吳士權 / 文

編者按：萬(wàn)眾矚目的ISO 9001:2015新版標準于9月23日正式發(fā)布，宣告著(zhù)第三代管理標準時(shí)代來(lái)臨。新版標準較之前版本變化巨大，以適應組織業(yè)務(wù)方式的巨大變化，應對更為復雜的供應鏈及充滿(mǎn)競爭的全球經(jīng)濟一體化環(huán)境。為此，本刊將陸續刊登相關(guān)文章，以幫助企業(yè)更好地實(shí)施新版標準。

ISO 9001:2015版質(zhì)量管理體系標準的最大變化之一是風(fēng)險管理明顯地突出它在質(zhì)量管理體系（QMS）過(guò)程中的重要性、靈活性和易操作性。盡管在以往的ISO9001版本標準中就已在 “策劃、評審和改進(jìn)”條款中隱含了有關(guān)“基于風(fēng)險的思想”概念及要求；而新標準所發(fā)生的重大變化主要體現于標準明顯地將以往采用預防措施的方法向基于風(fēng)險的思想方法上的轉移，不只致力于風(fēng)險的識別和應對，而且還包括控制和減少風(fēng)險。這意味著(zhù)標準要求組織應理解其運行環(huán)境，并以確定風(fēng)險作為策劃的基礎；將基于風(fēng)險的思想方法應用于策劃和實(shí)施質(zhì)量管理體系過(guò)程，以及依此來(lái)確定文件化信息的范圍和程度。

為了更好地理解ISO 9001:2015中的“基于風(fēng)險的方法”和“風(fēng)險和機遇”用詞的含義和應用，有必要了解風(fēng)險的定義及其演變情況，并掌握標準新導入的內容及要求，以便組織有效地提高實(shí)現其目標的能力。

一、風(fēng)險的概念及其定義

風(fēng)險(Risk)在不同的領(lǐng)域有不同的界定。金融領(lǐng)域認為“個(gè)人、企業(yè)、金融公司以及政府參與金融活動(dòng)過(guò)程中，因客觀(guān)環(huán)境變化、決策失誤或其他原因使其資產(chǎn)、信譽(yù)受損失的可能性”即為風(fēng)險；在不確定性經(jīng)濟學(xué)中，“風(fēng)險是未來(lái)結果的不確定性產(chǎn)生損失的可能性”；而在管理決策中，風(fēng)險被認為是“某一種事業(yè)預期后果估計上的較為不利的一面”，即發(fā)生某一特定危險情況的可能性和后果的組合。

由此可見(jiàn)，風(fēng)險并非是個(gè)明確的概念。由于所處的領(lǐng)域和面臨的對象各異，因而對風(fēng)險給出的定義也呈現多元化的狀態(tài)，即使由國際標準公開(kāi)出版的文件中也是變化多端的。國際標準化組織中通常所給的一個(gè)定義表明，風(fēng)險是“不確定性對預期結果的影響”。而在 ISO 31000:2009《風(fēng)險管理--原則和指南》標準對“風(fēng)險”的定義為“不確定性對目標方面的影響”，并專(zhuān)門(mén)對“風(fēng)險管理”（risk management）作了“一個(gè)組織對有關(guān)風(fēng)險指揮和控制的一系列協(xié)調活動(dòng)”的定義。該標準的目標是促進(jìn)各經(jīng)濟、社會(huì )組織在對其生產(chǎn)及業(yè)務(wù)活動(dòng)中的風(fēng)險進(jìn)行識別、估測、評價(jià)的基礎上，優(yōu)化組合各種風(fēng)險管理技術(shù)，對風(fēng)險實(shí)施有效的控制，并妥善處理風(fēng)險所致的結果，以期實(shí)現最小的成本達到最大的安全保障的過(guò)程。因此，ISO 31000中風(fēng)險的定義比ISO 9001略微專(zhuān)業(yè)一些；其基本原則就是：以最小的成本獲得最大的保障。而在ISO 14971:2012《醫療器械風(fēng)險管理》標準的2.17風(fēng)險（residual risk）中定義為：“損害發(fā)生概率和損害嚴重程度的組合。”顯示具有更專(zhuān)門(mén)的針對性和行業(yè)特征。

