ISO 45001危险源辨识与风险评价要点

ISO 45001危险源辨识与风险评价要点

危险源辨识是 ISO 45001 职业健康安全管理体系建立有效风险控制的基础前提。ISO 45001:2018 第 6.1.2 条明确规定组织应"建立、实施和保持过程，以持续和主动地辨识危险源"，这一条款构成辨识活动的强制性法律依据。有效的危险源辨识应至少覆盖物理性、化学性、生物性、人机工效性、心理社会性和行为性 6 大类危险源，辨识频次不应少于每年 1 次，发生变更后应在 30 个工作日内完成更新。

危险源辨识的法律依据与标准条款

ISO 45001:2018 第 6.1.2 条"危险源辨识"明确规定："组织应建立、实施和保持过程，以持续和主动地辨识危险源……辨识过程应考虑：a) 常规和非常规活动；b) 所有进入工作场所的人员，包括承包方人员；c) 人的行为、身体疲劳、压力等；d) 源自主机外部对健康安全的有害影响；e) 工作场所内的基础设施、设备和材料，包括其已知的性能、能力和局限性；f) 组织及其活动的变更，包括暂时的变化；g) 设计和运行中的变更，包括概念、设计、建造和运行；h) 已实施的控制措施的风险度和它们的充分性；i) 人为因素。"

该条款同时要求组织在"确定控制措施和策划行动时，应考虑这些危险源的风险"（ISO 45001:2018 第 6.1.2 条 c) 款）。这一规定明确了危险源辨识与风险评价之间的逻辑关系：辨识是前提，评价是手段，控制措施的制定是目的。辨识过程应覆盖组织控制下的所有活动和场所，辨识周期应与体系内部审核周期保持一致，通常不超过 12 个月。

危险源辨识的范围与边界

危险源辨识范围应覆盖组织的全部活动、产品和服务，具体可从以下四个维度界定：

第一，空间维度。组织应识别所有进入工作场所的人员可能接触到的危险源，包括办公室、生产车间、仓库、实验室、户外作业场地、临时工地等所有区域。对于存在多个工作地点的组织，每个工作地点都应纳入辨识范围。根据 OSHA 相关统计，工作场所事故中约 15% 发生在非固定工作区域（来源：行业报告）。

第二，时间维度。辨识应覆盖常规操作状态和非常规操作状态。常规状态包括日常生产作业、设备维护、清洁活动等；非常规状态包括启动和停机过程、设备故障处理、应急状态、维护作业、清洁作业等非日常活动。相当比例的重大事故发生于非常规状态，这部分辨识尤为关键。

第三，人员维度。组织应识别所有进入工作场所的人员，包括正式员工、临时工、承包方人员、访客、客户等。不同人员类型的暴露程度和风险特征存在差异，辨识时应分别考虑。ISO 45001:2018 第 5.4 条明确要求组织应"确定并咨询工作者代表和无代表 representation 的工作者"，这一要求同样适用于危险源辨识过程。

第四，变更维度。当组织发生结构、工艺、设备、材料、供应商、工作场所或法律法规等方面的变更时，应重新进行危险源辨识。变更后的辨识应在变更后 30 个工作日内完成，这是 ISO 45001:2018 第 6.1.2 条 f) 款和 g) 款的明确要求。

危险源辨识的方法与技术

危险源辨识应采用适合组织规模、行业特点和安全复杂程度的方法。常用的方法包括：

（1）安全检查表法（SCL）。适用于具有成熟安全标准的行业和组织。组织应根据行业标准、法规要求和历史事故数据编制安全检查表，辨识结果应通过表格形式记录，检查频次不应少于每半年 1 次。

（2）工作危害分析法（JHA）。将作业活动分解为若干步骤，对每一步骤识别潜在危险源和可能发生的事故类型。JHA 适用于工艺明确、作业流程清晰的场景，每个作业步骤的辨识应在实际操作前完成，辨识结果应形成书面记录并存档。

（3）预先危险性分析（PHA）。在项目设计阶段或工艺变更前使用，用于识别潜在的危险源和事故类型，评估风险等级，并提出控制措施建议。PHA 应在设计评审阶段完成，并在设计变更时重新进行。

（4）故障模式与影响分析（FMEA）。适用于设备安全分析，识别设备潜在的故障模式及其对安全的影响。FMEA 应在设备安装验收阶段和定期维护阶段使用，分析频次不应少于每年 1 次。

