ISO 9001和ISO 45001：相差31岁的"管理体系兄弟"

　　本文看点

　　ISO 9001出生于1987年，ISO 45001出生于2018年——差了整整31岁，说是"父子"都不过分

　　ISO 45001的"前任"OHSAS 18001其实不是ISO亲生的，是个"私生标准"

　　ISO给所有管理体系标准发了"统一校服"——10个章节一模一样，连术语都共用

　　老大哥ISO 9001教了小弟什么?小弟又反过来提醒了老大哥什么?

　　三体系整合(质量+环境+安全)为什么变成了"一套衣服三个人穿"?

　　01 先从一个"撞脸"现场说起

　　如果你同时翻开ISO 9001:2015和ISO 45001:2018，会发现一个令人震惊的事实——这两本标准的目录，几乎一模一样。第1章 范围，第2章 规范性引用文件，第3章 术语和定义，第4章 组织环境，第5章 领导作用，第6章 策划，第7章 支持，第8章 运行，第9章 绩效评价，第10章 改进。连章节编号都不带差的。不知道的还以为是同一本书换了个封面。这到底是谁抄了谁?还是说，ISO的标准编写人员偷懒了?都不是。这背后是一段横跨30多年的"管理体系家族恩怨"，有私生子、有认祖归宗、有统一校服，还有兄弟俩互相抄作业的温情故事。且听我慢慢道来。

　　02 老大哥ISO 9001：从英国"移民"到世界的"质量祖师爷"

　　故事要从1987年说起。那一年，ISO(国际标准化组织)发布了第一版ISO 9000系列标准。但这玩意儿并不是ISO从零开始搞出来的，它的"亲爹"其实是英国标准BS 5750。二战后，英国军方为了保证军火质量，搞了一套供应商质量保证体系。后来这套体系从军方传到了民用工业，1979年正式变成了英国国家标准BS 5750。到了80年代，全球化贸易开始起飞，各国企业互相做生意，但"你说你质量好，我说我质量好"，谁也不服谁。ISO一看，这不行啊，得搞个全球通用的质量标准。于是就把英国的BS 5750拿过来，改吧改吧，1987年正式发布了ISO 9000系列。所以ISO 9001的出身，说好听点是"国际标准"，说直白点就是"英国标准的全球化改编版"。1987版的ISO 9001有个特点——特别"啰嗦"。它规定了20个要素，每个要素都要求你写文件、做记录。那时候企业做ISO 9001认证，最头疼的不是质量问题，而是"文件不够厚"。审核员来了，先看你文件柜满不满，不满就给你开不符合项。1994年，ISO 9001第一次修订。但这次修订基本是"换汤不换药"，主要改了改措辞，结构没变，还是那20个要素。企业该写的文件一份没少。真正的转折发生在2000年。2000版ISO 9001做了一件"大逆不道"的事——它把用了13年的20要素结构给推翻了，换成了"过程方法"。什么意思呢?就是不再要求你"这个要素写个文件、那个要素做个记录"，而是要求你把企业当成一堆互相连接的过程来管理。同时，2000版还干了另一件大事——它把原来的ISO 9001、ISO 9002、ISO 9003三个标准合并成了一个ISO 9001。以前企业做认证还要纠结"我是9001还是9002"，2000年之后不用纠结了，就一个9001。2000版的改革力度太大，当时很多老审核员都不适应——"以前查文件多简单，现在让我查过程，过程怎么查?"但历史证明，2000版是ISO 9001历史上最成功的一次修订，它让质量管理从"写文件"真正变成了"管过程"。之后的2008版是小幅修订，主要是编辑性改动。然后就是2015版——这又是一次里程碑式的大修。2015版引入了几个新概念：组织环境、风险思维、领导作用、知识管理。更重要的是，2015版穿上了ISO新发的"统一校服"——高层结构(High Level Structure，简称HLS)。什么是高层结构?就是ISO规定，以后所有管理体系标准，都必须用同一套10章的框架结构，共用相同的术语和核心文本。这样做的目的是让不同管理体系标准可以整合实施，企业不用为质量、环境、安全各搞一套完全不同的管理体系。2015版ISO 9001是第一个穿上这套"统一校服"的管理体系标准。它可能没想到，三年后，一个比它小31岁的"小弟"，会穿着同款校服登场。

