ISO9001-2026质量管理体系风险管理应用指南（雷泽佳编制）

ISO9001-2026质量管理体系风险管理应用指南（雷泽佳编制）.1内外部因素影响的普遍性与目标实现的不确定性任何类型和规模的组织都面临不确定性。任何类型和规模的组织都受到各种内外部因素的影响，导致其目标的实现存在不确定性。这一表述明确了风险管理的适用边界：本指南为管理各种类型的风险提供通用方法，适用于组织全生命周期的任何活动，包括所有层级的决策制定，而非仅针对某些特定行业或领域；ISO31000适用于任何组织，无论其规模、行业或部门。不确定性及其与风险的关系。不确定性是与理解或知识有关的信息不足的状态，是风险的根本来源；风险是不确定性对目标的影响，影响指偏离预期，偏离可能是正面的和/或负面的，可能带来机会和威胁，目标可有不同维度和类型，可应用在不同层级。在质量管理语境下，风险通常被理解为不确定性对质量管理体系实现其预期结果的能力产生负面效应的情形，机遇则是能够对质量管理体系绩效产生有益效应的情形。目标的广泛领域。这些目标关系到组织中从战略决策到运营的各种活动，表现在战略、运营、财务、环境、社会、声誉等各个方面。管理会计语境下，企业风险是对企业的战略与经营目标实现产生影响的不确定性；在ESG等领域，风险可影响组织的盈利能力、成功甚至生存，声誉影响往往源于其他风险事件而非本身就是风险。在质量管理体系中的落实要求。组织应确定与其宗旨和战略方向相关并影响其实现质量管理体系预期结果能力的各种外部和内部因素，并对其进行监视和评审；外部因素可包括法律法规要求、行业特定要求和协议、竞争、全球化、社会、经济、政治和文化因素、技术创新和进步、自然环境等，内部因素可包括规模和复杂性、活动及相关过程、战略、产品和服务类型、绩效、资源、员工能力和组织知识水平、成熟度、创新等。0.2风险管理为决策、运营和突发事件应对提供支持基本作用路径。风险管理通过考虑不确定性及其对目标的影响，采取相应的措施，为组织的决策和运营以及有效应对各类突发事件提供支持。其作用路径可分解为：考虑不确定性及其影响（识别内外部环境的不确定性并分析其对多维度目标的潜在影响）、采取相应措施（基于风险分析结果制定并实施规避、减轻、转移或接受等措施）、支持决策与运营（为决策提供基于风险的信息支持，减少运营中断和损失的可能性）、有效应对突发事件（通过应急预案、应急演练和应急响应机制确保迅速有效反应）。风险管理与管理活动的关系。管理风险是对特定风险或风险类别的识别、分析和评价、监视和应对的过程，而风险管理则是将管理方针、程序和操作方法系统地应用于沟通、协商、明确环境以及风险识别、分析、评价、应对、监视与评审等活动；两者是常规管理向"影响目标之不确定性"延伸的统一体，不宜割裂。在质量管理体系中的支持作用。应用两类思维有助于识别并应对可能影响组织实现预期结果能力的因素，从而建立运行活动的受控条件；在策划和实施应对风险的措施时，应用基于风险的思维有助于决定质量管理体系过程如何策划、实施和控制，也有助于使质量管理体系即使在发生中断事件时仍能持续实现预期结果。风险管理通过提供风险知情决策的方法和流程（考虑与决策相关风险的知识和信息以及风险是否处于可接受水平）增强决策和行动的合理性。0.3风险管理的宗旨四项宗旨。风险管理旨在保证组织恰当地应对风险，提高风险应对的效率和效果，增强决策和行动的合理性，有效地配置资源。ISO31000的修订以"创造和保护价值"作为风险管理的关键驱动，旨在帮助组织提高实现目标的可能性、改进对机会和威胁的识别，并为风险处置有效地分配和使用资源。恰当应对与效率效果。"恰当应对"要求组织建立结构化的风险应对决策机制（如依据法律监管要求、组织政策与风险准则、健康安全和总效益成本等顺序确定应对必要性）；"提高效率和效果"要求风险管理活动与组织现有管理过程和管理体系相整合，利用现有资源逐步嵌入，避免形成"孤立"的风险管理并产生重复消耗。决策合理性、资源配置与韧性。风险管理通过使决策者看到风险的正面和负面后果，提供机会对资源使用做出更明智、更有效的决策，进而提升组织治理水平和韧性；组织可运用基于风险的思维对资源供给开展成本效益分析，确保资源配置与风险状况相匹配。0.4管理风险的循环提升特性循环提升的基本内涵。管理风险是一个循环提升的过程，有助于组织制定战略、实现目标和做出合理的决策。风险管理应被视为持续、主动的过程而非反应性、孤立的活动；它不是一次性任务，而是持续循环、不断提升的过程，组织应定期评估风险状况，根据评估结果调整风险管理策略，并在实践中不断学习和改进。迭代性与反馈机制。ISO31000修订更加注重风险管理的迭代特性，利用新的经验、知识和分析对过程各阶段的要素、行动和控制进行修订，并维持与外部环境定期交换反馈的开放系统模式；引言的这一定位可概括为：管理风险是迭代性的工作，帮助组织制定战略、实现目标和做出明智决策。在质量管理体系中的循环机制。组织宜以"确定—策划措施—整合实施—评价有效性—更新再评审"的循环，实现风险管理与PDCA循环、过程方法的有机统一，例如在战略会议、管理评审、内部审核、质量目标制定会议、新产品和新服务的设计开发策划阶段以及生产过程的策划阶段等多种场景中开展风险和机遇的识别与应对。0.5管理风险的治理与领导定位治理和领导作用的一部分。管理风险是组织治理和领导作用的一部分，为组织所有层级的管理提供基础，有助于管理体系的改善。ISO官方指出：处理风险是治理和领导作用的组成部分，是组织各层级管理的基础；ISO31000:2018更聚焦最高管理者的领导作用，强调最高管理者应确保风险管理融入所有组织活动，并首先从组织治理开始。最高管理层与监视机构职责。最高管理层和监视机构需确保将风险管理融入所有组织活动中，通过针对性设计和实施框架的所有要素、发布风险管理声明或方针、配置必要资源、分配权限职责和责任等展现领导作用和承诺；最高管理层负责管理风险，监视机构负责监视风险管理。董事会和高级管理层的支持是任何风险管理方案最重要的成功因素，其确定的"最高层的基调"和优先顺序将迅速而明显地决定风险管理成效。管理体系改善与绩效提升。风险管理有助于组织识别管理体系中的薄弱环节，通过持续改进和优化提高整体管理水平和效率；风险管理框架和过程的运用应以确保管理控制的一致性和有效性为目标与管理体系（涵盖战略与策划、合规、质量等领域）整合。在质量管理体系中，建立和实施质量管理体系是组织的一项战略决策，能够支持其改进绩效、增强顾客满意，其中一项潜在益处即"应对与组织环境和目标相关的风险和机遇"。0.6管理风险是组织所有相关活动的有机组成部分整合原则的体现。管理风险是组织所有相关活动的有机组成部分，包括与相关方的沟通。风险管理不是孤立的，而是组织目的、治理、领导作用和承诺、战略、目标和运营的一部分；将风险管理的原则、框架和过程融入组织其他管理活动及其制度办法，有助于推动风险管理的落实。全员职责与业务融入。风险管理不是独立于组织主要活动和过程之外的活动，而是各级人员职责的一部分、是相关组织过程的组成部分；组织内部的所有人都有管理风险的责任。组织宜将职责委派至各业务过程管理团队，并将符合性评审纳入常规业务评审环节，从而降低质量管理体系被视为"附加工作"的风险；基于风险与基于机遇的思维"始终"贯穿于过程管理之中，与基于机遇的思维并列构成管理过程与整个体系的聚焦点。与相关方沟通的贯穿性。沟通和协商宜贯穿风险管理全过程，组织宜汇集不同领域的专业知识，确保在界定风险准则和评价风险时适当考虑不同观点，并提供充分信息促进对风险的全面了解和决策制定；相关方适当、及时的参与，有助于提高组织的风险意识，并促进风险管理信息的充分沟通。审核领域同样体现整合要求：对组织风险和机遇的审核不应作为独立活动，而应贯穿整个审核过程。0.7考虑内外部环境，包括人的行为和文化因素内外部环境的全面考虑。管理风险时要考虑组织的内、外部环境。