A ISO publicou a sexta edição da ISO 9001 em 16 de setembro de 2026. Cancela a ISO 9001:2015 e absorve a emenda sobre alterações climáticas de 2024. A nível europeu, a EN ISO 9001:2026 foi aprovada pelo CEN em 10 de agosto de 2026, e os organismos nacionais têm até março de 2027 para a adotar e retirar tudo o que conflitue com ela.
Comprei as duas normas no primeiro dia, a ISO 9001 e a ISO 9000, e li-as lado a lado. A estrutura parece familiar. Dez cláusulas, mesma ordem, mesmos títulos, e a maior parte do texto já é conhecido. Essa familiaridade é uma armadilha. Quatro coisas mudaram de forma que vão aparecer na próxima auditoria, e uma delas não é um requisito para o qual se escreve um procedimento.
Aqui está a leitura honesta.
A Cláusula 3 deixa de remeter para outro lado
Em 2015, a cláusula de termos e definições tinha uma linha. Remetia para a ISO 9000 e ficava por aí. Em 2026, a Cláusula 3 tem o seu próprio conjunto de definições fundamentais, de 3.1 organização a 3.20 monitorização, incluindo risco, processo, competência, informação documentada, conformidade, não conformidade, ação corretiva e auditoria.
A ISO 9000 mantém-se como referência normativa para o vocabulário completo. Nada lhe foi retirado. O que mudou é que os termos sobre os quais os auditores discutem com mais frequência estão agora dentro do documento de requisitos, pelo que ninguém pode alegar que nunca os viu.
Detalhe pequeno, mas com consequências: "conformance" está agora explicitamente depreciado. Use conformity.
A cultura da qualidade e o comportamento ético são agora requisitos
É este o ponto que as pessoas vão subestimar.
A Cláusula 5.1.1 lista o que a gestão de topo tem de demonstrar. A alínea i) é promover a cultura da qualidade e o comportamento ético. Não considerar, não encorajar quando praticável. Promover. E uma nota indica onde procurar evidência disso: valores partilhados, atitudes, práticas e ações.
Não fica na liderança. A Cláusula 7.3 sobre sensibilização acrescenta uma nova alínea e), a cultura organizacional da qualidade e o comportamento ético, o que significa que as pessoas que realizam trabalho sob o seu controlo têm de estar sensibilizadas para isso. A sensibilização é auditável. Os auditores amostram a sensibilização há dez anos, dirigindo-se a alguém no terreno e fazendo três perguntas.
A Cláusula 7.1.4, o ambiente para a operação dos processos, mantém os fatores sociais, psicológicos e físicos que já existiam em 2015. Não discriminatório, calmo, não confrontacional. Redução do stress, prevenção do burnout, proteção emocional. O que é novo é a frase de fecho: alguns desses fatores podem ser influenciados pela cultura organizacional da qualidade e pelo comportamento ético. A ligação está agora escrita.
Para material de referência, o Anexo A remete para a ISO 10010 com orientação sobre cultura da qualidade. A ISO 9000:2026 define-a adequadamente em 4.3.9, como valores partilhados, crenças, história, atitudes e comportamentos observados, reforçados pela forma como as pessoas em todos os níveis se comportam.
Seja realista quanto ao impacto nas auditorias. A cultura não é um procedimento. Será avaliada através de entrevistas, da forma como as pessoas falam sobre defeitos, de se alguém hesita antes de reportar más notícias. Alguns auditores farão isto bem. Outros transformarão isso num concurso de opiniões. A sua defesa são as evidências do que a gestão faz na prática, e não uma página de política que diz que a organização valoriza a qualidade.
Riscos e oportunidades passam a ter cláusulas próprias
Em 2015, a 6.1 tratava riscos e oportunidades como um bloco único, e o requisito era suficientemente vago para que a maioria das organizações produzisse uma tabela, a revisse uma vez por ano e seguisse em frente.
