Gestão de Riscos na ISO 9001: como aplicar o processo em 7 etapas

A gestão de riscos na ISO 9001 é uma exigência da norma: desde a versão 2015, o requisito 6.1 determina que a organização identifique riscos e oportunidades que possam afetar sua capacidade de atingir os resultados pretendidos — e planeje ações para tratá-los.

Toda empresa convive com incerteza. A diferença entre organizações maduras e organizações que só “apagam incêndio” está em como elas lidam com essa incerteza de forma estruturada — e, se sua empresa é certificada ISO 9001, essa estruturação deixou de ser opcional.

A norma, no entanto, não dita o passo a passo de como fazer isso. Por isso, a grande maioria das empresas certificadas recorre à ISO 31000 como referência metodológica. Neste artigo você vai entender o que a ISO 9001 exige, por que a ISO 31000 é usada como apoio, as 7 etapas desse processo, um exemplo prático de matriz de risco e como conectar tudo isso à rotina de auditoria.

Índice:

• O que a ISO 9001 exige
• Por que usar a ISO 31000 como referência
• As 7 etapas do processo de gestão de riscos
• Exemplo prático: matriz de probabilidade X impacto
• Riscos, não conformidades e auditoria
• Perguntas frequentes sobre gestão de riscos

O que a ISO 9001 exige sobre gestão de riscos

A ISO 9001:2015 foi a versão que consolidou o chamado “pensamento baseado em risco” como um dos pilares do Sistema de Gestão da Qualidade. O requisito 6.1 (Ações para abordar riscos e oportunidades) exige que a organização:

• Determine os riscos e oportunidades que precisam ser abordados para garantir que o SGQ alcance os resultados pretendidos;
• Planeje ações para tratar esses riscos e oportunidades, de forma proporcional ao seu potencial impacto na conformidade de produtos e serviços;
• Integre e implemente essas ações nos processos do sistema de gestão, avaliando sua eficácia.

O que a norma não faz é indicar uma metodologia específica de como identificar, analisar e tratar esses riscos — essa liberdade é proposital, para que empresas de qualquer porte e setor possam aplicar o requisito à sua realidade. Mas, na prática, essa liberdade também é a maior fonte de dúvida de quem está implementando ou mantendo a certificação: “tudo bem, mas gestão de riscos como, exatamente?”

Por que a ISO 31000 é usada como referência

É aqui que entra a ISO 31000. Ela é a norma internacional de diretrizes para gestão de riscos — mas, diferente da ISO 9001, não é uma norma certificável. Ninguém audita “conformidade com a ISO 31000“; ela funciona como um guia de boas práticas.

Por isso, a combinação mais comum no mercado é: a ISO 9001 exige que a empresa trate riscos (requisito 6.1), e a ISO 31000 (versão vigente: 2018) oferece o processo estruturado para fazer isso de forma consistente, documentável e defensável em auditoria. Usar a ISO 31000 como referência metodológica é, na prática, uma das formas mais reconhecidas de demonstrar a um auditor que a gestão de riscos da empresa não é feita de forma improvisada.

As 7 etapas do processo de gestão de riscos

O processo descrito pela ISO 31000:2018 é dividido em sete etapas. É esse processo que a maioria das empresas certificadas ISO 9001 adapta internamente para cumprir o requisito 6.1.

1. Estabelecer o contexto

Esta é a etapa que define os critérios que vão orientar todas as decisões seguintes — por isso, um erro aqui se propaga para o restante do processo.

Ela envolve duas frentes:

• Contexto externo: fatores culturais, sociais, políticos, legais, regulatórios, financeiros, tecnológicos, econômicos e competitivos — nas esferas internacional, nacional, regional ou local.
• Contexto interno: governança, estrutura organizacional, papéis e responsabilidades, estratégia, capacidades (pessoas, tempo, processos, sistemas, tecnologia), cultura organizacional e fluxos de tomada de decisão.

É também nesta etapa que se definem os critérios de risco — ou seja, o que a empresa considera “alto” ou “baixo” impacto, e qual o apetite ao risco da organização. Esses critérios são exatamente o que um auditor vai pedir para ver documentado ao avaliar o requisito 6.1.

2. Identificação de riscos

Aqui o objetivo é gerar uma lista abrangente de riscos — eventos que podem criar, aumentar, reduzir, acelerar ou atrasar o alcance dos objetivos da empresa e a conformidade de produtos e serviços, que é o que a ISO 9001 quer proteger. Isso inclui riscos sob controle direto da organização e riscos externos.

Técnicas comuns nesta etapa incluem brainstorming estruturado, entrevistas com áreas-chave, análise de histórico de não conformidades e ferramentas como o Diagrama de Ishikawa.

3. Análise de riscos

A análise busca entender, para cada risco identificado, suas causas, suas fontes, suas consequências (positivas e negativas) e a probabilidade de que essas consequências ocorram.

Essa etapa pode ser qualitativa (usando escalas como baixo/médio/alto), quantitativa (usando dados numéricos e estatísticos) ou uma combinação das duas — a escolha depende da maturidade e dos dados disponíveis na organização.

4. Avaliação de riscos

A avaliação usa o resultado da análise para apoiar a tomada de decisão: com base na probabilidade e no impacto identificados, define-se a criticidade do risco.

Por exemplo: se a análise mostrou que um risco tem 90% de probabilidade de ocorrer com impacto muito alto, sua criticidade é alta — e ele exige atenção prioritária. É nesta etapa que a empresa responde: quais riscos precisam de tratamento, na linguagem do requisito 6.1? Qual a ordem de prioridade?

