AS9100專題20：AS9100D標準- 理解風(fēng)險管理與基于風(fēng)險的思維-全面解析【AS9100D-020】
ISO 9001：2015提出了“基于風(fēng)險的思維”，它與過程方法和PDCA循環(huán)一起構(gòu)成了該標準的核心理念。該標準在0.1“總則”中指出：
ISO9001&AS9100D標準本標準采用過程方法，該方法結(jié)合了“策劃-實施-檢查-處置”（PDCA）循環(huán)和基于風(fēng)險的思維。
過程方法使組織能夠策劃過程及其相互作用。
PDCA 循環(huán)使組織能夠確保其過程得到充分的資源和管理，確定改進機會并采取行動。
基于風(fēng)險的思維使組織能夠確定可能導(dǎo)致其過程和質(zhì)量管理體系偏離策劃結(jié)果的各種因素，采取預(yù)防控制，最大限度地降低不利影響，并最大限度地利用出現(xiàn)的機遇（見A．4）
實際上，基于風(fēng)險的思維的理念是國際標準化組織TC176委員會從全球風(fēng)險管理的理論和實踐中總結(jié)和提煉出來的。要深入理解基于風(fēng)險的思維的理念，首先應(yīng)學(xué)習(xí)和理解風(fēng)險及風(fēng)險管理的理論及其應(yīng)用方法?？v橫世紀航空質(zhì)量培訓(xùn)中心解說標準是從ISO 31000：2009、ISO9001：2015 和 AS9100D的要求出發(fā)，介紹航空、航天及國防組織按照AS9100D建立和實施質(zhì)量管理體系的基本方法。
一、風(fēng)險及風(fēng)險管理的概念和理解（一）風(fēng)險的定義和理解
ISO 9000：2015中3.7.9對風(fēng)險做出了以下定義。
3.7.9 風(fēng)險 risk
不確定性的影響
注1：影響是指偏離預(yù)期，可以是正面的或負面的。
注2：不確定性是一種對某個事件，或是事件的局部的結(jié)果或可能性缺乏理解或知識方面的信息（3.8.2）的情形。
注3：通常，風(fēng)險是通過有關(guān)可能事件（ISO Guide73：2009中的定義，3.5.1.3）和后果（ISO Guide73：2009中的定義，3.6.1.3）或兩者的組合來描述其特性的。
注4：通常，風(fēng)險是以某個事件的后果（包括情況的變化）及其發(fā)生的可能性（ISO Guide73：2009中的定義，3.6.1.1）的組合來表述的。
注5：“風(fēng)險”一詞有時僅在有負面結(jié)果的可能性時使用。
注6:這是ISO/IEC導(dǎo)則 第1部分 ISO補充規(guī)定的附件SL中給出的ISO管理體系標準中的通用術(shù)語及核心定義之一，最初的定義已經(jīng)通過增加注5被改寫。
這個定義與ISO Guide73；2009《風(fēng)險管理一術(shù)語》給出的定義類同。從這個定義可看出：
1）風(fēng)險的主要內(nèi)涵是某事件的不確定性。不確定性是對某個事件，甚至是局部的結(jié)果或可能性缺乏理解或缺乏知識方面的信息的一種狀態(tài)。人們對某項工作或項目進行的策劃，實際上是對該工作或項目未來活動或結(jié)果的思考和設(shè)計。而未來將要發(fā)生什么？人們獲得的信息一般是不充分的。這種信息的不充分性就導(dǎo)致了人們對某些事件是否會發(fā)生，以及發(fā)生后會產(chǎn)生哪些后果的不確定性。這種不確定性猶如一個“黑匣子”，需要策劃者進行識別和確定。
2）不確定性對工作或項目的影響就是偏離預(yù)期目標。這種偏離可能是正面的，也可能是負面的。由此風(fēng)險可分為兩類。一類是既有正面影響（機會），也有負面影響（威脅）的不確定性，稱為“投機性風(fēng)險”，如股市風(fēng)險、融資風(fēng)險等；另一類是只有負面影響的不確定性，稱為“純粹性風(fēng)險”，質(zhì)量管理體系或項目管理中的風(fēng)險，大多屬于這類風(fēng)險。
3）風(fēng)險的特性一般表述為可能發(fā)生的事件和后果，或兩者的組合，如某個過程出現(xiàn)問題，造成該過程失效，我們常常稱為該過程風(fēng)險。
4）風(fēng)險是以某個事件的后果（包括情況的變化）及其發(fā)生的可能性的組合來表述的。根據(jù)這個特點，組織為了確定某個項目或質(zhì)量管理體系某些過程的風(fēng)險接受準則，以及哪些風(fēng)險可以接受的結(jié)論，常常將風(fēng)險的可能性和后果，由定性轉(zhuǎn)換為定量，并利用以下模型計算風(fēng)險等級：
風(fēng)險等級R＝f（可能性x潛在后果）
在項目管理或質(zhì)量管理體系中，風(fēng)險等級R也可約等于某事件發(fā)生的可能性和潛在后果的乘積。只要策劃團隊，根據(jù)項目和體系的特點以及組織的風(fēng)險偏好，人為地將“可能性”和“潛在后果”進行定量的定義，就可以計算出每個風(fēng)險的等級，即其嚴重程度。但是，這個模型具有一定的局限性，需要我們在使用中加以考慮?？v橫世紀航空質(zhì)量培訓(xùn)中心一般在輔導(dǎo)企業(yè)要求小于12為可接收風(fēng)險指標。
二）風(fēng)險管理的概念及其形成1．風(fēng)險管理的起源和發(fā)展
風(fēng)險管理這一名詞，最早由美國賓夕法尼亞大學(xué)的所羅門·許布納博士于1930年在美國管理協(xié)會發(fā)起的一個保險問題會議上提出的。受當(dāng)時世界性經(jīng)濟危機的影響，美國經(jīng)濟大蕭條，導(dǎo)致40％的銀行和企業(yè)破產(chǎn)。為了應(yīng)對經(jīng)營上的危機，美國許多大中型企業(yè)在內(nèi)部設(shè)立了保險管理部門，負責(zé)安排企業(yè)的各種保險項目，保險成為當(dāng)時企業(yè)處理風(fēng)險的主要方法。
20世紀50年代，隨著美國戰(zhàn)后軍事和經(jīng)濟高速發(fā)展的需要，風(fēng)險管理在美國以學(xué)科的形式發(fā)展，并逐步形成了獨立的理論體系。而在民用領(lǐng)域，美國一些大公司發(fā)生了重大損失，使公司高層決策者開始認識到風(fēng)險管理的重要性。
20世紀70年代，隨著美國將風(fēng)險管理學(xué)科用于經(jīng)濟和軍事取得了令人矚目的成就，政府和各大企業(yè)的高層借鑒了歐美的一些跨國大企業(yè)由于內(nèi)部管控不善，而造成重大損失的慘痛教訓(xùn)，更深刻地認識到風(fēng)險管理的重要性，風(fēng)險管理活動由美國逐步走向世界。
20世紀80年代，隨著經(jīng)濟、社會和技術(shù)的迅速發(fā)展，人類開始面臨越來越多、越來越嚴重的風(fēng)險。1980年前后發(fā)生的幾起諸如美國三里島核事故、印度博帕爾毒氣泄漏、蘇聯(lián)切爾諾貝利核事故等重大安全事故，大大促使了風(fēng)險管理在世界范圍內(nèi)的發(fā)展。特別是歐美等國家先后建立起全國性和地區(qū)性的風(fēng)險管理協(xié)會。最具標志性的工作是1983年，在美國風(fēng)險和保險管理協(xié)會的年會上，各國的參會代表一致通過了“101條風(fēng)險管理準則”，將風(fēng)險管理推向了一個新階段。
隨后，跨行業(yè)、跨區(qū)域的風(fēng)險管理組織不斷出現(xiàn)并不斷活躍，使得風(fēng)險管理成為一門新型和獨立的學(xué)科。特別是在20世紀90年代，歐洲11個國家成立了“歐洲風(fēng)險管理委員會”，逐步出臺了相應(yīng)的標準；美國多家專業(yè)團體成立了“反虛假財務(wù)報告委員會”和著名的專門研究企業(yè)內(nèi)部控制的委員會COSO。COSO于1992年推出了著名的報告《內(nèi)部控制整體框架》，2004年又推出了《企業(yè)風(fēng)險管理框架》，它們成為風(fēng)險管理學(xué)科的重要文獻。
1998年，ISO組織和國際電工委員會（IEC）合作，成立了風(fēng)險管理術(shù)語工作組，歷時四年，制定了ISO／IEC Guide73：2002《風(fēng)險管理術(shù)語 標準用詞使用指南》，旨在促進風(fēng)險管理術(shù)語的規(guī)范使用，并加強ISO組織和IEC成員國之間在風(fēng)險管理問題上的交流和協(xié)調(diào)。該標準在2009年進行了更新，形成了ISOGuide73：2009《風(fēng)險管理 術(shù)語》，在該標準中，風(fēng)險管理被定義為：“在風(fēng)險方面，指導(dǎo)和控制組織的協(xié)調(diào)活動。”（見ISO Guide73：2009的2.1）。
