Quy trình quản lý rủi ro ISO 9001 là chuỗi hoạt động liên tục từ thiết lập bối cảnh, đánh giá, xử lý đến theo dõi và báo cáo rủi ro. ISO 9001 không bắt buộc quy trình dạng văn bản riêng, nhưng yêu cầu rủi ro được hoạch định, tích hợp vào các quá trình và đánh giá hiệu lực hành động. Bài viết của KNA CERT hướng dẫn sáu giai đoạn theo ISO 31000, người chịu trách nhiệm và cách theo dõi rủi ro.
Quy trình quản lý rủi ro ISO 9001 là gì và có bắt buộc không?
Quy trình quản lý rủi ro ISO 9001 là cách tổ chức xác định, đánh giá, xử lý và theo dõi rủi ro để hệ thống đạt kết quả dự kiến. ISO 9001 không bắt buộc quy trình văn bản, nhưng điều 6.1.2 yêu cầu hành động tương xứng, tích hợp vào quá trình và đánh giá hiệu lực.
Phụ lục A.6.1.2 của ISO 9001:2026 làm rõ việc áp dụng tư duy dựa trên rủi ro không hàm ý dùng phương pháp quản lý rủi ro chính thức. Tổ chức vẫn có thể chọn cách tiếp cận mở rộng hơn, ví dụ dựa trên ISO 31000.
→ Tìm hiểu thêm: Tư duy dựa trên rủi ro ISO 9001
Quản lý rủi ro theo ISO 9001 khác gì xác định và đánh giá rủi ro?
| Hoạt động | Phạm vi | Câu hỏi chính |
| Xác định rủi ro | Một bước, tìm ra rủi ro | Điều gì có thể đi chệch? |
| Đánh giá rủi ro | Một giai đoạn: xác định, phân tích, đánh giá | Rủi ro nào cần xử lý trước? |
| Quản lý rủi ro | Toàn bộ vòng đời, gồm cả xử lý, theo dõi, báo cáo | Rủi ro có được kiểm soát liên tục không? |
→ Xem thêm: Xác định rủi ro và cơ hội trong ISO 9001
Quy trình quản lý rủi ro theo ISO 9001 gồm những giai đoạn nào?
Quy trình gồm sáu giai đoạn theo ISO 31000: trao đổi thông tin, thiết lập phạm vi và tiêu chí, đánh giá rủi ro, xử lý rủi ro, theo dõi và rà soát, ghi nhận và báo cáo. Các giai đoạn lặp lại liên tục, không chạy một lần rồi dừng.
| Giai đoạn | Mục đích | Liên hệ với ISO 9001:2026 |
| 1. Thiết lập phạm vi, bối cảnh, tiêu chí | Xác định điều gì cần quản lý và ngưỡng chấp nhận | 4.4.1, 6.1.1 |
| 2. Đánh giá rủi ro | Xác định, phân tích, đánh giá rủi ro | 6.1.2 |
| 3. Xử lý rủi ro | Chọn và thực hiện hành động tương xứng | 6.1.2 |
| 4. Theo dõi và rà soát | Đánh giá hiệu lực, cập nhật rủi ro | 9.1.3, 10.2.1 |
| 5. Trao đổi thông tin | Cho mọi bên liên quan biết rủi ro và quyết định | Xuyên suốt |
| 6. Ghi nhận và báo cáo | Lưu bằng chứng, báo cáo cho lãnh đạo | 7.5.1, 9.3.2 |
Giai đoạn 1: Thiết lập phạm vi, bối cảnh và tiêu chí
Bắt đầu bằng việc xác định phạm vi quản lý rủi ro: những quá trình nào, mục tiêu nào, và các vấn đề bên trong, bên ngoài ảnh hưởng đến kết quả. Điều 6.1.1 của ISO 9001 yêu cầu tổ chức xem xét các vấn đề và yêu cầu liên quan khi xác định rủi ro. Cuối giai đoạn, ban hành tiêu chí và ngưỡng chấp nhận rủi ro dùng chung cho toàn tổ chức.
