Doanh nghiệp nên áp dụng hệ thống quản lý ISO nào?

Câu hỏi thường đến từ một sức ép cụ thể: khách hàng yêu cầu “phải có ISO”, hồ sơ dự thầu đòi chứng chỉ, hoặc đối tác nước ngoài hỏi về hệ thống quản lý. Doanh nghiệp cần một câu trả lời nhanh, và thường chọn ISO 9001 vì đó là cái tên quen nhất.

Chọn theo độ quen thuộc thì dễ, nhưng dẫn tới hai vấn đề. Thứ nhất, có thể làm chứng chỉ mà khách hàng không thực sự cần. Thứ hai, quan trọng hơn — khi doanh nghiệp cần thêm tiêu chuẩn thứ hai, thứ ba, mỗi cái lại là một hệ thống tài liệu riêng, một đợt đánh giá riêng, chi phí duy trì nhân lên.

Bài này xếp các tiêu chuẩn theo loại rủi ro chúng quản trị, để chọn đúng và tích hợp được ngay từ đầu.

Mỗi tiêu chuẩn trả lời một câu hỏi khác nhau

Tiêu chuẩn	Quản trị rủi ro gì	Câu hỏi nó trả lời
ISO 9001:2015	Chất lượng không ổn định	Lô sau có giống lô trước không?
ISO 14001:2015	Tác động môi trường	Hoạt động của chúng tôi ảnh hưởng gì tới môi trường?
ISO 45001:2018	Tai nạn và bệnh nghề nghiệp	Người lao động có an toàn không?
ISO/IEC 27001:2022	Rò rỉ thông tin	Dữ liệu khách hàng có được bảo vệ không?
ISO 50001:2018	Lãng phí năng lượng	Chúng tôi dùng năng lượng có hiệu quả không?
ISO 13485:2016	An toàn thiết bị y tế	Sản phẩm y tế có truy xuất và kiểm soát được không?
ISO 22000:2018	An toàn thực phẩm	Thực phẩm có an toàn dọc chuỗi không?

Đọc bảng theo chiều “rủi ro nào đang thực sự đe doạ doanh nghiệp”, không theo chiều “cái nào nổi tiếng hơn”.

Một cách kiểm tra nhanh: nếu một sự cố xảy ra ngày mai và làm doanh nghiệp mất khách hàng lớn nhất, sự cố đó thuộc loại nào? Câu trả lời chỉ ra tiêu chuẩn nên làm trước.

ISO 9001:2015 — nền của phần lớn trường hợp

Nếu chỉ chọn một, gần như luôn là ISO 9001. Không phải vì nó danh giá hơn, mà vì nó xây dựng những thứ mà mọi tiêu chuẩn khác đều cần dùng lại: cấu trúc tài liệu, cơ chế kiểm soát hồ sơ, quy trình đánh giá nội bộ, cơ chế xem xét của lãnh đạo, quy trình khắc phục.

Ba trụ cột của phiên bản 2015:

Tư duy dựa trên rủi ro. Phiên bản 2015 bỏ khái niệm “hành động phòng ngừa” như một điều khoản riêng, và thay bằng yêu cầu nhận diện rủi ro và cơ hội xuyên suốt hệ thống. Doanh nghiệp không còn chờ sự cố xảy ra rồi mới phòng ngừa.

Cách tiếp cận theo quá trình. Hệ thống được mô tả bằng các quá trình có đầu vào, đầu ra, người chịu trách nhiệm và chỉ số đo — không phải bằng danh sách phòng ban.

Vai trò trực tiếp của lãnh đạo cao nhất. Không còn khái niệm “đại diện lãnh đạo về chất lượng” như một chức danh có thể uỷ thác toàn bộ. Giám đốc phải trực tiếp tham gia xem xét hệ thống.

Xem chi tiết ở chứng nhận ISO 9001.

Doanh nghiệp đã có ISO 9001 vận hành thật — không phải hồ sơ đối phó — sẽ tiết kiệm được phần lớn công sức khi mở rộng sang tiêu chuẩn thứ hai.