接著，國際標準化組織又從2005年開始，歷時四年，于2009年11月13日正式發(fā)布了ISO 31000：2009《風(fēng)險管理原則和指南》，全面闡述了風(fēng)險管理的原則、框架和過程。該標準具有很強的理論性和實用性，發(fā)布后，獲得了全球各國的廣泛贊賞、接受和采用。
2．風(fēng)險管理在我國的應(yīng)用
為了提高我國各類組織的風(fēng)險管理水平，應(yīng)對市場經(jīng)濟條件下可能發(fā)生的各類風(fēng)險，我國有關(guān)部門也在風(fēng)險管理的標準和應(yīng)用上做了大量的工作。
2005年9月5日，國家正式發(fā)布了GB／T 20032-2005《項目風(fēng)險管理 應(yīng)用指南》，對技術(shù)性項目提出了項目風(fēng)險管理、項目風(fēng)險管理過程的要求。
2006年6月6日，國務(wù)院國有資產(chǎn)監(jiān)督管理委員會發(fā)布了《中央企業(yè)全面風(fēng)險管理指引》，對央企如何開展全面風(fēng)險管理提出了明確要求，將企業(yè)風(fēng)險分為戰(zhàn)略風(fēng)險、財務(wù)風(fēng)險、市場風(fēng)險、運營風(fēng)險、法律風(fēng)險等，并以能否為企業(yè)帶來盈利等機會為標志，將風(fēng)險分為純粹風(fēng)險和投機風(fēng)險。該文件發(fā)布后，我國各大國企集團迅速響應(yīng)，制定和實施了相應(yīng)的管理辦法。
2009年5月6日，國家質(zhì)量監(jiān)督檢驗檢疫總局和國家標準化管理委員會聯(lián)合發(fā)布了GB／T 23694-2009《風(fēng)險管理 術(shù)語》，該標準等同采用ISO／IEC Cuide73：2002，規(guī)范了風(fēng)險管理的術(shù)語和定義。
同年9月30日，國家質(zhì)量監(jiān)督檢驗檢疫總局和國家標準化管理委員會又參照ISO／DIS 31000的DIS稿，編制和發(fā)布了GB／T 24353-2009《風(fēng)險管理 原則與實施指南》，該標準成為我國全面風(fēng)險管理的第一份國家標準。雖然這份標準與國際標準化組織2009年11月13日正式頒布的ISO 31000：2009《風(fēng)險管理 原則和指南》，在結(jié)構(gòu)和內(nèi)容上還有較大的差距，但是它終究突破了我國沒有全面風(fēng)險管理標準的歷史，對推動全面風(fēng)險管理具有重要的意義。
在這些標準和文件的引領(lǐng)下，我國的風(fēng)險管理工作蓬勃發(fā)展，各行各業(yè)都相繼開展了風(fēng)險管理工作，特別是一些管理水平較高的大中型企業(yè)，已經(jīng)由單純的業(yè)務(wù)管理過程的風(fēng)險管理，逐步過渡到全面風(fēng)險管理。全面風(fēng)險管理的實施，使得我國政府和企事業(yè)單位的風(fēng)險管理水平得到了較大的提升，縮短了與世界先進國家的差距，促進了我國市場經(jīng)濟的快速和健康發(fā)展。
二、風(fēng)險管理的原則：
ISO 31000：2009《風(fēng)險管理 原則和指南》提出了風(fēng)險管理的11項原則?？v橫世紀做簡要介紹。
一
風(fēng)險管理創(chuàng)造和保護價值。風(fēng)險管理有助于目標的達成和績效的明顯改善，例如，在人員的健康安全、治安、法律和法規(guī)的遵從性、公眾接受性、環(huán)境保護、產(chǎn)品質(zhì)量、項目管理、運營效率、治理和聲譽方面。
二
風(fēng)險管理嵌入組織所有過程之中。風(fēng)險管理不是從組織主要活動和管理過程中分離出的孤立活動，而是組織管理過程的組成部分，包括戰(zhàn)略規(guī)劃、所有項目、變更管理過程。
三
風(fēng)險管理支持決策。風(fēng)險管理可以幫助決策者做出明智的選擇、優(yōu)先的措施和區(qū)分備選措施。
四
風(fēng)險管理明確涉及的不確定性。風(fēng)險管理明確地考慮到不確定性及這種不確定性的性質(zhì)，以及如何加以解決。
五
風(fēng)險管理是系統(tǒng)的、結(jié)構(gòu)化的和及時的。系統(tǒng)的、結(jié)構(gòu)化的方法有助于風(fēng)險管理效率的提升，并產(chǎn)生一致、可比、可靠的結(jié)果。
六
風(fēng)險管理基于最可用的信息。風(fēng)險管理過程的輸入基于信息源，如歷史數(shù)據(jù)、經(jīng)驗、利益相關(guān)方的反饋、觀察、預(yù)測和專家判斷。然而，決策者應(yīng)了解并考慮到數(shù)據(jù)或所使用模型的局限性，以及專家之間分歧的可能性。
七
風(fēng)險管理是定制的。風(fēng)險管理是與組織的外部和內(nèi)部環(huán)境及風(fēng)險狀況相匹配的。
八
風(fēng)險管理考慮人文因素。風(fēng)險管理意識是可以促進或阻礙組織目標實現(xiàn)的內(nèi)部和外部人員的能力、觀念和意圖。
九
風(fēng)險管理是透明和包容的。利益相關(guān)方，尤其是組織各層面的決策者適當(dāng)、及時的參與，確保了風(fēng)險管理保持相關(guān)和先進性。參與過程也允許利益相關(guān)方適當(dāng)?shù)匕l(fā)表意見，并將其觀點考慮到風(fēng)險準則的確定中。
十
風(fēng)險管理是動態(tài)、迭代和適應(yīng)變化的。由于內(nèi)部和外部事件的發(fā)生、環(huán)境和知識的改變，以及監(jiān)視和評審的實施，有的風(fēng)險會發(fā)生變化，一些新的風(fēng)險可能會出現(xiàn)，另一些風(fēng)險則可能會消失。組織應(yīng)持續(xù)不斷地對各種變化保持敏感并做出恰當(dāng)反應(yīng)。
十一
風(fēng)險管理實現(xiàn)組織的持續(xù)改進。組織應(yīng)制定和實施戰(zhàn)略，以改善組織各個方面的風(fēng)險管理水平。
這11條風(fēng)險管理原則是20世紀30年代以來全球風(fēng)險管理理論和實踐的高度總結(jié)，全面地貫穿在ISO 31000：2009標準所確定的風(fēng)險管理框架和風(fēng)險管理過程之中。ISO 9001：2015標準中關(guān)于“基于風(fēng)險的思維”的理念，也來源于這11項風(fēng)險管理原則，可以說，它是ISO 31000：2009標準所確定的風(fēng)險管理原則在質(zhì)量管理體系中的應(yīng)用。
三、風(fēng)險管理框架
ISO 31000：2009標準根據(jù)風(fēng)險管理原則認為：風(fēng)險管理不是一個獨立的系統(tǒng)，它不能像質(zhì)量管理、安全管理、財務(wù)管理等管理領(lǐng)域一樣，構(gòu)成一個體系進行獨立運作，它是一個框架，這個框架由5大要素組成，必須嵌入組織的戰(zhàn)略和管理活動中去。
按照PDCA循環(huán)的理論，ISO 31000：2009標準給出的風(fēng)險管理框架如圖3-4所示。
1．“指令和承諾”要素
指令和承諾是組織管理層的行為，應(yīng)得到組織權(quán)利方面的保證。其活動包括：
1）確定和簽署風(fēng)險管理方針。
2）確保風(fēng)險管理方針與組織文化一致。
3）確定風(fēng)險管理KPI與組織其他管理指標一致。
4）使風(fēng)險管理目標與組織的目標和戰(zhàn)略一致。
5）確保與法律法規(guī)的合規(guī)性。
6）在組織內(nèi)適當(dāng)?shù)膶哟畏峙湄?zé)任和職責(zé)。
7）確保為風(fēng)險管理配置必要的資源。
8）將風(fēng)險管理的益處通報給所有的利益相關(guān)方。
9）確保風(fēng)險管理框架適宜性的持續(xù)保持。
2．“風(fēng)險管理框架設(shè)計”要素
風(fēng)險管理框架的設(shè)計包括：
1）理解組織及其環(huán)境，包括組織的內(nèi)外部環(huán)境。
