运输单位质量有关环境方面的信息和职业健康安全方面主要的风险和机遇以及应对的措施？

www.51yue.net    2019-11-22    标签：环境

原标题：ISO 45001：2018对“组织所处的有关環境方面的信息”是这样要求的！

随着ISO 45001：2018新版标准的发布企业需要重视标准中各部分变化，这关系到企业的未来发展

今天冠智达要讲嘚是新版标准中的“组织所处的有关环境方面的信息”这一变化。

ISO 45001：2018职业健康安全管理体系标准与ISO 9001：2015和ISO 14001：2015一样增加了“组织所处的有关環境方面的信息”的要求。增加的要求包括：深圳冠智达是一家通过国家认证认可协会自愿性备案的专业管理顾问公司，拥有多年从事企业管理体系的专家团队能为你提供更多专业的ISO 45001方面的咨询服务。

在ISO9001：2015标准中有很多基于风险思考嘚内容这些内容将影响组织为符合修订后的标准而进行的工作。

  • 定义：ISO9001：2015标准所指的风险是“对预期结果的不确定的影响”

  • 过程方法：标准4.4条款讨论的要素之一是过程方法，要求组织“识别质量管理体系所需的过程”以及这些过程在组织中的应用这包括识别：输入、輸出和资源；顺序和相互作用；有效的运行；责任和改进机会；风险以及应对风险的机会和措施。

  • 关注顾客： 5.1.2条款指出最高管理层必须“證明其在关注顾客方面的领导力和承诺确保实施了相关工作……识别和处理可能对产品、服务和增强顾客满意度的能力方面的风险和机會”。

  • 应对风险和机会的措施：6.1.1和6.1.2条款指出组织必须识别那些必须应对的“风险和机会”以确保质量管理体系能够实现预期结果，预防戓减少非预期后果实现持续改进。

  • 应对风险和机会的措施必须与产品、服务、顾客满意方面的潜在影响相适应另外，组织在进行改变嘚时候宜“有计划并系统地实施”识别风险和机会，并注意核查变化的潜在后果

  • 应对风险可能采取的方法有避免风险、消除风险源、汾担风险以及决定是否承担风险等。

  • 交付后的活动：根据8.5.5条款适用时，组织必须确定并满足与产品、服务的性质及其预定使用寿命有关嘚交付后活动的有关要求即与产品和服务有关的风险、使用寿命、顾客反馈、法律法规要求。

  • 管理评审： 9.3条款指出组织必须考虑其采取嘚应对风险和机会的措施的有效性（同时参见6.1条款）这包括识别需要监视和测量的内容，使得组织能够证明符合产品和服务标准的要求；评估过程的绩效（同时参照条款4.4）；确保质量管理体系的符合性和有效性；评估顾客的满意度

  • 内审：条款9.2指出组织必须“策划、建立、实施并维护内审的审核方案”，并且确定“内审的频次、方法、责任、策划要求和报告方式”内审方案必须考虑质量目标、相关过程嘚重要性、相关风险以及之前审核的结果。

  • 基于风险的方法：附录A的A4章节内容描述了基于风险的管理方法包括要求组织充分了解自身所處有关环境方面的信息，包括内部和外部的问题；明白管理体系的重要目的之一是作为一个预防工具；确定风险和机会；处理识别出的风險和机会

应用基于风险的思考方法，对组织有影响的风险主要有以下4类：

  • 1.组织风险：发生在组织实体及其活动层面；

  • 2.战略风险：发生在組织的战略或业务计划制定不够周密时；

  • 3.合规风险：发生不符合法律法规要求的情形时；

  • 4.运营风险：分为与组织的程序和措施有关的7个分類别

实体层面的风险可以是外来的也可以是内部存在的。外来因素包括技术、竞争以及法律有关环境方面的信息；内部因素包括安保、信息系统、收发货物遗失、人员能力和责任变化等方面

活动层面的风险对个人和部门发生影响，包括在系统中输入信息或材料时的疏漏；收发货记录遗失；安保控制松懈；缺少熟练技术人员以及员工的疏忽大意等如果在组织的各个环节活动层面的风险不断，最后势必形荿实体层面的风险

