Chuẩn bị đánh giá chứng nhận ISO tích hợp: Doanh nghiệp cần sẵn sàng những bằng chứng nào?

Auditor không chỉ kiểm tra xem doanh nghiệp “có tài liệu hay không”

Một quan niệm phổ biến trước đánh giá chứng nhận là tập trung hoàn thiện quy trình, biểu mẫu và hồ sơ.

Tài liệu cần thiết, nhưng một hệ thống quản lý có hiệu lực phải chứng minh được nhiều hơn thế.

Auditor thường cần xác định:

Yêu cầu đã được hiểu chưa?

Quá trình có thực sự vận hành không?

Kiểm soát có hiệu lực không?

Khi có sai lệch, tổ chức có phát hiện và hành động không?

Khi doanh nghiệp áp dụng nhiều tiêu chuẩn như ISO 9001, ISO 14001, ISO/IEC 27001 và ISO/IEC 42001, chuẩn bị đánh giá theo từng “bộ tài liệu ISO” thường không phải cách hiệu quả nhất.

Nên chuẩn bị theo quá trình và bằng chứng thực tế.

Bắt đầu từ phạm vi

Trước tiên doanh nghiệp cần xác định rõ phạm vi của từng hệ thống.

Ví dụ:

ISO 9001 áp dụng toàn doanh nghiệp.

ISO 14001 áp dụng cơ sở sản xuất.

ISO/IEC 27001 áp dụng dịch vụ SaaS.

ISO/IEC 42001 áp dụng hoạt động phát triển và cung cấp một nhóm AI system.

Nếu phạm vi khác nhau, auditor cần hiểu rõ ranh giới, địa điểm, quá trình, hệ thống và interface giữa chúng.

Một scope mơ hồ thường kéo theo nhiều vấn đề khác:

  • asset không rõ;
  • risk assessment thiếu;
  • supplier bị bỏ sót;
  • process owner không rõ;
  • kiểm soát không nhất quán.

Nhóm bằng chứng quản trị dùng chung

Doanh nghiệp có thể chuẩn bị một nhóm bằng chứng tích hợp cho các nội dung chung.

Bối cảnh tổ chức

Không chỉ là SWOT.

Bằng chứng tốt có thể gồm:

  • strategic planning;
  • risk review;
  • market analysis;
  • technology changes;
  • legal changes;
  • customer requirements;
  • climate-related considerations;
  • AI adoption plan.

Quan trọng là chứng minh những vấn đề này thực sự ảnh hưởng tới hệ thống quản lý.

Các bên quan tâm

Doanh nghiệp cần biết:

  • bên nào liên quan;
  • họ yêu cầu gì;
  • yêu cầu nào cần được hệ thống quản lý giải quyết;
  • thay đổi được cập nhật thế nào.

Khách hàng có thể cùng lúc đưa ra yêu cầu về:

  • chất lượng;
  • môi trường;
  • cybersecurity;
  • privacy;
  • AI.

Một interested-party register tích hợp thường hiệu quả hơn việc lập bốn danh sách giống nhau.

Leadership

Auditor không chỉ tìm chữ ký của lãnh đạo trên chính sách.

Bằng chứng leadership có thể thể hiện qua:

  • mục tiêu;
  • quyết định nguồn lực;
  • cuộc họp;
  • phân công trách nhiệm;
  • xử lý vấn đề;
  • phê duyệt risk treatment;
  • xem xét performance;
  • quyết định liên quan AI.

Nếu lãnh đạo nói AI là chiến lược quan trọng nhưng không ai được giao trách nhiệm quản trị AI, đó là khoảng cách cần xem xét.

Mục tiêu và KPI

Mục tiêu tốt cần có khả năng theo dõi.

Ví dụ:

ISO 9001

  • customer satisfaction;
  • defect rate;
  • on-time delivery.

ISO 14001

  • energy consumption;
  • waste reduction;
  • resource efficiency.

ISO/IEC 27001

  • incident metrics;
  • patch compliance;
  • access review;
  • recovery testing.

ISO/IEC 42001

Tùy use case, có thể theo dõi:

  • AI performance;
  • human override;
  • error;
  • complaint;
  • AI incident;
  • validation results.

Không nên tạo KPI chỉ để đủ hồ sơ đánh giá. KPI phải giúp doanh nghiệp ra quyết định.

Risk assessment

Auditor thường không chỉ hỏi:

“Có risk register không?”

