Quy trình đánh giá rủi ro theo ISO 9001: 7 bước & Ví dụ

Quy trình đánh giá rủi ro theo ISO 9001 gồm 7 bước: lập kế hoạch, xác định, phân tích, đánh giá, quyết định hành động, ghi nhận và xem xét lại. Quy trình này đáp ứng yêu cầu xác định, phân tích và đánh giá rủi ro tại điều 6.1.2 của ISO 9001:2026. Tiêu chuẩn không bắt buộc phương pháp cụ thể, nên bạn tự thiết kế cho tương xứng quy mô. Bài viết hướng dẫn từng bước kèm ví dụ tính điểm.

Đánh giá rủi ro theo ISO 9001 là gì?

Đánh giá rủi ro theo ISO 9001 là việc xác định, phân tích và đánh giá các rủi ro có thể ảnh hưởng đến khả năng cung cấp sản phẩm, dịch vụ phù hợp. Điều 6.1.2 của ISO 9001:2026 yêu cầu việc này, nhưng không quy định phương pháp hay quy trình dạng văn bản cụ thể.

Đánh giá rủi ro là phần giữa của điều 6.1.2, nằm sau bước xác định và trước bước hoạch định hành động. Nếu bạn cần xác định tư duy nền tảng, hãy đọc bài “Tư duy dựa trên rủi ro ISO 9001”.

Đánh giá rủi ro gồm những hoạt động nào?

Theo ISO 31000, đánh giá rủi ro gồm nhận diện, phân tích và đánh giá rủi ro, sau đó mới đến xử lý. ISO 9001:2026 dùng cách diễn đạt gần như tương tự ở điều 6.1.2, như bảng dưới đây.

HỎI ĐÁP VỚI CHUYÊN GIA

Quy trình đánh giá rủi ro theo ISO 9001 gồm những bước nào?

Quy trình đánh giá rủi ro gồm 7 bước: lập kế hoạch, xác định, phân tích, đánh giá, quyết định hành động, ghi nhận và xem xét lại. Ba bước giữa tương ứng với yêu cầu xác định, phân tích và đánh giá rủi ro tại điều 6.1.2 của ISO 9001:2026.

Bước 1: Lập kế hoạch đánh giá rủi ro và đặt tiêu chí

Hãy bắt đầu từ vài quá trình trọng yếu thay vì cả hệ thống. Mỗi quá trình nên có chủ quá trình cùng người trực tiếp vận hành tham gia vì họ hiểu rõ thực tế.

Tiếp theo, đặt tiêu chí trước khi chấm điểm. Thang khả năng và hệ quả cần gắn với chất lượng sản phẩm, dịch vụ và sự thỏa mãn của khách hàng. Ví dụ thang 1 đến 5, trong đó hệ quả mức 5 là giao hàng sai yêu cầu cho khách hàng trọng yếu. Cuối cùng, xác định ngưỡng chấp nhận để biết điểm nào phải xử lý.

Bước 2: Xác định rủi ro của từng quá trình

Có thể dùng buổi động não với người vận hành, danh mục kiểm tra, dữ liệu khiếu nại, kết quả đánh giá nội bộ và sự không phù hợp trước đây. Ghi rủi ro theo dạng “nguyên nhân dẫn đến sự kiện, gây hệ quả” để người khác đọc là hiểu.

Bước 3: Phân tích khả năng xảy ra và hệ quả

Với mỗi rủi ro, chấm khả năng xảy ra và hệ quả theo thang đã đặt. Nên dựa vào dữ liệu có sẵn như số lần lỗi, khiếu nại hoặc kết quả kiểm tra, thay vì cảm tính. Khi thiếu dữ liệu, ghi rõ đó là ước lượng của nhóm.

Bước 4: Đánh giá và xếp thứ tự ưu tiên

So điểm từng rủi ro với ngưỡng chấp nhận. Rủi ro vượt ngưỡng được xử lý trước, rủi ro dưới ngưỡng được theo dõi hoặc chấp nhận. Đây là bước biến danh sách thành quyết định, và cũng là bước hồ sơ cũ hay bỏ sót.

Bước 5: Quyết định hành động tương xứng

Chú thích của điều 6.1.2 nêu các hướng xử lý như tránh rủi ro, đảm nhận rủi ro để theo đuổi cơ hội, loại bỏ nguồn rủi ro, thay đổi khả năng hoặc hệ quả, chia sẻ rủi ro, hoặc duy trì rủi ro bằng quyết định có thông tin. Hành động phải tương xứng với tác động tiềm ẩn đến sự phù hợp của sản phẩm, dịch vụ.

