A ISO 9001:2026 foi publicada. É a sexta edição da norma, cancela e substitui a versão de 2015 e incorpora a emenda de 2024.
Entre as mudanças declaradas no prefácio, uma já está sendo repetida em todo lugar: cultura da qualidade e comportamento ético passaram a ser tratados dentro dos requisitos, em relação a liderança, conscientização e ao ambiente para a operação dos processos.
O que quase ninguém está dizendo é o que isso significa na prática. Porque quando um tema entra nos requisitos, ele deixa de ser discurso de abertura de reunião e passa a ser objeto de auditoria.
E aí vem a pergunta difícil: cultura não tem procedimento para apresentar nem registro para conferir. Como é que se audita cultura?
O que mudou, em seis pontos
O prefácio da norma declara as mudanças:
- Termos e definições no próprio documento — a Cláusula 3 passa a trazer um conjunto limitado de termos. A ISO 9000 continua sendo a referência normativa.
- Cultura da qualidade e comportamento ético entram nos requisitos.
- Riscos e oportunidades ficam separados, com consideração distinta das ações para tratar cada um.
- Gestão de mudanças reforçada nos requisitos relacionados a alterações no sistema.
- Anexo A ampliado, com mais esclarecimento sobre estrutura e intenção dos requisitos — texto informativo, sem acrescentar exigências.
- Anexo B removido; as referências a outras normas do comitê migraram para o Anexo A.
O que não mudou também importa: a estrutura de cláusulas 4 a 10 permanece, os sete princípios de gestão da qualidade seguem os mesmos e o ciclo PDCA continua sendo a lógica do sistema. Quem tem um sistema de gestão maduro não precisa recomeçar.
Por que a cultura entrou — e por que isso é mais sério do que parece
Há anos o setor convive com um incômodo: sistemas de gestão que passam na auditoria e não mudam a operação. Procedimento escrito para o auditor ler, não para a equipe seguir. Quando o consultor vai embora, o sistema para.
A ISO 9001:2026 ataca isso de frente, e não apenas no texto dos requisitos. A própria definição de sistema de gestão mudou. Na Cláusula 3.4, a norma diz que os elementos de um sistema de gestão podem incluir as políticas, práticas, regras e crenças da organização.
Crenças. Dentro da definição do termo.
A consequência é direta: cultura deixa de ser ambiente — aquilo que existe em volta do sistema — e passa a ser elemento do sistema. E elemento de sistema se audita.
A pergunta que ninguém está respondendo
Um auditor chega à sua empresa em 2027 e precisa avaliar cultura da qualidade. O que ele pede?
Não existe “procedimento de cultura”. Não existe registro de crença. E, no entanto, a norma agora espera que a liderança demonstre comprometimento, que a conscientização aconteça e que o ambiente sustente a operação dos processos.
A resposta está na própria norma — em dois lugares que a maioria não abre.
A norma indica onde estão os critérios
Na Bibliografia da ISO 9001:2026, a referência [9] é a ISO 10010 — Quality management: Guidance to understand, evaluate and improve organizational quality culture.
Repare no verbo do meio: avaliar. É uma norma dedicada a entender, avaliar e melhorar a cultura organizacional da qualidade. É de lá que saem os critérios para transformar “cultura” em algo verificável.
(Uma ressalva técnica: a Bibliografia é informativa, não normativa. A ISO 10010 não é exigida — ela é indicada. A única referência normativa da ISO 9001:2026 continua sendo a ISO 9000.)
E indica como a verificação se faz
Na Cláusula 3.18, ao definir auditoria, a norma acrescenta uma nota: “evidência de auditoria” e “critérios de auditoria” são definidos na ISO 19011.
A ISO 19011 também foi revisada em 2026 — e, diferente da 9001, sem período de transição: substituiu a versão 2018 e passou a valer desde a publicação.
Ou seja: a norma que cria a exigência aponta para a norma que dá o critério e para a norma que define a mecânica da verificação. As três se encontram no mesmo ano.
Mas e na prática? Como se audita cultura, de verdade
Indicar normas resolve a parte formal. Só que a maioria dos profissionais não tem acesso a elas — normas são pagas, e comprar três para entender uma mudança é inviável para a maior parte das empresas.
Então vamos ao que fazemos quando auditamos.
Comece por aqui: toda empresa tem cultura
Não existe organização sem cultura. Onde há pessoas decidindo junto, há um jeito estabelecido de decidir — e isso é cultura, esteja escrito ou não.
A própria norma dá base a isso: ao definir sistema de gestão, a ISO 9001:2026 diz que seus elementos podem incluir as políticas, práticas, regras e crenças da organização. Crença toda empresa tem.
