Si llevas un tiempo gestionando un sistema de calidad ISO 9001, ya sabes que la cláusula 6.1 es de esas que generan más preguntas que respuestas: “¿qué tan formal tiene que ser?”, “¿cuántos riesgos tengo que identificar?”, “¿qué diferencia hay entre un riesgo y una oportunidad?” La norma es intencionalmente abierta en este punto, y eso puede ser frustrante cuando estás tratando de concretar el proceso en tu empresa.
En esta guía vamos al grano: qué pide exactamente la cláusula 6.1, cómo hacer el proceso de gestión de riesgos y oportunidades ISO 9001 sin convertirlo en un ejercicio burocrático, y cómo dejar la evidencia documentada que va a pedir el auditor.
Tabla de Contenido
Qué exige la cláusula 6.1 de ISO 9001
La cláusula 6.1 de ISO 9001:2015 forma parte del bloque de Planificación y pide esencialmente dos cosas:
- Identificar los riesgos y oportunidades que pueden afectar la conformidad de tus productos/servicios, la satisfacción del cliente o el propio SGC.
- Planificar acciones para abordar esos riesgos y oportunidades, e integrarlas al sistema de gestión.
Lo que la norma no exige: una metodología específica, un software de gestión de riesgos, un formato estándar ni un número mínimo de riesgos. La flexibilidad es total —pero eso no significa que puedas ignorarla.
Nota del consultor: muchas empresas crean matrices de riesgo enormes y complejas que nadie actualiza. El auditor prefiere ver 10 riesgos bien gestionados que 80 identificados y olvidados. Calidad sobre cantidad.
Punto de partida: el contexto de la organización
La gestión de riesgos de ISO 9001 no existe en el vacío: arranca del análisis de contexto (cláusula 4). Si ya identificaste tus factores internos y externos, y las necesidades de tus partes interesadas, tienes la materia prima para identificar qué puede salir mal —o bien.
Factores internos típicos con impacto en riesgos:
- Alta rotación de personal en procesos clave.
- Dependencia de un proveedor único para insumos críticos.
- Equipos sin plan de mantenimiento actualizado.
Factores externos que generan riesgos u oportunidades:
- Cambios regulatorios en tu industria.
- Nuevos competidores o tecnologías que afectan la demanda.
- Crecimiento del mercado que abre oportunidades de expansión.
Cómo identificar riesgos y oportunidades
No hay una sola técnica correcta. Lo más común es combinar dos o tres métodos:
Lluvia de ideas por proceso
Reúne a los responsables de cada proceso y pregunta: “¿Qué podría impedir que este proceso entregue lo que se espera?” y “¿Qué podría pasar que nos beneficie si nos preparamos para ello?” Documenta sin filtrar al principio.
Análisis de incidentes históricos
Revisa tus no conformidades, quejas de clientes y acciones correctivas de los últimos dos años. Son riesgos que ya se materializaron —garantía de que son reales.
FODA orientado a calidad
Toma tu análisis FODA del contexto y traduce cada elemento a riesgos u oportunidades concretos para el SGC. Las debilidades y amenazas suelen ser riesgos directos; las fortalezas y oportunidades, oportunidades del SGC.
Cómo evaluar los riesgos
Una vez identificados, necesitas priorizar. La herramienta más práctica y aceptada por los auditores es la matriz de riesgo con dos ejes: probabilidad de ocurrencia e impacto si ocurre.
Escala simple (suficiente para una PYME):
- Probabilidad: 1 (poco probable) · 2 (posible) · 3 (probable).
- Impacto: 1 (menor) · 2 (moderado) · 3 (severo).
- Nivel de riesgo = Probabilidad × Impacto. De 1 a 9.
Con este resultado puedes clasificar los riesgos:
- 1–2: Bajo. Monitorear, sin acción urgente.
- 3–4: Medio. Definir acciones preventivas.
- 6–9: Alto. Acción inmediata y seguimiento estrecho.
No necesitas nada más sofisticado que esto para cumplir con la norma. ISO 9001 no exige ISO 31000 ni FMEA —aunque si tu industria los requiere (automotriz, médica, aerospace), integrarlos al SGC es lo correcto.
Opciones para tratar los riesgos
Para cada riesgo clasificado como medio o alto, debes definir qué vas a hacer. Las opciones estándar:
- Evitar: eliminar la actividad que genera el riesgo.
- Mitigar: reducir la probabilidad o el impacto (la opción más común).
- Transferir: compartir el riesgo con un tercero (seguro, subcontratación).
- Aceptar: asumir el riesgo cuando el costo de tratarlo supera el beneficio.
Para cada acción define: responsable, plazo, indicador de seguimiento. Eso es lo que convierte un registro en un plan real.
