2026.09.06

ISO9001リスクに基づく考え方｜6.1条の要件と運用への組込み方

経営リスクナビ編集部

ISO9001の「リスクに基づく考え方（リスク及び機会）」を、審査用の言葉に留めずにQMSへ実装しようとすると、規格用語と自社の事業リスクの対応づけで手が止まりやすくなります。ここを曖昧にしたまま進めると、箇条6.1の「決定→組込み→有効性評価」の説明が断片化し、内部監査やマネジメントレビューで判断基準が揺れやすくなります。読み進めることで、ISO 31000の定義も踏まえつつ、4.1・4.2から6.1へつなぐ線引き、評価軸、台帳に落とす粒度を自社条件で決めやすくなります。実務で最初に押さえるべきは6.1の設計意図です。用語の整理から見ていきます。

ISO9001の考え方の土台
ISO9001要求事項とのつながり
リスク及び機会の分析と評価
QMSへの組込みと文書化
業種別のリスク及び機会
- 製造業の設計・製造・出荷の例
- 非製造業の代表的な例
改善につなげる運用の要所
よくある質問
〈主要KW〉への対応で次にすべきこと

ISO9001の考え方の土台

リスクに基づく考え方の意味

リスクに基づく考え方は、QMS（品質マネジメントシステム）のあらゆるプロセスを計画・運用する際に、「目的（品質目標や顧客満足など）に対する不確かさの影響」を先に見立て、必要な管理を前倒しで組み込む思考様式です。リスクマネジメントの国際規格ISO 31000では、リスクを「目的に対する不確かさの影響」と定義し、影響は期待から好ましい方向／好ましくない方向の双方に乖離し得る点を注記しています。このため、ISO9001でのリスクは「悪いことを避ける」だけでなく、狙った成果に近づけるために変動要因を扱うという位置づけで理解すると、規格要求と経営実務をつなげやすくなります。

また、コンプライアンス領域で典型的に挙げられるリスク（例：組織的な不正、従業員の不正、ハラスメント、法令・規制違反、機密漏洩、独禁法・公正取引法違反、輸出管理の問題など）は、発生前は「潜在危機（リスク）」であり、事故・事件として顕在化すると「危機（クライシス）」に移行します。ISO9001の「リスクに基づく考え方」は、危機が起きてからの対処（危機管理）ではなく、危機を発生させないための計画や措置（リスク管理）をプロセスに埋め込む発想として整理すると、内部監査や審査での説明が一貫します。

リスクと機会の関係を整理

ISO 31000の注記が示すとおり、リスクの「影響」は好ましくない方向だけではなく、好ましい方向にも乖離し得ます。ISO9001の用語で言う機会は、まさにその「好ましい方向への乖離」を生みうる要素として扱うと、リスクと機会を同一の事象の両面として整理できます。

区分	意味（英語）	実務上の位置づけ
リスク	risk（危険性、危険要因、起きるかもしれない恐れ）	組織にとっての潜在危機であり、計画・措置により発生確率や影響を下げたり、好影響を取り込んだりする対象
危機	crisis（重大局面、決定的段階）	リスクが顕在化して事件・事故になった状態で、損失最小化のための緊急時対応を含む対象

リスクと危機（クライシス）の使い分け（実務上の整理）

tたとえば新技術の導入は、立上げ時の手順不備や測定・検査の未成熟による不適合（好ましくない影響）を生みやすい一方、歩留まり改善や短納期化（好ましい影響）を生みやすい側面もあります。よって、機会を語るときも「単なるアイデア」ではなく、目的に対する不確かさをどう制御し、好影響を再現可能にするかという設計として扱うことが重要です。

『品質問題の芽』と『経営判断の不確実性』をどこで分けて扱うか

QMSで扱うべきリスクは無制限ではなく、ISO9001の目的（適合製品・サービスの一貫提供、顧客満足）に照らして、扱う範囲と深さを決める必要があります。実務上は、(A)現場プロセスに埋め込むべき「品質問題の芽」と、(B)全社の枠組みで扱うべき「経営判断の不確実性」を切り分け、インターフェース（連携点）だけを明確にしておくと運用が破綻しにくくなります。

