Trong các buổi trao đổi ban đầu, tôi thường xuyên nghe câu này: „ISO 9001 thì có lẽ chúng tôi làm được. Nhưng thêm cả 27001 nữa? Với nhân sự của chúng tôi thì không.“ Nỗi lo ấy là dễ hiểu, nhưng lại dựa trên một phép tính sai. Hai tiêu chuẩn không có nghĩa là khối lượng công việc gấp đôi. Nếu lập kế hoạch chuẩn chỉnh, chúng chỉ tốn thêm khoảng một phần ba so với một tiêu chuẩn đơn lẻ.
Lý do nằm ở chính cách các tiêu chuẩn được xây dựng. Bài viết này mô tả cách bạn tận dụng điều đó trên thực tế: những phần nào bạn chỉ xây một lần, tiến hành theo trình tự nào, cuộc đánh giá diễn ra ra sao và vì sao các dự án tích hợp thất bại, khi chúng thất bại. Ở đây nói về cách làm. Còn vì sao một hệ thống tích hợp vẫn sinh lợi cả sau khi có chứng chỉ lại là một chủ đề riêng.
„Ai triển khai hai tiêu chuẩn tách rời nhau thì viết một nửa nội dung hai lần và để người khác kiểm tra nó hai lần. Giá trị nội dung của sự trùng lặp đó bằng không.“ – Thomas Werner, CCO Eucerta AG và Lead Auditor
Cấu trúc nền chung chính là toàn bộ bí quyết
Nhiều năm trước, ISO đã quy định rằng mọi tiêu chuẩn về hệ thống quản lý đều được viết theo cùng một khuôn mẫu. Khuôn mẫu này ngày nay gọi là Harmonized Structure, trước đây được biết đến với tên Annex SL. Nó quy định trình tự các điều khoản, phần lớn nội dung cốt lõi và các thuật ngữ chung.
Hệ quả: ISO 9001, ISO 14001, ISO 27001 và ISO 42001 có cùng một bố cục. Bối cảnh của tổ chức, sự lãnh đạo, hoạch định, hỗ trợ, thực hiện, đánh giá kết quả hoạt động, cải tiến — theo đúng trình tự này, trong từng tiêu chuẩn nói trên, với phần văn bản yêu cầu gần như giống hệt nhau. Một tổng quan về Harmonized Structure cho thấy điều đó một cách chi tiết.
Đây không phải chuyện hình thức, mà là đòn bẩy của bạn. Một hệ thống quản lý đáp ứng tử tế các điều khoản 4 đến 10 một lần thì đã đáp ứng chúng cho tất cả các tiêu chuẩn tham gia. Phần còn lại là phần lõi chuyên môn của từng tiêu chuẩn — và phần đó nhỏ hơn đáng kể so với những thứ bao quanh nó.
Những gì bạn chỉ xây đúng một lần
Những phần bạn chỉ cần làm một lần lại chính là những phần tốn công nhất. Từ thực tiễn đánh giá, đó là những phần sau:
- Phân tích bối cảnh: những vấn đề nội bộ và bên ngoài nào ảnh hưởng đến doanh nghiệp của bạn.
- Xem xét các bên quan tâm: ai kỳ vọng điều gì ở bạn và cụ thể là gì.
- Phương pháp luận về rủi ro và cơ hội: thang đánh giá, trách nhiệm, chu kỳ xem xét.
- Kiểm soát thông tin dạng văn bản: tài liệu được tạo ra, phê duyệt, đánh phiên bản và lưu trữ như thế nào.
- Chương trình đánh giá nội bộ: một kế hoạch năm bao trùm tất cả các tiêu chuẩn.
- Xem xét của lãnh đạo: một cuộc họp với ban giám đốc, một cơ sở để ra quyết định.
- Cách xử lý sự không phù hợp và hành động khắc phục: một quy trình, một danh sách.
Phần lõi chuyên môn thì vẫn riêng cho từng tiêu chuẩn. ISO 9001 đòi hỏi các quá trình, sự hài lòng của khách hàng và văn hóa chất lượng. ISO 27001 yêu cầu xử lý rủi ro kèm theo Tuyên bố về khả năng áp dụng các biện pháp trong Phụ lục A. ISO 14001 cần xem xét các khía cạnh môi trường và các nghĩa vụ tuân thủ. ISO 42001 cần danh mục các hệ thống AI và đánh giá tác động. Những mô-đun này bạn gắn thêm vào nền móng chung — chúng không thay thế nền móng đó.
Trình tự hiệu quả trong thực tế
Không có một tiêu chuẩn khởi đầu đúng cho mọi trường hợp, chỉ có tiêu chuẩn phù hợp với lý do của bạn. Khuyến nghị của tôi sau nhiều dự án:
- Làm rõ lý do. Một khách hàng yêu cầu chứng chỉ, hay một công ty bảo hiểm đang thúc ép? Hãy bắt đầu với tiêu chuẩn giải tỏa được áp lực đó.
- Xác định phạm vi áp dụng cho tất cả các tiêu chuẩn cùng một lúc. Một phạm vi được mở rộng về sau sẽ tạo ra công việc làm lại trong từng tài liệu.
- Xây dựng trọn vẹn các điều khoản chung trước khi bước vào các mô-đun chuyên môn. Ai bắt đầu từ Phụ lục A thì sau này sẽ phải sắp xếp lại toàn bộ.
