Tư duy dựa trên rủi ro ISO 9001 là gì? Cách triển khai & Chứng minh tuân thủ

Tư duy dựa trên rủi ro ISO 9001 là cách tổ chức chủ động xác định điều gì có thể làm hệ thống quản lý chất lượng không đạt kết quả dự kiến, rồi hành động tương xứng từ khâu hoạch định. Đây là cách nghĩ gắn với mọi quá trình, không phải quy trình quản lý rủi ro dạng văn bản bắt buộc. Bài viết của KNA CERT giải thích khái niệm, cách chứng minh khi đánh giá và thay đổi trong ISO 9001:2026.

Tư duy dựa trên rủi ro trong ISO 9001 là gì?

Tư duy dựa trên rủi ro là cách tiếp cận trong đó tổ chức cân nhắc rủi ro khi hoạch định, ra quyết định và vận hành các quá trình để ngăn ngừa kết quả không mong muốn. Theo ISO 9001, đây là trọng tâm chung của cách tiếp cận theo quá trình, đi cùng chu trình PDCA.

Tiêu chuẩn không biến tư duy dựa trên rủi ro thành một quy trình riêng. ISO 9001 đặt tư duy này vào nhiều điều khoản để rủi ro được cân nhắc từ lúc hoạch định đến lúc đánh giá và cải tiến. Cách làm này giúp tổ chức duy trì kết quả ổn định, kể cả khi có sự cố gián đoạn.

1. Rủi ro trong ISO 9001 được hiểu như thế nào?

Điều 3.7 của ISO 9001:2026 định nghĩa rủi ro là tác động của sự không chắc chắn. Tác động là sự sai lệch so với dự kiến, có thể tích cực hoặc tiêu cực. Sự không chắc chắn là tình trạng thiếu hụt thông tin về một sự kiện, hệ quả hoặc khả năng xảy ra của nó.

Trong quản lý chất lượng, Phụ lục A.6.1.1 lưu ý rủi ro thường được hiểu theo hướng tiêu cực, tức là điều có thể cản trở hệ thống đạt kết quả dự kiến. Phần tác động có lợi được gọi là cơ hội. ISO 9001:2026 xem rủi ro và cơ hội là hai khái niệm khác biệt.

2. Tư duy dựa trên rủi ro gồm những câu hỏi nào?

Với mỗi quá trình, nhóm làm việc có thể dùng ba câu hỏi sau để vận dụng tư duy dựa trên rủi ro. Cách diễn đạt này bám theo yêu cầu xác định, phân tích, đánh giá rủi ro và hành động tương xứng tại điều 6.1.2 của ISO 9001.

• Điều gì có thể làm quá trình này không đạt kết quả dự kiến?
• Khả năng xảy ra và hệ quả đối với sản phẩm, dịch vụ hoặc sự thỏa mãn của khách hàng lớn đến đâu?
• Cần hành động gì, ở mức độ nào, để tương xứng với tác động tiềm ẩn đó?

HỎI ĐÁP VỚI CHUYÊN GIA

Vì sao ISO 9001 dùng tư duy dựa trên rủi ro thay cho hành động phòng ngừa?

ISO 9001:2008 có điều khoản riêng về hành động phòng ngừa. Từ ISO 9001:2015, tiêu chuẩn bỏ điều khoản này và đưa việc phòng ngừa vào toàn bộ hệ thống quản lý chất lượng thông qua tư duy dựa trên rủi ro. Nhờ đó, phòng ngừa trở thành hoạt động thường xuyên trong hoạch định, không còn là một thủ tục tách rời.

Bản ISO 9001:2015 nêu rằng một mục đích chính của hệ thống quản lý chất lượng là đóng vai trò công cụ phòng ngừa. Vì vậy, tiêu chuẩn không còn điều khoản riêng về hành động phòng ngừa. Ý tưởng phòng ngừa được thể hiện qua tư duy dựa trên rủi ro khi xây dựng các yêu cầu của hệ thống.

Tư duy dựa trên rủi ro qua các phiên bản ISO 9001

Tư duy dựa trên rủi ro có bắt buộc phải làm theo phương pháp chính thức không?

Không. Phụ lục A.6.1.2 của ISO 9001:2026 nêu rõ việc áp dụng tư duy dựa trên rủi ro không hàm ý dùng phương pháp quản lý rủi ro chính thức hoặc quá trình quản lý rủi ro dạng văn bản. Tổ chức vẫn có thể chọn cách tiếp cận mở rộng hơn, ví dụ dựa trên ISO 31000.

Điều 6.1.2 chỉ yêu cầu hành động tương xứng với tác động tiềm ẩn của rủi ro đối với kết quả dự kiến. Một xưởng nhỏ và một tập đoàn có thể áp dụng ở mức độ khác nhau, miễn là rủi ro quan trọng được xác định, phân tích, đánh giá và có hành động phù hợp.

