Audit nội bộ ISO - Hướng dẫn thực hiện từng bước cho nhà máy tại TP Huế

Audit nội bộ ISO là yêu cầu bắt buộc - không phải tùy chọn. Dù là ISO 9001, 14001 hay 45001, tiêu chuẩn đều quy định rõ: nhà máy phải tự thực hiện audit nội bộ định kỳ và lưu hồ sơ đầy đủ. Thế nhưng phần lớn nhà máy tại TP Huế làm audit nội bộ sai phương pháp - dẫn đến kết quả không thực chất, và bị tổ chức chứng nhận phát hiện khi đến giám sát. Bài viết này hướng dẫn từng bước thực hiện audit nội bộ ISO đúng cách.

1. Audit nội bộ ISO là gì - và tại sao quan trọng?

Audit nội bộ (Internal Audit) là hoạt động đánh giá được thực hiện bởi nhân viên của chính tổ chức - nhưng phải là người không phụ trách khu vực được audit - nhằm xác định hệ thống quản lý có đang vận hành đúng theo yêu cầu của tiêu chuẩn ISO và các quy định nội bộ hay không.

Điều khoản 9.2 của ISO 9001:2015 (và tương đương trong ISO 14001, 45001) quy định rõ:

• Tổ chức phải tiến hành audit nội bộ theo khoảng thời gian đã hoạch định
• Phải xây dựng, thực hiện và duy trì chương trình audit
• Auditor nội bộ phải đảm bảo tính khách quan và vô tư - không audit chính khu vực mình làm việc
• Phải lưu giữ hồ sơ làm bằng chứng cho tổ chức chứng nhận

Nếu trong đợt giám sát hàng năm, tổ chức chứng nhận phát hiện nhà máy không có hồ sơ audit nội bộ - đây là Major NCR, có thể dẫn đến tạm đình chỉ chứng nhận.

2. Ai có thể làm auditor nội bộ ISO?

Đây là câu hỏi phổ biến nhất tại các nhà máy TP Huế khi bắt đầu xây dựng đội audit nội bộ. Câu trả lời: gần như bất kỳ nhân viên nào - với điều kiện đã được đào tạo đúng cách và không audit chính bộ phận mình.

Tiêu chí	Yêu cầu bắt buộc	Ghi chú
Đào tạo	Phải có chứng chỉ hoặc hồ sơ đào tạo auditor nội bộ	Khóa đào tạo 1-2 ngày là đủ cho auditor nội bộ
Tính độc lập	Không audit bộ phận mình trực tiếp phụ trách	Kế toán có thể audit sản xuất và ngược lại
Kiến thức tiêu chuẩn	Hiểu các điều khoản ISO áp dụng	Không cần thuộc lòng, cần hiểu bản chất
Kỹ năng phỏng vấn	Biết đặt câu hỏi mở, không dẫn dắt câu trả lời	Học được qua thực hành
Số lượng	Tối thiểu 2 người để phân công chéo bộ phận	Nhà máy nhỏ nên có ít nhất 3-4 auditor nội bộ

3. Xây dựng chương trình audit nội bộ hàng năm

Tiêu chuẩn yêu cầu có chương trình audit - không phải chỉ làm khi nhớ ra. Chương trình audit hàng năm cần xác định:

• Tần suất: Mỗi bộ phận/quy trình phải được audit ít nhất 1 lần/năm. Bộ phận có rủi ro cao hoặc từng có NCR nhiều nên audit 2 lần/năm.
• Phạm vi: Danh sách các điều khoản ISO và quy trình được audit trong từng đợt
• Auditor phân công: Ai audit bộ phận nào - đảm bảo tính độc lập
• Thời điểm: Không nên audit ngay trước đợt chứng nhận - nên làm sớm để có thời gian khắc phục

Ví dụ lịch audit nội bộ cho nhà máy 50-100 nhân viên tại TP Huế:

Quý	Bộ phận/Quy trình audit	Điều khoản ISO trọng tâm
Q1 (tháng 1-3)	Mua hàng, Kho nguyên vật liệu	8.4 (kiểm soát nhà cung cấp), 8.5.4 (bảo quản)
Q2 (tháng 4-6)	Sản xuất, Kiểm soát chất luong	8.5 (sản xuất và cung cấp), 8.6 (xuất xưởng)
Q3 (tháng 7-9)	Nhân sự, Đào tạo, An toàn lao động	7.1.2 (nhân lực), 7.2 (năng lực), 8.1 (ATLD)
Q4 (tháng 10-12)	Lãnh đạo, Xem xét của lãnh đạo, Cải tiến	5 (lãnh đạo), 9.3 (xem xét), 10 (cải tiến)

