Xác định rủi ro và cơ hội trong ISO 9001 là yêu cầu bắt buộc khi hoạch định hệ thống quản lý chất lượng. Từ khi ISO 9001:2026 ban hành ngày 16/09/2026, rủi ro và cơ hội được tách thành hai điều khoản và phải được phân tích, đánh giá thay vì chỉ liệt kê. Bài viết của KNA CERT giải thích khái niệm, những điểm thay đổi của phiên bản 2026 so với bản 2015, quy trình, ma trận và mẫu ví dụ để doanh nghiệp áp dụng ngay.
Rủi ro và cơ hội trong ISO 9001 là gì?
Trong tiêu chuẩn ISO 9001, rủi ro là tác động của sự không chắc chắn có thể gây kết quả không mong muốn cho sản phẩm, dịch vụ hoặc hệ thống quản lý chất lượng. Cơ hội là tình huống thuận lợi giúp đạt kết quả tốt hơn dự kiến. ISO 9001:2026 coi đây là hai khái niệm riêng, quản lý bằng hai quá trình riêng.
1. Rủi ro theo cách tiếp cận của ISO 9001:2026
Trong ISO 9001:2026, yêu cầu về rủi ro (điều khoản 6.1.2) hướng vào các tác động không mong muốn: sản phẩm không phù hợp, giao hàng trễ, khách hàng không hài lòng, vi phạm yêu cầu pháp luật. Nguồn rủi ro đến từ bối cảnh tổ chức (4.1), nhu cầu của các bên quan tâm (4.2) và chính các quá trình của hệ thống.
Một rủi ro được mô tả đầy đủ khi trả lời được ba câu hỏi: điều gì có thể xảy ra, vì sao xảy ra và hệ quả là gì.
Ví dụ: “Nhà cung cấp phôi thép giao trễ (sự kiện) do chỉ có một nguồn cung (nguyên nhân), làm dừng chuyền 2 ngày và trễ đơn hàng xuất khẩu (hệ quả)”.
2. Cơ hội không phải là “mặt trái” của rủi ro
Nhiều tổ chức từng viết cơ hội bằng cách đảo ngược rủi ro, chẳng hạn rủi ro “nhân viên thiếu năng lực” thì cơ hội là “đào tạo nhân viên”. Cách viết này thực chất mô tả biện pháp xử lý rủi ro, không phải cơ hội. Phụ lục A của ISO 9001:2026 nhấn mạnh rủi ro và cơ hội là hai quá trình riêng biệt.
Cơ hội đúng nghĩa là khả năng tạo thêm giá trị: một thị trường mới, một công nghệ giúp giảm lỗi, một yêu cầu mới của khách hàng mà tổ chức có thể đáp ứng sớm hơn đối thủ.
Ví dụ: khách hàng EU bắt đầu yêu cầu dữ liệu phát thải của sản phẩm — doanh nghiệp đáp ứng sớm có thể trở thành nhà cung cấp ưu tiên.
3. Các thuật ngữ khi xác định rủi ro và cơ hội
ISO 9001:2026 thay đổi gì về rủi ro và cơ hội so với ISO 9001:2015?
ISO 9001:2026 giữ tư duy dựa trên rủi ro nhưng tách rủi ro (điều khoản 6.1.2) và cơ hội (điều khoản 6.1.3) thành hai điều khoản. Rủi ro phải được phân tích, đánh giá chứ không chỉ liệt kê; cơ hội có vòng đời riêng đến khi đánh giá hiệu lực. Sự tách biệt lan sang các điều khoản 5.1.1, 5.3, 9.1.3 và 9.3.
1. Tách riêng rủi ro (6.1.2) và cơ hội (6.1.3)
Điều 6.1.3 là điểm mới lớn nhất. Một bảng “rủi ro và cơ hội” gộp chung, trong đó cột cơ hội để trống hoặc ghi “không có”, sẽ khó đáp ứng yêu cầu. Tổ chức cần một danh mục cơ hội riêng, có người phụ trách, hành động và bằng chứng đánh giá hiệu lực.
