评审总问"风险在哪"，多半缺这张清单

内容概要 ：几乎所有机构都有"风险"两个字，却大多没有一张能让评审认账的风险清单。本文讲清准则要的三件事、风险从哪 8 个方向来、清单该有的 7 个字段，以及在 LIMS 里怎么落成能跟踪的台账。

「你们的风险和机遇识别了吗？」

「识别了，写在管理评审报告里。」

评审员接着问：「那措施是什么？什么时候复查？有效性怎么评的？」

——到这里，很多机构就答不上来了。

问题不在"有没有做"，而在做的形式不对：风险被写成了"一段汇报文字"，而不是一份能被跟踪、能被复查的清单。

一、准则其实只要三件事

认可准则对"应对风险和机遇的措施"（第 8.5 条）的要求，拆开就三句：

条款

要求

白话

8.5.1

考虑与实验室活动相关的风险和机遇

要 想过 ：哪些事可能让结果失效、哪些机会值得抓

8.5.2

策划应对措施，并明确怎样在体系中整合实施、 怎样评价措施的有效性

不能只识别，还要有措施、有落地、有回头看

8.5.3

措施应与其对实验室结果有效性的 潜在影响相适应

大风险大措施，别用同一套模板套所有事

这里有一条常被误解的规定：准则并不要求建立正式的风险管理过程或文件化方法。也就是说，你不必照搬 ISO 31000、不用建一套完整的风险管理体系。

但"不强制方法论"不等于"可以不做"。CNAS 的应用要求也明确：评审时会关注"是否识别了与结果有效性相关的风险，并采取了相适应的措施"。换句话说，形式可以简化，但动作必须真实发生。

8.5 条考的不是"你懂不懂风险管理"，而是"你有没有真的想过风险，并且真的做了点什么"。

二、风险从哪来：8 个方向，别只写"人员流失"

风险识别最容易犯的错，是只从"人"一个方向写——人员不足、人员流失、人员能力不够。写来写去都是人的问题，评审一看就知道是凑的。

建议按实验室的要素逐个过一遍，这 8 个方向基本能覆盖：

方向

典型风险

对应的机遇

人员

关键岗位依赖个别人、新人上手慢、授权失效

建能力矩阵、内训体系

设备

校准超期、期间核查缺失、老设备故障率高

设备更新、状态监控

方法

用了作废版本、非标方法确认不充分

方法库动态维护、扩项

样品

标识混淆、样品流转丢失、留样到期未处理

条码化、全流程追溯

环境

温湿度超限、交叉污染、区域隔离不足

在线监控、环境记录自动化

数据完整性

记录事后补、权限过宽、审计追踪缺失

系统留痕、权限分离

公正性

关联方业务、人情干预、客户施压

利益冲突申报、独立审核

供应链

分包商资质过期、试剂耗材不合格

合格供方名录、分包定期评价

风险识别的质量，不取决于写得长不长，而取决于 是否把每个要素都过了一遍 ——只写"人员"一项，等于自己承认没系统识别。

三、风险清单该长什么样：7 个字段

这是本文最实用的部分。一份能让评审认账的风险清单，至少要有这 7 列：

字段

写什么

常见毛病

风险/机遇描述

具体到"哪件事会导致什么后果"

写成"管理不规范"这类空话

发生可能性

高 / 中 / 低（定性即可）

所有人都是"低"

影响程度

对结果有效性的影响：高 / 中 / 低

与可能性混在一起

现有控制

现在已经在做的措施

空白——等于承认没控制

拟采取措施

打算新增/强化的动作

写成"加强管理""提高意识"

责任人

具体到人，不写部门

写"质量部"

复查日期

什么时候回头看

没有这一列，措施必然烂尾

一张清单能不能用，标准很简单——每条风险后面都跟着"谁、什么时候、做什么"；缺这三样，它就只是一份说明材料。

两个容易被忽略的点：

第一，"现有控制"这一列不能空。 评审想看的是"你已经在控制什么、还差什么"。这一列空着，等于告诉评审"我们现在什么都没做"。

第二，措施必须"可验证"。 "加强培训"没法验证，"6 月底前完成 5 名检测员的 XX 方法授权考核"才能验证。措施写到能被检查的程度，才叫措施。

四、谁在什么时候做：三个触发时机

风险识别不是"每年写一次交差"，它有三个自然的触发点：

时机

做什么

定期复查

按清单里的复查日期回头看，评价措施有效性，更新可能性与影响程度

变更触发

扩项、换方法、上新设备、换场地、组织架构调整——变更本身就是风险源

管理评审

把"风险和机遇所采取措施的有效性"作为输入项提交（这正是 8.9 条明确列出的一项输入）

注意最后一条的联动关系：风险清单是管理评审的输入。反过来说，管理评审里如果拿不出一份风险清单，这项输入就是空的。

风险管理的闭环，不在于清单写得多漂亮，而在于 复查日期到了，真的有人回头看 。

五、LIMS 里怎么落：让清单"活"起来

风险清单最常见的死法，是在 Excel 里躺一年没人动。系统能解决的是"提醒"和"关联"这两件事：

能力

解决什么

风险台账

一处维护，版本可追，不再有多个 Excel 版本各自为政

复查提醒

到复查日期自动推给责任人，不靠人记

与变更/不符合项/CAPA 关联

变更触发风险更新；不符合项反查是否属于已识别风险

措施跟踪

措施有任务、有责任人、有完成状态，可统计完成率

有效性评价留痕

复查结论与依据留存，管理评审时直接调取

系统在这里的价值不是"多一个表格"，而是把"复查日期"变成会主动提醒你的东西——清单烂尾，往往就烂在没人记得回头看。

一个实用的判断标准：如果"新的不符合项发生后，你无法回答'这是不是我们之前识别过的风险'"，说明清单没有和业务数据打通。

清单从"文件"变成"台账"，区别就在于——问题发生时，你能回头查到它有没有被提前想到。

六、自查清单（对照 8.5 条走一遍）

1. 是否存在一份独立的风险与机遇清单（而不是只在管理评审报告里写一段）？

2. 识别是否覆盖人员、设备、方法、样品、环境、数据、公正性、供应链等主要方向？

3. 每条风险是否都写了现有控制（而不是空白）？

4. 措施是否可验证（有具体动作、时间、责任人）？

5. 是否有复查日期，并按期做过有效性评价？

6. 重大变更（扩项、换方法、上新设备、换场地）是否触发了风险更新？

7. 风险清单是否作为输入提交了管理评审？

常见问题

我们没有正式的风险管理方法，会开不符合项吗？

不会。准则明确不要求运用正式的风险管理方法或形成文件的风险管理过程。评审看的是"是否识别了与结果有效性相关的风险，并采取了相适应的措施"。所以你可以用简单的清单＋措施表形式，但必须是真的做了。

风险和机遇要一起写吗？

建议一起。8.5 条的表述是"风险和机遇"，只写风险会漏掉一半。机遇这一栏现实中也很有用——扩项、上新设备、引入系统，本质上都是"机遇"，写进去正好和实验室的发展规划对上。

"现有控制"和"拟采取措施"有什么区别？

现有控制 = 已经在做的（比如设备到期自动提醒已经启用了）；拟采取措施 = 打算新增或强化的（比如计划把期间核查从年度改为半年度）。前者证明你有基础，后者说明你在改进——两栏都要有内容。

因个人认知所限，表述或有疏漏，欢迎同仁留言指正。

关注「AI 实验工场」，获取更多实验室数智化与 AI 提效工具。

文中用到的工具

▪ 实验室标准条款速查｜查条款原文、核版本号——问它「某文件第几条」，直接给原文

▪ 实验室数字化专家团｜条款转系统落地、合规 Gap 诊断、URS 与 CSV 验证

两个都在 WorkBuddy 市场上架，搜索名称即可打开。多问它几个带条款号的问题——你问得越多，它查得越准。

参考来源

• CNAS-CL01:2018《检测和校准实验室能力认可准则》第 8.5 条"应对风险和机遇的措施"（中国合格评定国家认可委员会）

• CNAS-CL01-G001:2024《检测和校准实验室能力认可准则的应用要求》第 8.5 条