Riscos e oportunidades na ISO 9001:2026: por que a norma separou os dois

Se você abrir hoje a planilha de riscos e oportunidades da sua empresa, quantas das linhas listadas como "oportunidade" são, na verdade, melhoria de algo que já existe? Essa foi a provocação central da live semanal da Templum sobre riscos e oportunidades, conduzida por Daniela Albuquerque, sócia-diretora técnica da empresa — e a resposta da maioria das empresas, segundo ela, é: quase todas.

O tema foi escolhido por enquete pelos próprios participantes e ganhou de lavada de "processos", provavelmente por causa de uma das mudanças mais comentadas da nova revisão da ISO 9001: a separação, dentro da cláusula 6.1, entre as ações para abordar riscos e as ações para abordar oportunidades. A norma ainda não foi publicada — a discussão trabalha com o texto do FDIS, com publicação oficial esperada para setembro.

De onde viemos: ação preventiva, mentalidade de risco e a oportunidade esquecida

Antes da versão 2015, o que existia era a ação preventiva: agir sobre potenciais efeitos indesejados. Era um requisito importante, mas historicamente mal aplicado — difícil de explicar para o time interno, difícil de explicar para o cliente, difícil de evidenciar na prática.

A versão 2015 substituiu a ação preventiva pela mentalidade de risco, e aí o requisito cumpriu seu papel: as empresas de fato incorporaram a lógica de antecipar o que pode dar errado, como nunca tinham feito antes. O problema é que o pacote vinha com duas metades. Risco, na versão 2015, era o efeito da incerteza — que podia ser negativo ou positivo, e o positivo era a oportunidade.

Passados dez anos, o diagnóstico é claro: as empresas aplicaram muito bem a parte de risco, e a parte de oportunidade virou a nova ação preventiva. Ficou como linha de planilha, sem que a organização entendesse a oportunidade como aquilo que ela realmente deveria ser — uma alavanca de crescimento do negócio.

O que muda na ISO 9001:2026

A nova revisão desfaz o "efeito positivo ou negativo" e separa os dois conceitos. A cláusula 6.1 passa a se desdobrar em dois subitens distintos: ações para abordar riscos e ações para abordar oportunidades.

As definições do anexo da norma, em tradução livre, deixam a separação explícita:

• Risco — o efeito da incerteza que pode ter um impacto negativo sobre a capacidade do sistema de gestão da qualidade de alcançar os resultados pretendidos.
• Oportunidade — circunstâncias que tornam possível alcançar efeitos benéficos sobre o sistema de gestão da qualidade.

E o texto vai além: riscos e oportunidades são distintos, e podem ser determinados e abordados por meio de processos separados. Ou seja, não é uma mudança de redação — é uma mudança conceitual. Risco passa a estar atrelado ao efeito negativo; oportunidade, ao ganho.

Mas, como ficou claro na live, a separação dos subitens não é o ponto mais importante. O ponto é o que ela obriga a organização a esclarecer.

Erro nº 1: chamar de risco um problema que já acontece

Esse é o erro mais comum quando se olha o mapeamento de processos de uma empresa. O processo de operação tem histórico de atrasos, então alguém escreve, no campo de riscos: "não cumprimento de prazo".

Se isso já aconteceu, não é risco. É problema. É não conformidade — e o lugar dela é na cláusula de melhoria, no fim da norma.

A razão é conceitual: risco é o efeito da incerteza. É por isso que se fala em probabilidade e impacto. Quando o evento já ocorreu e pode voltar a ocorrer, a incerteza deixou de existir: existe uma causa conhecida, um dado conhecido e um tratamento devido.

Erro nº 2: confundir oportunidade (6.1) com melhoria (cláusula 10)

É exatamente a mesma confusão, do outro lado da moeda — e é onde a nova versão tende a doer mais nas empresas já certificadas.

A pergunta feita ao vivo aos participantes foi essa: uma empresa tem um processo comercial com taxa de conversão medida. Alguém registra, no campo de oportunidades do processo, "melhorar a taxa de conversão". Isso é oportunidade da cláusula 6.1 ou melhoria da cláusula 10?

É melhoria. A taxa já existe, já é medida, e o que se quer é elevar um resultado conhecido.

A distinção que a live propõe pode ser resumida assim:

• Oportunidade (6.1) — estratégica e sistêmica. Está no P do PDCA: planejamento. Nasce do contexto da organização, das partes interessadas e do objetivo dos processos. A natureza dela é sempre de possibilidade: eu poderia implementar, contratar, pesquisar, entrar num mercado. A pergunta é: o que de novo poderíamos perseguir?
• Melhoria (cláusula 10) — operacional e de desempenho. Está no A do PDCA: agir sobre o que já foi medido. Nasce de não conformidade, auditoria, reclamação, indicador ruim. A pergunta é: dado o jeito como performamos hoje, como ficamos melhores?

