GB/T19001-2016/ISO9001:2015中“風險管理”怎么應(yīng)用?

◆李道重/ 文

GB/T19001-2016/ISO9001:2015中“風險管理”怎么應(yīng)用?

◆李道重/ 文

GB/T19001-2016/ ISO9001:2015國標中以非常明確的方式提出了“風險管理”。與該標準2008版相比較，“采用基于風險的思維”是其中一個主要的變化。該標準采用過程方法，該方法結(jié)合了“策劃—實施—檢查—處置”（PDCA）的循環(huán)和基于風險的思維。組織根據(jù)該標準實施質(zhì)量管理體系的潛在益處之一是：應(yīng)對與組織環(huán)境和目標相關(guān)的風險和機遇。標準6.1條款專門針對“應(yīng)對風險和機遇的措施”提出要求。在該標準中“風險”一詞的出現(xiàn)頻率很高。

因此，“風險”一詞在該版本標準中重要性不言而喻。凡想要獲得認證的組織，若未對風險控制進行必要策劃且造成嚴重后果的，將在審核過程中完全有可能得“嚴重不符合項”。下面筆者針對風險管控提出自己的見解，供讀者參考。

（一）“風險”的定義

有很多種“風險”的定義。比如：風險是指在某一特定環(huán)境下，在某一特定時間段內(nèi)，某種損失發(fā)生的可能性。又如：風險是指某一特定危險情況發(fā)生的可能性和后果的組合。再如：危險、遭受損失、傷害、不利或毀滅的可能性。

筆者認為，我們理解標準使用的專用詞語的正確出發(fā)點是嚴格執(zhí)行GB/T19000-2016/ ISO9000:2015以及其他ISO同系列的標準。所以，我們要看該標準中是如何解釋“風險”的。在GB/ T19000-2016/ISO9000:2015標準3.7.9中給出了“風險”的定義：不確定性的影響。

“影響”是指什么？在注1中有解釋：影響是指偏離預(yù)期，可以是正面的或負面的。對照百度上查到的各種定義，我們會發(fā)現(xiàn)，日常生活中提到的風險僅僅指負面意義。而標準中包涵正負面雙重涵義。

怎么判定影響是正面或是負面的呢？在GB/T19000-2016/ ISO9000:2015標準中沒有給出解釋。然而GB/T19000-2016/ ISO9000:2015標準的引用文件第32項是GB/T23694-2013《風險管理 術(shù)語》。在GB/T23694-2013中對風險有個定義，筆者認為，可以參考該標準作進一步的理解。GB/ T23694-2013標準等同采用 ISO Guide73:2009標準。在該標準中，風險是指“不確定性對目標的影響。”這樣，風險性質(zhì)的評估也就有了比對的對象。

風險本身是沒有正負面區(qū)分的。其雙面性、正負面僅僅是人為根據(jù)自己的需求劃分的。有時候，同一個“影響”對組織內(nèi)不同的目標來講也是不同的，對一些目標可能是正面，對其他目標可能是負面。風險的正負面就像手掌，手心手背都是肉。

風險的正負面也可能會隨著時間而變化。由于組織本身狀況發(fā)生了變化，或者目標發(fā)生了變化，同一個風險的影響性質(zhì)可能由正面變?yōu)樨撁妫蛘呦喾础Ｋ裕荒軌蛞詥畏矫娴摹尉S度的、靜止的眼光去看待風險的性質(zhì)。

（二）風險管控如何實施

市面上有很多關(guān)于風險管控理論的書籍，組織在實際運行中也積累了很多的經(jīng)驗和教訓。不同的質(zhì)量管理體系對風險管控提出了不同的要求。但作為GB/T19001-2016/ ISO9001:2015標準的實施者或者期望獲得認證的組織，筆者認為風險管控的實施首先要滿足GB/ T19001-2016/ISO9001:2015的要求。在此基礎(chǔ)上，可以選擇超出該標準的要求進行實施。

在GB/T19001-2016/ ISO9001:2015正文中風險出現(xiàn)的條款有：4.4“質(zhì)量管理體系及其過程”；5.1“領(lǐng)導(dǎo)作用和承諾”；6.1 “應(yīng)對風險和機遇的措施”；9.1.3“分析與評價”；9.3.2“管理評審輸入”；10.2“不合格和糾正措施”。筆者建議，GB/T19001-2016/ISO9001:2015標準的實施者或者期望獲得認證的組織應(yīng)按照該標準中“風險”出現(xiàn)的條款內(nèi)容及其次序來策劃風險管控以及實施風險管控。這些條款分別是：

