Risk based thinking ISO 9001: cos'è e cosa cambia nel 2026

Il risk-based thinking, o pensiero basato sul rischio, è il modo in cui la ISO 9001 chiede di considerare rischi e opportunità in tutto il sistema di gestione per la qualità, invece di affidare la prevenzione a una procedura separata. In pratica: si parte dal contesto, si determinano rischi e opportunità, si pianificano azioni proporzionate, se ne verifica l'efficacia. Il metodo e il livello di documentazione li sceglie l'organizzazione.

Una nota sull'edizione. Dal 16 settembre 2026 UNI distribuisce la nuova UNI EN ISO 9001:2026, che sostituisce la 2015+A1:2024, mentre quasi tutto ciò che si legge in rete descrive la 2015. Qui diciamo cosa resta uguale e cosa cambia nel punto 6.1.

Cosa vuol dire, in parole semplici

Nel testo comune a tutte le norme ISO sui sistemi di gestione, la Harmonized Structure, che UNI ha pubblicato in traduzione italiana con la guida per l'uso, il rischio è definito come "effetto dell’incertezza". La prima nota precisa che un effetto è uno scostamento, positivo o negativo, da quanto atteso.

Due conseguenze pratiche:

• Il rischio non è solo una minaccia. È qualunque scostamento possibile dal risultato atteso: una consegna in ritardo, ma anche una commessa che arriva prima del previsto e trova la produzione impreparata.
• L'opportunità non è il rovescio del rischio. La guida alla HS ricorda che il termine non è definito e ne propone il significato di dizionario, "un momento o un insieme di circostanze che rendono possibile fare qualcosa". Il documento di ISO/TC 176/SC 2 sul risk-based thinking nella ISO 9001:2015 aggiunge che cogliere o non cogliere un'opportunità comporta a sua volta livelli di rischio diversi.

Lo stesso documento usa un esempio quotidiano: prima di attraversare una strada si guarda se arrivano auto, e con traffico intenso si sceglie la passerella anche se allunga il percorso.

Da dove arriva: la fine dell'azione preventiva

Nelle edizioni della ISO 9001 precedenti alla 2015 la prevenzione aveva una clausola propria, l'azione preventiva. Il documento di ISO/TC 176/SC 2 spiega che con la revisione 2015 il rischio viene considerato in modo sistematico in tutto il sistema, invece di trattare la prevenzione come un componente separato: la prevenzione diventa parte della pianificazione, dell'operatività, dell'analisi e della valutazione.

La guida UNI alla Harmonized Structure lo dice in modo netto: la HS non usa il termine "azione preventiva", e "Le azioni intraprese per affrontare i rischi e le opportunità (vedi 6.1) sono di natura preventiva rispetto ai potenziali effetti negativi." Una procedura di azioni preventive si può tenere, ma la norma chiede altro: che il rischio entri nelle decisioni ordinarie.

Dove sta nella norma

Il requisito esplicito è il punto 6.1, Azioni per affrontare rischi e opportunità. Nel testo della HS tradotto da UNI, nel pianificare il sistema di gestione l'organizzazione deve considerare i fattori del punto 4.1 e i requisiti del punto 4.2, e determinare i rischi e le opportunità che è necessario affrontare per:

• fornire assicurazione che il sistema può conseguire i risultati attesi;
• prevenire, o ridurre, gli effetti indesiderati;
• conseguire il miglioramento continuo.

Poi deve pianificare le azioni, il modo di integrarle nei processi e il modo di valutarne l'efficacia. La ISO 9001 aggiunge al testo base requisiti propri, quindi la formulazione esatta va letta sulla norma.

Il punto di partenza sono i punti 4.1 e 4.2: fattori esterni e interni, parti interessate e loro requisiti. Se non l'hai ancora impostata, l'analisi del contesto ISO 9001 è il lavoro da fare prima, perché un elenco di rischi che non discende dal contesto non regge in audit.