通過對組織內(nèi)外部環(huán)境的理解，識別組織項目或體系中存在的優(yōu)勢和劣勢，識別組織面臨的機會和威脅，有助于制定風(fēng)險管理方針，并為風(fēng)險評估過程提供依據(jù)（輸入）。
2）組織的風(fēng)險管理宜建立風(fēng)險管理方針。
風(fēng)險管理方針應(yīng)清晰地表達風(fēng)險管理的目標和組織對風(fēng)險管理的承諾。按照ISO 31000：2009標準的要求，風(fēng)險管理方針應(yīng)當(dāng)闡述清楚7個方面的內(nèi)容：
a）組織管理風(fēng)險的基本原理。
b）組織目標、方針與風(fēng)險管理方針的聯(lián)系。
c）管理風(fēng)險的責(zé)任和權(quán)限。
d）處理利益相關(guān)方?jīng)_突的方式。
e）為管理風(fēng)險提供資源的承諾。
f）風(fēng)險管理績效測量和報告的方法。
g）對定期評審和改進風(fēng)險管理方針和框架，以及對事件和環(huán)境變化做出對應(yīng)的承諾。
由于風(fēng)險管理方針涉及各方面的利益，所以標準要求“風(fēng)險管理方針應(yīng)當(dāng)適當(dāng)?shù)販贤ā薄?div style="height:15px;">
3）組織應(yīng)明確風(fēng)險管理的責(zé)任，包括：
a）識別風(fēng)險責(zé)任者，并賦予其職責(zé)和權(quán)力以管理風(fēng)險。
b）識別對風(fēng)險管理框架的開發(fā)、實施和保持負有責(zé)任的人。
c）識別組織所有層級里對風(fēng)險管理過程負有其他責(zé)任的人。
d）建立績效測量、外部和（或）內(nèi)部報告及越級報告過程。
e）確保員工對風(fēng)險管理有一定的認知。
4）組織應(yīng)將風(fēng)險管理與組織過程相融合，即要求組織以相關(guān)的、有效的、有效率的方式嵌入組織的各項活動和過程之中。
風(fēng)險管理過程應(yīng)成為部分而非獨立于組織的過程。尤其是風(fēng)險管理應(yīng)嵌入組織的方針制定、業(yè)務(wù)和戰(zhàn)略規(guī)劃、評審及變更管理過程之中。同時要求組織應(yīng)有一個廣泛的風(fēng)險管理計劃，以確保風(fēng)險管理方針的執(zhí)行和風(fēng)險管理被嵌入該組織的實踐和過程之中。風(fēng)險管理計劃，可以整合到組織的其他計劃中，如戰(zhàn)略計劃。
5）組織應(yīng)確定和配備風(fēng)險管理的資源，包括：
a）人員、技能、經(jīng)驗和能力。
b）每個風(fēng)險管理過程步驟所需的資源。
c）組織應(yīng)用風(fēng)險管理的過程、方法和工具。
d）文件化的過程和程序。
e）信息和知識管理系統(tǒng)。
f）培訓(xùn)方案。
6）組織應(yīng)建立內(nèi)外部溝通和報告機制。
ISO 31000：2009標準在4.3.6中指出：組織應(yīng)建立內(nèi)部溝通和報告機制以支持和激勵風(fēng)險的責(zé)任和歸屬，這些機制應(yīng)保證：
a）對風(fēng)險管理框架組成部分的確定及隨后的修正應(yīng)能適當(dāng)?shù)販贤ā?div style="height:15px;">
b）對風(fēng)險管理框架的有效性和輸出應(yīng)能做出適當(dāng)?shù)膬?nèi)部報告。
c）組織的適當(dāng)層級應(yīng)能及時獲得風(fēng)險管理實施中的相關(guān)信息。
d）具有與內(nèi)部利益相關(guān)方協(xié)商的流程。
這些機制應(yīng)在適當(dāng)?shù)牡胤桨ㄒ恍┝鞒?，以鞏固來自各方面的風(fēng)險信息，或者可能需要考慮這些信息的敏感性。
ISO 31000：2009標準同時在4.3.7中指出：組織應(yīng)策劃和實施如何與外部利益相關(guān)方溝通的計劃，包括：
a）鼓勵適當(dāng)?shù)耐獠坷嫦嚓P(guān)方參與，并確保有效的信息交流。
b）外部報告應(yīng)合法、合規(guī)，符合公司治理的需要。
c）提供溝通和協(xié)商的反饋機制。
d）利用溝通以使組織獲得信任。
e）在發(fā)生危機和緊急事件時和利益相關(guān)方溝通。
這些機制應(yīng)在適當(dāng)?shù)牡胤桨ㄒ恍┝鞒?，以鞏固來自各方面的風(fēng)險信息，或者可能需要考慮這些信息的敏感性。
風(fēng)險管理框架設(shè)計是風(fēng)險管理框架的頂層策劃，均應(yīng)按照PDCA循環(huán)的思想進行統(tǒng)籌規(guī)劃，以防止由于設(shè)計不當(dāng)，而造成風(fēng)險管理框架或過程失效的風(fēng)險發(fā)生。
3．“實施風(fēng)險管理”要素
實施風(fēng)險管理包括風(fēng)險管理框架的實施和風(fēng)險管理過程的實施。
1）在實施風(fēng)險管理框架時，組織應(yīng)關(guān)注以下問題：
a）實施風(fēng)險管理框架的時機要充分考慮組織過程的運行階段。同時要考慮風(fēng)險所有者和相關(guān)者對風(fēng)險管理的認識和知識的應(yīng)用能力。一般應(yīng)在組織過程運行前，對相關(guān)人員進行風(fēng)險管理知識的專業(yè)培訓(xùn)，以提高其認識水平和風(fēng)險管理知識應(yīng)用能力。對于已運行的組織過程，應(yīng)以組織過程中暴露的問題為切入點，進行風(fēng)險管理專業(yè)知識培訓(xùn)，通過解決問題，提高相關(guān)人員的認識水平和參與風(fēng)險管理的積極性。
b）實施風(fēng)險管理框架的策略一般有：先培訓(xùn)再實施、邊培訓(xùn)邊實施，以及分層培訓(xùn)分步實施、集中力量全面實施等多種方式，組織應(yīng)根據(jù)組織和（或）組織過程的需要和（或）特點來確定。
c）組織決策的輸出應(yīng)與風(fēng)險管理過程的輸出相協(xié)調(diào)。這就要求我們一方面要將風(fēng)險管理過程，包括風(fēng)險的識別、分析、評定過程嵌入決策過程中，為決策過程提供支持；另一方面要求決策者要充分考慮風(fēng)險管理過程的輸出對決策結(jié)果的影響，特別是風(fēng)險應(yīng)對措施對決策結(jié)果的影響。假如我們在對某個大型項目是否應(yīng)該上馬進行決策時，運行了風(fēng)險管理過程，并識別出該項目對組織目標的實現(xiàn)具有很大的風(fēng)險，應(yīng)進行規(guī)避，項目的決策者就要十分重視這個輸出結(jié)果，不能不顧一切地上馬這個大型項目。
2）關(guān)于實施風(fēng)險管理過程，ISO 31000：2009標準第4.4.2條指出：“風(fēng)險管理的實施應(yīng)該通過風(fēng)險管理計劃，確保將條款5中規(guī)定的風(fēng)險管理過程作為組織活動和過程的組成部分，應(yīng)用到組織的相關(guān)職能和層次中去”。
那么，什么是風(fēng)險管理過程呢？我們將在后續(xù)章節(jié)中對其詳細釋義。在這里，先從標準摘錄出風(fēng)險管理過程模型，給大家一個初步概念，如圖3-5所示。
由圖3-5可見，風(fēng)險管理過程包括溝通和協(xié)商、明確狀況、風(fēng)險評估、風(fēng)險處理以及監(jiān)測和評審五大過程，風(fēng)險評估過程又分為風(fēng)險識別、風(fēng)險分析和風(fēng)險評定三個子過程，各過程之間按照邏輯關(guān)系，環(huán)環(huán)相扣、循環(huán)往復(fù)、持續(xù)改進。
4．“框架的監(jiān)測和評審”要素
1）定期檢查和評價風(fēng)險管理績效與指標之間的差異。
2）定期評價進展與風(fēng)險管理計劃之間的偏差。
3）結(jié)合組織的內(nèi)外部環(huán)境，對風(fēng)險管理框架、方針和計劃適宜性進行定期檢查和評價。
4）報告風(fēng)險和風(fēng)險管理計劃的進展，以及它們與風(fēng)險管理方針的符合性。
5）定期檢查風(fēng)險管理框架的有效性。
5．“框架的持續(xù)改進”要素