Cấu trúc bậc cao: lý do tích hợp được

Các tiêu chuẩn hệ thống quản lý của ISO dùng chung một khung cấu trúc gồm mười điều khoản:

Điều khoản	Nội dung	Phần dùng chung được khi tích hợp
1–3	Phạm vi, tài liệu viện dẫn, thuật ngữ	Không đáng kể
4	Bối cảnh tổ chức	Phân tích bối cảnh và các bên quan tâm dùng chung
5	Sự lãnh đạo	Chính sách có thể gộp; cam kết lãnh đạo dùng chung
6	Hoạch định	Khung nhận diện rủi ro dùng chung, nội dung rủi ro riêng
7	Hỗ trợ	Năng lực, nhận thức, trao đổi thông tin, kiểm soát tài liệu — dùng chung gần như hoàn toàn
8	Thực hiện	Phần riêng nhiều nhất, đặc thù theo từng tiêu chuẩn
9	Đánh giá kết quả	Đánh giá nội bộ và xem xét của lãnh đạo dùng chung
10	Cải tiến	Quy trình khắc phục dùng chung

Nghĩa là ISO 9001, 14001, 45001 và 27001 có cùng bộ xương. Doanh nghiệp không cần ba sổ tay riêng, ba quy trình đánh giá nội bộ riêng, ba cuộc họp xem xét riêng.

Hệ thống quản lý tích hợp cho phép:

• Một bộ tài liệu dùng chung phần khung, chỉ tách ở điều khoản 6 và 8
• Một chương trình đánh giá nội bộ bao nhiều tiêu chuẩn, do một đội đánh giá viên đa năng thực hiện
• Một cuộc đánh giá chứng nhận kết hợp, giảm số ngày công đánh giá
• Một cuộc họp xem xét của lãnh đạo cho tất cả

Xem các tiêu chuẩn ISO GCDRI triển khai.

Đây là lý do nên nghĩ tới lộ trình dài hạn ngay từ tiêu chuẩn đầu tiên, thay vì làm rời rạc rồi phải gộp lại sau. Gộp một hệ thống đã chạy tốn công hơn nhiều so với thiết kế tích hợp ngay từ đầu.

Chọn tiêu chuẩn thứ hai theo ngành

Sản xuất có tác động môi trường rõ — nước thải, khí thải, chất thải rắn: ISO 14001. Ngoài giá trị quản trị, đây cũng là tiêu chuẩn được hỏi tới nhiều khi đối tác quốc tế đánh giá nhà cung cấp.

Xem ISO 14001 hệ thống quản lý môi trường và tuân thủ môi trường cho nhà máy.

Ngành có rủi ro an toàn cao — xây dựng, cơ khí, hoá chất, kho vận: ISO 45001. Đây cũng là tiêu chí mà chủ đầu tư lớn kiểm tra trong hồ sơ năng lực nhà thầu. Điểm đặc thù của tiêu chuẩn này là yêu cầu tham vấn và tham gia của người lao động — không thể xây hệ thống chỉ bằng phòng an toàn.

Xem ISO 45001 an toàn sức khoẻ nghề nghiệp và kiến thức an toàn lao động.

Doanh nghiệp xử lý dữ liệu khách hàng, phần mềm, dịch vụ số: ISO/IEC 27001:2022. Phiên bản 2022 tổ chức lại Phụ lục A thành 93 biện pháp kiểm soát theo bốn chủ đề — tổ chức, con người, vật lý, công nghệ. Điểm khác biệt lớn nhất so với các tiêu chuẩn còn lại: doanh nghiệp phải lập Tuyên bố áp dụng, giải trình vì sao áp dụng hoặc loại trừ từng biện pháp kiểm soát.

Xem ISO 27001 an toàn thông tin.

Cơ sở tiêu thụ năng lượng lớn: ISO 50001, thường đi cùng ISO 14001 trong chiến lược phát triển bền vững. Xem ISO 50001 quản lý năng lượng.

