ISO9001-2026标准“9.1.3分析与评价”条款（过程）风险管理应用专业操作指南（雷泽佳编制）

ISO9001-2026“9.1.3分析与评价”条款（过程）风险管理应用专业操作指南(雷泽佳编制)ISO9001-2026“9.1.3分析与评价”条款（过程）风险管理应用专业操作指南(雷泽佳编制)9绩效评价9.1监视、测量、分析和评价9.1.3分析与评价9.1.3.1条款目的和意图9.1.3.1.1条款目的本条款旨在确保组织对通过监视和测量获取的数据和信息进行分析和评价，以判定其产品和服务是否满足要求，同时评价质量管理体系的有效性并识别改进机会。本指南进一步指导组织：建立“分析数据信息→利用分析结果评价a）～h）项→输出报告→作为管理评审和改进输入”的闭环分析评价架构；落实风险与机遇双线管控要求（e）项与f）项分别评价，评价结论分开报告）；确保数据质量与统计技术运用得当；使分析结果可靠支撑循证决策与持续改进。9.1.3.1.2条款意图1）建立“检查（Check）”环节核心落点：9.1.3是PDCA循环“检查”环节的核心落点——对照方针、目标、要求和所策划的活动，对过程及产品和服务实施监视测量并报告结果，支撑“处置（Act）”环节采取措施改进质量管理体系绩效；未开展分析评价工作，组织无从判定产品和服务是否满足要求，体系有效性无法证实，改进机会将被系统性错过。2）确立a）～h）八项必评内容框架：a）～h）项提供清晰的分析和评价框架，用于证实产品和服务的符合性、确保质量管理体系的符合性并持续改进其有效性；评价结论应覆盖全部八项，避免“选择性评价”。3）实现风险与机遇分线管控：ISO9001-2026将应对风险与应对机遇所采取措施的有效性拆分为e）项和f）项分别评价（2015版为合并一项），分析应分别显示风险措施与机遇措施是否有效；管理评审输入中二者亦分别列示，组织不得合并为单一结论。4）强调数据的驱动作用与统计技术运用：数据分析方法可包括统计技术；分析输出宜提供关于顾客满意与感知、产品符合性、过程绩效、产品和过程特性、趋势、风险与机遇措施有效性、外部供方绩效、纠正措施需求、改进机会及竞争等方面的洞察。5）支撑循证决策：落实“循证决策”质量管理原则——基于数据和信息的分析评价开展决策，坚持改进以事实为依据，提高决策质量；数据宜客观呈现，并尽可能记录假设、差距和例外情况以促进透明性。6）保持动态适配与合规保护：分析评价的频次取决于组织的信息获取能力（电子方式与纸质方式、自动获取与人工获取）以及所涉及风险和机遇的等级；应确保数据具有代表性、无偏性、时效性、完整性和准确性；同步兼顾信息保密性、完整性和个人隐私保护。9.1.3.2与相关条款的接口相关条款接口关系4.1理解组织及其环境内外部因素的变化是分析评价方法与范围再评审的触发输入；分析评价结果及趋势是机遇再识别的常设输入。4.4质量管理体系及过程分析评价的对象覆盖体系各过程产生的数据和信息；组织宜为每一过程确定包括监视、测量和相关绩效指标在内的准则和方法。5.1、5.3领导作用及岗位职责最高管理者借助管理评审支撑与质量管理体系相关的循证决策（含资源需求和改进机遇决策）；采用结构化报告机制向最高管理者报告体系绩效（含经验教训与各类改进方向），系统识别、分析并上报提升体系有效性、顾客满意度或符合性的改进思路。6.1应对风险和机遇的措施e）项、f）项评价分别对应6.1.2应对风险、6.1.3应对机遇所采取措施的有效性；分析评价结果反馈用于确定风险和机遇的再策划并更新风险与机遇清单。6.2质量目标及其实现的策划通过质量目标相关策划措施的完成状态评价体系绩效和有效性；质量目标的实现程度（含趋势）作为管理评审输入。6.3变更的策划策划实施有效性评价中的偏差分析可判定是否需要调整策划、更新风险与机遇清单或启动变更的策划。7.5成文信息分析评价结果宜形成成文信息并确保可获取、受保护；成文信息的类型、范围及详略程度按基于风险的思维确定。8.4外部提供的过程、产品和服务的控制外部供方绩效评价结果与外部供方的评价、选择、绩效监视和再评价联动；按策划的时间间隔评价供方绩效并调整管控的类型与程度，以管理相关的风险和机遇。8.7、10.2不合格输出控制及纠正措施符合性分析中暴露的风险点（如特定过程能力不足、特定供方来料异常）反馈至不合格输出控制与纠正措施，必要时更新风险清单。9.1.1总则“何时对监视和测量的结果进行分析和评价”由9.1.1确定；分析评价频次取决于信息获取能力与风险和机遇的等级。9.1.2顾客满意顾客满意监视结果纳入b）项评价；可按顾客类型、区域、销售量或其他准则分类分析。9.2内部审核审核结果（含第一方、第二方和第三方审核结果趋势）作为分析评价的数据来源与管理评审输入。9.3管理评审分析评价输出作为管理评审必列输入（d）项绩效趋势信息及g）h）项）；管理评审基于该结果开展循证决策并形成改进决定。10改进分析评价结果用于确定改进措施，衔接10.1持续改进、10.2纠正措施；改进机会可从审核发现、检验结果、试验数据、管理评审、产品和服务绩效分析、顾客投诉、社交媒体评论等识别。9.1.3.3关键术语与概念基础1）分析与评价：数据分析是对收集的质量数据进行整理、统计和挖掘，以发现趋势、问题和改进机会；评价是基于分析结果，判断质量管理体系的有效性并指导决策。分析是描述趋势和关系，评价是判断好坏并给出结论；评价宜建立判断标准（如目标值、阈值、历史对比规则、风险容忍度等评价基线），避免停留在分析层面而未形成结论。2）绩效：可测量的结果（可以是定量结果，也可以是定性结果；可与管理活动、过程、产品、服务、体系或组织相关）。