Question piège : dans votre registre des risques, quelle est la date de la dernière ligne modifiée ? Si vous devez ouvrir le fichier pour répondre, vous connaissez déjà la réponse.

Dans les systèmes que je vois, ce tableau est le document le plus propre du SMQ. Et le moins utilisé. Rempli l’année de la certification, relu la veille de l’audit, il énumère des menaces. Il les analyse rarement. Il les évalue encore moins. Jusqu’ici, la norme laissait passer. Vous me voyez venir ? L’édition 2026 d’ISO 9001, parue en septembre (la fiche officielle est sur le site de l’ISO), coupe la clause 6.1 en deux. Elle garde un paragraphe commun, 6.1.1 « Déterminer les risques et les opportunités », puis traite les risques (6.1.2) et les opportunités (6.1.3) dans deux paragraphes titrés et séparés, le second étant nouveau. Trois paragraphes, donc, mais une ligne de partage nette : l’avant-propos l’écrit, les actions destinées à répondre aux uns et aux autres « sont examinées séparément ». La nouvelle édition introduit aussi deux verbes que le texte précédent n’appliquait pas aux risques et aux opportunités, analyser et évaluer, qui s’ajoutent à déterminer.

Au programme : la rédaction publiée, en substance (6.1.1, 6.1.2, 6.1.3), ce qui bouge par rapport à 2015, les colonnes que je recommande, et ce que la revue de direction devra montrer. Notre article de 2015 détaillait comment aborder les risques et opportunités dans l’ISO 9001:2015 ; celui-ci prend le relais sans le remplacer. Quand c’est mon avis plutôt que la norme, je le dis. Promis !

L’essentiel, si vous n’avez que deux minutes

• Trois sous-clauses titrées au lieu de deux paragraphes numérotés sans titre : 6.1.1 (déterminer), 6.1.2 (les risques), 6.1.3 (les opportunités, inédite).
• Trois verbes : « déterminer, analyser et évaluer », d’abord les menaces, ensuite les chances à saisir. Jusque-là, il fallait déterminer, puis « planifier des actions » : analyser et évaluer sont nouveaux. Pas la même preuve.
• Une proportionnalité recentrée sur « les résultats attendus du système de management de la qualité », et non plus sur la seule conformité des produits et services.
• Une séparation prolongée en 5.1.1 k), en 9.1.3 e) et f), en 9.3.2 g) et h).
• Rien d’imposé côté méthode : ni approche formelle ni processus documenté (A.6.1.2), ni plan de continuité.
• Votre chantier : un classeur à deux volets (A.6.1.1 admet même des processus séparés pour les risques et les opportunités), avec des cases « analyse » et « évaluation » remplies de phrases, pas de couleurs.

Ce que dit exactement la clause 6.1 publiée

Je prends le texte dans l’ordre. Le vocabulaire est celui de la norme, le commentaire est de moi.

6.1.1 : déterminer, pour quatre finalités

La 6.1.1 porte désormais un titre, « Déterminer les risques et les opportunités » (en 2015, elle n’en avait pas). Elle part toujours des enjeux du contexte (4.1) et des attentes des parties intéressées (4.2), à quatre fins : a) donner l’assurance que le système peut atteindre le ou les résultats attendus ; b) prévenir ou réduire les effets indésirables ; c) parvenir à une amélioration continue ; d) accroître les effets souhaités. Rien d’inédit sur le fond : l’ordre a bougé, et la simple « amélioration » de 2015 devient « une amélioration continue ». Lisez bien le d) : « accroître les effets souhaités », voilà la définition de travail d’une opportunité. Gardez-la !

6.1.2 : les risques, et trois verbes

Son intitulé, sobre : « Actions destinées à répondre aux risques ». Aux risques seulement. En substance, l’organisme doit « déterminer, analyser et évaluer » les risques, puis planifier comment y répondre, avec des mesures proportionnées à leur impact potentiel sur les résultats attendus du SMQ.

Deux notes suivent. La première, inédite, précise que ces risques « peuvent inclure les risques liés à la capacité à fournir des produits et des services conformes pendant et après une perturbation ». La seconde rappelle les options possibles face à un aléa (elle existait déjà, en première position). J’y reviens plus bas, parce que ce mot-là va faire vendre des wagons de plans de continuité.

6.1.3 : les opportunités ont leur sous-clause

Unique ajout de l’édition 2026 dans la numérotation des articles 4 à 10. Titre : « Actions destinées à répondre aux opportunités ». Même mécanique : les déterminer, les analyser, les évaluer, puis planifier. Une nuance de mesure, tout de même : ici, les actions doivent être « appropriées au contexte de l’organisme ». Pas proportionnées à un impact, appropriées à un contexte. La note cite des exemples : nouvelles pratiques, nouveaux produits ou services, partenariats, « exploitation de technologies émergentes ». Seule apparition de ces technologies dans le corps des exigences, et en note. Ceux qui guettent une obligation sur l’intelligence artificielle peuvent souffler : elle n’existe pas. L’annexe A.6.1.3 ajoute des sources possibles : conditions du marché, technologies émergentes, exigences réglementaires. Vous êtes toujours avec moi ? Bien.

Ce qui change par rapport à 2015 : des verbes, une cible, une séparation

Côte à côte, les deux éditions. En 2015, la 6.1 tenait en une paire de paragraphes sans titre : le premier repérait menaces et chances ensemble, le second réclamait de « planifier des actions » face aux deux, proportionnées à l’impact « sur la conformité des produits et services ». Les opportunités vivaient dans une note. En 2026, quatre choses bougent.

• Les verbes. « Déterminer, puis planifier » devient déterminer, puis analyser, puis évaluer, puis planifier. Analyser et évaluer demandent un travail qu’une simple liste ne montre pas ; la 6.1 n’exige aucune information documentée, mais un écrit reste la preuve la plus simple. Mon avis ? C’est le point qui coûtera le plus d’heures aux organismes qui tenaient leur tableau pour la galerie.
• La cible. L’impact se jauge sur les résultats attendus du système, plus uniquement sur le produit livré. La proportionnalité change de repère ; le champ, lui, reste la capacité à fournir des produits et services conformes et à améliorer la satisfaction du client, où une compétence rare ou un fournisseur unique pèsent déjà.
• La séparation. Une sous-clause par notion, et l’annexe A.6.1.1 l’écrit : « Les risques et opportunités sont distincts ; ils peuvent être déterminés et traités à travers des processus séparés ». Peuvent. Pas doivent !
• Le leadership. La 5.1.1 k) demande à la direction de promouvoir « l’utilisation de l’approche par les risques et de l’approche par les opportunités » ; en 2015, l’alinéa d) associait approche processus et approche par les risques. La section 0.3.3 « Risk-based thinking » de l’introduction disparaît ; l’introduction renvoie désormais à A.6.1.2 et A.6.1.3, qui réécrivent ces notions en séparant risques et opportunités.

Le reste de l’article 6 ? La 6.3 grimpe de quatre à sept points pour la planification des changements, un sujet qui a son propre article dans ce dossier.

Ce que cela change dans votre registre

Passons au concret. Vous possédez un inventaire 2015 des risques : un onglet, des lignes, une cotation, parfois une rubrique « action ». Que faut-il y toucher ? Moins que vous ne le craignez, mais pas rien. Je n’impose aucune méthode (la norme non plus, on y vient). Je propose des colonnes qui répondent aux termes du texte, et à la question que l’auditeur posera : « Montrez-moi comment vous avez évalué celui-là. »

Volet risques : six colonnes qui parlent

Vous remarquerez l’absence de colonne « couleur ». (Petite digression : un registre doté d’une colonne « couleur » et dépourvu de colonne « décision », c’est un nuancier. Un très beau nuancier ! Fin de la digression.) La case qui compte, c’est l’évaluation. Elle doit expliquer pourquoi cet aléa pèse sur les résultats de votre dispositif qualité, pas afficher un score. Un chiffre sans phrase, l’auditeur le lira comme vous : une croix dans une grille.

Volet opportunités : un onglet, cinq colonnes

Pour les opportunités, j’ajoute un onglet dans le même classeur. Des fichiers séparés ? Possible : A.6.1.1 admet que risques et opportunités soient déterminés et traités à travers des processus séparés. Je ne le conseille qu’aux structures qui disposent déjà de pilotes distincts.

Combien de lignes ? Celles que vous suivrez vraiment. Et quand une opportunité saisie engendre un risque (un partenariat, c’est aussi une dépendance), elle figure sur les deux onglets. Voilà ce que la séparation rend visible. Pour le reste de votre système 2015, le diagnostic d’écart du guide de la version 2026 fait le tour en quelques minutes ; ici, je reste sur la 6.1.

Le climat comme source de risques

Un mot sur une source que les registres oublient. La clause 4.1 contient désormais, dans le texte principal, la phrase venue de l’amendement de 2024 : « L’organisme doit déterminer si de tels enjeux découlent des changements climatiques. » Déterminer si. Pas démontrer que. La 4.2 ajoute en note que les parties intéressées pertinentes « peuvent avoir des exigences relatives aux changements climatiques ».

Le lien avec la 6.1 ? Celle-ci part des enjeux de 4.1. Si votre analyse de contexte conclut qu’un enjeu climatique existe (un atelier en zone inondable, un donneur d’ordres qui réclame un bilan d’émissions), le risque descend dans la 6.1.2 et s’analyse comme les autres. Si elle conclut qu’il n’y en a pas, écrivez-le, avec la raison. L’annexe A.4.2 cite trois zones où le climat peut peser : la conformité réglementaire, les exigences des clients, les engagements de l’organisme. Un petit cabinet de conseil aura souvent une ligne, parfois zéro. Zéro justifié, c’est conforme !

Les perturbations : une note, pas un plan de continuité

Revenons à la NOTE 1 de 6.1.2 : les risques « peuvent inclure » ceux liés à la capacité à fournir des produits et des services conformes « pendant et après une perturbation ». L’annexe A.6.1.2 définit les événements perturbateurs. La 8.2.1 e) demande d’informer les clients des mesures d’urgence, y compris d’éventuelles perturbations dans la fourniture. Trois passages, zéro exigence de plan de continuité d’activité.

