定过程能力或评估符合性）、控制图与直方