3）有效性：策划的活动实现的程度，以及策划的结果达成的程度。4）合格（符合）与不合格：合格是满足要求；不合格是未满足要求。5）纠正措施：为消除不合格的原因并防止再发生所采取的措施。6）风险：在质量管理领域，风险通常被理解为不确定性对质量管理体系实现其预期结果的能力产生负面效应的情形。7）机会（机遇）：能够对质量管理体系绩效产生有益效应的情形；风险与机遇相互区别，可通过各自独立的过程予以确定和应对。8）统计技术：数据分析方法可包括统计技术；统计技术是分析和评价过程中的有效工具，ISO10017:2021（GB/T19027-2025）为适宜统计技术的选择提供指南。9）循证决策：基于数据和信息的分析评价开展决策、坚持改进以事实为依据的质量管理原则。10）趋势：绩效信息宜以趋势而非孤立数字呈现（如“顾客满意92分”本身不说明问题，与上期的升降、集中环节对比才有意义），用于识别改善、恶化或波动，支撑决策与措施制定。11）评价基准：目标基准（与质量目标及分解指标对比）、历史基准（与上年度同期、上月份数据进行同比、环比）、能力基准（与过程能力指数等对比）、外部基准（适用时与顾客要求、行业标杆进行对标）。9.1.3.4总则9.1.3.4.1基本原则组织应用本指南宜遵循：a）循证决策原则：基于数据和信息的分析评价开展决策，坚持改进以事实为依据；数据宜客观呈现，并尽可能记录假设、差距和例外情况以促进透明性。b）全面性原则：覆盖a）～h）八项评价内容及内部、外部各类数据来源；避免孤立评价各过程而不考虑其重要性、复杂性、相关风险以及对整体体系和目标的影响。c）重要性原则：聚焦与质量目标关联的关键指标，避免测量过多而无一被用于决策；评价资源与风险和机遇等级相匹配，实现“风险越高、分析越频”的差异化评价投入。d）双向研判原则：风险与机遇分线管控，e）项与f）项评价及结论分开报告，不得合并为“风险和机遇措施80%有效”之类单一结论。e）融合性原则：将分析评价与PDCA循环、过程方法及业务运行融合，作为“检查”环节核心落点，支撑“处置”环节改进。f）动态迭代原则：分析评价的频次、方法与范围随信息获取能力、风险和机遇等级以及内外部变化定期评审更新。g）保密与保护原则：数据分析评价过程及结果的沟通与报告兼顾信息保密性、完整性和个人隐私保护。9.1.3.4.2组织与职责1）最高管理者：授权成立数据分析和评价跨职能团队；借助管理评审支撑与质量管理体系相关的循证决策（含资源需求和改进机遇决策）；对质量管理体系的有效性负责。2）数据分析和评价跨职能团队：成员宜涵盖质量、生产、工程、采购、销售及信息技术等部门，负责监视和测量数据与信息的收集、分析、评价和报告；参照三道防线（三线）模型界定治理机构、管理层与内部审计在数据分析与风险管控中的职责分工与协同机制。3）各过程/职能部门：按周期报送原始数据并配合完整性核查（数据缺失或明显异常的退回补充并记录）；对涉及本部门的改进措施明确责任人、完成时限并按时反馈；数据分析暴露的技能短板反馈至培训需求输入。4）数据分析与评价人员：宜具备必要的知识、经验和对场景背景的理解，并经过相应统计技术培训，防止工具使用不当导致结论错误；切实关注样本量、抽样方法、假设条件等对结论适用范围的限制。5）风险管理职能部门与内部审计部门：风险管理职能部门定期对各部门风险管理工作实施情况和有效性进行考核并出具考核报告；内部审计部门实施年度监督评价，形成多层级有效性证据链。9.1.3.4.3工作程序组织宜按下列步骤开展：a）建立组织与职责（见9.1.3.4.2）；b）明确分析评价的对象与范围：覆盖a）～h）所需的全部数据和信息；基于目标、风险及既往结果明确界定并传达分析范围（见9.1.3.5.1）；c）确定分析评价的频次与研讨形式：取决于信息获取能力（电子方式与纸质方式、自动获取与人工获取）及所涉及风险和机遇的等级（见9.1.3.5.1）；d）收集、校验与验证数据和信息：实施完整性核查、有效性检验并剔除不可用数据（见9.1.3.5.3）；e）选择分析方法与统计技术并实施分析（见9.1.3.5.2）；f）对照评价基准开展评价：运用目标基准、历史基准、能力基准、外部基准，呈现趋势并形成a）～h）八项评价结论（见9.1.3.6）；g）输出报告并衔接管理评审与改进：作为管理评审输入和持续改进、纠正措施输入（见9.1.3.7）；h）保留成文信息，并定期评审方法、范围与相关风险和机遇的持续适宜性（见9.1.3.9）。注：操作性流程示例——各部门收集原始数据→按周期报送→数据完整性核查→选用统计方法分析→与目标/历史/能力基准对比评价→判定趋势（良好：达标且趋势向好；正常：达标且趋势平稳；关注：达标但趋势下降或接近临界；异常：未达标或过程失控）→形成分析报告→分类处置（正常归档备查；关注制定预防性改进计划；异常启动纠正措施）。9.1.3.5分析和评价通过监视和测量获得的相关数据和信息9.1.3.5.1分析评价的对象、范围与频次1）对象与覆盖范围：分析评价的对象是“通过监视和测量获得的相关数据和信息”，覆盖产品和服务符合性、顾客满意、体系绩效、策划实施、风险应对、机遇应对、外部供方绩效等数据；数据来自内部（质量管理体系及其运行过程的记录、监视和测量结果、内部审核发现等）和外部（供方绩效、顾客调查与反馈、第二方和第三方审核结果、竞争对手与标杆信息等）；应明确界定并传达分析范围，避免效率低下或资源浪费。2）频次与研讨形式：取决于组织的信息获取能力以及风险和机遇的等级；组织宜确定运行数据分析和评价的适宜频次以及评审所获信息的研讨形式，使分析时机制度化；不宜等到年度管理评审才查看数据——月度或季度评审关键指标可使问题保持可见并及时响应。