Alors oui, sur le papier, « résilience » fait un bel argument de vente. Mais entre nous, ce que la norme attend tient dans votre registre : une ou plusieurs lignes dont la source est « perturbation » (panne informatique, fournisseur unique à l’arrêt, absence longue de la personne qui sait), avec une analyse et une évaluation, puis une décision. Un plan de continuité ? Très bien. Un second fournisseur qualifié ? Conforme aussi. Résultat : vous choisissez le formalisme, la norme pose seulement la question.

Ce que la revue de direction devra montrer

Attention, c’est là que ça se corse. La séparation ne s’arrête pas à l’article 6. Elle se prolonge dans l’article 9, là où l’auditeur ira la chercher, parce que c’est là qu’elle laisse des traces datées.

• 9.1.3 e) et f). L’analyse des données doit servir à évaluer l’efficacité des actions face aux risques (e) et face aux opportunités (f). Deux alinéas, là où la 2015 n’en avait qu’un. Vos colonnes « suivi » et « résultat attendu » en sont la matière première.
• 9.3.2 g) et h). La revue de direction prend en entrée l’efficacité des actions face aux risques (g) et face aux opportunités (h). Deux lignes à l’ordre du jour, deux décisions possibles. La ligne unique de 2015 n’est pas fausse. Elle est incomplète, et un auditeur attentif le notera.
• 9.3.2 c), au passage. Nouvel élément d’entrée : « les changements dans les besoins et attentes des parties intéressées pertinentes ». C’est par là que de nouvelles opportunités (et de nouveaux risques) entrent dans votre registre entre deux revues.

Ce que je demande à mes clients pour la première revue sous la 2026 : une page par volet. Côté risques, les lignes revues dans l’année, celles dont l’évaluation a changé, celles dont l’action n’a pas tenu. Côté opportunités, les actions lancées et ce qu’elles ont donné. Des phrases, des dates, des décisions. Bref, ai-je encore besoin de vous convaincre que le registre et la revue de direction sont le même sujet ?

Ce qu’on ne vous demande pas

Parce qu’on va vous proposer beaucoup de choses au nom de la 6.1, je liste ce que le texte n’exige pas. Lisez bien !

• Une méthode formelle de management du risque. L’annexe A.6.1.2 : l’approche par les risques « n’implique pas l’utilisation d’approches formelles de management du risque ou d’un processus documenté de management du risque ». L’ISO 31000 est citée en annexe comme référence, pas comme exigence.
• Deux registres. A.6.1.1 : risques et opportunités « peuvent » être traités par des processus séparés. Un fichier, deux onglets, et vous êtes dans le texte.
• Un plan de continuité d’activité. Une note, une définition en annexe, une exigence d’information des clients. Pas de plan.
• Une échelle, un seuil, une matrice. A.6.1.2 précise que l’approche par les risques n’implique pas d’approche formelle ; à mon sens, « évaluer » peut donc se faire avec des mots, s’ils se rapportent aux résultats attendus du système.
• Une politique sur l’intelligence artificielle. Les technologies émergentes apparaissent dans la note de 6.1.3 et, en annexe, dans A.6.1.3, A.7.1.3 et A.7.1.4, comme source de risques et d’opportunités, facteur de changement ou action possible. Aucune exigence ne vise l’intelligence artificielle.
• Une information documentée nommée. Je n’ai pas trouvé dans la 6.1 de phrase exigeant un document précis. Le registre est votre preuve la plus commode, pas une obligation de forme.

Questions fréquentes

Pour la documentation de départ, notre kit documentaire ISO 9001 contient le manuel, les procédures et les enregistrements : de quoi poser le registre sans partir d’une page blanche. Je le dis une fois, c’est fait. Pour la liste complète des exigences 2026, le guide des exigences 2026 de ce dossier la donne article par article ; et ma tribune sur la transition sans stress dit pourquoi je ne veux pas que vous paniquiez.

Je pense qu’à présent, vous savez quoi faire de votre registre : deux volets, trois verbes, deux lignes en revue de direction. Le reste, c’est votre métier. À bientôt !

Sources : ISO (ISO 9001:2026, Systèmes de management de la qualité, Exigences, sixième édition, 2026-09 ; texte lu dans l’édition française : avant-propos, 0.3.1, 3.7, 4.1, 4.2, 4.4, 5.1.1, 6.1.1, 6.1.2, 6.1.3, 6.3, 8.2.1, 9.1.3, 9.3.2, 10.1, annexe A.4.2, A.6.1.1 à A.6.1.3, A.7.1.3 et A.7.1.4), ISO 9001:2015 (cinquième édition, texte anglais : 0.3.3, 5.1.1, 5.1.2, 6.1.1, 6.1.2, 6.3, 9.1.3, 9.3.2, 10.1, 10.3, annexe A.4), Management Qualité (Comment aborder les risques et opportunités dans l’ISO 9001:2015).

Article fondé sur le texte publié en septembre 2026. Rédigé le 5 octobre 2026.