组织宜评审并了解其内外部环境，包括社会、文化、政治、法律、监管、金融、技术、经济、自然等外部因素，关键驱动因素和趋势，相关方的认知、价值取向、需求和期望，以及愿景、使命、价值观、治理方式、组织结构、战略、方针、文化、资源和知识能力等内部因素；在考虑外部和内部因素时，组织应考虑来自过去、现状和其战略方向的相关信息，并确定哪些因素能够为持续成功带来风险或增加机遇。人和文化因素。管理风险包括考虑人的行为和文化因素。人的行为和文化在各个层级和阶段显著影响着风险管理的各个方面；ISO31000:2018将"人和文化因素"列为有效风险管理的基本原则之一。最高管理者宜促进质量文化和道德行为，培育风险讨论文化并预留专项讨论时间，培养人员的风险评估能力，在重大决策前要求落实风险研判；质量文化是更广泛的组织文化的组成部分，受最高管理者的态度、思维和理解的显著影响，组织的文化和道德可通过共享的价值观、信念、历史、态度和观察到的行为来体现。文化建设的治理支撑。熟悉的组织文化环境若处理不当，可能导致管理体系（包括风险管理）流于形式；文化建设宜从高层开始，董事会和管理层对企业风险管理措施的基调和优先顺序将决定其成功，并应明确接受企业风险管理的目标、确定其作为组织实现使命和业务目标有机组成部分的基调。0.8原则、框架和过程的应用与适配图1确定的整体结构。图1列出了管理风险所依据的原则、框架和过程。这三个相互关联的部分包括：原则（第4章）——整合、结构化和全面性、定制化、包容性、动态性、最佳可用信息、人和文化因素、持续改进，以"创造和保护价值"为核心目的；框架（第5章）——领导作用与承诺、整合、设计、实施、评价、改进；过程（第6章）——范围环境和准则、风险评估（识别、分析、评价）、风险应对及贯穿全过程的沟通和协商、监视和评审、记录和报告。可能已部分存在、可按需调整改善。这些原则、框架和过程可能已全部或部分地存在于组织内，但可根据需要进行调整或改善，从而使管理风险的效果好、效率高，并且具有一致性。组织宜对其现有的风险管理实践及过程进行评价，并在上述框架内对评价出的差距进行改进优化；框架内各要素及其协同运作的方式宜结合组织需求进行针对性地设计。原则的定位是"有效和高效的风险管理提供指导，阐述了风险管理的意图、目的和价值"，宜在确立风险管理框架和过程时认真考虑。在质量管理体系中的适配应用。应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程；组织可选择采用更广泛的风险管理方法（如GB/T24353-2022/ISO31000），此时宜将风险管理的原则、框架和过程融入组织其他管理活动及其制度办法，以系统支撑两类思维在质量管理体系中的落实。框架和过程宜与使命、目标和战略一致，与特定环境的波动性、不确定性、复杂性和模糊性特征相适应；ISO9001-2026不强制特定风险矩阵、评分或术语体系，组织可结合自身目标和实际情况单独或综合应用风险矩阵、风险清单等工具方法；实施宜采取渐进、逐步构建的方式，可先行试点、验证可行性、总结经验后全组织推广，并将更新后的要求进入实际业务、按岗位落实。0.9指南目的：在决策、目标和绩效过程中管理风险，创造和保护价值指南的根本目的。本文件旨在帮助组织在制定决策、设定和实现目标以及提升绩效的过程中管理风险，创造和保护价值。风险管理的目的是创造和保护价值；风险管理能够改善绩效、鼓励创新、支持组织目标的实现；ISO31000:2018修订亦强调以"创造和保护价值"作为风险管理的关键驱动，并更加关注最高管理者参与及风险管理与组织的整合。价值创造的多重路径。风险管理通过更好的决策、风险管理、绩效改进以及设定和实现目标来创造和保护价值；应用风险管理可带来：改进战略和运营决策、增强对不确定性的识别和管理、保护组织价值与资源、支持目标实现、增强韧性与适应性，以及提升相关方与监管机构的信心和治理问责水平。管理风险还有助于增强组织应对环境变化的能力，使组织在维护和提升价值、改善绩效、改进决策方面持续受益。与质量管理体系及其他管理体系的协同。本指南是方法性指南而非认证要求（ISO31000提供的是指南而非要求，不用于认证目的）；其内容与ISO9001（质量管理）等管理体系标准互补，通过与治理、战略、策划、报告过程以及方针、价值观和文化的整合，支撑组织整体绩效提升。组织在质量管理体系中落实引言要求时，宜保持"内外部环境与相关方→风险和机遇→策划的措施→体系过程→绩效评价与改进"链条的真实贯通。图1原则、框架和过程ISO9001-2026质量管理体系风险管理应用指南范围1指南定位与用途用途。本文件为组织管理其在质量管理体系过程中所面临的风险提供指南，旨在帮助组织在制定决策、设定和实现目标以及提升绩效的过程中管理风险、创造和保护价值。性质。本文件为应用指导性文件，为组织将风险管理融入质量管理体系、融合运用基于风险的思维和基于机遇的思维开展过程风险管理提供专业操作指导。本文件不增加、不删减或以任何形式修改ISO9001-2026的要求，不拟用于审核或评价目的，也不规范强制性的实施路径或提供优先的解读方法。针对性应用灵活调整。组织可根据其具体环境，有针对性地应用本文件；确定应用方式时，组织宜考虑：a）ISO9001-2026中4.1所述内外部因素与4.2所述相关方要求；b）自身的规模与复杂程度、运作模式、活动范围；c）所面临风险和机遇的性质；d）所需成文信息的类型和范围，以及组织可用的资源与能力条件，并据此作灵活调整。裁剪与融合。组织可在保持适宜性的前提下，对方法、内容和记录要求进行裁剪；宜采取渐进、逐步构建的方式实施，避免过度细分子过程或过度文件化；宜将风险管理融入战略制定、治理、绩效管理和内部控制等现有过程及制度办法，避免“孤岛式”安排。通用方法属性通用方法。本文件为管理各种类型的风险提供了一种通用方法，而非仅针对某些特定行业或领域。本文件面向各类大中型组织（不针对特定行业）的质量管理体系过程风险管理活动；与ISO9001-2026“规定的所有要求是通用的”“适用于各种类型、不同规模和提供不同产品和服务的组织”的定位相一致，本文件不限定组织所处的行业、领域、地域以及产品和服务的类型。风险与机遇的衔接。在质量管理体系语境下，风险通常被理解为不确定性中对体系实现其预期结果的能力产生负面效应的情形，机遇则被理解为可能对体系绩效产生有益效应的情形，两者相互区别、可通过各自独立的过程予以确定和应对；本文件聚焦风险的管理，宜与基于机遇的思维协同应用，并可根据组织自身环境和特定领域（如质量、职业健康安全、财务等）进行定制化调整。适用活动范围全过程覆盖。本文件适用于组织全生命周期的任何活动。在质量管理体系语境下，本文件覆盖质量管理体系所需过程及其相互作用所涉及的全部活动，既包括提供产品和服务所需的过程，也包括保障质量管理体系有效性所需的过程，并与ISO9001-2026第4章至第10章所涉及的组织环境、领导作用、策划、支持、运行、绩效评价与改进等过程衔接应用。生命周期与层面。相关活动宜按PDCA（策划—实施—检查—处置）循环并基于风险和机遇的思维进行策划、监视、控制和改进，以识别失效环节、风险点和改进领域；本文件的方法可应用于战略、运营以及项目群和单个项目等不同层面，并宜考虑产品和服务生命周期各阶段（如设计和开发、生产和服务提供、交付以及交付后活动）中伴随的风险。决策层级覆盖全层级决策。本文件适用于所有层级的决策制定；组织宜在战略、战术和运行层面的策划与决策中运用本文件的方法，保持质量管理体系的一致性。组织内部的所有人（从最高管理者到操作层员工）都在其角色范围内承担管理风险的责任，最高管理者宜在重大决策前要求落实基于风险的思维研判。决策场景嵌入。风险和机遇的识别与应对宜结合业务决策在多场景中开展，例如：a）战略会议；b）管理评审；c）内部审核；d）质量目标制定会议；e）新产品和新服务的设计开发策划阶段；f）生产过程的策划阶段。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本（包括所有的修改单）适用于本文件。