2026 separa-os. A Cláusula 6.1.1 determina ambos. A Cláusula 6.1.2 trata os riscos, a 6.1.3 trata as oportunidades, e o verbo é o mesmo em ambos os lados: determinar, analisar e avaliar. Depois, planear ações, integrá-las nos processos do SGQ e avaliar a eficácia do que foi feito.
Dois constrangimentos adicionais. As ações sobre riscos têm de ser proporcionais ao impacto potencial nos resultados pretendidos. As ações sobre oportunidades têm de ser adequadas ao contexto e apoiar os resultados desejados.
A separação percorre toda a norma. A Cláusula 9.1.3 pede agora que avalie a eficácia das ações tomadas sobre riscos e sobre oportunidades como itens distintos, e) e f). Os inputs da revisão pela gestão fazem o mesmo, em 9.3.2 g) e h). Portanto, não é possível juntá-los novamente nos relatórios e esperar que ninguém repare.
A par do pensamento baseado em risco, a norma introduz o pensamento baseado em oportunidades, e a gestão de topo tem de promover ambos ao abrigo da 5.1.1 k).
Agora a parte que ninguém está a citar. O Anexo A.6.1.2 diz que a aplicação do pensamento baseado em risco não implica o recurso a abordagens formais de gestão do risco nem a um processo documentado de gestão do risco. Sem registo obrigatório, sem metodologia obrigatória, sem ISO 31000 pela porta de trás. Se um consultor lhe disser que a nova versão obriga a um sistema formal de gestão do risco, está a vender algo.
A gestão da mudança deixa de ser uma nota de rodapé
A Cláusula 6.3 em 2015 dava-lhe quatro aspetos a considerar ao alterar o SGQ. 2026 dá-lhe sete, e os três novos são onde está o trabalho:
- a comunicação das alterações
- como a eficácia das alterações será monitorizada e avaliada
- como os resultados das alterações serão revistos
Combinado com a 5.3 f), que coloca a responsabilidade de manter a integridade do sistema durante a mudança claramente num papel atribuído, isto fecha uma lacuna de que os auditores se queixam há anos. As organizações reestruturaram-se, mudaram de instalações, trocaram de ERPs, e o SGQ foi silenciosamente ficando desatualizado até a próxima visita de vigilância o detetar.
A ISO 9000:2026 apoia isto com um conceito completo sobre gestão da mudança em 4.4.7, e o Anexo A remete para a ISO/TS 10020 para orientação.
Informação documentada: disponível, não retida
Leia este ponto com atenção, porque parece cosmético e não é.
2015 alternava entre "manter informação documentada" e "reter informação documentada". 2026 diz sobretudo "a informação documentada deve estar disponível" ou "deve estar disponível como informação documentada". Evidência de competência, aptidão dos recursos de monitorização para o fim pretendido, evidência de inputs de conceção, tudo reformulado.
O Anexo A.2 e) explica a intenção. "Deve estar disponível como informação documentada" refere-se a informação que obteve, utiliza ou fornece. "A informação documentada deve estar disponível como evidência de" refere-se à retenção de evidência objetiva, e o anexo acrescenta que isso não implica requisitos legais de prova.
Na prática, a ênfase desloca-se para a informação ser utilizável no ponto de uso, em qualquer suporte, em vez de um ritual de retenção. Dá-lhe também margem para contestar o auditor que quer um PDF assinado para tudo. Leve o argumento com a referência da cláusula.
Duas outras alterações de redação que vale a pena assinalar. O conhecimento organizacional em 7.1.6 deve agora ser retido, aplicado e partilhado, e não simplesmente mantido e disponibilizado. E a 9.1.2 diz agora monitorizar a satisfação do cliente e determinar os métodos para obter, monitorizar e rever essa informação, o que é mais direto do que a formulação de 2015 sobre perceções.
As alterações climáticas mantêm-se, e o Anexo B foi removido
As duas linhas acrescentadas pela Emenda 1 em 2024 estão no corpo da norma. A Cláusula 4.1 exige que determine se as alterações climáticas são uma questão relevante. A Cláusula 4.2 inclui uma nota de que as partes interessadas podem ter requisitos relacionados com alterações climáticas. Nada de novo se já tratou a emenda. Se a ignorou, já não é uma emenda que possa fingir ter perdido.
