Supplier Qualification trong ISO 9001 — vượt ra ngoài danh sách nhà cung cấp được duyệt

2026-10-04

Tóm tắt cho CEO, Quality Director và Purchasing Manager

• Một danh sách nhà cung cấp được duyệt (approved supplier list) là điểm xuất phát, chưa phải quy trình. Điều đánh giá viên muốn thấy là căn cứ: vì sao nhà cung cấp này nằm trong danh sách, và lần đánh giá lại gần nhất là khi nào.
• Điều khoản 8.4 của ISO 9001:2015 yêu cầu xác định và áp dụng tiêu chí để đánh giá, lựa chọn, theo dõi kết quả và đánh giá lại nhà cung cấp bên ngoài, và lưu giữ bằng chứng.
• Không phải nhà cung cấp nào cũng cần mức kiểm soát như nhau. Cách làm thực tế là phân nhóm theo rủi ro: nhà cung cấp nguyên liệu ảnh hưởng đến an toàn sản phẩm khác với nhà cung cấp văn phòng phẩm.
• Phạm vi rộng hơn “nhà cung cấp nguyên liệu”: gia công ngoài, phòng thử nghiệm, hiệu chuẩn, kiểm soát côn trùng đều thuộc phạm vi.
• eQMS giúp nối đánh giá, hiệu suất, sự không phù hợp và lịch đánh giá lại, nhưng không tự phán đoán nhà cung cấp nào đáng tin.

Danh sách có, căn cứ đâu?

Đánh giá viên xem danh sách nhà cung cấp được duyệt của một nhà máy. Có ba mươi tên, có ngày phê duyệt, có chữ ký.

Họ chọn một nhà cung cấp nguyên liệu bao bì và hỏi: “Căn cứ nào để nhà cung cấp này được đưa vào danh sách? Lần đánh giá lại gần nhất là khi nào? Hiệu suất giao hàng năm ngoái ra sao?”

Phòng mua hàng mở email, phòng chất lượng tìm trong một file Excel, và sau hai mươi phút vẫn chưa ghép được câu trả lời đầy đủ.

Danh sách thì có. Nhưng danh sách chỉ cho biết ai đã được chấp thuận. Nó không cho biết vì sao, và họ có còn đáp ứng không. Đó là khoảng cách giữa một danh sách và một quy trình đánh giá nhà cung cấp.

ISO 9001 điều khoản 8.4 yêu cầu gì

Một lưu ý về thuật ngữ trước: “supplier qualification” là cách gọi phổ biến trong thực tế, nhưng ISO 9001:2015 dùng cụm “quá trình, sản phẩm và dịch vụ do bên ngoài cung cấp” (externally provided processes, products and services) và gọi nhà cung cấp là “bên cung cấp bên ngoài” (external provider). Bài này dùng cách gọi phổ biến, theo nghĩa của điều khoản 8.4.

Các nhận định dưới đây dựa trên ISO 9001:2015, điều khoản 8.4, tóm lược bằng ngôn ngữ thực hành.

Yêu cầu chung (8.4.1). Tổ chức phải bảo đảm các quá trình, sản phẩm và dịch vụ do bên ngoài cung cấp phù hợp với yêu cầu. Cần xác định các biện pháp kiểm soát áp dụng khi sản phẩm hoặc dịch vụ của bên ngoài được đưa vào sản phẩm của tổ chức, khi bên ngoài cung cấp trực tiếp cho khách hàng thay mặt tổ chức, hoặc khi một quá trình hoặc một phần quá trình được giao cho bên ngoài thực hiện theo quyết định của tổ chức.

Tổ chức phải xác định và áp dụng tiêu chí để đánh giá, lựa chọn, theo dõi kết quả thực hiện và đánh giá lại bên cung cấp bên ngoài, dựa trên khả năng của họ cung cấp theo yêu cầu. Tổ chức phải lưu giữ thông tin dạng văn bản về các hoạt động này và về mọi hành động cần thiết phát sinh từ đánh giá.

Loại và mức độ kiểm soát (8.4.2). Việc kiểm soát phải bảo đảm quá trình bên ngoài không làm ảnh hưởng xấu đến khả năng liên tục giao sản phẩm phù hợp, vẫn nằm trong sự kiểm soát của hệ thống quản lý chất lượng, và tương xứng với tác động tiềm ẩn cũng như hiệu lực của kiểm soát mà bên cung cấp tự áp dụng. Tổ chức cũng xác định các hoạt động kiểm tra xác nhận cần thiết.

