Tabla de Contenidos
Qué exige la cláusula 6.1 (literal)
El texto canónico de ISO 9001:2015 cláusula 6.1.2 dice:
"La organización debe planificar: a) las acciones para abordar estos riesgos y oportunidades; b) la manera de: 1) integrar e implementar las acciones en sus procesos del sistema de gestión de la calidad; 2) evaluar la eficacia de estas acciones."
Tres exigencias prácticas para auditoría:
- Determinación documentada de riesgos y oportunidades.
- Acciones planificadas e integradas al SGC.
- Evaluación de eficacia de las acciones tomadas.
La cláusula 6.1.1 establece el contexto: los riesgos y oportunidades deben evaluarse considerando los aspectos de la cláusula 4.1 (contexto) y los requisitos de la cláusula 4.2 (partes interesadas). Es decir: no se evalúan riesgos en abstracto sino vinculados al contexto operativo y las expectativas de los stakeholders.
4 metodologías aceptadas en auditoría
1 · Matriz Severidad × Probabilidad (la más común)
Cada riesgo se evalúa en dos dimensiones: severidad del impacto si ocurriera (1-5) y probabilidad de ocurrencia (1-5). Score = Severidad × Probabilidad. Riesgos > 12 = críticos, 8-12 = significativos, < 8 = aceptables. Es simple, escalable, defendible. La que recomiendo a PyMEs.
2 · ISO 31000 framework
Marco más formal con principios, procesos y definiciones consistentes. Apropiado para empresas medianas/grandes con cultura de gestión de riesgos madura. Requiere training del equipo en la norma. Para PyMEs suele ser overkill.
3 · FMEA (Failure Mode and Effect Analysis)
Analiza modos de falla de procesos y productos · severidad, ocurrencia, detectabilidad → RPN (Risk Priority Number). Excelente para fabricantes. Para empresas de servicios profesionales puede ser excesivamente técnica.
4 · SWOT estructurado
Análisis Fortalezas/Debilidades/Oportunidades/Amenazas con cuantificación. Aceptable si está documentado con criterios de scoring. Útil para empresas pequeñas en sectores con poca regulación.
En auditoría G-CERTI la metodología más vista es matriz S×P (60% de los casos), seguida por ISO 31000 (25%), FMEA (10%) y SWOT (5%).
Matriz mínima auditable · plantilla
| ID | Categoría | Descripción | S | P | Score | Acción | Responsable | Plazo | Eficacia |
|---|---|---|---|---|---|---|---|---|---|
| R-01 | Operativo | Pérdida proveedor crítico A | 5 | 2 | 10 | Calificar 2do proveedor | Compras | Q3 | 2do prov calificado |
| R-02 | Tecnológico | Caída ERP > 4h | 4 | 3 | 12 | Backup ERP secundario | TI | Q2 | RTO 2h verificado |
| O-01 | Mercado | Nuevo segmento agroindustria | +4 | 3 | +12 | Plan comercial vertical | Comercial | Q3 | 3 ventas Q3 |
Esta matriz cumple cláusula 6.1 si: cubre los procesos críticos del SGC, las acciones están vinculadas a responsables y plazos reales, y la columna eficacia tiene evidencia documentada.
No olvidar oportunidades · el error más frecuente
El 70% de las matrices que veo en auditoría tienen solo riesgos · no oportunidades. Es NC menor automática. La cláusula 6.1 dice "riesgos Y oportunidades" · ambas son requisito.
Oportunidades típicas en una PyME industrial:
- Acceso a nuevos mercados/canales (regional, internacional, e-commerce)
- Adopción de nueva tecnología que mejora calidad o eficiencia
- Expansión de portafolio de productos/servicios
- Alianzas estratégicas con proveedores o clientes
- Captura de tendencias regulatorias (anticipar normativa)
- Atracción de talento por reputación de calidad certificada
Las oportunidades se evalúan en signo positivo (+severidad = beneficio potencial) y se planifican acciones para capturarlas.
Errores típicos que generan NCs
- Matriz de riesgos sin acciones planificadas. Identificar riesgos sin definir qué hacer con ellos = ejercicio teórico. NC mayor.
- Acciones sin verificación de eficacia. "Implementamos la acción" no es lo mismo que "el riesgo se mitigó". NC menor.
- Solo riesgos, sin oportunidades. Lectura sesgada de la cláusula. NC menor automática.
- Riesgos genéricos sin vincularse al contexto. "Riesgo de pandemia" sin análisis específico de cómo afecta a la organización = riesgo declarado pero no evaluado. NC menor.
- Matriz no actualizada en 18+ meses. Los riesgos cambian con el contexto. Una matriz estática es señal de que el sistema no vive. NC menor.
- Sin trazabilidad a la revisión por la dirección. Cláusula 9.3.2.b exige que la revisión por la dirección considere el desempeño del SGC, incluyendo riesgos y oportunidades. Si la matriz no se discute en revisión por la dirección, hay desconexión.
Conclusión · cómo no convertirlo en burocracia
La cláusula 6.1 puede convertirse en un Excel inútil de 200 filas que nadie mira. O puede convertirse en la herramienta que efectivamente prioriza decisiones de la dirección. La diferencia es cómo se conecta con el resto del SGC.
Tres reglas operativas:
- Empezar por procesos, no por riesgos. Identificar primero los procesos críticos del SGC (~5-8 procesos en una PyME). Luego para cada proceso, identificar 3-5 riesgos típicos. Llegará a 25-40 riesgos · cantidad manejable.
- Acciones realistas, no aspiracionales. Si la acción es "mejorar la cultura de calidad", no es accionable. Si es "implementar checklist de revisión semanal con 5 puntos", sí.
- Revisar trimestral, actualizar anual. Cada trimestre miramos la matriz en revisión por la dirección · cada año actualizamos. No hace falta más, no debería ser menos.
— Fernando Arrieta, Director Técnico G-CERTI.
Compartir este artículo
Auditor líder
Auditor líder en 6 normas ISO. Representante regional de G-CERTI para el mercado hispanohablante y miembro del International Accreditation Center (IAC). Columnista y voz pública en certificación, cumplimiento, IA y calidad.
