附录- 1 / 207 ISO 9001：2015 内审员 体系管理 实战通用教程 附录- 4 / 207 目 录 附录 1 风险管理 7 附 1.1 概述 7 附 1.2 明确环境信息 9 附 1.3 风险识别 10 附 1.4 风险分析 13 附 1.5 风险评价 15 附 1.6 风险应对 16 附 1.7 风险监督、检查和改进 18 附录 2 知识管理 19 附 2.1 概述 19 附 2.2 知识管理的实施 21 附录 3 ISO 9001：2015 标准的审核要点与审核案例分析 23 附 3.1 组织环境（标准条款：4） 23 附 3.1.1 理解组织及其环境（标准条款：4.1） 23 附 3.1.2 理解相关方的需求和期望(标准条款：4.2) 23 附 3.1.3 确定质量管理体系的范围(标准条款：4.3) 24 附 3.1.4 质量管理体系及其过程（标准条款：4.4） 24 附 3.2 领导作用（标准条款：5） 25 附 3.2.1 领导作用和承诺——总则（标准条款：5.1——5.1.1） 25 附 3.2.2 以顾客为关注焦点（标准条款：5.1.2） 26 附 3.2.3 方针(标准条款：5.2) 27 附 3.2.4组织岗位、职责和权限(标准条款：5.3) 28 附 3.3 策划（标准条款：6） 28 附 3.3.1 应对风险和机遇的措施（标准条款：6.1） 28 附 3.3.2 质量目标及其实现的策划(标准条款：6.2) 29 附 3.3.3 变更的策划(标准条款：6.3) 30 附 3.4 支持（标准条款：7） 31 附 3.4.1 资源——总则（标准条款：7.1——7.1.1） 31 附 3.4.2 人员(标准条款：7.1.2) 32 附 3.4.3 基础设施(标准条款：7.1.3) 32 附 3.4.4 过程运行环境（标准条款：7.1.4） 33 附 3.4.5 监视和测量资源(标准条款：7.1.5) 33 附录- 5 / 207 附 3.4.6 组织的知识(标准条款：7.1.6) 36 附 3.4.7 能力（标准条款：7.2） 36 附 3.4.8 意识(标准条款：7.3) 37 附 3.4.9 沟通(标准条款：7.4) 38 附 3.4.10 形成文件的信息(标准条款：7.5) 39 附 3.5 运行（标准条款：8） 41 附 3.5.1 运行策划和控制（标准条款：8.1） 41 附 3.5.2 产品和服务的要求(标准条款：8.2) 42 附 3.5.3 产品和服务的设计和开发(标准条款：8.3) 44 附 3.5.4 外部提供的过程、产品和服务的控制（标准条款：8.4） 64 附 3.5.5 生产和服务提供——生产和服务提供的控制 （标准条款：8.5——8.5.1） 77 附 3.5.6 标识和可追溯性(标准条款：8.5.2) 80 附 3.5.7 顾客或外部供方的财产（标准条款：8.5.3） 80 附 3.5.8 防护(标准条款：8.5.4) 81 附 3.5.9 交付后的活动(标准条款：8.5.5) 82 附 3.5.10 更改控制(标准条款：8.5.6) 82 附 3.5.11 产品和服务的放行（标准条款：8.6） 85 附 3.5.12 不合格输出的控制(标准条款：8.7) 96 附 3.6 绩效评价（标准条款：9） 97 附 3.6.1 监视、测量、分析和评价——总则（标准条款：9.1——9.1.1） 97 附 3.6.2 顾客满意(标准条款：9.1.2) 98 附 3.6.3 分析与评价(标准条款：9.1.3) 98 附 3.6.4 内部审核（标准条款：9.2） 99 附 3.6.5 管理评审(标准条款：9.3) 100 附 3.7 改进（标准条款：10） 102 附 3.7.1 总则（标准条款：10.1） 102 附 3.7.2 不合格和纠正措施(标准条款：10.2) 102 附 3.7.3 持续改进(标准条款：10.3) 