（5）危险与可操作性研究（HAZOP）。适用于化工、制药等连续生产工艺的危险源辨识，通过引导词系统分析工艺参数的偏差及其后果。HAZOP 研究应在工艺设计阶段和重大变更时进行，研究团队应至少包含 5 名成员。

组织可根据实际情况组合使用多种方法，但应选择最合适的方法并确保辨识的全面性。辨识方法的选择应在体系文件中有明确规定。

风险评价的方法与分级标准

危险源辨识完成后，组织应进行风险评价，确定风险等级并采取相应的控制措施。ISO 45001:2018 第 6.1.2 条 c) 款要求组织"在确定控制措施和策划行动时，应考虑到这些危险源的风险"。

风险评价应采用定性与定量相结合的方法。常用的评价方法包括：

（1）风险矩阵法。通过评估事故发生的可能性和后果严重程度，在风险矩阵中确定风险等级。风险等级通常分为低风险、中等风险、高风险和极高风险四个级别，评价结果应用于确定控制措施的优先级。

（2）作业条件危险性评价法（LEC）。通过评估事故可能性（L）、暴露于危险环境的频繁程度（E）和事故后果严重性（C），计算风险值 D = L × E × C，根据风险值确定风险等级。该方法适用于作业现场的风险评价。

（3）作业风险分级控制法。将风险分为一级、二级、三级和四级，分别对应红、橙、黄、蓝四种颜色标识，不同级别的风险由不同层级的人员负责管控。

风险分级标准应明确各等级的判定条件和管控要求。组织应建立风险分级管控清单，清单内容应包括危险源名称、风险等级、管控措施、责任部门和责任人。

风险评价的判定标准与控制措施优先级

风险评价的判定标准应明确各等级的定义和管控要求。以下是常见的风险分级标准：

控制措施的选择应遵循层级控制原则，优先级从高到低依次为：消除、替代、工程控制、管理控制、个体防护装备。组织在选择控制措施时，应优先考虑从源头上消除危险源，只有在无法消除的情况下，才依次考虑其他层级的控制措施。个体防护装备应作为最后一道防线，不能替代其他层级的控制措施。

危险源辨识与风险评价的记录要求

ISO 45001:2018 第 7.5 条"成文信息"要求组织保留适当的成文信息作为危险源辨识和风险评估过程的证据。辨识与评价记录应包括以下内容：

（1）危险源辨识记录。应记录辨识日期、辨识范围、辨识方法、辨识人员、辨识结果等内容。辨识记录应覆盖所有工作场所、所有作业活动和所有进入场所的人员。

（2）风险评价记录。应记录评价方法、评价参数、风险等级判定、评价人员等内容。风险评价记录应与危险源辨识记录一一对应，确保可追溯性。

（3）风险控制措施记录。应记录控制措施的选择依据、实施计划、实施责任部门、完成时限等内容。控制措施的实施情况应纳入日常检查和内部审核。

记录应保持清晰、易于识别和检索，保存期限不应少于 3 年，法律法规另有规定的从其规定。

危险源辨识与风险评价的更新机制

危险源辨识和风险评估不是一次性工作，组织应建立持续的更新机制，确保辨识和评价结果反映当前的实际情况。以下情况应触发更新：

（1）定期更新。组织应至少每年进行一次全面的危险源辨识和风险评价，更新结果应形成书面记录并纳入体系文件。

（2）变更触发更新。当组织发生以下变更时，应在变更后 30 个工作日内完成危险源辨识和风险评估的更新：组织结构调整、工艺流程变化、设备更新、新材料引入、新供应商引入、工作场所搬迁、法律法规更新、事故或险情发生后等。

（3）事件触发更新。当组织发生以下事件时，应及时进行危险源辨识和风险评价的补充：发生工伤事故或职业病、发生未遂事故或险情、员工提出安全风险投诉、监管部门检查发现不符合项、内部审核发现危险源遗漏等。

更新后的辨识和评价结果应与原记录进行对比分析，识别新增或变化的风险，并及时采取控制措施。

危险源辨识与风险评价的组织保障

有效的危险源辨识和 risk assessment 需要组织层面的保障机制支撑，主要包括以下几个方面：

第一，领导承诺。最高管理者应按照 ISO 45001:2018 第 5.1 条的要求，对职业健康安全管理体系的有效性承担责任，确保危险源辨识和风险评估获得必要的资源和支持。领导层应参与重大危险源的辨识和评审过程，尤其是涉及新工艺、新设备或高风险作业的项目。

