AnalysisComplianceUnderstanding

Risk Management trong ISO 9001 — không phức tạp như nhiều người nghĩ

2026-10-04

Tóm tắt cho CEO và Quality Director

  • ISO 9001:2015 yêu cầu tư duy dựa trên rủi ro (risk-based thinking), không yêu cầu một hệ thống quản lý rủi ro chính thức hay một quy trình quản lý rủi ro dạng văn bản. Tổ chức tự quyết định mức độ chi tiết.
  • Điều khoản 6.1 yêu cầu xác định rủi ro và cơ hội cần được giải quyết, lập kế hoạch hành động tương xứng với tác động tiềm ẩn, tích hợp vào các quá trình, và đánh giá hiệu lực.
  • Hai thái cực phổ biến đều kém hiệu quả: dựng một ma trận rủi ro đồ sộ rồi không ai dùng, hoặc bỏ qua hoàn toàn đến khi đánh giá viên hỏi.
  • Cách làm thực tế cho SME: gắn vài rủi ro quan trọng vào từng quá trình, xem lại khi có sự cố hoặc thay đổi, và nối với hành động.
  • eQMS giúp nối rủi ro với quá trình, sự không phù hợp và đánh giá, nhưng không tự phát hiện rủi ro thay con người.

Ma trận hai trăm dòng

Đánh giá viên hỏi: “Rủi ro của hệ thống chất lượng được quản lý thế nào?”

Phòng chất lượng mở một file Excel. Trong đó có một ma trận hơn một trăm hai mươi dòng, mỗi dòng một rủi ro, có điểm xác suất, điểm tác động, điểm tích số, tô màu xanh vàng đỏ. File được lập cách đây hai năm, trước kỳ đánh giá chứng nhận. Kể từ đó chưa ai mở lại.

Đánh giá viên hỏi tiếp: “Rủi ro nào trong đây liên quan đến sự cố tháng trước?”

Không dòng nào khớp. Không ai nhớ ma trận này nói gì.

Đó là một dạng thất bại. Dạng ngược lại cũng phổ biến không kém: doanh nghiệp không có gì cả, và khi bị hỏi thì soạn vội một bảng trong buổi chiều. Cả hai đều cho thấy rủi ro được xem như một hồ sơ phải có, không phải một cách suy nghĩ khi vận hành.

Hai thẻ đối chiếu: ma trận 200 dòng bên trái, rủi ro đang được dùng bên phải; bên dưới là một thanh kết luận.

Bài này giải thích tiêu chuẩn thực sự yêu cầu gì và một cách tiếp cận vừa sức cho doanh nghiệp sản xuất cỡ vừa và nhỏ.

ISO 9001 thực sự yêu cầu gì về rủi ro

Các nhận định dưới đây dựa trên ISO 9001:2015, điều khoản 6.1 (Hành động giải quyết rủi ro và cơ hội), tóm lược bằng ngôn ngữ thực hành.

Ba thẻ điều khoản 6.1.1, 6.1.2 và tích hợp xếp hàng ngang, bên dưới là một khung ghi chú về phụ lục A.4.

Xác định (6.1.1). Khi lập kế hoạch cho hệ thống quản lý chất lượng, tổ chức xem xét bối cảnh của mình (điều 4.1) và yêu cầu của các bên quan tâm (điều 4.2), rồi xác định rủi ro và cơ hội cần được giải quyết nhằm:

Lập kế hoạch hành động (6.1.2). Tổ chức lập kế hoạch các hành động để giải quyết rủi ro và cơ hội đó, cách tích hợp và thực hiện hành động vào các quá trình của hệ thống, và cách đánh giá hiệu lực của hành động. Hành động phải tương xứng với tác động tiềm ẩn đến sự phù hợp của sản phẩm và dịch vụ.

Tiêu chuẩn cũng gợi ý các lựa chọn xử lý rủi ro: tránh rủi ro, chấp nhận rủi ro để theo đuổi cơ hội, loại bỏ nguồn rủi ro, thay đổi khả năng xảy ra hoặc hậu quả, chia sẻ rủi ro, hoặc giữ lại rủi ro bằng một quyết định có hiểu biết.

Có ba điểm đáng chú ý.