2. Từ “liệt kê” sang “phân tích và đánh giá”
Theo ISO 9001:2015, nhiều doanh nghiệp chỉ cần lập danh sách rủi ro kèm biện pháp. Phiên bản 2026 yêu cầu thêm bước phân tích (khả năng xảy ra, mức độ ảnh hưởng) và đánh giá (so sánh với tiêu chí để quyết định ưu tiên). Ma trận 5×5 ở phần dưới là một cách thực hiện phổ biến.
3. Lãnh đạo thúc đẩy tư duy dựa trên rủi ro và cơ hội
Lãnh đạo cao nhất không chỉ phê duyệt sổ rủi ro mà phải chứng minh đã thúc đẩy cả tư duy dựa trên rủi ro và tư duy dựa trên cơ hội. Bằng chứng tốt là các quyết định có ghi nhận: phê duyệt đầu tư cho một cơ hội, theo dõi kết quả tại cuộc họp xem xét của lãnh đạo.
4. Biến đổi khí hậu trong bối cảnh tổ chức
Từ Sửa đổi 1:2024 và tiếp tục trong ISO 9001:2026, tổ chức phải xác định biến đổi khí hậu có phải là vấn đề liên quan hay không (4.1) và xem xét các bên quan tâm có yêu cầu liên quan đến khí hậu (4.2). Nếu có, đây là nguồn rủi ro (gián đoạn chuỗi cung ứng do thời tiết cực đoan) và cơ hội (đáp ứng yêu cầu xanh của khách hàng).
→ Tìm hiểu thêm: Những thay đổi của ISO 9001:2026 so với ISO 9001:2015
Những điều khoản nào của ISO 9001:2026 liên quan đến rủi ro và cơ hội?
Rủi ro và cơ hội xuất hiện xuyên suốt trong ISO 9001:2026: bối cảnh (4.1, 4.2), các quá trình (4.4), lãnh đạo (5.1, 5.3), hoạch định (6.1.1–6.1.3), phân tích kết quả (9.1.3), xem xét của lãnh đạo (9.3) và hành động khắc phục (10.2). Điều 6.1 là trọng tâm của toàn bộ chuỗi yêu cầu này.
Doanh nghiệp đang có chứng nhận ISO 9001:2015 cần cập nhật gì?
Chứng nhận ISO 9001:2015 vẫn hiệu lực đến khi hết giai đoạn chuyển đổi ngày 30/09/2029. Với rủi ro và cơ hội, doanh nghiệp cần tách sổ rủi ro và sổ cơ hội, thêm bước phân tích, đánh giá, cập nhật phân công trách nhiệm, báo cáo hiệu lực và chương trình xem xét của lãnh đạo.
1. Mốc thời gian chuyển đổi sang ISO 9001:2026
2. Năm việc cần làm với hồ sơ rủi ro và cơ hội theo ISO 9001:2026
- Tách sổ đăng ký hiện tại thành sổ rủi ro và sổ cơ hội, rà soát các “cơ hội” thực chất là biện pháp xử lý rủi ro.
- Bổ sung cột phân tích (khả năng xảy ra, mức độ ảnh hưởng) và tiêu chí đánh giá cho từng rủi ro.
- Cập nhật bảng phân công trách nhiệm (5.3): ai theo dõi, ai báo cáo về cơ hội.
- Tách báo cáo hiệu lực hành động với rủi ro và với cơ hội trong phân tích dữ liệu (9.1.3).
- Điều chỉnh chương trình họp xem xét của lãnh đạo (9.3) với hai đầu vào riêng.
Quy trình xác định rủi ro và cơ hội trong ISO 9001 gồm những bước nào?
