De ce clauza 6.1 produce atâta confuzie
Dacă ai lucrat cu standarde mai vechi, ești obișnuit cu proceduri impuse, formulare fixe și cerințe clare de documentare. ISO 9001:2015 a schimbat logica: în loc să îți spună cum să faci, îți spune ce trebuie să obții. Clauza 6.1 este un exemplu perfect al acestei abordări.
Standardul nu prescrie nicio metodă anume. Nu cere o matrice 5x5, nu cere un software de management al riscurilor, nu cere un formular specific de analiză. Această libertate, care pe hârtie pare avantajoasă, îi derutează pe tehnicieni. Fără un model impus, nu știi dacă ce ai construit e suficient sau dacă auditorul va ridica sprânceana când vede documentul tău.
Realitatea din teren e mai simplă decât pare. Auditorul extern nu vine să admire estetica unui tabel sau complexitatea unui sistem de punctare. Vine să verifice că organizația ta a gândit cu adevărat la riscuri — că nu ai copiat un template de pe internet, că oamenii tăi știu despre ce vorbesc și că acțiunile identificate există și în realitate, nu doar pe hârtie.
Am văzut companii cu analize de risc de 40 de pagini care au primit neconformitate majoră, și companii cu un Excel de o pagină care au trecut auditul fără nicio observație. Diferența nu a fost volumul — a fost relevanța și dovada că documentul e folosit efectiv.
Ce spune exact standardul la clauza 6.1
Gândire bazată pe risc (clauza 0.3.3 ISO 9001:2015): Abordarea prin care organizația identifică factorii care ar putea determina abaterea proceselor și a sistemului de management de la rezultatele planificate, și implementează controale preventive pentru a minimiza efectele negative și a maximiza oportunitățile.
Clauza 6.1.1 spune clar: organizația trebuie să determine riscurile și oportunitățile relevante pentru contextul său — adică pentru ceea ce ai identificat la clauza 4.1 (contextul organizației) și pentru cerințele părților interesate de la clauza 4.2. Legătura nu e opțională. Dacă ai identificat la 4.1 că furnizorul tău principal vine dintr-o piață instabilă, acel element trebuie să apară și în analiza de risc.
Clauza 6.1.2 cere mai mult: nu doar să identifici riscurile, ci să planifici acțiuni pentru a le trata și să integrezi acele acțiuni în procesele sistemului de management al calității. Cu alte cuvinte, analiza de risc nu trăiește izolat — ea alimentează planuri de acțiune, obiective de calitate și decizii de management.
Standardul nu cere o procedură documentată pentru clauza 6.1, dar clauza 0.3.3 din Anexa SL confirmă că dovezile că procesul a avut loc sunt necesare. Conexiunile obligatorii continuă: clauza 9.1 cere monitorizarea eficacității acțiunilor, iar clauza 10.1 leagă riscurile de procesul de îmbunătățire continuă. Dacă tratezi clauza 6.1 ca pe o insulă, auditorul va observa ruptura.
Nivelul minim de formalizare acceptat la audit
Hai să fim direcți: un tabel simplu în Excel cu coloanele potrivite este suficient ca punct de plecare. Nu ai nevoie de software specializat, nu ai nevoie de o procedură separată și nu ai nevoie de o matrice colorată în trei dimensiuni. Ce contează e că documentul există, e specific și e viu.
Un registru de riscuri impecabil care nu a fost atins de 18 luni generează aproape sigur neconformitate majoră. Auditorul va întreba: „Când ați revizuit ultima dată analiza de risc și ce s-a schimbat?" Dacă răspunsul e ezitant sau data de pe document e din urmă cu doi ani, discuția devine neplăcută.
Ce înseamnă concret „document viu"? Înseamnă că data revizuirii e recentă, că există o versiune anterioară față de care se văd modificări, că acțiunile din el au un status actualizat — închis, în curs, planificat — și că oamenii responsabili știu că acel document există și ce scrie în el.
Am întâlnit în 2026 o situație care se repetă des: un tehnician pregătit, cu document bun, dar care nu știa să răspundă la întrebarea „ce acțiune ați luat pentru riscul X?". Documentul era acolo, acțiunea era acolo, dar legătura mentală nu exista. Auditorul a notat observație. Nu neconformitate, dar suficient cât să tensioneze ziua auditului inutil.
Cum arată o analiză de risc care trece auditul în 2026
Structura minimă recomandată pentru o analiză de risc funcțională este aceasta:
| Câmp | Ce trebuie să conțină | Greșeală frecventă |
|---|---|---|
| Proces afectat | Numele procesului din harta ta de procese | „Producție" în loc de „Inspecție finală produs X" |
| Risc identificat | Descriere specifică, nu generică | „Riscul de a pierde clienți" — prea vag |
| Cauză probabilă | Ce anume declanșează riscul | Lipsă completă a câmpului |
| Impact potențial | Ce consecință concretă are asupra calității / clientului | „Impact mare" fără descriere |
| Acțiune planificată | Ce faci efectiv pentru a trata riscul | „Se va analiza" — nu e o acțiune |
| Responsabil | Nume și funcție, nu „departamentul tehnic" | Responsabil colectiv, nimeni nu răspunde |
| Termen | Dată concretă | „Trimestrul următor" fără an |
| Status | Deschis / În curs / Închis | Câmp gol sau toate „Închis" fără dovezi |
Riscurile trebuie să fie specifice organizației tale. Dacă lucrezi într-un atelier de producție, exemple relevante sunt: risc de întârziere din partea unui furnizor cheie de materie primă, risc de eroare la inspecția finală din cauza oboselii operatorului în schimbul de noapte, oportunitate de automatizare a unui proces repetitiv care generează rebuturi constante. Acestea sunt riscuri reale. Nu „riscul operațional" preluat dintr-un template descărcat.