切り分けの目安（QMSで深掘りする範囲）

製品・サービスの適合性や検証記録（検査成績書、試験記録など）の信頼性に直結するものは、QMSのプロセス管理として優先的に扱います。
作業指示書・業務マニュアル・検査項目指示書など、現場が日々使う文書の不備が原因になり得るものは、文書化した情報の管理とセットで扱います。
「測定値等の書き換え」などの虚偽データは、品質不正（不正リスク）として、監査観点（証跡の真正性）を含めて扱います。
取引先倒産・資金繰りなどの財務・信用の論点は全社リスクになり得ますが、QMS側は「安定供給」「納期遵守」「調達先管理」など品質に接続する形で論点化します。

ISO9001要求事項とのつながり

6.1条の要求事項を読む

箇条6.1は、QMSの計画において取り組むべきリスク及び機会を決定し、その取組みをプロセスに組み込み、有効性を評価することを求めます。ここでいうリスクは、ISO 31000の定義どおり「目的に対する不確かさの影響」であり、影響は好ましい方向／好ましくない方向に乖離し得るため、6.1の実務は「悪影響の低減」と「好影響の実現」を同じ台帳・同じ運用ルールで扱うと、説明が明確になります。

また、コンプライアンス実務でいう「リスク管理（危機を発生させないための計画や措置）」と「危機管理（危機発生時に損失を最小化する計画と活動）」の区別は、ISO9001でも有用です。6.1は前者の比重が大きい一方、重大不適合や市場クレームが起きた後は、是正処置や緊急対応（危機管理）に移行するため、両者の切替え条件を内部で言語化しておくと運用が安定します。

組織の状況と利害関係者を起点にする

リスク及び機会の特定は、思いつきで列挙するのではなく、箇条4.1（組織の内外の課題）と箇条4.2（利害関係者のニーズ・期待）を起点にして、品質目標やプロセスに接続する形で行うのが実務的です。

参照情報として、利害関係者期待分析シートの例では、取引先（A社・B社）、顧客（問屋・最終消費者）、株主、投資家、国・自治体（監督官庁・自治体）などを挙げ、例えば顧客側には「製品の安定供給（生活必需品優先）」、投資家には「正確な情報開示」などの期待が整理されています。こうした期待は、そのまま「何が揺らぐと顧客満足・適合性が崩れるか」というリスク起点になります。

4.1・4.2の情報を6.1につなぐときの見方

取引先が期待する「資材の継続発注」や「設備復旧支援」は、供給継続性のリスク／機会として調達・生産計画に接続します。
顧客が期待する「安定供給」は、納期遅延・供給途絶・返品などの影響を定義して評価軸に落とします。
投資家が期待する「正確な情報開示」は、検査記録・試験記録の真正性（虚偽データの防止）という品質不正リスクとも接続します。
監督官庁が期待する「生活必需品の安定供給」などは、規制・行政対応の変化を外部課題として定期レビューに乗せます。

4.1・4.2で拾った事項のうち、6.1で『取組み対象』に上げる判断基準

4.1・4.2で拾える事項は多くなりがちで、すべてを6.1の取組み対象にすると、運用が形骸化します。参照情報でも「100個の課題を洗い出しても、そのすべてに対策を打つことはできない」と整理されており、優先課題を決める設計が不可欠です。

6.1の取組み対象に上げるための選定手順（実務の線引き）

4.1・4.2で拾った事項を、製品・サービスの適合性、顧客満足、安定供給への影響に翻訳して「何が起きると困るか／何が起きると良いか」を具体化します。
既存管理（手順・検査・教育・監視）で十分に抑え込めているかを確認し、抑え込めていない変動要因を候補に残します。
優先順位の評価指標を定めます（参照例：重要度、緊急度、難易度、効果、コスト、時間）。
評価指標をマトリクスで並べ、5段階で評価します（厳密すぎる定量化に偏らず、理由は説明できるようにします）。
上位の項目を6.1の取組み対象として、プロセスに組込み、指標で有効性確認まで設計します。

リスク及び機会の分析と評価

洗い出しに使う分析手法

洗い出しは「思いつき」ではなく、根拠を示せる材料と手法で行うほど、審査対応だけでなく改善に使える台帳になります。参照情報では、リスクアセスメントで収集すべき資料として、実測の生データ、検査成績書・試験記録（虚偽データの可能性も含む）、基本契約書・仕様書・発注書等、作業指示書・業務マニュアル、組織図・職務分掌・シフト表、過去の内部監査報告書や内部通報事例、業務メールや共有フォルダのデータが列挙されています。これらは、ISO9001の「証拠に基づく意思決定」に直結する入力情報として扱えます。

洗い出しで実際に当たる資料（根拠の出所をそろえる）

生データ（実際の測定値などの一次データ）
検査成績書・試験記録など（書き換え等の虚偽データの有無も含めて確認）
製品の基本契約書（覚書含む）・仕様書・発注書・請書・納品書
検査項目の指示書・作業指示書・業務マニュアル類
関係部署の組織図・職務分掌・人員の変遷（ラインの変遷含む）・シフト表・工場や研究所の図面
過去の内部監査報告書・過去のコンプライアンス違反／内部通報事例
業務メール・スケジューラー・共有フォルダ上のデータ

分析フレームとしては、外部環境×内部環境を掛け合わせて機会・脅威を整理する形が使いやすく、参照情報のSWOT掛け合わせ例（強み×機会＝集中、強み×脅威＝磨き上げ新規開発、弱み×機会＝限定補強、弱み×脅威＝すてる）を、QMSのプロセス改善案の抽出に転用できます。

評価と優先順位の決め方

評価は、発生可能性と影響の2軸を基本にしつつ、定性的基準を併用して「主観の偏り」を下げる工夫が要点です。参照情報でも、金額などの定量基準だけですべてを測ることは困難で、定性的基準を併用すること、そして主観による偏りをできる限り除くことが重要とされています。

特に、発生可能性は「数年に1回程度の発生から月次での発生まで」を過去頻度の測定基準とすることが多い、と具体例が示されています。ISO9001の実務でも、月次で起きる小さな不適合（例：検査戻り、誤出荷未遂）と、数年に一度の重大クレームのような事象を同列に扱わず、同じ尺度で比較できるように基準を持つことが重要です。

評価の客観性を上げる運用上の工夫（参照情報の要点）

グループワークやレビューで複数の評価者を関与させ、単独判断の偏りを抑えます。
測定基準を当てはめた根拠（過去データ、監査所見、クレーム記録など）を記録として残します。
経営者は評価結果を鵜呑みにせず、客観性確保の仕組み（複数評価・根拠記録）が回っているかも確認します。

発生頻度×影響度だけで足りない場合に、検出可能性や顧客影響を加える線引き

発生頻度×影響度の二軸は基本ですが、「検出できないまま流出する」タイプのリスクでは、二軸だけだと実務の危険を取りこぼします。参照情報の「作業管理」観点で挙がるように、製造現場ではユーザーからのクレーム、原材料・部品の供給途絶、納期遅延、製品の補修・回収・交換などが高リスクとして例示されており、これらは流出時の顧客影響が大きい典型です。

そこで、検出可能性（社内で捕まえられるか）や顧客影響（市場で起きたときの損害の大きさ）を追加する線引きを、製品・プロセスの特性で決めておくとよいです。

追加軸を導入する線引き（適用すべきケース）

検査成績書・試験記録の信頼性が問われ、虚偽データの混入が起きると「検出不能」のまま出荷判断が歪む可能性があるとき。
作業ミスや誤操作、データ誤入力、誤配布・配信、紛失、情報漏洩など、オペレーショナルリスクで「発見の遅れ」が被害拡大につながるとき。
クレーム、返品、回収・交換などの顧客影響が大きく、発生頻度が低くても一撃でQMSの意図した結果を損なうとき。

QMSへの組込みと文書化

取組みをプロセスへ組み込む

6.1で決めた取組みは、台帳上の「決定」で終わらせず、必ずプロセスに埋め込みます。埋め込み先は、品質目標の達成計画、手順書・作業指示書、教育訓練、監視測定、供給者管理など、既存の運用点に接続させるのが基本です。