GB∕T23694-2024风险管理术语GB∕T24353-2022风险管理指南(DOC)GBT27921-2023风险管理风险评估技术GB/T46409-2025风险管理新兴风险管理指南GB∕T46410-2025风险管理风险预警ISO9001-2026质量管理体系——要求术语和定义GB/T24353-2022、GB/T23694-2024和ISO9000:2026界定的以及下列术语和定义适用于本文件。风险risk不确定性对目标的影响。注1：影响是指偏离预期，偏离可以是正面的和/或负面的，可能带来威胁和机遇；通常风险可以用风险源、潜在事件及其后果和可能性来描述。注2：目标可有不同维度和类型，可应用在不同层级；在质量管理体系中，风险与机遇的确定和应对围绕质量管理体系的预期结果（如持续稳定地提供合格产品和服务、增强顾客满意）展开。注3：不确定性是指信息缺失或了解片面的状态。注4：在质量管理体系中，风险通常被理解为不确定性对质量管理体系实现其预期结果的能力产生负面效应的情形；"风险"一词有时仅在有负面后果的可能性时使用。注5：风险和机遇相互区别，组织应分别确定、分析和评价（见ISO9001-2026中6.1）。风险管理riskmanagement指导和控制组织与风险相关的协调活动。注1：在不同场景下，风险管理的具体含义有所不同：有时是指管理具体风险的各项活动，如购买保险、进行套期保值、调整控制标准、调整项目方案等；有时是指管理风险的系统性思路和方法，如开展风险评估、风险应对的具体程序和方法等。注2：在质量管理体系中，风险管理是组织目的、治理、战略、目标和运营的一部分，通过基于风险的思维融入各层级决策以及过程的策划、实施和控制。注3：应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程；组织选择采用更广泛的风险管理方法时，可按GB/T24353-2022（ISO31000:2018）确立的原则、框架和过程系统开展相关活动。相关方interestedparty可影响决策或活动、受决策或活动所影响、或自认为受决策或活动影响的个人或组织。示例：顾客、所有者、组织内的人员、供方、银行、监管机构、工会、合作伙伴以及可包括竞争对手或相对立的社会群体。注1：本术语在GB/T23694-2024中表述为"利益相关者（interestedparty;stakeholder）"；在ISO9000:2026中，"利益相关者"为"相关方"的替代术语。注2：在质量管理体系中，组织应确定与质量管理体系有关的相关方及其相关要求，并进行监视和评审；相关方的要求是识别风险和机遇时应考虑的输入。风险源risksource可能单独或共同引发风险的要素或要素的集合。注1：一个风险可能是另一个风险的风险源。注2：外部风险因素（如经济、法律、社会、科学技术、自然环境等因素）和内部风险因素（如人力资源、管理、自主创新、财务、安全环保等因素）均是风险识别应关注的对象；组织宜同步审视目前存在及未来可能出现的风险源、已有的控制措施及其有效性。事件event某些特定情形的产生或变化。注1：一个事件可包括一个或多个情形，并且可由多个原因导致；事件可以有多种后果。注2：事件可能是预期会发生但没发生的事情，也可能是预期不会发生但却发生的事情。注3：某事件有可能是风险源。注4：在质量管理体系中，对所策划的产品和服务的提供产生负面影响的事件称为中断事件；基于风险的思维有助于使质量管理体系在发生中断事件时仍能持续实现预期结果。注5：GB/T23694-2024将"事件"表述为风险的每一种可能情景或可能情景的组合，如未来1年的价格风险可包括价格不变、价格上涨、价格下降三个事件。后果consequence某事件（3.5）对目标影响的结果。注1：后果可以是确定的，也可以是不确定的；对目标的影响可以是正面的，也可以是负面的；可以是直接的，也可以是间接的。注2：后果可以定性或定量表述。注3：任何后果都可能通过连锁反应和累积效应升级。注4：组织宜分析和评价风险及其后果对持续稳定地提供合格产品和服务以及增强顾客满意能力的影响。可能性likelihood某件事发生的概率。注1：无论是以客观的或主观的、定性或定量的方式来定义、度量或确定，还是用一般词汇或数学术语来描述（如概率，或一定时间内的频率），"可能性"都用来表示某件事发生的概率。注2："可能性"在一些语言中没有直接对应的词汇，因此经常用"概率"代替；在风险管理术语中，"可能性"具有与许多语言中"概率"一词相同的广义解释，而不局限于英语中"概率"一词的数学意义。注3：风险等级是以后果和可能性的组合来描述的单个风险或组合风险的大小；可能性与后果是风险分析的主要输入。控制control保持和（或）改变风险（3.1）的措施。注1：控制包括但不限于保持和/或改变风险的任何流程、策略、措施、操作或其他行动。注2：控制并非总能取得预期的改变效果；组织宜同步识别现有的控制措施并评价其有效性。注3：在质量管理体系中，可行时宜将应对措施转化为具体的过程控制安排，如供方控制、能力计划、设备维护、设计评审、合同评审、目标措施和变更计划等，并将其整合并实施到质量管理体系过程中。注4：GB/T23694-2024中相应术语为"风险控制（riskcontrol）"，定义为维持和/或改变风险的措施。不确定性uncertainty与理解或知识有关的信息不足（即使只是部分不足）的状态。注1：在某些情况下，不确定性可能与组织的环境及其目标有关。注2：不确定性是风险的根本来源。注3：不确定性分为认知不确定性和偶然（或随机）不确定性：认知不确定性可通过学习、研究、试验等方式获得知识、收集数据和信息而减少或消除；偶然不确定性涉及对象固有的异质性和多样性，不能通过进一步研究和度量而减少。机遇（机会）opportunity预期有利于实现目标的情景或情景组合。注1：机遇是一种积极的情况，在这种情况下可能获得收益，且组织对其有相当的控制力；对一方的机遇可能对另一方构成威胁。注2：抓住或不抓住机遇都是风险的来源。注3：在质量管理体系中，机遇是指能够对质量管理体系绩效产生有益影响的情形；组织应确定、分析和评价机遇，策划应对机遇的措施并将其整合实施，评价这些措施的有效性（见ISO9001-2026中6.1.3）。注4：机遇可通过评估组织的内外部环境确定，包括相关方的需求和期望、组织能力、承载能力和人员能力，以及监视和测量活动的结果及相关绩效指标；机遇可来源于市场条件的变化、新兴技术或法规要求等。注5：本文件采用ISO9001-2026的用词"机遇"；GB/T23694-2024中相应的术语为"机会"。基于风险的思维（risk-basedthinking）组织在质量管理体系及其过程的策划、实施和控制中，优先考虑并管理不确定性影响，以防止发生不利结果的思维方式（理念）。注1：基于风险的思维涉及在面临事情可能未按预期进行（包括错失机遇）时，权衡不同行动方案的潜在利弊，有助于做出更明智的决策。注2：应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程。注3：基于风险的思维始终贯穿于过程管理之中，与基于机遇的思维并列，共同支持质量管理体系在战略、战术和运行层面的一致性；最高管理者应促进基于风险的思维和基于机遇的思维（见ISO9001-2026中5.1.1）。基于机遇的思维（opportunity-basedthinking）能支持组织考虑对质量管理体系预期结果可能产生积极影响的因素，并利用机遇追求有利结果的思维方式（理念）。注1：机遇能通过对组织的内外部环境进行评估得到确定；组织宜在识别机遇的同时识别并评价机遇伴随的风险及其对体系的潜在影响，以决定是否把握该机遇。注2：与基于风险的思维（防止发生不利结果）互补，二者共同构成过程管理和整个质量管理体系的聚焦点。风险准则riskcriteria评价风险重要性的依据。注1：风险准则的确定需要基于组织的目标、外部环境和内部环境；风险准则可能源自标准、法律、政策和其他要求。注2：组织宜在明确范围和环境的基础上确定风险准则，并明确其与风险偏好、风险容忍度的关系。