- Bổ sung các mô-đun chuyên môn theo từng tiêu chuẩn. Ở đây các bộ phận chuyên môn tương ứng làm việc, không còn chỉ mình ban giám đốc.
- Thực hiện một cuộc đánh giá nội bộ trên toàn bộ hệ thống, chứ không phải ba cuộc nhỏ.
- Tổ chức một cuộc xem xét của lãnh đạo bao trùm tất cả các tiêu chuẩn.
Một chi tiết cứu được cả dự án: hãy chỉ định một người chịu trách nhiệm cho hệ thống, ngay cả khi người đó không tự làm mọi thứ. Ở đâu ba phòng ban phụ trách ba tiêu chuẩn „song song“, ở đó lại hình thành ba hệ thống — chỉ có điều lần này nằm trong cùng một thư mục.
Điều gì khác biệt khi đánh giá
Một cuộc đánh giá bao trùm nhiều tiêu chuẩn là một cuộc đánh giá tích hợp và tuân theo các quy tắc riêng. Khuôn khổ cho việc đó nằm trong tài liệu MD 11 của tổ chức công nhận cấp cao nhất Global ACI (đến cuối năm 2025 là IAF) thuộc International Accreditation Forum, tài liệu quy định việc áp dụng ISO/IEC 17021 cho các cuộc đánh giá như vậy.
Hai điểm trong đó có ý nghĩa thực tiễn với bạn. Thứ nhất: thời lượng đánh giá không đơn thuần được cộng dồn. Nó được tính từ thời lượng đánh giá đơn lẻ dài nhất cộng thêm một phần cho mỗi tiêu chuẩn bổ sung. Thứ hai: mức giảm cho phép là có giới hạn và không được vượt quá 20 phần trăm tổng thời lượng đánh giá. Ai hứa với bạn rằng số ngày đánh giá sẽ giảm một nửa thì đang hứa điều mà các quy tắc không cho phép.
Dù vậy bạn vẫn tiết kiệm thật sự: một cuộc họp khai mạc, một cuộc họp kết thúc, một báo cáo đánh giá, một cuộc hẹn trong lịch của bạn thay vì nhiều tuần đánh giá mỗi năm. Tại chúng tôi, cuộc đánh giá diễn ra dưới dạng số, và mọi chứng chỉ được cấp đều có thể tra cứu theo số hiệu trong Sổ đăng ký công khai. Chứng chỉ có hiệu lực ba năm kể từ ngày đánh giá, trong khoảng thời gian đó chúng tôi giám sát qua nền tảng.
Vì sao các dự án tích hợp thất bại
Tôi liên tục thấy ba sai lầm. Thứ nhất là ôm đồm quá lớn: bốn tiêu chuẩn cùng lúc trong một doanh nghiệp chưa từng có một cuộc đánh giá nội bộ nào. Khi đó hai tiêu chuẩn là khởi đầu tốt hơn, tiêu chuẩn thứ ba đi theo cùng cuộc đánh giá giám sát kế tiếp.
Sai lầm thứ hai là một núi tài liệu tồn tại vì chính nó. Một hệ thống tích hợp phải hợp nhất tài liệu, chứ không nhân chúng lên. Nếu sau khi gộp lại mà số tệp nhiều hơn trước, thì có gì đó đã sai.
Sai lầm thứ ba là sự thoái lui sau khi có chứng chỉ. Một hệ thống không ai chăm sóc sẽ rã ra cho đến cuộc đánh giá giám sát — với nhiều tiêu chuẩn thì còn nhanh hơn, vì phải liên tục tạo ra nhiều bằng chứng hơn. Vì thế chúng tôi làm việc với những người „chăm hệ thống“: các đối tác độc lập đóng vai trò đánh giá viên nội bộ, giữ cho hệ thống sống giữa các kỳ đánh giá. Khu vực của bạn có ai, mạng lưới đối tác của chúng tôi sẽ cho thấy.
Về phần tính toán chi phí: tiêu chuẩn đầu tiên tại chúng tôi có giá 179 euro mỗi tháng, mỗi tiêu chuẩn tiếp theo 149 euro, thời hạn 36 tháng, giá cố định cho đến 30 nhân viên. Khoản đó hình thành thế nào theo lựa chọn tiêu chuẩn của bạn, trang Hệ thống quản lý tích hợp sẽ cho thấy.
Kết luận
Nhiều tiêu chuẩn cùng lúc không phải là chuyện của các tập đoàn. Với doanh nghiệp nhỏ và vừa, đó thậm chí là con đường rẻ hơn, bởi phần nền móng đắt đỏ chỉ phải xây một lần. Điều kiện là kỷ luật về trình tự: trước hết là phạm vi áp dụng, rồi đến các điều khoản chung, rồi các mô-đun chuyên môn, rồi một cuộc đánh giá cho tất cả.
Ai thay vào đó cứ chắp vá từng tiêu chuẩn về sau thì sẽ trả giá cho việc tích hợp muộn hơn — và đắt hơn, vì khi ấy là cải tạo chứ không còn là xây mới.
Bước tiếp theo của bạn: Hãy tính thử tổ hợp tiêu chuẩn của bạn trong Công cụ tính chi phí, hoặc để chúng tôi kiểm tra qua Chứng nhận Express xem hệ thống của bạn đã đi được đến đâu.
Đọc thêm:
