リスクに基づく考え方

  私が運営している西村経営支援事務所のホームページの中に「適合性と有効性を同時に監査するプロセスアプローチ型監査のすすめ」というページがあります。

ISOのマネジメントシステムの用語を使用しており、用語の知識がないと分かりにくいと思いますので、その予備知識を5回に渡って解説しています。

第4回目は「リスクに基づく考え方」について解説します。

リスク基づく考え方

  ISO9001:2008年版では、予防処置として独立の箇条があった。ISO9001:2015年版では予防処置が消え「リスク及び機会」という体系的なアプローチとしてマネジメントシステム全体に組み込まれている。

先ず、用語の定義から説明します。

リスク

ISO9000：2015　3.7.9 リスク（risk）

リスク　不確かさの影響。

注記1 影響とは，期待されていることから，好ましい方向又は好ましくない方向に乖離することをいう。

注記2 不確かさとは，事象，その結果又はその起こりやすさに関する，情報，理解又は知識に，たとえ部分的にでも不備がある状態をいう。

注記3 リスクは，起こり得る事象及び結果，又はこれらの組合せについて述べることによって，その特徴を示すことが多い。

注記4 リスクは，ある事象（その周辺状況の変化を含む。）の結果とその発生の起こりやすさとの組合せとして表現されることが多い。

注記5 “リスク”という言葉は，好ましくない結果にしかならない可能性の場合に使われることがある。

機　会

　ISO9000:2015には「機会」についての定義はない。ISO9000:2015の解説には、以下のように記載されている。

最終的に“機会”の定義は必要ないとの判断がなされたため、規格には盛り込まれなかったが、検討過程では”リスク“との関連で”機会“についても検討が行われた。その定義は次のようなものであった。

機会

　possibility due to favorable combination of circumstances

　（時間、状況、資源などの）有利な状況の組み合わせによる可能性。

なぜ、機会の定義は不要であるか？　このあたりについてISOTC176が発行して解説書「ISO9001:2015におけるリスクに基づく考え方」が発行されている。

これをよく読んでいただくと、リスク及び機会への取組みとは、ISO9001:2008年版にもあった予防処置のことであるが、これをマネジメントシステム全体にわたり戦略及び運用の計画の一部として組み込んで拡大したものであることが理解できる。

リスクの基づく考え方

以下に、「ISO9001:2015におけるリスクに基づく考え方」の説明部分を転載します。

=======<ここから転載（但し、イラストは小職が作成）>=========

リスクに基づく考え方とは?

リスクに基づく考え方は、システムの始めから全体を通して考慮される必要があり、予防処置を計画、運用、分析及び評価活動に本来備わったものとしている。

リスクに基づく考え方は、プロセスアプローチの一部である。

品質マネジメントシステムの全てのプロセスが，組織の目標を満たす能力の点から同じレベルのリスクを示すとは限らない。より注意深く厳密な計画及び管理が必要なものもある。

例：道路を横断する際、直接渡ることも、近くの歩道橋を使うこともできる。どちらのプロセスを選択するかは、そのリスクを考慮することによって決まる。

リスクは、一般に、好ましくない結果だけをもたらすものと理解されている。しかし、リスクの影響には好ましくない場合と好ましい場合とがある。

ISO 9000:2015 では、リスクと機会とがしばしばセットになって出てくる。機会は、リスクの好ましい面ではない。機会は、何かを行うことを可能とする一連の状況である。機会を捉えるか捉えないかということで、様々なレベルのリスクが現れる。

  機会：道路を安全にわたる

道路を直接渡ることによって、早く道を反対側に行ける機会が得られるが、もしその機会をとらえれば、走っている車によって怪我をするリスクが増す。

リスクに基づく考え方は、現在の状況と変化の可能性の両方を考慮するものである。

　この場面の分析によって、改善の機会が見えてくる。

• 右側にある歩道橋まで歩いて歩道橋を渡る
• 歩行者用信号、又は
• 道路を迂回して、車の往来が無い場所へ行くこと

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

ISO9001:2015 序文の説明

機会は，意図した結果を達成するための好ましい状況，例えば，組織が顧客を引き付け，新たな製品及びサービスを開発し，無駄を削減し，又は生産性を向上させることを可能にするような状況の集まりの結果として生じることがある。機会への取組みには，関連するリスクを考慮することも含まれ得る。リスクとは，不確かさの影響であり，そうした不確かさは，好ましい影響又は好ましくない影響をもち得る。リスクから生じる，好ましい方向へのかい（乖）離は，機会を提供し得るが，リスクの好ましい影響の全てが機会をもたらすとは限らない。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

なぜリスクに基づく考え方を用いるのか?

