La idea de riesgo siempre ha sido evidente en AS9100 al requerir que las organizaciones planifiquen y administren su negocio para evitar posibles no conformidades, analicen la no conformidad que ocurra y tomen medidas para prevenir la recurrencia de esa no conformidad.

Con la revisión de ISO 9001: 2015, el concepto de Acción Preventiva está integrado en el pensamiento basado en el riesgo. El pensamiento basado en riesgos debe ser ahora parte de la cultura de la organización, no es solo una responsabilidad de la gerencia (además de educar a la organización) sino que es responsabilidad de todos buscar riesgos y oportunidades para mejorar o prevenir fallas.

Además, el pensamiento basado en el riesgo apoya y mejora el proceso de planificación y la comprensión y aplicación del enfoque del proceso. En la revisión más reciente de AS9100D, encontrará que los riesgos y las oportunidades se trasladan al comienzo mismo de la planificación, lo que ayuda a una organización a desarrollar una cultura proactiva y preventiva. Durante la etapa de planificación, las organizaciones deben determinar sus objetivos, riesgos y oportunidades, todos los cuales se convertirán en insumos clave para cada proceso e impulsores para la operación, control y medición de esos procesos.

El uso del término pensamiento basado en el riesgo se agregó al estándar AS9100 con la intención de dejar en claro que, si bien la conciencia del riesgo es crucial, las metodologías formales de gestión de riesgos y la evaluación de riesgos no son formas adecuadas de gestionar el riesgo para todas las organizaciones; la forma en que las organizaciones gestionan el riesgo depende de su contexto empresarial. Una organización debe estar preparada para proporcionar evidencia de implementación relacionada con lo siguiente:

• Entradas (información documentada) utilizadas para la determinación de riesgos y oportunidades
• Cómo se determinan los riesgos y las oportunidades (por ejemplo, actas de reuniones, DAFO, planificación estratégica, etc.)
• Cómo se abordan determinados riesgos y oportunidades (por ejemplo, planes de acción, capacitación en el trabajo, etc.)
• Las auditorías internas y las actividades de evaluación del desempeño tienen en cuenta la aplicación efectiva del pensamiento basado en el riesgo.

En la norma, el riesgo se identifica en muchas áreas, pero en general sigue la norma ISO 9001: 2015, que se describe a continuación:

• Cláusula 4 (Contexto) Se requiere que la organización determine los riesgos que pueden afectar esto. La organización también debe determinar sus procesos de SGC y abordar sus riesgos y oportunidades.
• Cláusula 5. La alta dirección (Liderazgo) debe comprometerse a garantizar que se cumpla la Cláusula 4, se requiere que la alta dirección; Promover la conciencia del pensamiento basado en el riesgo; Determinar y abordar los riesgos y oportunidades que pueden afectar la conformidad del producto / servicio.
• Cláusula 6. (Planificación) la organización debe identificar los riesgos y oportunidades relacionados con el desempeño del SGC y tomar las acciones adecuadas para abordarlos.
• Cláusula 7 (Soporte) Se requiere que la organización determine y proporcione los recursos necesarios (el riesgo está implícito siempre que se mencione “adecuado” o “apropiado”).
• Cláusula 8 (Operación) la organización está obligada a gestionar sus procesos operativos (el riesgo está implícito siempre que se mencione “adecuado” o “apropiado”). Se requiere que la organización implemente procesos para abordar riesgos y oportunidades.
• Cláusula 9 (Evaluación del desempeño) la organización debe monitorear, medir, analizar y evaluar los riesgos y oportunidades.
• Cláusula 10 (Mejora) la organización debe corregir, prevenir o reducir los efectos no deseados y mejorar el SGC y actualizar los riesgos y oportunidades.

Es importante recordar que el riesgo es la posibilidad de que eventos o actividades impidan el logro de los objetivos estratégicos y operativos de una organización. Es la volatilidad de los resultados potenciales. El riesgo se puede definir por dos factores, que son:

• Severidad: Magnitud del evento de riesgo y se puede medir en cualquier escala de elección (por ejemplo, 1 a 10).
• Probabilidad: La probabilidad de que ocurra el evento de riesgo y también se puede medir en cualquier escala, generalmente la misma que la gravedad (por ejemplo, 4 de 10).

Multiplicado en conjunto, permite que una organización pareto el nivel de riesgos e identifique eventos de alto riesgo frente a los de bajo potencial y tome acciones de mitigación según corresponda.