Il documento di ISO/TC 176/SC 2 mostra poi come il rischio attraversa la ISO 9001:2015 ben oltre il 6.1:

• punto 5: l'alta direzione promuove la consapevolezza del risk-based thinking e affronta i rischi e le opportunità che possono incidere sulla conformità di prodotti e servizi;
• punti 7 e 8: il rischio è implicito ogni volta che la norma chiede risorse o controlli adeguati o appropriati;
• punto 9: si monitora e si valuta l'efficacia delle azioni prese su rischi e opportunità;
• punto 10: si correggono, si prevengono o si riducono gli effetti indesiderati e si aggiornano rischi e opportunità.

Cosa cambia con la ISO 9001:2026

La fonte più precisa oggi disponibile sulle modifiche è il documento di transizione di Global ACI, TECH-3-TR 2029-09-30 (M), obbligatorio per gli enti di accreditamento firmatari del suo accordo multilaterale di riconoscimento (MRA) e per gli organismi di certificazione accreditati. Fra le modifiche principali elenca la riorganizzazione del punto 6.1 in tre sottopunti, con questi titoli nel testo inglese:

• 6.1.1 "Determining risks and opportunities", cioè la determinazione di rischi e opportunità;
• 6.1.2 "Actions to address risk", le azioni sui rischi;
• 6.1.3 "Actions to address opportunities", le azioni sulle opportunità.

È coerente con quello che scrivono UNI e il comitato ISO responsabile della norma. UNI presenta la nuova edizione come "una lettura interconnessa di rischi e opportunità, a supporto di decisioni strategiche più efficaci". Il comitato ISO/TC 176/SC 2, nella notizia sulla pubblicazione, parla di maggiore chiarezza su rischi e opportunità e di un nuovo Annex A che chiarisce termini chiave e intento dei requisiti.

Nella nostra lettura, per chi ha già un sistema certificato l'impianto non cambia (contesto, determinazione, azioni, verifica), ma le opportunità hanno ora un sottopunto con azioni proprie. Un registro fatto solo di minacce era già debole con la 2015, con la struttura nuova è più difficile da giustificare. Il testo dei nuovi sottopunti va letto sulla norma: qui ci fermiamo ai titoli, che sono ciò che le fonti pubbliche riportano.

Global ACI giudica l'insieme delle modifiche minimo, e fissa questi tempi:

• dal 31 marzo 2028 le certificazioni nuove e iniziali accreditate si rilasciano solo sulla ISO 9001:2026;
• entro il 30 settembre 2029 le organizzazioni certificate sulla 2015 completano la transizione, durante un audit di sorveglianza o di rinnovo oppure con un audit dedicato.

Le date di dettaglio del proprio percorso si concordano con l'organismo di certificazione.

Come si applica, in pratica

La guida dell'ISO 9001 Auditing Practices Group sul risk-based thinking (gruppo di esperti di ISO/TC 176 e IAF) segue il ragionamento di un auditor, ed è una buona traccia anche per chi imposta il sistema.

1. Parti dagli input giusti

La guida APG elenca gli input che l'auditor si aspetta: fattori esterni e interni, direzione strategica, parti interessate e loro requisiti, campo di applicazione, processi. Un rischio che non si collega a nessuno di questi di solito è generico.

2. Determina rischi e opportunità con gli strumenti che hai

La guida APG non indica un metodo unico, e fra le evidenze possibili cita verbali di riunione, analisi SWOT, rapporti sul feedback dei clienti, sessioni di brainstorming, analisi della concorrenza, attività di pianificazione e analisi di processi come progettazione, marketing, produzione e azioni correttive, il riesame di direzione e, se l'organizzazione li ritiene utili, registri di valutazione del rischio.

Un esempio da manifattura del mid-market: un fornitore unico di un componente critico è un rischio sul processo di approvvigionamento. Un cliente che chiede tracciabilità di lotto è un'opportunità: se il sistema si adegua, apre commesse che oggi restano fuori.

