ISO 9001 2026风险与机遇分离管理：条款6.1.2和6.1.3的拆分逻辑与落地方法

ISO 9001:2015版在引入风险思维时，将风险和机遇放在同一个条款6.1中一并处理。这一做法在过去十年的实施中暴露出一个普遍问题：企业往往重风险轻机遇，风险登记表做得详细，机遇管理却沦为形式。2026版草案将条款6.1拆分为6.1.2（风险）和6.1.3（机遇）两个独立子条款，要求组织对风险和机遇分别进行识别、分析和管理。这看似只是条款结构的调整，实际上折射出国际标准化组织对质量管理体系功能定位的重新思考——QMS不仅要防范负面冲击，更要主动捕捉正面机会。

此外，2026版在条款6.1中引入了业务连续性的概念，要求风险和机遇管理与企业持续提供合格产品和服务的核心能力直接挂钩。这意味着风险管理的视角从"会不会出质量问题"扩展到"能不能持续交付"，从战术层面上升到战略层面。本文将深入解析6.1.2和6.1.3的拆分逻辑、各自的管理要求、与业务连续性的关联，以及企业如何建立分离后的风险与机遇管理体系。

一、条款6.1的修订背景：为什么要分离风险和机遇

ISO 9001:2015版条款6.1要求组织"确定需要应对的风险和机遇"，并给出了两个目的：一是确保QMS实现预期结果、预防或减少非预期影响、实现持续改进；二是通过将措施融入QMS过程并在整个体系中实施来达成这些目的。这看起来逻辑清晰，但在实际操作中，风险和机遇往往被混在一个清单中管理，导致几个突出问题。

第一，管理重心失衡。多数企业的风险机遇登记表中，风险条目占80%以上，机遇条目寥寥无几，且多为"开拓新市场""提升品牌"等泛泛之词。审核员在审核时也倾向于关注风险控制，对机遇管理往往一笔带过。这种失衡使得机遇管理形同虚设，QMS的改进功能被弱化。

第二，管理方法混淆。风险需要评估可能性和影响程度，制定预防或减轻措施；机遇需要评估可行性和收益，制定追求和利用措施。两者分析方法不同、责任主体不同、跟踪指标也不同。将它们放在同一框架下处理，容易导致管理动作错位——用风险思维管机遇（过度谨慎），或用机遇思维管风险（盲目乐观）。

第三，审核证据模糊。2015版条款6.1没有要求分别记录风险和机遇的管理过程，审核员看到的往往是一张混合清单，难以判断企业是否对两者都进行了系统管理。2026版将其拆分后，审核员可以分别核查风险管理和机遇管理的完整性，企业的管理漏洞更容易暴露。

二、条款6.1.2解读：风险管理的新要求

2026版草案条款6.1.2聚焦于风险管理，核心要求是：组织应确定和分析可能对其持续提供合格产品和服务的能力产生非预期影响的风险，并策划措施来应对这些风险。与2015版相比，有几个关键变化值得注意。

第一个变化是风险范围的扩展。2015版的风险识别主要围绕QMS的预期结果展开，2026版明确将"持续提供合格产品和服务的能力"作为风险影响的核心判断标准。这意味着风险识别不能仅局限于质量管理体系内部的过程风险，还要延伸到可能影响持续交付能力的各类外部和内部因素——供应链中断风险、关键设备故障风险、核心人员流失风险、法规变化风险、技术迭代风险等，都应纳入风险登记范围。

第二个变化是业务连续性的引入。草案文本中出现了"continuous and consistent delivery"（持续和一致的交付）的表述，与ISO 22301业务连续性管理体系的理念形成呼应。这不是要求企业实施完整的业务连续性管理体系，而是要求在风险管理中考虑业务中断的可能性和影响，并在QMS层面制定应对措施。例如，关键原材料的单一供应商风险、关键设备的无备机风险、核心工序的单人操作风险，都属于可能影响业务连续性的质量风险。

第三个变化是措施有效性评价的强化。2015版要求"评价措施的有效性"，2026版进一步强调措施应"在QMS过程中实施"并对其有效性进行评价。这意味着风险应对措施不能停留在纸面上，必须真正融入日常过程运行，并通过运行结果来验证措施是否有效。审核员在审核时会追溯：你识别了这个风险，措施落实了吗？落实后风险降低了吗？有没有证据支撑？

