iso9001:2015认证企业风险主要来自什么地方?(ISO认证申请需要注意什么)

ISO9001:2015认证企业风险主要来自什么地方？

对组织有影响的风险主要有以下4类：

1.组织风险：发生在组织实体以及活动层面；

2.战略风险：发生在组织的战略或业务计划制定不够周密时；

3.合规风险：发生不符合法律法规要求的情形时；

4.运营风险：分为与组织的程序和措施有关的7个分类别。

1.组织风险

实体层面的风险能够是外来的也能够是内部存在的。外来因素包含技术、竞争以及法律环境；内部因素

包含安保、信息系统、收发货物遗失、人员能力和责任转变等方面。

活动层面的风险对个人和部门发生影响，包含在系统中输入信息或资料时的疏漏；收发货记录遗失；安

保控制松懈；缺少熟练技术人员以及员工的疏忽大意等。假如在组织的各个环节活动层面的风险不断，

最后势必形成实体层面的风险。

2.战略风险

战略风险指的是因执行一项不成功的商业计划或战略而可能发生的损失。其原因可能是由于做了糟糕的

业务决策、执行决定不力、资源不足或是由于业务环境发生了转变而未及时进行调整。

3.合规风险

合规风险是与法律法规要求有关的风险。环境、健康和安全要求一直是人们关注的问题，由于一旦这些

方面出现问题，轻则罚款，重则停业甚至追究刑事责任都是可能出现的后果。遵守质量和环境方面的标

准和规范也在这个范畴之内。

环境风险包含液体危险品遗撒、危险气体排放以及固态废弃物的不当处理，包含的情况还可能有以下情

形：

采购部将从国内采购改为向国外供应商采购；

负责环境的关键管理人员离岗未及时替补；

引入新的物料却未编制有关的安全管控记录。

4.运营风险

运营的风险能够具体从以下7个方面说明：

（1）管理体系风险

由于制定的战略、制度规定和工具、数据处理、呼叫（电话）中心、合同管理、设计与开发等层面的效

率低下，都可能造成管理体系的效率低下。例如说，1个重度依赖外包的供应链，可能有很大风险。

管理体系的其他风险包含不正确的收入明确；违反国家安全规定；不符合环境法规以及萨班斯-奥克斯利

法案（美国的一部涉及会计职业监管、公司治理、证券市场监管方面的重要法律）的要求。这些行为将

可能导致罚款、停业甚至追究刑责的后果。为了降低此类风险，组织的最高管理层以及董事会必须对管

理体系有透彻的了解，并努力提高其有效性。假如人力资源管理规范、各种管理工具、数据处理、呼叫

（电话）中心、营销活动、合同管理、顾客沟通、设计和开发等活动效率低下，则组织的管理体系必受

其累。

总而言之，组织的最高管理层和董事会要了解自身的管理体系并不断提高其有效性。

（2）顾客满意风险

顾客沟通、送货、产品本身、设计维修以及对顾客反馈的回应方式都会影响顾客满意风险。为降低此类

风险，宜将相关的产品质量数据、产品和过程监控数据以及供应商供货质量等数据也一并纳入分析过程

。

（3）供应链风险

采购经理必须对外购产品和服务、独家供应商、送货时间库存管理以及文档管理等保持关注。信息沟通

是确保供应链有效运行的关键。用于管理供应链风险的数值包含送货时间、库存水平及成本等。

（4） 收入确认风险对利润的影响

对此类风险的管理包含追踪产品从生产、销售到发货以及应收账款的全过程。收入的确认受到诸如应付

款、应收账、交付前货值记录、现金报价错误、计算表错误以及价格信息不完整等原因影响。

质量经理在控制收入确认过程的有效性方面负有重要责任。质量体系和财务管理体系在此有交集，涉及

产品实现、成本、销售、开发票、付款、库存管理以及发货等过程。发货信息是对应收账款和收入确认

的直接输入。对于许多公司而言，收入确认对其收入有着直接影响，甚至可能影响其股票价格。

由于不正确的收入确认，还可能出现背离事实的虚假声明的风险。审核员宜对已建立的用以检查收入确

认中问题的控制措施进行测试。

（5）信息安全风险

信息安全风险的情况包含病毒、未加防范的文件、不正确的财务记录和报告、糟糕的修改控制、信息检

索错误、数据表格滥用、临时工和咨询师的使用、新技术的引入以及遭遇工业间谍和欺诈行为等现象。

ISO/IEC27001：2005《信息技术安全技术信息安全管理体系要求》包含了建立、实施、运营、监视、评

价、维护并提高信息安全管理的要求。

（6）物流风险

当今组织关注的1个风险问题是与国家安全威胁因素相关的。运输过程可能由于必须检查是否藏有大规

模杀伤性武器而拖慢。

怎样筛查、识别、并追踪从货源地到购买方组织的全过程一直是个难点。以下因素影响物流风险：

原资料和成品的运输；

运输中的货损；

途中延误造成的无法按期交货；

运输延误造成的原资料库存不足；

国家安全信息上报要求。

有必要开发出新的工具以减少筛查和追踪等必须过程对供应链的干扰。总之，产品生产完成后，送到顾

客手中以前，上述各种问题都可能出现，组织应该有所准备。

（7） 自然灾害风险

过去几年间，我们这个星球上自然灾害频发。业务连续性要求对应保护的存储信息进行安全保障，并对

灾后复原进行策划。

信息技术在业务连续性中扮演着重要角色，宜专门设计相关的信息技术程序，以确保业务连续性运行的

及时性和有效性。组织的业务连续性开发团队中不可缺少负责信息技术的成员。

信息技术部门必须提供可将信息妥善有效存储的保护措施，并对各种灾害进行管理、防范并提供安全保

护措施。可采用的方法包含信息的定期复制，并将备份信息存储于安全的此外1个地点。并且，宜对存

放在该地点的数据进行定期测试，以确保其正确无误