战略风险指的是因执行一项不成功的商业计划或战略而可能发生的损失。其原因可能是由于做了糟糕的业务决策、执荇决定不力、资源不足或者是因为业务有关环境方面的信息发生了变化而未及时进行调整

合规风险是与法律法规要求有关的风险。有关環境方面的信息、健康和安全要求一直是人们关注的问题因为一旦这些方面出现问题，轻则罚款重则停业甚至追究刑事责任都是可能絀现的后果。遵守质量和有关环境方面的信息方面的标准和规范也在这个范畴之内

有关环境方面的信息风险包括液体危险品遗撒、危险氣体排放以及固态废弃物的不当处理，包括的情况还可能有以下情形：

采购部将从国内采购改为向国外供应商采购；

负责有关环境方面的信息的关键管理人员离岗未及时替补；

引入新的物料却未编制有关的安全管控记录

运营的风险可以具体从以下7个方面说明：

由于制定的戰略、制度规定和工具、数据处理、呼叫（***）中心、合同管理、设计与开发等层面的效率低下，都可能造成管理体系的效率低下比洳说，一个重度依赖外包的供应链可能有很大风险。

管理体系的其他风险包括不正确的收入确定；违反国家安全规定；不符合有关环境方面的信息法规以及萨班斯-奥克斯利法案（美国的一部涉及会计职业监管、公司治理、证券市场监管方面的重要法律）的要求这些行为將可能导致罚款、停业甚至追究刑责的后果。为了降低此类风险组织的最高管理层以及董事会必须对管理体系有透彻的了解，并努力提高其有效性如果人力资源管理制度、各种管理工具、数据处理、呼叫（***）中心、营销活动、合同管理、顾客沟通、设计和开发等活動效率低下，则组织的管理体系必受其累

总而言之，组织的最高管理层和董事会要了解自身的管理体系并不断提高其有效性

顾客沟通、送货、产品本身、设计维修以及对顾客反馈的回应方式都会影响顾客满意风险。为降低此类风险宜将相关的产品质量数据、产品和过程监控数据以及供应商供货质量等数据也一并纳入分析过程。

采购经理必须对外购产品和服务、独家供应商、送货时间库存管理以及文档管理等保持关注信息沟通是确保供应链有效运行的关键。用来管理供应链风险的数值包括送货时间、库存水平及成本等

  • （4） 收入确认風险对利润的影响

对此类风险的管理包括追踪产品从生产、销售到发货以及应收账款的全过程。收入的确认受到诸如应付款、应收账、交付前货值记录、现金报价错误、计算表错误以及价格信息不完整等原因影响

质量经理在控制收入确认过程的有效性方面负有重要责任。質量体系和财务管理体系在此有交集涉及产品实现、成本、销售、开***、付款、库存管理以及发货等过程。发货信息是对应收账款和收入确认的直接输入对于许多公司来说，收入确认对其收入有着直接影响甚至可能影响其股票价格。

由于不正确的收入确认还可能絀现背离事实的虚假声明的风险。审核员宜对已建立的用以检查收入确认中问题的控制措施进行测试

信息安全风险的情况包括病毒、未加防范的文件、不正确的财务记录和报告、糟糕的修改控制、信息检索错误、数据表格滥用、临时工和咨询师的使用、新技术的引入以及遭遇工业间谍和欺诈行为等现象。

ISO/IEC27001：2005《信息技术安全技术信息安全管理体系要求》包括了建立、实施、运营、监视、评价、维护并提高信息安全管理的要求

  • 当今组织关注的一个风险问题是与国家安全威胁因素相关的。运输过程可能由于需要检查是否藏有大规模杀伤性武器洏拖慢

  • 如何筛查、识别、并追踪从货源地到购买方组织的全过程一直是个难点。以下因素影响物流风险：

  • 途中延误造成的无法按期交货；

  • 运输延误造成的原材料库存不足；

  • 国家安全信息上报要求

有必要开发出新的工具以减少筛查和追踪等必须过程对供应链的干扰。总之产品生产完成后，送到顾客手中之前上述各种问题都可能出现，组织应该有所准备

  • 过去几年间，我们这个星球上自然灾害频发业務连续性要求对应保护的存储信息进行安全保障，并对灾后复原进行策划

  • 信息技术在业务连续性中扮演着重要角色，宜专门设计相关的信息技术程序以确保业务连续性运行的及时性和有效性。组织的业务连续性开发团队中不可缺少负责信息技术的成员

  • 信息技术部门必須提供可将信息妥善有效存储的保护措施，并对各种灾害进行管理、防范并提供安全保护措施可采用的方法包括信息的定期复制，并将備份信息存储于安全的另外一个地点并且，宜对存放在该地点的数据进行定期测试以确保其正确无误。

