La clausola 6.1 della ISO 9001:2015 è uno di quei requisiti che generano più domande che risposte: quanto deve essere formale il processo? Quanti rischi dobbiamo identificare? Qual è la differenza pratica tra un rischio e un’opportunità? La norma è volutamente flessibile su questo punto — il che può essere frustrante quando si cerca di tradurre i requisiti in un processo concreto che il team utilizzi davvero.
Questa guida va al dunque: cosa richiede esattamente la clausola 6.1, come costruire un processo di gestione dei rischi e delle opportunità ISO 9001 che funzioni senza diventare un esercizio burocratico, e quali evidenze documentali si aspetta l’auditor.
Sommario
Cosa richiede esattamente la clausola 6.1
La clausola 6.1 della ISO 9001:2015 fa parte del blocco Pianificazione e ha due requisiti fondamentali:
- Identificare i rischi e le opportunità che possono influire sulla conformità dei prodotti e servizi, sulla soddisfazione del cliente o sulle prestazioni del SGQ.
- Pianificare azioni per affrontare tali rischi e opportunità, integrandole nei processi del sistema di gestione.
Cosa la norma non richiede: una metodologia specifica, un software dedicato, un modulo standard o un numero minimo di rischi. La flessibilità è intenzionale — ma non significa che il requisito possa essere ignorato.
Nota del consulente: molte aziende costruiscono registri dei rischi enormi che nessuno aggiorna. Un auditor preferisce vedere 10 rischi ben gestiti che 80 identificati e dimenticati. Anche nella gestione dei rischi vale il principio: qualità prima di quantità.
Punto di partenza: il contesto dell’organizzazione
La gestione dei rischi nella ISO 9001 non esiste in isolamento: parte dall’analisi del contesto (clausola 4). Se hai già identificato i fattori interni ed esterni e le esigenze delle parti interessate, hai il materiale grezzo per determinare cosa potrebbe andare storto — o bene.
Fattori interni tipici che generano rischi:
- Elevato turnover del personale in processi critici.
- Dipendenza da un unico fornitore per input fondamentali.
- Attrezzature senza un piano di manutenzione aggiornato.
Fattori esterni che generano rischi o opportunità:
- Variazioni normative nel settore (incluse le direttive ACCREDIA o i requisiti cogenti italiani).
- Nuovi concorrenti o tecnologie che influenzano la domanda.
- Crescita del mercato che apre opportunità di espansione.
Come identificare rischi e opportunità
Non esiste una tecnica unica corretta. I team SGQ più efficaci combinano due o tre metodi:
💡 Potrebbe interessarti: Ecco come QualityWeb 360 gestisce i rischi per la qualità: visualizzazione, avvisi e controllo completo.
Brainstorming per processo
Riunite i responsabili di ciascun processo e chiedete: “Cosa potrebbe impedire a questo processo di produrre ciò che ci si aspetta?” e “Cosa potrebbe succedere che ci avvantaggi se ci prepariamo?” Raccogliete tutto senza filtrare inizialmente.
Analisi degli incidenti storici
Rivedete le non conformità, i reclami dei clienti e le azioni correttive degli ultimi due anni. Sono rischi già materializzati — è garantito che siano reali.
SWOT orientato alla qualità
Prendete la vostra analisi SWOT del contesto e traducete ogni elemento in rischi o opportunità concrete per il SGQ. Debolezze e minacce tendono a mappare sui rischi; punti di forza e opportunità, sulle opportunità del SGQ.
Come valutare i rischi
Una volta identificati, è necessario dargli una priorità. Lo strumento più pratico e accettato dagli auditor è la matrice dei rischi con due assi: probabilità di accadimento e impatto se si verifica.
Scala semplice (sufficiente per la maggior parte delle PMI):
- Probabilità: 1 (improbabile) · 2 (possibile) · 3 (probabile).
- Impatto: 1 (minore) · 2 (moderato) · 3 (grave).
- Livello di rischio = Probabilità × Impatto. Da 1 a 9.
Classificazione:
- 1–2: Basso. Monitorare, nessuna azione urgente.
- 3–4: Medio. Definire azioni preventive.
- 6–9: Alto. Azione immediata e monitoraggio ravvicinato.
Opzioni per il trattamento dei rischi
Per ogni rischio classificato come medio o alto, è necessario definire cosa si intende fare. Le opzioni standard:
- Evitare: eliminare l’attività che genera il rischio.
- Mitigare: ridurre la probabilità o l’impatto (la scelta più comune).
- Trasferire: condividere il rischio con una terza parte (assicurazione, subappalto).
- Accettare: assumere il rischio quando il costo del trattamento supera il beneficio.