风险评估riskassessment风险识别、风险分析和风险评价的全过程。注1：风险识别是发现、确认和描述风险的过程；风险分析是理解风险性质、确定风险等级的过程；风险评价是将风险分析结果与风险准则进行对比，以确定风险是否可以接受或容忍的过程。注2：风险评估的输出可为决定是否需要应对风险、确定行动优先级以及选择最适宜的应对策略和方法提供信息支撑。注3：风险评估宜系统地、迭代地和协作性地开展，并充分考虑人员、模型及数据的局限性。风险应对risktreatment处置风险（3.1）的过程。注1：风险应对可以包括：不开始或不再继续带来风险的行动（规避风险）；为寻求机遇而承担或增加风险；消除风险源；改变可能性；改变后果；与其他各方分担风险（包括合同和风险融资）；慎重考虑后决定保留风险。注2：针对负面后果的风险应对，有时指"风险缓解""风险消除""风险预防""风险降低"等。注3：风险应对可能产生新的风险或改变现有风险。注4：在质量管理体系中，组织应策划应对风险的措施，将其整合并实施到质量管理体系过程中，并评价所采取措施的有效性；措施应与风险对质量管理体系预期结果的潜在影响相适应（见ISO9001-2026中6.1.2）。风险管理原则总则：风险管理的意图、目的、价值与原则的总体应用风险管理的目的是创造和保护价值。风险管理能够改善绩效、鼓励创新、支持组织目标的实现。风险管理通过考虑不确定性及其对目标的影响采取措施，为组织的决策和运营以及有效应对各类突发事件提供支持，增强决策和行动的合理性，有助于有效配置资源。ISO31000:2018修订亦强调以"创造和保护价值"作为风险管理的关键驱动，并更加关注最高管理者参与及风险管理与组织的整合。原则的定位与作用。图2所列原则为有效和高效的风险管理提供指导，阐述了风险管理的意图、目的和价值，是风险管理的基础，宜在确立风险管理框架和过程时认真考虑，有助于组织管理不确定性对目标的影响。风险管理框架的目的是协助组织将风险管理整合到重要的活动和职能中，其有效性取决于与组织治理及决策制定的整合程度，并需要相关方尤其是最高管理层的支持。与质量管理体系过程的总体衔接。ISO9001-2026运用过程方法，结合PDCA循环、基于风险的思维（防止发生不利结果）和基于机遇的思维（利用机会追求有利结果）。应用基于风险的思维并不意味着必须采用正式的风险管理方法或形成文件的风险管理过程；组织可选择采用更广泛的风险管理方法（如GB/T24353-2022/ISO31000），此时宜将风险管理的原则、框架和过程融入组织其他管理活动及其制度办法，以系统支撑两类思维在质量管理体系中的落实。风险管理过程的总体结构。风险管理过程涉及沟通和协商、明确范围环境和准则、风险评估、风险应对、监视和评审、记录和报告等活动的系统应用；风险应对方案可涉及规避风险、承担或增加风险以寻求机会、消除风险源、改变可能性、改变后果、分担风险、保留风险等，并宜在潜在收益与成本、精力或不利后果之间进行权衡。组织可参照资料中的风险管理过程示意图把握上述活动的逻辑关联。八项原则及其应用要点。有效的风险管理需要满足图2所列原则：a）整合；b）结构化和全面性；c）定制化；d）包容性；e）动态性；f）最佳可用信息；g）人和文化因素；h）持续改进。其在质量管理体系过程中的应用要点分述于4.2～4.9。整合：风险管理融入质量管理体系所有活动与制度原则要义。风险管理是组织所有活动的有机组成部分；将风险管理的原则、框架和过程融入组织其他管理活动及其制度办法，有助于推动风险管理的落实。融入业务过程与体系运行。最高管理者宜确保质量管理体系要求融入组织的业务过程；组织可将体系要求应用于核心业务过程，将职责委派至各业务过程管理团队，并将符合性评审纳入常规业务评审环节，以降低体系要求被视为"附加工作"的风险。相关领域应用指南亦强调，风险管理不是独立于组织主要活动和过程之外的活动，而是各级人员职责的一部分、是相关组织过程的组成部分。融入过程方法与PDCA循环。组织宜在过程策划、实施、控制和改进中始终应用两类思维：在策划质量管理体系时确定需要应对的风险和机遇；策划应对措施并将其整合到质量管理体系过程中实施、评价措施有效性。过程控制所需的监视和测量检查点宜根据过程步骤及相关风险设置。在支持过程中同样宜融入两类思维，如对资源供给开展成本效益分析、在确定人员需求时明确特定运行活动与过程所需的职责和权限。融入治理、制度与相关管理体系。风险管理宜成为组织目的、治理、战略、目标和运营的一部分，而非孤立活动。ISO31000强调风险管理框架和过程宜与管理体系整合，以确保各领域管理控制的一致性和有效性（涵盖战略与策划、合规、质量等领域）。在企业层面，风险管理宜与战略设定、经营管理与业务流程相结合（融合性原则），且不能替代内部控制，宜与内部控制、合规管理等机制协同；孤立的风险管理职能难以提供深度整合于核心业务过程所带来的好处。审核与评价活动的整合。对组织风险和机遇的审核不应作为独立活动，而应贯穿整个审核过程，包括与最高管理者面谈时；管理审核方案的人员宜识别与审核方案相关的风险和机遇。结构化和全面性：确保一致和可比较的结果原则要义。采用结构化和全面性的方法开展风险管理，有助于获得一致的和可比较的结果。统一的流程与准则。组织宜将风险管理过程作为结构化体系运行：沟通和协商贯穿始终，明确范围、环境和准则，开展风险识别、分析和评价，选择并实施风险应对，实施监视和评审，并做好记录和报告。风险评估宜系统地、迭代地和协作性地开展。风险准则宜事先确定并作为评价风险重要性的依据；风险分析需考虑可能性与后果，风险评价据此判断是否需要采取行动。组织宜避免"只列风险、不做分析与评价"的形式化做法，在确定之后补充分析、评价及成比例的行动，并说明其依据。全覆盖的过程、层级与风险类型。全面性要求风险管理覆盖所有风险类型、业务流程、操作环节和管理层级。组织宜基于4.1确定的内外部因素系统梳理影响因素，避免仅关注财务与运营因素而遗漏社会、政治、技术与环境等维度；宜采用跨职能方法获得均衡判断，并纳入中长期趋势。两类思维用于策划和决策时，宜支持质量管理体系在战略、战术和运行层面的一致性。ISO9001-2026将风险和机遇的应对区分为确定（6.1.1）、风险应对措施（6.1.2）和机遇应对措施（6.1.3），两者宜分别分析、评价并策划相应措施，措施宜与风险潜在影响相适应、与组织环境相适宜。工具方法的组合运用。组织宜组合运用结构化工具：SIPOC、乌龟图、流程图与RACI用于过程识别、描述与职责界定；SWOT、PESTLE、波特五力用于环境与战略分析；SWIFT、风险登记表、FMEA、交通灯评级/热力图用于风险识别、分析与评价；控制计划用于过程控制。识别方法还可选用头脑风暴、调查、FMECA、HACCP、ALARP、后果-可能性矩阵、风险指数、蝴蝶结分析等。评估技术宜依据背景环境与决策需求选用，并充分考虑人员、模型及数据局限性。对新兴风险等复杂对象，宜采用结构化且具灵活性的方法，并适度使用非结构化技术激发创新思维。避免过度复杂化。组织宜避免过度细分子过程或过度文件化，以免造成不必要的复杂性、降低体系清晰度。ISO9001-2026不规定特定的评分模型或登记表格式，组织宜选择能够支持有理有据评价和有效行动的方法。定制化：与内外部环境相适应的框架和过程原则要义。组织根据自身目标所对应的内外部环境，定制设计风险管理框架和过程。基于环境、目标与过程特点定制。组织宜基于4.1（组织及其环境）和4.2（相关方）的输出确定风险和机遇。风险管理框架和过程宜与组织的使命、目标和战略保持一致，并与特定环境的波动性、不确定性、复杂性和模糊性特征相适应。成文信息的类型和范围宜考虑组织规模、活动类型、产品和服务与过程的复杂程度、人员配置、资源条件及不合格的潜在后果等因素。每个过程都具有独特性，策划不应泛化。方法与工具的裁剪。组织可结合自身风险管理目标和实际情况，单独或综合应用风险矩阵、风险清单等工具方法。风险预警等机制宜与组织面临的风险属性、实际需求及可配置的资源与能力相匹配，并根据内外部环境变化持续更新。