（1）4.4.1 f）按照6.1的要求應(yīng)對風險和機遇；

（2）5.1.2 b）確定和應(yīng)對風險和機遇，這些風險和機遇可能影響產(chǎn)品和服務(wù)合格以及增強顧客滿意的能力；

（3）6.1 應(yīng)對風險和機遇的措施

6.1.1 在策劃質(zhì)量管理體系時，組織應(yīng)考慮到4.1所提及的因素和4.2所提及的要求，并確定需要應(yīng)對的風險和機遇，以：

a）確保質(zhì)量管理體系能夠?qū)崿F(xiàn)其預(yù)期結(jié)果；

b）增強有利影響；

c）預(yù)防或減少不利影響；

d）實現(xiàn)改進。

6.1.2 組織應(yīng)策劃

a）應(yīng)對這些風險和機遇的措施；

b)如何：

1）在質(zhì)量管理體系中整合并實施這些措施；

2）評價這些措施的有效性。

應(yīng)對措施應(yīng)與風險和機遇對產(chǎn)品和服務(wù)的符合性的潛在影響相適應(yīng)。

（4）9.1.3分析與評價：

e）應(yīng)對風險和機遇所采取措施的有效性；

9.3.2 管理評審輸入

e)應(yīng)對風險和機遇所采取措施的有效性

（5）10.2.1

e）需要時，更新在策劃期間確定的風險和機遇。

通過研究這些條款，筆者發(fā)現(xiàn)，“風險和機遇”在GB/T19001-2016/ISO9001:2015正文中以很高的頻率出現(xiàn)，所以組織需要對兩者給予相同的重視。日常生活中，我們往往過于重視風險帶來的負面影響，或者根據(jù)喜好重視機遇。這種模式離標準要求都是有差距的。

對于風險管控，在整個標準中也是按照PDCA循環(huán)運行的。雖然標準中第7章和第8章沒有出現(xiàn)“風險”的字眼，但是這兩章整合了應(yīng)對風險的措施。在質(zhì)量體系中，風險管控并不是一次性的工作，而是不斷運行、發(fā)展和深入的一系列動作。因此，最高領(lǐng)導(dǎo)層要給予足夠的重視和資源。在GB/T19001-2016/ISO9001:2015的5.1.1條款中對最高管理者在風險管控方面提出了明確的要求。組織的最高管理者一定要明白，促進“基于風險的思維”是標準賦予其本身的職責。僅僅依靠組織中某個部門或者某些咨詢老師的模板文件，肯定不能夠?qū)藴室舐鋵嵉轿唬矡o法給企業(yè)帶來益處。

組織領(lǐng)導(dǎo)層對局勢的掌控能力在其中顯得尤為重要。風險管控以及質(zhì)量管理都只是組織整個管理體系中的一部分內(nèi)容。各個目標之間的協(xié)調(diào)，比如安全目標、質(zhì)量目標等之間協(xié)調(diào)的重要性和先后次序是需要特別關(guān)注的。這些跟組織存在的目的、組織的文化、組織的戰(zhàn)略、商業(yè)環(huán)境等都有關(guān)系。只有最高管理層才有權(quán)力和決斷力從全局的視角來權(quán)衡和協(xié)調(diào)組織各個管理體系之間的關(guān)系并作出決策。

條款6.1“應(yīng)對風險和機遇的措施”對風險管控的技術(shù)層面進行了規(guī)定。其邏輯可以簡述為：考慮4.1和4.2的輸出→確定需要應(yīng)對的風險和機遇→制定應(yīng)對風險和機遇的措施→在質(zhì)量體系中整合這些措施→評價措施的有效性。風險管控的目的在條款6.1.1中有所描述，此處不再贅述。條款9.1.3“分析與評價”和條款9.3.2“管理評審輸入”實際上是對“評價這些措施的有效性”的展開。條款10.2“不合格和糾正措施”是對風險應(yīng)對措施的改進要求。

正面影響的風險也應(yīng)該與負面影響的風險一樣，都要受到相同的重視，也需要采取措施去管控。這么做的原因是，風險的正負面是人為確定的，而不是客觀存在的。由于趨利心理的影響，人們會將風險的正面影響放大。但是，風險對于組織的不同層級、不同目標、不同部門的定性可能是不同的，這樣操作可能會造成局面“失控”。失控后的局面可能會迅速將正面影響消耗殆盡轉(zhuǎn)而變?yōu)樨撁嬗绊憽?/p>

