干货 | ISO 9001:2015 打算搞定风险，你准备好了吗？ （1）

wxsunhao

干货 | ISO 9001:2015 打算搞定风险，你准备好了吗？ （1）
2016-07-04
2 }$ `2 a0 U' i

( b, k5 u9 K- j, {. }) s

继续我们对ISO9001：2015新版标准的系列解读。上周，认证君发布了《换版 | 在ISO9001 新标准中寻求答案：所有的文件都去哪里了？》（点击标题阅读），对新版标准中的文件要求进行了详解。今天，我们一起来聊聊风险。因文章篇幅较大，今天发布上半部分，明天带来风险分析方法，非常实用。

8 r7 D$ @6 l9 u$ Y/ B" L0 B$ M

+ i8 ~0 h8 z& N6 |

当前的经济全球化为组织提供了众多机会， 但也由于种种变化带来了诸多风险。 为了应对这些变化，组织必须采用基于风险的思维方式，包括采用识别、管理并缓解风险的各种工具。其中一个常用方法包括以下环节：确定组织标、明确风险类型、识别对于目标实现的风险并制定风险管理方法。

1、ISO 9001:2015 中的风险

, A# B2 {- Z4 a( v. m

在 ISO 9001：2015 标准中有很多基于风险思考的内容，这些内容将影响组织为符合修订后的标准而进行的工作。以下是节选并归纳本标准中涉及风险的有关内容。

6 v5 Q% h. J! O: a

定义：ISO 9001：2015 标准所指的风险是“对预期结果 的不确定的影响”。标准未提出对预防措施的要求。

过程方法：标准 4.4 条款讨论的要素之一是过程方法， 要求组织“识别质量管理体系所需的过程”以及这些过程在 组织中的应用。这包括识别：

• 输入、输出和资源；  顺序和相互作用；
• 有效的运行；
• 责任和改进机会；
• 风险以及应对风险的机会和措施。
  
  $ k+ u0 Y9 S% ~$ m! d

关注顾客： 5.1.2 条款指出最高管理层必须“证明其在 关注顾客方面的领导力和承诺，确保实施了相关工作……识别和处理可能对产品、服务和增强顾客满意度的能力方面的风险和机会”。

应对风险和机会的措施：6.1.1 和 6.1.2 条款指出组织必 须识别那些必须应对的“风险和机会”，以确保质量管理体系能够：

•   “实现预期结果；
• 预防或减少非预期后果；
• 实现持续改进。”
  
  ; z0 j# W% y# ?2 X8 c5 i

# G- E  W: {1 ^' }

应对风险和机会的措施必须与产品、服务、顾客满意方面的潜在影响相适应。另外，组织在进行改变的时候宜“有计 划并系统地实施”，识别风险和机会，并注意核查变化的潜在后果。应对风险可能采取的方法有避免风险、消除风险源、分担风险以及决定是否承担风险等。

交付后的活动：根据 8.5.5 条款，适用时，组织必须确定并满足与产品、服务的性质及其预定使用寿命有关的交付后活动的有关要求：

• 与产品和服务有关的风险。  
• 使用寿命。
• 顾客反馈。
• 法律法规要求。
  
  

  U4 Y  i3 w+ b, `) s3 [  a$ L

管理评审： 9.3 条款指出组织必须考虑其采取的应对风 险和机会的措施的有效性(同时参见 6.1 条款)。这包括：

• 识别需要监视和测量的内容，使得组织能够证明符合产 品和服务标准的要求；
• 评估过程的绩效(同时参照条款 4.4)；
• 确保质量管理体系的符合性和有效性；
• 评估顾客的满意度。
  
  

: H* Q: Y! Z* h

内审：条款 9.2 指出组织必须“策划、建立、实施并维护 内审的审核方案”，并且确定“内审的频次、方法、责任、策划要求和报告方式”。内审方案必须考虑质量目标、相关过程 的重要性、相关风险以及之前审核的结果。