3）数据来源示例：质量记录、监视和测量结果、过程绩效结果、质量目标进展、内部审核发现、顾客调查和反馈、第二方或第三方审核结果、竞争对手和标杆信息、产品试验结果、投诉、供方绩效信息等；任何作为管理体系既有组成部分的数据记录均可视为与分析和评价相关——记录是体系绩效的证据，宜加以分析以发现潜在改进。9.1.3.5.2数据分析方法与统计技术1）统计技术的推荐性定位：数据分析方法可包括统计技术；统计技术是分析和评价过程的有效工具而非强制要求；ISO10017:2021（GB/T19027-2025）为适宜统计技术的选择提供指南，此类技术具有广泛的应用场景，例如进货物料的质量评定与控制、过程的控制与优化、产品和服务的绩效与可靠性评价等。2）可选统计技术清单：描述性统计、实验设计、假设检验、测量系统分析、过程能力分析、可靠性分析、抽样、统计过程控制、时间序列分析等；统计技术的选择及应用方式取决于使用的环境和目的、组织的规模和复杂性以及对组织的潜在益处。3）常用分析工具及适用场景：排列图（找出不合格、投诉、故障的主要原因，80/20分析）、趋势图/折线图（观察指标随时间的变化趋势）、直方图（分析测量数据分布形态、判断过程是否稳定受控）、控制图（监控关键过程是否处于统计受控状态）、因果图（系统分析人机料法环测原因）、散布图（分析两个变量之间的相关关系）、分层法（按班组、设备、供方等维度拆分数据找差异）、描述性统计（计算均值、极差、标准差、合格率、PPM值等）。4）数据分析操作的通用方式：分析可通过基本操作进行组织，例如选择、分类、抽象、分解、规范、比较、对应、实例化和转换；常用自动化工具可处理大量数据和信息，揭示模式和趋势或提供可视化表示（统计工具或软件、数据挖掘、制图和可视化工具、分类与词汇语义分析等）。9.1.3.5.3数据与信息质量保障1）五项数据质量要求：确保所采用的方法生成的数据具有代表性、无偏性、时效性、完整性和准确性，能够为决策提供可靠依据。2）信息有效性、可靠性和局限性的评估：评估和考虑所用信息的年代和相关性、来源及收集方法、不确定性和缺失、数据集与算法和模型的权威性或来源；不能假设过去的数据继续适用于未来；如先前评估的数据或结果可用，宜先确定背景是否有变化以及早期数据或结果是否仍然有用。3）数据验证与清洗：开展数据一致性、准确性、相关性、充分性和可靠性检查；处理未使用、杂乱无章或不一致的数据；运用敏感性分析；识别和处理异常值；从抽样获得数据时可说明所需的统计置信度；若不需要统计分析，宜予以说明。4）分析与评价方法的科学使用：确保分析人员具备相应专业知识；样本量和抽样方法限制结论的适用范围，结论须符合对总体的特定假设；排序量表不宜进行数学运算；即使完全定量分析，其输入值往往也是估计值，准确度和精度不应受到与所用数据和方法不一致的因素影响。9.1.3.5.4基于风险的思维应用要点1）防范分析缺位与监视评价脱节：未开展分析评价工作，组织无从判定产品和服务是否满足要求、体系有效性无法证实、改进机会被系统性错过；未按9.1.1确定的时机衔接监视测量与分析评价，数据沉睡、评价断链。2）防范概念窄化与数据获取失能：避免将分析评价窄化为“数据统计报表”，应围绕判定符合性、评价有效性、识别改进机会三大目的组织分析活动；信息获取能力不足会导致分析评价滞后或无法执行。3）防范数据失真与历史数据失效：数据不能为决策提供可靠依据将误导决策、基于失真数据的评价结论损害决策质量；旧数据支撑新结论存在失效风险。4）防范确认偏误与范围失当：避免刻意寻求或解读信息以印证既有观点或预期、使分析沦为“选择性举证”；保持开放心态、重视与固有假设相悖的证据；避免范围失当导致的效率低下或资源浪费。5）防范人员不胜任、软件误用与统计技术误用：使用软件建模和分析时，谨防因算法不足、设计假设、输入数据错误、数据转换问题或对输出的错误解读产生无效结果（商用软件一般为“黑箱”，会放大差错而使用者未察觉）；对分析人员能力、抽样与假设局限性、定性量表运算限制等保持警觉。9.1.3.5.5基于机遇的思维应用要点1）建立机遇分析的平行过程：由同一跨职能团队在分析风险相关数据的同时，逐项识别数据中可能对质量管理体系绩效及预期结果产生有益效应的要素或条件，形成“分析机遇清单”，保留所有者、措施与评审记录。2）数据质量体系机遇：建立覆盖代表性、无偏性、时效性、完整性、准确性五项要求的数据质量保障机制，通过数据分析了解已发生的后果及其可能性以便从经验中学习、了解趋势和模式（含周期性）及其对未来影响、获得相关性为进一步验证可能的因果关系提供信息。3）统计技术与数字化使能机遇：运用描述性统计、趋势图、控制图、时间序列分析等图形化与量化技术揭示数据中不易在数值分析中发现的异常特性与变化趋势，为改进方向判定和机遇识别提供线索；运用新技术扩展机遇视野（市场份额分析可采用人工智能算法开展的分析，社交媒体监测可采用网络爬虫）。4）不确定性管理与软件验证机遇：运用敏感性分析评价分析数据和假设条件中不确定性的显著性，识别对结果尤为重要的参数并持续监控、更新评估，明确分析局限并与决策者沟通；使用具有已知输出——输入关系的简单模型测试新分析软件、保留测试细节，通过增减输入值检查模型错误，核实输出合理性后再用于评价。5）能力提升机遇：提升组织的信息获取能力（电子方式、自动获取），使分析评价频次与所涉及风险和机遇的等级要求相匹配。