Когда в компании говорят о рисках ISO 9001, разговор нередко быстро превращается в таблицу: вероятность, последствия, балл, цвет, ответственный. Появляется «реестр рисков и возможностей» на несколько десятков строк, который обновляют перед внутренним или сертификационным аудитом. Формально работа вроде бы выполнена. Но риск-ориентированное мышление задумывалось не как ещё один обязательный файл СМК. Его смысл гораздо практичнее: организация должна заранее понимать, что способно помешать её процессам и системе менеджмента качества получить запланированные результаты, а какие обстоятельства можно использовать для улучшения этих результатов. Именно с этого полезнее начинать.
Что меняется в подходе ISO 9001:2026
Сам принцип не новый. ISO/TC 176 прямо указывает, что элементы управления рисками существовали и в более ранних редакциях ISO 9001. Например, прежние версии содержали предупреждающие действия, направленные на недопущение потенциальных несоответствий. В ISO 9001:2015 подход стал системным: риск-ориентированное мышление было встроено в планирование и процессы всей СМК.
То есть организация уже по ISO 9001:2015 должна была учитывать риски и возможности, планировать действия в отношении них и оценивать результативность этих действий. Новая редакция не начинает эту историю с нуля.
Но направление изменений заметно. На официальной странице, посвящённой ISO 9001:2026, ISO отдельно называет большую ясность в управлении рисками и возможностями и «более стратегический подход» к этой теме. В опубликованном ранее проекте DIS также отдельно использовались понятия risk-based thinking — риск-ориентированного мышления — и opportunity-based thinking — мышления, ориентированного на возможности.
Поскольку финальный стандарт на дату статьи ещё не опубликован, точные формулировки FDIS не следует выдавать за действующее требование. Но направление уже понятно: возможности не стоит воспринимать как второстепенное приложение к таблице рисков.
Что такое риск
ISO 9000:2026 определяет риск через влияние неопределённости. Причём эффект неопределённости в терминологии ISO может быть как отрицательным, так и положительным. Для практической работы с СМК эту идею можно упростить до вопроса: Что может помешать получить запланированный результат?
Например, организация ставит цель сократить срок выполнения заказа до пяти рабочих дней. Что может этому помешать? Единственный поставщик критически важного материала, нестабильное оборудование, ошибки в планировании, недостаток персонала, сбой информационной системы. Риск имеет смысл рассматривать относительно результата. Без понимания цели фраза «риск поломки оборудования» мало что даёт.
Совсем другое дело:
Цель: обеспечить выполнение не менее 95 % заказов в согласованный срок.
Риск: отказ единственной производственной линии может остановить выпуск продукции.
Здесь уже понятно, почему этот риск важен.
Что такое возможность
Для практической работы возможность удобно рассматривать через другой вопрос: Что может помочь получить лучший результат?
Например: компания регулярно получает одну и ту же жалобу клиентов. Очевидный риск — потеря клиентов и ухудшение удовлетворённости. Но в ситуации одновременно может находиться возможность: разобраться в повторяющейся проблеме, изменить продукт или процесс обслуживания и сделать предложение компании лучше.
Важно понимать: возможность — не просто «риск со знаком плюс».
Ещё ISO 9001:2015 поясняла, что благоприятные обстоятельства могут создавать возможности — например, для привлечения клиентов, разработки новых продуктов, уменьшения потерь или повышения производительности. При этом положительное отклонение, связанное с риском, действительно иногда способно привести к возможности, но это не означает, что любая возможность является обратной стороной конкретного риска.
Поэтому не обязательно искусственно создавать пары:
Риск: потерять клиента.
Возможность: не потерять клиента.
Это почти ничего не добавляет к управлению. Возможность должна отвечать на вопрос: что мы можем реально использовать, изменить или развить, чтобы получить более хороший результат?
Риски и возможности связаны с целями и процессами
Работать с рисками отдельно от процессов неудобно. Гораздо полезнее начинать с результата процесса. Допустим, процесс закупок должен обеспечивать производство материалами нужного качества и в нужный срок. Тогда естественно появляются вопросы:
Что может помешать?
Что может помочь?
Какие действия уже существуют?
Нужно ли что-то изменить?
Поэтому риск-ориентированное мышление лучше всего работает непосредственно внутри управления процессом, а не в отдельной «параллельной системе управления рисками».
ISO 9001 Auditing Practices Group указывает, что свидетельства работы с рисками и возможностями могут находиться в самых разных местах: в планировании, анализе обратной связи клиентов, проектировании, производстве, корректирующих действиях, анализе со стороны руководства и других обычных процессах организации. Отдельный формат документирования сам по себе не установлен.
Шесть практических примеров
Нагляднее всего посмотреть на типичные ситуации.