Thứ nhất, rủi ro đi cùng cơ hội. Tiêu chuẩn không chỉ nói về điều xấu có thể xảy ra mà cả khả năng tốt có thể tận dụng, ví dụ thực hành mới, sản phẩm mới, thị trường mới, đối tác, công nghệ.

Thứ hai, rủi ro không đứng riêng. Điều khoản 4.4 yêu cầu các quá trình giải quyết rủi ro và cơ hội theo 6.1. Điều khoản 9.1.3 yêu cầu đánh giá hiệu lực của hành động giải quyết rủi ro, 9.3 đưa điều này vào đầu vào của xem xét lãnh đạo, và 10.2 yêu cầu cập nhật rủi ro khi có sự không phù hợp.

Thứ ba, hành động phải tương xứng. Rủi ro nhỏ không cần phản ứng lớn.

Risk-based thinking khác risk management chính thức

Đây là điểm nhiều người hiểu sai nhất, nên đáng dừng lại.

Hai cột đối chiếu: các mục không bắt buộc theo ISO 9001 bên trái, tư duy dựa trên rủi ro bên phải.

Phụ lục A của ISO 9001:2015 (mục A.4, giải thích về tư duy dựa trên rủi ro) nói rõ rằng tiêu chuẩn không yêu cầu phương pháp quản lý rủi ro chính thức hay một quy trình quản lý rủi ro dạng văn bản. Tổ chức tự quyết định có xây dựng một phương pháp rộng hơn mức tiêu chuẩn yêu cầu hay không, ví dụ bằng cách áp dụng các hướng dẫn hay tiêu chuẩn khác.

Điều này có nghĩa là:

Cần phân biệt thêm hai điều khác thường bị nhầm với 6.1:

Phân tích mối nguy an toàn thực phẩm (HACCP) hay các yêu cầu quản lý rủi ro của ngành là những yêu cầu riêng, nằm ngoài ISO 9001 và thường chi tiết hơn nhiều. Nếu doanh nghiệp chịu các yêu cầu đó, cần đáp ứng độc lập.

Quản lý rủi ro doanh nghiệp theo các khuôn khổ như ISO 31000 là một lựa chọn tham khảo, không phải yêu cầu của ISO 9001. Doanh nghiệp có thể dùng nếu thấy có ích, nhưng không phải điều kiện để đạt chứng nhận.

Cách xác định rủi ro và cơ hội

Thay vì bắt đầu từ một bảng trống, hãy bắt đầu từ những gì doanh nghiệp đã biết.

Năm thẻ nguồn dữ liệu có sẵn xếp hàng ngang, bên dưới là một thanh nguyên tắc giữ danh sách ngắn.

Bắt đầu từ quá trình. Với mỗi quá trình quan trọng, hỏi một câu đơn giản: điều gì có thể ngăn quá trình này đạt kết quả dự kiến? Câu hỏi này thường cho ra những rủi ro thực tế hơn so với liệt kê trừu tượng.

Dùng dữ liệu đã có. Sự không phù hợp, khiếu nại, phát hiện đánh giá, sự cố thiết bị, kết quả nhà cung cấp là nguồn rủi ro thật, vì chúng đã từng xảy ra. Đây cũng là chỗ rủi ro nối với nonconformance và nhà cung cấp.

Nhìn vào thay đổi. Thiết bị mới, nhân sự chủ chốt thay đổi, nguyên liệu hoặc nhà cung cấp mới, thay đổi quy định hay yêu cầu khách hàng thường là nơi rủi ro mới xuất hiện.

Nhìn vào bối cảnh và các bên quan tâm. Điều khoản 6.1 yêu cầu xuất phát từ 4.1 và 4.2. Khách hàng muốn gì, quy định nào có thể thay đổi, đối thủ hoặc thị trường đang dịch chuyển ra sao.

Đừng quên cơ hội. Một câu hỏi song song: điều gì có thể giúp quá trình này tốt hơn? Cơ hội thường bị bỏ qua vì người ta quen nghĩ rủi ro là điều xấu.

