Una línea de producción puede mantener sus indicadores dentro de los límites esperados y, aun así, estar expuesta a una falla que todavía no ocurre: desgaste progresivo de una herramienta, dependencia de un proveedor crítico, pérdida de conocimiento técnico o un cambio en los requisitos de un cliente. Esperar a que aparezca una no conformidad para actuar implica gestionar el problema después de sus consecuencias.
ISO 9001:2015 incorpora el pensamiento basado en riesgos para integrar la incertidumbre en la planificación y gestión del sistema de gestión de la calidad (SGC). No establece que todas las organizaciones deban implantar un sistema formal de gestión de riesgos ni exige una matriz con una metodología específica. El objetivo es que los riesgos y oportunidades formen parte de las decisiones sobre procesos, controles, recursos y mejora.
Qué significa pensar en riesgos
En ediciones anteriores de ISO 9001 existía un requisito específico sobre acciones preventivas. En ISO 9001:2015, la prevención se integra en la estructura del sistema mediante el pensamiento basado en riesgos: la organización analiza qué podría afectar los resultados previstos y decide qué acciones necesita incorporar.
La guía del ISO 9001 Auditing Practices Group sobre pensamiento basado en riesgos explica que este enfoque debe observarse a lo largo del SGC y no tratarse como una actividad aislada.
La pregunta cambia
En lugar de pensar únicamente “¿qué hacemos después de una no conformidad?”, el sistema también debe preguntarse “¿qué podría impedir que este proceso alcance su resultado y qué necesitamos hacer antes?”.
El documento de ISO sobre el enfoque a procesos relaciona el enfoque a procesos, el ciclo PDCA y el pensamiento basado en riesgos. El nivel de planificación y control de un proceso debe responder, entre otros factores, a los riesgos asociados con sus resultados.
Por ejemplo, una característica dimensional crítica de una pieza puede requerir controles distintos a los de una característica que no afecta la funcionalidad del producto. El análisis del riesgo ayuda a decidir dónde concentrar verificaciones, recursos y seguimiento.
De dónde salen los riesgos
Una matriz de riesgos no debería comenzar con una sesión para imaginar problemas sin contexto. Los riesgos del SGC deben relacionarse con información que la organización necesita comprender para gestionar sus procesos.
Entre las entradas que pueden utilizarse para identificarlos se encuentran:
- Cuestiones internas y externas de la organización.
- Dirección estratégica.
- Partes interesadas y requisitos relevantes.
- Alcance del sistema de gestión de la calidad.
- Procesos y resultados esperados.
En manufactura, estas entradas pueden revelar situaciones como un cambio en las especificaciones de un cliente, dependencia de una materia prima crítica, rotación de personal especializado, variación creciente de un proceso o incorporación de un nuevo equipo.
| Situación | Riesgo posible | Proceso relacionado |
|---|---|---|
| Cambio en especificación del cliente | Fabricar con información desactualizada | Ingeniería, producción y calidad |
| Proveedor único | Interrupción del suministro | Compras y planificación |
| Rotación de personal especializado | Pérdida de conocimiento técnico | Producción y gestión de competencias |
| Variación creciente | Producto fuera de especificación | Producción y control de calidad |
El análisis debe comenzar por el resultado que podría verse afectado. Describir solamente “problemas con proveedores” o “fallas del personal” aporta poca información para decidir qué controlar.
Cómo analizar un riesgo
ISO 9001 no prescribe una metodología única para documentar riesgos y oportunidades. Una organización puede utilizar matrices, hojas de cálculo, fichas de proceso, software o registros integrados en su documentación operativa.
Una secuencia práctica puede construirse mediante cinco preguntas:
- ¿Qué resultado queremos alcanzar? Por ejemplo, entregar componentes dentro de las especificaciones acordadas.
- ¿Qué incertidumbre podría afectarlo? Por ejemplo, desgaste de una herramienta de mecanizado entre verificaciones.
- ¿Qué consecuencia podría producirse? Piezas fuera de tolerancia, retrabajo o rechazo.
- ¿Qué controles existen? Límites de vida útil, inspección de primera pieza y seguimiento de características críticas.
- ¿Necesitamos una acción adicional? La respuesta depende de la exposición, los controles existentes y los criterios establecidos por la organización.
No todos los riesgos necesitan una escala numérica de probabilidad e impacto. Una matriz puede facilitar la comparación cuando existen numerosos riesgos, pero ISO 9001 no obliga a utilizar matrices 3 × 3, 5 × 5 ni una fórmula específica de criticidad.
Cuando una organización necesita un marco de gestión del riesgo más amplio, ISO 31000:2018 — Risk management — Guidelines ofrece principios y directrices para gestionar riesgos en distintos ámbitos de una organización. Su alcance es más amplio que el requisito específico de planificación de ISO 9001.