三、条款6.1.3解读：机遇管理的独立要求

2026版草案条款6.1.3将机遇管理从风险条款中独立出来，要求组织确定和分析可能对其持续提供合格产品和服务的能力产生积极影响的机遇，并策划措施来利用这些机遇。

机遇在此语境下的含义包括：新技术应用带来的质量提升机会（如自动化检测替代人工检验）、新工艺引入带来的效率改善机会、市场变化带来的产品升级机会、客户需求变化带来的服务延伸机会、法规变化带来的先发优势机会等。机遇管理的核心不是"发现了什么"，而是"利用了什么"——识别机遇只是起点，将其转化为实际行动才是目的。

与风险管理相比，机遇管理有其独特的方法论。风险管理侧重于评估"可能性和后果"，采取"避免、减轻、转移、接受"等策略；机遇管理侧重于评估"可行性和收益"，采取"追求、利用、分享、忽略"等策略。两者的决策逻辑不同：风险管理是在已知风险中做选择题，机遇管理是在未知可能中做探索题。将它们分开管理，可以让组织用不同的思维方式和流程来处理两类截然不同的管理对象。

从审核角度看，6.1.3的独立意味着审核员会专门核查机遇管理。如果企业的机遇登记表只有"开拓新市场"之类的泛泛条目，没有具体的分析、评估和行动计划，很可能被开具不符合项。企业需要建立系统化的机遇识别、评估和跟踪机制，与战略规划、技术发展、客户需求分析等过程联动。

四、分离后的管理体系：双轨制运行框架

条款6.1.2和6.1.3拆分后，企业需要建立风险和机遇的双轨制管理体系。以下是建议的运行框架。

风险管理轨道

风险识别应覆盖以下维度：外部环境风险（法规变化、市场波动、供应链中断、自然灾害）、内部过程风险（设备故障、工艺波动、人员能力不足、文件失控）、产品实现风险（设计缺陷、采购质量、生产异常、检验遗漏）、交付后风险（售后服务不足、客户投诉处理不当）。识别方法可采用SWOT分析、FMEA、流程分析、历史数据分析等。

风险评估应建立统一的标准，通常采用"可能性×影响程度"的矩阵模型，将风险分为高、中、低三级。评估标准应量化，避免"较大""较小"等模糊表述。例如，可能性可分为"罕见（每年不到1次）、偶发（每年1至3次）、可能（每月1次）、频繁（每周1次）"四档，影响程度可分为"微小（不影响交付）、一般（影响单批产品）、严重（影响客户关系）、灾难（影响持续经营）"四档。

风险应对措施应明确责任人和完成时间，并纳入过程运行中执行。措施类型包括：预防措施（消除风险源）、减轻措施（降低可能性或影响）、转移措施（保险、外包）、应急措施（发生时的响应方案）、接受措施（低风险不专门处理但持续监控）。每项措施都应设定跟踪指标和评审周期。

机遇管理轨道

机遇识别应与战略规划、技术趋势、客户反馈、竞争分析等过程联动。识别来源包括：客户需求变化（客户新需求可能意味着产品升级机会）、技术发展（新检测技术可能提升检验效率和准确性）、法规变化（新法规可能淘汰不合规竞争对手）、行业趋势（数字化、智能化、绿色化等趋势带来的先发优势）。

机遇评估应采用与风险不同的标准。建议从"可行性（技术上能否实现）、收益性（质量改善或效率提升的程度）、紧迫性（窗口期多长）、资源需求（需要投入多少）"四个维度评估。评估结果分为"优先追求""条件成熟后追求""持续关注""暂不处理"四类。

机遇利用措施应纳入质量目标或改进计划中跟踪。每项机遇应转化为具体的行动计划，包括目标、措施、责任人、时间节点和预期效果。与风险措施不同，机遇措施的效果评价指标应侧重正向改善——如合格率提升了多少、周期缩短了多少、客户满意度提高了多少。

五、审核员会关注什么

2026版条款6.1拆分后，审核员在审核风险和机遇管理时会关注以下方面：

风险和机遇是否分别建立了管理清单。审核员会查看风险登记表和机遇登记表是否分开，而不是混在一张表里。如果企业仍使用混合清单，至少需要在每一条目中标注是风险还是机遇，并分别统计数量。风险条目和机遇条目都应有一定数量，如果机遇条目为零或极少，审核员会质疑机遇管理的有效性。