9.1.3.6利用分析结果开展的评价（a）～h）项）9.1.3.6.1a）产品和服务的符合性1）数据来源与量化口径：产品和服务的符合性可通过对标数据予以体现——产品：不合格率、报废率、返工率、准时交付率、订单履约情况等；服务：排队时长、顾客问题解决情况、服务获取便捷性、清洁度、现场管理、服务态度友好度等；据此开展符合性判定，避免符合性判定缺乏量化依据。2）基于风险的思维应用要点：应用统计过程控制（SPC）控制图、趋势图等统计技术监控过程稳定性，识别描绘点超出控制限的“失控”信号及其“可查明原因”，必要时调查并调整过程，防范不合格输出扩大的风险；避免只看最终合格率而不看过程波动的失效模式；按GB/T19027-2025选择描述性统计、抽样、假设检验、过程能力分析、可靠性分析等适宜统计技术，确保抽样方案与数据代表性，防范因样本偏差导致符合性误判。3）衔接与反馈：将符合性分析中暴露的风险点（如特定过程能力不足、特定供方来料异常）反馈至8.7不合格输出控制、10.2纠正措施，必要时更新风险清单。4）基于机遇的思维应用要点：从符合性数据中识别过程优化机遇（过程能力提升、防错措施引入、冗余过程消除、新过程或新技术应用等）；实施新过程、优化现有过程、应用新技术、推出全新或改进型产品和服务等机遇应对措施，宜与产品和服务符合性提升目标相关联，并以符合性提升作为机遇收益的验证指标（如减少不合格输出、降低人为失误引发的事件发生率）。9.1.3.6.2b）顾客满意1）规范分析口径：顾客满意的监视结果来源于顾客调查、顾客对已交付产品和服务的反馈、与顾客座谈、市场占有率分析（包括采用人工智能算法开展的分析）、顾客赞扬、投诉、担保索赔、经销商报告或社交媒体等；可按顾客类型、区域、销售量或其他准则分类分析，避免以偏概全。2）基于风险的思维应用要点：防范顾客数据相关风险——避免调查疲劳、尊重顾客边界、运用大数据分析，防范敏感顾客数据丢失或滥用；开展异常信号的风险研判——投诉、担保索赔等负面信息上升时，研判其背后的风险源与驱动因素，触发对相关过程风险与机遇的再评审；当符合性达标而顾客满意下降时，提示规定要求本身可能未充分反映顾客需求和期望。3）基于机遇的思维应用要点：运用净推荐值（NPS）、卡诺模型、质量功能展开（QFD）、顾客价值潜在收益（PGCV）指数等工具识别顾客未被满足的需求与潜在期望，为新产品或新服务开发提供输入；运用流失业务分析、神秘顾客、焦点小组、顾客调查等方法揭示服务流程再设计、顾客体验提升机遇；对反复出现的顾客问题分析并改进其根本原因，不仅防止顾客流失，还可减少返工、改善顾客体验并形成竞争优势。4）输出与衔接：顾客满意分析评价结论作为b）项结论，纳入管理评审输入（顾客满意及有关相关方的反馈）。9.1.3.6.3c）质量管理体系的绩效和有效性1）以目标完成状态为评价载体：质量管理体系的绩效和有效性，可通过质量目标相关策划措施的完成状态等予以体现；设定关键绩效指标（KPI）并监视其波动，KPI与绩效可接受波动范围可揭示对战略或业务目标的潜在风险。2）基于风险的思维应用要点：警惕“感觉良好”式评价，避免管理评审时以主观判断替代数据支撑；当绩效未达标时，区分是策划问题、执行问题还是资源问题，追溯其对体系预期结果的影响，必要时更新风险与机遇清单并调整资源配置；运用过程地图、流程图将过程网络可视化，避免孤立地评价过程而不考虑其重要性、复杂性、相关风险及对整体体系和目标的影响。3）基于机遇的思维应用要点：将体系绩效数据作为机遇识别的系统性输入，支撑“哪些工作可以做得更好、如何全面改进工作开展模式”的判断；运用平衡计分卡（BSC）、目标管理（MBO）、方针管理（X-矩阵）等工具开展体系绩效的多维量化分析，将绩效数据与战略方向衔接，识别目标设定优化、资源整合和跨职能协同的机遇；运用绩效分析方法识别组织的资源不足或效率低下、人员能力或组织知识不足、管理体系未能充分应对风险和机遇、领导作用方面的不足与潜在优势，以及具有显著绩效可作为模式改进其他过程的活动；对标已建立的标杆开展标杆对比，寻找内外最佳实践，确定绩效差距和改进领域。4）输出与衔接：体系绩效和有效性评价结论纳入管理评审输入（质量目标的实现程度、过程绩效以及产品和服务的合格情况等）。9.1.3.6.4d）策划实施的有效性1）评价载体：策划的有效性可通过策划项目的进展状态、预算、进度及结果等予以体现；对进度延误、预算超支、结果偏离预期设定监测指标与预警临界值，识别预警信号并分级。2）基于风险的思维应用要点：开展偏差分析，对未按策划实施的事项分析其原因（如资源短缺、职责不清、内外部环境变化），判定是否需要调整策划、更新风险与机遇清单或启动变更的策划；防范“策划归策划、执行归执行”的失效模式，确保评价结论反馈至策划环节，形成“策划—实施—检查”的验证闭环，避免策划与实际执行脱节的风险持续累积。3）基于机遇的思维应用要点：从策划执行偏差中识别策划方法改进机遇——分析偏差原因可揭示策划工具选择、目标设定方式、资源配置和进度安排的优化空间，为后续质量目标策划、变更策划和运行策划提供改进输入；将经证实有效的策划项目成果固化为组织的知识与新实践方法并推广应用。4）输出与衔接：策划实施有效性评价结论作为d）项结论，衔接6.2质量目标监视与6.3变更策划。9.1.3.6.5e）应对风险所采取措施的有效性1）建立评价闭环：建立“事前预设目标—事中监测预警—事后效果验证”的评价闭环；将风险应对措施有效性评价与6.1.2应对风险的措施一一对应，核验6.1.2策划中“如何评价措施有效性”的落实情况，评价措施是否达到预期效果；对风险而言，有效性通常表现为下游度量——风险未再发生，或发生后其对目标的影响小于措施实施之前；评价结论反馈至策划环节形成动态迭代机制。2）以风险登记表为跟踪基础：风险登记表可用作跟踪应对措施实施情况的基础（风险所有者、行动、行动所有者、行动业务案例摘要、预算和时间表等信息），记录、报告并保持更新；风险应对是循环提升的过程——评估风险应对措施的成效、确定剩余风险是否可接受、若不可接受则采取进一步应对措施，并关注应对措施可能产生的新风险。3）预警与多元化评价证据：针对需重点关注的风险设置风险预警指标体系，通过将指标值与预警临界值的比较识别预警信号并进行预警分级；对事件、违规和损失的披露可深入了解风险应对的有效性；趋势分析可显示风险组合观、风险概况和绩效的进展与变化；采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法检验关键控制活动的有效性；风险管理职能部门定期检查并出具评价报告、内部审计部门实施年度监督评价，形成多层级有效性证据链。4）考核报告与再评审：根据风险管理职责设置风险管理考核指标并纳入绩效管理；风险管理职能部门定期对各部门风险管理实施情况和有效性进行考核，形成考核结论和考核报告报送管理层与绩效管理部门；评审已识别风险的持续适用性（各类因素如返工率或报废率上升可能导致其发生变化），防范“风险清单写了就放着、不验证效果”的失效模式；适用时，按监管要求对重大经营风险事件履行首报、续报和终报等报告义务。5）基于机遇的思维应用要点：在风险应对有效性评价中同步寻找机遇——风险得到有效控制后的稳定性改善、成本下降、过程可靠性提升本身可转化为支撑质量目标达成的基础，宜识别在此基础上的进一步提升空间（如供应链韧性增强后拓展多元供方合作、知识冗余建立后释放骨干人员投入创新等）；通过监视和评审“从失败和成功中学习”，将经证实有效的风险应对实践固化为组织的知识、新实践方法或新过程并推广。9.1.3.6.6f）应对机遇所采取措施的有效性1）基于风险的思维应用要点：研判机遇应对措施伴随的衍生风险——评价机遇利用措施有效性时，应同时识别并评价机遇利用过程中伴随的衍生风险及其对质量管理体系的潜在影响，只有同时评估机遇收益与衍生风险控制效果，才能全面判断机遇措施的真实价值；警惕机遇“伪对称”陷阱——不得将机遇简单作为风险的镜像登记（如“风险：失去重要顾客；机遇：不失去该顾客”），此类对称登记不构成有效证据，机遇应是组织能够实际利用、开发或推进以改善结果的实质性情形；防范机遇评价形式化风险——避免机遇仅作为风险表中附带的数行乐观描述，无所有者、无措施、无有效性度量。2）建立独立的机遇台账：机遇（即可以利用的情况或想法）通常单独记录，并以考虑成本、收益和任何潜在负面后果的方式进行分析；机遇台账应具备与风险登记表同等的管理纪律——机遇所有者、计划措施、预期结果、有效性度量与评审日期，可采用“推进/暂缓/不推进”的决策及理由记录。3）以价值指标评价有效性：对机遇而言，有效性通常表现为价值度量——预期有益效应是否实现并得以保持、实现了何种收益；风险与机遇的有效性评价结论应分开报告（如分别报告“多少项风险措施经验证有效”“多少项机遇措施实现预期收益并量化收益”），不得合并为单一结论。4）复核措施选项并输出衔接：复核机遇应对措施是否涵盖采用能够实现更优成果的新实践方法或运行新过程、基于相关方需求和期望的评价洞察开展研发推出新产品、识别与自身战略方向契合的潜在合作方建立新的合作关系、应用能够提升生产效率和质量的新技术、实施各类举措满足顾客及其他相关方当前和不断变化的需求与期望等选项，评价措施与组织所处环境的适宜性及其对预期结果的支持程度；将评价结论作为管理评审输入（对应h）项）和持续改进的输入，并反馈至6.1.3更新；保留已识别机遇及应对措施有效性的成文信息。9.1.3.6.7g）外部供方的绩效1）明确供方绩效指标与分析方法：外部供方的绩效可通过准时交付率、质量水平、拒收率等予以体现；应用描述性统计、抽样等统计技术分析供方绩效数据（按GB/T19027-2025表1，外部供方过程的控制数据可采用描述性统计、实验设计、假设检验、测量系统分析、过程能力分析、可靠性分析、抽样、统计过程控制、统计容差法、时间序列分析等）；避免“只看价格、不评绩效”的失效模式，将供方绩效风险与组织质量目标关联研判。2）识别供应链依赖风险：警惕独家外部供方（单点故障）引发的风险；对关键供方失稳、来料质量波动、供方知识或能力流失等设定早期预警信号并纳入风险登记表；对供方风险进行重要性评价时宜考虑控制失败的可能性。3）联动供方管理机制：将供方绩效评价结果与外部供方的评价、选择、绩效监视和再评价准则联动，形成供方绩效动态管理机制；当外部供方不满足要求时，应确定并采取必要措施；按策划的时间间隔评价外部供方满足规定要求的绩效，并调整组织管控的类型与程度，以管理相关的风险和机遇。4）基于机遇的思维应用要点：基于供方绩效数据识别与自身战略方向契合的潜在合作方，签订正式协议建立新的合作关系；发掘供应资源配置优化、联合改进和能力共建的机会（例如供方多元化提升交付韧性并缩短中断后的恢复时间）；评估云服务、人工智能、新型信息通信技术等新兴技术在供方协同与绩效监视中的应用空间。9.1.3.6.8h）质量管理体系改进的需求1）综合关联分析识别改进需求：h）项处于评价链条的终点与改进链条的起点，应综合a）～g）项全部评价结果系统识别体系层面的改进需求；某一维度的异常往往可追溯至其他维度的潜在原因，需综合多维度信息进行关联分析方可识别真正根因；避免孤立评价各过程而不考虑其重要性、复杂性、相关风险及对整体体系和目标的影响。2）区分改进类型并设定优先级：区分日常改进与战略突破型改进，分别纳入持续改进或纠正措施予以应对；可采用帕累托图（80-20法则）设定优先级，明确“改什么、先改什么”，并利用风险指数、决策树、多标准分析等技术在改进选项之间进行权衡决策。3）基于风险的思维应用要点：防范改进需求漏判风险——避免改进机会识别停留在表面、仅聚焦问题的症状或直接原因而不挖掘深层的系统性原因；确保改进需求有数据与评价证据支撑，避免“分析完就完了、不输出改进项”；警惕分析人员能力不足、范围界定不当或确认偏误导致改进方向误判；避免改进举措资源配置不足（未分配时间、预算或专业人员）以及将改进视为“质量部门的任务”而非全组织共同责任。4）基于机遇的思维应用要点：将改进需求同时视为改进机遇——质量管理体系改进的需求本身即是体系绩效提升机遇的来源；从审核发现、检验结果、试验数据、管理评审、产品和服务绩效分析、顾客投诉、社交媒体评论等分析输出中识别改进机会，并配合水平对比、创新举措、过程再造、顾客调查、市场调研等主动方式识别未来需求与期望；在适宜且可行的前提下开展对标研究，借鉴同行最佳实践，形成改进与突破的机遇清单；将改进需求识别作为持续改进的直接输入，并纳入战略会议、管理评审等场景下的机遇再识别。9.1.3.7分析评价结果的输出与应用9.1.3.7.1报告化输出与沟通1）以趋势分析报告、平衡计分卡、管理仪表盘等报告形式呈现分析和评价输出，直观展示绩效和关键结果趋势（红绿灯图表、帕累托图、趋势图等），形成结构化、可视化的决策信息产品；形成“数据→分析→措施→验证”的完整证据链。2）数据宜客观呈现以使决策建立在充分知情的基础上，并尽可能记录假设、差距和例外情况以促进透明性；分析结论宜共享至相关部门与层级，统一数据口径，防止各职能各取所需、口径不一，避免循证决策失去共同事实基础。9.1.3.7.2与管理评审的衔接1）将分析评价结果作为管理评审必列输入——覆盖质量管理体系绩效趋势信息（不合格及纠正措施、监视和测量结果、审核结果、顾客满意和相关方反馈、质量目标的实现程度、过程绩效以及产品和服务的符合情况、外部供方的绩效）以及应对风险和应对机遇所采取措施的有效性（分别列示）。2）管理评审依赖的绩效趋势信息缺乏9.1.3分析支撑时将导致输入“空心化”；分析评价输出未作为管理评审输入、未用于确定体系改进措施时，分析活动与决策“两张皮”；组织宜确保管理评审记录中包含具体的分析发现及基于该发现的决定。9.1.3.7.3与持续改进的衔接1）将分析评价结果与持续改进衔接——组织应考虑数据和信息的监视、测量、分析与评价结果以及管理评审结果确定改进机遇，将其作为持续改进的一部分予以应对；缺陷类发现触发纠正措施，趋势类系统性发现纳入持续改进，必要时开展突破性变革与创新。2）运用改善（Kaizen）、自我评价模型、六西格玛等方法实现渐进式或突破性改进；将经证实有效的做法固化为新实践方法或新过程并推广应用，形成PDCA闭环。9.1.3.8常见风险防范组织宜防范下列常见问题：a）分析缺位：未开展分析评价工作，组织无从判定产品和服务是否满足要求，体系有效性无法证实，改进机会被系统性错过；b）监视评价脱节与数据沉睡：未按9.1.1确定的时机衔接监视测量与分析评价，评价断链；c）概念窄化：将分析评价窄化为“数据统计报表”，未围绕判定符合性、评价有效性、识别改进机会三大目的组织分析活动，分析活动流于形式；d）数据失真与历史数据失效：数据缺乏代表性、无偏性、时效性、完整性和准确性；以旧数据支撑新结论；e）确认偏误与范围失当：分析沦为“选择性举证”，不重视与固有假设相悖的证据；分析范围未界定并传达，效率低下或资源浪费；f）人员不胜任与软件误用：分析或评价人员缺乏必要的知识、经验或对场景背景的理解；商用软件“黑箱”放大差错而使用者未察觉；g）评价浅表与绩效窄视：孤立评价过程而不考虑其重要性、复杂性、相关风险及对整体体系和目标的影响；过度依赖滞后指标（缺陷率、顾客投诉等），未补充过程稳定性、培训有效性、未遂事件等领先（预测性）指标；h）有效性评价失灵与风险机遇失察：未评价应对风险和应对机遇所采取措施的有效性，措施实施后是否真正防范了风险、抓住了机遇无从判断，风险管理闭环断裂；未察觉返工率或报废率上升等因素导致风险和机遇发生变化；i）供方评价缺失与改进需求漏判：未通过准时交付率、质量水平、拒收率等评价外部供方绩效，绩效劣化未被及时发现并传导至交付；改进机会识别停留在表面、改进资源保障不足；j）输入断裂与成果封闭：分析评价输出未作为管理评审输入、未用于确定改进措施，分析活动与决策“两张皮”；分析结论未共享至相关部门与层级，各职能口径不一，循证决策失去共同事实基础。9.1.3.9成文信息与记录9.1.3.9.1建议的成文信息组织宜建立并保持：a）分析与评价策划方案（含评价项目、数据来源、方法、基准、频次与职责）；b）分析与评价记录与报告（含分析结果、趋势、评价结论与措施建议）；c）风险与机遇清单及其再评审记录（含应对措施有效性验证结论，风险与机遇分别记录）；d）管理评审输入材料（质量管理体系绩效趋势汇总部分）；e）外部供方绩效评价记录；f）纠正措施与改进项目立项及验证记录。9.1.3.9.2证据链与审核佐证1）需保留的成文信息为取得的结果或活动按计划进行提供证据，其作用包括：确信过程是按计划进行的、证明符合质量管理体系的要求、证明质量管理体系的绩效和有效性、满足顾客和法律法规或其他有关相关方的要求；宜规定成文信息的保留期以及保留期结束时的处置方法。2）审核将核实组织具有适宜的分析和评价过程并有效使用数据——管理评审的记录中宜包含具体的分析发现及基于这些发现的决定；认证审核中将核查依据质量管理体系关键绩效、目标和指标，对绩效进行的监视、测量、报告和评审的情况。3）分析评价结果宜形成成文信息予以保护并在需要的时间和地点可供使用，防止损坏、非预期或未经授权的更改；记录和报告旨在在组织各层级通报相关活动及结果、为决策制定提供信息、改进相关活动、促进与相关方的互动。9.1.3.10应用工具与方法9.1.3.10.1统计技术类工具1）描述性统计：计算均值、极差、标准差、合格率、PPM值等；经常在管理评审中发挥作用。2）统计过程控制（控制图）：监控关键过程是否处于统计受控状态，识别失去控制的信号及可查明原因。3）过程能力分析（Cp/Cpk）与测量系统分析：评价过程满足要求的能力及测量系统的可靠性（如重复性和再现性）。4）抽样、假设检验、实验设计、可靠性分析、时间序列分析：按GB/T19027-2025（ISO10017:2021）选择适用技术，应用于进货物料的质量评定与控制、过程的控制与优化、产品和服务的绩效与可靠性评价等场景。9.1.3.10.2分析类工具1）排列图（帕累托图）：寻找不合格、投诉、故障的主要原因（80/20法则），设定改进优先级。2）趋势图/折线图：观察指标随时间变化趋势，支撑趋势判定与预警。3）直方图、散布图、分层法：分析数据分布形态、变量相关关系及各维度差异。4）因果图（鱼骨图）、根原因分析（RCA）、五问分析：系统分析问题原因，追溯根本原因。9.1.3.10.3评价与决策选择类工具1）后果-可能性矩阵、风险指数：对绩效趋势揭示的风险（如返工率或报废率上升、外部供方绩效下滑）开展再评估。2）决策树分析、多标准分析、成本/收益分析：在改进选项之间权衡决策。3）敏感性分析：评价分析数据和假设条件中不确定性的显著性，识别对结果尤为重要的参数。9.1.3.10.4报告与展示类工具1）平衡计分卡（BSC）、目标管理（MBO）、方针管理（X-矩阵）：开展体系绩效的多维量化分析，将绩效数据与战略方向衔接。2）管理仪表盘、交通灯评级法/热力图：直观展示绩效状态与风险信号（红、黄、绿三色表示事态）。3）趋势分析报告与红绿灯图表、雷达图：呈现绩效和关键结果趋势及多维度对比。9.1.3.10.5工具的选择与组合应用1）常规周期性分析以描述性统计与趋势图为主；对重复发生或批量性问题采用排列图确定主因、因果图分析根因；对关键过程采用控制图进行过程能力监控；统计技术的选择及应用方式取决于使用的环境和目的、组织的规模和复杂性以及对组织的潜在益处。2）对高度不确定的问题，综合使用多种技术通常能提供更合理的观点；分析人员应经过相应统计技术培训；对模型与数据局限保持警觉，运用敏感性分析、压力测试、与历史数据比较等方法核查分析结果。3）使用新分析软件时宜先验证：使用具有已知输出——输入关系的简单模型测试、保留测试细节、通过增减输入值检查模型错误，核实输出合理性后再用于评价。附件A（资料性）分析与评价策划表附件A.1分析与评价策划表（模板）序号评价项目（数据与信息对象）数据来源分析方法与统计技术评价基准与判定准则频次与研讨形式职责输出与用途成文信息1相关数据和信息的收集、验证与质量保障（总要求）2a）产品和服务的符合性3b）顾客满意4c）质量管理体系的绩效和有效性5d）策划实施的有效性6e）应对风险所采取措施的有效性7f）应对机遇所采取措施的有效性8g）外部供方的绩效9h）质量管理体系改进的需求注：评价基准宜明确目标基准、历史基准、能力基准与外部基准；风险与机遇相关项目的结论应分开记录、分开报告。附件B（资料性）分析与评价记录表附件B.1分析与评价记录表（模板）序号评价项目数据来源与统计期间分析方法与工具分析结果（趋势、偏差、异常信号）评价结论（对照评价基准）措施建议（纠正、预防、改进）责任部门/岗位及日期跟踪验证123注：本表可用于承载a）～h）各项评价输出；对“异常”类结论宜及时启动纠正措施，对“关注”类结论宜制定预防性改进计划。附件C（资料性）管理评审输入——质量管理体系绩效趋势汇总表附件C.1管理评审输入——质量管理体系绩效趋势汇总表（模板）序号绩效信息类别本期数据趋势（改善/恶化/波动）评价结论（与目标/基准对比）风险与机遇信号决策建议1不合格及纠正措施2监视和测量结果3审核结果（含第一方、第二方和第三方）4顾客满意及有关相关方的反馈5质量目标的实现程度6过程绩效以及产品和服务的合格情况7外部供方的绩效8应对风险所采取措施的有效性9应对机遇所采取措施的有效性注：各类绩效信息宜以趋势而非孤立数字呈现；第8、9行应分别填写、分开报告。附件D（资料性）分析与评价成文信息清单附件D.1分析与评价成文信息清单（模板）序号成文信息名称类型（保持/保留）载体与格式来源活动用途（证据链环节）保存期限责任部门/岗位1分析与评价策划方案保持2分析与评价记录与报告保留3风险与机遇清单及再评审记录保持（定期更新）4应对风险/机遇所采取措施有效性验证记录保留5管理评审输入材料（绩效趋势汇总）保留6外部供方绩效评价记录保留7纠正措施与改进项目跟踪记录保留注：宜规定成文信息的保留期以及保留期结束时的处置方法；成文信息宜在需要的时间和地点可供使用并受保护。附件E（资料性）“9.1.3分析与评价”条款（过程）风险和机遇清单附件E9.1.3条款（过程）风险和机遇清单9.1.3条款（过程）9.1.3条款（过程）对应风险清单9.1.3条款（过程）对应机遇清单总要求（组织应分析和评价通过监视和测量获得的相关数据和信息）（1）分析缺位风险：本条款旨在确保组织对通过监视和测量获取的数据和信息进行分析和评价，以判定其产品和服务是否满足要求、同时评价质量管理体系的有效性并识别改进机会；未开展分析评价工作，组织无从判定产品和服务是否满足要求，体系有效性无法证实，改进机会被系统性错过；

（2）监视评价脱节风险：监视和测量提供可用于分析和评价的数据和信息，未将监视测量活动与分析评价衔接（未按9.1.1确定的时机开展分析评价），数据沉睡、评价断链；

（3）数据获取失能风险：开展数据分析和评价的频次取决于组织的信息获取能力（电子方式与纸质方式、自动获取与人工获取），信息获取能力不足，分析评价滞后或无法执行；

（4）概念窄化风险：将分析评价窄化为“数据统计报表”，未围绕判定符合性、评价有效性、识别改进机会三大目的组织分析活动，分析活动流于形式（1）判定框架机遇：系统建立“分析数据信息→利用分析结果评价a)～h)项→输出报告→作为管理评审和改进输入”的闭环分析评价架构，使组织能够可靠判定产品和服务是否满足要求、体系是否有效，并主动识别改进机会；

（2）PDCA联动机遇：以9.1.3作为PDCA循环“检查（Check）”环节的核心落点——对照方针、目标、要求和所策划的活动对过程及产品和服务进行监视测量并报告结果，支撑“处置（Act）”环节采取措施改进质量管理体系绩效；

（3）能力提升机遇：提升组织的信息获取能力（电子方式、自动获取），使分析评价频次与所涉及风险和机遇的等级要求相匹配（分析评价频次由风险和机遇等级决定），实现“风险越高、分析越频”的差异化评价投入；

（4）循证决策机遇：落实“循证决策”承诺——基于数据和信息的分析评价开展决策，坚持改进以事实为依据，提高决策质量分析数据与信息（对监视测量获得的相关数据和信息开展分析，确保数据质量与方法适宜）（1）数据失真风险：未确保所采用的方法生成的数据具有代表性、无偏性、时效性、完整性和准确性，数据不能为决策提供可靠依据，基于失真数据的评价结论误导决策；

（2）历史数据失效风险：不能假设过去的数据继续适用于未来，未评估所用信息的有效性、可靠性和局限性（信息的年代和相关性、来源及收集方法、不确定性和缺失、数据集算法和模型的权威性），旧数据支撑新结论；

（3）确认偏误风险：刻意寻求或解读信息以印证既有的观点或预期，未保持开放心态、不重视与固有假设相悖的证据，分析沦为“选择性举证”；

（4）范围失当风险：未基于目标、风险及既往结果明确界定并传达分析范围，导致效率低下或资源浪费；

（5）人员不胜任风险：开展分析或评价的人员缺乏必要的知识、经验或对场景背景的理解，导致结论错误；

（6）软件误用风险：使用软件建模和分析时，因算法不足、设计假设、输入数据错误、数据转换问题或对输出的错误解读产生无效结果，商用软件“黑箱”放大差错而使用者未察觉（1）数据质量体系机遇：建立覆盖代表性、无偏性、时效性、完整性、准确性五项要求的数据质量保障机制，通过数据分析了解已发生的后果及其可能性以便从经验中学习、了解趋势和模式（含周期性）及其对未来影响、获得相关性为进一步验证可能的因果关系提供信息；

（2）统计技术机遇：将统计技术作为分析和评价过程的有效工具（数据分析方法可包括统计技术），按ISO10017:2021选择适宜统计技术，应用于进货物料的质量评定与控制、过程的控制与优化、产品和服务的绩效与可靠性评价等广泛场景；

（3）不确定性管理机遇：运用敏感性分析评价分析数据和假设条件中不确定性的显著性，识别对结果尤为重要的参数并持续监控、更新评估，明确分析局限并与决策者沟通；

（4）软件验证机遇：使用具有已知输出输入的简单模型测试新分析软件、保留测试细节，通过增减输入值检查模型错误，核实输出合理性后再用于评价a)～d)项评价（产品和服务符合性；顾客满意；质量管理体系绩效和有效性；策划实施有效性）（1）符合性误判风险：未通过不合格率、报废率、返工率、准时交付率、订单履约情况评价产品符合性，未通过排队时长、顾客问题解决情况、服务获取便捷性、清洁度、现场管理、服务态度友好度评价服务符合性，符合性判定缺乏量化依据；

（2）评价浅表风险：孤立地评价过程而不考虑其重要性、复杂性、相关风险以及对整体体系和目标的影响，评价碎片化、结论片面；

（3）绩效窄视风险：过度依赖滞后指标（缺陷率、顾客投诉等输出结果），未考虑过程稳定性、培训有效性、未遂事件等领先（预测性）指标，无法识别潜在根本原因、错失提前预防问题的机会；

（4）有效性评价缺位风险：未通过质量目标相关策划措施的完成状态评价体系绩效和有效性，未通过策划项目的进展状态、预算、进度及结果评价策划实施的有效性，