Quản lý rủi ro

Nâng cấp hoạt động đánh giá 

Nâng cao hoạt động đánh giá và tạo lợi thế bằng cách áp dụng cách tiếp cận ‘dựa trên rủi ro’

Bài dịch từ tạp chí Quality Progress – Ấn bản chính thức của ASQ vào tháng 1/2024

Chủ đề: Quản lý rủi ro

Tác giả bài viết: Lance B. Coleman Sr.

Người dịch: Đỗ Mạnh Cường – Thành viên VSE

 

Bài viết này minh họa khía cạnh của việc đánh giá (auditing) trong mối liên quan đến quản lý rủi ro. Khi áp dụng phương pháp dựa trên rủi ro, bạn phải xem xét rủi ro khi xây dựng chương trình đánh giá, cũng như xem xét rủi ro khi lập kế hoạch, thực hiện, báo cáo và kết thúc từng cuộc đánh giá riêng lẻ. 

Tôi đã thuyết trình lần đầu tiên về đánh giá dựa trên rủi ro tại một hội nghị của Bộ phận Đánh giá ASQ ở Reno, NV, cách đây mười hai năm. Kể từ đó, tôi đã học được rằng đánh giá dựa trên rủi ro không phải là một điều gì đó duy nhất – nó bao gồm nhiều thứ. Áp dụng một cách tiếp cận dựa trên rủi ro để đánh giá có nghĩa là xem xét rủi ro khi xây dựng chính chương trình đánh giá, cũng như cân nhắc rủi ro khi lập kế hoạch, thực hiện, báo cáo và tổng kết từng cuộc đánh giá riêng lẻ.

Áp dụng cách tiếp cận dựa trên rủi ro cho đánh giá cũng cải thiện hiệu suất và đóng góp của chương trình đánh giá. Đối với cuộc thảo luận này, các công cụ như cây ra quyết định, ma trận rủi ro 2 x 2, biểu đồ Pareto và xếp hạng rủi ro (tác động x tần suất) minh họa cách rủi ro và đánh giá giao thoa.

Bài viết này thảo luận về vai trò của đánh giá trong quản lý rủi ro, cũng như vai trò của quản lý rủi ro trong đánh giá. Tuy nhiên, trước khi đi sâu hơn, hãy cùng nhìn vào một số định nghĩa quan trọng.

Định nghĩa rủi ro

Rủi ro được định nghĩa theo nhiều cách và được đề cập bằng một số thuật ngữ:

Rủi ro: tác động của sự không chắc chắn (ISO 9000); tác động của sự không chắc chắn đối với mục tiêu (ISO 31000); sự kết hợp của xác suất xảy ra thiệt hại và mức độ nghiêm trọng của thiệt hại đó (ISO 14971).

Rủi ro của người tiêu dùng: rủi ro chấp nhận một phần xấu do bị cho là tốt (kết quả của lỗi loại hai hoặc lỗi beta).

Rủi ro của nhà sản xuất: rủi ro từ chối một phần tốt do bị cho là xấu (kết quả của lỗi loại một hoặc lỗi alpha).

Mối nguy: một vật thể vật lý trong môi trường có rủi ro gắn liền với nó có thể là nguồn gây hại.

Mối hại: một chấn thương hoặc vấn đề là kết quả của một mối nguy trong môi trường.

Chế độ hỏng: cách một tính năng, bước, đặc điểm hoặc đầu vào có thể hỏng. Sự không chắc chắn là một yếu tố quan trọng trong hai trong số các định nghĩa – và điều đó có lý. Khi bạn không chắc chắn, bạn thiếu kiến thức hoặc tự tin. Khi bạn thiếu kiến thức hoặc tự tin và tiến lên theo một hướng nhất định, nguy cơ xảy ra sự cố là cao hơn. Một ý tưởng chính cần nhớ về mặt khái niệm là rủi ro là cầu nối giữa nguy hiểm và hậu quả. Ví dụ, nguy hiểm từ một sợi dây nối dài căng qua lối đi dẫn đến nguy cơ vấp ngã, có thể gây ra hậu quả là bị thương. Như vậy, việc nhận thức được rủi ro chính là cách một mối nguy trong môi trường dẫn đến hậu quả.