3. Pesa i rischi in proporzione

Il documento di ISO/TC 176/SC 2 lo dice esplicitamente: non tutti i processi rappresentano lo stesso livello di rischio rispetto alla capacità di raggiungere gli obiettivi, e alcuni richiedono pianificazione e controlli più attenti di altri. Una matrice probabilità per impatto è uno strumento possibile, non un obbligo. Per chi vuole un riferimento di metodo, la guida alla HS rimanda alla ISO 31000 e alla IEC 31010.

4. Decidi le azioni e mettile dentro i processi

Per la guida APG le azioni possono essere obiettivi rivisti o nuovi, piani d'azione, formazione sul posto di lavoro, istruzioni operative, progetti di miglioramento. Devono vivere nel processo a cui si riferiscono: nell'esempio, la qualifica di un secondo fornitore entra nell'approvvigionamento, con responsabile e scadenza.

5. Verifica che abbiano funzionato, e aggiorna

La guida APG chiede all'auditor di controllare se gli audit interni e la valutazione delle prestazioni tengono conto dell'applicazione efficace del risk-based thinking. Quindi l'audit interno ISO 9001 è il momento in cui si guarda se le azioni hanno ridotto il rischio o colto l'opportunità. E quando un rischio si materializza, il passaggio dalla gestione della non conformità è anche un segnale per rivedere la valutazione fatta.

Come lo guarda l'auditor, e quanto va documentato

La guida APG chiarisce due cose che tolgono molta ansia.

• Non si audita a parte. Il risk-based thinking non si verifica come attività isolata: l'auditor lo cerca lungo tutto l'audit del sistema, compresa l'intervista all'alta direzione.
• La documentazione la decide l'organizzazione. Nella ISO 9001:2015 non c'è un requisito specifico su come documentare i risultati della determinazione di rischi e opportunità. Quanta evidenza documentata serve lo stabilisce l'organizzazione, in base a contesto, dimensioni, cultura, prodotti e servizi, requisiti di legge e dei clienti.

Nella pratica, un registro sintetico che lega ogni rischio e ogni opportunità a contesto, azione, responsabile ed esito resta il modo più semplice per dimostrarlo. La guida APG è del 2016: con la 2026 va riletta sul testo nuovo.

Gli errori che si vedono più spesso

• Il registro compilato una volta, per la certificazione, e mai più aperto: nel frattempo sono cambiati clienti, fornitori e organizzazione.
• Solo minacce, nessuna opportunità, o opportunità scritte come frasi di circostanza senza un'azione collegata.
• Rischi scollegati dal contesto: voci che andrebbero bene per qualunque azienda e non spiegano nessuna scelta del sistema.
• Azioni senza verifica: pianificate, magari fatte, ma nessuno controlla se hanno avuto effetto.
• Un metodo più pesante del necessario: matrici elaborate su processi a basso rischio, e i rischi che contano descritti in una riga.

Risk-based thinking e ISO 27001: non sono la stessa cosa

Chi lavora anche sulla sicurezza delle informazioni nota subito la differenza. La guida UNI alla HS ricorda che la ISO/IEC 27001 include requisiti operativi per la valutazione e il trattamento dei rischi per la sicurezza delle informazioni: lì valutazione e trattamento del rischio sono un processo definito dalla norma stessa. Il risk-based thinking della ISO 9001 è più leggero e lascia all'organizzazione la scelta del metodo.

La base comune esiste, perché le due norme condividono la struttura: chi ha un sistema qualità maturo parte avvantaggiato sulla ISO/IEC 27001, a patto di non scambiare il registro dei rischi qualità per una valutazione del rischio informatico.

In sintesi

Il risk-based thinking porta rischi e opportunità dentro le decisioni del sistema qualità, al posto della vecchia azione preventiva: parte dal contesto, si concretizza nel punto 6.1, si verifica con audit interni e riesame di direzione. Con la ISO 9001:2026 il 6.1 separa le azioni sui rischi da quelle sulle opportunità, e i certificati 2015 vanno portati sulla nuova edizione entro il 30 settembre 2029.

Se stai impostando il sistema o preparando il passaggio alla 2026 e vuoi capire da dove partire, puoi vedere come lavoriamo nella pagina sulla certificazione ISO 9001.