ISO9001-2026不强制特定的风险矩阵、评分或术语体系，也不要求将风险与机遇分别建账；组织宜设计与其文化、治理结构和业务方式相适配的实现方式。差距评价与针对性设计。组织宜对现有风险管理实践及过程进行评价，识别差距并改进优化，框架内各要素及其协同运作方式宜结合组织需求针对性设计。包容性：相关方适当和及时的参与原则要义。相关方适当、及时的参与，可以使他们的知识、观点和认知得到充分考虑，有助于提高组织的风险意识，并促进风险管理信息的充分沟通。相关方识别、监视与参与。组织宜确定与质量管理体系有关的相关方及其相关要求，并持续监视和评审其变化。确定、监视和评审相关方的过程宜稳健、系统，并融合基于风险与基于机遇的思维。在确定风险准则和评价风险时，宜确保相关方特别是各级决策者的适当和及时参与、使其观点得到适当代表。对环境因素的确定、监视和评审宜避免过度依赖单一视角，采用跨职能方法获得均衡判断。全员参与与风险意识。全员积极参与是提高组织创造和提供价值能力的必要条件。组织宜授权人员识别绩效制约因素并采取主动措施，鼓励公开讨论、分享知识和经验。宜培育风险讨论文化并预留专项讨论时间。组织宜鼓励并授权利益相关者，无论其职位或地位如何，在察觉可能存在新兴风险时及时告知相关人员。信息沟通与信任机制。沟通和协商宜贯穿风险管理全过程，以汇集不同领域的专业知识，并确保在定义风险准则和评价风险时充分考虑不同观点。组织宜确定内外部利益相关方并建立双向沟通渠道，使相关信息能够及时传达、反馈并形成共识。关系管理原则要求组织与供方、合作伙伴等相关方建立基于信任、协作与互利的关系，通过共享信息和资源共同管理风险和机遇、增强创造价值的能力。动态性：及时预测、发现、确认和应对变化原则要义。随着组织内外部环境的变化，组织面临的风险可能会出现、变化或消失；风险管理以适当、及时的方式预测、发现、确认和应对这些变化和事件。环境监视与变更策划。组织宜监视和评审4.1所提及内外部因素的相关信息。应用基于风险的思维，有助于识别变更的潜在负面影响以及与变更实施相关的其他风险，并宜通过策划的措施加以应对；变更可能对实现目标的能力产生不利影响，也可能表明存在能够推动改进的潜在机遇，策划方式宜视变更原因、复杂程度及潜在重要性而定。风险与机遇的持续评审与更新。组织宜对已识别的风险和机遇进行评审，因为返工率或报废率上升等因素可能导致其发生变化，此类评审有助于确保风险和机遇得到有效应对并持续保持适用性。静态的风险登记表会迅速过时，风险监视宜与组织变化同步，并及时更新风险描述。前瞻预警与敏捷响应能力。组织宜建立风险预警机制，遵循动态前瞻、科学可信、紧密衔接、恰当适配原则，通过设计风险指标、预警区间、预警频率并执行预警运行机制，推动风险预警从抢救式、应急式向前瞻性、预防性转变，为应对风险预留时间和空间。组织宜考虑环境中出现意外和颠覆性变化的可能性，建立及时预测、发现和应对变化的能力，保持足够的敏捷性、灵活性和适应性；宜确定和监测新兴风险指标，对即将发生的后果或正在出现的新机遇和威胁发出预警。基于风险的思维有助于组织通过确定并实施适宜措施，使质量管理体系在发生中断事件时仍能持续实现预期结果。在确定内部审核等活动的频次时，宜考虑影响组织的变更、过程绩效与以往审核结果等因素。最佳可用信息：基于历史、当前与预期信息的决策原则要义。风险管理的信息输入是基于历史信息、当前信息和未来预期的；在风险管理过程中宜明确考虑与这些信息和预期相关的限制条件和不确定性；信息宜及时、清晰，并且是有关的相关方可获得的。循证决策与信息来源。基于数据和信息的分析和评价的决策更有可能产生期望的结果。组织宜确定、测量和监视证实组织绩效的关键指标，使相关人员能够获得所需的全部数据和信息，并确保其足够准确、可靠和安全。风险知情决策要求决策时考虑与决策相关风险的知识和信息以及风险是否在可接受水平。组织宜持续开展数据收集、验证和分析工作，将知识转化为可供决策者使用的情报。局限性、不确定性与认知偏差的处理。评估风险时宜充分考虑人员、模型及数据局限性。在初始数据有限、认知存在重大不确定性（如情景可能性、后果或控制措施有效性）或决策信息解读受到认知偏差影响的情形下，宜通过权威渠道获取最佳可用信息和数据。对新兴风险重要性的判定宜综合考虑证据的置信程度、后果性质、预期可能性、不确定性水平、变化速度、后果时间范围、控制措施可行性和利益相关者意见等因素。循证决策宜将证据与专业判断相结合，识别偏差与局限，为决策构建可靠基础。信息系统与成文信息支撑。组织宜加强信息技术在风险管理中的应用，建立与业务财务相融合的信息系统。宜将数字化、智能化手段应用于数据收集与分析、预警信息发布与成效评价等阶段，保障信息的可靠性、及时性与安全性。成文信息的确定宜运用基于风险的思维，考虑其支持过程运行和作为符合性证据的作用，避免文件化过度或不足。共同的风险语言和数据共享有助于提高风险评估与报告的一致性和有效性。人和文化因素：行为与文化对风险管理的深层影响原则要义。人的行为和文化在各个层级和阶段显著影响着风险管理的各个方面。质量文化与道德行为。最高管理者宜促进质量文化和道德行为；组织的质量文化和道德行为反映在其共同价值观、态度、惯例和行动中。董事会和管理层的支持与"最高层的基调"是风险管理工作最重要的成功因素之一，组织宜建立风险意识文化，使所有成员都明白管理风险是日常职责的一部分。组织宜强化风险管理意识，建立风险管理培训、传达、监督和激励约束机制，将风险管理意识转化为员工的共同认识和自觉行动。能力、意识与人员参与。意识和能力有助于人员适当响应不合格，并将基于风险的思维和基于机遇的思维融入日常活动。组织宜培养人员的风险评估能力，开展具备创造性的研讨会议，并在重大决策前落实风险研判。管理风险时，宜考虑可能促进或阻碍实现目标的人员和组织的能力、感知和意图。利益相关方对风险可能有不同的理解、预期和观点，且这些观点可能受情感、社会、文化和政治因素的影响；组织中的每个成员都宜知晓其作为或不作为如何影响风险。专家作用与认知更新。组织宜重视内部和外部专家的贡献；随着风险的发展，数据可用性及其向可信信息的转化可能发生显著变化，早期认知可能被证明不正确、既定观念可能面临挑战，宜对此保持开放并及时更新认知。同时宜核查相关架构与管理实践（如目标与KPI设置、设计阶段输入、外部供方评价等）是否存在无意中阻碍预期行为形成的情形。持续改进：通过学习和实践不断提升风险管理原则要义。通过不断学习和实践，持续改进风险管理。融入绩效评价与改进机制。组织宜在分析和评价中评价"应对风险所采取措施的有效性"和"应对机遇所采取措施的有效性"，并作为管理评审输入；两类措施的有效性宜分别评价、分别评审。组织宜根据风险管理职责设置考核指标并纳入绩效管理，建立明确的、权责利相结合的奖惩制度；定期对风险管理制度、工具方法和风险管理目标实现情况进行评价，识别是否存在重大风险管理缺陷并形成评价报告。学习、知识发展与成熟度提升。组织宜确保风险管理能够带来新的机遇、新的学习和新的体验，包括对以往风险分析结果的批判性审查，并将新认知作为知识开发、风险管理过程优化和实践创新的催化剂；改进宜包括数据收集、信息转化与共享以及知识的创造与升级。相关风险管理应用指南亦建议制定和实施策略，以持续提高风险管理的成熟度。组织宜通过跟踪绩效、从结果中学习并相应调整方法，持续提升风险管理水平。PDCA循环中的更新迭代。组织宜以"确定—策划措施—整合实施—评价有效性—更新再评审"的循环，实现风险管理与PDCA循环、过程方法的有机统一。风险管理框架的运作包含整合、设计、实施、评价和改进等要素并持续运转。风险预警的监督结果宜纳入绩效考核，并反馈至设计与执行环节，实现持续有效、循环提升。风险管理原则综合实施与推动要点最高管理者牵引。最高管理者宜促进基于风险的思维和基于机遇的思维。可通过培育风险讨论文化并预留专项讨论时间、将主动改进成效纳入管理者与人员的评价维度、培养人员风险评估能力、在重大决策前要求落实风险研判等方式营造氛围。多场景开展识别与应对。