Đặt những câu hỏi đúng

Tất cả những người đánh giá thành công đều có một điểm chung: Họ biết cách đặt những câu hỏi đúng. Khi suy nghĩ về việc thiết lập một chương trình đánh giá, các câu hỏi cần xem xét liên quan đến 5W + 1H:

• Chúng ta đang tiến hành đánh giá ở đâu?
• Ai là những người đánh giá (toàn thời gian hay bán thời gian, tổ chức hay hợp đồng)?
• Tiêu chí đánh giá là gì? Trình độ chuyên môn của người đánh giá nên như thế nào?
• Khi nào tiến hành đánh giá (hàng tháng, theo ca) và theo thứ tự nào?
• Tại sao chúng ta tiến hành đánh giá (mục đích của chương trình phải phù hợp với mục tiêu của tổ chức hoặc địa điểm)?
• Chúng ta đánh giá thường xuyên như thế nào? Có bao nhiêu người đánh giá? Chúng ta tiến hành đánh giá như thế nào?

Tất cả những câu hỏi này đều có cùng một câu trả lời: Nó dựa trên rủi ro! Hiểu biết về rủi ro rất quan trọng vì nó cho chúng ta biết khi nào, làm thế nào và bao nhiêu trong số các biện pháp kiểm soát chất lượng và quy trình của chúng ta cần được áp dụng. Đâu là lợi ích lớn nhất từ công sức và nguồn lực?

Bây giờ, hãy nói về cách làm.

Rủi ro và chương trình đánh giá

Khi xem xét chương trình đánh giá, bạn phải quan sát và hiểu được sự phức tạp của sản phẩm và quy trình. Công nghệ mới, quy trình và sản phẩm có thể giới thiệu rủi ro ở cấp độ tổ chức. Tính quan trọng – khả năng gây tổn hại cho cộng đồng hoặc ảnh hưởng đáng kể đến doanh nghiệp – phải được xem xét. Những xem xét này liên kết trở lại với các định nghĩa về rủi ro từ các tiêu chuẩn ISO:

• Tính mới = sự không chắc chắn.
• Mức độ quan trọng = tác động.

Rủi ro càng cao, càng cần mức độ kiểm soát cao. Ví dụ tần suất đánh giá, độ sâu của đánh giá, trình độ chuyên môn của người đánh giá và loại hình đánh giá được tiến hành, tất cả là ‘phản ứng’ của chương trình đánh giá đối với rủi ro nhận thức được. Tầm quan trọng của việc hiểu rủi ro khi lập kế hoạch cho một cuộc đánh giá là rủi ro hướng chú ý vào nơi mà nguồn lực thường bị hạn chế được áp dụng —như số giờ đánh giá, số lượng người đánh giá và chu kỳ đánh giá. Một kết quả quan trọng của việc lập kế hoạch chương trình đánh giá là lịch đánh giá hàng năm.

Cũng vậy, đối với đánh giá nhà cung cấp hoặc đánh giá nội bộ từ địa điểm này sang địa điểm khác, phân tích rủi ro có thể giúp xác định liệu một cuộc đánh giá từ xa có thích hợp hay không, như được minh họa bởi ‘cây ra quyết định’ được hiển thị trong Hình 1. Cây ra quyết định là công cụ mạnh. Thông qua một loạt câu hỏi (trong trường hợp này, dựa trên rủi ro), chúng dẫn người sử dụng đến một hành động được khuyến nghị dựa trên các tham số được sử dụng để thiết lập khung ‘cây ra quyết định’.

Thường thì, những tham số này dựa trên các quy định liên quan, tiêu chuẩn, ưu tiên tổ chức và thủ tục, cũng như khẩu vị rủi ro và các xem xét tương tự khác. Lợi ích của ‘cây ra quyết định’ là chúng thúc đẩy việc ra quyết định nhất quán từ trường hợp này sang trường hợp khác và từ cá nhân này sang cá nhân khác trong một môi trường phức tạp.

Trong quá trình lập kế hoạch cho chương trình đánh giá, hai công cụ rủi ro—ma trận rủi ro và biểu đồ Pareto—có thể hữu ích. Tiếp theo, bạn sẽ thấy cách các công cụ khác nhau được sử dụng với kết quả tương tự.

Lập kế hoạch đánh giá

Để lập kế hoạch đánh giá, các khía cạnh của hệ thống quản lý chất lượng (QMS – Quality Management System) được chia thành hai loại chính, như trong Hình 2:

Tác động QMS gián tiếp: Các khía cạnh QMS được coi là yếu tố hỗ trợ (làm cho các quá trình QMS có thể hoặc khả thi) hoạt động, chẳng hạn như nguồn nhân lực, kiểm soát tài liệu, xem xét của lãnh đạo hoặc cơ sở hạ tầng. Những điều khoản này được coi là có ảnh hưởng gián tiếp đến an toàn và hiệu suất của sản phẩm.