　システム全体及び全てのプロセスを通してリスクを考慮することによって、表明した目標を達成する可能性が改善し、アウトプットの一貫性が高まり、顧客は、期待する製品又はサービスを受け取ることへの確信が持てるようになる。

リスクに基づく考え方は、

• ガバナンスを改善する。
• 改善を先取りする文化を築く。
• 法令・規制の遵守を助ける。
• 製品及びサービスの品質の一貫性を保証する。
• 顧客の信頼感及び満足を改善する。

成功している企業は、直感的にリスクに基づく考え方を組み込んでいる。

どのようにすべきか?

　あなたのマネジメントシステム及びプロセスを構築する上で、リスクに基づく考え方を用いる。

何がリスクなのかを特定する。これは状況によって異なる

例:

高速で走っている車の多い道路を横断する場合、そのリスクは、車がほとんど走っていない小さな道の場合とは異なる。また、天候、視界、自身の可動性、自身の目標などについても考慮する必要がある。

あなたのリスクを理解する

　受け入れられるものは何か？ 受け入れられないものは何か？ あるプロセスは他のプロセスと比べて、どのようなメリット又はデメリットがあるか？

例:

目標：私は、所定の時間の会議に間に合うよう、道路を安全に横断する必要がある。 

• 怪我をすることは受け入れられない。
• 遅刻することは受け入れられない。

私が自分の目的地により早く到着することは、怪我の起こりやすさと天秤にかけられなければならない。時間通りに会議場所に到着することよりも、怪我をしないで会議に到着することのほうが重要である。

道路を直接渡ることで怪我の起こりやすさが高まるのであれば、歩道橋を使って道路の反対側への到着が遅れることも受容できるかもしれない。

この場面の分析を行なう。歩道橋は200メートル離れており、移動時間を余計に見なければならない。天候は良く、視界も良好なので、この時点で道路にはそれほど車がいないことが見て分かる。

直接道路を歩いて渡る場合、怪我をするリスクは受容可能な程度に低く、会議に時間通りに到着することを可能にすると判断する。

リスクへの取組みを計画する

どうすればそのリスクを回避又は排除できるか？ どうすればリスクを緩和できるか？

例：

もし歩道橋を使えば、車にぶつかることによって引き起こされる怪我のリスクを排除することはできるが、既に、道路を横断するリスクは受け入れることができると判断している。

ここで、怪我の起こりやすさ又は影響のいずれかをどのように低減するかについて計画する。私にぶつかって来る車の影響を制御することは合理的には考えられない。車に引かれる可能性を低減することはできる。

自分の近くに車が走っていないときに道路を渡ることで、事故の起こりやすさを低減することを計画する。また、視界の良好な見通しのよい場所で道路を横断することも計画する。

計画を実施する－取組みを行う

例:

道路の端に移動して、横断する障害がないことを確認する。近づいてくる車がいないことを確認する。道路を横断しながら車に注意し続ける。

取組みの有効性を確認する－それは有効か？

例:

怪我もなく、時間通りに道路の反対側へ到着する。この計画はうまく行き、望ましくない影響は回避できた。 

経験から学ぶ－改善する

例:

この計画を数日間に渡って、時間を変え、異なる天候状態で、繰り返す。 

これによって、状況（時間、天候、車の量）の変化が、この計画の有効性に直接影響を与えること、及び自分の目標（時間順守及び怪我の回避）を達成できない可能性を上げることが分かるデータが得られる。

経験を通じて、一日の中の特定の時間帯に道路を横断することは、車が多すぎるため、極めて難しいことが分かった。リスクを制限するため、これらの時間帯には歩道橋を使うことによって自らのプロセスを改め、改善する。 

このプロセスの有効性の分析を続け、状況が変化した場合にはプロセスを改める。 

革新的な機会についても引き続き考慮する。

• 道路を横断しなくてもよいように会議場所を移動できるか？
• 道路が静かなときに道路を横断できるように会議の時間を変更できるか？
• 電子会議を行うことはできるか？

============<以上で転載終わり>==============

ISO9001:2015の

　　　どこでリスクが扱われているか？

　前回のブログで、リスク及び機会の取組みの相互作用の図（図―3）を紹介しました。

図―３の黄色プロセスがリスク及び機会の要求事項が記載されているプロセスです。

・リスク及び機会の取組みの相互作用

　　　　　　図-3　リスク及び機会の取組みのループ

以下は「ISO9002:2016　ISO9001:2015適用に関する指針」の記載内容です。

1.トップマネジメント

・例えば，インプット及びアウトプットの有効な流れ，並びにリスク及び機会への取組みにおける協力を達成するために設計した体系的アプローチをもって，プロセス間の有効な相互関係を確実にすることで，プロセスアプローチ及びリスクに基づく考え方を促進する。

・期待した結果が一貫して達成されるように，リスク及び機会に取り組むための適切な処置がとられることを確実にする必要がある。期待した結果が達成されない場合は，顧客のニーズ及び期待が達成されるまで，更なる改善を実施するための責任が割り当てられることを確実にするため，Plan-Do-Check-Act（PDCA）アプローチに従う。

