← Blog

Requisito 6.1 de ISO 9001: qué pide de verdad (y cómo cumplirlo con ejemplos)

Requisitos de la norma · Publicado en julio de 2026 · Lectura: 9 min

El 6.1 es la cláusula peor entendida de la ISO 9001. Unos la despachan con una tabla que hicieron una vez y desempolvan antes de cada auditoría; otros se compran una metodología de gestión de riesgos de multinacional para una empresa de quince personas. Los dos fallan por lo mismo: no han leído lo que el requisito pide de verdad. Vamos a ello — qué exige, qué no exige, de dónde salen los riesgos, ejemplos concretos y el apartado que casi todo el mundo deja vacío: las oportunidades.

Qué dice el requisito 6.1 (traducido a lo que tienes que hacer)

La cláusula 6.1 de UNE-EN ISO 9001:2015 — "Acciones para abordar riesgos y oportunidades" — tiene dos partes:

1. 6.1.1 — Determinar. Al planificar tu sistema, tienes que identificar los riesgos y oportunidades que pueden afectar a: que el sistema logre sus resultados, aumentar los efectos deseables, prevenir los no deseados y lograr la mejora. Y no en abstracto: partiendo de tu contexto (4.1) y de tus partes interesadas (4.2).
2. 6.1.2 — Actuar. Planificar acciones para abordarlos, integrarlas en los procesos del sistema (no en un documento aparte que no toca nada) y evaluar la eficacia de esas acciones. Con un matiz de sensatez que la propia norma incluye: las acciones deben ser proporcionadas al impacto potencial. A un riesgo pequeño, una respuesta pequeña.

Eso es todo el requisito. Identificar con origen, actuar en proporción y comprobar que funcionó. Lo demás — matrices, colores, escalas — son herramientas para conseguirlo, no exigencias de la norma.

Qué NO exige (y te venden como si lo exigiera)

• No exige una metodología formal de gestión de riesgos. La 2015 lo dice expresamente en sus notas: no hay obligación de aplicar ISO 31000, ni AMFE, ni ninguna técnica concreta. Puedes usarlas si te aportan; no son el requisito.
• No exige un registro documentado específico de riesgos. No hay "información documentada" obligatoria en el 6.1. Ahora bien: en la práctica necesitas evidencia de que lo haces, y una matriz sencilla es la forma más cómoda de tenerla. La diferencia importa: la matriz trabaja para ti, no tú para la matriz.
• No exige decenas de riesgos. Ocho riesgos reales, evaluados y con tratamiento vivo, valen más que cuarenta de relleno que nadie revisa. El auditor lo sabe — y el relleno se nota a la primera pregunta.

De dónde salen los riesgos (los tres orígenes trazables)

La pregunta trampa del auditor no es "¿tienes matriz?", es "¿de dónde sale este riesgo?". Hay tres respuestas buenas:

1. Del contexto (4.1). Lo que pasa dentro y fuera de tu empresa: dependencia de un cliente que concentra la facturación, un proveedor único para una materia crítica, la persona que se jubila en dos años y es la única que domina el proceso.
2. De las partes interesadas (4.2). Lo que esperan y puede cambiar: un cliente de automoción que endurece sus requisitos, una administración que revisa una autorización, la certificadora que anuncia una transición de norma.
3. De tu propia experiencia. La fuente más infrautilizada: tus no conformidades. Una NC que se repite tres veces en el mismo proceso no es mala suerte — es un riesgo identificado gratis, con datos. Si además hiciste bien la causa raíz, ya sabes hasta el origen del riesgo.