Tác động trực tiếp của QMS: Các khía cạnh QMS được coi là có ảnh hưởng trực tiếp đến các biện pháp kiểm soát thiết kế và sản xuất, chẳng hạn như hoạt động, hiệu chuẩn, các quy trình liên quan đến khách hàng cũng như thiết kế và phát triển. Những khía cạnh này được coi là ảnh hưởng trực tiếp đến sự an toàn và hiệu suất của sản phẩm.

Tác động trực tiếp/gián tiếp được vẽ trên trục y của ma trận 2 x 2. Liệu có vấn đề với một khía cạnh nhất định của QMS hay không được biểu thị trên trục x.

Vì vậy, một khía cạnh QMS nhất định không có vấn đề gần đây được đặt ở góc phần tư thứ nhất, khía cạnh trực tiếp của QMS có vấn đề gần đây ở góc phần tư thứ tư, v.v.

Do đó, các khía cạnh QMS trong góc phần tư thứ tư, rồi thứ ba hoặc thứ hai, là ứng cử viên cho tần suất tăng lên, nhóm đánh giá có kinh nghiệm hơn, số giờ đánh giá nhiều hơn hoặc các biện pháp kiểm soát rủi ro gia tăng khác khi được áp dụng thông qua chương trình đánh giá. Quá trình suy nghĩ tương tự này có thể được áp dụng cho các khía cạnh của QMS cũng như các lĩnh vực chức năng trong tổ chức.

Tiếp theo, hãy xem xét biểu đồ Pareto về các kết quả kiểm tra trong hai năm trước, như trong Hình 3 và 4. Từ cách trình bày dữ liệu không có tổ chức như trong Hình 5, trước tiên dữ liệu được đưa vào biểu đồ Pareto chỉ dựa trên số lượng phát hiện của một loại cụ thể. Các danh mục phát hiện được đánh giá theo thang điểm từ một đến năm dựa trên tác động và đưa vào biểu đồ Pareto khác.

Khi so sánh Hình 4 với Hình 3, hãy thấy rằng lỗi của người vận hành đã thay thế các phương pháp thực hành ghi chép tốt, tiếp theo là lỗi sản phẩm (các phát hiện kiểm tra liên quan) là ưu tiên mà chương trình đánh giá cần tập trung vào trong năm tới.

Việc triển khai cách tiếp cận dựa trên rủi ro trong lập kế hoạch đánh giá giúp xác định lĩnh vực nào có thể cần nhiều thời gian hơn trong các cuộc đánh giá riêng lẻ cũng như liệu một hoặc nhiều đánh giá viên có nên xem xét một lĩnh vực nhất định hay không.

Thực hiện đánh giá

Khi đánh giá rủi ro, chương trình quản lý rủi ro (RM) có thể được đánh giá trực tiếp hoặc bạn có thể tiến hành đánh giá chất lượng dựa trên rủi ro đối với các khía cạnh của QMS hoặc toàn bộ QMS trong giai đoạn thực hiện quy trình đánh giá. Việc này có thể được thực hiện dưới dạng đánh giá rủi ro độc lập hoặc tích hợp với các loại hình đánh giá khác.

Khi kiểm tra chương trình quản lý rủi ro, hãy xác minh những điều sau:

• Chương trình bao gồm tất cả các khía cạnh của vòng đời sản phẩm từ thiết kế đến thải bỏ khi hết vòng đời.
• Dữ liệu từ các nguồn bên ngoài và bên trong được thu thập và phân tích, đồng thời mô hình rủi ro được cập nhật khi cần thiết.
• Khi được thành lập, các nhóm có chức năng chéo để mô hình hóa phạm vi rủi ro rộng nhất.
• Kết quả từ chương trình quản lý rủi ro được báo cáo cho cấp quản lý phù hợp khi cần thiết.
• Các quy trình quản lý rủi ro và hướng dẫn công việc hiện có được tuân thủ.
• Đào tạo tổ chức hỗ trợ chương trình quản lý rủi ro.
• Cung cấp đủ nguồn lực để đáp ứng các mục tiêu của chương trình quản lý rủi ro. Ngoài việc kiểm tra sự phù hợp và tuân thủ, đánh giá viên phải học cách nhận biết các loại rủi ro khác nhau có thể tồn tại trong tổ chức của họ. Điều đó nói lên rằng, rủi ro nằm ở đâu trong các quy trình?
• Độ phức tạp của quy trình (tuân thủ, an toàn và rủi ro chức năng).
• Mức độ quan trọng của sản phẩm (rủi ro kinh doanh).
• Trình tự các bước của quy trình (thêm giá trị trước các điểm quyết định quan trọng).
• Tính mới của sản phẩm (không chắc chắn).
• Sự mới mẻ của nhân viên (không chắc chắn).
• Lịch sử của quá trình (cần tận dụng việc ra quyết định dựa trên thực tế). Và làm sao bạn biết được rủi ro khi nhìn thấy nó?
• Sự khác biệt so với các tiêu chuẩn của ngành.
• Mối quan tâm của nhân viên.
• Thiết lập các kênh phản hồi.
• Được xác định trong kế hoạch quản lý rủi ro.