) J' Q7 f* L) i% S1 F

基于风险的方法：附录 A 的 A4 章节内容描述了基于风 险的管理方法，包括：

• 要求组织充分了解自身所处环境，包括内部和外部的问题；
• 明白管理体系的重要目的之一是作为一个预防工具；
• 确定风险和机会；
• 处理识别出的风险和机会。  
  
  ; `. d$ X' {; b% N

$ L# S5 \3 N  p4 m2、应用基于风险的思考方法

" ~) u; u( n5 \( g" ^

对组织有影响的风险主要有以下 4 类：

7 ?* y" n% D; X

1、组织风险：发生在组织实体及其活动层面；

2. 战略风险： 发生在组织的战略或业务计划制定不够周 密时；
0 B; j) R1 v" [" A

3. 合规风险：发生不符合法律法规要求的情形时；
0 |/ S& n" B0 U( x: y

4. 运营风险：分为与组织的程序和措施有关的 7 个分类 别。  

. H0 B8 [0 r2 W& H* @8 S1 E

1、组织风险

实体层面的风险可以是外来的也可以是内部存在的。外来因素包括技术、竞争以及法律环境；内部因素包括安保、信息系统、收发货物遗失、人员能力和责任变化等方面。 活动层面的风险对个人和部门发生影响，包括在系统中输入信息或材料时的疏漏；收发货记录遗失；安保控制松懈；缺少熟练技术人员以及员工的疏忽大意等。如果在组织的各个环节活动层面的风险不断，最后势必形成实体层面的风险。  

& k7 Z! r0 f* u

2. 战略风险

( K. H6 D' V% O+ D1 V9 |) ]

战略风险指的是因执行一项不成功的商业计划或战略而可能发生的损失。其原因可能是由于做了糟糕的业务决策、执行决定不力、资源不足或者是因为业务环境发生了变化而未及时进行调整。  

3. 合规风险

合规风险是与法律法规要求有关的风险。环境、健康和安全要求一直是人们关注的问题，因为一旦这些方面出现问题，轻则罚款，重则停业甚至追究刑事责任都是可能出现的后果。遵守质量和环境方面的标准和规范也在这个范畴之内。

* e1 c- j5 {+ b$ n

环境风险包括液体危险品遗撒、危险气体排放以及固态废弃物的不当处理，包括的情况还可能有以下情形：

• 采购部将从国内采购改为向国外供应商采购；
• 负责环境的关键管理人员离岗未及时替补；
• 引入新的物料却未编制有关的安全管控记录。
  
  

- `2 ^6 d. Z6 o3 d: d' [( H

4. 运营风险

# T9 W7 }5 X) l3 k. z+ B3 g  f7 S

运营的风险可以具体从以下 7 个方面说明：

（1）管理体系风险。由于制定的战略、制度规定和工具、数据处理、呼叫(电话) 中心、合同管理、设计与开发等层面的效率低下，都可能造成管理体系的效率低下。比如说，一个重度依赖外包的供应链，可能有很大风险。

管理体系的其他风险包括不正确的收入确定；违反国家安全规定；不符合环境法规以及萨班斯-奥克斯利法案(美国的一部涉及会计职业监管、公司治理、证券市场监管方面的重要法律) 的要求。这些行为将可能导致罚款、停业甚至追究刑责的后果。为了降低此类风险，组织的最高管理层以及董事会必须对管理体系有透彻的了解，并努力提高其有效性。如果下述的活动效率低下，则组织的管理体系必受其累：

# O" p! X9 c# t5 i$ A1 R; G

• 人力资源管理制度
• 各种管理工具
• 数据处理
• 呼叫(电话)中心
• 营销活动
• 合同管理
• 顾客沟通
• 设计和开发
  
  
  ! p" H; n3 D: k! A5 x* c/ E1 ?

总而言之，组织的最高管理层和董事会要了解自身的管理体系并不断提高其有效性。

（2） 顾客满意风险。顾客沟通、送货、产品本身、设计维修以及对顾客反馈的回应方式都会影响顾客满意风险。为降低此类风险，宜将相关的产品质量数据、产品和过程监控数据以及供应商供货质量等数据也一并纳入分析过程。

（3） 供应链风险。采购经理必须对外购产品和服务、独家供应商、送货时间库存管理以及文档管理等保持关注。信息沟通是确保供应链有效运行的关键。用来管理供应链风险的数值包括送货时间、库存水平及成本等。