　　03 小弟ISO 45001的"私生子"岁月：OHSAS 18001的憋屈人生

　　说完了老大哥，该说说小弟了。但小弟ISO 45001不是2018年才出生的吗?在那之前，职业健康安全管理领域用的是什么标准?答案是：OHSAS 18001。OHSAS 18001的故事，说起来有点心酸。上世纪90年代，ISO 9001(质量)和ISO 14001(环境)都已经有了正式的ISO标准，唯独职业健康安全领域，ISO迟迟不出手。为什么?因为职业健康安全这个话题太敏感了。各国的劳工法、安全法规差异巨大，发达国家和发展中国家的诉求完全不同，ISO内部吵了很多年也吵不出个结果。但企业等不及啊。质量搞了认证，环境搞了认证，安全不搞说不过去。于是1999年，英国标准协会(BSI)联合了挪威、德国等十几个国家的标准化机构，自己搞了一套职业健康安全管理体系标准——OHSAS 18001。注意，OHSAS 18001不是ISO标准。它是一个"私有标准"，由BSI等机构联合制定和维护。用现在的话说，它是个"私生子"——虽然在行业里被广泛认可，但没有ISO的"正式户口"。但没办法，ISO不出标准，企业只能先用OHSAS 18001。这一用，就是将近20年。到2018年，全球有超过127个国家、9万多家组织获得了OHSAS 18001认证。这个"私生子"硬是靠自己的努力，混成了职业健康安全管理领域的"事实标准"。但OHSAS 18001有个天生的缺陷——它的结构和ISO 9001、ISO 14001不一样。OHSAS 18001用的是老版的"要素结构"，而ISO 9001:2015和ISO 14001:2015已经换上了"高层结构"的新校服。企业如果同时做质量、环境、安全三个体系，就得同时适应两套完全不同的结构，苦不堪言。更关键的是，OHSAS 18001毕竟不是ISO标准，在国际贸易中的"含金量"始终差那么一点。很多跨国公司在供应商审核时，更认可ISO标准而不是OHSAS标准。于是，"私生子认祖归宗"的呼声越来越高。2013年，ISO终于坐不住了，成立了ISO/PC 283技术委员会，正式开始制定职业健康安全管理体系的国际标准。来自70多个国家的专家参与了制定过程，融合了OHSAS 18001、ILO-OSH 2001等标准的最佳实践。经过5年的制定，2018年3月12日，ISO 45001:2018正式发布。OHSAS 18001这个"私生子"，终于被ISO正式收养，有了自己的ISO编号——45001。ISO给了3年的过渡期，到2021年3月，OHSAS 18001正式废止，所有认证企业必须转换到ISO 45001。从1999年OHSAS 18001发布，到2018年ISO 45001发布，再到2021年OHSAS 18001废止，这个"私生子"用了22年时间，终于完成了"认祖归宗"的全过程。

　　04 "统一校服"背后的秘密：高层结构到底是什么?

　　前面反复提到"高层结构"(HLS)，这玩意儿到底是什么?为什么ISO要给所有管理体系标准发"统一校服"?简单说，高层结构就是ISO给所有管理体系标准规定的一套"通用模板"。不管你是质量、环境、安全、能源、信息安全还是反贿赂，只要是ISO的管理体系标准，就必须用同一套10章的框架结构，共用相同的术语和核心文本。这10章是：

　　1. 范围

　　2. 规范性引用文件

　　3. 术语和定义

　　4. 组织环境

　　5. 领导作用

　　6. 策划

　　7. 支持

　　8. 运行

　　9. 绩效评价

　　10. 改进

　　为什么要这么搞?因为在高层结构出现之前，ISO的各个管理体系标准各自为政，结构不同、术语不同、要求不同。企业如果同时做ISO 9001(质量)、ISO 14001(环境)、OHSAS 18001(安全)，就得搞三套完全不同的管理体系，文件写三遍、内审做三遍、管理评审开三遍，劳民伤财。高层结构的出现，就是为了解决这个问题。所有管理体系标准用同一套框架，企业就可以把质量、环境、安全整合成一个"一体化管理体系"(Integrated Management System，简称IMS)，一套文件、一次内审、一次管理评审，同时满足多个标准的要求。ISO 9001:2015是第一个穿上这套"统一校服"的标准。ISO 14001:2015紧随其后。ISO 45001:2018作为"小弟"，一出生就穿上了同款校服，连试穿的机会都没给。所以你现在翻开ISO 9001、ISO 14001、ISO 45001，会发现它们的目录几乎一模一样。这不是偷懒，这是ISO的"刻意设计"——为了让企业可以方便地整合多个管理体系。当然，"统一校服"只是框架统一，每个标准的"内涵"还是不一样的。ISO 9001关注的是"顾客满意"和"产品质量"，ISO 14001关注的是"环境影响"和"合规义务"，ISO 45001关注的是"员工安全"和"职业健康"。框架相同，但关注的对象和具体要求各有侧重。打个比方：三个人穿同款校服，但一个是学霸(质量)、一个是环保志愿者(环境)、一个是安全委员(安全)，穿着一样，但干的事儿不一样。

　　05 兄弟俩的"相互抄作业"：谁借鉴了谁?