Họ sẽ chọn mẫu và truy tiếp:

Rủi ro này được nhận diện từ đâu?

Tại sao mức rủi ro là High?

Control nào đang xử lý?

Control có thực sự hoạt động?

Residual risk được chấp nhận bởi ai?

Nếu điều kiện thay đổi thì risk có được cập nhật không?

Đối với ISO/IEC 27001, risk assessment và risk treatment là nền tảng của ISMS.

Với ISO/IEC 42001, doanh nghiệp còn phải xem xét rủi ro và tác động liên quan tới AI trong phạm vi AIMS.

Bằng chứng ISO 9001 nên tập trung vào quá trình

Một cuộc đánh giá QMS thường có giá trị nhất khi auditor đi từ customer requirement tới quá trình thực hiện.

Ví dụ:

Yêu cầu khách hàng
↓
Contract review
↓
Planning
↓
Production/Service delivery
↓
Inspection/Validation
↓
Delivery
↓
Customer feedback

Doanh nghiệp cần chứng minh quá trình được kiểm soát từ đầu tới cuối.

Có thể tham khảo thêm trang chứng nhận ISO 9001.

Tại thời điểm 27/8/2026, ISO 9001 phiên bản thứ sáu đang ở trạng thái under publication và ISO/TC 176/SC 2 cho biết ISO/FDIS 9001 đã được phê duyệt; ngày xuất bản dự kiến là 16/9/2026. Vì vậy doanh nghiệp hiện không nên ghi ISO 9001:2026 như một tiêu chuẩn đã được xuất bản.

Bằng chứng ISO 14001 phải đi tới hiện trường

Đối với EMS, auditor có thể xem:

  • environmental aspects;
  • compliance obligations;
  • operational controls;
  • waste;
  • chemicals;
  • energy;
  • emergency preparedness;
  • monitoring;
  • legal compliance evaluation.

Một register đẹp nhưng không phản ánh hoạt động tại hiện trường sẽ khó chứng minh effectiveness.

Đặc biệt cần cập nhật rằng ISO 14001:2026 đã được xuất bản vào tháng 4/2026 và ISO 14001:2015 hiện được ISO liệt kê là phiên bản đã bị thay thế.

Doanh nghiệp có thể xem thêm tại chứng nhận ISO 14001.

Bằng chứng ISO/IEC 27001 phải nối được từ risk tới control

Một cách chuẩn bị hiệu quả là chọn một số rủi ro đáng kể và kiểm tra chuỗi bằng chứng.

Ví dụ:

Risk: tài khoản đặc quyền bị lạm dụng.

Auditor có thể xem tiếp:

  • risk assessment;
  • treatment;
  • access policy;
  • privileged accounts;
  • approval;
  • MFA;
  • PAM nếu áp dụng;
  • log;
  • periodic access review.

Hoặc:

Risk: mất dữ liệu.

Có thể đi tiếp tới:

  • backup;
  • schedule;
  • configuration;
  • log;
  • restoration test;
  • corrective action nếu test thất bại.

Như vậy đánh giá không phải là kiểm tra từng control độc lập mà xác định hệ thống quản lý rủi ro có vận hành hiệu lực hay không.

Bằng chứng ISO/IEC 42001 phải đi xa hơn danh sách AI

AI inventory là điểm bắt đầu, không phải điểm kết thúc.

Auditor có thể chọn một AI system và hỏi:

AI này dùng để làm gì?

Ai là owner?

AI sử dụng dữ liệu nào?

Có AI impact assessment không?

Risk nào đã được xác định?

Các bên chịu ảnh hưởng là ai?

Tiêu chí kiểm thử?

Ai phê duyệt deployment?

AI được monitoring thế nào?

Nếu model thay đổi thì ai đánh giá lại?

Khi xảy ra incident thì xử lý ra sao?

Điểm đặc biệt với AI Agent là auditor có thể phải đi sâu hơn vào:

  • identity;
  • tool;
  • API;
  • quyền;
  • knowledge source;
  • log;
  • human approval;
  • workflow.

Do đó chuẩn bị chứng nhận ISO/IEC 42001 không nên chỉ tập trung vào policy và AI Register.

Internal audit

Một internal audit hiệu quả không phải cuộc “tổng duyệt lấy chứng nhận”.

Mục đích là kiểm tra chính hệ thống của doanh nghiệp.