1. Tư duy dựa trên rủi ro trong ISO 9001 khác gì ISO 31000?

ISO 9001:2026 nhắc đến ISO 31000 trong chú thích của Phụ lục A.6.1.1 và A.6.1.2 như tài liệu tham khảo về quản lý rủi ro. Hai tiêu chuẩn có vai trò khác nhau, như bảng dưới đây.

2. Khi nào doanh nghiệp nên áp dụng phương pháp chính thức hơn?

Tổ chức nên cân nhắc cách tiếp cận mở rộng khi khách hàng, quy định pháp luật hoặc tiêu chuẩn ngành yêu cầu. Một số ngành, như thiết bị y tế, có tiêu chuẩn riêng đòi hỏi quản lý rủi ro chặt chẽ hơn. Khi đó, tư duy dựa trên rủi ro của ISO 9001 vẫn là nền, còn phương pháp chính thức là lớp bổ sung.

Tư duy dựa trên rủi ro được thể hiện thế nào trong chu trình PDCA và công việc hằng ngày?

ISO 9001:2026 gắn tư duy dựa trên rủi ro với chu trình PDCA: rủi ro được cân nhắc khi hoạch định, kiểm soát khi vận hành, đánh giá hiệu lực khi kiểm tra và cập nhật khi cải tiến. Lãnh đạo cao nhất có trách nhiệm thúc đẩy tư duy này trong toàn tổ chức.

1. Lãnh đạo cao nhất cần làm gì để thúc đẩy tư duy dựa trên rủi ro?

Điều 5.1.1 của ISO 9001 yêu cầu lãnh đạo cao nhất thúc đẩy tư duy dựa trên rủi ro và tư duy dựa trên cơ hội. Điều 5.1.2 yêu cầu các rủi ro và cơ hội có thể ảnh hưởng đến sự phù hợp của sản phẩm, dịch vụ và sự thỏa mãn của khách hàng phải được xác định và giải quyết.

Trên thực tế, lãnh đạo thể hiện điều này khi đưa câu hỏi rủi ro vào các cuộc họp hoạch định, phân bổ nguồn lực cho hành động giải quyết và xem xét hiệu lực của hành động đó. Nội dung này liên quan trực tiếp đến xem xét của lãnh đạo trong ISO 9001.

2. Nhân sự tác nghiệp áp dụng tư duy dựa trên rủi ro ra sao?

Người phụ trách quá trình là người hiểu rõ nhất điều gì có thể đi chệch. Bảng dưới đây là các ví dụ minh họa về cách đặt câu hỏi và chọn hành động tương xứng.

Danh sách điều khoản liên quan và cách thức xác định chi tiết được trình bày trong bài “Xác định rủi ro và cơ hội trong ISO 9001”.

Tư duy dựa trên rủi ro thay đổi thế nào trong ISO 9001:2026?

ISO 9001:2026 giữ nguyên tư duy dựa trên rủi ro và bổ sung tư duy dựa trên cơ hội. Điều 6.1 nay gồm 6.1.1 xác định rủi ro và cơ hội, 6.1.2 giải quyết rủi ro, 6.1.3 giải quyết cơ hội. Hướng dẫn tương ứng nằm ở Phụ lục A.6.1.1 đến A.6.1.3.

ISO công bố ISO 9001:2026 ngày 16 tháng 9 năm 2026. Mục 0.3.3 về tư duy dựa trên rủi ro của bản 2015 không còn tồn tại như một mục riêng. Nội dung giải thích chuyển sang Phụ lục A.6.1.2 và phần giới thiệu về cách tiếp cận theo quá trình.

1. So sánh tư duy dựa trên rủi ro giữa ISO 9001:2015 và ISO 9001:2026

Điểm đáng chú ý là chú thích của điều 6.1.2 ISO 9001 nêu rõ rủi ro có thể gồm khả năng cung cấp sản phẩm, dịch vụ phù hợp trong và sau khi xảy ra gián đoạn. Lời nói đầu của tiêu chuẩn cũng cho biết Phụ lục A chỉ làm rõ cấu trúc, thuật ngữ và ý định của yêu cầu, không đưa thêm yêu cầu bổ sung.

2. Doanh nghiệp đang áp dụng ISO 9001:2015 cần chuẩn bị gì?

Thời gian chuyển đổi sang ISO 9001:2026 là 3 năm và chứng nhận ISO 9001:2015 hết hiệu lực sau ngày 30 tháng 9 năm 2029. Doanh nghiệp có thể bắt đầu bằng bốn việc sau:

• Rà soát cách đang ghi nhận rủi ro và cơ hội. Nếu hai nội dung được gộp trong một bảng, hãy tách thành hai phần riêng.
• Bổ sung bước phân tích và đánh giá rủi ro, không chỉ liệt kê.
• Cập nhật nội dung họp xem xét của lãnh đạo để hiệu lực hành động giải quyết rủi ro và cơ hội được báo cáo riêng.
• Tập huấn cho người phụ trách quá trình về tư duy dựa trên cơ hội, vì đây là nội dung mới.

Làm thế nào để chứng minh tư duy dựa trên rủi ro khi đánh giá ISO 9001?

