按照风险管理理论，任何类型或规模的组织都面临风险，组织的所有活动也都涉及风险。新版ISO17025的发布，将风险管理引入到实验室，实验室越来越意识到风险的存在，越来越重视风险管理，虽然没有要求采取正规的风险管理方法，但自身应该有一个相对规范的风险管理过程。
（1）确定检验检测行业的主要风险。在《风险管理 原则与实施指南》（GB/T 24353－2009）中，解释组织的风险，有4种风险，法律风险、质量责任风险、安全风险、环境风险。
检验检测行业具有管理和技术都是标准化的特点，风险分析应有自身的角度和重点。结合实验室管理运行的实际，应重点关注两类风险：
一类是合规运行风险，法律风险，对于检验检测机构来说，就是合规运行风险，主要来自于监管部门，监管部门监管力度越来越大，实现了常态化监管；监管的专业化水平越来越高，能够发现管理运行中的深层次问题；现已出台《检验检测机构监督管理办法》，违规运行将会面临撤销资质、停业整顿、限期改正、罚款，甚至会面临法律后果。
一类是结果有效性风险，质量责任风险，对于检验检测机构来说，就是结果有效性风险。管理体系建立和运行，都是围绕结果有效性展开的。这个风险来自于客户及使用结果的相关方，我们是出具具有证明作用的数据结果的，报告一旦发出就会产生一定的后果，会出现虚假报告、编造数据和数据不实等风险。
这两类风险最能体现出检验检测行业的市场特点、技术特点，明确了检验检测内部的两类风险，风险管理要实现的目标就是确保“合规运行、结果有效”，可以进一步确定可以接受的风险程度，比如合规运行的风险，不能出现虚假报告和不实报告；结果有效性风险，不能出现数据结果质量问题。这就使我们对风险管理的目标、准则有了较为清晰的认识。
（2）应做好风险评估。包括风险识别、风险分析和风险评价，形成风险评估报告。
1）风险识别，应关注会有什么问题发生。对于实验室来说，每项检验检测活动都会涉及风险，风险贯穿了实验室活动的全过程。基于这一逻辑，检验检测活动是标准化、流程化的、程序化的，对工作流程中各个关键点进行风险识别，就可以识别出风险源，形成一个风险列表，也就是“风险源清单”，称之为“检测流程分析法”。识别每一流程的风险，关键在于参与人员的技术能力、操作熟练程度、对相关规定熟悉程度、工作经验等。当然，也可以按要素（人、机、料、法、环、测）进行识别，实验室可自行规定风险识别的方法。
实验室应对内部应对风险的环境心中有数，同样是风险因素，对不同的机构和人员来说，风险发生的可能性和影响可能是完全不同的。对一个机构是风险，对另一个机构可能不是风险，这与内部应对风险的意识和能力有关。
2）风险分析，风险分析应考虑导致风险的原因，风险发生的可能性和影响程度，进行定性或定量分析，发生的可能性有多大，影响程度有多大。
考虑到检验检测行业管理和技术特点，管理体系本身就具有降低风险的功能，采用定性分析也可以达到风险分析的效果。比如，对发生的可能性分为：很可能、有可能、可能性小、一般不可能；对影响程度分为：较大、中度、较小、很小。
风险分析的目的是为后续的评价和应对措施提供依据。所以，分析的越准确，后续措施越有针对性，应对成本会降低，风险管理的有效性就会越高。
3）风险评价，可以说检验检测活动中的风险是不可避免的，消除所有的风险是不现实的。风险评价，就是要回答：哪些风险是可以接受的？哪些风险是需要处理的？采取什么应对措施？
评价结果可分为“合理”“可接受”“不容许”三种情况，可采取相应的措施：“关注”“过程控制”“采取应对措施”等，实验室应根据实际确定。
对于检验检测机构要不要专门的风险评估报告？还是基于检验检测行业的技术特点，没有必要专门编写风险评估报告，但可将其中的部分内容纳入到应对风险和机遇措施报告，作为管理评审的输入。
（3）应做好风险应对。应实施应对风险的措施，在风险评估的基础上，识别出了风险点，确定了导致风险的诱因、可能性及后果，明确了需要采取的应对措施，应对措施应包括具体的业务和管理活动、责任人及执行时间。然后，就应组织实施相关措施。应对风险可以选择一种或多种措施，应整合运用各种措施，以改变风险发生的可能性和后果。
应对风险方式包括：规避风险：不参与或退出可能导致风险活动；客户要求的偏离影响诚信或者影响结果有效性，不能接受，可以不参与相关活动。承担风险：对某个项目进行分析，有风险，但风险可控，宁愿承担这些风险，也要抓住这个机遇。消除风险：消除风险源。改变风险：改变发生风险的可能性或者后果。转移风险：做出免责声明，应合理制定免责条款。分担风险：与客户分担风险。保留风险：通过对信息进行充分分析，认为风险可控，会保留风险，寻求机遇。
（4）应做好效果评价：实施应对措施并对效果进行评价，采取措施是否改变了风险发生的可能性和后果，是否消除或降低了风险？是否存在剩余风险？应明确评价责任部门和人员，可利用内部审核之机进行评价。
实施风险应对措施会引起风险的改变，应识别会不会出现新的风险，当识别出新的风险，应再次进行分析和应对，适当时实施改进，使风险管理水平在原有基础上得到提升。
（5）记录，应做好风险管理过程的全部记录，确保风险活动的可追溯性。
风险管理旨在保证机构恰当地应对风险，提高风险应对的效率，增强应对措施的合理性，有效配置资源，确保风险管理实现其预期结果 。