Audit programme nên phản ánh:

  • tầm quan trọng của process;
  • thay đổi;
  • rủi ro;
  • kết quả audit trước;
  • kết quả hoạt động.

Với hệ thống tích hợp, doanh nghiệp có thể audit process thay vì chia cứng theo từng tiêu chuẩn.

Ví dụ đánh giá Purchasing:

ISO 9001 → supplier quality.

ISO 14001 → environmental requirements của supplier khi phù hợp.

ISO/IEC 27001 → supplier security.

ISO/IEC 42001 → AI provider và AI supply chain.

Một process audit nhưng tạo bằng chứng cho nhiều hệ thống.

Management Review

Đừng chuẩn bị Management Review chỉ bằng biên bản có đủ mục.

Auditor cần thấy lãnh đạo thực sự xem xét thông tin và đưa ra quyết định.

Ví dụ:

“AI incidents tăng.”

Một Management Review có hiệu lực nên dẫn tới:

  • phân tích nguyên nhân;
  • quyết định nguồn lực;
  • thay đổi control;
  • training;
  • review supplier;
  • thay đổi KPI;
  • follow-up.

Không nên dừng ở dòng:

“Ban lãnh đạo đã xem xét và thống nhất.”

Corrective action

Khi có NC, incident hoặc process failure, doanh nghiệp nên chứng minh:

  1. xử lý vấn đề;
  2. xác định nguyên nhân;
  3. đánh giá khả năng tái diễn;
  4. thực hiện hành động;
  5. kiểm tra effectiveness.

Ví dụ nhân viên gửi dữ liệu nhạy cảm vào AI công cộng.

Hành động “nhắc nhở nhân viên” có thể chưa đủ.

Cần xem:

  • tại sao nhân viên sử dụng AI này;
  • policy có rõ không;
  • approved AI có tồn tại không;
  • technical restriction có cần không;
  • awareness có hiệu lực không;
  • DLP hoặc monitoring có phù hợp không.

Đây là cách corrective action chuyển từ hình thức sang cải tiến thực sự.

Checklist ngắn trước đánh giá

Trước ngày đánh giá, doanh nghiệp nên tự hỏi:

  • Scope còn chính xác?
  • Organization context đã cập nhật?
  • Interested parties còn phù hợp?
  • Risk register có phản ánh thay đổi?
  • Objectives có kết quả thực tế?
  • Internal audit đã bao phủ phạm vi?
  • Management Review có đầu vào và quyết định?
  • NC cũ đã kiểm tra effectiveness?
  • Supplier mới đã được đánh giá?
  • AI mới đã vào inventory?
  • Access mới đã được review?
  • Environmental aspects có thay đổi?
  • Legal requirements đã cập nhật?
  • Record có truy xuất được?
  • Nhân viên có giải thích được họ đang thực hiện kiểm soát nào?

Nếu câu trả lời chỉ nằm trong tài liệu nhưng người thực hiện không biết, hệ thống chưa chắc đã vận hành như thiết kế.

FAQ

Auditor có kiểm tra toàn bộ hồ sơ không?

Đánh giá chứng nhận dựa trên sampling. Tuy nhiên mẫu được chọn phải đủ để auditor đánh giá mức độ phù hợp và effectiveness của hệ thống.

Có nên chuẩn bị riêng từng bộ hồ sơ ISO?

Không nhất thiết. Những quá trình chung có thể sử dụng bằng chứng chung, miễn là đáp ứng được yêu cầu liên quan.

Doanh nghiệp đã có ISO/IEC 27001 thì đánh giá ISO/IEC 42001 có đơn giản hơn không?

Một số nền tảng có thể tái sử dụng như document control, internal audit, management review và corrective action. Nhưng AIMS vẫn có những yêu cầu và bằng chứng chuyên biệt liên quan đến AI.

Chứng nhận ISO/IEC 42001 có chứng minh AI hoàn toàn an toàn không?

Không. Chứng nhận liên quan tới hệ thống quản lý AI trong phạm vi chứng nhận, không phải bảo đảm rằng mọi AI model hoặc output luôn không có lỗi.

Chuẩn bị ?

Chuẩn bị tốt nhất cho một cuộc đánh giá chứng nhận không phải là “chuẩn bị hồ sơ cho auditor”.

Đó là bảo đảm hệ thống thực sự đang hoạt động.

Doanh nghiệp có thể tìm hiểu chi tiết từng chương trình chứng nhận tại NQA Việt Nam:

In trang