Tư duy dựa trên rủi ro ISO 9001 là việc xác định trước những gì có thể ảnh hưởng đến kết quả mong muốn của hệ thống quản lý chất lượng, cả tiêu cực (rủi ro) lẫn tích cực (cơ hội), và hành động tương xứng. Yêu cầu chính nằm ở điều 6.1, được đưa vào từ bản 2015 thay cho “hành động phòng ngừa” của bản 2008. ISO 9001:2026 giữ điều 6.1 nhưng tách riêng việc xử lý rủi ro và xử lý cơ hội.
Tóm tắt
- ISO 9001 không bắt buộc phương pháp quản lý rủi ro chính thức hay sổ đăng ký rủi ro.
- Hành động phải tương xứng với ảnh hưởng tiềm ẩn đến sự phù hợp của sản phẩm, dịch vụ.
- Rủi ro và cơ hội xuất phát từ bối cảnh (4.1) và các bên quan tâm (4.2).
- Bản 2026 tách xử lý rủi ro và cơ hội thành các điều nhỏ riêng (6.1.1 đến 6.1.3).
Điều 6.1 yêu cầu gì?
Theo ISO 9001:2015, điều 6.1 gồm hai phần:
- Khi hoạch định hệ thống, xem xét các vấn đề ở điều 4.1 và yêu cầu ở điều 4.2, xác định rủi ro và cơ hội cần giải quyết để: bảo đảm hệ thống đạt kết quả dự kiến; tăng cường tác động mong muốn; ngăn ngừa hoặc giảm tác động không mong muốn; đạt được cải tiến (6.1.1).
- Hoạch định hành động giải quyết rủi ro và cơ hội, cách tích hợp hành động vào các quá trình của hệ thống, và cách đánh giá hiệu lực của hành động (6.1.2).
Ghi chú của tiêu chuẩn liệt kê các lựa chọn xử lý rủi ro: tránh rủi ro, chấp nhận rủi ro để theo đuổi cơ hội, loại bỏ nguồn rủi ro, thay đổi khả năng xảy ra hoặc hệ quả, chia sẻ rủi ro, hoặc duy trì rủi ro bằng quyết định có hiểu biết. Cơ hội có thể dẫn tới áp dụng cách làm mới, sản phẩm mới, thị trường mới, khách hàng mới, quan hệ đối tác hoặc công nghệ mới.
Thay đổi ở ISO 9001:2026
ISO 9001:2026, ban hành ngày 16/9/2026, tách xử lý rủi ro và xử lý cơ hội thành các điều nhỏ riêng (6.1.1 đến 6.1.3), thay vì một yêu cầu chung như bản 2015. Công nghệ mới chỉ cần được xem xét như một nguồn rủi ro hoặc cơ hội, không có yêu cầu riêng. Ý nghĩa thực tế: nhiều tổ chức lập một bảng “rủi ro và cơ hội” trong đó cột cơ hội bỏ trống hoặc chỉ là mặt trái của rủi ro; với bản 2026, cơ hội cần được nhận diện và xử lý như một nội dung riêng. Chứng chỉ ISO 9001:2015 phải chuyển đổi trước 30/9/2029. Chi tiết xem ISO 9001:2026 có gì mới.
Tư duy rủi ro không chỉ nằm ở điều 6.1
Bản 2015 lồng tư duy rủi ro vào nhiều điều khoản. Đánh giá viên thường kiểm tra sự liên kết giữa các điểm này:
| Điều (bản 2015) | Yêu cầu liên quan đến rủi ro |
|---|---|
| 4.4.1 f | Mỗi quá trình phải giải quyết rủi ro và cơ hội đã xác định theo 6.1 |
| 5.1.1 d | Lãnh đạo thúc đẩy tiếp cận theo quá trình và tư duy dựa trên rủi ro |
| 5.1.2 b | Rủi ro và cơ hội ảnh hưởng đến sự phù hợp sản phẩm và sự thỏa mãn khách hàng được xác định và giải quyết |
| 9.1.3 e, 9.3.2 e | Phân tích và xem xét hiệu lực của hành động giải quyết rủi ro và cơ hội |
| 10.2.1 e | Cập nhật rủi ro và cơ hội khi cần sau một sự không phù hợp |
Cần làm chính thức đến mức nào?