該要素也看成一個過程，其輸入是監(jiān)測評審的結(jié)果，輸出是組織風(fēng)險管理和風(fēng)險管理文化的提升，活動對象是風(fēng)險管理的框架、方針和計劃。組織只有實施“框架的持續(xù)改進”要素，才能使風(fēng)險管理框架處于良好的運行之中，促使組織風(fēng)險管理和風(fēng)險管理文化的提升，最終達到組織的目標。
四、風(fēng)險管理過程
（一）概述
ISO 31000：2009標準給出的風(fēng)險管理過程如圖3-5所示。該標準同時指出，風(fēng)險管理過程應(yīng)當(dāng)是：
1）組織管理的一部分。
2）嵌入組織實踐和文化中。
3）根據(jù)組織業(yè)務(wù)流程定制。
由此可看出，風(fēng)險管理過程有三大性質(zhì)：
1）它是組織管理活動的有機組成部分，不能構(gòu)成一個獨立的管理體系。由于風(fēng)險無處不在，必然導(dǎo)致在組織的各個業(yè)務(wù)管理領(lǐng)域以及企業(yè)戰(zhàn)略管理活動中均應(yīng)實施風(fēng)險管理。
2）由于風(fēng)險管理過程是組織管理的一個組成部分，那么，不管風(fēng)險管理過程有多少，有哪些要求，都應(yīng)嵌人組織的實踐和文化之中。從意識方面講就是要在組織文化中加人風(fēng)險管理思想。在進行組織的各項管理活動時，強調(diào)風(fēng)險管理意識，時時不忘風(fēng)險的溝通、協(xié)商、識別、分析、評定、處理，以及監(jiān)測和評審工作。從行動方面講，就是要在策劃和實施組織管理活動的同時策劃和實施風(fēng)險管理過程。
3）雖然 ISO 31000：2009標準給出了風(fēng)險管理的過程，但這只是一個原則性的、抽象的要求。因為每個組織所處的內(nèi)外部環(huán)境不同，即使同一個組織，其各項管理活動所處的內(nèi)外部環(huán)境也不盡相同，所以組織要根據(jù)組織和各個管理活動的實際，分析內(nèi)外部環(huán)境，參照標準的要求，建立自己的風(fēng)險管理過程。也就是說，一個針對特定的組織或特定管理活動確定的，對實現(xiàn)組織目標和（或）特定管理目標有所幫助的風(fēng)險管理過程，必須是“量體裁衣”的。
（二）風(fēng)險管理過程的構(gòu)成
由圖3-5可知，正式的風(fēng)險管理有五大主過程，包括明確狀況、風(fēng)險識別、風(fēng)險分析、風(fēng)險評定和風(fēng)險處理（應(yīng)對）。其中，風(fēng)險識別、風(fēng)險分析和風(fēng)險評定也稱為風(fēng)險評估過程。正式的風(fēng)險管理過程還有兩大輔助過程：溝通和協(xié)商過程及監(jiān)測和評審過程。
1．五大主過程的輸入、活動和輸出
（1）明確狀況過程 該過程的輸入是策劃團隊與項目或體系相關(guān)方就項目或體系面臨的環(huán)境、風(fēng)險管理范圍和風(fēng)險準則進行充分溝通和協(xié)商的結(jié)果。
該過程的活動包括分析組織的項目或體系的內(nèi)外部環(huán)境，確定項目或體系的風(fēng)險管理范圍，并確定項目或體系的風(fēng)險接受準則。
分析內(nèi)外部環(huán)境狀況與ISO 9001：2009標準中4.1的要求基本類同。就是要通過確定、監(jiān)視和評審組織的價值觀、文化、知識和績效等相關(guān)因素，以明晰組織在某項目或體系所具有的優(yōu)勢和劣勢。同時通過確定、監(jiān)視和評審來自于國際、國內(nèi)、地區(qū)和當(dāng)?shù)氐母鞣N法律法規(guī)、技術(shù)、競爭、市場、文化、社會和經(jīng)濟因素，以明晰組織的某項目或體系所面臨的機會和威脅。通過SWOT矩陣等工具，確定項目或體系及風(fēng)險管理的范圍和策略。
風(fēng)險準則也稱為風(fēng)險接受準則，組織根據(jù)內(nèi)外部環(huán)境的影響和項目或體系的實際情況，對風(fēng)險發(fā)生的可能性和潛在后果進行定義，使其由定性轉(zhuǎn)化為定量，并利用給出的式，計算出在不同的可能性和潛在后果組合的情況下的風(fēng)險等級R，并確定R的接收范圍。即多大程度的風(fēng)險可以接受？多大程度的風(fēng)險可以有條件地接受？多大程度的風(fēng)險不能接受。
例如，某項目的接受準則見表。
風(fēng)險級別
風(fēng)險等級
接受方式
處置策略
最大風(fēng)險
R≥20
不能接受
采取非常特殊措施防范
高風(fēng)險
15≤R<20
不能接受
采取特殊措施監(jiān)控
中等風(fēng)險
10≤R<15
不能接受
采取有效措施控制
低風(fēng)險
4≤R<10
可以接受
評審，采取常規(guī)措施控制
最小風(fēng)險
R<4
可以接受
無評審，采取一般措施很容易控制
值得注意的是，式（3-1）給出的模型的局限性在于沒有充分考慮項目或體系利益相關(guān)方對風(fēng)險的容忍程度，以及法律法規(guī)、行業(yè)要求和慣例。因此，策劃團隊在確定出風(fēng)險準則后，應(yīng)與相關(guān)方進行充分的溝通和協(xié)商，并充分考慮法律法規(guī)和行業(yè)要求及慣例，做出適當(dāng)?shù)恼{(diào)整。
（2）風(fēng)險識別過程按照 ISO Guide73：2009的定義，風(fēng)險識別過程是“發(fā)現(xiàn)、認識、描述發(fā)現(xiàn)的過程”。該過程的輸入是“明確狀況”過程輸出的組織的項目或體系的內(nèi)外部環(huán)境影響、風(fēng)險管理過程的范圍和風(fēng)險準則。該過程的輸出是該項目或體系的風(fēng)險清單。該風(fēng)險清單至少應(yīng)揭示該項目或體系的每一個風(fēng)險事件、風(fēng)險源和風(fēng)險的潛在后果。若有可能的話，還應(yīng)揭示風(fēng)險的影響區(qū)域、風(fēng)險發(fā)生的原因等與風(fēng)險相關(guān)的參數(shù)。風(fēng)險識別過程的活動包括：
1）分析過程輸入的參數(shù)，特別是要關(guān)注項目或體系的內(nèi)外部環(huán)境參數(shù)和風(fēng)險管理過程的范圍，以便在此環(huán)境和范圍下進行風(fēng)險識別工作。
2）識別項目或體系每個過程可能的風(fēng)險事件。所謂的“事件”是指“特殊系列環(huán)境的產(chǎn)生或變化”（見ISOGuide73：2009的3.5.1.3），它是風(fēng)險的表象。識別風(fēng)險事件以及后續(xù)的工作并不需要高深的專業(yè)知識背景，卻需要盡可能多的相關(guān)人員的參與。
3）識別項目或體系每個風(fēng)險事件可能的風(fēng)險源。所謂的風(fēng)險源，按照ISOGuide73：2009的定義是“以單獨或結(jié)合的形式產(chǎn)生風(fēng)險的內(nèi)在可能性的因素”，你可以將其看成風(fēng)險發(fā)生的初步原因。例如，產(chǎn)品出現(xiàn)質(zhì)量故障可稱為風(fēng)險，首先要確定這個故障是屬于設(shè)計問題，還是工藝、原材料或加工的問題，這些問題即可理解為該故障的風(fēng)險源。風(fēng)險源反映的是風(fēng)險產(chǎn)生原因的分類。在我國安全生產(chǎn)領(lǐng)域，也稱為“危險源”。
4）識別風(fēng)險事件可能所涉及的區(qū)域。該問題的識別能夠為后續(xù)過程對風(fēng)險性質(zhì)的確定和風(fēng)險應(yīng)對措施的實施打下基礎(chǔ)。
5）識別風(fēng)險事件可能導(dǎo)致的后果。在ISO Guide73：2009的定義中，“后果”是“事件對目標的影響結(jié)果”，它是確定風(fēng)險等級（嚴重程度）的重要因素之一。識別每個風(fēng)險事件可能導(dǎo)致的后果，可為后續(xù)過程的確定風(fēng)險等級、確定接受決定以及制定應(yīng)對措施打下基礎(chǔ)。
6）在以上工作的基礎(chǔ)上，可以形成一份風(fēng)險清單，系統(tǒng)地反映項目或體系所面臨的風(fēng)險以及每個風(fēng)險的事件、風(fēng)險源、風(fēng)險可能涉及的區(qū)域、風(fēng)險的潛在后果。
風(fēng)險識別沒有單一的方法和工具，是一個充滿智慧的知識管理過程。需要把項目或體系管理的知識和經(jīng)驗逐步地積累起來，形成組織的項目或體系風(fēng)險管理知識庫，進行綜合性應(yīng)用。本節(jié)推薦幾種常見的方法：