Bước 6 và bước 7: Ghi nhận và xem xét lại

Ghi nhận kết quả ở mức đủ làm bằng chứng, rồi đưa hành động vào kế hoạch của quá trình. Sau đó xem xét lại theo chu kỳ và khi có thay đổi, như nội dung ở phần cuối bài.

Nên sử dụng kỹ thuật nào để đánh giá rủi ro theo ISO 9001?

Tiêu chuẩn ISO 9001 không bắt buộc kỹ thuật nào. Tổ chức có thể dùng ma trận khả năng và hệ quả cho quá trình đơn giản, hoặc FMEA khi cần chấm điểm chi tiết theo mức độ nghiêm trọng, khả năng xảy ra và khả năng phát hiện. ISO/IEC 31010 hướng dẫn thêm nhiều kỹ thuật khác.

Cách dựng ma trận 5×5 và các mẫu có sẵn nằm trong bài “Xác định rủi ro và cơ hội trong ISO 9001”. Phần dưới đây tập trung vào FMEA.

Ví dụ đánh giá rủi ro ISO 9001 bằng FMEA

FMEA chấm ba yếu tố từ 1 đến 10: mức độ nghiêm trọng (S), khả năng xảy ra (O) và khả năng phát hiện (D, điểm càng cao càng khó phát hiện). Điểm rủi ro RPN bằng S × O × D. Ví dụ dưới đây là minh họa cho quá trình đóng gói và xuất hàng; điểm số và ngưỡng do nhóm đánh giá tự đặt.

Với ngưỡng minh họa là RPN từ 120 trở lên phải xử lý ngay, từ 60 đến 119 theo dõi và dưới 60 chấp nhận, hai rủi ro đầu tiên được ưu tiên. Ví dụ, nhãn sai mã hàng có thể giảm bằng cách thêm bước quét mã trước khi đóng thùng, làm D giảm từ 5 xuống 2 và RPN còn 64.

Lưu ý rằng một số hướng dẫn FMEA hiện đại của AIAG và VDA dùng mức ưu tiên hành động cao, trung bình, thấp thay cho RPN, vì cùng một RPN có thể che đi rủi ro nghiêm trọng. Vì vậy, đừng chỉ nhìn tổng điểm: rủi ro có S rất cao nên được xem xét riêng. ISO/IEC 31010 mô tả thêm nhiều kỹ thuật khác nếu bạn cần.

Điều 6.1.2 của ISO 9001:2026 yêu cầu gì về đánh giá rủi ro?

ISO 9001:2026 yêu cầu rõ hơn: tổ chức phải xác định, phân tích và đánh giá rủi ro, rồi mới hoạch định hành động. Cơ hội có điều khoản riêng tại 6.1.3 và cũng được xác định, phân tích, đánh giá. Hồ sơ chỉ liệt kê rủi ro mà không chấm điểm cần được bổ sung.

Phụ lục A.6.1.2 xác nhận tiêu chuẩn không hàm ý dùng phương pháp quản lý rủi ro chính thức hoặc quá trình dạng văn bản. Rủi ro và cơ hội là hai khái niệm khác biệt, có thể được xác định và giải quyết qua các quá trình riêng.

Chuyên gia đánh giá thường kiểm tra điều gì?

• Rủi ro có được phân tích và đánh giá, hay chỉ liệt kê.
• Tiêu chí và ngưỡng chấp nhận có rõ ràng, nhất quán giữa các quá trình không.
• Hành động có tương xứng và đã được thực hiện, có đánh giá hiệu lực.
• Rủi ro có được cập nhật sau sự không phù hợp, theo điều 10.2.1.

Khi nào cần đánh giá lại rủi ro và nên ghi nhận ra sao?

Đánh giá rủi ro chỉ có giá trị khi dẫn đến quyết định và được cập nhật. Hãy gắn kết quả với kế hoạch quá trình, họp xem xét của lãnh đạo và hành động khắc phục, đồng thời xem xét lại khi có thay đổi hoặc sự không phù hợp mới.