Thông tin cho bên cung cấp (8.4.3). Tổ chức phải truyền đạt yêu cầu: sản phẩm, dịch vụ hoặc quá trình cần cung cấp; yêu cầu phê duyệt (sản phẩm, phương pháp, thiết bị, phát hành); năng lực yêu cầu, kể cả trình độ của nhân sự; sự tương tác với tổ chức; cách kiểm soát và theo dõi kết quả; và các hoạt động xác nhận tại cơ sở của bên cung cấp nếu có.

Đọc kỹ, bạn sẽ thấy tiêu chuẩn nói về một chuỗi hoạt động: đánh giá → lựa chọn → theo dõi → đánh giá lại, cộng với truyền đạt yêu cầu và lưu bằng chứng. Một danh sách chỉ là kết quả của bước lựa chọn.

Approved supplier list và supplier qualification

Sự khác biệt có thể tóm gọn: danh sách là kết quả, qualification là quá trình tạo ra và duy trì kết quả đó.

Theo quan sát tại nhiều doanh nghiệp sản xuất, sáu vấn đề sau xuất hiện thường xuyên. (Đây là quan sát chung, không phải số liệu đo lường.)

1. Danh sách được lập một lần và không cập nhật. Nhà cung cấp được duyệt từ nhiều năm trước, chưa bao giờ được đánh giá lại.

2. Căn cứ phê duyệt không được lưu. Ai quyết định đưa vào danh sách, dựa trên gì, không có hồ sơ.

3. Mọi nhà cung cấp được đối xử như nhau. Nhà cung cấp nguyên liệu tiếp xúc trực tiếp với sản phẩm và nhà cung cấp văn phòng phẩm cùng một mẫu đánh giá.

4. Chứng chỉ được coi là đủ. Có ISO 9001 hoặc chứng nhận khác là bằng chứng hữu ích, nhưng không thay thế việc đánh giá khả năng đáp ứng yêu cầu cụ thể của bạn.

5. Dữ liệu hiệu suất nằm rải rác. Kết quả kiểm tra đầu vào ở phòng chất lượng, giao hàng ở phòng mua, khiếu nại ở phòng kinh doanh. Không ai có bức tranh tổng thể về một nhà cung cấp.

6. Quên các bên cung cấp không phải nguyên liệu. Gia công ngoài, phòng thử nghiệm bên ngoài, đơn vị hiệu chuẩn, kiểm soát côn trùng, vận chuyển. Điều khoản 8.4 bao quát cả quá trình do bên ngoài thực hiện, không chỉ nguyên liệu.

Ví dụ minh họa (tình huống tổng hợp, không phải case khách hàng thật): một nhà máy có danh sách khoảng bảy mươi nhà cung cấp được duyệt. Khi rà soát để chuẩn bị audit, nhóm chất lượng phát hiện nhiều nhà cung cấp chưa giao hàng trong hơn một năm vẫn nằm trong danh sách, một số chứng chỉ đã hết hạn, và hai nhà cung cấp có nhiều sự không phù hợp lặp lại nhưng chưa bao giờ được đánh giá lại. Danh sách vẫn “đầy đủ”, nhưng không phản ánh thực tế.

Tiêu chí đánh giá nhà cung cấp

Tiêu chuẩn yêu cầu doanh nghiệp tự xác định tiêu chí, dựa trên khả năng của nhà cung cấp cung cấp theo yêu cầu. Không có bộ tiêu chí chung cho mọi doanh nghiệp. Điều quan trọng là tiêu chí tương xứng với rủi ro.

Phân nhóm theo rủi ro

Cách thực tế nhất là chia nhà cung cấp thành vài nhóm dựa trên tác động tiềm ẩn đến chất lượng và an toàn sản phẩm:

• Nhóm quan trọng: nguyên liệu hoặc dịch vụ tiếp xúc trực tiếp với sản phẩm, ảnh hưởng đến an toàn hoặc yêu cầu chính của khách hàng, hoặc quá trình gia công ngoài.
• Nhóm tiêu chuẩn: vật tư, dịch vụ ảnh hưởng gián tiếp.
• Nhóm thấp: hàng hóa hoặc dịch vụ ít ảnh hưởng đến chất lượng sản phẩm.

Mỗi nhóm có mức đánh giá và theo dõi khác nhau. Nhóm quan trọng có thể cần đánh giá tại chỗ, mẫu thử hoặc lô thử, và đánh giá lại thường xuyên hơn. Nhóm thấp có thể chỉ cần xác nhận cơ bản. Cách này phù hợp với điều khoản 8.4.2, nơi tiêu chuẩn yêu cầu kiểm soát tương xứng với tác động tiềm ẩn.

