La cláusula 6.1 de la ISO 9001 pide que la organización determine riesgos y oportunidades a partir del contexto (4.1) y de las partes interesadas (4.2), y que planifique acciones proporcionales al impacto potencial sobre la conformidad de los productos y servicios. La norma no exige un método específico ni una "gestión de riesgos formal", pero en la práctica la matriz de riesgos con probabilidad x impacto se volvió el estándar que los auditores esperan encontrar, por su objetividad y trazabilidad. En la ISO 9001:2026, riesgos y oportunidades se tratan en subcláusulas separadas: revise la numeración al migrar el sistema.
La escala más usada es la 5x5: probabilidad de 1 (rara) a 5 (casi segura) e impacto de 1 (insignificante) a 5 (crítico). El producto genera el nivel: hasta 4 bajo, de 5 a 9 moderado, de 10 a 16 alto y por encima de 16 crítico. Para las oportunidades, la misma lógica se invierte: un nivel alto significa prioridad de aprovechamiento. El secreto de la consistencia está en definir anclas concretas para las notas, por ejemplo impacto 5 = "detiene la producción o se pierde un cliente estratégico", para que evaluadores distintos lleguen a notas parecidas.
Los errores que vacían el análisis: riesgos genéricos ("problemas con el proveedor") en vez de específicos con causa y consecuencia; todo evaluado como moderado para evitar la discusión; y riesgos altos sin acción planificada, que es exactamente lo que exige la cláusula 6.1.2. Cada riesgo alto o crítico necesita una acción con responsable y plazo, integrada al plan 5W2H de la empresa.
La plantilla de abajo trae riesgos y oportunidades reales de una industria de pequeño porte. Use la herramienta gratuita de matriz de riesgos de esta página para armar la suya con clasificación automática y descargarla en PDF.