Giai đoạn 2: Đánh giá rủi ro
Giai đoạn này gồm xác định, phân tích và đánh giá rủi ro, tương ứng yêu cầu của điều 6.1.2. Đây chỉ là một phần của quản lý rủi ro nên bài này không đi sâu. Các bước, tiêu chí và ví dụ tính điểm nằm trong bài “Quy trình đánh giá rủi ro theo ISO 9001”.
Giai đoạn 3: Xử lý rủi ro
Chú thích của điều 6.1.2 nêu các hướng xử lý: tránh rủi ro, đảm nhận rủi ro để theo đuổi cơ hội, loại bỏ nguồn rủi ro, thay đổi khả năng hoặc hệ quả, chia sẻ rủi ro, hoặc duy trì rủi ro bằng quyết định có thông tin. Điều khoản cũng yêu cầu hành động tương xứng với tác động tiềm ẩn.
- Chọn hướng xử lý dựa trên chi phí, lợi ích và khả năng thực hiện.
- Giao người chịu trách nhiệm, nguồn lực và thời hạn cụ thể.
- Tích hợp hành động vào kế hoạch của quá trình, không tách thành việc riêng.
- Đánh giá lại rủi ro còn lại sau xử lý để biết có nằm trong mức chấp nhận không.
Giai đoạn 4: Theo dõi và rà soát rủi ro
Điều 9.1.3 yêu cầu đánh giá hiệu lực của hành động đã thực hiện để giải quyết rủi ro. Điều 10.2.1 yêu cầu cập nhật rủi ro và cơ hội khi cần sau khi xử lý sự không phù hợp. Tổ chức nên rà soát định kỳ và khi có thay đổi lớn về quá trình, nhà cung cấp hoặc yêu cầu khách hàng.
Giai đoạn 5: Trao đổi thông tin về rủi ro
Kết quả quản lý rủi ro cần đến đúng người: chủ quá trình để hành động, lãnh đạo để quyết định. Hãy xác định rõ ai cần biết điều gì, vào lúc nào và qua kênh nào, chẳng hạn họp giao ban của bộ phận hoặc báo cáo định kỳ. Nhân sự tác nghiệp cũng cần biết rủi ro của quá trình mình phụ trách và cách báo cáo khi phát hiện rủi ro mới. Điều 9.3.2 ISO đưa thông tin về hiệu lực của hành động giải quyết rủi ro và cơ hội vào đầu vào của xem xét của lãnh đạo theo ISO 9001.
Giai đoạn 6: Ghi nhận và báo cáo rủi ro
Ghi nhận kết quả ở mức đủ làm bằng chứng: rủi ro đã xác định, điểm số, hướng xử lý, người chịu trách nhiệm, thời hạn và hiệu lực của hành động. Mức độ thông tin dạng văn bản phụ thuộc quy mô, độ phức tạp của quá trình và năng lực nhân sự, theo chú thích điều 7.5.1. Sau đó, tổng hợp thành báo cáo ngắn cho lãnh đạo để làm đầu vào cho cuộc họp xem xét.
Ai chịu trách nhiệm trong quản lý rủi ro theo ISO 9001?
Lãnh đạo cao nhất thúc đẩy tư duy dựa trên rủi ro và phân bổ nguồn lực. Chủ quá trình chịu trách nhiệm quản lý rủi ro của quá trình mình phụ trách. Nhân sự tác nghiệp báo cáo rủi ro mới, còn đánh giá viên nội bộ kiểm tra hiệu lực hành động.
| Vai trò | Trách nhiệm trong quản lý rủi ro | Căn cứ |
| Lãnh đạo cao nhất | Thúc đẩy tư duy dựa trên rủi ro và cơ hội, phân bổ nguồn lực, xem xét kết quả | 5.1.1, 9.3.2 |
| Chủ quá trình | Xác định, đánh giá, xử lý và theo dõi rủi ro của quá trình mình phụ trách | 6.1.2 |
| Nhân sự tác nghiệp | Phát hiện và báo cáo rủi ro mới, thực hiện hành động được giao | 6.1.2 |
| Người điều phối hệ thống chất lượng | Hỗ trợ phương pháp, tổng hợp báo cáo cho lãnh đạo | 9.3.2 |
| Đánh giá viên nội bộ | Kiểm tra rủi ro có được xử lý và có hiệu lực không | 9.1.3 |
Điều 5.1.1 của ISO 9001 đặt trách nhiệm thúc đẩy tư duy dựa trên rủi ro cho lãnh đạo cao nhất, nên không nên giao toàn bộ cho bộ phận chất lượng.