Các loại tiêu chí thường dùng

• Khả năng đáp ứng yêu cầu kỹ thuật: mẫu thử, lô thử, hồ sơ năng lực.
• Hệ thống chất lượng của nhà cung cấp: chứng chỉ (là bằng chứng hỗ trợ, không thay thế đánh giá), bảng câu hỏi, đánh giá tại chỗ khi cần.
• Lịch sử thực hiện: với nhà cung cấp hiện hữu, dữ liệu giao hàng và chất lượng thực tế.
• Yêu cầu pháp lý và ngành: với thực phẩm, dược hay ngành chịu quy định, các chứng nhận và điều kiện riêng cần kiểm tra ngoài ISO 9001.
• Khả năng cung ứng liên tục: phụ thuộc vào một nguồn duy nhất cho nguyên liệu quan trọng là một rủi ro đáng ghi nhận.

Điểm quan trọng không phải danh sách tiêu chí dài, mà là mỗi quyết định phê duyệt có căn cứ được ghi lại.

Theo dõi hiệu suất và đánh giá lại

Phê duyệt ban đầu chỉ là điểm bắt đầu. Điều khoản 8.4.1 yêu cầu theo dõi kết quả thực hiện và đánh giá lại.

Theo dõi hiệu suất. Dữ liệu thường dùng: kết quả kiểm tra đầu vào, giao hàng đúng hạn và đủ số lượng, số sự không phù hợp liên quan, khiếu nại của khách hàng truy được về nhà cung cấp, và mức độ phản hồi khi được yêu cầu khắc phục. Một bảng điểm đơn giản thường hữu ích hơn một hệ thống chấm điểm phức tạp, miễn là dữ liệu đáng tin. Cần cẩn thận: điểm số xây trên dữ liệu thiếu hoặc không nhất quán sẽ cho cảm giác kiểm soát mà không có thực chất.

Đánh giá lại. Có hai loại kích hoạt:

• Theo chu kỳ: tần suất theo nhóm rủi ro. Nhóm quan trọng thường xuyên hơn.
• Theo sự kiện: sự không phù hợp lặp lại, khiếu nại, thay đổi quá trình sản xuất, địa điểm hoặc quyền sở hữu của nhà cung cấp, hoặc chứng chỉ hết hạn.

Truyền đạt yêu cầu và thay đổi. Điều khoản 8.4.3 yêu cầu truyền đạt rõ yêu cầu cho nhà cung cấp. Một thực hành hữu ích: thỏa thuận để nhà cung cấp thông báo trước khi thay đổi nguyên liệu đầu vào, quy trình hoặc địa điểm sản xuất ảnh hưởng đến sản phẩm bạn mua. Nhiều vấn đề chất lượng bắt nguồn từ thay đổi mà bên mua không biết.

Khi nhà cung cấp gây ra sự không phù hợp. Việc yêu cầu nhà cung cấp phân tích nguyên nhân và thực hiện hành động khắc phục nên nằm trong cùng dòng chảy với xử lý sự không phù hợp nội bộ, xem Nonconformance không phải báo cáo lỗi và CAPA hiệu quả.

Supplier management trong eQMS

Cần nói rõ trước: eQMS không phán đoán nhà cung cấp nào đáng tin, và không sửa được quan hệ với nhà cung cấp. Nếu dữ liệu đầu vào thiếu hoặc kém, hệ thống chỉ trình bày chúng gọn hơn.

Điều eQMS thay đổi là mức độ quản lý nhà cung cấp phụ thuộc vào email và bảng tính rải rác:

Hồ sơ nhà cung cấp tập trung. Nhóm rủi ro, trạng thái phê duyệt, căn cứ, chứng chỉ, thỏa thuận, đặc tả và tài liệu liên quan nằm một chỗ.

Nhắc hạn. Chứng chỉ sắp hết hiệu lực và lịch đánh giá lại được theo dõi và nhắc trước.

Dữ liệu hiệu suất nối với nguồn. Sự không phù hợp, kết quả kiểm tra đầu vào, khiếu nại liên quan được gắn với nhà cung cấp, nên bức tranh tổng thể hình thành mà không cần ghép tay.

Kích hoạt theo sự kiện. Khi sự không phù hợp lặp lại vượt ngưỡng đã định, hệ thống gợi ý hoặc yêu cầu đánh giá lại.

Yêu cầu khắc phục từ nhà cung cấp. Yêu cầu hành động khắc phục gửi cho nhà cung cấp được theo dõi hạn và kết quả cùng với hồ sơ nội bộ.