组织宜在战略会议、管理评审、内部审核、质量目标制定会议、新产品和新服务的设计开发策划阶段以及生产过程的策划阶段等多种场景中，开展风险和机遇的识别与应对。关键成功因素。从高层开始并获得董事会和管理层支持；充分理解和沟通风险管理的作用与目标；将风险管理融入组织结构和文化；以关键战略和业务目标为起点；聚焦与关键战略相关的少量关键风险。渐进构建。组织宜从小规模、渐进的步骤开始，利用现有资源和流程逐步扩展风险管理活动，并随过程成熟适时引入数据、技术等使能因素。框架总则框架目的与总体定位：将风险管理纳入组织的重要活动和职能框架目的。风险管理框架的目的是协助组织将风险管理纳入重要的活动和职能中。在质量管理体系语境下，组织的"重要活动和职能"即其核心业务过程、管理过程与支持过程及各职能层级，组织宜将风险管理融入这些过程与职能的日常运行，而非游离于体系之外的附加活动。集团型企业实践亦强调，全面风险管理应与其他管理工作紧密结合，把风险管理的各项要求融入企业管理和业务流程之中。框架定位。风险管理不是孤立的，而是组织目的、治理、领导作用和承诺、战略、目标和运营的一部分。ISO31000:2018修订更加重视最高管理层参与以及风险管理与组织的整合，要求风险管理成为组织架构、过程、目标和活动的一部分。整合的关键概念是"增加"风险管理活动而不是创建单独的、全新的过程和实践。框架制定与要素。框架制定包含在整个组织中整合、设计、实施、评价和改进风险管理；图3列举的框架要素包括领导作用和承诺、整合、设计、实施、评价、改进等。在质量管理体系中，上述要素可与ISO9001-2026"领导作用—策划—支持—运行—绩效评价—改进"的条款结构对应衔接。有效性基础：与组织治理及决策制定的整合有效性取决于整合。风险管理的有效性取决于其与组织治理及决策制定的整合情况。公开权威资料亦确认：风险管理框架旨在支持组织将风险管理纳入其核心活动和职能，其有效性取决于与组织治理（包括决策制定）的整合程度。ISO明确：应对风险属于治理和领导作用的组成部分，是各层级管理组织的基础；最高管理者应确保风险管理融入所有组织活动，且首先从组织治理开始。治理层面的整合。治理机构应对组织持续感知风险和应对风险承担责任，为组织如何进行风险管理"定好基调"，确保其在作出决策时评估、处理、监测和沟通所面临风险的性质和程度，并监督组织的风险管理活动。治理机构宜建立组织风险框架，确保对全组织（包括治理机构自身）的风险管理采用正式的、主动的和预期的方法，将风险管理纳入所有的组织活动；宜在整个组织内建立理想的风险文化，确保每个人都了解其风险管理责任，并使风险成为制定治理政策的关键考虑因素。授权宜以增加信任和透明度的方式进行，并根据评估的风险对决策权加以限制，确保资源可用、权力与责任层级相匹配、定期报告且不履责后果可执行。决策层面的整合。组织宜识别各类决策制定的人员、时间、位置和方法，必要时对当前决策程序进行调整，确保风险管理的工作安排得到清晰的理解和执行。新近的标准修订进一步强化了组织环境、战略方向与相应决策之间的联结。决策宜依据可靠信息和数据、利益相关者期望、合规义务、道德和社会期望；重大决策前宜落实基于风险的思维研判。在质量管理体系中，最高管理者应确保质量方针考虑组织环境并支持其战略方向；管理评审应确保体系持续的适宜性、充分性、有效性并与战略方向保持一致，其输入宜包括"应对风险（见6.1.2）所采取措施的有效性"和"应对机遇（见6.1.3）所采取措施的有效性"。职责与授权衔接。确定组织内部的风险管理职责和监视角色是组织治理不可或缺的内容。最高管理者宜分配职责和权限，以确保各过程获得预期结果、推动以顾客为关注焦点、报告改进机会，并确保质量管理体系的完整性在策划和实施变更时得到保持。三线模型亦强调，组织治理机构、管理层（第一、二线）及内部审计（第三线）应围绕共同目标保持沟通协作，增强治理与风险管理效能。组织保障：相关方与最高管理层的支持最高管理层的领导作用与承诺。风险管理框架需要相关方尤其是最高管理层的支持。最高管理层和监视机构宜确保将风险管理融入所有组织活动，并通过以下活动展现领导作用和承诺：针对性地设计和实施框架的所有要素；发布风险管理声明或方针（含制定风险管理方法、计划或行动方案）；确保为管理风险配置必要的资源；在组织内的相应层级分配权限、职责和责任。ISO9001-2026要求最高管理者通过确保方针目标与战略方向一致、体系要求融入业务过程、资源可获得、促进两类思维、促进质量文化和道德行为、对体系有效性负责等方面证实领导作用；操作指南进一步建议以将职责委派至各业务过程管理团队、将符合性评审纳入常规业务评审（降低体系被视为"附加工作"的风险）、培育风险讨论文化、培养人员风险评估能力、重大决策前风险研判等做法落地。治理机构的监视要求。最高管理层负责管理风险，监视机构负责监视风险管理；通常对监视机构的要求或预期是：确保组织在设定目标时充分考虑相关风险；了解组织在实现目标过程中面临的风险；确保风险管理体系能够高效实施和运作；确保这些风险相对于组织目标而言是适当的；确保这些风险及其管理的信息得到适当沟通。实践表明，董事会和高级管理层的支持是风险管理方案最重要的成功因素，其确定的"最高层的基调"和优先顺序将迅速而明显地决定风险管理成效；董事会宜确保管理层对企业风险管理给予适当的关注、资源和优先权。在组织保障安排上，董事会宜就全面风险管理工作的有效性负责，具备条件的企业可在董事会下设置风险管理委员会，总经理就全面风险管理工作的有效性向董事会负责。相关方支持与沟通协商。组织宜建立经批准的沟通和协商方法，确保相关信息得到适当的收集、整理、汇总和分享，并适时提供反馈和做出改进；沟通和协商的方法和内容宜反映相关方的期望。相关方适当、及时的参与，可以使他们的知识、观点和认知得到充分考虑，有助于提高组织的风险意识，并促进风险管理信息的充分沟通。框架制定的闭环运作：整合、设计、实施、评价和改进与PDCA循环同构运行。框架制定包含在整个组织中整合、设计、实施、评价和改进风险管理。其与ISO9001-2026的PDCA循环、过程方法同构：策划：建立体系及其过程的目标、确定资源并确定和应对风险和机遇；实施：执行所策划的内容；检查：对过程及产品和服务进行监视和测量并报告结果；处置：采取措施改进体系绩效。组织宜以"确定—策划措施—整合实施—评价有效性—更新再评审"的循环，实现风险管理与PDCA循环、过程方法的有机统一。整合。风险管理的整合有赖于对组织结构及内外部环境的理解；组织结构因组织目的、目标和复杂程度而异，在组织结构的每一部分都需要进行风险管理，组织内部的所有人都有管理风险的责任。ISO9001-2026的4.4要求组织确定体系所需过程，并"按照6.1的要求应对风险和机遇"，对过程进行评价、实施所需的变更、改进过程和体系；针对过程相关风险和机遇制定的应对措施宜得到有效实施，并整合落实到体系过程中。ISO亦强调，风险管理框架和过程宜与管理体系整合，以确保各领域管理控制的一致性和有效性。设计。设计框架宜覆盖五个方面：一是理解组织及其环境：外部环境（社会、文化、政治、法律、监管、金融、技术、经济、自然环境，关键驱动因素和趋势，外部相关方关系，合同关系和承诺，关系网络复杂性等）与内部环境（愿景使命价值观、治理方式与组织结构、战略目标方针、组织文化、采用的标准指南和模型、资源与知识能力、数据信息系统与信息流、内部相关方关系等）；可运用PESTLE等结构化方法对因素进行持续确定、监视和评审，避免仅关注财务和运营因素而忽视社会、政治、技术与环境影响，并纳入中长期趋势、采用跨职能方法获得均衡判断。二是明确表达风险管理承诺：包括风险管理目的及其与组织目标和其他方针的联系、强化融入组织整体文化的要求、引导融入核心业务活动和决策制定过程、明确权限责任职责、配置必要资源、处理相互冲突目标的方式、组织绩效指标的度量和报告、评审和改进，并宜在内部传达、适时向相关方传达。三是明确组织角色、权限、职责和责任：强调风险管理是一项核心职责，并指定风险责任人。