GB/T24001-2016标准要求，组织需确定并应对风险和机遇，并进行正式的风险管理或文件化的风险管理过程。组织可自行选择确定风险和机遇的方法。方法可涉及简单的定性过程或完整的定量评价，这取决于组织运行所处的环境。