Então a pergunta do auditor nunca é se existe cultura. É outra:
A cultura que existe aqui é de qualidade — ou não é?
E o resultado dessa avaliação entra no mesmo vocabulário de qualquer outro requisito: conformidade ou não conformidade.
Isso responde de antemão à objeção mais comum, que é “cultura é subjetiva, não dá para auditar”. Não se está avaliando gestão, nem opinando sobre clima. Está se verificando conformidade — como sempre foi.
O princípio: não se pergunta sobre cultura
Perguntar “como é a cultura da qualidade aqui?” não produz evidência. Produz a resposta que a pessoa acha que o auditor quer ouvir.
Cultura se audita confrontando a decisão real com o documento que a própria organização escreveu.
Toda empresa com sistema de gestão tem política da qualidade, código de conduta, código de ética. Estão escritos, assinados, pendurados na parede. E toda empresa toma decisões todos os dias.
O trabalho do auditor é colocar as duas coisas lado a lado.
A pergunta que faz o trabalho
Quando uma decisão contraria o que está escrito, a pergunta é objetiva e sem rodeio:
“Evidenciado o fato X — isso não fere a política da qualidade, ou o código de conduta e ética, no item Y?”
Repare no que essa pergunta tem:
- Um fato evidenciado, não uma impressão. O auditor viu, registrou, tem data e origem.
- Um critério documentado, escrito pela própria empresa. Não é a régua do auditor, não é interpretação pessoal, não é opinião sobre gestão.
- Uma pergunta, não uma acusação. Quem responde é a liderança.
Por que isso é objetivo, e não subjetivo
Esta é a parte que muda tudo, e é o que responde ao gestor que reage com “cultura é subjetiva, não dá para auditar”.
O critério não vem do auditor. Vem da própria organização. Ela escreveu a política. Ela aprovou o código de conduta. Ela definiu o que considera certo.
O auditor só coloca o espelho: o que vocês escreveram que fariam, e o que vocês fizeram.
Não há juízo de valor nisso. Há verificação de conformidade — exatamente o que auditoria sempre foi.
Uma divergência é incidente. O padrão é cultura.
Aqui está a distinção que separa auditoria de cultura de caça às bruxas:
Uma decisão isolada que contraria a política é uma não conformidade. Acontece, se trata, segue.
Quando as divergências se repetem — em áreas diferentes, com pessoas diferentes, ao longo do tempo — deixa de ser incidente. Vira padrão. E padrão de comportamento é, por definição, cultura.
É por isso que a evidência de cultura não está em um achado: está na recorrência dele.
E o diagnóstico que sai daí é o mais incômodo que existe num sistema de gestão:
Existem métodos. Existem políticas. Existem procedimentos. E a prática evidenciada revela o contrário do que eles dizem.
Ou seja: o sistema está escrito, mas não é o que governa as decisões. É a definição prática do sistema que existe no papel e não na operação — e agora a norma deu nome, lugar e critério para isso.
O que muda de verdade: agora existe onde registrar
Aqui está o ponto que a maior parte das análises não vai alcançar, porque depende de ter auditado antes desta revisão.
Esse achado sempre existiu. Auditor experiente sempre viu a decisão que contraria a política, o padrão de conduta que desmente o procedimento, o discurso que não sobrevive à primeira pressão de prazo.
O que não existia era onde registrar.
Sem requisito de cultura, o achado era enquadrado na cláusula disponível — e se falava de qualidade com foco no cliente, ou de partes interessadas. O auditor descrevia o que via usando o vocabulário que a norma oferecia, e a organização recebia o achado meio deslocado do problema real.
A ISO 9001:2026 não criou um problema novo. Ela deu nome, lugar e critério a um problema que já estava lá.
Por isso, quem trata essa mudança como “mais um requisito para atender” está lendo errado. Para quem audita, é o contrário: é a norma finalmente reconhecendo o que separa o sistema que funciona do sistema que só existe no papel — e dando onde escrever isso.
Sim, é desconfortável. E precisa ser.
Fazer essa pergunta à liderança gera silêncio na sala. Não tem como não gerar.
Mas é justamente o desconforto que faz o trabalho. Uma não conformidade sobre documentação desatualizada gera uma tarefa. Uma evidência de que a prática contraria o próprio código de conduta gera uma conversa na diretoria — e é lá que cultura muda, não no procedimento.
Auditoria que não incomoda ninguém, a rigor, não auditou nada.
O segundo achado: risco e oportunidade deixaram de ser a mesma coisa
Esta mudança está sendo resumida como “abordagem mais clara para riscos e oportunidades”. A frase não diz nada. O texto da norma diz.
A ISO 9001:2026 passa a tratar duas mentalidades distintas: risk-based thinking, voltada a prevenir resultados indesejados, e opportunity-based thinking, voltada a perseguir resultados desejados aproveitando oportunidades. Cada uma com sua própria seção no Anexo A.