103 附录 4 审核检查表 105 案例附 4-1：采购部审核检查表 106 案例附 4-2：生产部审核检查表 110 案例附 4-3：设备管理部审核检查表 114 案例附 4-4：营销部审核检查表 116 案例附 4-5：仓库审核检查表 119 案例附 4-6：人力资源部审核检查表 121 案例附 4-7：企业管理部（含文控中心）审核检查表 123 案例附 4-8：公司高层审核检查表 126 案例附 4-9：“供应商开发与管理过程” 审核检查表 134 案例附 4-10：“采购过程” 审核检查表 137 附录- 6 / 207 案例附 4-11：“监视和测量设备控制过程” 审核检查表 140 案例附 4-12：“培训过程” 审核检查表 143 案例附 4-13：“合同评审过程” 审核检查表 148 案例附 4-14：“设备管理过程” 审核检查表 152 案例附 4-15：“文件控制过程” 审核检查表 156 案例附 4-16：“顾客满意度调查过程” 审核检查表 159 案例附 4-17：“产品检验过程” 审核检查表 161 附录 5 ISO 9001：2015 文件编写说明 165 案例附 5-1：产品设计和开发控制程序 166 附录 6 流程图绘制 175 附录 7 ISO 9001：2015 标准理解练习题 177 附 7.1 单项选择题 177 附 7.2 多项选择题 187 附录 8 质量管理体系审核知识练习题 192 附 8.1 单项选择题 192 附 8.2 多项选择题 200 附 8.3 案例分析题 201 附录- 7 / 207 附录 1 风险管理 附 1.1 概述 1.风险的含义 风险是不确定性对目标（预期结果）的影响。影响可以是正面的或负面的。“风险” 一词有时在有负面影响的可能性时使用，即“危机”；也可以在有正面影响的可能性时使用， 即“机遇”。 风险通常以事件后果和发生可能性的组合来表达。影响是与期望的偏差，包括积极的 方面或消极的方面。目标可以有不同方面的，如：质量的、财务的或环境的目标。目标也 可以体现在不同的层次，如：战略的、组织范围的、项目、产品和过程的目标。不确定性 是指发生与否不确定，发生的时间不确定，发生的状况不确定，发生的后果严重程度不确 定。 风险在广义上可理解为“特定的不希望事件发生的可能性（概率）及发生后果的综合 度量”，可能性和严重性是风险的两个属性。 就 ISO 9001:2015而言，关注的重点是与质量管理体系过程有关的风险。“风险”可 以理解为过程质量不合格或过程不符合要求发生的可能性及其产生的后果。“机遇”可以 理解为改进的机会，“机遇”是正面的风险。 2.风险的特征 风险的特征是风险本质及其发生规律的外在表现。正确把握风险的特征，对于加强风 险的认识和理解、加强风险管理、减少风险损失，具有重要意义。风险的基本特征包括以 下 7个方面： 1）风险具有客观性。风险是一种客观的存在，是客观事物变化过程的特性，是不以人 们的意志为转移的、独立于人的主观意识而存在的，也非人为的努力可以完全消除的。 2）风险具有突发性。风险事件的发生有一个从量变到质变的过程，但是，由于人们认 识的局限性或疏忽，往往并未注意到风险的渐变过程，致使风险事件具有突发性，使人感 到措手不及，难以应付。 3）风险具有损失性。只要风险存在.就一定有发生损失的可能。如果发生之时不会有 损失，那么就没有必要研究风险了。风险的存在，不仅会造成人员的伤亡，而且会造成生 产力的破坏、社会财富的损失和经济价值的减少，：因此才使得个体或企业寻求应对风险 的方法。 4）风险具有不确定性。风险的不确定性是指风险结果是否会发生是不确定的，不确定 性是风险的最基本的特征。主要表现在：空间上的不确定性：时间上的不确定性、损失程 度的不确定性。 5）风险具有可测性。风险是可测量的，风险的可测性是指人们对于不确定的风险可以 就风险发生的可能性和损失的严重程度进行定量或定性的估计和判断。