Phân loại kết quả

Khi nghĩ về cách xem xét rủi ro khi phân loại các phát hiện đánh giá, hãy xem xét rủi ro của sự không phù hợp riêng lẻ, rủi ro được tìm thấy trong các khía cạnh của QMS (ISO 9001, Điều 5—Sự lãnh đạo) hoặc rủi ro được tìm thấy trong QMS tổng thể.

Khi đánh giá rủi ro trên một khía cạnh của QMS, số lượng và loại phát hiện được xem xét dựa trên rủi ro của khía cạnh đó. Hệ thống quản lý chất lượng tỏ ra không hiệu quả.  

Nói cách khác, khi xem xét điều khoản về ‘lãnh đạo’ của ISO 9001, một phát hiện nhỏ và một phát hiện chính đối với bất kỳ điều khoản nào trong số các điều khoản 5.1 đến 5.3 sẽ nhận được điểm bốn (một cho điều phụ cộng ba cho điều chính) liên quan đến phần đó của tiêu chuẩn cho thấy rủi ro vừa phải. Sẽ cần có phản hồi theo các quy trình đã được thiết lập tùy theo mức độ rủi ro.

Một cách tiếp cận khác để cho điểm là xem xét số lượng phát hiện đối với một khía cạnh của QMS cộng với liệu khía cạnh QMS đó có tác động trực tiếp hay gián tiếp đến sản phẩm hay không (xem Hình 4).

Sử dụng một ví dụ từ Lực lượng Đặc nhiệm Hài hòa Toàn cầu (the Global Harmonization Task Force) —nay được gọi là Diễn đàn Thiết bị Y tế Quốc tế (the International Medical Device Forum)—mà từ đó ma trận này được hình thành, ISO 13485:2016, các điều khoản 4.1-6.3 là những yếu tố hỗ trợ quá trình có tác động gián tiếp đến việc kiểm soát thiết kế và sản xuất sản phẩm, trong khi các điều khoản 6,4-8,5 có tác động trực tiếp. Do đó, phát hiện lặp lại theo điều khoản 8.4 nhận được điểm bốn, phát hiện lần đầu theo điều khoản 4.2 nhận được điểm một, phát hiện lần đầu theo điều khoản 6.5 là ba, v.v.

Khi xem xét rủi ro của các phát hiện riêng lẻ, hãy mượn định nghĩa rủi ro của ISO 14971:2018 là sự kết hợp giữa tác động và tần suất, như được trình bày trong Bảng trực tuyến 2-4. Bảng 5 trực tuyến cho thấy cách phân loại rủi ro liên quan đến các phân loại truyền thống hơn là nhỏ, lớn và quan trọng.

Đánh giá thông thường và đánh giá dựa trên rủi ro

Bây giờ, hãy xem xét một tình huống để hiểu sự khác biệt giữa đánh giá thông thường và đánh giá dựa trên rủi ro.

Một đánh giá viên đến thăm một xưởng máy và chứng kiến một hoạt động hàn trong đó có tia lửa điện bay ra ở khu vực lân cận. Người vận hành đang làm theo hướng dẫn của mình và đeo thiết bị bảo hộ cá nhân (PPE) thích hợp.

Các hướng dẫn được kiểm soát, người vận hành thể hiện năng lực trong hoạt động đang được thực hiện và tất cả các thiết bị được cập nhật về bảo trì phòng ngừa. Sản phẩm hoàn thiện trên địa bàn đã được kiểm tra đạt yêu cầu. Khu vực này được chiếu sáng tốt. Tuy nhiên, đánh giá viên nhận thấy một vũng dầu nhỏ trên sàn gần đó.