Por que a separação? A resposta está nas notas da definição de risco, na Cláusula 3.7.
A norma define risco como efeito da incerteza — e a nota seguinte esclarece que um efeito é um desvio do esperado, positivo ou negativo. Mais adiante, outra nota reconhece que, na prática, “risco” costuma ser usado apenas quando há possibilidade de consequências negativas.
Aí está o problema que a revisão resolve: a definição técnica sempre incluiu o desvio positivo; o uso corrente, não. O resultado, nas empresas, foi uma década de planilhas em que “riscos e oportunidades” viraram uma expressão só, com a coluna de oportunidade preenchida por obrigação.
A ISO 9001:2026 para de exigir que uma palavra carregue dois sentidos opostos. Na prática, isso significa que oportunidade passa a exigir ação própria — não o mesmo tratamento dado ao risco, com o sinal trocado.
O prazo é 2029. E é por isso que começar agora importa.
Quem é certificado na ISO 9001:2015 tem três anos de transição — até setembro de 2029.
Parece muito tempo. Mas leia a data com atenção, porque ela diz uma coisa diferente do que parece: não é o prazo para começar. É o prazo para já estar adequado e auditado na versão 2026.
Em 2029, as auditorias de manutenção e de certificação acontecerão na nova versão. O que significa que o sistema precisa estar funcionando — não em implantação — bem antes disso.
E há o efeito de fila, que todo mundo que já viveu uma transição conhece: quando o prazo aperta, a agenda dos organismos certificadores lota. Quem deixou para o último ano disputa data com todo o mercado, no pior momento possível.
Mas o argumento mais forte não é o risco. É a vantagem:
Quanto antes começar, antes se domina.
A empresa que trabalha a nova versão em 2027 chega em 2029 com três ciclos de auditoria interna rodados, a equipe habituada e o sistema maduro. A que começa em 2029 chega correndo, com o certificador na porta.
Atualizar procedimento é rápido. O que leva tempo é o que a norma passou a exigir:
- Cultura não se implanta com um documento novo. Se hoje a equipe cumpre procedimento porque alguém cobra, e não porque entende o motivo, isso não se resolve em três meses.
- Oportunidade com ação própria exige que a liderança pense em ganho, não só em contenção — o que é outro ciclo de gestão, não um campo novo na planilha.
- Comportamento ético precisa aparecer em decisão real, comunicação e rotina — e é isso que um auditor experiente procura, não a política na parede.
Para nós, isso não é novidade
Tudo o que está descrito acima — confrontar decisão com o código de conduta, separar o incidente do padrão, levar a evidência para a liderança mesmo quando gera silêncio na sala — é como a Target-Q audita há anos, antes de existir requisito de cultura.
Não estamos aprendendo a auditar cultura agora. Estamos deixando de precisar enquadrar o achado em outra cláusula.
Dizemos isso porque muda o que você deve esperar de quem te acompanhar nessa transição. Uma consultoria que descobriu cultura no prefácio da norma vai te entregar um procedimento de cultura — mais um documento, que é exatamente o que a mudança veio combater. Quem já auditava comportamento vai te mostrar onde a sua prática contradiz o que você mesmo escreveu.
São dois trabalhos diferentes, e só um deles sobrevive à auditoria de 2029.
Por onde começar: saber onde você está
O primeiro passo de qualquer transição não é comprar a norma nem contratar consultoria. É medir a distância entre o sistema que você tem e o que a nova versão exige.
A Target-Q disponibiliza um autodiagnóstico gratuito que faz exatamente isso: você responde sobre o estágio atual do seu sistema de gestão e recebe dois números — quanto do sistema já está de pé e o que o caminho até a certificação ainda exige.
Não é um formulário de captação disfarçado. É o mesmo diagnóstico que usamos para dimensionar projeto: você sabe o tamanho do trabalho antes de contratar qualquer coisa.
👉 Fazer o autodiagnóstico gratuito
Sobre quem escreveu
A Target-Q é o ecossistema de consultoria e formação em ISO (9001, 14001, 45001, IATF 16949), com método validado pela Exemplar Global, 13 anos de mercado, mais de 300 empresas atendidas, 6.000 alunos formados e 100% de aprovação em certificações ISO/IATF.
Nossos consultores viveram o chão de fábrica e os sistemas de gestão muito antes de ensinar — sabemos executar os requisitos normativos e auditá-los. É por isso que somos chamados, com frequência, para corrigir sistemas que outra consultoria entregou no papel.
Desenvolvemos pessoas para que elas desenvolvam empresas. Do diagnóstico à conquista, você não estará sozinho.