現在ISO 9001:2015《質(zhì)量管理體系  要求》則引用了ISO 9000:2015《質(zhì)量管理體系 基礎和術(shù)語(yǔ)》中所給出的定義：“不確定性的影響。”

當前正值一個(gè)強調一些有關(guān)風(fēng)險概念的時(shí)機。ISO 9000:2015《質(zhì)量管理體系 基礎和術(shù)語(yǔ)》所下的“不確定性的影響”定義更容易為標準使用者所接受，它是個(gè)更能普遍性應用的概念，就是說(shuō)這個(gè)概念可以用于組織內的任何地方，包括策劃（條款6），不像ISO 31000中所定義的要設定一套目標。從而使風(fēng)險能夠被描述成一個(gè)潛在事件作為重要的、有影響力的術(shù)語(yǔ)，或者與其有關(guān)影響的嚴重度和發(fā)生的可能性來(lái)表達。

風(fēng)險的“不確定性的影響”定義通過(guò)“基于風(fēng)險的方法”和“風(fēng)險和機遇”的應用，終于使這個(gè)質(zhì)量管理體系國際標準解決了這個(gè)風(fēng)險的定義的廣泛應用議題，因為在這個(gè)標準中的有關(guān)條款將回答組織在“應對風(fēng)險和機遇”方面應采取與組織相適應的措施問(wèn)題。

二、“基于風(fēng)險的方法”的導入

實(shí)際上，早在二十世紀末及本世紀初期，ISO/TS 16749:2009《質(zhì)量體系--汽車(chē)生產(chǎn)件和相關(guān)服務(wù)組織應用ISO 9001:2008的特殊要求》（第2版）、ISO 13485:2012《醫療器械--質(zhì)量管理體系--法規性要求》（第三版）、ISO/IEC 27001:2013《信息技術(shù)--保密技術(shù)--信息保密管理體系--要求》（第二版）、ISO/TS 29001: 2007《石油、石化和天然氣工業(yè)--行業(yè)專(zhuān)用質(zhì)量管理體系--對產(chǎn)品與服務(wù)提供組織的要求》標準以及醫藥、食品行業(yè)的GMP、HACCP等這些建立在ISO 9001標準基礎上特殊行業(yè)質(zhì)量管理體系標準和良好生產(chǎn)規范中就引進(jìn)了基于風(fēng)險概念思維的方法，進(jìn)行了產(chǎn)品質(zhì)量風(fēng)險的控制，即通常所稱(chēng)的“質(zhì)量風(fēng)險管理”就是一種以“基于風(fēng)險的方法”為思想基礎的產(chǎn)品風(fēng)險管理的實(shí)踐。只是2012年以來(lái)的ISO/IEC導則第一部分附錄SL在總結各類(lèi)管理標準的共性特點(diǎn)基礎上，對管理體系標準提出了有關(guān)“組織環(huán)境”“風(fēng)險”以及“組織目標”諸方面需要，而成為新的管理標準共同關(guān)注的內容；其中對“風(fēng)險”的關(guān)注就是將自始至終地關(guān)心風(fēng)險和機遇作為執行標準中的重要項目來(lái)對待。

在ISO 9001的新版標準的前言和提示性附錄A“新結構、術(shù)語(yǔ)和概念說(shuō)明”的描述中，分別對“基于風(fēng)險的方法”作了介紹和有關(guān)說(shuō)明。

基于風(fēng)險的方法是實(shí)現一個(gè)有效的質(zhì)量管理體系的重要前提；此概念已被含蓄地包括在上一版本國際標準中，例如：為消除潛在不合格實(shí)施預防措施、分析所發(fā)生的不合格、以及適當地對不合格后果采取防止再發(fā)生的措施。

新版ISO 9001要求組織采取可行的計劃和實(shí)施有力的措施來(lái)應對風(fēng)險和機遇。事實(shí)證明，無(wú)論是應對風(fēng)險還是利用機遇都可為提高質(zhì)量管理體系有效性、實(shí)現改進(jìn)成果和防止不利影響奠定堅實(shí)基礎。同時(shí)機遇的出現也意味著(zhù)有利于達到預期效果，例如：有利于組織吸引顧客、開(kāi)發(fā)新產(chǎn)品和服務(wù)、減少浪費或提高生產(chǎn)率。利用機遇也可能需要考慮到相關(guān)風(fēng)險的影響。風(fēng)險是不確定的效果以及每種此類(lèi)不確定會(huì )有正面或負面效應的組合。正面的風(fēng)險有可能提供改進(jìn)的機會(huì )，但并非所有的正面風(fēng)險均會(huì )導致改進(jìn)的機遇。但風(fēng)險和機遇畢竟屬于一個(gè)事物的二個(gè)方面，它們間具有互相轉換的必然性。