　　现在回答开头的问题：ISO 9001和ISO 45001，到底谁抄了谁的作业?答案是：互相抄，但抄的内容不一样。ISO 45001从ISO 9001那里"抄"来的：第一，过程方法。ISO 9001在2000年就引入了过程方法，要求把企业当成一堆互相连接的过程来管理。ISO 45001直接继承了这个方法，要求企业用过程方法来管理职业健康安全。第二，PDCA循环。策划(Plan)→实施(Do)→检查(Check)→改进(Act)，这个经典的管理循环最早是质量管理领域的"传家宝"，现在被所有管理体系标准共用，包括ISO 45001。第三，风险思维。ISO 9001:2015正式把"基于风险的思维"写入标准，要求企业在做任何决策时都要考虑风险和机遇。ISO 45001作为安全管理标准，对风险的关注更是"变本加厉"——它不仅要求识别风险，还要求"消除危险源"而不仅仅是"管理风险"。第四，领导作用。ISO 9001:2015把"领导作用"单独列为一章，强调最高管理者的参与和承诺。ISO 45001同样强调领导作用，甚至要求最高管理者"确保职业健康安全管理体系融入组织的业务过程"——说白了就是，安全不能是安全部门一个部门的事儿，老板得亲自抓。ISO 45001自己的"原创"(或者说，比ISO 9001走得更远的地方)：第一，员工参与和协商。ISO 45001特别强调"worker participation and consultation"(员工参与和协商)，要求企业确保非管理岗位的员工参与到安全管理体系的策划、实施、评价和改进中来。这一点是ISO 9001没有的——质量管理更多是管理层和技术人员的事儿，而安全管理必须让一线员工深度参与，因为最了解现场风险的就是一线员工。第二，"消除危险源"优先于"管理风险"。ISO 9001讲风险，通常是"识别风险→评价风险→控制风险"。ISO 45001更进一步，它要求企业按照"消除→替代→工程控制→标识/管理控制→个人防护用品"的层级来控制风险，能消除的就消除，消除不了的再替代，替代不了的再工程控制，最后才是靠PPE(个人防护用品)。这个"控制层级"的理念是职业健康安全领域独有的，比质量管理的风险控制更激进。第三，对"工作人员"和"其他相关方"的区分。ISO 45001特别关注"在组织控制下工作的人员"，包括员工、承包商、临时工、实习生等，只要是在你的厂区里干活的人，你的安全管理体系都得覆盖到。ISO 9001虽然也讲相关方，但更多关注顾客和供应商，对"在组织控制下工作的人员"没有这么强的覆盖要求。所以，与其说谁抄了谁，不如说ISO 45001是"站在巨人的肩膀上"——它继承了ISO 9001花了30多年摸索出来的管理体系框架和方法论，同时在职业健康安全的特定领域做了深化和创新。老大哥ISO 9001教了小弟"怎么建管理体系"，小弟ISO 45001则提醒老大哥"别忘了让一线员工参与"和"能消除的风险就别只靠管理"。

　　06 后续发展：三体系整合和"新一代"标准

　　ISO 45001发布后，管理体系领域的"三兄弟"终于凑齐了：

　　ISO 9001(质量管理)——1987年生，2015版现行

　　ISO 14001(环境管理)——1996年生，2015版现行，2026年4月刚发布新版

　　ISO 45001(职业健康安全管理)——2018年生，2018版现行，2024年发布了气候行动修订单

　　三个标准都穿着同款"高层结构"校服，企业可以把它们整合成一个一体化管理体系(IMS)，一套文件、一次内审、一次管理评审，同时满足三个标准的要求。这对企业来说是个好消息——以前做三体系认证，得准备三套文件、应付三次审核，现在整合之后，工作量大大减少。当然，整合说起来容易做起来难，很多企业的"三体系整合"最后变成了"三套文件装订在一起"，并没有真正整合。未来的趋势是什么?第一，ISO 9001的新版预计在2026年9月发布。这是继2015版之后的又一次重大修订，预计会进一步强化风险思维、数字化转型、可持续发展等内容。第二，ISO 14001:2026已经在2026年4月15日正式发布，替代了2015版。新版增加了气候行动、生物多样性保护等新要求。第三，ISO 45001在2024年发布了Amd 1:2024修订单，增加了气候行动相关内容——气候变化不仅影响环境，也影响员工的安全和健康(比如高温作业、极端天气)。第四，管理体系的"整合化"和"数字化"是大趋势。越来越多的企业不再单独做质量、环境、安全体系，而是搞一体化管理体系;同时，数字化工具(如EHS管理软件、AI风险识别)正在改变管理体系的运行方式。

　　07 写在最后：标准不是目的，人才是

　　讲了这么多ISO 9001和ISO 45001的"家族恩怨"，最后说句实在话。ISO 9001花了30多年，从"写文件的标准"变成了"管过程的标准"，又变成了"基于风险的管理标准"。ISO 45001虽然年轻，但它站在老大哥的肩膀上，一出生就有了成熟的框架和方法论，同时在员工参与、风险消除等方面走得更远。但不管标准怎么变，有一点是不变的：标准不是目的，人才是。ISO 9001的最终目的不是让企业拿到一张认证证书，而是让企业真正把质量管好，让顾客满意。ISO 45001的最终目的也不是让企业通过审核，而是让每一个员工平平安安上班、健健康康回家。如果企业做ISO认证只是为了"拿证"，文件写得天花乱坠，现场一塌糊涂，那不管是ISO 9001还是ISO 45001，都救不了你。反过来，如果企业真正把标准的理念融入日常管理，把过程方法用起来，把风险思维落到实处，让一线员工真正参与到安全管理中来——那有没有证书，其实都不重要了。毕竟，标准是为人服务的，不是人为标准服务的。