由於風險管理是壹個專業性很強的管理方法，通常要求風險管理人員具有壹定的OE（OperationExcellence）背景知識，並且能夠正確使用風險分析工具。
針對風險管理工具的使用，筆者從國家食品藥品監督管理局培訓中心培訓師張秋處了解到壹些相關情況。據其介紹，在傳統質量管理中，質量風險的評估和管理常采用非正式的方法，即更多依靠風險分析人員的經驗和知識來評估風險的大小。隨著壹些統計分析工具和新方法的開發，以及在制藥工業領域的使用，風險評估中公認的風險管理工具涵蓋了流程圖；過程圖；檢查表；失敗模式和影響分析（失敗模式、影響及危害性分析）；故障樹型圖分析；危害分析和關鍵控制點；基礎危害分析；輔助統計工具；因果關系圖等多個方面。
根據國外經驗，風險管理流程通常可分為三個部分——風險評估、風險控制和風險回顧。而在不同的過程中，將通過使用不同的分析工具評估、控制和回顧風險，從而達到控制風險的目的。
第壹步：尋找潛在風險
風險評估是風險管理的第壹步。主要是對潛在危害源的識別和對接觸這些危害源造成的風險的分析與評估。包括風險確認、風險分析和風險評價三個部分。
1.風險確認首先，應關註的首要問題是：某個產品或工藝中將出現的問題是什麽？這是進行質量風險管理的基礎——即首先系統地利用各種信息和經驗，確認工藝、設備、系統、操作等過程中存在的風險，指出將出現的危害在哪裏。
其次，確定研究的過程、產品、問題區域、系統或者研究的對象。
再次，識別潛在的風險源。如審計、法規檢查、驗證過程、定期產品回顧、變更控制、供應商/承包商變更、設施設計和參數、技術轉移、改正和預防行動、投訴、產品質量風險評估以及其他風險評估。
接下來，才是使用風險識別的工具，包括腦力激蕩、FMEA、SWOT分析、Kaizen、實地調查（GEMBA）、魚骨圖分析、流程圖、險兆事故、內外部審計、經驗、歷史數據或回顧等，列出所有可能失敗的因素，並列出所有發生錯誤的可能。例如設備停機、故障等，可以使用魚骨圖等工具分析；對於生產工藝，可使用生產流程圖進行分析。
2.風險分析風險分析需要關註的是：問題發生的可能性有多大？問題發生的後果有多嚴重？問題發生的可識別性有多大？對已經確認的風險及其危害進行分析，壹旦識別和列出可能的失敗，就必須逐壹評估。包括問題的嚴重性；發生的可能性；發生的可識別性、可檢測性等。
要對問題的嚴重性進行評估時，可對所有問題分類，對每類問題制定1~5分的打分標準，分數越高問題越嚴重。再對發生的可識別性、可預測性進行評估，例如將發生的可識別性、可預測性分成五個級別，對應1~5分，分數越高說明越難識別。
在整個風險評估過程中，風險分析是最重要的環節，需要相當有經驗的技術人員以及質量相關人員***同完成。此外，還要確保所有相關部門都參與評估，所有參與風險分析的人員必須理解風險的評估過程。
3.風險評價風險評價是指根據預先確定的風險標準，對已經確認並分析的風險進行評價。即：先通過評價風險的嚴重性和可能性，從而確認風險的等級。在風險等級劃分中，可以采用定性描述，比如“高”、“中”或“低”；或采用定量描述，比如具體的數值，數值越高說明風險越大。
第二步：實現風險可控
在質量風險管理中，風險控制的目的在於將風險降低到可以接受的水平，風險控制重點反映在以下幾個方面：采取什麽樣的措施降低、控制或消除風險？在控制已經確認的風險時會否產生新的風險？利益、風險和資源之間的平衡點是什麽？風險是否在可以承受的範圍？
根據壹些外企的經驗，風險控制的實施壹般包括風險降低和風險接受兩個部分。
1.風險降低所謂風險降低，是針對風險評估中確定的風險，當其質量風險超過可接受水平時，所應采取的降低風險的措施。包括降低風險的嚴重性和可能性，或者提高發現質量風險的能力。
在實施風險降低措施過程中，有可能將新的風險引入系統，或增加了其他風險發生的可能。因此，應當在措施實施後重新進行風險評估，以確認和評價風險是否發生新變化。
至少可以采取四項措施降低風險。壹是消除風險發生的根本原因；二是將風險結果最小化；三是減少風險發生的可能性；四是風險轉移或分擔。
也可以使用根本原因分析工具來減少風險的可能性。根本原因分析工具包括“5個為什麽”分析、魚骨圖分析等。
對於所有已經確定風險消減行動計劃的執行，必須按照糾正預防行動管理的方法進行。即為每個行動設定明確的行動方案、負責人、完成日期、完成情況，有專人定期跟蹤行動完成情況，以確保所有的風險消減行動計劃高品質地完成。
如果預定的風險消減行動計劃需要延期，要經過正式批準，並對延期的風險進行評估，以評估延期對風險是否有影響，會否增加風險的危害性或者發生的可能性等。
2.風險接受降低風險之後，還要對能否把風險降低到可以接受的範圍內進行確認。而所謂風險接受，是指在實施了降低風險的措施之後，對殘余風險接受的決定。
對於某些類型的風險，即使最好的質量風險管理手段也不能完全消除，因此，在綜合考慮各方面因素後，要做出是否接受風險的決定。
在此前提下，我們可以認為已采取了最佳的質量風險管理策略，並且質量風險已經降低到可以接受的水平，不必再采取更嚴格的整改措施。
第三步：在回顧中總結
在整個風險管理流程的最後階段，應審核風險管理結果。風險管理是持續性的質量管理過程，應建立定期回顧檢查機制，回顧頻率則基於相應的風險水平確定。
通常情況下，如果某風險能夠滿足以下8個條件，則可以認為風險已被正確管理：正確的描述風險；識別根本原因；有具體的消減風險解決方案；已確定補救、糾正和預防行動計劃；行動計劃有效；行動有負責人和目標完成日期；隨時監控行動計劃的進展狀態；按計劃進行並完成預定的行動。
對於制藥企業來說，風險管理應當是質量管理過程中持續並行的組成部分，企業須建立相應機制，審核或監控各種事件，並定期召開會議討論所有的風險，包括已有風險和確認新提起的風險。會議主題可包括：現有風險的回顧；風險緩解行動計劃的執行情況；對產品結果的回顧審核；產品年度回顧；環境年度回顧；變更控制、偏差、審計及調查發現的新風險的討論確認等。