三、風(fēng)險在ISO 9001:2015中的使用

有關(guān)風(fēng)險的術(shù)語(yǔ)，在ISO 9001的標準正文部分先后以“風(fēng)險和機遇”方式出現8次，并且以“基于風(fēng)險的方法”形式出現1次。

在管理體系標準中風(fēng)險一般都和機遇配對使用，這體現了ISO 9001:2015所應對的是風(fēng)險和機遇的資源處理問(wèn)題。所以在策劃和實(shí)施預防措施時(shí)需要考慮得更適當、更有利于組織處理重大事件的風(fēng)險后果中取得更多的機會(huì )以緩解或避免風(fēng)險。發(fā)現風(fēng)險，尋找機會(huì )和抓住機遇是避免風(fēng)險或降低風(fēng)險程度的重要途徑。新的QMS標準要求組織實(shí)施“風(fēng)險和機遇”的相關(guān)條款的主要內容如表1所示。

風(fēng)險和機遇的概念，強調了識別潛在問(wèn)題同改進(jìn)機會(huì )一樣，需要應用于質(zhì)量管理體系過(guò)程、產(chǎn)品和服務(wù)的合格、以及策劃質(zhì)量管理體系目標，包括啟程改進(jìn)措施計劃并評價(jià)其后果的有效性。

ISO 9001:2015在基于風(fēng)險的思想指導下，對質(zhì)量管理體系及產(chǎn)品和服務(wù)實(shí)現過(guò)程中的“風(fēng)險和機遇”所作出要求時(shí)是極其慎重的，這些包括“質(zhì)量管理體系過(guò)程和策劃”和“產(chǎn)品和過(guò)程的風(fēng)險和機遇及策劃”。

1. 質(zhì)量體系和策劃之間的風(fēng)險關(guān)系密切

ISO 9001標準6.1.1指出：在策劃質(zhì)量管理體系時(shí)，組織應考慮到4.1所描述的環(huán)境（法律法規、技術(shù)、競爭、市場(chǎng)、文化、社會(huì )和經(jīng)濟）因素和4.2所規定的確定（同持續提供符合顧客要求、適用法律法規、產(chǎn)品和服務(wù)能力）產(chǎn)生影響的相關(guān)方的要求。它們之間的關(guān)系見(jiàn)圖1所示。

2. 產(chǎn)品和過(guò)程的風(fēng)險和機遇

風(fēng)險和機遇幾乎同每一個(gè)產(chǎn)品及其有關(guān)的過(guò)程都存在著(zhù)是否能夠達到符合性要求相關(guān)聯(lián)的后果。因此其涉及的面甚廣，幾乎包括產(chǎn)品和服務(wù)的全過(guò)程，有所不同的僅僅只是其風(fēng)險或機遇的程度的有所差異罷了。在產(chǎn)品項目的策劃、設計、制造、直至交付顧客使用的全過(guò)程中，所伴隨的風(fēng)險和機遇的應對措施，通常可以由組織自主策劃和解決。在應對風(fēng)險和機遇的有關(guān)措施中，要促進(jìn)過(guò)程方法和基于風(fēng)險方法的使用，其關(guān)鍵在于最高管理者應在這方面發(fā)揮領(lǐng)導作用和作出承諾。圖2所示的是產(chǎn)品形成過(guò)程與風(fēng)險和機遇關(guān)系的路線(xiàn)圖。

圖2表明產(chǎn)品形成過(guò)程的各項活動(dòng)均與風(fēng)險和機遇有著(zhù)并存的關(guān)系。

例如在制造過(guò)程設計中，考慮監視和測量資源適宜性與風(fēng)險和機遇關(guān)系時(shí)，檢測設備要求有個(gè)校準或檢定計劃以確保測量結果的有效和可靠。不同的資源配置和控制手段，所引起的風(fēng)險度和可能遭遇的機會(huì )各異，其所產(chǎn)生的質(zhì)量成本結果也截然不同。它們之間的風(fēng)險成本的示意關(guān)系如圖3所示。

