风险管理是质量管理体系运行的重要基础。企业在经营过程中面临来自内部和外部的各类不确定性，既有可能导致质量目标无法达成的风险，也蕴含改进和创新的机遇。ISO 9001质量管理体系要求组织确定需要应对的风险和机遇，策划应对措施并评价其有效性。如果风险识别流于形式、应对措施不落地，体系运行的质量就缺乏保障。本SOP依据质量管理体系要求，梳理获证组织风险与机遇识别应对的操作步骤，供企业体系运行参考。
适用范围
本SOP适用于已建立质量管理体系的组织，对影响质量管理体系实现预期结果的能力的风险和机遇进行识别、分析、应对与监视管理。
风险与机遇管理的主要内容
1. 内部风险——人员能力不足与流失、设备老化失准、工艺不稳定、原材料质量波动、质量记录缺失等。
2. 外部风险——法规政策变化、市场竞争加剧、供应链中断、顾客需求变化、自然灾害与突发事件等。
3. 质量管理体系自身风险——文件不适用、过程接口不清、审核发现重复发生等。
4. 机遇——新技术应用、新产品开发、效率提升空间、市场拓展机会、管理体系改进方向等。
操作步骤
步骤1：建立风险准则。明确风险评估的维度和标准，包括风险发生可能性的分级（如很少、偶尔、经常）、影响程度的分级（如轻微、较大、严重），以及可接受风险的判断标准。风险准则应结合企业规模、产品复杂度和行业风险特点确定，经管理层评审确认。
步骤2：识别风险与机遇。通过头脑风暴、部门访谈、过程分析、顾客反馈回顾、行业对标等方式，系统梳理质量管理体系各过程及经营环境中的风险与机遇。识别范围应覆盖产品实现、支持过程、监视测量、改进等全过程，并关注内外部环境变化和相关方要求的更新。建议按部门、按过程建立风险清单，避免遗漏。
步骤3：分析与评价。对识别出的风险，从发生可能性和影响程度两个维度进行分析，确定风险等级。可采用风险矩阵法，将风险划分为高、中、低等级。高风险事项（如关键原材料断供、核心设备故障、法规变化导致产品不合规）应优先策划应对措施；机遇则评估其带来的改进潜力和可行条件。
步骤4：制定应对措施。针对不同等级的风险选择适当的应对方式。
1. 风险规避——改变计划或做法，避免风险发生（如淘汰高风险供应商）。
2. 风险降低——采取措施减少发生可能性或影响程度（如加强过程控制、增加备份资源、完善应急机制）。
3. 风险分担——通过保险、合同条款、多方协作等方式转移部分风险。
4. 风险接受——对发生可能性低且影响可承受的风险，予以接受并持续监视。
针对机遇，明确可采取的改进举措及其责任人和资源安排。
步骤5：实施应对并保障资源。将应对措施纳入各部门工作计划，明确责任岗位、完成时限和所需资源，确保措施落地执行。重要风险的应对措施应作为管理评审的输入内容，由管理层掌握进展和效果。
步骤6：监视与评审。定期（建议至少每半年）回顾风险清单和应对措施的执行情况，评估风险等级是否变化、措施是否有效。当外部环境、组织架构、产品或过程发生重大变化时，应及时开展风险再识别。风险与机遇的评审结果应纳入管理评审，作为体系改进的决策依据。
责任部门
管理层负责人：对风险管理总体方针、风险准则和重要风险应对决策负责；
质量管理部门：负责风险识别组织、清单维护、分析评价和监视汇总；
各职能部门：负责本部门风险的识别、应对措施执行和信息反馈。
记录要求
建立《风险与机遇识别与应对清单》，记录风险描述、类别、发生可能性、影响程度、风险等级、应对措施、责任人、完成时限、措施有效性和评审更新信息。评审会议记录、应对措施实施证据应归档保存，保存期建议覆盖管理体系运行周期。
检查要点
1. 每半年复核风险清单，核对是否存在新增风险未识别、已识别的风险未更新等级；
2. 抽查重要风险应对措施的落地证据，确认措施不是停留在清单上；
3. 核对风险评审结果是否纳入管理评审输入；
4. 检查是否存在“风险清单年年一样、与实际脱节”的情况。
常见错误
1. 风险管理停留于填表，识别出的风险与实际经营脱节，清单列完即束之高阁；
2. 只识别风险不识别机遇，错失改进和市场机会；
3. 风险等级评估凭感觉，缺乏统一准则，同一风险在不同年份结论不一致；
4. 应对措施表述笼统（如“加强管理”），无法执行、无法验证；
5. 只做一次识别，内外部环境变化后不更新，风险清单逐渐失效。
维护要求
风险与机遇管理应纳入质量管理体系日常运行，与内外部环境分析、过程监视、审核发现和改进活动联动。当企业规模扩大、业务领域扩展、法规更新或供应链重大调整时，应及时开展系统性风险再识别，确保风险管理始终与实际经营状况相匹配。
提示：风险与机遇管理的具体要求以企业适用的法律法规和最新质量管理体系标准要求为准。