Về đánh giá mức độ. Nếu muốn xếp hạng, một cách đơn giản như cao/trung bình/thấp theo tác động và khả năng xảy ra thường đủ. Điểm số chi tiết đến hai chữ số thập phân cho cảm giác chính xác mà không có cơ sở dữ liệu tương ứng. Điều quan trọng là rủi ro nào đáng hành động trước.

Về số lượng. Một số ít rủi ro quan trọng cho mỗi quá trình, được xem lại thật sự, có giá trị hơn một trăm hai mươi dòng không ai mở.

Tích hợp rủi ro vào quy trình

Điều tiêu chuẩn nhấn mạnh trong 6.1.2 là tích hợp hành động vào các quá trình, không phải lưu rủi ro trong một hồ sơ riêng. Đây là chỗ nhiều doanh nghiệp gãy: rủi ro nằm trong một file, quá trình nằm ở nơi khác, và hai thứ không bao giờ gặp nhau.

Bốn hộp nối bằng mũi tên: gắn vào tài liệu, xem lại sau sự kiện, đưa vào xem xét, cập nhật; bên dưới là khung ghi chú và khung đánh giá hiệu lực.

Một vài cách tích hợp thực tế:

Gắn rủi ro vào mô tả quá trình. Mỗi quá trình quan trọng có vài rủi ro chính và hành động kiểm soát tương ứng ngay trong tài liệu quá trình, nơi người vận hành và quản lý thực sự nhìn thấy.

Xem lại theo sự kiện. Rủi ro được xem lại khi có sự không phù hợp nghiêm trọng, thay đổi thiết bị hay quy trình, khiếu nại, hoặc phát hiện từ đánh giá, không chỉ theo lịch hằng năm.

Đưa vào xem xét của lãnh đạo. Hiệu lực của hành động giải quyết rủi ro và cơ hội là một đầu vào của buổi xem xét lãnh đạo (điều 9.3). Xem Management review ISO 9001.

Cập nhật khi học được điều mới. Điều khoản 10.2 yêu cầu cập nhật rủi ro và cơ hội khi cần sau một sự không phù hợp. Nếu sự việc xảy ra mà rủi ro tương ứng chưa được ghi nhận, đó là dấu hiệu để bổ sung.

Cần nhắc rằng bản 2015 không còn điều khoản riêng về hành động phòng ngừa như bản 2008; vai trò phòng ngừa nằm trong chính tư duy dựa trên rủi ro này.

Ví dụ minh họa (tình huống tổng hợp, không phải case khách hàng thật): một nhà máy chế biến thực phẩm có ma trận hơn một trăm dòng, hai năm chưa chỉnh sửa. Khi một nhà cung cấp bao bì duy nhất gặp sự cố giao hàng, nhà máy ngừng dây chuyền hai ngày, và ma trận không có dòng nào về việc phụ thuộc một nguồn bao bì. Sau đó nhóm chọn lại cách làm: mỗi quá trình chính chỉ giữ ba đến năm rủi ro quan trọng, nằm trong tài liệu quá trình, xem lại sau mỗi sự cố. Rủi ro “phụ thuộc nguồn duy nhất” xuất hiện ở quá trình mua hàng và kéo theo một hành động cụ thể: đánh giá một nhà cung cấp dự phòng.

Những sai lầm thường gặp

Theo quan sát tại nhiều doanh nghiệp sản xuất, các vấn đề sau xuất hiện thường xuyên. (Đây là quan sát chung, không phải số liệu đo lường.)

Risk management trong eQMS

Cần nói rõ trước: eQMS không phát hiện rủi ro thay bạn. Một hệ thống có thể giữ một ma trận một trăm dòng ngăn nắp hơn, nhưng ngăn nắp hơn không có nghĩa hữu ích hơn.

Điều eQMS thay đổi là mức độ rủi ro nằm riêng khỏi phần còn lại của hệ thống:

Gắn rủi ro với quá trình. Rủi ro và hành động kiểm soát nằm cùng tài liệu và quá trình liên quan, nên người dùng thấy chúng khi làm việc.

Nối với sự kiện thực tế. Sự không phù hợp, khiếu nại, phát hiện đánh giá và kết quả nhà cung cấp có thể gắn với rủi ro tương ứng, và gợi ý cập nhật khi có sự việc mới.