 從圖3中可以觀(guān)察到只有預防、檢驗/校準成本是可以適當考慮和有必要支出的，而對于因檢測設備引起的內部的廢次、返工、復檢造成的損失，以及由售后造成的三包、召回及索賠等外部損失，則是應盡力避免或減少的支出。由于檢測設備的質(zhì)量成本的總支出是預防、檢定/校準及由于檢測設備問(wèn)題造成的內、外部損失的總和，而后二者的又往往占很大的比例，因此，內、外部損失既是風(fēng)險，也是機遇；采取技術(shù)創(chuàng )新和管理改進(jìn)的風(fēng)險和機遇的應對措施，將會(huì )有助于降低質(zhì)量風(fēng)險和提高質(zhì)量成本的管理水平，并取得顯著(zhù)效果。

四、ISO 9001:2015的指令性要求及其靈活的空間

ISO 9001:2015要求組織按其相關(guān)的“質(zhì)量管理體系及其過(guò)程”條款4.4的子條款4.4.1及6“策劃”一章中的“應對風(fēng)險和機遇的措施”（條款6.1）、以及“以顧客為關(guān)注焦點(diǎn)”的產(chǎn)品風(fēng)險（條款5.1.2）來(lái)應對風(fēng)險和機遇問(wèn)題。風(fēng)險管理的有效性和對機遇的分析和評價(jià)（條款9.1.3）才能采取應對措施。另外，措施的有效性要同有關(guān)聯(lián)的目標或策劃進(jìn)行論證，因此也必須包括管理評審要求（條款9.3.2）之內。上述的標準內容均以“應”的強制性口氣作出了規定，先后9次用“應”表述其需要執行的指令。

標準只對所確定的風(fēng)險和機遇需要做什么作了規定，而對應用什么工具（方法）以及文件化信息的編制、更新和控制及保留、處置都沒(méi)有作出具體的規定，這不僅給組織留有廣闊的創(chuàng )新和選擇空間，而且使組織能夠完全按組織的環(huán)境條件和專(zhuān)業(yè)與規模特點(diǎn)發(fā)揮自身的優(yōu)勢。

對于基于風(fēng)險思想，標準也并沒(méi)有規定必須采用的風(fēng)險管理的工具和方法，以及必備的文件化信息方面的要求，可以說(shuō)對“風(fēng)險和機遇”的實(shí)施要求甚為寬松。僅強調要對“基于風(fēng)險的方法”和“風(fēng)險和機遇”的要求貫徹和執行，至于工具應用和如何實(shí)施，則由組織自行考慮和決定。最終的目的是便于組織選擇合適的過(guò)程和行之有效的應對措施，達到預期的風(fēng)險度和創(chuàng )造有利的機遇。

一般來(lái)說(shuō)，咨詢(xún)和認證機構會(huì )建議組織將風(fēng)險和機遇整合到其組織的相關(guān)管理體系的過(guò)程中（例如QMS過(guò)程）。同時(shí)風(fēng)險和機遇必須融入策劃過(guò)程的應對措施（條款6.1）中，這樣可以在業(yè)務(wù)計劃基礎設立組織長(cháng)期目標，并在“業(yè)務(wù)作業(yè)系統”（BOS）運行過(guò)程中，識別關(guān)鍵過(guò)程和導入風(fēng)險分析，以使這些影響到組織的整體目標得以實(shí)現。

許多組織先行貫徹執行質(zhì)量風(fēng)險管理，探索使用風(fēng)險工具并形成了在質(zhì)量管理體系內部審核中有關(guān)風(fēng)險管理方面的審核要點(diǎn)。

1. 風(fēng)險管理工具

選擇和使用合適的工具，可以清晰、全面地管理好同質(zhì)量相關(guān)的各種風(fēng)險，避免主要風(fēng)險因素的漏項和忽視，有利于以數據為依據進(jìn)行科學(xué)的分析。組織通常可從下列工具中選擇適用的基本方法和工具。它們是：

--基本的風(fēng)險管理方法(流程圖、檢查表、過(guò)程圖、因果圖等)；

--失敗模式影響分析(FMEA)；

--危害分析和關(guān)鍵控制點(diǎn)(HACCP)；

--失敗模式、影響和關(guān)鍵性分析(FMECA)；

--故障樹(shù)形圖分析(FTA)；

--預先危險分析(PHA)；

--風(fēng)險的排序及過(guò)濾；

--以及支持性統計學(xué)工具(控制圖、實(shí)驗設計、直方圖、排列圖、工藝能力分析等)。

2. 審核風(fēng)險的要點(diǎn)