Ngành có tiêu chuẩn riêng, không thay bằng ISO 9001

Một số ngành có tiêu chuẩn chuyên biệt xây trên nền ISO 9001 nhưng bổ sung yêu cầu bắt buộc:

Ô tô — IATF 16949:2016, kèm năm công cụ cốt lõi APQP, PPAP, FMEA, MSA, SPC. Xem IATF 16949 cho chuỗi cung ứng ô tô.

Thiết bị y tế — ISO 13485:2016, nhấn mạnh kiểm soát thiết kế, quản lý rủi ro và truy xuất nguồn gốc. Xem ISO 13485 thiết bị y tế.

Thực phẩm — ISO 22000:2018 và các chương trình được GFSI công nhận. Xem chọn tiêu chuẩn cho ngành thực phẩm.

Phòng thử nghiệm — ISO/IEC 17025 cho năng lực thử nghiệm và hiệu chuẩn. Xem kiểm định và thử nghiệm.

Vật liệu xây dựng — ngoài hệ thống quản lý, sản phẩm còn phải chứng nhận hợp quy hoặc hợp chuẩn; đây là hai loại chứng nhận khác nhau, không thay thế nhau. Xem tiêu chuẩn vật liệu xây dựng.

Lộ trình triển khai sáu bước

1. Xác định phạm vi. Chứng nhận cho toàn doanh nghiệp hay một địa điểm, một dòng sản phẩm? Phạm vi quá rộng làm dự án nặng; quá hẹp thì khách hàng không chấp nhận. Đây là quyết định thương mại, không phải kỹ thuật.

2. Đánh giá khoảng trống. So hiện trạng với yêu cầu tiêu chuẩn, ra danh sách việc phải làm. Bước này quyết định độ chính xác của toàn bộ kế hoạch phía sau.

3. Đào tạo. Ít nhất ba nhóm: lãnh đạo (hiểu vai trò mình phải làm gì), đội ngũ xây dựng hệ thống (hiểu tiêu chuẩn), và đánh giá viên nội bộ (biết cách đánh giá).

4. Xây dựng hệ thống. Viết tài liệu ở mức đủ dùng. Nguyên tắc: tài liệu mô tả cách doanh nghiệp đang làm, chứ không mô tả cách lý tưởng.

5. Vận hành và đánh giá nội bộ. Cần một khoảng thời gian đủ để tích luỹ hồ sơ. Đánh giá nội bộ và xem xét của lãnh đạo là hai việc bắt buộc phải hoàn tất trước khi mời tổ chức chứng nhận.

6. Đánh giá chứng nhận. Thường hai giai đoạn: xem xét tài liệu và mức độ sẵn sàng, rồi đánh giá việc thực hiện tại hiện trường.

Bước 5 là bước hay bị rút ngắn nhất, và cũng là nguyên nhân phổ biến nhất khiến đợt đánh giá phát hiện hệ thống chỉ tồn tại trên giấy.

Chi phí gồm những khoản nào

Doanh nghiệp thường chỉ nhìn vào phí của tổ chức chứng nhận, trong khi đó chỉ là một phần:

• Phí đánh giá chứng nhận — tính theo số ngày công đánh giá, phụ thuộc quy mô nhân sự, số địa điểm, số tiêu chuẩn
• Phí giám sát định kỳ trong chu kỳ, và phí đánh giá lại khi hết chu kỳ
• Chi phí tư vấn nếu thuê ngoài
• Chi phí đào tạo cho các nhóm nêu trên
• Chi phí hiệu chuẩn, thử nghiệm phát sinh khi rà soát thiết bị đo
• Chi phí cải tạo cơ sở vật chất — với ISO 45001 và các tiêu chuẩn thực phẩm, đây có thể là khoản lớn nhất
• Chi phí thời gian của nhân sự nội bộ — khoản ít được tính nhưng thường lớn nhất trên thực tế

Tích hợp nhiều tiêu chuẩn giúp tiết kiệm rõ nhất ở hai khoản đầu và khoản cuối.