四是配置资源：包括人力、技能、经验和能力，程序、方法和工具，文件化的过程和程序，信息和知识管理系统，专业发展和培训需要，并考虑现有资源的能力和局限性；可运用战略分析、过程策划、风险识别等质量工具辅助框架设计与运行。五是建立沟通和协商方法。实施。组织宜通过以下工作实施框架：制定适当的实施计划（包括时间和资源等要素）；识别组织内各类决策制定的人员、时间、位置和方法；必要时对当前决策程序进行调整；确保组织开展风险管理的工作安排得到清晰的理解和执行；框架的成功实施需要相关方的参与和重视。ISO37000要求组织治理框架确保决策者拥有适当的授权、能力和资源来履行赋予他们的职责。集团型企业实践中，具备条件的企业可建立风险管理"三道防线"：各有关职能部门和业务单位为第一道防线，风险管理职能部门和董事会下设的风险管理委员会为第二道防线，内部审计部门和董事会下设的审计委员会为第三道防线。COSO建议以融入现有过程（如预算、绩效评审）的方式分步实施，利用现有资源渐进构建。评价。组织宜根据其设计和实施风险管理框架的目的、实施计划、绩效指标和预期表现效果，定期分析框架的实施效果，并确定框架是否仍适用于支持组织目标的实现。在质量管理体系中，监视、测量、分析和评价（含"应对风险所采取措施的有效性""应对机遇所采取措施的有效性"）及管理评审是框架评价的重要通道；对组织风险和机遇的审核不应作为独立活动，而应贯穿整个审核过程。改进。组织宜持续监控和更新风险管理框架，以适应内外部环境的变化；持续改进框架的适用性、充分性、有效性以及风险管理过程与其他管理活动的整合方式；当识别出差距或改进空间后，宜制定改进计划和任务并分配给相关负责人实施。ISO9001-2026以"持续改进体系的适宜性、充分性和有效性"及"不合格和纠正措施"（含"需要时更新在策划期间确定的风险和机遇"）等要求为框架改进提供机制；改进可采用渐进式或突破性方式，并宜将改进文化融入日常工作。现有风险管理实践及过程的评价：差距识别与优化清点与评价现有实践。组织宜对其现有的风险管理实践及过程进行评价，并在上述框架内对评价出的差距进行改进优化。宜识别和清点现有的（无论正式或非正式的）风险管理实践，确保其保持一致和协调，并考虑这些实践如何与组织的战略制定和绩效评审过程相匹配，以找出差距和机会。在将风险管理嵌入有关管理过程之前，宜先梳理既有风险管理要素，视需要优化或补充，避免重复和矛盾。统一风险语言。评价过程常会暴露整个组织缺乏共同风险语言的问题：各单位可能对风险作不同的定义或描述；宜借此机会在组织内制定并交流通用的风险定义或"风险语言"，这对一致沟通和建立一致的风险过程是必要的。制度与机制评价。组织宜定期对风险管理制度、工具方法和风险管理目标的实现情况进行评价，识别是否存在重大风险管理缺陷，形成评价结论并出具评价报告；评价结论宜作为框架改进计划和任务分配的依据。框架要素及其协同运作方式的针对性设计：结合组织需求定制结合组织需求定制。框架内各要素及其协同运作的方式宜结合组织需求进行针对性地设计。框架要素宜与组织目的、目标和复杂程度相适应：组织结构因组织目的、目标和复杂程度而异，在组织结构的每一部分都需要进行风险管理；风险管理与组织的整合是一个动态、循环提升的过程，宜结合组织需求和文化量身定制。与规模、成熟度和文化适配。组织应用风险管理指南的方式，可因组织规模与复杂程度、运作模式、活动范围以及所面临风险和机遇的性质而灵活调整；框架可适配各类组织的特定需求和结构，而不论其规模大小；最高管理层需推动过程，但仅有承诺还不够，还需培育覆盖全组织的风险文化。同时宜把握适度：避免过度细分子过程，避免过度文件化或文件化不足。渐进构建与持续深化。组织宜从小规模、渐进的步骤开始，利用现有资源和流程逐步扩展风险管理活动，并依据自身治理结构和文化定制行动计划。框架的适用性、充分性宜随内外部环境的变化持续调整。图3框架领导作用和承诺总体要求：将风险管理融入所有组织活动最高管理层和监视机构的首要责任。最高管理层和监视机构应确保将风险管理融入所有组织活动中，并使风险管理与组织治理及决策制定充分整合；风险管理的有效性取决于这种整合情况，需要相关方尤其是最高管理层的支持。风险管理不是孤立的，而是组织目的、治理、领导作用和承诺、战略、目标和运营的一部分。在质量管理体系中的融入途径。组织应将ISO9001-2026要求融入组织的业务过程，通过应用PDCA循环以及基于风险和机遇的思维，对过程进行策划、监视、控制和改进。保障融入的一种有效方式，是将职责委派至各业务过程管理团队，并将符合性评审纳入常规业务评审环节，从而降低质量管理体系被视为"附加工作"的风险。组织内部的所有人都有管理风险的责任；大型组织（尤其是业务覆盖多个场所、国家与文化环境的组织）应结合其治理模式和多样化的工作环境，明确最高管理层架构下的风险领导职责。展现领导作用和承诺的活动要求针对性地设计和实施框架的所有要素全要素覆盖。最高管理层和监视机构应确保风险管理的"领导作用和承诺、整合、设计、实施、评价、改进"等框架要素全部得到设计和实施，并将风险管理框架的制定贯穿于整个组织的整合、设计、实施、评价和改进之中。在质量管理体系中，这对应建立、实施、保持和持续改进质量管理体系及其过程（见ISO9001-2026第4.4条），并按第6.1条的要求应对风险和机遇。针对性（定制化）设计。框架内各要素及其协同运作的方式宜结合组织需求进行针对性地设计，宜基于组织目标、内外部环境、义务和相关方意见界定风险管理的范围、环境和风险准则。风险管理与组织的整合是动态、循环提升的过程，宜结合组织需求和文化量身定制。实施计划的落地。组织宜通过制定包括时间和资源等要素的实施计划，识别组织内各类决策制定的人员、时间、位置和方法，并确保组织开展风险管理的工作安排得到清晰的理解和执行。通过恰当地设计和实施风险管理框架，可以确保将风险管理过程融入组织内部所有活动（包括决策制定）之中。评价与改进闭环。组织宜定期分析风险管理框架的实施效果，确定其是否仍适用于支持组织目标的实现，并持续监控和更新风险管理框架，持续改进其适用性、充分性、有效性以及风险管理过程与其他管理活动的整合方式。监视机构可通过寻找证据确认风险管理已融入所有组织活动，例如：理想的风险文化显而易见、组织风险框架的所有组成部分都已定制和实施、为管理风险分配了必要的资源、已分配管理风险的职权、责任和担责。发布风险管理声明或方针声明或方针的发布形式。最高管理层和监视机构应通过政策、声明或其他形式，表达并展现自身对风险管理的持续承诺，明确传达组织有关风险管理的目标和承诺，并在组织内部传达、适时向相关方传达。声明或方针的内容要求。风险管理承诺的内容包括但不限于：组织的风险管理目的及其与组织目标和其他方针的联系；强化将风险管理融入组织整体文化的要求；引导将风险管理融入组织核心业务活动和决策制定过程中；明确权限、责任和职责；配置必要的资源；处理相互冲突目标的方式；组织绩效指标的度量和报告；评审和改进。声明或方针还应包括制定风险管理方法、计划或行动方案的内容。与质量方针的一体化整合。在质量管理体系语境下，风险管理声明或方针宜与质量方针一体化设计：质量方针应适应组织的宗旨、为建立质量目标提供框架、包括满足适用要求的承诺和持续改进的承诺，并对组织环境加以考虑、支持其战略方向。质量方针体现组织对质量的宗旨和方向，并可结合其环境反映其质量文化和对道德行为的期望。最高管理者应制定符合其愿景、使命和价值观的质量方针，使其支持组织战略方向并与质量管理体系整合。声明或方针的贯彻实效。质量方针应作为成文信息可获取、在组织内得到沟通、适宜时可为相关方所获取，并在组织内贯彻实施、理解和应用。方针宜简短并与决策和目标相连接，避免成为员工无法解释的口号；2026版标准更明确地将方针与组织环境、战略方向相联系。确保为管理风险配置必要的资源资源类别配置。最高管理层和监视机构应确保为风险管理分配适当的资源，包括但不限于：人力、技能、经验和能力；组织用于风险管理的程序、方法和工具；文件化的过程和程序；信息和知识管理系统；专业发展和培训需要。资源评估与资源流失风险。