2.リスク及び機会の取組みプロセス

リスクに基づく考え方のアプローチの適用

　組織は，品質マネジメントシステム（以下QMSと記述）に必要なプロセスにリスクに基づく考え方のアプローチを適用する。リスク及び機会を決定するに当たって，次の事項に焦点を当てることが望ましい。

1. a) QMSが，その意図した結果（不適合製品の発生の予防、顧客満足の向上）を達成できるという確信を与える。
2. b) （活動効率の改善，新技術の開発又は適用などによって）望ましい影響を増大させ，新しい可能性を創出する。
3. c) （リスク低減又は予防処置を通じて）望ましくない影響を防止又は低減させる。
4. d) 製品及びサービスの適合を確実なものにする改善を達成し，顧客満足を向上させる。

リスク及び機会を決定するときに用いる技法

　組織は，リスク及び機会の決定において，SWOT，PESTLEなどの技法のアウトプットの使用を検討することができる。その他のアプローチには，故障モード影響解析（FMEA），故障モード影響致命度解析（FMECA），危害要因分析重要管理点（HACCP）などの技法がある。どの方法又はツールを用いることが望ましいかの決定は，組織に委ねられる。単純なアプローチには，ブレインストーミング，構造化what if技法（SWIFT），結果／発生確率マトリックスなどの技法が含まれる。

リスク及び機会の検討が望ましいような状況

　例えば，戦略会議，マネジメントレビュー，内部監査，品質に関する多種の会議，品質目標設定のための会議，新しい製品及びサービスの設計・開発の計画段階，生産プロセスの計画段階など様々である。

3.事業プロセス

（運用の計画・設計開発・製造・支援）

　詳細は、ISO9001:2015規格の箇条7，箇条8で”suitable”又は”appropriate”と記載されているときは常に含まれるとなっており、規格の該当箇条は以下の通りです。

運用の計画プロセス

　8.1　運用の計画のアウトプットは、組織の運用に適したものであること

　8.6　製品及びサービスの要求事項を満たしていることを検証するために、

　　　　適切な段階において計画した取り決めを実施する

設計開発プロセス

　8.3.1　製品及びサービスの提供を確実にするために、

　　　　　適切な設計開発プロセスを確立する

　8.3.4　レビュー、検証、妥当性確認は

　　　　　組織の製品及びサービスに応じた適切なものであること

　8.3.5　設計開発からのアウトプットは、必要に応じて監視測定の要求事項、

　　　　　又はそれらを参照している

製造/サービスプロセス

　8.5.1ｂ）監視及び測定のための適切な資源を使用する

　8.5.1d）プロセス運用のための適切なインフラ及び環境を使用する

　8.5.2　アウトプットを識別するために適切な手段を用いる

　8.7.1　不適合の性質、並びにそれが製品及びサービスの

　　　　　適合に与える影響に基づいて、適切な処置をとる

人的資源管理プロセス

　7.2 b）　人々が教育、適切な訓練又は経験に基づいて

　　　　　　適切な力量を備えていること

　7.2d)  力量の証拠として適切な文書化した情報を保持する

測定機器の管理プロセス

　7.1.5.1　監視測定のための資源が目的と合致している証拠として適切な文書

　　　　　測定機器が意図した目的に適合していないと判明し場合適切な処置

文書管理プロセス

　7.5.2　文書化した情報を作成、更新するとき、

　　　　　a)適切な識別及び記述　

　　　　　b)適切な形式及び媒体　

　　　　　c)適切性、妥当性に関する適切なレビュー及び承認

　7.5.3.2　外部からの文書化した情報は、必要に応じて識別し管理する

4.リスク及び機会の有効性の評価

　組織は、定期的にリスク及び機会に関する取組み項目をレビューし、その有効性を評価する。

レビューのポイント

• リスク及び機会の特定が漏れなく行われているか
• リスク及び機会への対応策が適切か
• リスク及び機会に関する取組み項目が有効に機能しているか

レビュー方法

　レビューは、会議や報告書など、適切な方法で行う必要があります。会議で行う場合は、議事録を作成し、レビューの内容を記録する必要があります。報告書で行う場合は、レビューの内容を文書化し、記録する必要があります。

レビューの記録

　レビューの内容は、文書化し、記録する必要があります。記録には、以下の内容が含まれる必要があります。

　　・特定されたリスクと機会

　　・取組み項目

　　・責任者

　　・期限

　　・進捗状況/結果

　　・結論

6.改善プロセス

　組織は、望ましくない影響を修正し、防止し又は低減し、かつ自らのQMSを改善し、リスク及び機会を更新する。

commercial

・プロセスとは

・プロセスアプローチとは

・システム思考／システムアプローチ

プロセスアプローチ型内部監査のすすめ