.jpg)
Durante una década, el pensamiento basado en riesgos fue el requisito que más organizaciones resolvieron con el mínimo esfuerzo posible. Con ISO 9001:2026, esa etapa se acaba.
Durante una década, el pensamiento basado en riesgos ha sido el requisito de ISO 9001:2015 que más organizaciones han resuelto con el mínimo esfuerzo posible. Una matriz, una reunión anual, una firma. Cumplido sobre el papel, ignorado en la práctica. Esa etapa se acaba.
Los trabajos de revisión del comité técnico ISO/TC 176 apuntan a un cambio de fondo: el riesgo deja de ser un capítulo aislado de la norma para convertirse en el criterio que atraviesa todas las decisiones del sistema de gestión. No es un ajuste de redacción. Es un cambio de arquitectura.
De requisito puntual a lógica transversal
En la versión de 2015, el pensamiento basado en riesgos aparece formulado como una obligación localizada: identifica riesgos y oportunidades, documenta cómo los abordas, revisa el resultado. Muchas organizaciones lo interpretaron —con razón, dado cómo estaba redactado— como una tarea más dentro del ciclo de auditoría interna.
Lo que se perfila para 2026 es distinto. El riesgo no se va a evaluar como una fase del sistema, sino como el hilo conductor que justifica el resto de decisiones: por qué se cambia un proceso, por qué se lanza una acción correctiva, por qué se prioriza una inversión en formación en lugar de otra. Cada decisión relevante del sistema de gestión va a tener que poder trazarse hasta un riesgo u oportunidad identificado previamente.
Esto tiene una implicación práctica inmediata: la matriz de riesgos anual, estática, que se actualiza para la auditoría y se archiva el resto del año, ya no va a ser defendible. El riesgo tiene que vivir dentro de la operación, no al margen de ella.
Por qué la mayoría de sistemas actuales no están preparados
El diagnóstico es incómodo pero necesario. La mayoría de los sistemas de gestión de calidad certificados hoy tratan el riesgo como un ejercicio de cumplimiento, no como una herramienta de gestión. Esto se nota en tres síntomas recurrentes.
El primero es la desconexión entre la matriz de riesgos y las decisiones reales. Se aprueba un cambio de proveedor, se modifica un proceso productivo o se lanza un nuevo servicio, y nadie vuelve a la matriz para comprobar si ese movimiento estaba contemplado o si genera un riesgo nuevo. El documento y la operación viven en universos separados.
El segundo es la ausencia de trazabilidad hacia atrás. Cuando surge una no conformidad grave, rara vez se puede reconstruir si el riesgo que la originó estaba identificado, infravalorado o simplemente ignorado. Sin esa trazabilidad, el sistema no aprende de sus propios fallos con la profundidad que debería.
El tercero es la superficialidad del análisis. Muchas matrices de riesgo se construyen con categorías genéricas —«pérdida de un cliente clave», «fallo de suministro»— que no se traducen en probabilidad, impacto y controles concretos. Son documentos que existen para justificar una casilla, no para tomar decisiones.
Qué va a exigir en la práctica la nueva versión
Con el texto definitivo todavía en revisión, hay tres líneas que se pueden anticipar con razonable seguridad a partir de los trabajos del comité técnico.
Trazabilidad documentada entre riesgo y decisión. Cada acción correctiva, cada cambio de proceso relevante y cada nueva actividad va a necesitar una referencia explícita a la evaluación de riesgos que la sustenta. No basta con que el riesgo exista en un documento aparte; tiene que estar vinculado formalmente a la decisión que motiva.
Revisión dinámica, no solo periódica. El riesgo se va a tener que reevaluar cuando cambian las condiciones que lo generaron —un nuevo cliente, un cambio regulatorio, una incidencia operativa—, no únicamente en la revisión anual programada. Esto obliga a integrar el análisis de riesgos en los procesos de gestión del cambio de la organización, no mantenerlo como un ejercicio independiente.
Evidencia de que el análisis influye en el comportamiento del sistema. Los auditores no van a limitarse a comprobar que la matriz existe. Van a buscar ejemplos concretos de decisiones que se tomaron —o se descartaron— como consecuencia directa de una evaluación de riesgos. Si el sistema no puede aportar esos ejemplos, la brecha va a quedar en evidencia con rapidez.
El punto de fricción con el resto de la norma
El pensamiento basado en riesgos no va a funcionar de forma aislada: es probable que la revisión lo conecte directamente con las áreas de gestión del conocimiento organizacional y de integración con otros sistemas de gestión. Una organización que identifica un riesgo pero no tiene un mecanismo para retener el conocimiento que permitiría mitigarlo está, en la práctica, incumpliendo dos requisitos a la vez sin saberlo. Lo mismo ocurre con las organizaciones que gestionan ISO 14001, ISO 45001 o ISO 27001 en paralelo: si cada sistema evalúa el riesgo de forma independiente y con criterios distintos, la incoherencia va a resultar visible en cualquier auditoría integrada.
Este es el motivo por el que abordar el pensamiento basado en riesgos como un capítulo aislado sería un error de planteamiento. Hay que tratarlo como el eje que conecta el resto de bloques de la transición: conocimiento organizacional, integración de sistemas, digitalización de la evidencia y liderazgo.
Cómo empezar a construir esa lógica antes de que llegue el texto definitivo
No hace falta esperar a la publicación oficial de la norma para empezar a corregir el enfoque. Hay tres pasos que cualquier organización puede iniciar ya.
El primero es auditar la matriz de riesgos actual, no para actualizarla, sino para preguntarse cuántas de las decisiones tomadas en el último año pueden vincularse a ella. Si la respuesta es «pocas» o «ninguna», el problema no es de formato, es de fondo.
El segundo es establecer un mecanismo —por sencillo que sea— para que toda acción correctiva relevante incluya una referencia explícita al riesgo u oportunidad que la motiva. Esto no requiere nueva tecnología ni grandes inversiones; requiere disciplina y un cambio de hábito en quienes gestionan el sistema.
El tercero es revisar si el análisis de riesgos actual tiene la profundidad suficiente para sostener decisiones reales, o si se ha quedado en categorías genéricas que no aportan información accionable. Esta revisión suele beneficiarse de una mirada externa, precisamente porque quien gestiona el sistema día a día tiende a normalizar sus propias carencias.
El riesgo como criterio de gestión, no como trámite de auditoría
La transición a ISO 9001:2026 va a premiar a las organizaciones que ya entienden el riesgo como una herramienta de gestión cotidiana, y va a penalizar con evidencia a las que lo siguen tratando como un documento que se actualiza para quedar bien ante el auditor. La diferencia entre unas y otras no se va a medir en el volumen de la matriz de riesgos, sino en su capacidad de explicar por qué el sistema es como es.
Construir esa capacidad lleva tiempo. Empezar ahora, con el margen que da la fase de revisión, es la diferencia entre adaptar el sistema con criterio o reaccionar contra reloj cuando el texto definitivo esté publicado.