Las oportunidades: el lado que casi nadie aprovecha
La cláusula 6.1 habla de “riesgos y oportunidades“, pero en la práctica la mayoría de los sistemas de gestión solo llenan la columna de riesgos. Es un error doble: pierdes valor y el auditor lo nota.
Una oportunidad en términos de ISO 9001 es cualquier circunstancia que, si la aprovechas proactivamente, puede mejorar tu desempeño, incrementar la satisfacción del cliente o fortalecer el SGC. Ejemplos:
- La apertura de un nuevo mercado geográfico donde tienes capacidad para competir.
- Un cambio regulatorio que, si lo anticipas, te da ventaja sobre competidores.
- La digitalización de un proceso manual que reduciría errores y costo.
El tratamiento es el mismo que para riesgos: planificar acciones, asignar responsable y hacer seguimiento.
Qué documentar (y qué no)
ISO 9001 no exige un “procedimiento de gestión de riesgos” ni un formato específico. Lo que sí debes conservar como información documentada:
- La lista (o matriz) de riesgos y oportunidades identificados.
- Las acciones planificadas para abordarlos.
- Evidencia de que las acciones se ejecutaron y evaluaron.
Un Excel bien estructurado cumple. Un módulo en tu software de calidad es mejor —te permite vincular los riesgos a las acciones correctivas, los indicadores y la revisión por la dirección, todo en el mismo sistema.
El ciclo: riesgos y la revisión por la dirección
Los riesgos identificados no son estáticos. La norma espera que los revises y actualices periódicamente —y el momento natural para hacerlo es la revisión por la dirección (cláusula 9.3), que tiene como input explícito los resultados del análisis de riesgos y oportunidades.
Un buen flujo: identificar riesgos al inicio del año → ejecutar acciones → revisar efectividad trimestralmente → actualizar la matriz en la revisión anual de dirección.
Preguntas frecuentes sobre la cláusula 6.1
¿Cuántos riesgos debo identificar para cumplir con ISO 9001?
La norma no establece un número mínimo. Lo que importa es que hayas analizado sistemáticamente los factores de tu contexto y que los riesgos identificados sean los que realmente pueden afectar tu SGC, la conformidad de tus productos o la satisfacción del cliente. Para una PYME típica, entre 10 y 25 riesgos es un rango razonable. Menos de 5 suele indicar análisis insuficiente; más de 50, dispersión que dificulta el seguimiento real.
¿Es obligatorio usar una matriz de riesgos?
No. ISO 9001 no prescribe ningún formato. Puedes usar una tabla simple, un software especializado o incluso un proceso narrativo si está bien documentado. La matriz probabilidad × impacto es la más usada porque es visual, fácil de comunicar a la dirección y aceptada universalmente por los auditores.
¿Cuál es la diferencia entre un riesgo y una no conformidad?
Un riesgo es algo que podría ocurrir y afectar negativamente. Una no conformidad es algo que ya ocurrió: un requisito que no se cumplió. La gestión de riesgos (cláusula 6.1) es proactiva; las acciones correctivas (cláusula 10.2) son reactivas. Un buen SGC trabaja ambas en paralelo: gestiona los riesgos para reducir no conformidades futuras, y analiza las no conformidades pasadas para identificar riesgos que no habías visto.
¿Cada cuánto debo actualizar la matriz de riesgos?
Como mínimo, una vez al año (en la revisión por la dirección). En la práctica, conviene revisarla cuando haya cambios importantes: un nuevo proceso, un nuevo proveedor crítico, un cambio regulatorio, un incidente grave. Los sistemas de calidad más maduros la revisan trimestralmente como parte de su ciclo de gestión.
¿Qué pasa si el auditor no encuentra acciones para mis riesgos altos?
Ese es el hallazgo más frecuente relacionado con la cláusula 6.1: riesgos identificados sin acciones planificadas, o acciones planificadas sin evidencia de ejecución. Puede derivar en una no conformidad, especialmente si el riesgo es significativo. La regla práctica: todo riesgo clasificado como “alto” debe tener al menos una acción documentada con responsable, plazo y seguimiento.
Organiza tus riesgos sin hojas de cálculo dispersas
Si tu matriz de riesgos vive en un Excel que nadie actualiza, o en un documento que se perdió en Google Drive, el problema no es el método —es la herramienta. QualityWeb 360 tiene un módulo específico de Gestión de Riesgos y Oportunidades donde puedes registrar, evaluar y dar seguimiento a cada riesgo desde la misma plataforma donde viven tus procesos, acciones correctivas e indicadores.
¿Quieres saber en cuánto tiempo podrías tener tu análisis de riesgos completo? Usa el Quality Risk Minimizer™ — una guía gratuita que te ayuda a identificar los riesgos más críticos de tu SGC en menos de 30 minutos.
O si prefieres ver cómo funciona la herramienta directamente: solicita una demo y te lo mostramos en vivo, sin compromiso.
