Matriz de riesgos y oportunidades ISO 9001: modelo

Qué pide la norma

---

Lo que exige ISO 9001 y lo que deja a tu criterio

Al planificar el sistema hay que tener en cuenta las cuestiones del contexto (4.1) y los requisitos de las partes interesadas (4.2) y determinar qué riesgos y oportunidades conviene abordar para asegurar los resultados, aumentar los efectos deseables, reducir los no deseados y lograr la mejora.

Después hay que planificar las acciones, integrarlas en los procesos y evaluar su eficacia. Deben ser proporcionales al impacto potencial sobre la conformidad de productos y servicios.

La norma no pide un método formal de gestión del riesgo ni un registro concreto. En la práctica, el auditor pide ver el análisis y su relación con las acciones, y una matriz es la forma más directa de enseñarlo.

En la edición de 2026, según el documento de transición de Global ACI, el apartado 6.1 se divide en tres: determinar los riesgos y oportunidades (6.1.1), las acciones para abordar los riesgos (6.1.2) y las acciones para abordar las oportunidades (6.1.3). Este modelo cita la numeración de 2015; separar en la matriz las filas de riesgo y de oportunidad, cada una con su acción, facilita la correspondencia.

Estructura

---

Campos que debe tener el modelo

• Proceso afectado
• Riesgo u oportunidad, y su origen (cuestión del contexto o parte interesada)
• Probabilidad e impacto con una escala definida
• Nivel resultante y criterio de cuándo hay que actuar
• Acción prevista, responsable y plazo, distinta para riesgos y para oportunidades (6.1.2 y 6.1.3 en la edición de 2026)
• Indicador o forma de evaluar la eficacia
• Resultado de la evaluación y nuevo nivel
• Fecha de la última revisión

En la auditoría

---

Errores que suelen señalar los auditores

• Matriz hecha una vez para la certificación y no revisada nunca.
• Riesgos genéricos sin relación con los procesos («crisis económica»).
• Riesgos de nivel alto sin acción ni justificación de su aceptación.
• Solo riesgos: las oportunidades no aparecen.
• Ninguna relación con las no conformidades repetidas ni con los cambios de contexto.

En Kimobox

---

Cómo se lleva este registro en Kimobox

1. 1Los riesgos y oportunidades se registran por proceso, con responsable, probabilidad, impacto y acción asociada.
2. 2Cada acción tiene plan de mitigación y seguimiento, como cualquier otra tarea del sistema.
3. 3Las no conformidades repetidas se convierten en una entrada automática del mapa de riesgos.
4. 4La eficacia de las acciones llega a la revisión por la dirección sin preparar un informe aparte.

Preguntas frecuentes

---

Lo que nos preguntan antes de empezar