O que o requisito pede
A cláusula 6.1 pede que a empresa olhe para o próprio contexto (as questões internas e externas da 4.1 e as partes interessadas da 4.2) e decida o que pode dar errado e o que pode dar certo para o sistema da qualidade entregar o resultado esperado. A partir daí, ela planeja ações para lidar com esses riscos e aproveitar essas oportunidades, coloca essas ações dentro dos processos do dia a dia e depois verifica se funcionaram.
O ponto que mais gera dúvida: a norma não exige um método formal de gestão de riscos, nem uma matriz com probabilidade e impacto, nem um documento específico chamado "análise de riscos". Ela exige que as ações sejam proporcionais ao impacto que o risco pode ter na conformidade do produto ou serviço e na satisfação do cliente. Uma empresa pequena pode atender com uma tabela simples; uma indústria com processo crítico provavelmente vai precisar de algo mais estruturado, como FMEA.
As opções de tratamento incluem evitar o risco, assumir o risco para buscar uma oportunidade, eliminar a fonte, mudar a probabilidade ou a consequência, compartilhar o risco ou simplesmente conviver com ele por decisão consciente. Oportunidades podem ser um novo cliente, uma tecnologia, um processo mais barato ou uma parceria. O que o auditor quer ver é o raciocínio ligado ao contexto real da empresa, não uma lista genérica copiada da internet.
O que muda na ISO 9001:2026
Na ISO 9001:2026 a cláusula 6.1 foi dividida: ações para abordar riscos e ações para abordar oportunidades passam a ter subcláusulas separadas (6.1.2 e 6.1.3). A lógica continua a mesma, mas a separação deixa mais claro que oportunidade não é apenas "o outro lado" do risco e precisa de tratamento próprio. Veja tudo o que mudou na revisão.
O que o auditor pede para ver
- Levantamento de riscos e oportunidades ligado às questões da 4.1 e às partes interessadas da 4.2
- Critério de priorização (qual risco merece ação e qual é aceito) coerente com o porte e o processo
- Ações planejadas com responsável e prazo, integradas aos processos (não num arquivo esquecido)
- Avaliação da eficácia das ações, normalmente levada à análise crítica pela direção (9.3)
- Revisão do levantamento quando o contexto muda: novo cliente, novo processo, mudança de lei
Onde as empresas mais erram
- Lista de riscos genérica ("perder clientes", "crise econômica") sem relação com os processos
- Levantamento feito uma vez para a certificação e nunca revisado
- Ações sem responsável, sem prazo ou sem verificação de eficácia
- Confundir risco com não conformidade já ocorrida: risco é o que ainda pode acontecer
- Ignorar as oportunidades e tratar a 6.1 só como lista de ameaças
Exemplo de não conformidade
- Requisito
- ISO 9001, 6.1: planejar ações para abordar riscos e avaliar a eficácia dessas ações.
- Evidência
- Matriz de riscos revisada em fev/2026 com o risco "atraso de fornecedor único de aço" classificado como alto; a ação prevista (qualificar segundo fornecedor até maio/2026) não tem registro de andamento, e a análise crítica de junho/2026 não trata do tema.
- Constatação
- A ação planejada para um risco classificado como alto não foi implementada nem teve a eficácia avaliada.
Como atender no PrismaBiz
Modelos prontos para este requisito
Perguntas frequentes
A ISO 9001 obriga a usar matriz de probabilidade x impacto?
Não. A norma não define método. A matriz é uma forma prática de priorizar, mas qualquer critério serve, desde que seja coerente e permita decidir quais riscos recebem ação.
Preciso documentar a análise de riscos?
A 6.1 não exige informação documentada específica. Na prática, sem registro é difícil demonstrar ao auditor o que foi levantado, decidido e verificado, então quase todas as empresas mantêm uma tabela ou matriz.
Com que frequência revisar os riscos?
Não há prazo fixo. O mínimo razoável é revisar na análise crítica pela direção e sempre que houver mudança relevante no contexto: novo produto, novo cliente grande, mudança de legislação ou de fornecedor crítico.