E há um teste prático, útil na hora de revisar o mapeamento de processos: olhe onde o item está ancorado. Se o risco ou a oportunidade está ligado à execução das atividades do processo, é melhoria — cláusula 10. Se está ligado ao objetivo do processo, é oportunidade da 6.1.

Um exemplo dado na live, no processo de gestão financeira: "monitorar o fluxo de caixa diariamente com mais precisão" é melhoria da atividade. Já "implementar ferramentas de automação financeira que otimizem o processo e reduzam custo operacional, aproveitando a digitalização do setor" está ligado ao objetivo do processo — e é oportunidade da 6.1.

Caso 1: construtora com infiltração no pós-obra

Dor clássica de quem tem PBQP-H: infiltração em lajes e áreas molhadas aparecendo na assistência técnica, cliente furioso e, às vezes, pedido de ressarcimento. No exemplo trabalhado na live, 34 dos 51 chamados de pós-obra eram de infiltração em varandas e banheiros — e todas as FVS (fichas de verificação de serviço) correspondentes estavam aprovadas em 100% dos casos.

Rota de melhoria (cláusula 10). O dado existe, o problema é conhecido e a verificação está medindo a coisa errada: ela checa quem aplicou a manta, não a estanqueidade. A ação é reescrever o critério de aceitação da FVS para que a falha seja capturada antes de chegar ao cliente. Isso é agir depois do dado — planejou, executou, mediu, agora melhora.

Rota de oportunidade (6.1). A pergunta muda: o que existe lá fora que ainda não usamos? Pesquisar novos modelos construtivos, novos materiais, novos processos de execução. Uma membrana de poliureia, por exemplo, com cura rápida em vez de dias, libera a laje em horas — o que encurta prazo de entrega, um gargalo clássico do setor, e ainda permite oferecer garantia estendida contra infiltração como argumento comercial. A oportunidade genuína aqui não é consertar a infiltração: é reposicionar a impermeabilização, de problema recorrente para vantagem competitiva.

Caso 2: escritório de contabilidade e as obrigações acessórias

Mesma lógica, outro setor. Escritório de porte médio, coração do serviço na apuração e entrega de obrigações acessórias. Quando o prazo é perdido por culpa do escritório, é o escritório que paga a multa — e é tão recorrente que boa parte das empresas do setor mantém seguro e verba de orçamento reservada para isso. Ou seja: dinheiro previsto no orçamento para lidar com erro da própria operação.

Rota de melhoria (cláusula 10). No exemplo usado, 22 das 30 multas vinham da mesma obrigação — contribuições de PIS e Cofins — e o checklist de conferência estava assinado e OK em 100% dos casos, porque verificava se houve transmissão dentro do prazo, e não a correção da segregação dos créditos. A ação é criar um novo critério: conferência amostral de créditos como ponto de espera, mais dupla checagem do não cumulativo.

Rota de oportunidade (6.1). A varredura de contexto mostra robôs de leitura de XML e SPED com inteligência artificial que já cruzam nota fiscal com apuração, e um concorrente vendendo BPO financeiro e fiscal com margem muito maior. A oportunidade é subir na cadeia de valor: deixar de ser uma fábrica de guias — commodity que o cliente compara por preço — e virar parceiro consultivo tributário, com serviço de maior valor agregado e ticket maior.

Aceitar um risco não é ignorar o risco

Esse foi um dos pontos mais enfáticos da live, e vale para quem já vive de auditoria: nem todo risco identificado precisa de plano de ação. A empresa pode não ter braço, orçamento ou capacidade de atuação — e decidir, conscientemente, não tratar aquele risco agora.

O que não pode é parar por aí. Se a organização reconheceu que aquele evento pode prejudicar seu resultado, precisa definir o que será feito caso ele aconteça. Esse plano de contenção pode viver em um plano de contingência, no plano de continuidade de negócios ou dentro do próprio procedimento do processo — a norma exige que a operação aconteça sob condições controladas, e isso inclui saber o que fazer quando o previsto não se cumpre.

O critério para escolher onde documentar é simples e prático: se der errado, onde as pessoas vão consultar? É ali que o plano precisa estar. Porque quando a crise chega, poucas pessoas têm agilidade mental para decidir bem sob pressão — a maioria trava.

Vale o mesmo raciocínio na hora de criar as ações: toda ação de tratamento precisa responder se ela reduz a probabilidade ou o impacto. Se não reduz nenhum dos dois, o caminho honesto é aceitar o risco e montar a contingência, em vez de gastar plano de ação com algo que não muda o cenário. Voltar atrás depois de perceber isso não é falha de sistema — é gestão de risco acontecendo em tempo real.

Probabilidade, impacto e apetite ao risco

Classificar cada risco por probabilidade e impacto continua sendo o que dá visibilidade ao apetite ao risco da organização e permite priorizar. O cruzamento das duas variáveis, normalmente em uma matriz de risco, é o que define quais riscos entram na fila de tratamento e quais ficam como aceitos e monitorados.

