基于風險的思維是ISO 9001：2015標準的核心理念。“基于風險的思維”與“過程方法”的管理原則一起，融于質量管理體系及其各過程之中，是質量管理體系策劃和過程策劃的重要輸入內容。

本文從風險的基本概念出發剖析ISO 9001：2015標準中基于風險的思維，明確了基于風險的思維的作用、風險管理框架、基于風險思維與PDCA的關系、單一過程要素中基于風險的思維活動以及基于風險的思維的組織行為。

基于風險思維的作用

簡單來講，就是確定和應對風險和機遇，這些風險和機遇可能影響產品和服務合格以及增強顧客滿意能力。

顧客是指“能夠或實際接受為其提供的，或按其要求提供的產品或服務的個人或組織”，包括消費者、委托人、最終使用者、零售商、內部過程的產品或服務的接收人、受益者和采購方等，顧客可以是組織內部的或外部的。在市場經濟條件下，顧客成為現代組織重要的稀缺性資源，顧客決定著組織的命運和前途。因此誰能占有更多的顧客資源，誰就擁有更多的市場份額，誰就能獲得更多的機會。占有更多的顧客資源的同時也存在著風險，因此“以顧客為關注焦點”就應以基于風險的思維，識別影響產品和服務符合性及顧客滿意的風險和機會，并予以處理。

最高管理者應在組織中培育意識和環境，建立過程，使組織能夠主動地關注、識別和理解顧客當前和未來的期望，及時了解政治、經濟、社會、技術的發展趨勢對顧客需求和期望影響的風險，及時了解顧客的需求和期望的變化，并能夠以敏捷、高效的方式及時做出響應。最高管理者需要確保與已經確定的風險和機會相適應的措施都得到實施，并實現預期結果。如果未達到，則需進行PDCA管理循環以確保為進一步改進分配相應的職責，直到滿足顧客需求及期望為止。

風險管理框架

風險（risk）：不確定性對目標的影響（ISO 31000：2009 風險管理原則與指南）。

注1：影響可能偏離預期——正面的和/或負面的；

注2：目標可以有不同的方面（如財務、健康安全以及環境目標），并應用于不同層次（如戰略、組織整體、項目、產品和過程）；

注3：風險常具有潛在的事件、結果和兩者結合的特征；

注4：經常用一個事件的結果和對應的發生可能性這兩者的結合來表示風險；

注5：不確定性是缺乏甚至部分缺乏一個事件其結果或發生可能性有關信息、了解或認知。

風險管理（ risk management ）：組織針對風險所采取的管理和控制的協調活動。

風險管理的成功取決于風險管理框架的有效性。風險管理框架為組織提供了基礎和安排，這些基礎和安排將風險管理框架嵌入到全組織的所有層次。風險管理框架各組成部分之間的關系如圖1所示。從圖1中可以看出，風險管理框架實際上是PDCA循環的過程。