组织需考虑现有资源的能力和局限性，可运用基于风险的思维对资源供给开展成本效益分析。在质量管理体系中，组织应确定并提供建立、实施、保持和持续改进质量管理体系所需的资源，评估当前及预期的工作量与进度安排，重点关注资源流失风险（如关键设备损坏、核心人员离职）。质量举措若在未正式配置充足资源（如预算、人员或工具）的情况下获批实施，往往只能停留在愿景层面；领导者通过为决策配套必要的资源投入彰显自身承诺。能力、知识与工具资源。资源保障宜覆盖人员能力（见ISO9001-2026第7.2条）和组织知识，使工作影响质量管理体系绩效的人员胜任其岗位。风险管理所需的信息和知识管理系统、模板和表单工具宜纳入组织制度流程，提升各类风险管理活动的规范性、系统性、科学性和有效性。组织可选用风险登记表、风险矩阵、SWOT、PESTLE、FMEA、热力图（交通灯评级）等工具支撑风险的识别、排序、记录和监视。在组织内的相应层级分配权限、职责和责任强调风险管理是核心职责。最高管理层和监视机构应明确组织相关角色的风险管理责任、职责和权限，并与组织所有层级沟通，强调风险管理是一项核心职责。指定风险责任人。组织应指定有责任和权限管理风险的个人（风险责任人），并使其职责贯穿各层级、各业务环节。风险责任人宜配备支持团队，负责推进风险应对计划的制定、实施并监督进展。与质量管理体系岗位职责的一体化分配。在质量管理体系中，最高管理者应确保组织相关岗位的职责、权限得到分配和沟通，以便确保质量管理体系符合标准要求、向最高管理者报告体系绩效、确保各过程获得其预期结果、推动以顾客为关注焦点、报告改进机会、并保持质量管理体系的完整性（包括变更时）。职责和权限可通过成文信息（如组织机构图、程序、岗位说明书、权责矩阵/RACI）予以规定。组织宜构建职责边界清晰的风险管理结构，明确董事会、监事会、管理层、业务部门、风险管理责任部门等的职责分工，建立风险管理决策、执行、监督与评价等职能既相互分离与制约、又相互协调的运行机制。监督与执行角色的分设。参照三线模式，一线（业务管理）领导并指挥各项业务（包括相关管理风险），为运营和风险管理搭建结构和流程；内部审计等第三线角色保持对治理机构负责、独立于管理层，就治理和风险管理的准确性和有效性提供独立客观的确认和咨询。董事会对内部控制的建立健全和有效实施负责，监事会对董事会建立与实施内部控制进行监督，经理层负责组织领导内部控制的日常运行，企业可在董事会下设立审计委员会并保持内部审计的独立性。纳入考核与问责。组织宜根据风险管理职责设置考核指标并纳入绩效管理，建立权责利相结合的奖惩制度；风险管理部门宜定期对各职能部门和业务部门的风险管理实施情况和有效性进行考核。若最高管理者置身事外、将质量管理体系交由单一人员或部门全权负责，领导承诺将流于表面；即使指定协调人员，最高管理者对体系有效性的责任也不随之转移。领导作用和承诺的预期成效使风险管理与自身目标、战略和文化相协同与目标和战略协同。最高管理者应确保质量方针和质量目标与组织的战略方向相一致，使风险管理与决策制定和绩效管理相衔接。质量目标宜在战略、战术和运行层面建立，并支持长期战略；组织宜将风险作为制定治理政策的关键考虑因素，并考虑内外部环境的影响、变化和依赖。2026版标准更强调质量管理体系作为实现业务目标工具而非仅维持符合性的定位，组织应使风险管理、战略与绩效三者衔接一致。与文化协同。最高管理者应建立并沟通所期望的质量文化，提供相关方针和资源，参与、指导和支持组织内的质量文化，定义期望行为并以身作则，为发展质量文化提供充分资源。组织质量文化是组织内人员共同拥有的价值观、信仰、历史、态度和可观察到的行为，最高管理者致力于推动组织质量文化的证据至关重要。领导者应彰显承诺、恪守问责、保持行事一致性，创建质量融入组织所有方面、道德行为得到鼓励、全员被赋能作出贡献的文化。识别并履行组织的所有义务及自愿承诺法定义务的识别与履行。在质量管理体系中，最高管理者应确保确定、理解并持续满足顾客要求以及适用的法律法规要求（见ISO9001-2026第5.1.2条），并在质量方针中包括满足适用要求的承诺。自愿承诺的识别与履行。组织宜描绘或定义其强制性或自愿性要求，将自愿性框架、标准和承诺（如环境、社会责任等领域的自愿倡议）纳入风险管理考量，并考虑合同关系和承诺。识别义务和承诺时宜考虑内外部环境中"合同关系和承诺"等要素，避免因遗漏义务或承诺而形成合规与声誉风险。确定可承担或不可承担的风险数量和类型，以指导风险准则的制定，确保与组织及相关方沟通风险容量的确定。组织宜基于其目标，确定其所能承受的风险数量和类型，并界定评价风险重要性的准则以支持决策过程；风险准则宜反映组织的价值观、目标和资源，并与组织的风险管理方针和声明相一致，界定风险准则时宜考虑组织的义务和相关方的意见。风险准则的动态维护。风险准则可在风险评估过程之初确定，但它是动态变化的，宜持续评审并于必要时修改；设定风险准则时宜考虑不确定因素的性质和类型、后果和可能性的度量方式、时间相关因素、度量标准的一致性、风险等级确定方式、多风险组合及组织的风险容量等。组织可以在确定风险偏好的基础上，通过风险容忍度将总体风险和主要风险控制在可接受范围之内。确保与相关方沟通。组织需建立经批准的沟通和协商方法，沟通和协商的方法和内容宜反映有关相关方的期望，并宜及时进行，确保相关信息得到适当的收集、整理、汇总和分享。与组织及相关方沟通风险管理的价值内部沟通的价值传导。最高管理层宜通过培训、研讨、沟通计划等方式，向各层级人员说明风险管理的作用和好处及其与战略制定和绩效测量的关系，形成风险意识文化。内部沟通宜有助于告知董事会和管理层风险将如何影响组织战略和目标、提升对关键风险的认知、并鼓励在整个组织内形成风险意识和员工参与的文化。报告与外部沟通。组织宜通过适当的工作机制记录和报告风险管理过程及其结果，用于在组织各层级通报风险管理活动及结果、为决策制定提供信息、改进风险管理活动并促进与相关方的互动。报告是组织治理不可或缺的一部分，可提升与相关方的沟通质量，并为最高管理层和监视机构履行职责提供支持。与质量管理体系有关的沟通可涉及目标、过程输入和输出、职责、资源以及风险、机遇和反馈等因素，并宜在考虑影响预期结果的风险和机遇的基础上进行策划并评价其有效性。促进对风险的系统性监视监视和评审的策划与覆盖。组织宜将对风险管理过程的持续监视和定期检查及其结果作为风险管理过程内计划性工作的组成部分，并明确界定责任；监视和评审宜贯穿于风险管理过程的所有阶段，包括计划、收集和分析信息、记录结果和提供反馈。监视和评审、沟通和协商、记录和报告等活动宜在所有过程中实施。与绩效管理和预警机制衔接。监视和评审的结果宜纳入组织绩效管理、考核和报告活动中。组织宜针对需重点关注的风险设置风险预警指标体系，明确预警区间、预警频率和运行机制，并将监督结果纳入相关岗位的绩效考核，确保风险预警持续有效、循环提升。管理会计与内控实践亦要求建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准、应急预案、责任人员和处置程序。确保风险管理框架适应组织环境内外部环境的持续评审。组织宜评审并了解其内外部环境，包括社会、文化、政治、法律、监管、金融、技术、经济、自然等外部因素，关键驱动因素和趋势，相关方的认知、价值取向、需求和期望，以及愿景、使命、价值观、治理方式、组织结构、战略、方针、文化、资源和知识能力等内部因素。动态调整与持续改进。随着组织内外部环境的变化，组织面临的风险可能出现、变化或消失；风险管理宜以适当、及时的方式预测、发现、确认和应对这些变化和事件。组织宜持续监控和更新风险管理框架以适应内外部环境的变化，当识别出差距或改进空间后制定改进计划和任务并分配给相关负责人实施。最高管理者宜定期监视、分析、评价和评审组织的环境，并建立改进、学习和促进创新的过程，以增强应对环境变化的能力。监视机构的职责与要求最高管理层负责管理风险，监视机构负责监视风险管理职责分工的总要求。最高管理层负责管理风险，监视机