Cada empresa pode estabelecer seu próprio critério — por exemplo, exigir plano de ação apenas para impacto médio e alto. O alerta é lembrar que um risco de impacto baixo continua podendo se materializar e virar não conformidade. Se ele foi classificado como risco, a contenção deveria já estar definida, para que ninguém precise inventar a resposta no calor do momento.

O mesmo vale do lado da oportunidade: nem toda oportunidade identificada será perseguida agora. Não haverá tempo nem equipe para executar todos os projetos. Registrar, avaliar impacto e assumir que uma oportunidade fica fora do ciclo atual é uma decisão legítima — e reversível a qualquer momento, quando o cenário mudar.

O que fazer a partir de agora

Para quem já é certificado, a pergunta prática é quantas linhas do atual mapa de riscos e oportunidades sobreviveriam a essa releitura. Na live, a resposta mais frequente dos participantes foi que precisariam de uma revisão geral. O roteiro sugerido:

• revisar os riscos registrados e retirar dali tudo que é problema conhecido — isso é não conformidade e vai para a cláusula 10;
• revisar as oportunidades registradas e separar o que é melhoria de desempenho do que é alavanca de crescimento;
• reconstruir as oportunidades da 6.1 a partir de dois gatilhos: a análise de contexto (a leitura de cenário, com forças, fraquezas, ameaças e oportunidades) e o objetivo de cada processo;
• para cada risco aceito, definir onde está o plano de contenção e garantir que ele esteja onde as pessoas vão procurar;
• usar o planejamento de mudanças para implementar o que for aprovado — e, quando a mudança for um projeto, apoiar-se nos requisitos de projeto e desenvolvimento;
• manter os dois repositórios separados: um de riscos, um de oportunidades, cada um com suas ações, responsáveis e análise de eficácia.

Há um efeito colateral positivo em fazer essa separação bem feita, e talvez seja o mais relevante para a maturidade do sistema de gestão: quando a oportunidade deixa de ser "melhorar 3% um indicador" e passa a ser "entrar em um novo mercado", "mudar de tecnologia" ou "subir na cadeia de valor", a discussão sai da sala técnica da qualidade e chama outras pessoas para a mesa. Que é, no fim, exatamente o que a ISO 9001:2026 está pedindo.

Perguntas frequentes

O que muda em riscos e oportunidades na ISO 9001:2026?

A cláusula 6.1 passa a se desdobrar em dois subitens distintos: ações para abordar riscos e ações para abordar oportunidades. O risco deixa de ter o duplo sentido da versão 2015 (efeito positivo ou negativo) e passa a estar associado ao impacto negativo, enquanto a oportunidade é definida como a circunstância que torna possível alcançar efeitos benéficos sobre o sistema de gestão da qualidade. O texto ainda deixa explícito que riscos e oportunidades são distintos e podem ser determinados e abordados por processos separados.

Qual a diferença entre oportunidade da cláusula 6.1 e melhoria da cláusula 10?

A oportunidade da 6.1 é estratégica e sistêmica: está no P do PDCA, nasce do contexto da organização, das partes interessadas e do objetivo dos processos, e responde à pergunta sobre o que de novo a empresa poderia perseguir. A melhoria da cláusula 10 é operacional e de desempenho: está no A do PDCA, nasce de dados já conhecidos como não conformidade, auditoria, reclamação ou indicador ruim, e responde à pergunta sobre como melhorar o resultado que a empresa já entrega hoje.

Um problema que já acontece na empresa pode ser registrado como risco?

Não. Risco é o efeito da incerteza, e por isso se fala em probabilidade e impacto. Quando o evento já ocorreu e pode se repetir, a incerteza deixou de existir: trata-se de uma não conformidade, com causa e dado conhecidos, e o tratamento correto acontece nos requisitos de melhoria da norma.

É obrigatório criar plano de ação para todos os riscos identificados?

Não. A empresa pode aceitar conscientemente um risco quando não tem recursos ou capacidade de atuação naquele momento, e cada organização define seu próprio critério de priorização a partir da classificação de probabilidade e impacto. O que não se pode fazer é parar por aí: para todo risco aceito é preciso definir o plano de contenção, ou seja, o que será feito caso ele se materialize, registrado em plano de contingência, plano de continuidade de negócios ou no procedimento do próprio processo.

Como identificar se um item do mapa de processos é oportunidade da 6.1 ou melhoria?

Um teste prático é observar a que o item está ancorado. Se o risco ou a oportunidade se refere à execução das atividades do processo, trata-se de melhoria, ligada à cláusula 10. Se está ligado ao objetivo do processo, ampliando o resultado que ele deveria entregar, trata-se de oportunidade da cláusula 6.1.