ISO 9001:2026 – RISKS & OPPORTUNITES: CUỘC LY HÔN KHÔNG NƯỚC MẮT?

Vợ nhặt

Nhìn lại quá khứ chúng ta thấy rằng ISO 9001:2015 được giới thiệu rầm rộ nhất trong lịch sử và cũng được cộng đồng đón nhận hào hứng nhất. Content tạo vibe nhất của phiên bản đó là “tư duy dựa trên rủi ro”.

ISO 9001:2015 được phát hành trong bối cảnh có nhiều ý kiến cho rằng các yêu cầu của phiên bản trước đó cứng nhắc, nặng về hồ sơ giấy tờ và không còn phù hợp với một thế giới nhiều biến động (thường được nhắc đến với thuật ngữ VUCA). Bên cạnh việc loại bỏ nhiều yêu cầu cứng nhắc (ví dụ yêu cầu quy trình dạng văn bản), Ủy ban soạn thảo đưa “tư duy dựa trên rủi ro” vào bản ISO 9001:2015 theo tôi nhằm truyền tải thông hai thông điệp chính. Thứ nhất, bản thân các yêu cầu của tiêu chuẩn ISO 9001:2015 cũng được xây dựng dựa trên “tư duy rủi ro” và lần này được làm rõ hơn vì tư duy này đã được ngầm hiểu trong phiên bản ISO 9001:2008 trước đó (ISO 9001:2015, Tư duy dựa trên rủi ro, mục 0.3.3). Do đó các tổ chức áp dụng ISO 9001 phải nhận thức được các yêu cầu trong tiêu chuẩn này là rất quan trọng, nếu tổ chức không đáp ứng các yêu cầu này hệ quả là không có được sự hài lòng của khách hàng. Thứ hai, các yêu cầu của phiên bản ISO 9001:2015 đã mở hơn nên tổ chức áp dụng tiêu chuẩn này phải tiếp tục vận dụng “tư duy rủi ro” để xác định các yếu tố có ảnh hưởng đến quá trình và hệ thống từ đó triển khai (put in place) các biện pháp phòng ngừa để giảm thiểu tác động không mong muốn (ISO 9001:2015, Khái quát, mục 0.1) dựa trên bối cảnh riêng của mỗi tổ chức.

Như vậy có thể nói “tư duy dựa trên rủi ro” là nền tảng lý luận để thiết lập lên tiêu chuẩn ISO 9001 chung (ví dụ nếu không hiệu chuẩn thiết bị đo thì kết quả đo không chính xác nên tổ chức phải hiệu chuẩn thiết bị đo…), thiết kế và vận hành hệ thống riêng biệt của từng tổ chức (ví dụ nếu không lựa chọn kỹ thì không tìm được nhà cung cấp tốt nên chủ quá trình mua hàng phải chịu trách nhiệm về 8.4.1…). “Tư duy dựa trên rủi ro” không đơn thuần là việc phân tích & liệt kê một danh sách rủi ro, vì được gọi là “tư duy” nên nó phải được nuôi dưỡng để trở thành phần thường trực trong suy nghĩ và hành động của mỗi cá nhân trong hệ thống.

Qua đây chúng ta cũng thấy, không có cái “tư duy dựa trên cơ hội” khi thiết lập tiêu chuẩn ISO 9001 hay xây dựng và vận hành hệ thống của mỗi tổ chức. Ủy ban soạn thảo không thể suy nghĩ kiểu nếu mình thay đổi phiên bản nhiều hơn sẽ có cơ hội bán được nhiều tiêu chuẩn hơn.

Tuy nhiên, có lẽ xuất phát từ quan điểm “trong nguy có cơ” của người Trung Hoa mà trong các điều khoản ISO 9001 sau đó mỗi khi nhắc đến Risk thì sẽ có Opportunity theo sau như một cặp vợ chồng. Cách tiếp cận này (coi rủi ro & cơ hội là một cặp không tác rời) càng được củng cố khi các tổ chức chứng nhận luôn đặt câu hỏi danh sách rủi ro & cơ hội đâu? Tại sao chỉ có rủi ro mà không có cơ hội?

Thực ra mục đích chính của hệ thống quản lý như đã nêu trên là nhận biết các yếu tố có ảnh hưởng đến kết quả đã định và kiểm soát các tác động tiêu cực (negative) hay rủi ro. Trong quá trình giám sát các kết quả đã định và rủi ro liên quan, tổ chức có thể chợt nhận thấy trong một hoàn cảnh nhất định có thể làm việc gì đó (cơ hội) để có thể đạt được kết quả tốt hơn hoặc kết quả vẫn như cũ nhưng tốn ít nguồn lực hơn.