Per ciascuna azione, assegnate un responsabile, una scadenza e un indicatore di monitoraggio. È questo che trasforma un registro in un piano reale.
Le opportunità: il lato che quasi nessuno sfrutta
La clausola 6.1 riguarda “rischi e opportunità“, ma nella pratica la maggior parte dei sistemi di gestione compila solo la colonna dei rischi. È un doppio errore: si perde valore e gli auditor lo notano.
Un’opportunità in termini di ISO 9001 è qualsiasi circostanza che, se perseguita proattivamente, può migliorare le prestazioni, aumentare la soddisfazione del cliente o rafforzare il SGQ. Esempi:
- Un nuovo mercato geografico in cui l’azienda ha la capacità di competere.
- Una modifica normativa che, anticipata, offre un vantaggio sui concorrenti.
- La digitalizzazione di un processo manuale che ridurrebbe errori e costi.
Cosa documentare (e cosa si può omettere)
La ISO 9001 non richiede una “procedura di gestione dei rischi” né un formato specifico. Ciò che è necessario conservare come informazione documentata:
- L’elenco o la matrice dei rischi e delle opportunità identificati.
- Le azioni pianificate per affrontarli.
- L’evidenza che le azioni sono state eseguite e la loro efficacia valutata.
Un foglio di calcolo ben strutturato è conforme. Un modulo nel software di gestione della qualità è preferibile — permette di collegare i rischi alle azioni correttive, agli indicatori e al riesame della direzione in un’unica piattaforma.
Il ciclo: rischi e riesame della direzione
I rischi identificati non sono statici. La norma si aspetta che vengano rivisti e aggiornati periodicamente — e il momento naturale per farlo è il riesame della direzione (clausola 9.3), che include esplicitamente i risultati dell’analisi dei rischi e delle opportunità come input.
Domande frequenti sulla clausola 6.1
Quanti rischi devo identificare per essere conformi alla ISO 9001?
La norma non stabilisce un numero minimo. Ciò che conta è aver analizzato sistematicamente i fattori del contesto e che i rischi identificati siano quelli che possono realmente influire sul SGQ, sulla conformità dei prodotti o sulla soddisfazione del cliente. Per una PMI tipica, tra 10 e 25 rischi è un range ragionevole. Meno di 5 segnala generalmente un’analisi insufficiente; più di 50 rende difficile un monitoraggio significativo.
La matrice dei rischi è obbligatoria secondo la ISO 9001?
No. La norma non prescrive nessun formato specifico. Potete usare una tabella semplice, un software specializzato o anche un approccio narrativo purché ben documentato. La matrice probabilità × impatto è la più diffusa perché è visiva, facile da comunicare alla direzione e universalmente accettata dagli auditor.
Qual è la differenza tra un rischio e una non conformità?
Un rischio è qualcosa che potrebbe accadere e influire negativamente. Una non conformità è qualcosa che è già accaduto — un requisito non rispettato. La gestione dei rischi (clausola 6.1) è proattiva; le azioni correttive (clausola 10.2) sono reattive. Un SGQ solido lavora su entrambi in parallelo: gestisce i rischi per ridurre le future non conformità e analizza le non conformità passate per identificare rischi non ancora riconosciuti.
Con quale frequenza devo aggiornare la matrice dei rischi?
Almeno una volta all’anno, durante il riesame della direzione. In pratica, aggiornatela ogni volta che si verificano cambiamenti significativi: un nuovo processo, un nuovo fornitore critico, una modifica normativa, un incidente grave. Le organizzazioni con SGQ maturi la rivedono trimestralmente.
Cosa succede se l’auditor non trova azioni per i rischi classificati come alti?
È il rilievo più comune legato alla clausola 6.1: rischi identificati senza azioni pianificate, o azioni pianificate senza evidenza di esecuzione. Può sfociare in una non conformità, soprattutto per rischi significativi. La regola pratica: ogni rischio classificato come “alto” deve avere almeno un’azione documentata con responsabile, scadenza e monitoraggio.
Gestite i vostri rischi senza fogli di calcolo dispersi
Se la vostra matrice dei rischi vive in un foglio Excel che nessuno aggiorna, o in un documento sepolto nel cloud, il problema non è il metodo — è lo strumento. QualityWeb 360 include un modulo dedicato alla Gestione dei Rischi e delle Opportunità dove potete registrare, valutare e monitorare ogni rischio dalla stessa piattaforma in cui vivono processi, azioni correttive e indicatori.
Volete identificare i rischi più critici del vostro SGQ in meno di 30 minuti? Usate il Quality Risk Minimizer™ — una guida gratuita che vi accompagna passo dopo passo.
O preferite vedere la piattaforma in azione: richiedete una demo e ve la mostriamo dal vivo, senza impegno.