Bộ tài liệu tối thiểu gồm những gì

Phiên bản 2015 trở đi không còn bắt buộc sáu thủ tục dạng văn bản như các phiên bản cũ. Doanh nghiệp tự quyết định mức độ tài liệu hoá, miễn chứng minh được hệ thống vận hành. Trên thực tế, bộ tài liệu gọn mà đủ thường gồm:

• Phạm vi hệ thống quản lý — nêu rõ sản phẩm, dịch vụ, địa điểm nào được bao phủ và loại trừ điều khoản nào, kèm lý do
• Chính sách và mục tiêu — mục tiêu phải đo được và có người chịu trách nhiệm, không dừng ở khẩu hiệu
• Sơ đồ các quá trình — đầu vào, đầu ra, người phụ trách, chỉ số theo dõi
• Đăng ký rủi ro và cơ hội — cùng biện pháp xử lý tương ứng
• Các quy trình vận hành cốt lõi — chỉ những quá trình mà làm sai sẽ ảnh hưởng tới khách hàng hoặc tới tuân thủ
• Hồ sơ bắt buộc — kết quả đánh giá nội bộ, biên bản xem xét của lãnh đạo, hồ sơ khắc phục, hồ sơ đào tạo và năng lực, hồ sơ hiệu chuẩn

Nguyên tắc thực dụng: viết đủ để người mới vào làm đúng, không viết để trưng bày. Bộ tài liệu 300 trang mà không ai đọc kém giá trị hơn 40 trang được dùng hằng ngày.

Một sai lầm phổ biến là tạo ra hệ thống tài liệu song song với cách làm việc thật — nhân viên làm theo thói quen, còn quy trình nằm trong tủ. Đoàn đánh giá phát hiện điều này chỉ bằng cách hỏi người vận hành xem họ làm thế nào, rồi đối chiếu với văn bản.

Chọn tổ chức chứng nhận

Chứng chỉ chỉ có giá trị bằng uy tín của bên cấp nó. Bốn câu hỏi cần trả lời trước khi ký:

1. Tổ chức đó được công nhận bởi cơ quan nào? Chứng chỉ từ tổ chức không được công nhận có thể bị khách hàng từ chối.
2. Phạm vi công nhận có bao gồm ngành của bạn không? Đây là chi tiết hay bị bỏ sót.
3. Đánh giá viên có kinh nghiệm trong ngành không? Đánh giá viên không hiểu ngành sẽ hỏi lệch trọng tâm và không mang lại giá trị.
4. Khách hàng của bạn có chấp nhận tổ chức đó không? Một số tập đoàn có danh sách tổ chức chứng nhận được chấp nhận.

Lưu ý về vai trò: đơn vị tư vấn và tổ chức chứng nhận phải độc lập với nhau. Một bên vừa tư vấn vừa cấp chứng chỉ là xung đột lợi ích, và chứng chỉ đó dễ bị đặt câu hỏi.

Ba tình huống nên cân nhắc lại

Không phải lúc nào làm ISO cũng là quyết định đúng ở thời điểm hiện tại:

Doanh nghiệp đang thay đổi lớn về tổ chức hoặc mặt bằng. Xây hệ thống trên một cấu trúc sắp thay đổi là làm hai lần. Nên ổn định trước, hoặc thu hẹp phạm vi chứng nhận vào phần không bị ảnh hưởng.

Chỉ làm vì một hồ sơ dự thầu duy nhất. Nếu sau gói thầu đó không ai yêu cầu nữa, chi phí duy trì chu kỳ ba năm có thể vượt giá trị mang lại. Trường hợp này cần tính cả chi phí giám sát định kỳ, không chỉ chi phí lần đầu.

Lãnh đạo chưa sẵn sàng dành thời gian. Tiêu chuẩn từ phiên bản 2015 yêu cầu lãnh đạo cao nhất tham gia trực tiếp. Nếu giám đốc coi đây là việc của phòng ISO, hệ thống sẽ hình thức ngay từ đầu và đợt đánh giá sẽ chỉ ra điều đó.

Trong cả ba tình huống, phương án trung gian thường hợp lý hơn: áp dụng các nguyên tắc của tiêu chuẩn để cải thiện vận hành trước, và chỉ đi chứng nhận khi có nhu cầu thương mại rõ ràng.