业务连续性风险是否被识别。审核员会重点核查：企业是否识别了可能影响持续交付能力的风险，如关键供应商单一来源、关键设备无备机、关键人员无替补等。这些风险是否制定了应对措施，如备选供应商开发、备机采购或设备维护加强、关键岗位AB角设置等。

措施是否融入过程并有效实施。审核员不会只看措施计划表，而是会追溯到具体过程的运行记录。例如，某风险措施是"增加进货检验频次"，审核员会查看进货检验记录是否确实增加了频次。某机遇措施是"引入自动化检测设备"，审核员会查看设备是否已采购、验收和投入使用。

措施有效性是否被评价。审核员会查看企业是否定期评审风险和机遇措施的有效性。风险措施的评审指标可以是"风险事件发生率下降""风险等级降低"等；机遇措施的评审指标可以是"质量目标达成""改进效果量化"等。没有有效性评价的措施，即使落实了也不算闭环。

六、案例：厦门某精密机械企业的风险机遇双轨管理

厦门某精密机械加工企业，主要生产航空航天和医疗器械用精密零部件，员工约150人。企业在2015版体系下建立了统一的风险机遇登记表，共12个条目，其中风险10条、机遇2条。机遇条目仅写了"开拓新领域"和"提升技术水平"，无分析和行动计划。2015版审核中未因此被开具不符合项，但企业自己也意识到机遇管理流于形式。

为应对2026版要求，企业对风险机遇管理进行了重构。风险管理方面，从原有的10条扩充至23条，新增了13条业务连续性相关风险，包括：某关键刀具依赖单一进口供应商（高风险，措施：开发国产替代供应商）、五轴加工中心为唯一设备且无备机（高风险，措施：与同业建立互助协议）、核心编程工程师仅1人（中风险，措施：安排第二人跟岗学习）、客户图纸变更频繁导致返工风险（中风险，措施：建立变更预评审流程）等。每条风险都标注了责任人、措施和跟踪指标。

机遇管理方面，企业组织了由技术、质量、销售、生产部门联合参与的机遇识别工作坊，识别出7项机遇，包括：引入在线测量系统替代离线三坐标检测（可行性高、收益大，优先追求）、开发医疗器械细分市场（可行性中、收益大，条件成熟后追求）、引入AI辅助编程提升效率（可行性低但趋势明确，持续关注）等。每项机遇都制定了初步行动计划和评估时间表。

经过半年的双轨运行，企业在最近一次内审中验证了体系的运行效果：23条风险措施中18条已落实并验证有效，3条正在实施中，2条计划在下季度启动；7项机遇中2项已转化为质量改进项目并完成验收，3项正在可行性论证中。内审结论认为风险机遇管理体系运行有效，符合2026版草案要求。

七、数据强调：风险机遇管理的量化价值

根据ISO TC 176在2024年发布的用户调查数据，在已实施ISO 9001:2015的企业中，仅有约37%的企业表示其机遇管理"有效或非常有效"，而风险管理的这一比例为68%。条款6.1拆分后，机遇管理从"可选动作"变为"规定动作"，预计将推动更多企业系统性地开展机遇识别和利用。

从厦门格略咨询辅导的多个项目数据来看，实施风险机遇双轨管理后，企业的平均风险条目数量从原来的8至12条增加至20至30条，业务连续性相关风险识别率从不足20%提升至60%以上。机遇条目数量从平均2至3条增加至5至10条，约40%的机遇条目最终转化为具体的改进或创新项目。这些数据表明，分离管理后企业的风险识别更全面、机遇利用更充分。

值得注意的是，风险机遇分离管理不仅是条款合规的要求，更是提升QMS战略价值的重要途径。当QMS从单纯的质量控制工具升级为兼顾风险防范和机遇利用的战略管理平台时，质量部门在组织中的价值定位也将随之提升。厦门格略咨询在风险机遇管理体系建设方面积累了丰富的辅导经验，可为企业提供从条款解读到体系落地的全流程服务。建议有换版需求的企业尽早启动风险机遇管理的重构工作，为2026版换版审核做好充分准备。