  • ISO/IEC27001标准提供了业务连续性的管理控制措施以下是业务连续性计划（BCP）的相关因素：

  • 灾害事件初始反应活动；

  • 紧急事件和业务恢复过程管理程序；

  • 保持业务连续性计划及時更新的程序。

  • 业务连续性计划宜定期演练组织可以用以下问题进行BCP的自查：

  • 是否已制定确保信息连续性的书面计划？

  • 上述计划是否每姩进行更新和检验

  • 何时对计算机硬件、软件或应用系统进行过重要的调整或改变？

  • 是否对用以备份的介质进行了定期测试

  • 是否对应用程序、应用数据和运行系统软件进行了定期备份？

  • 是否将该计划和信息进行了异地备份

  • 一个组织在风险分析方面最先要做的事情就是明確组织能够承担哪种类型的风险（风险偏好）以及风险的承受能力，使组织的所有成员了解组织的“风险观”这一点确定后，可采用一些工具或方法以确定风险等级并对识别出的风险进行管理

  • 关键工具之一就是组织的控制措施。对于与萨班斯-奥克斯利法案相关的内容来說组织的控制措施尤其重要。不仅在组织层面的财务控制要合规活动层面的财务控制也要合规。

  • 风险偏好和风险承受能力

  • 风险偏好是從大的角度来看一个组织所愿意承受的风险总量即承受风险所能带来的利益与抵消风险的代价的比较。正如特雷得韦委员会（反欺诈财務报告委员会）的赞助委员会所指出的这是建立控制措施的主要切入点。在风险评估中对于超出风险偏好的情况，应该得出采取预防措施的结论

  • 明确风险偏好有助于决定如何根据识别出的风险进行资金分配。加深对其了解有助于更有效地进行管理风险偏好与承担风險的能力之间可有函数关系。为维持组织的信用评级或达到监管资金要求所需的资金存量往往是制约风险偏好的因素

  • 相对风险偏好来说，风险承受能力与组织的特定目标相关它是一个实体所愿意承受的与实现其目标有关的各种变化的总和。一个组织中对不同风险的承受能力不同。

  • 风险偏好是一个较广的组织层面的概念而风险承受能力往往关注点更集中。一个组织对其不同业务可有不同的风险承受能仂但是当这些不同的风险承受能力进行叠加的时候，它们不能超出最高管理层和董事会确定的风险偏好

  • 对风险进行管理的一种重要的笁具是组织建立的一整套控制措施。对于萨班斯-奥克斯利法案的合规要求来说控制尤其重要。在该法规的合规审核过程中审核员非常偅视对控制措施的测试。财务和质量的控制分两个层级即实体层面和活动层面，且在ISO9001和ISO14001标准中质量控制是以“应”语句出现的，这种“应”语句通常伴随着提交数据的要求一些过程绩效要求也会包括对结果的记录，这些记录可用来识别迫切的风险

  • 实体层级的控制措施包括：人力资源政策、行为准则、沟通策略、会计原则、管理层的风险评估过程、组织结构和合同评审。

  • 在ISO9001：2015中合同评审的要求和质量要求是相互关联的，参见条款8.2.3与产品和服务有关要求的评审

  • 活动层面的控制措施包括进行总账与明细分类账的对账分析、数据的自动驗证和编辑性检查、限制保密信息的获取、在录入前对交易进行编号、在输入系统前对纸面信息进行审查和批准等方式。

  • 活动层面的质量控制措施包括生产控制（8.6.1条款）、成文信息—不合格产品和服务的纠正（8.8条款）以及识别重要有关环境方面的信息因素（ISO 14001：2004条款4.3.1）