Có thể nói rằng “tư duy rủi ro” và xử lý các rủi ro là con đường kiếm sống của tổ chức và trên con đường đó tổ chức có thể tìm thấy cơ hội nào đó theo kiểu “VỢ NHẶT”.

Những tháng ngày gượng ép

Phiên bản ISO 9001:2015 coi “tư duy dựa trên cơ hội” như là “sản phẩm phụ” hay “vợ nhặt” của “tư duy dựa trên rủi ro khi cho rằng “hành động để giải quyết cơ hội cũng có thể bao gồm việc xem xét các rủi ro liên quan. Rủi ro là sự ảnh hưởng của sự không chắc chắn và (một) sự không chắc chắn bất kì nào đó đều có thể ảnh hưởng tích cực hoặc tiêu cực. Sự chệch hướng (deviation) tích cực xuất phát từ một rủi ro có thể mang lại cơ hội, nhưng không phải tất cả ảnh hưởng tích cực của rủi ro đều mang lại cơ hội”  (ISO 9001:2025, Tư duy dựa trên rủi ro, mục 0.3.0). Thông điệp này càng củng cố quan điểm “trong nguy có cơ” đã nêu trên. Nhưng ISO cũng nhấn mạnh không có nghĩa là rủi ro và cơ hội phải luôn song hành cùng nhau.

Tuy nhiên có thể dưới áp lực của câu hỏi đánh giá “Tổ chức có xác định các cơ hội không?” và quan điểm làm để có chứng nhận nên các tổ chức đã chọn con đường dễ nhất là “lập danh mục rủi ro và cơ hội” thay vì tư duy và thể hiện tư duy của mình về các cơ hội có thể có. Thực trạng đó dẫn đến việc “cơ hội” buộc phải xuất hiện cùng “rủi ro” như là việc xây dựng một hình ảnh về “cặp đôi hạnh phúc”.

Hình ảnh bên dưới là ví dụ điển hình của mối quan hệ gượng ép. Người phân tích rủi ro và cơ hội cố gắng xác định được cơ hội ở 3 mục đầu tiên (mặc dù chúng chẳng ăn nhập gì với các nội dung liên quan), nhưng dừng lại ở mục thứ tư có lẽ do quá chán.

Hình 1: VÍ DỤ VỀ BẢNG QUẢN LÝ RỦI RO & CƠ HỘI 

Chia tay còn nhìn mặt nhau?

Ủy ban soạn thảo ISO 9001 chắc nhận thấy thực trạng này (mô tả cơ hội một cách hình thức) nên đã tách “tư duy dựa trên rủi ro” (6.1.2) và “tư duy dựa trên cơ hội” (6.1.3) thành hai điều khoản riêng biệt với mục đích cung cấp sự phân biệt rõ ràng hơn giữa quản lý rủi ro & theo đuổi cơ hội (https://www.iso.org/quality-management/iso-9001-2026).

Sự phân tách này dẫn đến một câu hỏi nhiều doanh nghiệp quan tâm là “Công ty tôi trước đây thường liệt kê rủi ro & cơ hội vào một danh sách, với yêu cầu mới tôi có phải tách rủi ro và cơ hội thành 2 danh sách khác nhau?”. Có phải cuộc chia ly này dẫn đến tình trạng “rủi ro” và “cơ hội” trở thành kẻ thù không đội trời chung? Và liệu điều đó có mang lại lợi ích cho doanh nghiệp nếu vẫn cùng tư duy cũ, nội dung cũ được tách thành hai tờ giấy thay vì một tờ? Đây có phải điều tiêu chuẩn ISO 9001:2026 mong muốn?

Chắc chắn đây không phải là ý định của ISO. Sự phân biệt giữa “tư duy dựa trên rủi ro” và “tư duy dựa trên cơ hội” cần phải được phân biệt dựa trên bản chất chứ không phải hồ sơ. Nếu không đi vào chi tiết, điều khoản 6.1.2 và 6.1.3 chỉ khác nhau ở việc thay “rủi ro” bằng “cơ hội” hay ngược lại làm chúng ta có cảm giác chúng chẳng có gì khác nhau. Sự khác biệt giữa chúng thực sự chỉ được đề cập trong phụ lục A.6.1.2 và A.6.1.3. Theo đó “tư duy dựa trên rủi ro” có phạm vi ứng dụng rộng hơn cần được vận dụng từ giai đoạn đầu của việc hoạch định hệ thống quản lý, các quá trình của hệ thống và ngay cả đối với hoạt động nhỏ nhất của hệ thống. Và “tư duy dựa trên rủi ro” sẽ hỗ trợ tổ chức duy trì hệ thống quản lý chất lượng để đạt được kết quả đã định một cách nhất quán.

