Las normas ISO no establecen una metodología concreta o unas pautas para la identificación de los riesgos y oportunidades en el ámbito de los sistemas de gestión, únicamente no piden que documentemos estos riesgos y oportunidades y que se implementen los procesos necesarios para asegurar que la identificación se realiza de forma planificada.

Nota: Cabe señalar que ISO 9.001 e ISO 14.001 nos piden únicamente la identificación o determinación de estos riesgos y oportunidades, por otro lado ISO 45.001 introduce además la necesidad de su evaluación.

El proceso de evaluación nos permite valorar la criticidad o gravedad para cada uno de estos riesgos con la finalidad de priorizar las actuaciones sobre aquellos que nos puedan afectar de  forma más inmediata o con consecuencias más graves para nuestro sistema. Aunque para las normas de calidad y medio ambiente este no ha sido un requisito de obligado cumplimiento, las actividades lo han venido introduciendo en sus procesos para priorizar la planificación de acciones sobre aquellos riesgos más críticos.

En la actualidad podemos encontrar referencias a varias metodologías sobre todo enfocadas a la identificación y evaluación de los riesgos y no tanto de las oportunidades. Estas metodologías nos pueden ofrecer procesos de tipo cualitativo o procesos cuantitativos más

completos, su elección dependerá de la complejidad del contexto de la organización y sus procesos.

La norma ISO 31.000 en su última versión ofrece una herramienta para la gestión de los riesgos en las actividades y que ayuda a las empresas en su identificación y evaluación, tanto a nivel operativo, de gobierno como ante las partes interesadas. De esta forma se convierte en una guía complementaria para los sistemas de gestión basados en un enfoque a riesgos.

Una metodología ampliamente utilizada por las organizaciones por la facilidad de su uso y la aplicabilidad de los resultados obtenidos es el análisis DAFO (Debilidades, Amenazas, Fortalezas y Oportunidades). Aunque es un proceso de tipo cualitativo, permite la participación de una amplia representación de la empresa para los procesos incluidos en el ámbito del sistema de gestión y ofrece un extenso conjunto de resultados.

La identificación de las debilidades (factores internos) y amenazas (factores externos), darán lugar a los riesgos que deberán ser considerados en la planificación del sistema y las fortalezas (factores internos) y oportunidades (factores externos) a las opciones u oportunidades de mejora.

Esta es una herramienta que permite canalizar la identificación de riesgos y oportunidades a todos los niveles, desde el análisis de los procesos operativos, las estructuras de gobernanza y otros aspectos del contexto interno y externo de las empresas.

Por otro lado, facilita la participación del gobierno corporativo de una organización en el análisis de riesgos y oportunidades, analizando las debilidades y amenazas del contexto de la organización e incorporando la visión estratégica del negocio en la identificación de los factores de riesgo. La programación de jornadas de Workshop participativo con los altos mandos o directivos de las distintas áreas de gestión, canaliza la realización de este análisis DAFO y a la vez se fomentan las actuaciones de liderazgo de la alta dirección en los procesos de planificación del sistema.