- s+ a; f9 X, T1 i* M$ ~1 z

（4） 收入确认风险对利润的影响。对此类风险的管理包括追踪产品从生产、销售到发货以及应收账款的全过程。收入的确认受到诸如应付款、应收账、交付前货值记录、现金报价错误、计算表错误以及价格信息不完整等原因影响。

质量经理在控制收入确认过程的有效性方面负有重要责任。质量体系和财务管理体系在此有交集，涉及产品实现、成本、销售、开发票、付款、库存管理以及发货等过程。发货信息是对应收账款和收入确认的直接输入。对于许多公司

来说，收入确认对其收入有着直接影响，甚至可能影响其股票价格。

由于不正确的收入确认，还可能出现背离事实的虚假声明的风险。审核员宜对已建立的用以检查收入确认中问题的控制措施进行测试。

（5） 信息安全风险。信息安全风险的情况包括病毒、未加防范的文件、不正确的财务记录和报告、糟糕的修改控制、信息检索错误、数据表格滥用、临时工和咨询师的使用、新技术的引入以及遭遇工业间谍和欺诈行为等现象。 ISO/IEC27001：2005 《信息技术安全技术信息安全管 理体系要求》 包括了建立、实施、运营、监视、评价、维 护并提高信息安全管理的要求。

（6） 物流风险。当今组织关注的一个风险问题是与国家安全威胁因素相关的。运输过程可能由于需要检查是否藏有大规模杀伤性武器而拖慢。

1 r% W5 a7 o5 W& s  F8 K( p0 }

如何筛查、识别、并追踪从货源地到购买方组织的全过程一直是个难点。以下因素影响物流风险：

• 原材料和成品的运输；
• 运输中的货损；
• 途中延误造成的无法按期交货；
• 运输延误造成的原材料库存不足；
• 国家安全信息上报要求。
  
  9 N/ O6 N0 @6 n+ M: S

8 G0 C9 ^0 ]& P7 t5 R

有必要开发出新的工具以减少筛查和追踪等必须过程对供应链的干扰。总之，产品生产完成后，送到顾客手中之前，上述各种问题都可能出现，组织应该有所准备。

9 |$ V: k# b3 @! {0 u; {  I

（7） 自然灾害风险。过去几年间，我们这个星球上自然灾害频发。业务连续性要求对应保护的存储信息进行安全保障，并对灾后复原进行策划。

4 e! O' X8 \" [* g1 n2 h2 H4 h4 S: F

信息技术在业务连续性中扮演着重要角色，宜专门设计相关的信息技术程序，以确保业务连续性运行的及时性和有效性。组织的业务连续性开发团队中不可缺少负责信息技术的成员。

. ?- e% k9 J" ~, \9 X* f

信息技术部门必须提供可将信息妥善有效存储的保护措施，并对各种灾害进行管理、防范并提供安全保护措施。可采用的方法包括信息的定期复制，并将备份信息存储于安全的另外一个地点。并且，宜对存放在该地点的数据进行定

期测试，以确保其正确无误。

$ D3 [! |& m5 Y* x5 V9 h

ISO/IEC27001 标准提供了业务连续性的管理控制措施， 以下是业务连续性计划(BCP)的相关因素：

• 业务风险及影响分析；
• 灾害事件初始反应活动；
• 紧急事件和业务恢复过程管理程序；
• 各层级培训计划；
• 保持业务连续性计划及时更新的程序。
  
  

业务连续性计划宜定期演练，组织可以用以下问题进行BCP 的自查：

• 是否已制定确保信息连续性的书面计划？
• 上述计划是否每年进行更新和检验？
• 何时对计算机硬件、软件或应用系统进行过重要的调整 或改变？
• 是否对用以备份的介质进行了定期测试？
• 是否对应用程序、应用数据和运行系统软件进行了定期备份？
• 是否将该计划和信息进行了异地备份？
  
  

未完待续......

本文由美国质量学会（ASQ）供稿，ASQ 是一个全球质量人的团体，在150 个国家/地区拥有数百万的个人和企业会员。ASQ 北亚区为ASQ 全球会员、本地会员及潜在客户提供全方位的服务，服务区域覆盖中国大陆、日本、韩国、蒙古、中国香港、澳门及台湾地区。

- End -