4. Hướng dẫn thực hiện audit nội bộ từng bước

Bước 1: Chuẩn bị checklist audit (1-2 ngày trước)

Auditor nội bộ soạn checklist câu hỏi dựa trên: các điều khoản ISO áp dụng cho bộ phận đó + SOP/quy trình nội bộ + NCR của lần audit trước (nếu có). Checklist không cần quá dài - 15-25 câu hỏi trọng tâm là đủ. Câu hỏi phải là câu hỏi MỞ: "Bạn thực hiện kiểm tra chất lượng nguyên liệu đầu vào như thế nào?" - không phải câu hỏi đóng "Có kiểm tra không?"

Bước 2: Họp khai mạc ngắn (15 phút)

Auditor giới thiệu mục đích và lịch trình. Nhắc rõ: "Đây là audit hệ thống - không phải đánh giá cá nhân. Mục tiêu là tìm ra điểm cần cải thiện để nhà máy hoạt động tốt hơn." Thái độ của auditor trong buổi khai mạc quyết định mức độ cởi mở của nhân viên trong quá trình phỏng vấn.

Bước 3: Xem xét tài liệu (30-60 phút)

Kiểm tra các tài liệu liên quan: SOP còn hiệu lực không? Ngày cập nhật gần nhất? Người phê duyệt có đúng thẩm quyền không? Biểu mẫu có được điền đầy đủ không? Hồ sơ đào tạo có cho khu vực này không? Chọn ngẫu nhiên ít nhất 3-5 biểu mẫu trong 3 tháng gần nhất để kiểm tra.

Bước 4: Quan sát thực tế tại hiện trường (1-2 giờ)

Đi thực tế vào khu vực sản xuất/kho/văn phòng. Quan sát bằng mắt: Nhân viên có đang làm đúng SOP không? Có dấu hiệu gì cho thấy quy trình không được tuân thủ? Điều kiện làm việc có đáp ứng yêu cầu an toàn? Máy móc có được bảo dưỡng và dán nhãn đúng? Hóa chất có nhãn và MSDS không?

Bước 5: Phỏng vấn nhân viên (30-60 phút)

Chọn 2-3 nhân viên trực tiếp làm việc tại khu vực đó - không phải chỉ trưởng bộ phận. Hỏi: "Khi có sản phẩm lỗi, bạn làm gì tiếp theo?" "Bạn được đào tạo về quy trình này khi nào và ở đâu?" "Nếu máy hỏng giữa ca, quy trình xử lý là gì?" Ghi chép câu trả lời thực tế - đây là bằng chứng quan trọng nhất.

Bước 6: Ghi nhận phát hiện và viết NCR (nếu có)

Mỗi NCR phải ghi rõ 4 yếu tố:

• Bằng chứng khách quan: "Quan sát thấy..." / "Biểu mẫu số X ngày Y cho thấy..." / "Nhân viên A trả lời..."
• Điều khoản vi phạm: "Vi phạm điều khoản 7.2 của ISO 9001:2015" hoặc "Không đáp ứng yêu cầu SOP-QC-01 mục 3.2"
• Mức độ: Major hoặc Minor
• Yêu cầu khắc phục: Thời hạn nộp Corrective Action Report (CAR)

Bước 7: Họp bế mạc và bàn giao báo cáo

Trình bày kết quả trước trưởng bộ phận và đại diện lãnh đạo. Xác nhận các NCR, thống nhất thời hạn nộp CAR. Bộ phận được audit có quyền phản biện nếu không đồng ý - auditor phải lắng nghe và điều chỉnh nếu có cơ sở. Sau họp, gửi báo cáo chính thức trong vòng 3-5 ngày.

5. Những sai lầm phổ biến khi thực hiện audit nội bộ

Qua thực tế hỗ trợ nhiều nhà máy tại TP Huế, đây là những sai lầm thường gặp nhất - và cách tránh:

• Audit theo kiểu "đánh dấu cho xong": Auditor chỉ hỏi trưởng bộ phận rồi đánh dấu "OK" vào checklist mà không xuống hiện trường. Đây là sai lầm nghiêm trọng nhất. Tổ chức chứng nhận phát hiện ngay khi xem báo cáo không có bằng chứng cụ thể.
• Auditor audit chính bộ phận mình: Vi phạm nguyên tắc độc lập - NCR từ loại audit này không có giá trị và bị tổ chức chứng nhận từ chối.
• Không ghi NCR vì "ngại va chạm": Audit nội bộ mà không có NCR nào = đáng ngờ. Tổ chức chứng nhận sẽ đặt câu hỏi "Nhà máy có thực sự audit không hay chỉ làm giấy tờ?"
• NCR không có bằng chứng khách quan: Viết "quy trình chưa tốt" mà không có dẫn chứng cụ thể = NCR không hợp lệ.
• Không theo dõi việc khắc phục NCR: Viết NCR xong rồi để đó. Sau 3 tháng tổ chức chứng nhận hỏi "CAR đâu?" - không có. Đây là Major NCR thêm.
• Audit quá gần ngày chứng nhận: Nếu phát hiện NCR nghiêm trọng mà không đủ thời gian khắc phục - rất nguy hiểm. Nên audit sớm ít nhất 2-3 tháng trước đợt chứng nhận/giám sát.

6. Xử lý kết quả audit - Corrective Action Report (CAR)

Sau khi nhận NCR, bộ phận liên quan phải nộp CAR trong thời hạn quy định (thường 30 ngày với Minor NCR, 14 ngày với Major NCR). CAR chuẩn gồm 3 phần:

• Phân tích nguyên nhân gốc rễ (Root Cause Analysis): Dùng công cụ 5 Whys hoặc Fishbone diagram để tìm nguyên nhân thực sự - không chỉ mô tả triệu chứng. Ví dụ: NCR "biểu mẫu không điền đầy đủ" - nguyên nhân gốc rễ có thể là "SOP không quy định rõ ai có trách nhiệm điền" hoặc "nhân viên chưa được đào tạo về biểu mẫu mới".
• Hành động khắc phục (Corrective Action): Việc cụ thể thực hiện, người chịu trách nhiệm, thời hạn hoàn thành.
• Bằng chứng hoàn thành: Ảnh chụp, biểu mẫu đã cập nhật, hồ sơ đào tạo bổ sung... gửi kèm CAR để auditor xác nhận.

7. Câu hỏi thường gặp về audit nội bộ ISO

Audit nội bộ có phải thuê bên ngoài không?

Không bắt buộc, nhưng có thể. Chuẩn ISO cho phép thuê chuyên gia bên ngoài thực hiện audit nội bộ thay mặt tổ chức - miễn là đảm bảo tính độc lập và có năng lực. Nhiều nhà máy nhỏ tại TP Huế chưa có đội audit nội bộ đủ năng lực chọn thuê đơn vị tư vấn thực hiện 1-2 lần đầu, vừa đảm bảo chất lượng vừa học hỏi cách làm để tự làm về sau.

Nhà máy chỉ có 10-15 nhân viên thì audit nội bộ như thế nào?

Với nhà máy rất nhỏ, có thể audit chéo giữa các bộ phận: trưởng sản xuất audit bộ phận kho và ngược lại. Hoặc nhờ một đại diện có thẩm quyền từ bên ngoài (cố vấn, đối tác tin cậy) tham gia audit với tư cách quan sát. Quan trọng nhất là có hồ sơ chứng minh đã thực hiện và kết quả thực chất.

Tần suất audit nội bộ tối thiểu là bao nhiêu?

ISO yêu cầu "theo khoảng thời gian đã hoạch định" - không quy định cụ thể. Thực tế phổ biến là ít nhất 1 lần/năm cho mỗi bộ phận/quy trình. Với nhà máy vừa lấy chứng nhận lần đầu, nên tăng lên 2 lần/năm trong 1-2 năm đầu để hệ thống ổn định. Tổ chức chứng nhận sẽ xem xét chương trình audit của bạn trong đợt giám sát hàng năm.

Audit nội bộ có cần thông báo trước không?

Có - và nên thông báo trước. Mục đích của audit nội bộ là cải tiến hệ thống, không phải "bắt quả tang". Thông báo trước 1-2 tuần giúp bộ phận chuẩn bị tài liệu, nhân viên chủ chốt có mặt, và cuộc audit diễn ra hiệu quả hơn. Một số trường hợp đặc biệt có thể audit không báo trước - nhưng không nên làm thường xuyên vì ảnh hưởng đến tin tưởng nội bộ.

Kết luận

Audit nội bộ ISO, khi được thực hiện đúng phương pháp, không chỉ giúp nhà máy duy trì chứng nhận mà còn là động lực cải tiến liên tục - phát hiện lỗi trước khi khách hàng phát hiện, tăng nhận thức của nhân viên về chất lượng và an toàn, và cung cấp dữ liệu để lãnh đạo ra quyết định đúng đắn.

Xem thêm: Audit nhà máy là gì? Quy trình chuẩn và dịch vụ tư vấn ISO 9001 của Công ty TNHH Cung ứng và Giải pháp 2T.