Lưu vết bằng chứng. Ai đánh giá, dựa trên gì, kết quả ra sao được ghi lại, trả lời trực tiếp câu hỏi “căn cứ ở đâu”.

Một lưu ý cho SME: với doanh nghiệp có ít nhà cung cấp, quy trình đánh giá nhẹ và tương xứng là đủ. Không cần dựng hệ thống chấm điểm nặng nề cho vài chục nhà cung cấp, trong đó phần lớn thuộc nhóm thấp.

Checklist thực hành

Dùng các câu hỏi dưới đây để rà soát quy trình quản lý nhà cung cấp hiện tại.

1. Với mỗi nhà cung cấp trong danh sách, bạn có căn cứ phê duyệt được lưu (đánh giá, mẫu thử, hồ sơ) không?
2. Nhà cung cấp có được phân nhóm theo rủi ro, với mức đánh giá và theo dõi khác nhau không?
3. Bạn có tiêu chí đánh giá được xác định, tương xứng với nhóm rủi ro, không?
4. Chứng chỉ có được coi là bằng chứng hỗ trợ và được theo dõi hạn, thay vì coi là đủ không?
5. Bạn có theo dõi hiệu suất (chất lượng, giao hàng, sự không phù hợp, khiếu nại) với dữ liệu đáng tin không?
6. Có lịch đánh giá lại theo chu kỳ và kích hoạt theo sự kiện (lỗi lặp lại, thay đổi, chứng chỉ hết hạn) không?
7. Nhà cung cấp có được truyền đạt yêu cầu rõ ràng và có thỏa thuận thông báo thay đổi trước không?
8. Các bên cung cấp quá trình (gia công ngoài, thử nghiệm, hiệu chuẩn, kiểm soát côn trùng) có nằm trong hệ thống đánh giá không?
9. Khi nhà cung cấp gây ra sự không phù hợp, có yêu cầu khắc phục được theo dõi hạn và kết quả không?
10. Danh sách có được rà soát định kỳ để loại bỏ nhà cung cấp không còn hoạt động hoặc không còn đáp ứng không?

Nếu từ ba câu trở lên trả lời “không” hoặc “chưa chắc”, vấn đề nhiều khả năng nằm ở việc danh sách đang được coi là quy trình.

Lưu ý về phiên bản ISO 9001

Bài viết tham chiếu ISO 9001:2015. Theo thông tin từ các tổ chức chứng nhận, bản sửa đổi ISO 9001:2026 đã được lên lịch xuất bản vào tháng 9/2026, với thời gian chuyển tiếp dự kiến khoảng ba năm và chứng nhận 2015 vẫn có giá trị trong thời gian đó. Cấu trúc và cách diễn đạt điều khoản có thể thay đổi; hãy đối chiếu với phiên bản tổ chức của bạn đang được chứng nhận.

Danh sách nhà cung cấp của bạn đang là kết quả của một quy trình, hay chỉ là một danh sách?

→ Làm Knowledge Management Maturity Assessment để xác định mức độ trưởng thành và điểm cần cải thiện đầu tiên.

Đọc thêm:

• Training records và năng lực nhân viên — những gì ISO thực sự yêu cầu (bài trước)
• Risk management theo ISO 9001 clause 6 — không phức tạp như nhiều người nghĩ (bài tiếp theo)
• Evidence-based AI: khi câu trả lời cần có khả năng kiểm chứng (bài liên quan)
• eQMS cho doanh nghiệp sản xuất — hướng dẫn thực hành (pillar)

Nguồn tham khảo:

• ISO 9001:2015, điều khoản 8.4 (kiểm soát quá trình, sản phẩm và dịch vụ do bên ngoài cung cấp): iso.org/standard/62085.html
• LRQA, ISO 9001 revision update: Publication date confirmed (nguồn của tổ chức chứng nhận, nên đối chiếu với ISO): lrqa.com

Điều khoản ISO 9001:2015 được tóm lược bằng ngôn ngữ thực hành, không thay thế văn bản tiêu chuẩn; mọi quyết định tuân thủ cần đối chiếu với bản chính thức. Ví dụ trong bài là tình huống minh họa tổng hợp từ đặc điểm phổ biến của doanh nghiệp sản xuất SME, không phải case khách hàng cụ thể. Các vấn đề nêu trong bài là quan sát chung, không phải số liệu đo lường. Việc phân nhóm theo rủi ro và các tiêu chí nêu trong bài là cách làm phổ biến, không phải yêu cầu bắt buộc của tiêu chuẩn.