O Anexo A foi reescrito e expandido, e é genuinamente mais útil do que a versão de 2015, incluindo as clarificações sobre appropriate versus applicable, consider versus take into account, continual versus continuous, e o significado de "ensure". O Anexo B, a antiga lista de outras normas ISO/TC 176, foi removido.
A ISO 9000:2026 fez o trabalho conceptual
Publicada no início de 2026, a quinta edição da ISO 9000 retirou "sistemas" do título. Chama-se agora Quality management, fundamentals and vocabulary, e os fundamentos passaram da Cláusula 2 para a Cláusula 4.
Os oito princípios de gestão da qualidade mantêm-se inalterados. O que é novo distribui-se por dois grupos. Os conceitos fundamentais de gestão da qualidade incluem agora a gestão de processos, o pensamento baseado em risco e a cultura organizacional da qualidade. Os conceitos adicionais introduzem economia circular, tecnologias emergentes, inovação, gestão da mudança, experiência do cliente, gestão do conhecimento, gestão da informação, aspetos humanos e continuidade de negócio.
Leia essa lista outra vez. Corresponde quase exatamente ao que a ISO 9001:2026 lhe exige, e ao rumo do próximo ciclo de revisão. Se quiser saber sobre o que será construído o material de formação dos auditores na próxima década, está nessa cláusula.
O relógio da transição
As datas provêm do Global ACI, a cooperação de acreditação que sucedeu ao IAF no início de 2026, no seu documento de requisitos de transição para a ISO 9001:2026:
- 31 de março de 2027: organismos de acreditação prontos para avaliar face à ISO 9001:2026
- 30 de junho de 2027: organismos de certificação submetem as declarações de transição
- 30 de setembro de 2027: decisões de acreditação concluídas
- 31 de março de 2028: novos certificados acreditados e certificados iniciais só podem ser emitidos para a ISO 9001:2026
- 30 de setembro de 2029: fim da transição, os certificados ISO 9001:2015 expiram
Três anos parece confortável. Não é, por uma razão. A maioria das organizações vai fazer a transição durante uma auditoria de vigilância ou de recertificação programada, em vez de pagar por uma auditoria de transição separada, e esses slots preenchem-se pelo lado do organismo de certificação, não pelo seu. Conte para trás a partir do seu próprio ciclo de certificação e geralmente constatará que tem uma janela realista, não três anos delas.
O que fazer nos próximos seis meses
Não reescreva o seu manual. Faça quatro coisas.
Faça uma análise de lacunas face às cláusulas 6.1.2 e 6.1.3 e verifique se o trabalho de risco atual sobrevive à palavra "analisar". A maioria das tabelas de risco de coluna única não sobreviverá.
Alargue o seu processo de mudança para cobrir a comunicação, a monitorização da eficácia e a revisão dos resultados, e depois teste-o numa mudança que esteja a fazer de qualquer forma.
Decida que evidências vai apresentar a um auditor quando este perguntar como é que a gestão de topo promove a cultura da qualidade e o comportamento ético. Atas de reuniões de administração, decisões em que a qualidade prevaleceu sobre o prazo, o que aconteceu à última pessoa que escalou um problema. Recolha-as agora, porque não as conseguirá reconstituir mais tarde.
Informe os seus auditores internos antes de realizarem o próximo ciclo. Se auditarem o texto de 2026 com os hábitos de 2015, saberá das lacunas pelo organismo de certificação em vez de as detetar internamente.
A estrutura não mudou. As expectativas, sim.
Formação com a Cyber Academy
Realizamos cursos de certificação PECB e ISACA em turmas pequenas, ministrados por um profissional que audita e implementa estes sistemas no terreno. Se a sua equipa precisa de dominar os requisitos de 2026 antes da auditoria de transição, consulte os programas ou agende uma chamada de 20 minutos.