Registre de riscos, matriu de calor i tractament en 3 segons.

ISO 9001:2015 clàusula 6.1 exigeix un «pensament basat en riscos» aplicat al sistema de gestió de qualitat: l'organització ha d'identificar riscos que puguin afectar la conformitat de productes i serveis i planificar accions per abordar-los, però no requereix un marc formal ni metodologia específica. ISO 31000:2018, en canvi, és una norma dedicada exclusivament a la gestió de riscos i proporciona els principis, el marc i el procés complet: des de l'establiment del context fins a la comunicació i el seguiment. ISO 31000 és la referència que les organitzacions fan servir per donar substància al requisit de ISO 9001 clàusula 6.1, així com als requisits equivalents de ISO 14001, ISO 45001 i ISO 27001. No són normes certificables l'una en lloc de l'altra; són complementaries.

El registre de riscos és el document central del procés ISO 31000. Segons la norma (clàusula 6.4 i 6.5), cada entrada del registre ha d'incloure: (1) identificació del risc amb descripció de l'esdeveniment i les seves causes; (2) categoria de risc (estratègic, operatiu, financer, de compliment, reputacional); (3) probabilitat d'ocurrència en escala definida (ex. 1–5 o percentatge); (4) impacte en escala definida (1–5); (5) nivell de risc inherent (probabilitat × impacte abans de controls); (6) controls existents; (7) nivell de risc residual (després de controls); (8) opció de tractament triada (mitigar/transferir/acceptar/evitar); (9) acció de tractament amb responsable i termini; (10) estat. IgeraIndustria pot generar l'estructura del registre i emplenar les entrades a partir dels documents de context de l'organització.

L'apetit al risc és el nivell de risc que l'organització està disposada a acceptar per assolir els seus objectius (ISO 31000:2018, clàusula 6.3.1). No és un número únic: es defineix per categoria de risc i nivell jerarqúic. Per exemple, una empresa pot tenir apetit zero per a riscos de seguretat laboral (qualsevol risc de nivell 3 o superior requereix acció immediata) però un apetit moderat per a riscos comercials (accepta riscos de nivell 3 si el retorn esperat ho justifica). La definició de l'apetit al risc és responsabilitat de l'alta direcció (clàusula 5.4) i ha de ser comunicada a tota l'organització. S'expressa habitualment com a llindars a la matriu de calor: les cel·les de color vermell són riscos que superen l'apetit i requereixen acció obligatòria.

La matriu de calor (heat map) és l'eina de visualització del risc inherent o residual més utilitzada en implementacions ISO 31000. Es construeix amb la probabilitat en un eix (habitualment 1–5, de rar a gairebé segur) i l'impacte en l'altre (1–5, d'insignificant a catastrofic). El resultat (probabilitat × impacte) genera una puntuació d'1 a 25 que es visualitza amb colors: verd (1–4, risc baix), groc (5–9, risc moderat), taronja (10–16, risc alt), vermell (17–25, risc crític). Els llindars exactes els defineix l'organització en funció del seu apetit al risc. ISO 31000 no prescriu una matriu concreta; la norma exigeix que la metodologia sigui apropiada, proporcional al context i consistent. IgeraIndustria pot explicar com calibrar la matriu segons el sector i les dimensions de l'organització.

ISO 31000:2018 clàusula 6.5.2 estableix quatre opcions de tractament del risc: (1) Evitar el risc: decidir no iniciar o no continuar l'activitat que origina el risc (ex. no entrar en un mercat amb risc regulatori excessiu); (2) Assumir o augmentar el risc per aprofitar una oportunitat (ex. acceptar major risc operatiu a canvi de major marge); (3) Eliminar la font de risc o reduir la probabilitat/impacte mitjançant controls (mitigar): és l'opció més habitual; (4) Transferir el risc: compartir-lo amb una altra part mitjançant assegurançes, contractes o acords de subcontractació. Per a riscos que superen l'apetit definit, les opcions vàlides són evitar, mitigar o transferir; acceptar només és vàlid si el risc residual està dins de l'apetit. L'elecció ha de ser documentada en el pla de tractament (6.5.3).

ISO 31000 és el marc horitzontal de gestió de riscos que serveix com a base metodològica per a totes les normes de sistemes de gestió que inclouen requisits de riscos. ISO 27001:2022 (seguretat de la informació) requereix un procés formal de valoració i tractament de riscos (clàusules 6.1.2 i 6.1.3) alineat amb ISO 31000. ISO 14001:2015 (medi ambient) exigeix identificar riscos i oportunitats ambientals (clàusula 6.1). ISO 45001:2018 (seguretat i salut) exigeix identificar perills i valorar riscos per a SST (clàusula 6.1.2). La integració pràctica consisteix a usar un únic registre de riscos corporatiu amb categories per norma, un procés de valoració unificat i un comitè de riscos que consolidi els riscos de totes les disciplines. IgeraIndustria pot consultar els requisits de cada norma en una sola pregunta i mapear els solapaments.