管理体系继承了质量管理的经典管理理念经过几十年的发展和实践，一些现代的管理理念也在管理体系中得到应用。运用过程方法、采用PDCA循环、建立风险管理思维、以顾客为关注焦点等理念被大多数管理体系标准全部或部分采用。这些核心理念在管理体系中是共性的，掌握这些核心理念，对管理体系的理解和应用至关重要。

国际标准化组织早期发布的管理体系标准引入了“预防措施”的概念，却没有明确引入风险概念。预防措施指的是“为消除潜在不合格或其他潜在不期望情况的原因所采取的措施”。预防措施更关注“潜在不合格或其他潜在不期望情况的原因”，注重于运行层面，并没有从组织的风险高度考虑组织的持续成功问题。直到2012年，ISO发布了1S0/EC导则附录1，规定所有IS0管理体系标准的高层结构中应对风险和机遇提出明确要求。

“风险”被定义为“不确定性的影响”，影响是指偏离预期结果或目标，可以是正面的或负面的。所有类型和规模的组织都面临内部和外部的、不能确定的因素。这种不确定性对组织目标的影响就是“风险”。

组织的所有活动都涉及风险。风险管理可以在多个领域和层次、任何时间内应用到整个组织以及具体职能、项目和活动中。为使风险管理变得有效而需要组织遵循风险原则，其目的是将风险管理过程整合到组织的整体治理、战略和规划、管理、报告过程、方针、价值观和文化中。为了使风险管理有效，组织宜在各个层次中遵循以下原则。

(1)风险管理创造和保护价值。风险管理有助于目标的实现和绩效的改进，例如，在人员的健康安全治安、法律法规符合性、公众接受性、环境保护、产品质量、项目管理、运营效率、治理和声誉方面。

(2)风险管理是整合所有组织过程中的部分。风险管理不是与组织的主要活动和过程分开的孤立活动。风险管理是管理职责的一部分，需整合所有组织过程中的部分，包括战略规划、所有项目、变更管理过程。

(3)风险管理支持决策。风险管理可以帮助决策者做出明智的选择、优先的措施和辨别行动方向。

(4)风险管理有助于解决不确定问题。风险管理明确地阐述不确定性、不确定性的性质以及如何加以解决。

(5)风险管理具备系统性、结构化和及时性。系统性、及时性和结构化的风险管理方法有助于提高效率和取得一致、可衡量和可靠的结果。

(6)风险管理基于最可用的信息。风险管理过程的输入基于信息源，如历史数据、经验、利益相关方的反馈、观察、预测和专家判断。然而，决策者宜告诫自身和考虑数据或所使用模型的局限性，或者专家之间分歧的可能性。

(7)风险管理是量体裁衣的。风险管理是与组织的外部和内部状况及风险状况相匹配的。

(8)风险管理要考虑人文因素。风险管理认识到可以促进或阻碍组织目标实现的内部和外部人员的能力、观念和意图。

(9)风险管理是透明和包容的。利益相关方，尤其是组织各层面的决策者适当、及时的参与，确保了风险管理保持相关性和先进性。

(10)风险管理是动态、迭代和应对变化的。风险管理持续察觉和响应变化。由于外部和内部事件发生，状况和知识在改变，风险的监测和评审在进行，新的风险会出现，一些风险在改变，而另一些风险消失了。

(11)风险管理可以实现组织的持续改进。组织宜制定和实施战略，协同组织的其他方面共同改进风险管理的成熟度。

管理体系引人风险思维的总体目的在于确保组织能够实现其特定管理体系的预期结果，预防或减少非预期影响以实现持续成功。基于风险的思维使得组织能确定可能导致其过程和管理体系偏离策划结果的各种因素，采取预防控制，最大限度地降低不利影响，并最大限度地利用出现的机遇。组织可自行选择确定风险和机遇的方法，通过对风险措施的策划，将措施应用到管理体系运行过程中，确保预期结果的实现。