风险清单做了 40 条，锁进抽屉两年没打开：风险与机遇的应对，卡在"识别完"这一步

信源：ISO 9001:2015 第 6.1 条"应对风险和机遇的措施"与第 10.2 条相关要求；ISO 31000 风险管理框架通行思路综合整理

体系审核前，很多企业会把部门经理叫来"补风险清单"：一人想几条，凑够数量，打印签字。清单上的风险都是"人员流动""市场波动""供应链风险"这类放之四海皆准的条目，与本厂的设备、工艺、客户一个都不沾边。审完就锁进柜子，明年再补一份。风险与机遇条款成了体系里最像"作文"的一章。

三个典型断层

• 识别与业务脱钩：风险不是从业务里长出来的，而是从模板里抄出来的。问一句"本厂最怕出什么事"往往比填表管用——设备单一依赖、关键工序只有一人会、某个客户占营收四成，这些才是真风险；
• 只有风险没有机遇：条款是"风险和机遇"，实际几乎只写风险。错过的机遇同样有代价：新市场窗口、客户升级带来的工艺改造、政策驱动的产品机会——写在清单上的机遇，才有可能被排进预算；
• 措施与效果断链：写了措施，没写谁在什么时候完成、完成后怎么验证有效——标准要求的是"评价这些措施的有效性"，不是"写一条措施"。

把清单变成动作的四步

1. 从三个入口识别：内外部环境分析（相关方与合规义务的变化）、过程绩效与数据（合格率、交期、投诉的趋势）、已知事件（近三年的质量事故、客户退单、安全事件）；
2. 分级而不只是罗列：按"可能性×影响"分档，把有限的资源压在最高的几档上。40 条同等重要的风险，等于没有风险；
3. 每条高风险对应一个动作：动作要具体到"谁、什么时候、做什么"——如"关键工序双人培训，Q2 完成，考核合格率作为验证指标"；
4. 定期回看有效性：把风险措施的效果纳入管理评审输入与数据分析——没有回看的措施，只能叫"意图"。

两个容易踩的坑

• 把风险管成"免责声明"：识别出风险后加一句"加强监控"就当应对了——这不是措施；
• 只做年度更新：重大变更（新产品、新工艺、新客户、法规变化）发生时就该重跑一次识别，而不是等明年填表。