Quy trình xác định rủi ro và cơ hội trong ISO 9001 gồm 6 bước: phân tích bối cảnh, nhận diện rủi ro theo quá trình, phân tích và đánh giá rủi ro, hoạch định hành động, xác định và đánh giá cơ hội, theo dõi hiệu lực và cập nhật. Bước 5 được ISO 9001:2026 làm rõ.
1. Nhận diện rủi ro theo từng quá trình
Nguồn nhận diện hiệu quả gồm: kết quả phân tích bối cảnh, khiếu nại khách hàng, sự không phù hợp nội bộ, kết quả đánh giá nội bộ, thay đổi về sản phẩm hoặc nhân sự và yêu cầu pháp luật mới. Mỗi chủ quá trình nên nhận diện rủi ro tại chính quá trình mình phụ trách thay vì giao cho một người làm toàn bộ.
2. Xác định và đánh giá cơ hội theo điều khoản 6.1.3
Một cơ hội cần đi qua đủ vòng đời: xác định → phân tích → đánh giá → hoạch định hành động → tích hợp vào quá trình → thực hiện → đánh giá hiệu lực. “Tích hợp” nghĩa là một quá trình thực sự thay đổi (quy trình, chỉ tiêu, nguồn lực), không chỉ thêm một dòng vào bảng.
3. Hành động “tương xứng” nghĩa là gì?
ISO 9001 yêu cầu hành động giải quyết rủi ro tương xứng với tác động tiềm ẩn đến sự phù hợp của sản phẩm, dịch vụ. Rủi ro cấp độ thấp có thể chấp nhận và theo dõi; rủi ro cao cần biện pháp kiểm soát cụ thể, có người chịu trách nhiệm và thời hạn. Không nên dàn trải nguồn lực cho mọi rủi ro như nhau.
Đánh giá mức độ rủi ro bằng ma trận 5×5 như thế nào?
Ma trận 5×5 tính điểm rủi ro R = M × K, với M là mức độ ảnh hưởng và K là khả năng xảy ra, mỗi yếu tố chấm từ 1 đến 5. Điểm 1–25 chia thành ba cấp A, B, C để ưu tiên xử lý. ISO 9001 không bắt buộc phương pháp này nhưng nó phổ biến vì dễ áp dụng.
1. Tiêu chí chấm điểm mức độ ảnh hưởng và khả năng xảy ra
Ma trận điểm rủi ro R = M × K
2. Phân cấp rủi ro và quyết định hành động
3. Chấm điểm cơ hội: lợi ích và tính khả thi
Cơ hội không nên chấm bằng ma trận rủi ro. Một cách đơn giản là Điểm cơ hội = Lợi ích (L) × Khả thi (F), mỗi yếu tố từ 1 đến 5. Lợi ích xét tác động đến sự thỏa mãn khách hàng và sự phù hợp của sản phẩm; khả thi xét nguồn lực, chi phí, thời gian. Cơ hội đạt từ 12 điểm trở lên nên đưa vào kế hoạch năm.
* Lưu ý: Đây là phương pháp minh họa do KNA đề xuất, không phải yêu cầu của tiêu chuẩn
Mẫu bảng nhận diện rủi ro và cơ hội theo ISO 9001:2026
Theo ISO 9001:2026, nên dùng hai mẫu riêng: sổ rủi ro (nguồn, mô tả, điểm M, K, R, biện pháp, người phụ trách) và sổ cơ hội (nguồn, lợi ích, điểm, hành động, quá trình được tích hợp, hiệu lực). Có thể chung một file nhưng phải tách hai phần với vòng đời riêng.
1. Mẫu sổ rủi ro từ bối cảnh và bên liên quan
2. Mẫu nhận diện rủi ro quá trình mua hàng
3. Mẫu sổ đăng ký cơ hội
Doanh nghiệp thường mắc lỗi gì khi xác định rủi ro và cơ hội ISO 9001?