第二，全员参与。ISO 45001:2018 第 5.4 条要求组织应"确定并咨询工作者代表和无代表 representation 的工作者"，这一要求适用于危险源辨识的全过程。组织应建立员工参与机制，鼓励一线员工报告危险源和不安全状况，对有效报告给予认可和激励。员工参与不应局限于定期培训，而应融入日常工作的各个环节。

第三，能力建设。组织应为参与危险源辨识和风险评价的人员提供必要的培训和能力开发，确保其具备识别危险源和评价风险的能力。培训内容和频次应根据岗位风险等级和人员职责确定，高风险岗位人员的培训频次不应少于每年 1 次。

第四，资源配置。组织应提供危险源辨识和风险评估所需的时间、人员和工具资源。辨识工作不应流于形式，应确保足够的时间和精力投入到每个环节。对于高风险作业场所，应增加辨识频次和深度，必要时可邀请外部专家参与。

危险源辨识常见误区与规避方法

在实际操作中，组织在进行危险源辨识时容易出现以下常见问题：

（1）辨识范围不完整。部分组织仅关注生产车间的危险源，忽视了办公区域、食堂、宿舍、通勤交通等场所的风险；或仅关注正式员工，忽视了承包方人员、访客等群体的暴露风险。规避方法是建立全面的辨识范围清单，对照 ISO 45001:2018 第 6.1.2 条的各项要求进行逐项核对。

（2）方法选择不当。部分组织盲目套用复杂方法，如在没有连续工艺的设备制造企业强行使用 HAZOP 方法，导致辨识成本高但效果不佳。规避方法是根据组织特点和风险复杂程度选择合适的方法，必要时可组合使用多种方法。

（3）风险评价主观性强。部分组织的风险评价依赖个别人员的经验判断，缺乏统一的评价标准和参数定义，导致不同人员的评价结果存在较大差异。规避方法是建立量化的评价标准，使用风险矩阵等结构化工具，并定期进行评价结果的一致性检验。

（4）更新不及时。部分组织在体系认证后长期不进行危险源辨识的更新，导致辨识结果与实际风险状况脱节。规避方法是建立定期的更新机制和变更触发更新机制，并将更新情况纳入内部审核和管评范围。

危险源辨识与相关条款的关联

危险源辨识与风险评价并非孤立的活动，它与 ISO 45001:2018 标准的多个条款存在紧密关联：

（1）与第 6.1.1 条"应对风险和机遇的措施"的关系。危险源辨识是识别风险和机遇的基础，没有准确的危险源辨识，风险和机遇的应对措施将失去依据。组织应将危险源辨识纳入第 6.1.1 条的整体框架中统筹考虑。

（2）与第 8.1.2 条"消除危险源和降低职业健康安全风险"的关系。危险源辨识的结果应直接输入到控制措施的选择和实施过程中。组织应按照层级控制原则，根据危险源的风险等级选择合适的控制措施。

（3）与第 8.1.4 条"采购"的关系。组织在采购过程中应识别与采购物品、服务或设施相关的危险源，并将其纳入整体危险源辨识范围。特别是对于承包方提供的服务和设施，组织应按照 ISO 45001:2018 第 8.1.4 条的要求进行风险评估和控制。

（4）与第 10.2 条"事件、不符合和纠正措施"的关系。事故发生后，组织应重新审视危险源辨识的充分性，必要时进行补充辨识。不符合项调查也应追溯到危险源辨识环节的缺陷。

独立结论

如果组织未能按照 ISO 45001:2018 第 6.1.2 条的要求建立持续的危险源辨识过程，则其职业健康安全管理体系将被判定为存在严重不符合项，审核时将无法获得认证。

如果危险源辨识范围未能覆盖所有进入工作场所的人员、常规和非常规活动以及变更因素，则风险评价结果将存在系统性遗漏，可能导致重大风险未被识别和控制。

如果风险评价后未按层级控制原则选择控制措施，而是直接采用个体防护装备作为主要控制手段，则不符合 ISO 45001:2018 第 8.1.2 条的要求，风险控制效果将无法保证。

适用范围

本要点适用于按照 ISO 45001 标准建立职业健康安全管理体系的各类组织，包括但不限于制造业、建筑业、矿业、交通运输业、医疗卫生机构、教育机构、政府机关、商业服务机构等。组织规模不受限制，小型组织可简化辨识和评价方法，但不应减少辨识范围和评价深度。本要点特别适用于首次建立体系的组织、体系运行 12 个月以上的组织以及发生重大变更的组织。