Theo cách tiếp cận này “tư duy dựa trên rủi ro” cần phải được trở thành văn hóa, sống trong từng hơi thở của mỗi thành viên trong tổ chức theo kiểu nếu không đào tạo nội dung này cho người thao tác thì có rủi ro gì không? trong quá trình đào tạo có rủi ro gì không?… Những rủi ro như thế không thể liệt kê thành danh sách (mặc dù nhiều tổ chức chứng nhận vẫn yêu cầu như thế). Cách tiếp cận này đã từng được đề cập đến trong các bài viết trước đó (https://quality-4-all.com/risk-based-thinking/ và https://quality-4-all.com/risk-management/).

Ngược với “tư duy dựa trên rủi ro” tổ chức không phải đặt ra câu hỏi về cơ hội trong từng hoạt động của hệ thống. Cơ hội cần được xác định thông qua xem xét, đánh giá bối cảnh của tổ chức bao gồm nhu cầu và mong đợi của các bên quan tâm, năng lực của tổ chức và nó giúp tổ chức nhận biết các hoàn cảnh (circumstances) tạo điều kiện cho tổ chức đạt được kết quả tốt hơn hoặc hiệu quả hơn. Mặc dù ISO 9001 không chỉ rõ khi nào tổ chức cần xác định cơ hội, tuy nhiên khi kết nối các hoạt động bao gồm hiểu bối cảnh (4.1), thiết lập chính sách chất lượng với sự cân nhắc về bối cảnh & định hướng chiến lược (5.3), thiết lập mục tiêu (kết quả mong muốn) nhất quán với chính sách chất lượng (6.2.1) chúng ta có thể hiểu rằng việc “nhận biết hoàn cảnh tạo điều cho tổ chức đạt được kết quả tốt hơn hoặc hiệu quả hơn” hay “tư duy dựa trên cơ hội” cần thực hiện trong quá trình hoạch định chiến lược và các mục tiêu.

Các phụ lục A.6.1.2 và A.6.1.3 phần nào giúp tổ chức phân biệt được sự  khác biệt về bản chất giữa “tư duy dựa trên rủi ro” và “tư duy dựa trên cơ hội” chứ không chỉ là hình thức. Cuộc chia tay này là để  cả hai có thể là chính mình chứ không thành kẻ thù. Tuy nhiên, liệu chúng còn có mối liên hệ gì sau khi chia tay?

Nuôi dưỡng đứa con chung

Dù phạm vi áp dụng hay nói cách khác là trách nhiệm của “tư duy dựa trên rủi ro” và “tư duy dựa trên cơ hội” là khác nhau nhưng chúng có một đích chung là hướng tới kết quả dự định cần đạt được – intended results (6.1.1).

Việc nuôi dưỡng đưa con chung này không chỉ là phạm trù đạo đức mà xuất phát từ định hướng thay đổi tiêu chuẩn bao gồm: cung cấp một cách nhìn rộng hơn về rủi ro & cơ hội, phân biệt giữa việc quản lý rủi ro (managing risks) và theo đuổi cơ hội (pursuing opportunities) và tạo ra sự gắn kết chặt chẽ hơn với chiến lược kinh doanh. Các mô hình dưới đây sẽ góp phần làm rõ hơn các thông điệp trên.

HÌNH 2: RISKS bao trùm rộng hơn OPPORTUNITIES

HÌNH 3: RISKS & OPPORTUNITES vẫn đi cùng nhau

Tòa tuyên án

Sau khi thụ lý hồ sơ & căn cứ trên các điều khoản 4.1, 4.2, 5.3, 6.1, 6.2; quan tòa ISO 9001:2026 tuyên án như sau:

Thứ nhất, đồng ý để Mr. RISKS và Ms. OPPORTUNITIES được chia tay nhau, không bắt buộc phải xuất hiện cùng nhau như một cặp để có thể phát triển hết năng lực của chính mình.

Thứ hai, Mr. RISKS với vai trò là cha có trách nhiệm xem xét mọi hoạt động có ảnh hưởng đến người con chung (EXPECTED RESULTS), nhận biết các rủi ro và có biện pháp kiểm soát (managing) để loại bỏ các rủi ro đó.

Thứ ba, Ms. OPPORTUNITIES có trách nhiệm phối hợp cùng Mr. RISKS định kỳ xem xét tình trạng người con chung (EXPECTED RESULTS), cân nhắc nhu cầu các bên liên quan (INTERESTED PARTIES) & môi trường xung quanh (CONTEXTS) để nhận biết sớm các tình huống gây bất lợi (RỦI RO) để có hành động xử lý chúng và các tình huống tích cực (CƠ HỘI) để có hành động theo đuổi và làm cho nó thành hiện thực.

Bản án này có hiệu lực từ ngày 16/09/2026.