Matrice dei rischi e delle opportunità ISO 9001: modello

Che cosa richiede la norma

---

Che cosa impone la norma ISO 9001 e che cosa lascia alla sua discrezione

Nel pianificare il sistema occorre considerare i fattori del contesto (4.1) e i requisiti delle parti interessate (4.2) e determinare quali rischi e opportunità sia necessario affrontare per assicurare i risultati, accrescere gli effetti desiderati, ridurre quelli indesiderati e conseguire il miglioramento.

Poi bisogna pianificare le azioni, integrarle nei processi e valutarne l’efficacia. Devono essere proporzionate all’impatto potenziale sulla conformità di prodotti e servizi.

La norma non chiede un metodo formale di gestione del rischio né una registrazione specifica. In pratica l’auditor chiede di vedere l’analisi e il suo legame con le azioni, e una matrice è il modo più diretto per mostrarlo.

Nell’edizione 2026, secondo il documento di transizione di Global ACI, il punto 6.1 si suddivide in tre: determinazione di rischi e opportunità (6.1.1), azioni per affrontare i rischi (6.1.2) e azioni per affrontare le opportunità (6.1.3). Questo modello cita la numerazione del 2015; separare nella matrice le righe di rischio e di opportunità, ciascuna con la sua azione, facilita la corrispondenza.

Struttura

---

Campi che il modello deve contenere

• Processo interessato
• Rischio od opportunità, e sua origine (fattore del contesto o parte interessata)
• Probabilità e impatto su una scala definita
• Livello risultante e criterio che stabilisce quando intervenire
• Azione prevista, responsabile e scadenza, distinta per rischi e per opportunità (6.1.2 e 6.1.3 nell’edizione 2026)
• Indicatore o modalità di valutazione dell’efficacia
• Esito della valutazione e nuovo livello
• Data dell’ultima revisione

In audit

---

Errori che gli auditor rilevano più spesso

• Matrice compilata una sola volta per la certificazione e mai più rivista.
• Rischi generici senza legame con i processi («crisi economica»).
• Rischi di livello alto senza azione né motivazione della loro accettazione.
• Solo rischi: le opportunità non compaiono.
• Nessun legame con le non conformità ripetute né con le modifiche del contesto.

In Kimobox

---

Come si gestisce questa registrazione in Kimobox

1. 1Rischi e opportunità si registrano per processo, con responsabile, probabilità, impatto e azione associata.
2. 2Ogni azione ha un piano di mitigazione e un monitoraggio, come qualsiasi altra attività del sistema.
3. 3Le non conformità ripetute diventano un input automatico della mappa dei rischi.
4. 4L’efficacia delle azioni arriva al riesame della direzione senza preparare un rapporto a parte.

Domande frequenti

---

Cosa ci chiedono prima di iniziare