虽然风险具有客观 性和发生的随机不确定性，但是人们可以在概率论和数理统计的基础上，根据以往发生的 一系列类似事件的统计资料进行分类，来计算某种风险发生的概率、所造成损失的大小及 损失的波动性，从而可以对风险进行预测、衡量和评估。 6）风险具有相对性。相对性是指风险事件发生与否和造成损失程度如何是与面临风险 附录- 8 / 207 的主体的行为及决策紧密相关联的，同一风险事件对不同的行为者会产生不同的风险，而 同一行为者由于其决策或采取的措施不同会带来不同的风险结果。 实质上，风险事件的发生是受主观和客观条件影响的。对于客观条件，人们无法自由 选择，只能在一定程度上施加影响，而主观条件（即行为者的行为及决策）则可由人们自主 选择。如果说风险的损失性使人们对风险进行管理成为必要，风险的客观性和不确定性增 加了管理难度的话，那么风险的可测量性和主观相对性则为人们对风险进行管理提供了空 间和方法。 7）风险与收益的对等性。风险意味着机会，一般情况下，风险与收益是对等的，风险 越大，收益就可能越高；风险越小，收益就可能越低。换句话说，人们若想追求高收益就 必须承担高风险。 3.质量风险的影响 人们关注质量风险，主要在于它会带来一些负面影响，主要表现在以下 3个方面： 1）进度延迟。 2）财务损失。 3）信誉丧失。 4.风险管理的含义 风险管理是指在风险方面，指导和控制组织的协调活动。 风险管理包括风险识别、风险分析、风险评价、风险应对、风险监督、检查和改进等 活动。 5.风险管理的目的 1）确保质量管理体系能够实现其所预期的结果。 2）增强有利影响。 3）避免或减少不利影响。 4）实现改进。 6.风险管理的流程 风险管理的流程见图附 1-1。 附录- 9 / 207 图附 1-1 风险管理流程 附 1.2 明确环境信息 明确企业内、外部的环境信息，是风险识别、风险分析、风险评价和风险应对的前提。 企业内、外部的环境为风险管理奠定了基础，风险可接受与否应与企业所处的环境相协调。 比如在我国的法律环境下，猪饲料是不能添加瘦肉精的，而在一些别的国家却可以。 环境信息包括企业外部的环境信息和企业内部的环境信息。 外部环境信息是组织在实现目标过程中所面临的外界环境的历史、现在和未来各种相 关信息。包括： 1）国际、国内、地区及当地政治、经济、文化、法律、法规、技术、金融以及自然环 境和竞争环境。 2）影响组织目标实现的外部关键因素及历史和变化趋势。 3）外部利益相关者及其诉求、价值观、风险承受度。 4）外部利益相关者与组织的关系。 内部环境信息是组织在实现目标过程中面临的内在环境的历史、现在和未来的各种相 关信息。包括： 1）组织的方针、目标以及经营战略。 2）资源和知识方面的能力。 3）内部利益相关者及其诉求、价值观、风险承受度。 明确环境信息 风险识别 风险分析 风险应对 风险评价 风 险 评 估 监 督 、 检 查 和 改 进 附录- 10 / 207 4）采用的标准和模型。 5）组织结构、管理过程和措施。 6）与风险管理实施过程有关的环境信息等。 附 1.3 风险识别 1.风险识别概述 风险识别指的是发现、确认和描述风险的过程。 风险识别的目的是确定可能影响组织目标得以实现的因素或事件。风险识别过程包括 识别那些可能对目标产生重大影响的风险源、事件及其原因和潜在的后果。风险识别的实 施是在汲取过去经验、教训及收集有关信息的基础上，采用相应的风险识别方法，找出风 险源。 2.风险识别的步骤 1）确定组织的业务活动及活动场所。 2）对各项业务活动及活动场所中的风险进行辨识。 3.风险识别的方法 1）询问、交谈。对于组织的某项工作具有经验的人，往往能指出其工作中的风险。 2）问卷调查。问卷调查是通过事先准备好的一系列问题，通过到现场察看和与人员交 谈的方式，来获取风险的信息。 3）现场观察。通过对作业环境的现场观察，可发现存在的风险。 4）查阅有关记录。查阅组织的质量事故、客户退货等记...