什么是ISO9001标准中的“风险”呢？
ISO9000术语定义：风险指不确定性的影响，质量管理体系风险可以包括：
1）偏离战略方向、方针、质量目标、过程目标等的绩效风险；
2）违反环境和相关方要求，如法定要求、合同、订单等，而导致相关方不满意；
3）引起产品和服务质量下滑或体系不稳定的状态。
在标准0.1总则中，组织依据本标准建立体系有助于“应对与组织环境和目标相关的风险和机遇”。
“本标准采用过程方法，该方法结合了PDCA（策划、实施、检查、处置）循环与基于风险的思维。”
“基于风险的思维使组织能够确定可能导致其过程和质量管理体系偏离策划结果的各种因素，采取预防控制，最大限度地降低不利影响，并最大限度地利用出现的机遇。”
在标准0.3过程方法中，“可通过采用PDCA循环以及始终基于风险的思维对过程和完整的体系进行管理，旨在有效利用机遇并防止发生非预期结果。”
“每一过程均有特定的监视和测量检查点，以用于控制，这些检查点根据不同的风险有所不同。”
Plan 策划：“根据顾客的要求和组织的方针，建立体系的目标及其过程，确定实现结果所需的资源，并识别和应对风险和机遇。”
标准0.3.3基于风险的思维：
“基于风险的思维是实现质量管理体系有效性的前提。本标准以前的版本已经隐含基于风险思维的概念，例如：采取预防措施消除潜在的不合格，对发生的不合格进行分析，并采取与不合格的影响相适应的措施，防止其再发生。
为了满足本标准的要求，组织需策划和实施应对风险和利用机遇的措施。应对风险和利用机遇可为提高质量管理体系有效性、实现改进结果以及防止不利影响奠定基础。
机遇的出现可能意味着某种有利于实现预期结果的局面，例如：有利于组织吸引顾客、开发新产品和服务、减少浪费或提高生产率的一系列情形。利用机遇所采取的措施也可能包括考虑相关风险。风险是不确定性的影响，不确定性可能有正面或负面的影响。风险的正面影响可能提供机遇，但并非所有的正面影响均可提供机遇。”
标准附录A.4基于风险的思维：
“本标准要求组织理解其组织环境，并以确定风险作为策划的基础。这意味着将基于风险的思维应用于策划和实施质量管理体系过程，并有助于确定形成文件的信息的范围和程度。
根据6.1的要求，组织有责任应用基于风险的思维，并采取应对风险的措施，包括是否保留形成文件的信息，以作为其确定风险的证据。”
综上所述，“基于风险的思维”就是要求按此理念对过程和体系实施管理，以确保预期的结果得以实现。
公司在建立质量管理体系时，如何关注组织的这一理念是否有效应用：
1）质量管理体系的策划及其结果，是否符合本标准要求，是否体现“基于风险的思维”这一理念。
2）组织是否已经充分识别了风险和机遇，组织是否策划了满足标准要求的、必要的应急、预防等措施。
3）针对不同类型的、不同环境下的组织，在一些关键过程的控制中，应关注其对风险和机遇的控制，如外包的关键工序控制、带有安全要求的产品的设计和开发、有强制性法规限制的会计服务等过程。策划的过程是否已经应用“基于风险的思维”，策划了哪些措施，这些措施是否已经展开，就展开的效果看，这些措施是否有效，是否有改进。