1. Những thời điểm cần xem xét lại

• Theo chu kỳ tổ chức tự đặt, ví dụ mỗi năm một lần hoặc trước họp xem xét của lãnh đạo.
• Khi thay đổi quá trình, thiết bị, nhà cung cấp hoặc yêu cầu của khách hàng.
• Sau sự không phù hợp, khiếu nại hoặc kết quả đánh giá nội bộ mới.
• Khi chuyển sang ISO 9001:2026, để tách riêng rủi ro và cơ hội trong hồ sơ.

Kết quả đánh giá nên được báo cáo trong xem xét của lãnh đạo theo ISO 9001. Mức độ thông tin dạng văn bản phụ thuộc quy mô, độ phức tạp của quá trình và năng lực nhân sự, theo chú thích của điều 7.5.1.

2. Sai lầm thường gặp khi đánh giá rủi ro

• Liệt kê rủi ro nhưng không chấm điểm và không so với ngưỡng.
• Chấm điểm bằng cảm tính, mỗi người một thang khác nhau.
• Áp dụng kỹ thuật phức tạp cho mọi quá trình, trong khi tiêu chuẩn chỉ cần hành động tương xứng.
• Lập hồ sơ một lần để đối phó khi được đánh giá rồi không cập nhật.
• Giao toàn bộ cho bộ phận chất lượng thay vì chủ quá trình.

Câu hỏi thường gặp về đánh giá rủi ro theo ISO 9001

1. ISO 9001 có bắt buộc dùng ma trận hoặc FMEA để đánh giá rủi ro không?

Không. Phụ lục A.6.1.2 nêu việc áp dụng tư duy dựa trên rủi ro không hàm ý dùng phương pháp quản lý rủi ro chính thức. Điều 6.1.2 chỉ yêu cầu xác định, phân tích, đánh giá và hành động tương xứng. Ma trận hay FMEA chỉ là công cụ tổ chức tự lựa chọn.

2. Bao lâu cần đánh giá lại rủi ro một lần?

Tiêu chuẩn ISO 9001 không quy định tần suất. Tổ chức tự đặt chu kỳ định kỳ, ví dụ hằng năm, và xem xét lại khi có thay đổi quan trọng. Điều 10.2.1 cũng yêu cầu cập nhật rủi ro và cơ hội khi cần sau khi xử lý sự không phù hợp.

3. Ai chịu trách nhiệm thực hiện đánh giá rủi ro?

Chủ quá trình cùng nhóm đánh giá trực tiếp thực hiện vì họ hiểu rõ thực tế vận hành. Lãnh đạo cao nhất thúc đẩy tư duy dựa trên rủi ro theo điều 5.1.1 và chịu trách nhiệm giải trình về hiệu lực của hệ thống quản lý chất lượng.

4. Có cần lưu hồ sơ đánh giá rủi ro không?

ISO 9001 không có điều khoản riêng bắt buộc lập hồ sơ đánh giá rủi ro. Tuy vậy, tổ chức cần có bằng chứng ở mức cần thiết. Theo chú thích của điều 7.5.1, mức độ thông tin dạng văn bản phụ thuộc quy mô, độ phức tạp của quá trình và năng lực nhân sự.

5. Rủi ro đã được chấp nhận có cần ghi lại không?

Nên ghi lại. Chú thích của điều 6.1.2 nêu một hướng xử lý là duy trì rủi ro bằng quyết định có thông tin. Ghi rõ người quyết định và lý do giúp chứng minh đó là quyết định có cân nhắc, không phải bỏ sót rủi ro.

6. Đánh giá rủi ro theo ISO 9001 khác gì đánh giá rủi ro an toàn lao động?

ISO 9001 tập trung vào rủi ro ảnh hưởng đến khả năng cung cấp sản phẩm, dịch vụ phù hợp và sự thỏa mãn của khách hàng. Rủi ro an toàn và sức khỏe nghề nghiệp thuộc phạm vi của ISO 45001, với mục tiêu và phương pháp riêng.

THAM KHẢO KHÓA ĐÀO TẠO ISO 9001

Đánh giá rủi ro hiệu quả không nằm ở bảng điểm phức tạp, mà ở việc xác định đúng rủi ro, chấm điểm theo tiêu chí rõ ràng và hành động tương xứng. Hãy bắt đầu từ vài quá trình trọng yếu, rồi mở rộng dần. Liên hệ với KNA CERT qua số Hotline: 0983.246.419 hoặc Email: salesmanager@knacert.com nếu doanh nghiệp của bạn đang có nhu cầu chứng nhận ISO 9001.