Trong quá trình kiểm tra truyền thống, danh sách kiểm tra thu được có thể trông giống như sau:

Có/ Không Hồ sơ đào tạo người vận hành được cập nhật.

Có/ Không Người điều hành có năng lực.

Có/ Không Hướng dẫn công việc được kiểm soát và hiện tại được sử dụng.

Có/ Không Các bộ phận đang được gia công khi vượt qua kiểm tra.

Có/ Không Thiết bị được bảo trì theo yêu cầu.

Có/ Không Người điều hành đang mặc PPE thích hợp.

Kết quả đánh giá xuất sắc phải không? Chà, chúng ta hãy nhìn vào lĩnh vực này từ góc độ dựa trên rủi ro để xem.

Những mối nguy hiểm trong khu vực là gì?

• Tia lửa.
• Vũng dầu.
• Mỏ hàn.

Những rủi ro trong khu vực là gì?  

• Tia lửa bắn vào mắt người vận hành.
• Người vận hành bị bỏng.
• Người vận hành bị trượt trong vũng dầu.
• Vũng dầu bốc cháy do tia lửa điện.

Người vận hành sản xuất các bộ phận bị lỗi. Những biện pháp kiểm soát nào được áp dụng?

• PPE—kính, áo choàng và găng tay an toàn.
• Hướng dẫn công việc.
• Đào tạo người vận hành.
• Bảo trì thiết bị.
• Ánh sáng đầy đủ.

Các biện pháp kiểm soát tại chỗ có giải quyết thỏa đáng các rủi ro hiện tại không?

Đây là một cuộc đánh giá lẽ ra đã thành công vang dội khi sử dụng các kỹ thuật truyền thống hơn, thậm chí còn bao gồm cả thành phần an toàn (rủi ro). Tuy nhiên, hai phát hiện quan trọng cần được giải quyết đã được xác định khi khu vực này được đánh giá bằng cách sử dụng phương pháp tiếp cận dựa trên rủi ro, đồng thời vẫn đánh giá mọi mối lo ngại về sự tuân thủ. Những phát hiện được trích dẫn vẫn không phải là những phát hiện về sự không phù hợp. Không có thủ tục nào bị vi phạm. Tuy nhiên, đây là những phát hiện quan trọng cần được báo cáo cho ban quản lý.

Cung cấp giá trị lớn hơn

Khi nêu ra các cơ hội cải tiến, đánh giá viên đã giúp quản lý rủi ro bằng cách xác định các lĩnh vực không hiệu quả hoặc kém hiệu quả trong tổ chức cũng như các hoạt động phù hợp tại thời điểm đánh giá nhưng có thể trở thành không phù hợp nếu được phép tiếp tục như đã ghi trong tài liệu.

Việc áp dụng cách tiếp cận dựa trên rủi ro có cấu trúc để đánh giá chỉ giúp mở rộng thực tiễn này và tác động tích cực của nó. Bằng cách tích hợp nhất quán tư duy dựa trên rủi ro vào phương pháp đánh giá của bạn, chương trình đánh giá sẽ mang lại giá trị lớn hơn cho tổ chức của mình.  

Về tác giả: 

Lance B. Coleman Sr. là giám đốc chất lượng của IDEX Health and Science LLC ở Oak Harbor, WA. Ông có bằng cao đẳng về công nghệ kỹ thuật điện của Đại học Bách khoa miền Nam ở Marietta, Georgia. Là thành viên của ASQ, Coleman có các chứng chỉ ASQ sau: đánh giá viên chất lượng, đánh giá viên y sinh, kỹ sư chất lượng và đai xanh Six Sigma, cùng với chứng chỉ đánh giá viên trưởng hệ thống quản lý chất lượng Exemplar Global. Ông là tác giả của Đánh giá chất lượng nâng cao: Đánh giá của đánh giá viên về quản lý rủi ro, Cải thiện tinh gọn và phân tích dữ liệu (Nhà xuất bản chất lượng, 2015), Quản lý Xác định rủi ro tổ chức khi sử dụng Chương trình đánh giá nhà cung cấp (Quality Press, 2018) và Tổ chức hướng tới khách hàng: Sử dụng mô hình Kano (Nhà xuất bản năng suất, 2014). Ông cũng là đồng tác giả của Cuốn sách ghi nhớ đánh giá viên hệ thống quản lý chất lượng (Goal/QPC, 2023) đồng thời là biên tập viên của Sổ tay kiểm tra chất lượng, ấn bản thứ năm (Nhà xuất bản chất lượng, 2020).