Gestão de riscos da qualidade: a mentalidade baseada em risco da ISO 9001 (6.1)

Mentalidade baseada em risco na ISO 9001 (6.1)

A ISO 9001:2015 introduziu a mentalidade baseada em risco (risk-based thinking) como conceito central do sistema de gestão da qualidade. A cláusula 6.1 — Ações para abordar riscos e oportunidades — exige que a organização determine os riscos e as oportunidades que precisam ser tratados para assegurar que o SGQ alcance os resultados pretendidos, previna ou reduza efeitos indesejados e busque a melhoria contínua.

Na estrutura da norma, o requisito 6.1 pertence à Seção 6 (Planejamento) e se conecta diretamente à Seção 4 (Contexto da organização e partes interessadas): os riscos e oportunidades nascem da análise do contexto e dos processos. Essa abordagem substitui a antiga ação preventiva isolada das versões anteriores da norma — o risco passa a ser considerado no planejamento, não apenas depois da ocorrência.

Identificação de riscos e oportunidades por processo

A gestão de riscos da qualidade começa pelo mapa de processos: cada processo do SGQ carrega riscos (o que pode desviar o resultado, gerar não conformidade ou frustrar uma parte interessada) e oportunidades (o que pode elevar o desempenho). A identificação parte do contexto da organização e dos requisitos das normas aplicáveis, e não de uma lista genérica.

As fontes de risco costumam aparecer nos próprios registros do sistema, o que evita retrabalho e planilha paralela:

• Processos do SGQ e seus objetivos da qualidade
• Requisitos das normas aplicáveis à organização
• Não conformidades e reclamações recorrentes
• Mudanças de processo, produto, fornecedor ou equipamento
• Achados de auditoria interna e externa

Matriz de probabilidade x impacto e priorização

Cada risco é avaliado por duas dimensões: a probabilidade de ocorrência e o impacto sobre a qualidade e sobre o resultado do processo. A combinação das duas produz um nível de risco derivado e uma classificação — por exemplo, baixo, médio, alto ou crítico — que ordena a fila de tratamento.

Como o nível é calculado a partir da probabilidade e do impacto (e não informado à mão), a priorização fica auditável: riscos de classificação mais alta entram primeiro no plano de ação, e a decisão de prioridade pode ser justificada e revista. É o mesmo princípio de derivação usado no chassi de riscos do produto, em que o nível de risco é um campo calculado e não um valor livre.

Tratamento de riscos e ações no plano de ação

Tratar um risco significa definir e executar ações para eliminá-lo, reduzi-lo, compartilhá-lo ou aceitá-lo sob monitoramento. No SGQ, esse tratamento não fica solto: cada ação nasce no plano de ação, com prioridade, responsável, prazo e status, e a sua conclusão exige evidência mínima registrada. É a cadeia integrada e idempotente do produto:

1. O risco avaliado gera uma ou mais ações no plano de ação (M03).
2. Cada ação gera automaticamente um prazo no cronograma de vencimentos (M09).
3. A ação só é concluída com evidência anexada como documento (M11).
4. O resultado alimenta os indicadores da qualidade (M10), fechando o ciclo de monitoramento.

Riscos que permanecem sob acompanhamento ficam com status de monitoramento, mantendo a rastreabilidade sem hard-delete: nada é apagado, apenas evolui de estado.

Risco tratado como evidência de requisito no painel

O painel de conformidade do SGQ calcula automaticamente o percentual de aderência por norma a partir do status de cada requisito e das evidências vinculadas — conformidade calculada, nunca declarada. O tratamento de um risco (o registro, a ação e a evidência anexada) vincula-se ao requisito 6.1 da ISO 9001 e passa a sustentar esse percentual.

No SGQ, evidência é vínculo: documentos, ações, treinamentos e qualificações de fornecedor se conectam a requisitos, e é esse grafo de vínculos que alimenta o painel de conformidade, a gap analysis e a IA da biblioteca. Assim, a gestão de riscos deixa de ser um exercício à parte e vira prova viva de que o requisito de planejamento da norma está atendido.

FMEA como método de referência para análise de riscos

O FMEA (Failure Mode and Effects Analysis, ou Análise dos Modos de Falha e seus Efeitos) é um método estruturado para mapear modos de falha de um processo ou produto, avaliar seus efeitos e priorizar ações de mitigação. Ele aparece como método de referência do roteiro funcional do produto, ao lado da avaliação por matriz de probabilidade x impacto.

Disponibilidade: módulo Professional (roadmap Fase 4)

Comercialmente, a gestão de riscos compõe a camada de gestão do plano Professional, que reúne, sobre o núcleo Essential (documentos, auditorias, não conformidades e CAPA), os módulos de Indicadores, Riscos, Treinamentos e Fornecedores mais uma biblioteca de requisitos à escolha (ISO 9001 como padrão). O acesso a cada módulo e biblioteca é liberado por entitlements da organização, com gating por plano fail-closed.