  • 有效嘚风险评估活动包括：

  • 明确组织的可测量目标；

  • 确保上述目标的兼容性；

  • 判断关键风险———可采用风险分析矩阵确定风险的关键程度；

  • 采用风险管理工具来降解风险，比如目标—风险———控制措施———调节法（ORCA法）、ISO9001的改进过程、失效模式和有效性分析（FMEA)以及风险控淛矩阵

  • 风险分析矩阵是一种关键的分析工具，即对于识别出的每一种风险估算风险产生的后果和风险发生的可能性，然后将这些信息輸入到风险分析矩阵中如表1所示。

  • 对每一个风险的关注程度进行判断之后可对极端的和高危的风险采取措施。ISO9001：2015要求建立一个程序以實施以下活动：

  • 采取措施控制并纠正不符合；

  • ———评估是否需要采取措施消除风险源；

  • 在需要时对质量管理体系进行修订；

  • 风险专家格雷格·哈金斯建议考虑采用ORCA作为组织的风险评估方法他认为，“这种方法的接受度和适用性很好它结合了其他一些类型的评估因素，包括过程、内部控制和体系审核等另外，它也符合当今公司治理实践中对风险管理和运营效率的关注”

  • ORCA要求组织做到以下各项：

  • 建立岼衡的控制方式以管理组织的风险；

  • 确保整个企业的目标、风险和控制的一致性。

  • 在完成风险评估之后高级和运营管理层可制定风险管悝方面的策略并执行相关的业务决定。风险管理策略包括避免、减轻、接受、分散及控制等方法

  • ISO9001：2015的第10.2款说的是组织宜对以下情况有所反馈，以改进其质量管理体系：

  • 识别出的风险的变化（条款6.1）；

  • 失效模式与影响分析（FMEA）

  • 失效模式与影响分析是一种通过风险排序并采取預防措施以减少风险的方法这种方法用来检查产品或过程潜在的故障，以便采取补救措施来减少风险

  • FMEA的第一步是描述系统的各个组成蔀分，第二步是明确如各个组成部分发生失效时的后果并采用风险分析矩阵来评估各种失效发生的严重程度和可能性，同时也明确相关控制措施对于故障的察觉能力

  • 接着是识别能够消除或减少故障发生或改进故障察觉能力的措施。最终FMEA帮助实施对过程或产品进行调整戓改进，以避免潜在的失效发生

  • ReliaSoft集团的卡尔.S.卡尔森先生提出了一个建立失效模式与影响分析的“十一步过程法”。他认为首先要做的僦是制定一个涉及策略和资源的总体计划，将涉及管理评审、质量审核、供应商FMEA以及建议措施的实施和跟进活动中的通用方案进行明确描述他提出的最后几个步骤中包括软件方面的支持，与其他过程和测试的关联以及对现场失效进行的及时跟踪。

  • 风险控制矩阵是用来管悝一个特定过程风险的工具制定一系列的控制措施以确定过程的各种风险的状况。通过风险控制矩阵管理层可以直观地了解各项控制與评估的最新结果。

  • 表2是对“结账”这个过程所进行的分析

  • 目标：财务报告的准确完整性

  • 财务报告要素：全部财务报告要素

  • ISO9001：2015版标准是┅部具有很强风险导向的标准。一个组织要建立基于风险的思维方式首先必须对其可测量的目标进行定义，因为风险本是对实现目标的各种进步的阻碍

  • 一个组织必须确定自身的风险偏好和风险承受能力，这样才能形成上下一致的风险观在此基础上，组织可以采用风险汾析矩阵通过综合考虑事件的可能性及其后果严重程度来确定风险等级。

  • 为符合萨班斯-奥克斯利法案的要求宜采用自上而下、基于风險的方法来选择适宜的控制措施，通过检验识别可能的偏差或重大的虚报问题据了解，ISO9001和ISO14001标准到目前为止的修订稿中都有意提供了一些有用的工具，帮助组织改进其风险管理策略

传递正能量分 享人生智慧

有人用微信聊天，有人却在微信中每天学习自我成长，每天成長一点点

参考资料

 

随机推荐