標準6.1條款有兩個注解，分別對應(yīng)對風險和機遇的措施給出了示例。這些事例有助于理解標準的內(nèi)容。但作為操作實踐來講，可能不夠全面。組織有可能有其他的方法來應(yīng)對風險和機遇。另外，筆者認為，注解僅對如何應(yīng)對正面影響的風險所帶來的機遇給出示例。正面影響有時可能不能帶來機遇，標準的注解沒有對這部分風險如何應(yīng)對給出解釋或者示例。

對于正面影響的風險，筆者建議作如下操作：如果組織有具體的標準化的流程，在沒有發(fā)生應(yīng)急事件的情況下首先要確保穩(wěn)定性，即不能夠由沒有權(quán)限的操作者按照個人或者各自的目標或者喜好進行偏向于制定利己的應(yīng)對風險的措施。這么做是因為每個層級或者每個過程的目標不一定一致，相應(yīng)的利益訴求也有差異。此時組織可以通過變更程序或者更改程序，并經(jīng)過風險評估后再進行風險應(yīng)對措施的制定和實施。此舉是為了確保整個體系始終處于受控狀態(tài)。如果組織沒有具體的標準化的流程（針對發(fā)現(xiàn)的正面影響的風險管控或者作業(yè)標準），可以根據(jù)既有的目標，按照整體利益最大化的原則，制定應(yīng)對措施，可參照條款6.1.1（增強有利影響，預(yù)防或減少不利影響）和條款8.1或者8.3（適用時）相應(yīng)要求。之所以要參照條款8.1或8.3，是因為組織的風險應(yīng)對措施需要融入業(yè)務(wù)流程之中，如此可以預(yù)防風險應(yīng)對措施與業(yè)務(wù)流程割裂開來。

正面風險應(yīng)對措施的邏輯與負面風險一樣，也要遵循PDCA循環(huán)。

（三）案例分析

某組織工藝文件規(guī)定：反應(yīng)釜內(nèi)加入1000±10升蒸餾水，再加入某幾種化學試劑，沸騰15±0.5分鐘后停止加熱，冷卻至30℃以下，然后將液體取出并檢測。

（1）公司根據(jù)GB/T19001-2016/ISO9001:2015中的標準，針對該工藝過程進行了風險評估及制定應(yīng)對措施，如上表所示：

案例評述：表格內(nèi)風險并不是絕對的正面或者負面。對于不同的部門或者目標來講，可能是正面，也可能是負面。所以，風險的正負面并不是客觀的，而是根據(jù)組織需求的實際所做的判定結(jié)果。

在實施了上述措施后，組織發(fā)現(xiàn)操作穩(wěn)定性進步很大。

（2）生產(chǎn)車間操作者有一次偶然在反應(yīng)釜內(nèi)加入了僅僅950升蒸餾水，但當時麻痹大意沒有發(fā)現(xiàn)。其他操作均滿足要求。結(jié)果發(fā)現(xiàn)，這樣的操作不僅僅節(jié)省了蒸餾水，而且節(jié)省了加熱的時間和燃料，并且得到了合格產(chǎn)品。現(xiàn)場的QA在巡檢時發(fā)現(xiàn)了這一狀況，并向主管部門匯報。質(zhì)量部認為，根據(jù)GB/ T19001-2016/ISO9001:2015標準，雖然有這么多益處，但是這仍然是“風險”。本質(zhì)上，沒有按照要求操作，就是“偏離預(yù)期”，其影響不管正面還是負面都應(yīng)歸結(jié)為“風險”。生產(chǎn)車間認為，既然這么操作沒有發(fā)現(xiàn)不好的后果，希望能夠維持這個參數(shù)。通過“變更流程”，工藝部門重新試驗，核定了工藝參數(shù)，確認加入950升蒸餾水可能會因為揮發(fā)過量發(fā)生“干燒”，建議將加水量更改為990±10升。為了防止人為錯誤，又增設(shè)了低液位報警裝置。車間更新工藝文件后開始實施。這是一個風險帶來改進機會的例子。

案例評述：這個案例也很好地說明了，風險的管控以及風險帶來的改進機會并不是那么的容易獲得。其中有各個部門之間的利益權(quán)衡，也有組織為了改進所做的驗證工作，這也是有成本的。案例也說明，雖然之前有對風險的管控措施，可是，仍然是不夠的，仍然需要在實踐中不斷彌補差距，不斷改進。風險管控也是一個PDCA循環(huán)。