a）WBS。WBS是一種對大型的、復(fù)雜的、概念性的客體，按照其內(nèi)在的邏輯關(guān)系，進行層層分解，直到能夠方便操作的層次為止的工具。它是項目管理的基礎(chǔ)，可用于安排項目計劃和分配項目任務(wù)。在風(fēng)險識別過程中，對項目或體系的過程分解得越細，人們利用知識和經(jīng)驗發(fā)現(xiàn)和識別風(fēng)險的可能性就越大。
b）頭腦風(fēng)暴法。由項目成員、外聘專家、顧客等各方人員組成小組，創(chuàng)造一個能夠充分發(fā)表個人意見的環(huán)境，鼓勵大家根據(jù)每個人的知識和經(jīng)驗列出所有可能的風(fēng)險。
c）訪談。策劃團隊與那些有類似項目經(jīng)驗的人或項目組的主要成員進行面談，可以盡早認識問題，識別可能風(fēng)險。
d）德菲爾法。即函詢調(diào)查法。將提出的問題和必要的背景材料，用通信的方式向有經(jīng)驗的專家提出，然后把他們答復(fù)的意見進行綜合，再反饋給他們，如此反復(fù)多次，直到認為意見合適為止。
（3）風(fēng)險分析過程 風(fēng)險識別過程輸出的風(fēng)險清單作為風(fēng)險分析的輸入。風(fēng)險分析過程的輸出是對每個風(fēng)險事件的性質(zhì)和風(fēng)險等級（程度）的確定，以便為風(fēng)險評定（評價）過程提供輸入。該過程的基本活動包括：
1）識別和確定每個風(fēng)險事件的性質(zhì)。即識別和確定每個風(fēng)險事件是投機性風(fēng)險，還是純粹性風(fēng)險，以便為隨后的確定風(fēng)險應(yīng)對措施奠定基礎(chǔ)。
2）策劃團隊在制定風(fēng)險準則時，確定可能性和后果的定義方法，確定每個風(fēng)險的可能性和后果，并將其由定性的概念轉(zhuǎn)化為定量的數(shù)值。
3）利用本節(jié)給出的式（3-1），分別計算出每個風(fēng)險的風(fēng)險等級R。
4）由于式（3-1）有其局限性，沒有充分考慮相關(guān)方對風(fēng)險的容忍程度，以及法律法規(guī)和行業(yè)的要求，所以，策劃團隊對于按照式（3-1）所確定的每個風(fēng)險等級R，要與顧客、組織高層、相關(guān)部門、供方等相關(guān)方進行充分的溝通和協(xié)商，以確定風(fēng)險等級的適宜性。
（4）風(fēng)險評定（評價）過程 風(fēng)險評定（評價）過程就是“將風(fēng)險分析的結(jié)果與風(fēng)險準則進行比較，以確定風(fēng)險和（或）其量是否可接受或可容許?！保ㄒ奍SO Guide73：2009的3.7.1）。該過程的輸入有兩個，一個是明確狀況過程中輸出的風(fēng)險準則；另一個是風(fēng)險分析過程輸出的每個風(fēng)險的性質(zhì)和風(fēng)險等級。其輸出是每個已經(jīng)識別的風(fēng)險是否可接受或可容許的決定，以便為隨后的風(fēng)險應(yīng)對（處理）過程提供輸入。
風(fēng)險評定（評價）過程的基本活動包括：
1）將每個風(fēng)險的性質(zhì)和風(fēng)險等級與風(fēng)險準則進行對照，初步確定每個風(fēng)險是否可以接受或容許。
2）由于建立風(fēng)險準則所采用的式（3-1）有其局限性，策劃團隊對已經(jīng)初步確定的每個風(fēng)險是否能接受或容許的決定，應(yīng)與相關(guān)方進行充分的溝通和協(xié)商，聽取和采取他們的合理意見，予以修正，形成正式的決定。
在ISO 31000：2009標準中，風(fēng)險識別、風(fēng)險分析和風(fēng)險評定（評價）過程一起稱為風(fēng)險評估過程。該過程的目的在于為隨后的風(fēng)險處理（應(yīng)對）過程提供前提和條件（輸入）。
在質(zhì)量管理體系認證標準ISO 9001：2015提出的基于風(fēng)險的思維中，風(fēng)險評估過程就是要求策劃團隊在對質(zhì)量管理體系策劃時，識別每個過程的風(fēng)險和機遇以及其可接受的程度。
（5）風(fēng)險處理（應(yīng)對）過程 按照ISO Guide73：2009的定義，風(fēng)險處理（應(yīng)對）過程就是一個“修正風(fēng)險的過程”。該定義清晰地表明，風(fēng)險是不可能被消滅的，只能予以修正，以便組織能夠?qū)@些風(fēng)險全部接受或容許。
該過程的輸入是風(fēng)險評估過程輸出的各種風(fēng)險是否能被接受或容許的結(jié)論、相關(guān)方對每個風(fēng)險的容忍程度、法律法規(guī)要求、行業(yè)要求和慣例。其輸出是各種風(fēng)險處理（應(yīng)對）方案（計劃）。其基本活動包括：
1）進一步分析風(fēng)險評估的結(jié)論，必要時予以修正。
2）與相關(guān)方進行廣泛的溝通和協(xié)商，并評價和有選擇地采納相關(guān)方關(guān)于風(fēng)險接受或容許決定以及所要選擇的風(fēng)險處理（應(yīng)對）方案的意見。
3）研究法律法規(guī)和行業(yè)的要求，按照這些要求審視風(fēng)險接受或容許的決定以及所要選擇的風(fēng)險處理（應(yīng)對）方案的“合規(guī)性”。
4）形成與項目或體系相關(guān)的各個風(fēng)險的處理（應(yīng)對）方案或計劃。
關(guān)于風(fēng)險處理（應(yīng)對）方案的類型，在ISO Guide73：2009和ISO 9001：2015標準中均有類似的表述，可以做以下分類和理解：
風(fēng)險規(guī)避，即通過決定不開展或停止項目來規(guī)避風(fēng)險。這類風(fēng)險同時具有以下特點：
a）屬于純粹性風(fēng)險。
b）風(fēng)險等級R很高。
c）不能采取預(yù)防措施進行修正。
d）采取風(fēng)險減輕措施后的剩余風(fēng)險組織仍然不能接受和容許。
e）沒有愿意接受或者是分擔(dān)風(fēng)險的組織和個人。
風(fēng)險承擔(dān)（保留），即通過有事實依據(jù)的決策來保留風(fēng)險。這類風(fēng)險同時具有以下特點：
a）屬于投機性風(fēng)險。
b）風(fēng)險等級R不是很高。
c）風(fēng)險規(guī)避、風(fēng)險預(yù)防等措施所付出的成本較高。
d）組織有能力監(jiān)測和化解風(fēng)險。
風(fēng)險提升，即為了追求機會、增加風(fēng)險。這類風(fēng)險同時具有以下特點：
a）屬于投機性風(fēng)險。
b）風(fēng)險等級不是很高。
c）存在著較多促進組織或個人目標實現(xiàn)的機會，而且隨著風(fēng)險等級的提高，這種機會越來越大。
消除風(fēng)險源，這是風(fēng)險預(yù)防措施之一。也就是通過消除風(fēng)險源來降低風(fēng)險等級，以便組織接受或容許。這類風(fēng)險同時具備以下特點：
a）屬于純粹性風(fēng)險。
b）風(fēng)險等級R較高。
c）項目對組織總體目標的實現(xiàn)影響較大，不能中止以規(guī)避風(fēng)險。
d）風(fēng)險源比較單一，有消除的可能性。
風(fēng)險減輕，這也是風(fēng)險預(yù)防措施。即通過改變風(fēng)險發(fā)生的可能性或后果，來降低風(fēng)險等級，以便組織接受或容許。這類風(fēng)險同時具備以下特點：
a）屬于純粹性風(fēng)險。
b）風(fēng)險等級較高。
c）項目對組織總體目標的實現(xiàn)影響較大，不能中止以規(guī)避風(fēng)險。
d）有降低風(fēng)險發(fā)生可能性，或者是有降低風(fēng)險潛在后果的機會。
風(fēng)險轉(zhuǎn)移，即與其他組織或個人一起分擔(dān)風(fēng)險。這類風(fēng)險同時具備以下特點：
a）屬于純粹性風(fēng)險。
c）項目對組織總體目標的實現(xiàn)影響較大，不能中止以規(guī)避風(fēng)險。
d）沒有降低風(fēng)險發(fā)生可能性或潛在后果的機會。
e）有愿意并有能力分擔(dān)風(fēng)險的組織或個人。
以上分類對組織在確定每個風(fēng)險的具體應(yīng)對方案時提供了方向。在具體操作過程中，一定要關(guān)注以下方面的要求：
