通过领导层的审核，确定在策划QMS时，是否基于风险的思维通过查、问谈获取组织已经识别了哪些风险因素的信息、包括哪些外部因素与内部因素。重点关注QMS所有与过程相关风险和机遇，通过查阅或查问获取有关风险评价准则的信息（如有可能调阅并抽查这些内容）。查问查阅、因对所识别的风险和 机遇的措施；获取整合并实施这些措施的证据，以及对其有效性进行评价的证据，如有可能调阅和抽查这些保留形成文件的证据。
按新版标准要求的理解，风险管理过程包括：风险识别、风险分析、风险评价、风险处理，也就是按照PDCA循环，来识别解决风险，利用机遇所需要开展的全部活动，并对这些活动进行控管。