Ситуация
Риск
Возможность
Возможное действие
Единственный поставщик критичного материала
Остановка производства при срыве поставки
Более устойчивое снабжение
Квалифицировать второго поставщика
Повторяющиеся жалобы
Потеря клиента, рост затрат на исправления
Улучшить продукт или сервис
Проанализировать причины и изменить процесс
Ручная операция
Ошибка оператора, нестабильность результата
Автоматизация и повышение повторяемости
Оценить автоматизацию критической операции
Старое оборудование
Поломки, простой, нестабильные параметры
Модернизация процесса
Анализ отказов, профилактика, замена оборудования
Выход на новый рынок
Непонимание требований новых клиентов
Рост продаж и диверсификация бизнеса
Изучить требования рынка и провести пилотный запуск
Новый цифровой инструмент
Ошибочные данные, зависимость от поставщика ПО
Сокращение времени и ошибок
Пилот, проверка результатов, обучение пользователей
Рассмотрим несколько примеров глубже.
Пример 1. Единственный поставщик
Цель: обеспечить бесперебойное производство.
Риск: компания закупает критический компонент у одного поставщика. Срыв поставки останавливает производство.
Действие: провести оценку альтернативных поставщиков и квалифицировать резервного.
Возможность: диверсификация может не только уменьшить зависимость, но и создать конкуренцию между поставщиками, улучшить условия закупки или дать доступ к более современному материалу.
Возможный результат: выше устойчивость поставок и меньше простоев.
Здесь действие одновременно снижает риск и открывает возможность. Но это не означает, что риск и возможность являются одним и тем же.
Пример 2. Повторяющиеся жалобы
Цель: повысить удовлетворённость клиентов.
Риск: одна и та же проблема повторяется, клиенты начинают уходить.
Можно просто уменьшать риск: быстрее обрабатывать каждую жалобу.
Но есть возможность пойти дальше: собрать данные и выяснить, почему проблема повторяется.
Если причиной оказывается неудобная функция продукта, её изменение может не просто снизить количество жалоб, а сделать продукт привлекательнее конкурентов.
То есть управление возможностью — это уже не «не допустить плохого», а использовать ситуацию для получения лучшего результата.
Пример 3. Ручная операция
Цель: снизить количество дефектов до 1 %.
Риск: критическая операция выполняется вручную и сильно зависит от внимания оператора.
Действие: стандартизировать операцию, использовать защиту от ошибки или дополнительный контроль.
Но компания может увидеть и возможность автоматизации.
После экономического и технического анализа автоматизация может одновременно снизить дефекты, увеличить производительность и высвободить время сотрудников для более сложной работы.
Пример 4. Старое оборудование
Износ оборудования создаёт очевидные риски: простои, нестабильность параметров, затраты на ремонт.
Но возможностью может быть не просто покупка такого же нового станка.
При замене компания может пересмотреть технологию, увеличить производительность, внедрить автоматический контроль или объединить несколько операций.
Иногда именно анализ серьёзного риска становится толчком к улучшению процесса.
Пример 5. Выход на новый рынок
Новый рынок сам по себе является хорошим примером того, почему возможность нельзя свести к «положительному риску».
Цель: увеличить продажи на 20 %.
Возможность: выйти в новый сегмент или регион.
Но использование возможности создаёт собственные риски: другие требования клиентов, недостаток компетенций, новые нормативные требования, логистические сложности.
Организация может принять возможность, но одновременно определить и обработать связанные с ней риски.
Пример 6. Новый цифровой инструмент
Компания рассматривает внедрение системы на основе искусственного интеллекта для обработки обращений клиентов.
Возможность: ускорить классификацию обращений и выявлять повторяющиеся проблемы.
Риски: некорректная классификация, зависимость от качества входных данных, потеря контроля человеком, информационная безопасность.
Правильный подход — не «запретить технологию из-за рисков» и не «внедрить её, потому что это инновация».
Гораздо разумнее провести пилот, определить критерии качества результата, сохранить необходимый человеческий контроль и затем проверить, действительно ли новая система дала ожидаемый эффект.
Так и выглядит риск- и opportunity-based thinking в реальном управлении.
Как определить, какие риски действительно значимы
Главная ошибка — попытаться зарегистрировать вообще всё. У любого процесса можно найти десятки неопределённостей. Если организация составит список из 300 практически одинаковых рисков, управлять ими лучше она не станет. Полезнее оценивать значимость относительно конкретного результата.
Например:
насколько серьёзно риск может повлиять на клиента или соответствие продукции;
способен ли он сорвать ключевую цель процесса;
насколько вероятно или реально его проявление;
существуют ли уже работающие меры управления;
требует ли ситуация дополнительного действия.
ISO 9001 не следует воспринимать как требование применять одну универсальную формулу вроде «вероятность × последствия». Для сложных производственных процессов может использоваться FMEA. Для стратегических вопросов — сценарный анализ. Для небольшой компании иногда достаточно обсуждения руководителей процессов с понятной фиксацией решений. Метод должен помогать принимать решения, а не создавать красивое число.
Нужно ли оценивать каждую возможность баллами
Нет смысла автоматически пропускать все возможности через ту же матрицу, которая применяется к рискам.
Представим возможность автоматизировать операцию. Что важнее для решения? Не столько абстрактные «вероятность возможности — 4, влияние — 5», сколько:
сколько стоит внедрение;
какой результат оно может дать;
есть ли необходимые компетенции;
каков срок окупаемости;
какие новые риски появятся;
соответствует ли проект целям компании.