1）充分考慮法律法規(guī)、社會責(zé)任和環(huán)境保護等方面的要求。
2）充分考慮風(fēng)險應(yīng)對措施的實施帶來的成本與收益之比，已選擇適宜的方案。
3）對于復(fù)雜的風(fēng)險（如有累積效應(yīng)或連鎖效應(yīng)的風(fēng)險）可選擇幾種應(yīng)對措施，將其單獨或組合使用。
4）充分考慮利益相關(guān)方的訴求、價值觀、風(fēng)險認知、承受度、風(fēng)險偏好。
5）清晰確定每個風(fēng)險處理宜實施的優(yōu)先順序。一般情況下，應(yīng)確定是否有現(xiàn)有的措施，并評估其適宜性和充分性；然后再確定預(yù)防措施。為了避免預(yù)防措施失效，一般還應(yīng)制定風(fēng)險的應(yīng)急措施，以防止不可接受的風(fēng)險的意外發(fā)生。
6）實時監(jiān)測，以防應(yīng)對措施失靈或失效。
7）評價、處理、監(jiān)測和評審次級風(fēng)險，以防止不可接受的次級風(fēng)險的發(fā)生。
2．兩大輔助過程的輸入、輸出和活動
風(fēng)險具有不確定性，而風(fēng)險管理過程由于其是對未來事件的策劃，也同時具有不確定性。為了減少這種不確定性對組織目標的影響，對風(fēng)險管理的每個主過程都需要與相關(guān)方進行溝通和協(xié)商，并進行監(jiān)視、測量和評價。這就構(gòu)成了溝通和協(xié)商、監(jiān)測和評審（評價）過程。
（1）溝通和協(xié)商過程 所謂的“溝通和協(xié)商過程”就是將每個風(fēng)險管理主過程的輸出作為過程的輸入，通過與相關(guān)方進行通報、征求意見和討論，對這些主過程的輸出進行適宜和充分的修正的過程。ISO 31000：2009標準在5.2中指出：“采取有效的外部和內(nèi)部溝通和協(xié)商，可以確保風(fēng)險管理過程在實施過程中職責(zé)明確，利益相關(guān)方理解決策的基礎(chǔ)和采取所需的特定措施的原因。”
為什么要與相關(guān)方進行溝通和協(xié)商呢？
一是由于價值觀、所處的地位以及訴求上的差別，他們與組織的策劃團隊在風(fēng)險偏好和風(fēng)險態(tài)度上可能是不一致的，所以對各個主過程的輸出的認識也是不盡相同的。同時，他們對組織的項目或體系目標的實現(xiàn)又具有較大的影響。如果不能很好地與其進行溝通和協(xié)商，很可能造成他們對風(fēng)險管理各過程的輸出產(chǎn)生不理解或消極、抵抗的結(jié)果，直接影響項目或體系目標的實現(xiàn)。
二是風(fēng)險管理的各個主過程大多是對未來工作的策劃，由于知識和信息的不對稱性，這些策劃也具有不確定性。同時，風(fēng)險準則的制定、風(fēng)險分析和風(fēng)險評定所采用的式（3-1）又存在著局限性，更增加了這種不確定性。所以，與相關(guān)方的溝通和協(xié)商顯得十分重要。
溝通和協(xié)商過程的主體應(yīng)該是項目或體系策劃團隊。溝通和協(xié)商的依據(jù)應(yīng)該是相應(yīng)的計劃。ISO 9001：2015標準7.4要求：“組織應(yīng)確定與質(zhì)量管理體系相關(guān)的內(nèi)部和外部溝通，包括溝通什么；何時溝通；與誰溝通；如何溝通；誰來溝通”。這個要求應(yīng)成為策劃團隊制定溝通和協(xié)商計劃的基本要求。
在溝通和協(xié)商過程中，必須保持信息交流的真實性、相關(guān)性、準確性和可理解性。同時還要考慮某些信息的保密性和人格方面的因素，以確保溝通和協(xié)商過程有效。
（2）監(jiān)測和評審（評價）過程 所謂的“監(jiān)測和評審過程”就是對風(fēng)險管理主過程的輸出進行監(jiān)視、測量和評價。按照ISO 31000：2009標準的要求：“監(jiān)測和評審應(yīng)該是風(fēng)險管理過程的一部分，包含常規(guī)檢查或監(jiān)督?？梢远ㄆ诨虿欢ㄆ谶M行。”其目的是：
1）確保風(fēng)險管理主過程的輸出在設(shè)計和運行上有效和有效率。
2）獲得進一步改進風(fēng)險評估的信息。
3）從事件、變化、趨勢、成功和失敗中分析和吸取教訓(xùn)。
4）觀察和分析內(nèi)外部狀況的變化，包括風(fēng)險準則的變化等。
5）識別新出現(xiàn)的風(fēng)險。
為了做好監(jiān)視、測量和評價工作，組織應(yīng)確定監(jiān)測和評審過程的職責(zé)，規(guī)定“誰來做，怎么做，根據(jù)什么來做，做到什么程度”，以確保該過程的有效性。
以上所述，是ISO 31000：2009標準對風(fēng)險管理原則、框架和過程的基本描述和理解，應(yīng)在組織的戰(zhàn)略和業(yè)務(wù)過程中得以實施和應(yīng)用。
（三）風(fēng)險管理計劃
在項目或產(chǎn)品和服務(wù)運行過程策劃時，策劃團隊一般應(yīng)策劃輸出風(fēng)險管理計劃。ISO Guide73：2009給出了風(fēng)險管理計劃的定義：
2.1.3 風(fēng)險管理計劃 risk management plan
在風(fēng)險管理框架內(nèi)規(guī)定用于風(fēng)險管理的方法、管理要素、資源的方案。
注1：管理要素一般包括程序、慣例、職責(zé)分配、活動順序和時間安排。
注2：風(fēng)險管理計劃可應(yīng)用于特定的產(chǎn)品、過程和項目、組織的部分或整體。
1.風(fēng)險管理計劃的基本結(jié)構(gòu)
風(fēng)險管理計劃實際上是組織策劃團隊對項目或產(chǎn)品和服務(wù)運行過程進行風(fēng)險管理過程策劃的輸出，其基本內(nèi)容一般包括但不限于以下內(nèi)容：
1）項目或產(chǎn)品和服務(wù)運行過程的概述
簡要地描述項目或產(chǎn)品和服務(wù)運行過程的來源、截止時間、目標和基本要求。
2）組織內(nèi)外部環(huán)境概述及風(fēng)險管理要求。
描述策劃團隊在“明確狀況”過程中對內(nèi)外部環(huán)境的分析，包括組織內(nèi)部的優(yōu)勢和劣勢、外部面臨的機會和威脅，及其利用SWOT矩陣等方法確定的風(fēng)險管理策略等內(nèi)容。
簡要描述策劃團隊通過分析內(nèi)外部環(huán)境確定的風(fēng)險管理過程的范圍和要求。
3）風(fēng)險準則。
簡要地描述策劃團隊在明確狀況過程中，策劃風(fēng)險準則的過程和結(jié)果。
4）風(fēng)險應(yīng)對方案（計劃）。
對風(fēng)險管理的五大主過程的輸出進行總結(jié)，描述項目或產(chǎn)品和服務(wù)運行過程所識別和確定的每一個風(fēng)險事件、風(fēng)險源、潛在后果；可能性量級、潛在后果量級、風(fēng)險等級；是否為可接受的決定；風(fēng)險應(yīng)對措施；監(jiān)測和評價的要求等內(nèi)容。并進行動態(tài)管理，分階段予以調(diào)整。
過程
及
編號
風(fēng)險識別
風(fēng)險分析
風(fēng)險評定
風(fēng)險處理
監(jiān)測和評審
風(fēng)險
事件
風(fēng)險
源
潛在
后果
可能性
量級
潛在
后果
量級
風(fēng)險
等級
可以
接受
有條
件地
接受
不能
接受
現(xiàn)有
措施、
負責(zé)
人、
完成
日期
預(yù)防
措施、
負責(zé)
人、
完成
日期
應(yīng)急
措施、
負責(zé)
人、
完成
日期
殘余
風(fēng)險
監(jiān)測
和評
價的
方法
從
完成
日期
編制
校對
審核
批準
2．基于風(fēng)險的思維的概念及理解
（1）ISO 9001：2015標準對基于風(fēng)險的思維的描述 ISO 9001：2015標準在0.3.3和附錄A中闡述了基于風(fēng)險的思維的理念：
0.3.3 基于風(fēng)險的思維
基于風(fēng)險的思維（見A．4）是實現(xiàn)質(zhì)量管理體系有效性的基礎(chǔ)。本標準以前的版本已經(jīng)隱含基于風(fēng)險思維的概念，例如：采取預(yù)防措施消除潛在的不合格，對發(fā)生的不合格進行分析，并采取與不合格的影響相適應(yīng)的措施，防止其再發(fā)生。
