Riesgos y oportunidades en la ISO 9001:2026: el punto donde más sistemas van a sufrir
De los cambios que trae el borrador de la 2026, este es el que más empresas va a pillar con los deberes sin hacer. No porque sea difícil, sino porque el 6.1 es la cláusula que más se ha "cumplido de boquilla" desde 2015: una tabla de riesgos hecha una vez, desempolvada la semana antes de cada auditoría. (Si lo que buscas es entender qué pide el requisito 6.1 actual, con ejemplos, empieza por ahí; este artículo va de lo que viene.)
Qué cambia según el borrador
Dos movimientos:
- Riesgos y oportunidades se separan explícitamente. Hasta ahora iban en el mismo saco ("acciones para abordar riesgos y oportunidades") y en la práctica las oportunidades brillaban por su ausencia: la mayoría de matrices son solo listas de amenazas. El borrador los distingue — tendrás que demostrar que también identificas y aprovechas oportunidades, no solo que te proteges.
- Planificación más formal. Se acabó la lista improvisada: se espera una metodología reconocible — matriz de probabilidad × impacto, AMFE u otra — con criterios de evaluación definidos y aplicados con consistencia.
Cómo se ve un 6.1 que aguanta (la mecánica completa)
Un sistema de riesgos que convence a un auditor —y, más importante, que sirve— tiene cinco piezas:
1. Identificación con origen
Cada riesgo viene de algún sitio: del contexto (4.1), de las partes interesadas (4.2), de la experiencia (esa NC que se repite). Un riesgo sin origen trazable huele a relleno.
2. Evaluación con criterio explícito
Probabilidad × impacto en una escala definida (la matriz 5×5 es el estándar de facto). Lo importante no es la escala: es que dos personas distintas evaluando el mismo riesgo lleguen a nota parecida.
3. Riesgo inherente vs. residual
El inherente es el riesgo "en crudo"; el residual, el que queda después de tus controles. Distinguirlos es lo que permite responder la pregunta clave del auditor: "¿y esto que hacéis, funciona?"
4. Tratamiento conectado a acciones reales
Aquí muere la mayoría de matrices: el riesgo dice "plan de acción" y el plan no existe o vive en otro Excel que nadie cruza. El tratamiento debe ser una acción con responsable, fecha y verificación de eficacia — trazable desde el riesgo.
5. Reevaluación cíclica
Cuando el tratamiento se verifica, se reevalúa el residual. Si baja, el sistema funciona y queda demostrado con fechas. Ese bucle —riesgo → acción → verificación → reevaluación— es la evidencia de un 6.1 vivo, y es imposible de falsificar la semana antes de la auditoría. Por eso conviene empezar ya, no en 2028.
Y las oportunidades, ¿cómo se gestionan sin forzar?
No inventes "oportunidades" que son riesgos redactados en positivo ("oportunidad de no perder al cliente"). Una oportunidad de verdad tiene forma de decisión: entrar en un mercado, certificar otra norma que abre licitaciones, automatizar un proceso que hoy come horas. Se evalúa igual (beneficio × viabilidad), se separa visualmente de los riesgos y, si se decide perseguirla, genera su acción en el mismo plan. Dos o tres oportunidades reales valen más que diez de relleno.
Para ver este cambio en el conjunto de la 2026, aquí tienes qué cambia de verdad.
Una matriz 6.1 que funciona exactamente así
La matriz de riesgos y oportunidades de Evidran es esta mecánica hecha herramienta: mapa de calor 5×5 con vista inherente/residual, riesgos y oportunidades separados, entrevista de IA que propone riesgos desde tu contexto real (tú aceptas uno a uno), tratamiento conectado al plan de mejora con verificación de eficacia y aviso automático de reevaluar el residual. El bucle 6.1 ↔ 10.2 cerrado de verdad — con avisos por email para que no dependa de tu memoria.