Matriz de riscos e oportunidades ISO 9001: modelo

O que a norma exige

---

O que o referencial ISO 9001 exige e o que fica ao seu critério

Ao planear o sistema, é preciso ter em conta as questões do contexto (4.1) e os requisitos das partes interessadas (4.2) e determinar que riscos e oportunidades convém tratar para assegurar os resultados, aumentar os efeitos desejáveis, reduzir os indesejáveis e alcançar a melhoria.

Depois é preciso planear as ações, integrá-las nos processos e avaliar a sua eficácia. Devem ser proporcionais ao impacto potencial na conformidade dos produtos e serviços.

A norma não pede um método formal de gestão do risco nem um registo concreto. Na prática, o auditor pede para ver a análise e a sua relação com as ações, e uma matriz é a forma mais direta de o mostrar.

Na edição de 2026, segundo o documento de transição da Global ACI, a cláusula 6.1 divide-se em três: determinar os riscos e oportunidades (6.1.1), as ações para tratar os riscos (6.1.2) e as ações para tratar as oportunidades (6.1.3). Este modelo cita a numeração de 2015; separar na matriz as linhas de risco e de oportunidade, cada uma com a sua ação, facilita a correspondência.

Estrutura

---

Campos que o modelo deve ter

• Processo afetado
• Risco ou oportunidade, e a sua origem (questão do contexto ou parte interessada)
• Probabilidade e impacto com uma escala definida
• Nível resultante e critério de quando é preciso atuar
• Ação prevista, responsável e prazo, distinta para riscos e para oportunidades (6.1.2 e 6.1.3 na edição de 2026)
• Indicador ou forma de avaliar a eficácia
• Resultado da avaliação e novo nível
• Data da última revisão

Na auditoria

---

Erros que os auditores costumam apontar

• Matriz feita uma vez para a certificação e nunca mais revista.
• Riscos genéricos sem relação com os processos («crise económica»).
• Riscos de nível alto sem ação nem justificação da sua aceitação.
• Só riscos: as oportunidades não aparecem.
• Nenhuma relação com as não conformidades repetidas nem com as alterações de contexto.

No Kimobox

---

Como se gere este registo no Kimobox

1. 1Os riscos e oportunidades são registados por processo, com responsável, probabilidade, impacto e ação associada.
2. 2Cada ação tem plano de mitigação e acompanhamento, como qualquer outra tarefa do sistema.
3. 3As não conformidades repetidas convertem-se numa entrada automática do mapa de riscos.
4. 4A eficácia das ações chega à revisão pela gestão sem preparar um relatório à parte.

Perguntas frequentes

---

O que nos perguntam antes de começar