Chứng nhận không phải đích đến

Một hệ thống chỉ tạo giá trị khi được vận hành, không phải khi được cấp chứng chỉ. Dấu hiệu nhận biết hệ thống hình thức:

• Hồ sơ chỉ được cập nhật trong vài tuần trước kỳ đánh giá
• Đánh giá nội bộ làm cho có, không phát hiện điểm nào đáng kể
• Hành động khắc phục dừng ở “nhắc nhở nhân viên”, không truy tới nguyên nhân gốc
• Mục tiêu chất lượng đặt ra nhưng không ai theo dõi giữa kỳ
• Cuộc họp xem xét của lãnh đạo do phòng ISO làm thay, giám đốc chỉ ký

Phần bổ trợ cho ISO 9001 là các phương pháp cải tiến vận hành — 5S, Kaizen, PDCA, kiểm soát lãng phí. Tiêu chuẩn yêu cầu “cải tiến liên tục” nhưng không chỉ cách làm; đó là chỗ các công cụ này lấp vào.

Xem phương pháp cải tiến năng suất và bắt đầu cải tiến năng suất từ đâu.

Nếu doanh nghiệp hướng tới xuất khẩu, hệ thống quản lý còn là nền cho hồ sơ tuân thủ ở thị trường đích — xem lộ trình xuất khẩu sang EU và Mỹ.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có nên làm ISO không?

Tiêu chuẩn không quy định quy mô tối thiểu. Vấn đề là mức độ phù hợp: hệ thống phải tương xứng với quy mô, không sao chép bộ tài liệu của doanh nghiệp lớn về dùng. Một doanh nghiệp 20 người không cần bộ quy trình của nhà máy 2.000 người.

Nên làm lần lượt hay cùng lúc nhiều tiêu chuẩn?

Nếu đã xác định cần từ hai tiêu chuẩn trở lên trong 1–2 năm tới, xây tích hợp ngay từ đầu sẽ rẻ hơn nhiều so với làm rời rồi gộp.

Chứng chỉ ISO có hiệu lực bao lâu?

Chu kỳ ba năm, kèm đánh giá giám sát định kỳ trong chu kỳ. Hết chu kỳ thì đánh giá tái chứng nhận.

Có bắt buộc theo luật không?

Phần lớn tiêu chuẩn ISO là tự nguyện. Chúng trở thành “bắt buộc” khi khách hàng, hồ sơ dự thầu hoặc quy định ngành yêu cầu.

Làm ISO có chắc chắn đạt chứng nhận không?

Không đơn vị tư vấn nào cam kết được điều đó — quyết định thuộc về tổ chức chứng nhận độc lập. Điều cam kết được là quy trình chuẩn bị đầy đủ và đồng hành đến khi doanh nghiệp sẵn sàng cho đợt đánh giá.

Có cần thuê tư vấn không?

Không bắt buộc. Doanh nghiệp có nhân sự hiểu tiêu chuẩn và có thời gian hoàn toàn tự làm được. Tư vấn giúp rút ngắn thời gian và tránh đi đường vòng, nhưng không thay thế được việc doanh nghiệp phải tự vận hành hệ thống.

Đổi địa điểm sản xuất thì chứng chỉ còn hiệu lực không?

Chứng nhận gắn với phạm vi và địa điểm ghi trên chứng chỉ. Thay đổi địa điểm phải thông báo cho tổ chức chứng nhận và thường phải đánh giá bổ sung.

---

Chưa rõ nên bắt đầu từ tiêu chuẩn nào? GCDRI đánh giá hiện trạng và đề xuất lộ trình phù hợp quy mô, miễn phí.

VIỆN NGHIÊN CỨU PHÁT TRIỂN CHỨNG NHẬN TOÀN CẦU (GCDRI)

• Hotline: 0904.889.859 – 0908.060.060 (8:00–18:00, T2–T7)
• Email: chungnhantoancau@gmail.com
• VPGD: BT164 Central St, Khu Sunrise L, KĐT The Manor Central Park, Phường Định Công, TP. Hà Nội
• Website: https://chungnhantoancau.vn

Bài viết được biên soạn bởi đội ngũ chuyên gia tư vấn hệ thống quản lý của GCDRI.