また、品質不正（不正リスク）やセキュリティ品質管理の観点では、単に「ルールを作る」だけでなく、根拠となる証跡をどのプロセスで作り、どこでレビューし、どこで改ざんリスクを下げるかまで落とし込む必要があります。参照情報にある「生データ」「虚偽データの可能性がある記録」「業務メールや共有フォルダのデータ」などは、運用に組み込まれていないと監査で追跡不能になりやすい点を意識すると、組込み設計が具体化します。

一覧表に入れる構成要素

一覧表（台帳）は、審査のための書類ではなく、意思決定と見直しを回すための「リスクベース」として使える粒度にすることが重要です。参照情報でも、リスク分析のためにはリスクベースを作成し、定期的に更新する重要性が示されています。

要素	記載のポイント
起点（4.1/4.2）	外部・内部課題、利害関係者の期待（例：安定供給、正確な情報開示）を明記します。
対象事象	何が起きる／変わるのかを具体化します（例：供給途絶、納期遅延、虚偽データ混入）。
影響（リスク／機会）	目的に対する好ましくない影響と好ましい影響を分けて書きます。
根拠資料	生データ、検査成績書・試験記録、契約書・仕様書、内部監査報告書、業務メール等を紐づけます。
現行管理	既存の手順・検査・教育・レビュー体制を記載します。
評価・優先順位	発生可能性と影響を基本に、必要なら重要度・緊急度・難易度等の指標も用います。
対応（取組み）	プロセスに埋め込む形で、誰が何を変えるかを明確にします。
有効性確認	内部監査、監視測定、レビューで何を見て有効とするかを定義します。

リスク及び機会の管理一覧表に入れる要素（実務で説明可能な最小セット）

審査で示す記録と説明の要点

審査で重視されるのは「帳票があること」ではなく、6.1の要求どおり、(1)決定、(2)組込み、(3)有効性評価の流れが、根拠資料と整合して説明できることです。参照情報の監査手続上の観点では、検討のために実測の生データ、検査成績書・試験記録、契約書・仕様書、作業指示書・マニュアル、組織図・シフト表、内部監査報告書、業務メール等を収集対象として挙げています。審査での説明も、これらの「一次に近い情報」をどう使って判断したかを示せると、納得性が上がります。

審査での説明を通すための要点（見せるべき筋道）

4.1・4.2の情報（外部内部課題、利害関係者期待）から、どの論理で6.1の対象を選んだかを示します。
評価は主観任せにせず、複数評価・レビュー・根拠記録で客観性を担保したことを説明します。
根拠資料として、生データ、検査成績書・試験記録、内部監査報告書、業務メール等が追跡可能であることを示します。
取組みが作業指示書・教育・監視測定などプロセスに組み込まれ、結果が確認されていることを示します。

文書は最小限でよいが説明責任は残る｜誰がいつ何を更新したかを残す実務線

ISO9001は、リスク及び機会の管理について「この様式で文書化せよ」と固定して要求しているわけではありません。一方で、説明責任（なぜその判断をしたのか、根拠は何か、更新されているか）は、審査・取引先監査・内部監査のいずれでも問われます。

参照情報でも、リスクベースは定期的に更新することが重要とされているため、最低限「変更の追跡」ができる状態を維持するのが実務線です。

変更履歴として最低限残す項目（説明責任の核）

改訂日（いつ）
改訂者（誰が）
変更理由（何が変わったためか：外部課題、内部課題、利害関係者期待、監査指摘、クレーム等）
参照した根拠（生データ、検査成績書・試験記録、内部監査報告書、業務メール等）
承認の記録（責任者が見た事実）

業種別のリスク及び機会

製造業の設計・製造・出荷の例

製造業では、製品実現の流れ（設計→製造→出荷）ごとに、高リスクが異なります。参照情報の「業種別の高リスク」例では、製造業（特に製造現場）について、火災・爆発、ユーザーからのクレーム、技術の陳腐化、原材料・部品の供給途絶、納期遅延、返品、売掛金回収不能、為替差損、製造物責任（特にアメリカ向け輸出品）などが挙げられています。

