Approfondimenti · 5 min di lettura

ISO 9001 punto 6.1: il risk-based thinking non è un registro dei rischi

Il punto 6.1 non richiede alcun registro dei rischi. Non richiede alcuna metodologia, alcuna matrice, alcun punteggio e nessuna informazione documentata.

Pubblicato da CAS — Conformity Assessment Services · 4 settembre 2026

Il punto 6.1 non richiede alcun registro dei rischi. Non richiede alcuna metodologia, alcuna matrice, alcun punteggio e nessuna informazione documentata.

Ciò che la maggior parte delle organizzazioni produce in risposta è un foglio di calcolo con colonne di probabilità e gravità, compilato una volta sola, con punteggi assegnati su una scala che nessuno ha tarato e riesaminato ogni anno perché lo prevede una procedura. Quell'artefatto può esistere accanto alla conformità. Non è ciò che il punto chiedeva e, da solo, non la dimostra.

Che cosa dice il punto

Nel pianificare il sistema di gestione per la qualità, l'organizzazione deve considerare i fattori di cui al punto 4.1 e i requisiti di cui al punto 4.2 e determinare i rischi e le opportunità che è necessario affrontare per fornire assicurazione che il sistema possa conseguire i risultati attesi, accrescere gli effetti desiderati, prevenire o ridurre gli effetti indesiderati e conseguire il miglioramento.

Deve poi pianificare le azioni per affrontarli, pianificare come integrare e attuare tali azioni nei suoi processi e valutare l'efficacia di tali azioni.

E: le azioni intraprese devono essere proporzionate all'impatto potenziale sulla conformità di prodotti e servizi.

Rileggete quella sequenza, perché vi si nascondono quattro obblighi distinti — determinare, pianificare, integrare, valutare — e la maggior parte delle attuazioni si ferma dopo i primi due.

Il "risk-based thinking" non è un processo da installare

L'espressione compare nell'introduzione della ISO 9001, dove illustra il concetto alla base della norma. Non è un punto che vi impone di condurre un processo di gestione del rischio, e la norma non richiede la conformità alla ISO 31000 né ad alcun'altra metodologia sui rischi.

Questa distinzione ha conseguenze pratiche. Un'organizzazione che adotta un quadro formale di gestione del rischio perché ritiene che il punto 6.1 lo esiga si è assunta obblighi che la norma non ha mai imposto — e sarà sottoposta ad audit rispetto al quadro che ha scelto, perché un processo documentato diventa verificabile in audit nel momento in cui esiste.

La norma lascia aperto il metodo. Si tratta di una facoltà, e viene regolarmente letta come un'omissione da colmare con un modello.

A valle del punto 4.1 — strutturalmente

Il punto non dice determinare i vostri rischi. Dice considerare i fattori di cui al punto 4.1 e i requisiti di cui al punto 4.2, e determinare i rischi e le opportunità che è necessario affrontare.

La parola considerare svolge un lavoro strutturale. Il punto 6.1 si colloca per costruzione a valle del contesto e delle parti interessate, ed è questo il collegamento che un gruppo di audit segue più spesso.

Ecco perché un registro dei rischi popolato a partire da un elenco generico di pericoli di settore — anziché da ciò che l'organizzazione ha determinato sulla propria situazione — spezza il filo. Ogni voce può essere plausibile. Nessuna di esse arriva da qualche parte.

La metà che sparisce: le opportunità

Il punto dice rischi e opportunità, e la maggior parte dei registri è interamente rischio.

La nota della norma stessa è specifica su come possono presentarsi le opportunità: adottare nuove prassi, lanciare nuovi prodotti, aprire nuovi mercati, rivolgersi a nuovi clienti, costruire partnership, utilizzare nuove tecnologie e altre possibilità desiderabili e praticabili.

Nulla di tutto ciò è una minaccia espressa al contrario, e nulla di ciò entra agevolmente in una griglia di probabilità e gravità. Ed è in parte per questo che viene lasciato cadere — lo strumento a cui si è fatto ricorso non è in grado di contenerlo.

"Proporzionate all'impatto potenziale sulla conformità"

Questa espressione è il filtro, ed è più stretta del rischio d'impresa in generale.

Il criterio è l'impatto sulla conformità di prodotti e servizi. Una minaccia commerciale reale che non incide sulla conformità del vostro prodotto non è ciò di cui tratta il punto 6.1 — può essere un fattore ai sensi del punto 4.1, ma le azioni richieste dal punto 6.1 sono calibrate sulla conformità di prodotti e servizi.

La proporzionalità opera anche verso il basso. Un rischio dall'impatto trascurabile non richiede una risposta elaborata, e un'organizzazione che tratta ogni voce con lo stesso peso ha smesso di distinguere — che è l'opposto di ciò che il punto chiede.

L'obbligo che quasi tutti trascurano

Il punto 6.1.2 richiede che l'organizzazione pianifichi come valutare l'efficacia delle azioni intraprese.

Non se l'azione sia stata completata. Se abbia funzionato.

Un registro che riporta trenta azioni tutte contrassegnate come "fatto" risponde a una domanda diversa. L'effetto indesiderato si è ridotto? Quello desiderato è aumentato? Il rischio è ancora presente? Un gruppo di audit che pone queste domande non sta facendo il difficile; sta leggendo il punto.

Che cosa cercano gli auditor

Che la determinazione sia riconducibile al contesto. Non che esista un registro — che il suo contenuto provenga dal punto 4.1 e dal punto 4.2 e non da un modello.

Che compaiano le opportunità. La loro completa assenza indica che il punto è stato letto come riguardante il solo rischio.

Che le azioni siano state integrate nei processi, non tenute come un elenco parallelo che nessuno di coloro che gestiscono il processo ha mai visto.

Che l'efficacia sia stata valutata. È qui che le evidenze di solito si assottigliano.

Che la proporzionalità sia visibile. Risposte diverse a impatti diversi, anziché un trattamento uniforme di tutto.

Nulla di tutto ciò richiede un documento particolare. Tutto ciò richiede che qualcuno abbia pensato e che il pensiero abbia lasciato una traccia.

Perché il registro è diventato la risposta predefinita

Il punto 6.1 è arrivato con la revisione del 2015, in sostituzione dell'azione preventiva. Le organizzazioni in transizione non avevano un equivalente su cui mapparlo, e gli strumenti disponibili erano registri dei rischi presi in prestito da altre discipline.

A dieci anni di distanza, il registro è diventato così consueto da essere scambiato per il requisito. È un metodo legittimo — uno dei diversi che la norma consente e nessuno dei quali impone. L'errore non è usarne uno. L'errore è produrne uno e credere che il punto sia soddisfatto perché esso esiste.