為滿足本標準的要求，組織需策劃和實施應(yīng)對風(fēng)險和機遇的措施。應(yīng)對風(fēng)險和機遇，為提高質(zhì)量管理體系有效性、獲得改進結(jié)果以及防止不利影響奠定基礎(chǔ)。
某些有利于實現(xiàn)預(yù)期結(jié)果的情況可能導(dǎo)致機遇的出現(xiàn)，例如：有利于組織吸引顧客、開發(fā)新產(chǎn)品和服務(wù)、減少浪費或提高生產(chǎn)率的一系列情形。利用機遇所采取的措施也可能包括考慮相關(guān)風(fēng)險。風(fēng)險是不確定性的影響，不確定性可能有正面的影響，也可能有負面的影響。風(fēng)險的正面影響可能提供機遇，但并非所有的正面影響均可提供機遇。
A．4 基于風(fēng)險的思維
本標準以前的版本中已經(jīng)隱含基于風(fēng)險的思維的概念，如：有關(guān)策劃、評審和改進的要求。本標準要求組織理解其組織環(huán)境（見4.1），并以確定風(fēng)險作為策劃的基礎(chǔ)（見6.1）。這意味著將基于風(fēng)險的思維應(yīng)用于策劃和實施質(zhì)量管理體系過程（見4.4），并有助于確定成文信息的范圍和程度。
質(zhì)量管理體系的主要用途之一是作為預(yù)防工具。因此，本標準并未就“預(yù)防措施”設(shè)置單獨條款或子條款，預(yù)防措施的概念是通過在質(zhì)量管理體系要求中融人基于風(fēng)險的思維來表達的。
由于在本標準中使用基于風(fēng)險的思維，因而一定程度上減少了規(guī)定性要求，并以基于績效的要求替代。在過程、成文信息和組織職責(zé)方面的要求比ISO9001：2008具有更大的靈活性。
雖然6.1規(guī)定組織應(yīng)策劃應(yīng)對風(fēng)險的措施，但并未要求運用正式的風(fēng)險管理方法或?qū)L(fēng)險管理過程形成文件。組織可以決定是否采用超出本標準要求的更多風(fēng)險管理方法，如：通過應(yīng)用其他指南或標準。
在組織實現(xiàn)其預(yù)期目標的能力方面，并非質(zhì)量管理體系的全部過程表現(xiàn)出相同的風(fēng)險等級，并且不確定性的影響對于各組織不盡相同。根據(jù)6.1的要求，組織有責(zé)任應(yīng)用基于風(fēng)險的思維，并采取應(yīng)對風(fēng)險的措施，包括是否保留成文信息，以作為其確定風(fēng)險的證據(jù)。
基于風(fēng)險的思維貫穿ISO 9001：2015標準的各個章節(jié)。
第4章要求組織應(yīng)識別和理解面臨的內(nèi)外部環(huán)境和相關(guān)方及其需求和期望，為基于風(fēng)險的思維的實施打下基礎(chǔ)。
第5章提出要求最高管理者應(yīng)在組織中促進基于風(fēng)險的思維的應(yīng)用。
第6章要求組織應(yīng)識別質(zhì)量管理體系及其過程的風(fēng)險和機遇，制定應(yīng)對風(fēng)險和機遇的措施，并將其整合到質(zhì)量管理體系中去。
第7章要求組織要為實施應(yīng)對風(fēng)險和機遇的措施提供相關(guān)資源。
第8章要求組織應(yīng)關(guān)注產(chǎn)品和服務(wù)運行過程的風(fēng)險和機遇，及時予以確定并制定新的措施。
第9章要求組織對實施應(yīng)對風(fēng)險和機遇的有效性進行監(jiān)視、測量、分析和評價。
第10章要求組織針對監(jiān)視、測量和評價中發(fā)現(xiàn)的問題，進行改進，避免和減少不利影響，提高質(zhì)量管理體系的績效。
（2）如何理解基于風(fēng)險的思維 根據(jù)ISO 9001：2015標準的描述和要求，基于風(fēng)險的思維可從以下幾個方面進行理解：
1）基于風(fēng)險的思維是基于組織對內(nèi)外部環(huán)境和組織相關(guān)方及其需求和期望的理解，應(yīng)在質(zhì)量管理體系策劃和實施過程中與過程方法、PDCA循環(huán)等核心理念一進行應(yīng)用。它將有利于預(yù)防各種不確定性對實現(xiàn)質(zhì)量管理體系目標的影響，有助于實現(xiàn)質(zhì)量管理體系的有效性。
2）基于風(fēng)險的思維簡化了正式風(fēng)險管理過程的要求，將風(fēng)險管理的重點放在兩個方面：一是在策劃質(zhì)量管理體系中確定體系和過程的風(fēng)險和機遇，制定應(yīng)對措施，突出了正式風(fēng)險管理過程中的風(fēng)險識別和風(fēng)險處理過程的要求。二是要將風(fēng)險和機遇應(yīng)對措施整合到質(zhì)量管理體系中，予以實施、檢查和改進。
3）基于風(fēng)險的思維應(yīng)在兩個層面上運行，一個層面是組織的層面，即整個質(zhì)量管理體系的層面；二是組織內(nèi)部過程的層面，包括質(zhì)量管理體系所需過程的層面。通過對過程風(fēng)險和機遇的識別和應(yīng)對，提高質(zhì)量管理體系的有效性。
4）基于風(fēng)險的思維并沒有否定正式的風(fēng)險管理過程?；陲L(fēng)險的思維到什么程度？是否需要正式的成文信息予以支持？取決于組織輸出的環(huán)境。如果組織是一個很小的組織，生產(chǎn)和服務(wù)非常簡單，可能不需要有一個非常正式的風(fēng)險管理過程。但是，如果組織是一個高度復(fù)雜的研制尖端產(chǎn)品的企業(yè)，比如說軍工企業(yè)，其產(chǎn)品出現(xiàn)問題，潛在的影響非常大，就可能采取正式的風(fēng)險管理過程進行風(fēng)險識別、風(fēng)險分析、風(fēng)險評定和風(fēng)險處理。
3．基于風(fēng)險的思維和風(fēng)險管理要求在AS9100D中的應(yīng)用
軍工企事業(yè)單位是研制和生產(chǎn)尖端武器裝備的組織，由于組織規(guī)模較大，過程、產(chǎn)品較復(fù)雜，國防建設(shè)的要求較高，所以在應(yīng)用基于風(fēng)險的思維的過程中，應(yīng)落實正式的風(fēng)險管理要求。根據(jù)這個特點，國際航空航天及國防組織的質(zhì)量管理體系認證標準AS9100D，在ISO 9001：2015關(guān)于基于風(fēng)險的思維的基礎(chǔ)上，還強調(diào)了產(chǎn)品和服務(wù)運行風(fēng)險管理的要求。我們在策劃和運行質(zhì)量管理體系過程中，應(yīng)予以貫徹。
（1）質(zhì)量管理體系策劃和再策劃時的基于風(fēng)險的思維 在策劃和再策劃質(zhì)量管理體系時，策劃團隊?wèi)?yīng)通過確定組織內(nèi)外部環(huán)境和理解的需求和期望等途徑，在運用過程方法對質(zhì)量管理體系進行頂層策劃時，貫徹基于風(fēng)險的思維的理念。典型的方法是：
1）分析組織的內(nèi)外部環(huán)境，確定并用成文信息詳細描述組織相關(guān)方及其需求和期望。
2）根據(jù)組織的內(nèi)外部PESTLE、組織相關(guān)方及其需求和期望的分析，確定并用成文信息詳盡描述質(zhì)量管理體系的范圍，包括其邊界和適用性。
3）應(yīng)用過程流程圖等工具，識別標準蘊含的過程和組織實際運行所需要的過程，并將其合，覆蓋標準所要求的全部條款，形成質(zhì)量管理體系所需過程圖。例如，將組織所需的過程按照產(chǎn)品和服務(wù)運行過程域、管理性過程域、支持性過程域劃分為三大過程域，并按照標準的要求和組織管理的需要細分這些過程域，形成二級、三級或更下一層次的子過程，并顯示出相關(guān)過程的相互關(guān)聯(lián)（誰在前，誰在后）和相互作用（誰管誰，誰被誰管）。
4）按照ISO 9001：2009標準4.4.1的要求，利用烏龜圖技術(shù)（見圖3-2）確定每個過程的固有特性和附加特性，包括過程潛在的“風(fēng)險和機遇”和“風(fēng)險和機遇應(yīng)對措施”。并通過質(zhì)量管理體系過程特性矩陣（見表3-1），確定這些過程的固有特性和附加特性的內(nèi)涵，包括“風(fēng)險和機遇”和“風(fēng)險和機遇的應(yīng)對措施”的內(nèi)涵，以此充分體現(xiàn)ISO 9001：2015標準6.1關(guān)于將應(yīng)對風(fēng)險和機遇的措施整合到質(zhì)量管理體系中去的要求，并將其落實到相關(guān)的程序文件、規(guī)章制度或作業(yè)指導(dǎo)書中去。