製造業（設計・製造・出荷）で6.1に落とし込みやすい題材

設計：技術の陳腐化や設計不備がユーザーからのクレームにつながるリスクと、新規開発による差別化の機会。
製造：火災・爆発、設備故障、作業ミスなどの事故リスクと、工程改善で不良や手直しを減らす機会。
出荷：納期遅延、返品、回収・交換などの顧客影響リスクと、検査・出荷判定の精度向上による信頼獲得の機会。
調達・債権：原材料・部品の供給途絶や売掛金の回収不能が、安定供給（顧客期待）を揺らすリスク。

非製造業の代表的な例

非製造業でも「サービスの一貫性」や「情報の信頼性」は、ISO9001の意図した結果に直結します。参照情報の業種別例では、卸・小売業（配送時事故、配送中破損、盗難、不良品販売・回収、クレーム、返品・売れ残り）、建設業（労働災害、交通事故、完成遅延、手直し・補修、発注者の代金不払い、下請業者の倒産、資材・労務費の高騰）、情報通信業（個人情報流出、顧客からのクレーム、技術の陳腐化、イノベーション不足、規制動向の不透明さ）などが挙がっています。

非製造業でのリスク及び機会の例（参照情報を踏まえた整理）

卸・小売：配送時事故や配送中破損をリスクとして、梱包・委託先管理・クレーム分析をプロセスに組み込みます。
建設：完成遅延や手直し・補修をリスクとして、工程計画・協力会社管理・変更管理を強化します。
情報通信：個人情報流出や顧客クレームをリスクとして、権限管理・記録管理・再発防止をQMSに接続します。
共通：技術の陳腐化をリスクとして捉えつつ、サービス価値の更新という機会に転換するテーマ設定が可能です。

改善につなげる運用の要所

組織の知識と改善に結び付ける

リスクへの取組みを改善に接続するには、起きた事象を「偶発」ではなく、リスクが顕在化した結果として扱い、知識化して再利用できる形にすることが重要です。参照情報では、過去の内部監査報告書やコンプライアンス違反・内部通報事例も収集対象に含まれており、これは「組織として学習すべき入力情報」を明確にするヒントになります。

組織の知識として残す対象（再発防止を台帳に戻す）

過去の内部監査報告書の指摘事項と是正状況（未完了や再発傾向を含む）
関連する過去のコンプライアンス違反・内部通報事例（品質不正やデータ改ざんの兆候を含む）
生データと検査成績書・試験記録の差異が生じた原因（測定・記録プロセスの弱点）
業務メールや共有フォルダのやり取りに表れる判断のブレ（ルールの曖昧さの発見）

形骸化を防ぐ見直しの進め方

形骸化を防ぐには、「年1回の更新」ではなく、変化点で台帳を動かす運用にすることが重要です。参照情報でもリスクベースの定期更新が重要とされているため、定期更新に加えて、外部環境・内部環境の変化でレビューを起動する仕組みが必要です。

見直しを起動する変化点（例）

法律の制定・制度改革、税制改革など、外部環境の変化が4.1の課題に入ったとき。
主要な供給者の変更や供給途絶の兆候など、安定供給に関する不確かさが増えたとき。
内部監査で虚偽データの懸念、記録の不整合、手順逸脱などが見つかったとき。
クレーム、返品、回収・交換など、市場影響が明確に顕在化したとき（危機への移行を含む）。

マネジメントレビュー前に品質責任者・各部門長・内部監査側で揃える資料と確認順序

マネジメントレビューでリスク及び機会を経営判断につなげるには、「評価結果」だけでなく、評価の根拠となる材料と客観性確保のプロセスまで含めて揃える必要があります。参照情報の「収集すべき資料」や「複数評価者・根拠記録」の要点を、レビュー準備の必須要件として取り込むと、レビューが形式化しにくくなります。

マネジメントレビュー前の準備（資料と確認順序）

内部監査側は、過去の内部監査報告書と是正状況に加え、関連する内部通報事例・コンプライアンス違反の有無を整理します。
各部門長は、生データ（実測値）と検査成績書・試験記録、作業指示書・業務マニュアルの改訂状況を突合し、現場実態と文書のズレを示します。
品質責任者は、契約書・仕様書・発注書等の要求事項（顧客要求の根拠）と、リスクベース（台帳）の評価・対応・有効性確認を結び付けて総括します。
最終確認として、評価が単独判断になっていないか（複数評価・レビューの実施、根拠記録の有無）を点検し、必要な見直しを決定します。

