Quản trị rủi ro trong ISO 9001
Phân tích rủi ro khi nào?
Nếu tìm kiếm từ “hoạch định” trong tiêu chuẩn ISO 9001 ta nhận thấy có 2 thời điểm cần hoạch định là: hoạch định hệ thống hay các quá trình của hệ thống (4.4, 6.3, 8.1) và hoạch định mục tiêu của các quá trình & kế hoạch thực hiện mục tiêu (6.2). Ngoài ra, còn một thời điểm hoạch định nữa là hoạch định quá trình sản xuất sản phẩm mới nhưng không được các tổ chức chú trọng vì ISO 9001 cho phép bỏ 8.3 khi không thiết kế sản phẩm. Bài viết này sẽ tập trung vào diễn giải việc phân tích rủi ro ở 2 cấp độ hệ thống và quá trình do ISO 9001 không bắt buộc thực hiện phân tích ở cấp độ rủi ro thao tác khi thiết kế
Phân tích rủi ro hệ thống
Để nhận biết được các rủi ro của mỗi quá trình, tổ chức trước hết cần phải hiểu được quá trình và cách thức vận hành của quá trình.
Mô hình sơ đồ con rùa (Turtle Diagram) dưới phần minh họa là một công cụ phân tích quá trình.
Để xác định các rủi ro mang tính hệ thống (hay xác định các điều khoản) liên quan đến một quá trình tổ chức nên bắt đầu từ đầu ra mong đợi của quá trình. Ví dụ, đối với quá trình phát triển sản phẩm mới đầu ra mong đợi sẽ là sản phẩm được phát triển đáp ứng yêu cầu của khách hàng về chất lượng, tiến độ, và giá cả. Từ đầu ra mong đợi, tổ chức xem xét từng yếu tố có ảnh hưởng đến đầu ra (có mũi tên đi vào thân con rùa) để xác định trong từng yếu tố đó cái gì có thể làm cho đầu ra không được như mong đợi (rủi ro).
Thứ nhất, liên quan đến đầu vào các rủi ro có thể xuất phát từ việc tổ chức không xác định đầy đủ, không hiểu rõ được yêu cầu của khách hàng đối với sản phẩm mới dẫn đến sản phẩm không đáp ứng nhu cầu mong đợi. Đó là lí do tiêu chuẩn đưa ra điều khoản về xác định yêu cầu liên quan đến sản phẩm & dịch vụ (8.2.2) xem xét đầu vào thiết kế và phát triển (8.3.3).
Thứ hai, liên quan đến các hoạt động thiết kế và phát triển có nhiều rủi ro nếu tổ chức không thực hiện đầy đủ hoặc cắt giảm các bước của quá trình. Rủi ro thứ nhất có thể xuất phát từ việc tổ chức không lập và kiểm soát kế hoạch thiết kế và phát triển dẫn đến dự án không hoàn thành đúng tiến độ. Đó là lí do tiêu chuẩn đưa ra điều khoản về lập kế hoạch thiết kế & phát triển (8.3.2). Rủi ro thứ hai có thể xuất phát từ việc không thiết lập được các đầu ra cần thiết cho việc sản xuất, kiểm tra sản phẩm dẫn đến phát sinh các vấn đề chất lượng trong quá trình sản xuất, sử dụng sản phẩm. Đó là lí do tiêu chuẩn đưa ra yêu cầu về các tài liệu đầu ra cần thiết (8.3.5). Đặc biệt với IATF 16949:2016, tiêu chuẩn còn liệt kê chi tiết các tài liệu đầu ra đối với thiết kế & phát triển sản phẩm và quá trình. Rủi ro tiếp theo có thể phát sinh từ việc không có các hoạt động kiểm tra kết quả của thiết kế và phát triển ví dụ không thực hiện sản xuất thử, không kiểm tra đánh giá sản phẩm, không xử lí vấn đề phát sinh. Đó chính là lí do tiêu chuẩn yêu cầu kiểm soát thiết kế & phát triển (8.3.4). Ngoài ra, rủi ro còn có thể phát sinh từ việc tổ chức kiểm soát thay đổi thiết kế không tốt dẫn đến các khâu chuẩn bị công cụ, chế tạo, kiểm tra… không thay đổi đồng bộ dẫn đến sản phẩm không đáp ứng yêu cầu thay đổi của khách hàng. Đó là lí do tiêu chuẩn yêu cầu điều khoản về kiểm soát thay đổi thiết kế (8.3.6).
Thứ ba, liên quan đến phương pháp vận hành rủi ro có thể phát sinh từ việc tổ chức không có hướng dẫn thực hiện các hoạt động lập kế hoạch, kiểm soát thiết kế…hoặc tài liệu không thỏa đáng, cập nhật. Đó là lí do tiêu chuẩn yêu cầu tổ chức phải kiểm soát thông tin dạng văn bản (7.5).
Thứ tư, liên quan đến các nguồn lực vật chất phục vụ quá trình thiết kế và phát triển rủi ro có thể phát sinh từ việc thiếu hụt về số lượng hoặc chất lượng của các máy móc, thiết bị (mặc dù không nhiều đối với quá trình thiết kế & phát triển) chẳng hạn như mất dữ liệu máy tính, không đảm bảo tính bảo mật của dự án. Do đó, tiêu chuẩn yêu cầu tổ chức đảm bảo các yêu cầu về hạ tầng cơ sở bao gồm công nghệ thông tin (7.1.3).
Thứ năm, liên quan đến nguồn nhân lực tham gia vào quá trình thiết kế vào phát triển rủi ro có thể đến từ việc thiếu nhân lực hoặc nhân lực không đủ năng lực. Do đó, tiêu chuẩn ISO 9001 yêu cầu tổ chức phải đảm bảo năng lực của nguồn nhân lực có được các năng lực cần thiết (7.2). Không những thế, IATF 16949 còn đưa ra yêu cầu chi tiết hơn về kĩ năng thiết kế (8.3.2.2) và cách tiếp cận đa chức năng trong việc phân công nhiệm vụ thiết kế (8.3.2.1).
Về mặt hệ thống, bất cứ tổ chức nào nhận biết và xử lí được các rủi ro mang tính điển hình này đều có thể đảm bảo giảm thiểu các hệ quả đối với đầu ra mong đợi của quá trình thiết kế & phát triển (sản phẩm mới đạt yêu cầu). Tuy nhiên, mỗi công ty hoặc cùng một công ty ở các thời điểm khác nhau lại có các thước đo quá trình (mục tiêu) khác nhau. Các mục tiêu này ngoài việc chịu tác động của rủi ro từ bốn yếu tố nêu trên còn bị tác động (không đạt được mục tiêu) nếu như người chủ quá trình không nhận biết được yếu tố bối cảnh tác động (4.1) hay yêu cầu cầu của bên hữu quan (4.2), không đánh giá rủi ro & cơ hội từ các yếu tố tác động đó (6.1), không thiết lập mục tiêu & kế hoạch thực hiện mục tiêu của quá trình (6.2), không theo dõi và xem xét kết quả thực hiện mục tiêu (9.3) và không thực hiện hành động khắc phục khi không đạt mục tiêu (10.2.3).
Đây chính là phương pháp tư duy dựa trên rủi ro được ứng dụng từng quá trình của tổ chức.