5）必要時，利用質(zhì)量職責(zé)分配矩陣（見表3-2），分配過程職責(zé)。
對于AS9100D質(zhì)量管理體系，組織應(yīng)將以上輸出，匯編成一份單一的成文信息，稱為《質(zhì)量手冊》。
6）隨著質(zhì)量管理體系的實施和組織內(nèi)外部環(huán)境的變化，組織應(yīng)對“質(zhì)量管理體系過程特性矩陣”中的“風(fēng)險和機遇”“風(fēng)險和機遇的應(yīng)對措施”的有效性進行監(jiān)視、測量和評價，必要時進行變更性的策劃。
（2）組織運行過程的風(fēng)險管理AS9100D在8.1.1中提出來對產(chǎn)品和運行過程的風(fēng)險啟動一個正式的風(fēng)險管理過程的要求。
8.1.1 運行風(fēng)險管理
組織應(yīng)策劃、實施和控制一個過程，用于管理運行風(fēng)險，以滿足適用要求。當(dāng)適合于組織及產(chǎn)品和服務(wù)時，該過程包括：
a）分配運行風(fēng)險管理的職責(zé)；
b）規(guī)定風(fēng)險評估準則（如可能性、影響、風(fēng)險可接受度）；
c）在整個運行過程中的風(fēng)險識別、評估和溝通；
d）當(dāng)超出規(guī)定的風(fēng)險接受準則時，確定、實施并管理風(fēng)險的措施；
e）風(fēng)險措施實施后的剩余風(fēng)險的可接受度。
注1：盡管6.1條闡述了組織策劃質(zhì)量管理體系的風(fēng)險和機遇，本條款（8.1.1）的范圍僅限于產(chǎn)品和服務(wù)提供所需的運行過程的相關(guān)風(fēng)險。
注2：在航空、航天和國防工業(yè)，風(fēng)險通常從發(fā)生的可能性和后果的嚴重性的角度表示。
組織可從以下方面理解和落實該條款的要求。
1）分配運行風(fēng)險管理的職責(zé)
按照ISO Guide73：2009中關(guān)于“風(fēng)險責(zé)任者risk owner”的概念和“風(fēng)險管理嵌入組織所有過程之中”的風(fēng)險管理原則，對于質(zhì)量管理體系來說，最高管理者就應(yīng)該是質(zhì)量管理體系的風(fēng)險責(zé)任者。產(chǎn)品和服務(wù)運行每一個過程的過程責(zé)任者（主管部門）就應(yīng)該是該過程的風(fēng)險責(zé)任者，它應(yīng)負責(zé)所主管的過程的風(fēng)險管理的策劃、組織實施、檢查和組織改進的工作。風(fēng)險管理的策劃任務(wù)集中在制定和改進風(fēng)險管理計劃。
過程的協(xié)助者（即過程中子過程或活動的責(zé)任部門）就應(yīng)該是該子過程或活動的風(fēng)險責(zé)任者。協(xié)助過程的責(zé)任者負責(zé)風(fēng)險管理的策劃、組織實施、檢查和組織改進工作。
過程的執(zhí)行者（部門）也應(yīng)是風(fēng)險管理計劃的執(zhí)行者。按照風(fēng)險責(zé)任者的策劃，執(zhí)行風(fēng)險管理策劃所分配的任務(wù)。
組織在確定質(zhì)量管理體系所需過程時，確定過程責(zé)任者、過程協(xié)助者和過程執(zhí)行者的同時，就意味著對風(fēng)險管理的職責(zé)進行了分配。
對于實施項目管理的組織，風(fēng)險責(zé)任者應(yīng)為項目經(jīng)理，相關(guān)角色應(yīng)在風(fēng)險管理計劃中確定。
2)規(guī)定風(fēng)險評估準則（如可能性、影響、風(fēng)險可接受度）。
這是對正式風(fēng)險管理過程中“明確狀況過程”的一種表述。要求組織的項目團隊或產(chǎn)品和服務(wù)運行策劃團隊，應(yīng)根據(jù)項目或產(chǎn)品和服務(wù)運行的實際情況，在與相關(guān)方充分溝通和協(xié)商的基礎(chǔ)上，確定適宜的風(fēng)險準則，以作為風(fēng)險評定和風(fēng)險處理的輸人。
3)在整個運行過程中的風(fēng)險識別、評估和溝通。
產(chǎn)品和服務(wù)運行過程按照組織的業(yè)務(wù)流程劃分，一般包括產(chǎn)品和服務(wù)要求確定、評審和變更管理過程（合同或訂單的簽訂過程）、產(chǎn)品和服務(wù)運行策劃過程、設(shè)計和開發(fā)過程、采購和外包管理過程、產(chǎn)品和服務(wù)提供的控制過程、檢驗和試驗過程、不合格輸出控制過程、交付和售后服務(wù)過程。AS9100D 8.1.1c)就是要求組織和項目團隊在運行的策劃時，對整個產(chǎn)品和服務(wù)運行過程進行全面的風(fēng)險識別、風(fēng)險分析、風(fēng)險評估以及與相關(guān)方進行充分的溝通和協(xié)商。并在各個過程運行時，根據(jù)內(nèi)外部環(huán)境的變化，及時修訂風(fēng)險識別、風(fēng)險分析和風(fēng)險評定的輸出。
4) 當(dāng)超出規(guī)定的風(fēng)險接受準則時確定、實施并管理風(fēng)險的措施。
這是對正式的風(fēng)險管理過程中的“風(fēng)險處理（應(yīng)對）過程”在質(zhì)量管理體系中的一種表述。組織的項目團隊或產(chǎn)品和服務(wù)運行策劃團隊?wèi)?yīng)按照ISO Guide73:2009標準關(guān)于風(fēng)險處理的定義的注1或ISO 9001:2015標準6.1.2注1給出的風(fēng)險處理方案類型，根據(jù)項目、過程和風(fēng)險的實際情況，制定和實施風(fēng)險應(yīng)對措施，并定期檢查和評價其有效性。
5)風(fēng)險措施實施后的剩余風(fēng)險的可接受度。
剩余風(fēng)險亦稱為殘余風(fēng)險，是指采取預(yù)防措施對風(fēng)險程度進行了修正后的遺留風(fēng)險。這類風(fēng)險應(yīng)在風(fēng)險理過程中予以確定。當(dāng)剩余風(fēng)險仍不能被組織所接受或容許時，組織應(yīng)尋求其他風(fēng)險應(yīng)對措施，包括進行風(fēng)險規(guī)避。當(dāng)這些剩余風(fēng)險可被組織接受或容許時，組織應(yīng)在風(fēng)險應(yīng)對計劃中確定監(jiān)視、測量和評價的措施。剩余風(fēng)險也有很大的不確定性。隨著內(nèi)外部環(huán)境變化，一些策劃時組織認為可以接受或容許的風(fēng)險，可能發(fā)生變化，成為組織不能接受或容許的風(fēng)險。發(fā)現(xiàn)這種情況，應(yīng)及時對風(fēng)險評估和風(fēng)險處理過程進行修訂。
特別應(yīng)指出的是，對于航空航天工業(yè)企事業(yè)單位，運行風(fēng)險的管理應(yīng)從接受合同、訂單、研制任務(wù)書或技術(shù)協(xié)議時開始。在確定、評審產(chǎn)品和服務(wù)要求時就要點識別和確定那些基于行業(yè)或組織極限能力的特殊要求，以及由新技術(shù)提供的能力和產(chǎn)能、短交付期形成的運行風(fēng)險，在產(chǎn)品和服務(wù)策劃過程、設(shè)計和開發(fā)過程中，要識別和確定引發(fā)這些風(fēng)險的關(guān)鍵項目和關(guān)鍵特性，并制定相應(yīng)的對策。在產(chǎn)品的生產(chǎn)過程、采購和外包過程、檢驗和試驗過程，以及交付和售后服務(wù)過程中應(yīng)落實這些對策，以提升過程的有效性。
同時，產(chǎn)品安全和假冒產(chǎn)品也對航空航天產(chǎn)品和質(zhì)量管理體系帶來了較大的風(fēng)險，組織在風(fēng)險管理過程中，要特別關(guān)注這些風(fēng)險的識別、分析、評定和處理，以滿足和超越顧客的需求和期望。
其次，航空航天及國防組織的運行風(fēng)險主要體現(xiàn)在產(chǎn)品交付質(zhì)量和準時交付表現(xiàn)上。組織應(yīng)將產(chǎn)品交付質(zhì)量和準時交付表現(xiàn)轉(zhuǎn)換成相應(yīng)的過程KPI和質(zhì)量管理體系的目標進行控制，并緊緊圍繞著這些指標或目標開展風(fēng)險管理活動，以提高組織質(zhì)量管理體系和過程的有效性。
最新航空標準-中英文譯