Oportunitățile sunt adesea ignorate complet — și asta e o greșeală. Clauza 6.1 le menționează explicit. O oportunitate tratată corect în document arată că organizația gândește proactiv, nu doar defensiv.
Ce întrebări pune auditorul extern la clauza 6.1
Pregătirea pentru audit înseamnă să știi dinainte ce vei fi întrebat. La clauza 6.1, întrebările standard urmează un fir logic precis:
Răspunsul conectează direct cu clauza 4.1. Dacă ai identificat în context că piața ta e sezonieră sau că ai un singur furnizor pentru o componentă critică, acel element trebuie să apară și în analiza de risc. Auditorul urmărește coerența.
Auditorul urmărește firul documentar de la risc la acțiune, la responsabil, la dovadă de realizare. Dacă lanțul e rupt undeva, apare observația.
Răspunsul conectează cu clauza 9.1. Eficacitatea nu e o presupunere — e o măsurare. Dacă nu ai date că acțiunea a funcționat, nu poți demonstra că riscul a fost tratat.
Lipsa unui răspuns clar la oricare dintre aceste întrebări duce la observație sau neconformitate minoră. Absența oricărei dovezi documentate — niciun registru, niciun email, nicio ședință de analiză — duce la neconformitate majoră, cu posibilă suspendare a certificării.
„Nu caut un document perfect. Caut un document care trăiește în organizație. Dacă omul din față știe să îmi explice de ce a identificat acel risc și ce a făcut cu el, am toată dovada de care am nevoie." — Rareș Nicorici, Lead Auditor IRCA
Cele mai frecvente greșeli pe care le vedem în teren
După zeci de audituri de certificare și supraveghere, greșelile se repetă cu o regularitate aproape matematică. Le-am grupat mai jos ca să le recunoști și să le eviți:
Se face înainte de audit, se pune în dosar, nu mai e atinsă până la auditul următor. Auditorul vede data și pune primul semn de întrebare.
„Riscul de a pierde clienți", „riscul de noncalitate" — fără detaliere pe procese concrete nu înseamnă nimic și nu generează acțiuni utile.
Acțiuni definite în registru care nu se regăsesc în niciun plan real, niciun buget aprobat, nicio ședință de management. Auditorul cere dovada implementării.
Riscurile identificate nu se reflectă nicăieri în obiectivele calității. Conexiunea e obligatorie — standardul o presupune implicit prin structura Anexei SL.
Formulare cu denumiri de procese care nu există în companie, riscuri pentru industrii complet diferite, responsabili cu funcții inexistente în organigrama reală.
Pași practici pentru a-ți pune analiza de risc în ordine
Dacă vrei să îți pui analiza de risc în ordine fără să pierzi timp cu lucruri inutile, urmează această secvență:
Pasul 1 — Riscurile nu vin din aer, vin din procese. Deschide harta ta de procese și mergi prin fiecare proces cheie: aprovizionare, producție, inspecție, livrare, relație cu clientul. Fiecare proces are potențiale puncte de eșec.
Pasul 2 — Nu face analiza de risc singur la birou. Operatorul de pe linie știe ce merge prost mai bine decât orice consultant. O ședință de o oră cu echipa aduce mai mult decât o zi de lucru individual pe un template.
Pasul 3 — Fără acțiune atribuită, riscul e doar o notă. Acțiunea trebuie să fie clară, responsabilul să fie o persoană — nu un departament — și termenul să fie o dată calendaristică reală.
Pasul 4 — Revizuiește analiza trimestrial sau ori de câte ori contextul se schimbă: ai adăugat un client nou, ai schimbat un furnizor, ai introdus o linie nouă de producție. Orice schimbare de context (clauza 4.1) poate genera riscuri noi.
Pasul 5 — Dovezile revizuirilor sunt esențiale. Un email de confirmare, un proces-verbal de ședință, o versiune nouă a documentului cu dată și semnătură — orice urmă documentară care arată că revizuirea a avut loc cu adevărat.
- Analiza de risc a fost revizuită în ultimele 12 luni
- Fiecare risc e legat de un proces concret din harta de procese
- Fiecare risc are o acțiune, un responsabil și un termen
- Acțiunile din registru există și în planuri reale de lucru
- Oportunitățile sunt identificate, nu doar riscurile
- Există dovezi documentate ale revizuirilor anterioare
- Conexiunea cu obiectivele calității (clauza 6.2) e vizibilă
- Oamenii responsabili știu ce scrie în document
Când să ceri ajutor înainte de audit
Există câteva semnale clare că ai nevoie de o privire externă înainte ca auditorul să apară la ușă. Dacă analiza de risc nu a fost actualizată în ultimele 12 luni, riscul real de neconformitate e semnificativ — nu ipotetic. Dacă nu poți explica în două minute conexiunea dintre riscurile identificate și acțiunile luate, auditorul va simți ezitarea și va apăsa exact acolo.
O discuție de 30 de minute cu un auditor cu experiență îți poate economisi ore de pregătire și mult stres în ziua auditului. Nu pentru că auditorul îți spune ce să scrii — ci pentru că îți arată rapid unde sunt găurile și cum să le acoperi cu ce ai deja, fără să reconstruiești totul de la zero.
Dacă lucrezi cu un sistem de management implementat de mai mulți ani și nu ești sigur că clauza 6.1 e la zi, e momentul să verifici. Nu după ce ai primit raportul de audit.
Articolul are caracter informativ și nu constituie consultanță juridică.
Ai nevoie de ajutor concret?
Golden Audit Consulting® te ajută cu implementare, audit și conformare — fără birocrație inutilă.