Làm thế nào để tích hợp quản lý rủi ro vào hệ thống quản lý chất lượng?
Muốn tích hợp, hãy đưa rủi ro vào các hoạt động sẵn có thay vì lập hệ thống riêng: hoạch định mục tiêu, kiểm soát nhà cung cấp, đánh giá nội bộ, họp xem xét của lãnh đạo và hành động khắc phục. Mỗi nơi cần có đầu vào và đầu ra về rủi ro rõ ràng.
| Hoạt động của hệ thống | Đầu vào về rủi ro | Đầu ra về rủi ro |
| Hoạch định mục tiêu và kế hoạch | Rủi ro có thể cản trở mục tiêu | Hành động đưa vào kế hoạch |
| Kiểm soát nhà cung cấp | Rủi ro về giao hàng, chất lượng | Tiêu chí lựa chọn, giám sát |
| Thiết kế và phát triển | Rủi ro về yêu cầu và thay đổi | Kiểm soát, thẩm xét tương xứng |
| Đánh giá nội bộ | Rủi ro của quá trình được đánh giá | Phát hiện về hiệu lực hành động |
| Hành động khắc phục | Sự không phù hợp mới phát sinh | Cập nhật rủi ro, cơ hội (10.2.1) |
| Xem xét của lãnh đạo | Báo cáo rủi ro và hiệu lực hành động | Quyết định về nguồn lực, cải tiến |
Những chỉ số nào giúp theo dõi rủi ro?
Chỉ số cảnh báo sớm giúp phát hiện rủi ro tăng lên trước khi gây hậu quả. Bảng dưới đây là ví dụ minh họa, ngưỡng do mỗi tổ chức tự đặt.
| Rủi ro | Chỉ số theo dõi | Ngưỡng cảnh báo (ví dụ) |
| Nhà cung cấp giao trễ | Tỷ lệ đơn giao trễ trong tháng | Trên 10 phần trăm |
| Sản phẩm lỗi lặp lại | Số lỗi cùng loại trong tháng | Từ 3 lần trở lên |
| Thiết bị đo sai số | Số thiết bị quá hạn hiệu chuẩn | Từ 1 thiết bị trở lên |
| Mất khách hàng | Số khiếu nại lặp lại của cùng khách hàng | Từ 2 lần trong quý |
Quản lý rủi ro theo ISO 9001 và ISO 31000 khác nhau thế nào?
Tiêu chuẩn ISO 9001 chỉ yêu cầu những gì thuộc hệ thống quản lý chất lượng, còn ISO 31000 là hướng dẫn khung về quản lý rủi ro, không dùng để chứng nhận. Tổ chức có thể dùng ISO 31000 làm tài liệu tham khảo khi cần cách tiếp cận bài bản hơn.
1. Dùng khung ISO 31000 để xây dựng quy trình quản lý rủi ro
ISO 31000:2018 gồm ba phần: nguyên tắc, khung và quá trình. Sáu giai đoạn ở trên chính là phần quá trình. Phần khung nói về cách đưa quản lý rủi ro vào tổ chức, tương ứng với vai trò lãnh đạo ở điều 5.1.1 và việc đánh giá, cải tiến của ISO 9001.
2. Quản lý rủi ro và cơ hội trong ISO 9001:2026
ISO 9001:2026 tách điều 6.1.2 về rủi ro và 6.1.3 về cơ hội. Phụ lục A.6.1.1 cho biết rủi ro và cơ hội là hai khái niệm khác biệt, có thể được xác định và giải quyết qua các quá trình riêng. Vì vậy, nếu hồ sơ hiện tại gộp hai nội dung, hãy tách phần theo dõi và báo cáo cho dễ chứng minh.
Những sai lầm thường gặp khi quản lý rủi ro theo ISO 9001 là gì?
