หนึ่งในความเข้าใจผิดที่พบบ่อยที่สุดในหมู่องค์กรที่เพิ่งเริ่มนำ ISO 9001 มาใช้ คือการมองว่าการคิดเชิงความเสี่ยง (Risk-Based Thinking) เป็นเพียงข้อกำหนดข้อ 6.1 เพียงข้อเดียว ทั้งที่ในความเป็นจริงแล้ว หลักการนี้แทรกซึมอยู่ในทุกหมวดของมาตรฐาน ตั้งแต่บริบทองค์กร ความเป็นผู้นำ การวางแผน การสนับสนุน การปฏิบัติการ การประเมินผลการดำเนินงาน ไปจนถึงการปรับปรุง
ความเสี่ยงและโอกาสในบริบทของ ISO 9001
มาตรฐานกำหนดให้องค์กรต้องพิจารณาทั้ง "ความเสี่ยง" ซึ่งหมายถึงผลกระทบด้านลบที่อาจเกิดขึ้นต่อความสามารถในการส่งมอบผลลัพธ์ตามที่ตั้งใจ และ "โอกาส" ซึ่งหมายถึงสถานการณ์ที่อาจนำไปสู่ผลลัพธ์เชิงบวก ทั้งสองด้านนี้ต้องได้รับการพิจารณาควบคู่กันเสมอ ไม่ใช่มองเพียงด้านลบเพียงอย่างเดียวตามที่หลายองค์กรเข้าใจผิด
ขั้นตอนการประยุกต์ใช้อย่างเป็นระบบ
องค์กรควรเริ่มต้นจากการวิเคราะห์บริบทองค์กรตามข้อ 4.1 เพื่อระบุประเด็นภายในและภายนอกที่เกี่ยวข้อง จากนั้นจึงระบุความต้องการของผู้มีส่วนได้ส่วนเสียตามข้อ 4.2 ก่อนจะนำข้อมูลทั้งสองส่วนมาประเมินความเสี่ยงและโอกาสที่มีนัยสำคัญต่อความสอดคล้องของผลิตภัณฑ์หรือบริการ และความพึงพอใจของลูกค้า สิ่งสำคัญคือมาตรฐานไม่ได้บังคับให้ต้องใช้วิธีการบริหารความเสี่ยงอย่างเป็นทางการตามมาตรฐาน ISO 31000 แต่เปิดกว้างให้องค์กรเลือกวิธีที่เหมาะสมกับขนาดและความซับซ้อนของตนเอง
ข้อควรระวังในการนำไปปฏิบัติ
ข้อผิดพลาดที่พบบ่อยคือการจัดทำทะเบียนความเสี่ยง (Risk Register) เป็นเอกสารแยกต่างหากที่ไม่เชื่อมโยงกับกระบวนการดำเนินงานจริง ทำให้กลายเป็นเพียงเอกสารสำหรับรองรับการตรวจประเมินเท่านั้น แนวปฏิบัติที่ดีคือการบูรณาการการพิจารณาความเสี่ยงเข้าไปในการประชุมทบทวนกระบวนการตามปกติ เพื่อให้การคิดเชิงความเสี่ยงกลายเป็นส่วนหนึ่งของวัฒนธรรมการตัดสินใจขององค์กรอย่างแท้จริง