Nhắc xem lại. Rủi ro có lịch xem lại và được nhắc, thay vì phụ thuộc vào trí nhớ.

Tổng hợp cho lãnh đạo. Tình trạng rủi ro và hiệu lực hành động có sẵn cho buổi xem xét lãnh đạo mà không phải dựng lại.

Theo dõi hành động. Hành động giải quyết rủi ro có người chịu trách nhiệm, hạn và kết quả kiểm tra hiệu lực.

Lưu ý: nếu hệ thống cho phép chấm điểm số học, hãy cẩn thận với cảm giác chính xác giả tạo. Điểm số chỉ có ý nghĩa khi dữ liệu đầu vào đủ tốt.

Checklist thực hành

Dùng các câu hỏi dưới đây để rà soát cách bạn đang xử lý rủi ro và cơ hội.

  1. Rủi ro và cơ hội của bạn có xuất phát từ bối cảnh và các bên quan tâm, không chỉ từ một danh sách mẫu không?
  2. Mỗi quá trình quan trọng có vài rủi ro chính được xác định cụ thể không?
  3. Rủi ro có được ghi đủ cụ thể để dẫn tới hành động, không dừng ở “lỗi con người” hay “thiếu nguồn lực” không?
  4. Bạn có xét cơ hội song song với rủi ro không?
  5. Rủi ro có nằm trong tài liệu quá trình hoặc gắn với quá trình, hay nằm ở một file riêng?
  6. Hành động có tương xứng với tác động tiềm ẩn, tránh phản ứng quá lớn cho rủi ro nhỏ không?
  7. Rủi ro có được xem lại khi có sự kiện (sự không phù hợp nghiêm trọng, thay đổi, khiếu nại, phát hiện đánh giá), không chỉ theo lịch không?
  8. Khi một sự cố xảy ra, bạn có kiểm tra rủi ro tương ứng đã được ghi nhận chưa và cập nhật nếu chưa không?
  9. Hiệu lực của hành động giải quyết rủi ro có được đánh giá và đưa vào xem xét của lãnh đạo không?
  10. Mức độ chi tiết của phương pháp có vừa với quy mô của doanh nghiệp, hay đang phức tạp hơn mức bạn thực sự dùng?

Nếu từ ba câu trở lên trả lời “không” hoặc “chưa chắc”, vấn đề nhiều khả năng nằm ở chỗ rủi ro đang được coi là một hồ sơ, không phải một cách suy nghĩ khi vận hành.

Lưu ý về phiên bản ISO 9001

Bài viết tham chiếu ISO 9001:2015. Theo thông tin từ các tổ chức chứng nhận, bản sửa đổi ISO 9001:2026 đã được lên lịch xuất bản vào tháng 9/2026, với thời gian chuyển tiếp dự kiến khoảng ba năm và chứng nhận 2015 vẫn có giá trị trong thời gian đó. Cấu trúc và cách diễn đạt điều khoản có thể thay đổi; hãy đối chiếu với phiên bản tổ chức của bạn đang được chứng nhận.

Cách bạn đang xử lý rủi ro là một hồ sơ cho audit, hay một cách suy nghĩ khi vận hành?

→ Làm Knowledge Management Maturity Assessment để xác định mức độ trưởng thành và điểm cần cải thiện đầu tiên.

Đọc thêm:

Nguồn tham khảo:

Điều khoản ISO 9001:2015 được tóm lược bằng ngôn ngữ thực hành, không thay thế văn bản tiêu chuẩn; mọi quyết định tuân thủ cần đối chiếu với bản chính thức. Ví dụ trong bài là tình huống minh họa tổng hợp từ đặc điểm phổ biến của doanh nghiệp sản xuất SME, không phải case khách hàng cụ thể. Các vấn đề nêu trong bài là quan sát chung, không phải số liệu đo lường. Các cách xác định và tích hợp rủi ro nêu trong bài là cách làm phổ biến, không phải yêu cầu bắt buộc của tiêu chuẩn.

Does this describe your organization?

Điều này có đúng với doanh nghiệp bạn?

Chia sẻ:FacebookLinkedIn

Next step

Xác định mức độ trưởng thành và điểm cần cải thiện đầu tiên

Làm Knowledge Management Maturity Assessment