Иногда количественная оценка полезна. Но оценивание ради самого оценивания быстро превращает возможность в ещё одну строку таблицы.
Нужен ли реестр рисков и возможностей
Отдельного универсального реестра ISO 9001:2015 не предписывает. Официальное руководство Auditing Practices Group прямо отмечает, что свидетельства определения и обработки рисков могут существовать в различных формах и что специального требования о способе документирования результатов определения рисков и возможностей в ISO 9001:2015 нет.
Это важный принцип и при подготовке к новой редакции: не нужно автоматически строить дополнительную бюрократическую систему раньше, чем понятна практическая потребность. Для одной компании единый реестр действительно удобен. Для другой риски логичнее отражать в картах процессов, планах проектов, закупочной деятельности, планировании производства, анализе со стороны руководства и планах улучшений. Главное — не форма а, чтобы организация могла показать логическую цепочку: результат → неопределённость или возможность → решение → действие → проверка результата.
Как встроить риски и возможности в обычное управление
Наиболее зрелый вариант — когда руководителю процесса не приходится перед аудитом открывать отдельный «реестр ISO». Например, руководитель закупок и так анализирует:
стабильность поставщиков;
срывы сроков;
дефекты входящих материалов;
зависимость от единственного источника;
изменение цен;
появление новых поставщиков.
То есть значительная часть риск-ориентированного мышления уже встроена в нормальную управленческую работу. Задача СМК — сделать эту работу системной и связать её с необходимыми результатами процессов.
Аналогично сервисная компания может выявлять риски через жалобы и показатели обслуживания, IT-команда — через планирование релизов и инциденты, производство — через показатели оборудования, брака и стабильности процессов.
Типичные ошибки
Первая — формальная таблица ради аудита. Риски существуют только в файле специалиста СМК и неизвестны владельцам процессов.
Вторая — сотни однотипных рисков. Чем длиннее список, тем меньше внимания действительно важным вопросам.
Третья — оценка ради оценки. Сотрудники спорят, поставить вероятность 3 или 4, но решение от этого никак не меняется.
Четвёртая — нет связи с действиями. Риск выявлен и оценён, но непонятно, что организация решила с ним делать.
Пятая — нет проверки результата. Действие выполнено, однако никто не проверил, уменьшилось ли влияние риска.
Шестая — возможности существуют только на бумаге. В реестре ежегодно появляются «повышение удовлетворённости клиентов» и «расширение рынка», но отсутствуют конкретные проекты и решения.
Что может проверить аудитор
Аудитор в первую очередь может смотреть не на наличие красивой матрицы, а на то, как риск-ориентированное мышление работает внутри процессов.
Например:
какие риски мешают процессу достичь запланированных результатов; почему именно эти риски организация считает значимыми; какие действия были приняты; как действия встроены в работу процесса; какие возможности организация решила использовать; какой результат ожидался; и как организация поняла, что предпринятые действия оказались результативными.
Официальное руководство APG подчёркивает, что аудит риск-ориентированного мышления не должен превращаться в отдельный изолированный аудит: свидетельства следует получать на протяжении проверки всей СМК.
Поэтому хороший вопрос аудитора — не просто: «Покажите реестр рисков». А, например: «Какие обстоятельства сейчас больше всего угрожают выполнению целей этого процесса и что вы с ними делаете?». Ответ зачастую говорит о зрелости подхода гораздо больше.
Практический алгоритм: от цели к результату
Для большинства организаций достаточно начать с шести последовательных шагов:
Определите результат. Что должен обеспечить процесс или СМК?
Спросите, что может помешать. Выделите действительно существенные риски.
Спросите, что может помочь получить результат лучше. Ищите реальные возможности, а не формальные «положительные риски».
Примите решение. Нужно ли уменьшать риск, принимать его, менять процесс или использовать возможность?
Встройте действие в процесс. Назначьте ответственных, ресурсы и при необходимости срок.
Проверьте результат. Изменился ли показатель? Снизились ли сбои? Получена ли ожидаемая выгода?
Это можно представить одной простой цепочкой:
Цель → риск / возможность → решение → действие → результат → оценка результативности.
Если организация действительно работает по такой логике, отдельная сложная система «управления рисками ISO 9001» часто просто не нужна.
Вывод
Риск-ориентированное мышление в ISO 9001 — это не требование составить большую матрицу. В практическом управлении полезно разделять два вопроса:
Риск: что может помешать получить запланированный результат?
Возможность: что может помочь получить лучший результат?
При этом формальная терминология ISO шире: ISO 9000:2026 определяет риск как влияние неопределённости и допускает как отрицательное, так и положительное отклонение. Но это не превращает каждую возможность в «положительный риск».
Главный признак работающего подхода — не количество строк в реестре, а способность организации показать связь между своими целями, реальными неопределённостями, управленческими решениями и результатами. Именно поэтому при подготовке к ISO 9001:2026 полезнее не начинать с новой формы документа. Начните с владельцев процессов и спросите их: Что сегодня способно помешать вам получить нужный результат — и что вы могли бы использовать, чтобы сделать его лучше? Ответ на эти два вопроса и есть хорошая отправная точка.