Tổ chức chứng minh bằng bằng chứng cho thấy rủi ro được xác định, phân tích, đánh giá, có hành động tương xứng và được xem xét hiệu lực. Tiêu chuẩn không quy định hình thức, nên mức độ thông tin dạng văn bản do tổ chức quyết định theo quy mô, độ phức tạp và năng lực nhân sự.

1. Những bằng chứng nào cho thấy tư duy dựa trên rủi ro?

Bảng dưới đây là các ví dụ bằng chứng gắn với yêu cầu của tiêu chuẩn. Đây không phải danh sách hồ sơ bắt buộc.

Mức độ thông tin dạng văn bản có thể khác nhau giữa các tổ chức do quy mô, độ phức tạp của quá trình và năng lực nhân sự, theo chú thích của điều 7.5.1.

2. Những cách hiểu sai cần tránh khi áp dụng tư duy dựa trên rủi ro

• Coi đây là bảng rủi ro lập một lần để đối phó khi được đánh giá. Điều 10.2.1 của ISO 9001 yêu cầu cập nhật rủi ro và cơ hội khi cần, còn 9.1.3 yêu cầu đánh giá hiệu lực hành động.
• Chỉ nhìn rủi ro tiêu cực và bỏ qua cơ hội. ISO 9001:2026 đã tách riêng yêu cầu cho cơ hội.
• Áp dụng phương pháp phức tạp cho mọi quá trình. Tiêu chuẩn chỉ yêu cầu hành động tương xứng với tác động tiềm ẩn.
• Giao toàn bộ cho bộ phận chất lượng. Điều 5.1.1 đặt trách nhiệm thúc đẩy tư duy này cho lãnh đạo cao nhất.
• Có phân tích nhưng không có hành động và không đánh giá hiệu lực của hành động đó.

Câu hỏi thường gặp về tư duy dựa trên rủi ro trong ISO 9001

1. Tư duy dựa trên rủi ro có phải là đánh giá rủi ro không?

Không hoàn toàn. Tư duy dựa trên rủi ro là cách nghĩ xuyên suốt hệ thống, còn đánh giá rủi ro là một hoạt động cụ thể nằm trong cách nghĩ đó. Bạn có thể xem các bước thực hiện trong bài “Quy trình đánh giá rủi ro theo ISO 9001”

2. ISO 9001 có bắt buộc phải lập sổ đăng ký rủi ro không?

ISO 9001 không có điều khoản bắt buộc lập sổ đăng ký rủi ro. Tuy vậy, điều 6.1.2 yêu cầu xác định, phân tích, đánh giá rủi ro và hoạch định hành động. Tổ chức tự quyết định cách ghi nhận phù hợp để có bằng chứng cho việc này.

3. Tư duy dựa trên rủi ro có thay thế hành động phòng ngừa không?

Về mặt khái niệm, có. Từ ISO 9001:2015, việc phòng ngừa được thể hiện qua tư duy dựa trên rủi ro, không còn là điều khoản riêng. Hành động khắc phục vẫn được giữ lại tại điều 10.2 của ISO 9001:2026 để xử lý sự không phù hợp đã xảy ra.

4. ISO 9001:2026 còn yêu cầu tư duy dựa trên rủi ro không?

Còn. Điều 5.1.1 yêu cầu lãnh đạo cao nhất thúc đẩy cả tư duy dựa trên rủi ro và tư duy dựa trên cơ hội. Điểm mới là rủi ro và cơ hội được tách thành các điều khoản riêng, tại 6.1.2 và 6.1.3.

5. Doanh nghiệp nhỏ có cần áp dụng tư duy dựa trên rủi ro không?

Có, vì đây là yêu cầu chung cho mọi tổ chức. Điều 6.1.2 chỉ đòi hỏi hành động tương xứng với tác động tiềm ẩn của rủi ro, nên doanh nghiệp nhỏ có thể áp dụng đơn giản, miễn là rủi ro quan trọng được xác định và xử lý.

6. Rủi ro trong ISO 9001 chỉ là rủi ro tiêu cực phải không?

Không. Điều 3.7 của ISO 9001 định nghĩa rủi ro là tác động của sự không chắc chắn, và tác động đó có thể tích cực hoặc tiêu cực. Trong quản lý chất lượng, rủi ro thường được hiểu theo hướng tiêu cực, còn phần có lợi được gọi là cơ hội.

THAM KHẢO KHÓA ĐÀO TẠO ISO 9001

Tư duy dựa trên rủi ro giúp tổ chức nhìn trước những điều có thể làm lệch kết quả dự kiến và chọn hành động tương xứng, thay vì xử lý sự cố sau khi đã xảy ra. Với ISO 9001:2026, rủi ro và cơ hội được tách bạch rõ hơn, nên doanh nghiệp cần rà soát cách làm hiện tại sớm. Liên hệ với KNA CERT qua số Hotline: 0983.246.419 hoặc Email: salesmanager@knacert.com nếu doanh nghiệp của bạn đang có nhu cầu chứng nhận ISO 9001.