Qué exige el requisito
La cláusula 6.1 pide que la empresa mire su propio contexto (las cuestiones internas y externas de la 4.1 y las partes interesadas de la 4.2) y decida qué puede salir mal y qué puede salir bien para que el sistema de gestión de la calidad entregue el resultado previsto. A partir de ahí, planifica acciones para abordar esos riesgos y aprovechar esas oportunidades, integra esas acciones en los procesos del día a día y después verifica si funcionaron.
El punto que más dudas genera: la norma no exige un método formal de gestión de riesgos, ni una matriz de probabilidad e impacto, ni un documento específico llamado "análisis de riesgos". Exige que las acciones sean proporcionales al impacto que el riesgo puede tener en la conformidad de los productos y servicios y en la satisfacción del cliente. Una empresa pequeña puede cumplir con una tabla simple; una industria con un proceso crítico probablemente necesite algo más estructurado, como un AMEF.
Las opciones de tratamiento incluyen evitar el riesgo, asumirlo para perseguir una oportunidad, eliminar la fuente, cambiar la probabilidad o la consecuencia, compartir el riesgo o simplemente convivir con él por decisión consciente y registrada. Las oportunidades pueden ser un cliente nuevo, una tecnología, un proceso más barato o una alianza. Lo que el auditor quiere ver es el razonamiento ligado al contexto real de la empresa, no una lista genérica copiada de internet y repetida año tras año.
Qué cambia en la ISO 9001:2026
En la ISO 9001:2026 la cláusula 6.1 fue dividida: las acciones para abordar riesgos y las acciones para abordar oportunidades pasan a tener subcláusulas separadas (6.1.2 y 6.1.3). La lógica sigue siendo la misma, pero la separación deja más claro que una oportunidad no es apenas "el otro lado" del riesgo y necesita un tratamiento propio. Vea todo lo que cambió en la revisión.
Qué pide ver el auditor
- Levantamiento de riesgos y oportunidades ligado a las cuestiones de la 4.1 y a las partes interesadas de la 4.2
- Criterio de priorización (qué riesgo merece acción y cuál se acepta) coherente con el tamaño y el proceso
- Acciones planificadas con responsable y plazo, integradas a los procesos y no en un archivo olvidado
- Evaluación de la eficacia de las acciones, normalmente llevada a la revisión por la dirección (9.3)
- Revisión del levantamiento cuando cambia el contexto: cliente nuevo, proceso nuevo, cambio de ley
Dónde se equivocan más las empresas
- Lista de riesgos genérica ("perder clientes", "crisis económica") sin relación con los procesos
- Levantamiento hecho una vez para la certificación y nunca revisado después
- Acciones sin responsable, sin plazo o sin verificación de eficacia
- Confundir el riesgo con una no conformidad ya ocurrida: el riesgo es lo que todavía puede pasar
- Ignorar las oportunidades y tratar la 6.1 solo como una lista de amenazas
Ejemplo de no conformidad
- Requisito
- ISO 9001, 6.1: planificar acciones para abordar los riesgos y evaluar la eficacia de esas acciones.
- Evidencia
- Matriz de riesgos revisada en 02/2026 con el riesgo "atraso del proveedor único de acero" clasificado como alto; la acción prevista (calificar un segundo proveedor hasta 05/2026) no tiene registro de avance, y la revisión por la dirección de 06/2026 no trata el tema.
- Hallazgo
- La acción planificada para un riesgo clasificado como alto no fue implementada ni tuvo su eficacia evaluada.
Cómo cumplirlo en PrismaBiz
Plantillas listas para este requisito
Preguntas frecuentes
¿La ISO 9001 obliga a usar una matriz de probabilidad e impacto?
No. La norma no define el método. La matriz es una forma práctica de priorizar, pero sirve cualquier criterio, siempre que sea coherente y permita decidir qué riesgos reciben acción.
¿Tengo que documentar el análisis de riesgos?
La 6.1 no exige información documentada específica. En la práctica, sin registro es difícil demostrarle al auditor qué se levantó, qué se decidió y qué se verificó, así que casi todas las empresas mantienen una tabla o una matriz.
¿Cada cuánto conviene revisar los riesgos?
No hay un plazo fijo. El mínimo razonable es revisarlos en la revisión por la dirección y siempre que haya un cambio pertinente en el contexto: producto nuevo, cliente grande nuevo, cambio de legislación o de proveedor crítico.