よくある質問

ISO9001でリスクアセスメントの手順書や様式は必須ですか？

ISO9001は、リスクアセスメントの手順書や特定様式を「必ず文書化して保持せよ」と一律に求めているわけではありません。求められているのは、リスク及び機会を決定し、取組みをプロセスに組み込み、有効性を評価できることです。

ただし実務上は、評価の一貫性と説明可能性を確保するため、最低限の運用ルール（評価軸、判断根拠の残し方、見直し条件）を定めることが有効です。例えば参照情報が示すように、根拠として「生データ」「検査成績書・試験記録（虚偽データの可能性を含む）」「過去の内部監査報告書」「業務メール等」を収集対象に含めるだけでも、判断の妥当性を第三者に説明しやすくなります。

リスク及び機会の洗い出しは年何回行うべきでしょうか？

規格として「年◯回」といった回数は規定されていません。参照情報でも、リスクベースは定期的に更新することが重要とされる一方、重要なのは回数よりも「変化を捉えて更新できるか」です。

発生可能性の基準として「数年に1回程度の発生から月次での発生まで」を頻度の目安とする整理が示されているため、月次で発生する不適合傾向の変化（監視測定やクレーム分析）と、数年に一度でも発生すれば影響が大きい事象（回収・交換等）を、同じ台帳で見直せる運用にすると実務に合います。

既存の事業リスク管理やBCPとISO9001の考え方は統合できますか？

統合は可能で、重複管理を避ける観点からも合理的です。参照情報のリスク分類例では、戦略、財務、労務、コンプライアンス、過失、犯罪、事故など、広範な内部リスクが列挙されており、ISO9001のリスク及び機会はその一部（品質目的に影響する範囲）として位置づけると整理しやすくなります。

実務上は、全社リスク一覧（事業リスク管理）に対して、ISO9001の観点で「製品・サービスの適合性」「顧客満足」「安定供給」への影響の欄を追加し、根拠資料（契約書・仕様書、検査記録、生データ、内部監査報告書等）まで追跡できるようにすると、QMSと全社管理の接続が明確になります。BCPについても、災害等のハザードリスクを全社側で扱いつつ、QMS側は顧客期待（例：安定供給）に直結するプロセス（調達、製造、出荷、顧客対応）の復旧優先順位として連携させると、二重運用になりにくいです。

—

💡こちらのチャット欄に出力いたしました解説記事に関して、表現の微調整や、実務でさらに掘り下げたい論点（FMEAのスコアリング基準のカスタマイズやSWOT分析の具体的な掛け合わせパターンなど）がございましたら、いつでもお申し付けください。すぐに修正や詳細化の対応をさせていただきます。

〈主要KW〉への対応で次にすべきこと

ISO9001のリスクに基づく考え方は、「悪影響の低減」と「好影響の実現」を同じ枠組みで扱い、箇条6.1の決定・組込み・有効性評価までを一続きで説明できる状態にすることが実務の要点です。起点は4.1・4.2に置き、利害関係者の期待や外部内部課題を、適合性・顧客満足・安定供給への影響に翻訳してから、取組み対象を絞り込むと運用が崩れにくくなります。評価では、発生可能性を「数年に1回程度の発生から月次での発生まで」といった頻度感で揃えつつ、必要に応じて検出可能性や顧客影響を追加する線引きを決めておくことが、取りこぼし防止につながります。次のアクションとして、品質責任者・各部門長・内部監査で、生データや検査成績書・試験記録、契約書・仕様書、内部監査報告書等の根拠を突合し、台帳の更新条件と変更履歴（誰がいつ何を更新したか）まで含めてレビューに備えると説明責任が取りやすくなります。個別の業種特性やリスクの深掘りは、実際のプロセス特性と顧客要求に即して検討し、必要に応じて専門家にも相談するのが安全です。