在對一個(gè)質(zhì)量管理體系進(jìn)行ISO 9001:2015的基于風(fēng)險的思想方面的符合性審核時(shí)，審核人員一定要保持靈活性。在標準中不存在對風(fēng)險管理過(guò)程或應用方法方面的要求，因此審核人員要在質(zhì)量管理體系中深入地關(guān)注這方面的事宜是有難度的，同時(shí)也是沒(méi)有必要的。這需要審核人員適可而止地檢查標準中的組織所策劃的過(guò)程就可以了。在審核一個(gè)質(zhì)量管理體系時(shí)，下列一些問(wèn)題審核員可以予以詢(xún)問(wèn)和了解。

（1）組織是否對企業(yè)相關(guān)的業(yè)務(wù)環(huán)境識別出內部和外部的問(wèn)題？（條款4.1）

（2）組織是否已識別和確定了與企業(yè)環(huán)境有關(guān)的利益相關(guān)方？組織是否已理解相關(guān)方的期望？（條款4.2）

（3）在進(jìn)行組織策劃時(shí)，組織是否已利用了在環(huán)境和相關(guān)方的需求和期望中產(chǎn)生的成熟議題？（條款4.3）

（4）組織是否像他們對組織有關(guān)規定達到預期效果（例如組織的那些宗旨和目標）那樣已識別出其風(fēng)險和機遇？（條款6）

（5）組織是否已按識別的風(fēng)險和機遇采取了應對措施？

（6）組織符合既定的宗旨和目標了嗎？又例如目標等是否已有所改進(jìn)？

ISO 9001:2015的風(fēng)險部分審核就這么簡(jiǎn)單，不必強求組織均要按ISO 31000一樣地對管理過(guò)程中要求的風(fēng)險評審所規定的“風(fēng)險識別”“風(fēng)險分析”和“風(fēng)險評估”逐一詢(xún)問(wèn)和評定，對風(fēng)險處理及溝通協(xié)商也應適可而止，不必過(guò)分深入調查。因為前者是擴展性的審核，目的不是替代后者的專(zhuān)業(yè)性審核；照后者的方法審核，不僅審核時(shí)間上不允許，并且必然會(huì )喧賓奪主，因此，需根據實(shí)際情況把握好一個(gè)“適當”的度。

五、總結

在ISO 9001:2015標準中，其亮點(diǎn)不僅使風(fēng)險概念顯性化，而且體現了QMS標準進(jìn)入了風(fēng)險防范和機遇利用貫穿于整個(gè)質(zhì)量管理體系運行全過(guò)程的新時(shí)代，并將使風(fēng)險預防能夠適用于整合型管理體系，以及有利組織鼓勵持續改進(jìn)和有助于績(jì)效提高的活動(dòng)。

同時(shí)，明確了一件最為關(guān)鍵性的事情，就是組織應從教育和培訓入手，使各個(gè)過(guò)程的擁有者掌握有關(guān)風(fēng)險和機遇的知識，逐步在組織內培養一種善于以“基于風(fēng)險的方法”進(jìn)行思考的良好風(fēng)氣--因為只有人們在“既承認約束條件又確認利益優(yōu)勢”的文化背景下才會(huì )積極開(kāi)始執行有關(guān)標準的風(fēng)險管理要求。包括使他們養成考慮到變化后果的正、反面影響的優(yōu)良習慣，實(shí)施應對風(fēng)險的防范措施，使大災難能夠及時(shí)得到規避，或者至少也能帶來(lái)明顯的改善和損失的減少，或者成本的節省，甚至能取得更佳的創(chuàng )新效果。

所以，新標準引入系統的風(fēng)險防范思想/方法，必然會(huì )產(chǎn)生巨大的增值效果，使QMS標準的應用更適宜、有效和可持續發(fā)展。因此，風(fēng)險管理在質(zhì)量的可持續性發(fā)展上所起的作用及其前途是十分巨大和輝煌的，將為國際標準化組織實(shí)現制定ISO 9001:2015的目標提供可靠保證。