Del riesgo a la acción
Identificar un riesgo no modifica un proceso. El análisis empieza a generar utilidad cuando conduce a una decisión y esa decisión se incorpora a la operación.
Imagina una planta que detecta riesgo de interrupción porque un componente crítico proviene de un único proveedor. Registrar la situación es solo el primer paso. La organización podría evaluar proveedores alternativos, revisar niveles de inventario, establecer criterios adicionales de seguimiento o modificar su planificación de compras.
Objetivo → Riesgo → Controles → Acción → Responsable → Seguimiento
La acción debe guardar relación con el efecto que se intenta controlar. Implementar controles adicionales sin comprender el riesgo puede aumentar trabajo y documentación sin mejorar el resultado.
Riesgos y oportunidades
La cláusula 6.1 de ISO 9001 conecta riesgos y oportunidades con la planificación del SGC. Esto significa que el análisis no debería mantenerse como una lista independiente que solo se revisa antes de una auditoría.
La orientación del ISO 9001 Auditing Practices Group sobre auditorías internas muestra un ejemplo de esta integración: los procesos con mayores riesgos, antecedentes de problemas o no conformidades pueden recibir una prioridad distinta dentro del programa de auditoría.
El mismo razonamiento puede aplicarse a:
- Planificación de procesos.
- Cambios en productos, servicios o métodos de trabajo.
- Selección y control de proveedores.
- Competencias y conocimiento organizacional.
- Mantenimiento e infraestructura.
- Seguimiento, medición y auditoría.
Si un riesgo se clasifica como prioritario y después recibe el mismo tratamiento que uno de menor relevancia, la clasificación no está orientando las decisiones.
Las oportunidades también necesitan análisis. Una nueva tecnología de inspección, por ejemplo, podría permitir detectar desviaciones antes dentro del proceso. Antes de implementarla, la empresa tendría que evaluar inversión, capacidad de medición, competencias, mantenimiento, integración con los procesos y resultado esperado.
Vigencia de ISO 9001
Al 31 de agosto de 2026, ISO 9001:2015 continúa como la edición publicada, junto con la Enmienda 1:2024. La sexta edición se encuentra en proceso de publicación. ISO/TC 176 informó en agosto de 2026 que la publicación está programada para septiembre de 2026.
El estado de la revisión puede consultarse en la página oficial de ISO sobre la próxima edición de ISO 9001. Hasta que la nueva edición sea publicada, los borradores no deben presentarse como requisitos vigentes.
Errores frecuentes
El primer error consiste en convertir el pensamiento basado en riesgos en un procedimiento complejo únicamente para demostrar cumplimiento. Una metodología extensa no sustituye la capacidad de identificar qué puede afectar un resultado.
Otro problema es describir riesgos de manera vaga, con expresiones como “mala calidad”, “problemas con proveedores” o “fallas del personal”. Una descripción útil identifica el evento o incertidumbre, el proceso involucrado y su consecuencia posible.
También debe evitarse asignar puntuaciones de probabilidad e impacto sin criterios definidos. Un valor numérico aporta poco cuando distintos responsables interpretan de manera diferente qué significa cada nivel.
Finalmente, implementar una acción sin revisar después su eficacia deja incompleto el ciclo. El seguimiento debe permitir comprobar si el riesgo cambió, si los controles funcionan o si aparecieron nuevos efectos.
Conclusión
El pensamiento basado en riesgos en ISO 9001 permite dirigir la atención hacia aquello que puede impedir o favorecer los resultados del sistema antes de que la organización tenga que reaccionar ante una falla. Su aplicación no depende de una plantilla específica, sino de conectar contexto, objetivos y procesos con decisiones de control y seguimiento.
Una pregunta permite comprobar si el enfoque está integrado: cuando un riesgo relevante cambia, ¿también cambia alguna decisión del proceso? Si la organización puede explicar qué acción adoptó y cómo evalúa su resultado, el análisis está participando en la gestión del SGC.
Desarrolla herramientas para analizar riesgos
En Gestión de riesgos empresariales puedes profundizar en identificación y análisis de riesgos, matrices, actividades de control, evaluación de criticidad y respuestas frente a situaciones que pueden afectar los objetivos de una organización.
Estudiar Gestión de riesgos empresarialesFuentes consultadas
International Organization for Standardization. ISO 9001:2015 — Quality management systems — Requirements. Quinta edición, 2015.
ISO 9001 Auditing Practices Group. Guidance on: Risk Based Thinking. 2016.
International Organization for Standardization. The process approach in ISO 9001:2015. 2015.
ISO 9001 Auditing Practices Group. Guidance on Internal Audit. 2020.
International Organization for Standardization. ISO 31000:2018 — Risk management — Guidelines. Segunda edición, 2018.
International Organization for Standardization. ISO 9001, sexta edición en proceso de publicación. Consultado en agosto de 2026.
MayuGo. Gestión de riesgos empresariales. Página del curso consultada en agosto de 2026.