Lỗi phổ biến nhất là coi cơ hội như biện pháp xử lý rủi ro, lập sổ một lần rồi không cập nhật, chấm điểm cảm tính và thiếu bằng chứng hiệu lực. Với ISO 9001:2026, sổ cơ hội để trống hoặc chỉ ghi “không có” là điểm dễ bị đánh giá viên ghi nhận nhất.
- Cơ hội là rủi ro viết ngược: “thiếu nhân lực” → “tuyển thêm người”. Đây là biện pháp, không phải cơ hội.
- Sổ đăng ký “đóng băng”: lập khi xây dựng hệ thống rồi không cập nhật sau khiếu nại, sự không phù hợp hoặc thay đổi lớn (10.2).
- Chấm điểm không có tiêu chí: cùng một rủi ro, mỗi bộ phận chấm một kiểu do không có định nghĩa cho từng mức điểm.
- Biện pháp không tương xứng: rủi ro cấp A chỉ ghi “theo dõi”, rủi ro cấp C lại có kế hoạch tốn kém.
- Không có bằng chứng hiệu lực: không đo lại sau khi thực hiện biện pháp, không có kết quả trong báo cáo 9.1.3.
- Rủi ro chỉ do phòng ISO viết: chủ quá trình không tham gia nên danh sách xa rời thực tế vận hành.
Câu hỏi thường gặp về rủi ro và cơ hội trong ISO 9001
1. ISO 9001:2015 còn được dùng để chứng nhận không?
Chứng nhận ISO 9001:2015 vẫn có hiệu lực trong giai đoạn chuyển đổi đến 30/09/2029. Tuy nhiên, doanh nghiệp đang xây dựng hệ thống mới nên áp dụng ngay ISO 9001:2026 để tránh phải chuyển đổi lần hai.
2. Có bắt buộc dùng ma trận 5×5 để đánh giá rủi ro không?
Không. ISO 9001 không quy định phương pháp cụ thể. Tổ chức có thể dùng ma trận 3×3, 5×5, FMEA hoặc phương pháp định tính, miễn là có tiêu chí rõ ràng, áp dụng nhất quán và kết quả được dùng để quyết định hành động.
3. Sổ rủi ro và sổ cơ hội có thể chung một file không?
Có thể, nhưng phải tách thành hai phần riêng với các cột phù hợp cho từng loại. Mỗi cơ hội cần có hành động, quá trình được tích hợp và kết quả đánh giá hiệu lực riêng, không gắn kèm theo một rủi ro.
4. Bao lâu cần cập nhật rủi ro và cơ hội một lần?
Tối thiểu trước mỗi kỳ họp xem xét của lãnh đạo và bất cứ khi nào có thay đổi về bối cảnh, sản phẩm, quá trình, khiếu nại nghiêm trọng hoặc sự không phù hợp. Tần suất cụ thể do tổ chức tự quy định.
5. Biến đổi khí hậu có bắt buộc phải là một rủi ro không?
Không bắt buộc. Tổ chức phải xác định biến đổi khí hậu có phải vấn đề liên quan hay không và lưu lại kết luận. Nếu liên quan, cần nhận diện rủi ro hoặc cơ hội tương ứng trong sổ đăng ký.
NHẬN THÔNG TIN KHÓA ĐÀO TẠO ISO 9001:2026
ISO 9001:2026 giữ tinh thần tư duy dựa trên rủi ro nhưng đòi hỏi làm kỹ hơn: tách rủi ro và cơ hội, đánh giá có tiêu chí và chứng minh hiệu lực hành động. Doanh nghiệp nên rà soát lại hệ thống quản lý chất lượng của mình thay vì chờ sát hạn chuyển đổi. Hiểu đúng yêu cầu mới là nền tảng để xác định rủi ro và cơ hội trong ISO 9001 hiệu quả.
Liên hệ KNA CERT qua số Hotline: 0983.246.419 hoặc Email: salesmanager@knacert.com để đăng ký khóa đào tạo ISO 9001:2026.
Hỏi đáp
0 Bình luận