Ejemplos de riesgos 6.1 en una pyme (de verdad, no de manual)

Riesgos que aparecen una y otra vez en pymes industriales y de servicios, tal y como se escribirían en la matriz:

• Compras: proveedor único de un componente crítico sin alternativa homologada → rotura de suministro que para producción.
• Personas: conocimiento del proceso de ajuste concentrado en una sola persona próxima a jubilarse → pérdida de capacidad sin relevo formado.
• Equipos: equipo de medición clave con historial de descalibraciones → producto no conforme entregado sin detectar.
• Comercial: un cliente concentra más de la mitad de la facturación → un cambio de proveedor suyo compromete la viabilidad.
• Normativo: cambio de edición de una norma del alcance o de un reglamento aplicable → trabajar contra requisitos obsoletos sin saberlo.
• Plazos: planificación de producción sin margen ante picos de demanda → incumplimientos de entrega en cadena y penalizaciones.

Fíjate en la estructura: situación concreta → consecuencia concreta. Nada de "riesgo de calidad" ni "riesgo operacional" a secas: eso no se puede evaluar ni tratar.

Cómo evaluarlos sin montar un doctorado

Probabilidad por impacto, en una escala definida — la matriz 5×5 es el estándar de facto — y con criterios escritos para que dos personas evaluando el mismo riesgo lleguen a nota parecida. Dos conceptos que elevan el nivel de inmediato: el riesgo inherente (en crudo, sin controles) frente al residual (el que queda con tus controles funcionando). Distinguirlos te deja responder a la pregunta clave: "¿y lo que hacéis, funciona?" — con fechas y datos, no con adjetivos.

Y el tratamiento: cada riesgo que decides abordar genera una acción con responsable, fecha y verificación de eficacia, integrada en tu plan de mejora — no en otro Excel que nadie cruza. Cuando la acción se verifica, reevalúas el residual. Si baja, el bucle está cerrado y demostrado. Ese bucle es el 6.1 vivo; la tabla desempolvada la semana antes es el 6.1 de boquilla, y se distingue en dos preguntas.

Las oportunidades en ISO 9001: el apartado que casi todos dejan vacío

El 6.1 no va solo de amenazas, y aquí es donde más matrices cojean: llenas de riesgos, sin una sola oportunidad — o peor, con riesgos disfrazados ("oportunidad de no perder al cliente" no es una oportunidad: es un riesgo redactado en positivo).

Una oportunidad de verdad tiene forma de decisión que puedes tomar:

• Certificar una segunda norma (14001, 45001) que abre licitaciones que hoy no puedes tocar.
• Homologar un segundo proveedor que además mejora precio o plazo.
• Automatizar el registro de un proceso que hoy consume horas de administración.
• Aprovechar la jubilación anunciada para documentar el proceso y formar a dos personas en lugar de una.
• Un competidor que abandona un nicho donde tu empresa ya tiene capacidad instalada.

Se evalúan en positivo (beneficio × viabilidad), se separan visualmente de los riesgos y, si decides perseguir una, genera su acción en el mismo plan que todo lo demás. Dos o tres reales valen más que diez de adorno — y en auditoría, tener alguna oportunidad gestionada de verdad te distingue de la mayoría.

Los cuatro errores que el auditor caza al vuelo

1. La matriz muerta. Fecha de última revisión: hace once meses, justo antes de la auditoría anterior. El 6.1 pide un sistema en marcha, no una foto anual.
2. Riesgos sin origen. Si no puedes trazar el riesgo al contexto, a una parte interesada o a un dato propio, huele a relleno — y el auditor tira del hilo.
3. Tratamiento sin acción. La casilla dice "plan de acción" y el plan no existe, no tiene responsable o nunca se verificó. Es el fallo más común y el más fácil de encontrar.
4. Cero oportunidades. La norma dice "riesgos y oportunidades". Una matriz que solo contiene amenazas responde a la mitad del requisito.

Un último apunte: el 6.1 no vive solo. Alimenta tus auditorías internas (¿qué procesos auditar con más frecuencia? los de más riesgo) y la revisión por la dirección (9.3), que pide expresamente evaluar la eficacia de las acciones del 6.1. Si tu matriz no conecta con nada de eso, es un documento; si conecta, es un sistema.