Tiêu chuẩn để tổ chức tự quyết định. Doanh nghiệp nhỏ có thể dùng một bảng ngắn gồm các rủi ro, cơ hội chính và hành động. Doanh nghiệp lớn hoặc có quá trình phức tạp có thể dùng FMEA cho quá trình sản xuất, hoặc khung quản lý rủi ro theo ISO 31000. Điều đánh giá viên quan tâm là rủi ro được xác định hợp lý, gắn với bối cảnh, và hành động được thực hiện.
| Nguồn rủi ro và cơ hội | Ví dụ |
|---|---|
| Bối cảnh nội bộ | Phụ thuộc vào một nhân sự chủ chốt, thiết bị cũ |
| Bối cảnh bên ngoài | Biến động giá nguyên liệu, thay đổi quy định, biến đổi khí hậu ảnh hưởng chuỗi cung ứng |
| Các bên quan tâm | Khách hàng yêu cầu thời gian giao hàng ngắn hơn |
| Cơ hội | Thị trường mới, công nghệ mới giúp giảm sai lỗi |
Khác gì “hành động phòng ngừa” bản 2008?
Bản 2008 có điều khoản riêng cho hành động phòng ngừa, thường được hiểu là phản ứng với sự không phù hợp tiềm ẩn đã nhận thấy. Bản 2015 bỏ điều khoản này và đưa tư duy rủi ro vào giai đoạn hoạch định: rủi ro được xem xét ngay khi thiết lập hệ thống và quá trình, không đợi đến khi có dấu hiệu sự cố. Đồng thời, tiêu chuẩn yêu cầu nhìn cả mặt tích cực là cơ hội.
Đánh giá viên kiểm tra gì?
- Rủi ro và cơ hội đã xác định có liên kết với vấn đề ở 4.1 và yêu cầu bên quan tâm ở 4.2, không phải danh sách chung chung.
- Hành động đã hoạch định, có người chịu trách nhiệm, đã được thực hiện và tích hợp vào quá trình.
- Hiệu lực của hành động được đánh giá và đưa vào xem xét của lãnh đạo.
- Danh sách được cập nhật khi có thay đổi lớn hoặc sau sự không phù hợp nghiêm trọng.
Điểm không phù hợp thường gặp: bảng rủi ro lập một lần khi xây dựng hệ thống rồi không cập nhật; rủi ro lớn nhất đã xảy ra trong năm (ví dụ mất khách hàng chính) không có trong danh sách; hành động ghi “theo dõi” mà không có nội dung cụ thể.
Ví dụ minh hoạ: một xưởng ép nhựa 70 người phụ thuộc vào một kỹ thuật viên duy nhất biết chỉnh khuôn. Rủi ro này được gắn với vấn đề nội bộ “nhân sự kỹ thuật” ở 4.1. Hành động: lập hướng dẫn chỉnh khuôn, đào tạo người thứ hai, đưa vào tri thức của tổ chức. Hiệu lực được đánh giá bằng việc người thứ hai tự chỉnh khuôn đạt yêu cầu khi kỹ thuật viên chính nghỉ phép.
Câu hỏi thường gặp
Có bắt buộc lập sổ đăng ký rủi ro không?
ISO 9001:2015 không yêu cầu thông tin dạng văn bản riêng cho điều 6.1. Tuy nhiên tổ chức cần chứng minh được rủi ro, cơ hội và hành động đã được xác định và thực hiện, nên phần lớn tổ chức vẫn lưu dưới dạng bảng hoặc trong phần mềm.
Bao lâu phải cập nhật rủi ro và cơ hội?
Tiêu chuẩn không quy định tần suất. Thực tế nên rà soát ít nhất trước mỗi lần xem xét của lãnh đạo, và cập nhật ngay khi có thay đổi lớn (6.3), khiếu nại nghiêm trọng hoặc sự không phù hợp lặp lại.
Có cần áp dụng ISO 31000 không?
Không bắt buộc. ISO 31000 là hướng dẫn quản lý rủi ro, không dùng để chứng nhận. Tổ chức có thể tham khảo để xây dựng phương pháp nhất quán, nhưng phải giữ mức độ phù hợp với quy mô. Xem thêm cách rủi ro nằm trong bước Plan tại chu trình PDCA trong ISO 9001.
Yêu cầu tổng thể xem tại ISO 9001 là gì; cách đánh giá viên kiểm tra điều 6.1 trong đợt chứng nhận xem tại trang dịch vụ chứng nhận ISO 9001.
Nguồn tham khảo
- ISO 9001:2026: tiêu chuẩn hiện hành, tách xử lý rủi ro và cơ hội tại điều 6.1.
- ISO công bố ISO 9001:2026: tóm tắt các điểm thay đổi.
- ISO 31000:2018: hướng dẫn quản lý rủi ro.
Bài viết cung cấp thông tin chung về yêu cầu tiêu chuẩn. Là tổ chức chứng nhận, DAS không tư vấn xây dựng hệ thống cho doanh nghiệp mà DAS đánh giá.
Biên soạn và rà soát
Chuyên gia đánh giá DAS Việt Nam Bài viết do đội ngũ chuyên gia đánh giá trưởng của DAS Việt Nam biên soạn và rà soát, dựa trên kinh nghiệm đánh giá chứng nhận thực tế tại doanh nghiệp.