5. Tratamento de riscos

O tratamento é o momento de agir — é literalmente o “planeje ações” citado no requisito 6.1 da ISO 9001. Com base no que foi decidido na avaliação, a empresa escolhe estratégias para modificar o risco:

• Eliminar: remover a fonte do risco por completo;
• Mitigar: reduzir a probabilidade ou o impacto do risco;
• Compartilhar/transferir: dividir o risco com terceiros, por exemplo via seguro ou contrato;
• Aceitar: manter o risco, de forma consciente e documentada, quando o custo do tratamento supera o benefício;
• Explorar/aproveitar: quando o risco representa uma oportunidade — lembrando que a ISO 9001 fala em “riscos e oportunidades” no mesmo requisito.

6. Comunicação e consulta

Esta é uma atividade contínua, que acontece durante todo o processo — não é uma etapa isolada no fim. Envolve compartilhar e obter informações em diálogo constante com as partes interessadas, garantindo que os dados certos estejam disponíveis para quem precisa tomar decisões.

7. Monitoramento e análise crítica

O monitoramento é a verificação contínua da situação para identificar mudanças — porque a probabilidade e o impacto de um risco mudam conforme novas informações surgem.

Um exemplo simples: a probabilidade de alguém ser atropelado enquanto trabalha em um escritório é baixa. Mas se essa mesma pessoa sai para trabalhar no meio da rua, a probabilidade muda completamente — mesmo sendo a mesma pessoa, a mesma tarefa. O cenário mudou, e o risco precisa ser reavaliado.

Por isso, o erro mais comum nesta etapa é tratar a gestão de riscos como um exercício pontual: mapear os riscos uma vez, imprimir, colar na parede e nunca mais revisar. Em auditoria, é justamente a ausência de monitoramento contínuo que costuma gerar não conformidades relacionadas ao requisito 6.1.

Neste episódio do Qualicast, nós abordamos um pouco mais sobre a gestão de riscos de forma simples e prática.

Exemplo prático: matriz de probabilidade x impacto

Uma das ferramentas mais usadas nas etapas de análise e avaliação é a matriz de risco, que cruza probabilidade e impacto para visualizar rapidamente a criticidade de cada risco:

Riscos que caem nas células “Crítico” e “Alto” tendem a exigir tratamento imediato; riscos em “Baixo” podem, dependendo do critério definido no contexto, ser aceitos sem ação adicional. O importante é que os critérios de cada faixa sejam definidos previamente, na etapa de estabelecimento de contexto — e que essa matriz esteja disponível como evidência documentada para a auditoria do requisito 6.1.

Riscos, não conformidades e auditoria: como tudo se conecta na ISO 9001

Um erro comum é tratar a gestão de riscos como um processo isolado, desconectado do restante do Sistema de Gestão da Qualidade. Na prática, o requisito 6.1 se conecta diretamente a outros pontos que um auditor vai avaliar:

• Não conformidades recorrentes costumam apontar para riscos que não foram identificados ou tratados adequadamente — o histórico de não conformidades é, inclusive, uma boa fonte para a etapa de identificação;
• Ações corretivas e planos de ação devem estar rastreáveis a partir dos riscos que os originaram;
• Indicadores de desempenho ajudam a evidenciar se o tratamento de um risco está, de fato, reduzindo sua probabilidade ou impacto ao longo do tempo;
• Análise crítica pela direção é o momento formal de revisar se o processo de gestão de riscos como um todo continua adequado — não só riscos individuais.

Quando esses pontos estão conectados, a gestão de riscos deixa de ser um documento que só existe para a auditoria e passa a ser, de fato, parte da rotina de melhoria contínua do SGQ.

Como melhorar o processo de gestão de riscos na prática

Depois de mapeadas as sete etapas, alguns fatores fazem a diferença entre um processo que existe só no papel e um que realmente sustenta a conformidade com o requisito 6.1 da ISO 9001:

• Centralizar os riscos em um único lugar, acessível a quem precisa consultá-los — e não em planilhas isoladas por área;
• Vincular cada risco a um responsável e a um prazo de revisão, para que o monitoramento (etapa 7) não seja esquecido;
• Conectar a gestão de riscos aos planos de ação e às não conformidades, para que o tratamento gere rastreabilidade real diante de uma auditoria;
• Usar indicadores para acompanhar a evolução da criticidade dos riscos ao longo do tempo, não só o retrato de um único momento.

É exatamente para isso que soluções como o Qualiex existem: centralizar a gestão de riscos dentro do mesmo sistema que já gerencia não conformidades, ações e auditorias da ISO 9001 — sem depender de planilhas espalhadas ou de atualização manual.

Qualiex: o melhor software para a gestão da qualidade!

Com a ajuda do Qualiex você consegue fazer uma gestão sistêmica e profissional dos processos em sua empresa. Elimine planilhas, ganhe tempo, garanta a conformidade com os requisitos aplicáveis e foque seus recursos no que realmente importa.

E tem mais: Se você é pequena empresa pode contar com a tecnologia Qualiex disponível sob medida para sua organização.

Além de sermos o melhor software para gestão da qualidade, te ajudamos com cursos de especialistas voltados à qualidade, excelência e gestão por meio da Saber Gestão. Por isso, não perca mais tempo, entre em contato conosco!

Perguntas frequentes sobre gestão de riscos na ISO 9001