Sai lầm phổ biến là lập hồ sơ rủi ro một lần, chỉ liệt kê mà không xử lý, không theo dõi hiệu lực và giao toàn bộ cho bộ phận chất lượng. Các lỗi này khiến rủi ro không được cập nhật và không chứng minh được hành động có tác dụng.
- Lập hồ sơ một lần để đối phó khi được đánh giá, không cập nhật theo điều 10.2.1.
- Chỉ đánh giá mà không xử lý, hoặc xử lý mà không theo dõi hiệu lực.
- Không đặt ngưỡng chấp nhận nên không biết rủi ro nào cần hành động.
- Giao toàn bộ cho bộ phận chất lượng thay vì chủ quá trình.
- Dùng phương pháp quá phức tạp so với quy mô, trong khi điều 6.1.2 chỉ yêu cầu hành động tương xứng.
- Không đưa kết quả vào họp xem xét của lãnh đạo.
Câu hỏi thường gặp về quy trình quản lý rủi ro ISO 9001
1. ISO 9001 có bắt buộc phải có quy trình quản lý rủi ro dạng văn bản không?
Không. Phụ lục A.6.1.2 của ISO 9001:2026 nêu việc áp dụng tư duy dựa trên rủi ro không hàm ý dùng phương pháp quản lý rủi ro chính thức hoặc quá trình dạng văn bản. Tuy vậy, tổ chức vẫn cần chứng minh rủi ro được xác định, đánh giá, xử lý và theo dõi.
2. Quản lý rủi ro theo ISO 9001 khác đánh giá rủi ro thế nào?
Đánh giá rủi ro là một giai đoạn gồm xác định, phân tích và đánh giá. Quản lý rủi ro rộng hơn, gồm cả thiết lập phạm vi, xử lý, theo dõi, rà soát và báo cáo. Nói cách khác, đánh giá là một phần của quản lý, nên bạn cần làm cả hai để rủi ro được kiểm soát.
3. Bao lâu nên rà soát quá trình quản lý rủi ro một lần?
Tiêu chuẩn không quy định tần suất. Tổ chức nên rà soát định kỳ, ví dụ trước mỗi kỳ họp xem xét của lãnh đạo, và khi có thay đổi quan trọng. Điều 10.2.1 cũng yêu cầu cập nhật rủi ro và cơ hội khi cần sau khi xử lý sự không phù hợp.
4. Rủi ro còn lại sau xử lý có cần ghi nhận không?
Nên ghi nhận. Sau khi xử lý, rủi ro còn lại cần được đánh giá lại xem có nằm trong mức chấp nhận không. Ghi rõ người quyết định và lý do giúp chứng minh đó là quyết định có thông tin, đúng với hướng xử lý nêu trong chú thích điều 6.1.2.
5. Doanh nghiệp nhỏ có cần quy trình quản lý rủi ro đầy đủ không?
Không nhất thiết. Điều 6.1.2 chỉ yêu cầu hành động tương xứng với tác động tiềm ẩn. Doanh nghiệp nhỏ có thể gộp các giai đoạn vào một sổ rủi ro và một buổi rà soát định kỳ, miễn là rủi ro quan trọng được xử lý và theo dõi.
6. Ai chịu trách nhiệm cuối cùng về quản lý rủi ro trong hệ thống?
Lãnh đạo cao nhất. Điều 5.1.1 của ISO 9001 yêu cầu lãnh đạo cao nhất chứng tỏ vai trò lãnh đạo và cam kết, trong đó có việc thúc đẩy tư duy dựa trên rủi ro và tư duy dựa trên cơ hội. Việc thực hiện hằng ngày được phân công cho chủ quá trình.
THAM KHẢO KHÓA ĐÀO TẠO ISO 9001
Quản lý rủi ro hiệu quả là vòng lặp liên tục: xác định phạm vi, đánh giá, xử lý, theo dõi rồi cập nhật khi có thay đổi. Hãy bắt đầu từ các quá trình trọng yếu, giao rõ người chịu trách nhiệm và đưa kết quả vào họp xem xét của lãnh đạo. Liên hệ với KNA CERT qua số Hotline: 0983.246.419 hoặc Email: salesmanager@knacert.com nếu doanh nghiệp của bạn đang có nhu cầu chứng nhận ISO 9001.
Hỏi đáp
0 Bình luận