ChatGPT soạn quy trình.
AI phân tích khiếu nại khách hàng.
AI hỗ trợ tìm nguyên nhân lỗi.
AI đánh giá nhà cung cấp.
AI dự báo nhu cầu.
AI hỗ trợ kiểm tra sản phẩm.
AI tham gia ngày càng sâu vào các quá trình của doanh nghiệp.
Và khi AI chuyển từ “công cụ giúp viết nhanh hơn” sang “công cụ ảnh hưởng đến quá trình và quyết định”, doanh nghiệp cần đặt một câu hỏi quan trọng:
Nếu AI sai thì điều gì có thể xảy ra?
Đó chính là điểm bắt đầu của đánh giá rủi ro AI.
Đối với doanh nghiệp áp dụng ISO 9001, việc sử dụng AI có thể cần được xem xét trong tư duy dựa trên rủi ro của hệ thống quản lý chất lượng.
Trong khi đó, ISO 31000 cung cấp một cách tiếp cận quản lý rủi ro có hệ thống:
Thiết lập phạm vi, bối cảnh và tiêu chí → Nhận diện → Phân tích → Đánh giá → Xử lý → Theo dõi → Trao đổi và tham vấn.
Kết hợp hai cách tiếp cận này, doanh nghiệp có thể xây dựng một phương pháp quản lý rủi ro AI vừa thực tế vừa phù hợp với hệ thống quản lý hiện có.
ISO 9001 yêu cầu doanh nghiệp đánh giá rủi ro AI không?
Không nên hiểu rằng ISO 9001 có một điều khoản riêng ghi:
“Doanh nghiệp phải đánh giá rủi ro AI.”
Điểm cần xem xét là AI đang ảnh hưởng đến hệ thống quản lý chất lượng như thế nào.
Ví dụ AI chỉ được nhân viên marketing sử dụng để gợi ý tiêu đề bài viết.
Mức ảnh hưởng đến khả năng cung cấp sản phẩm và dịch vụ phù hợp có thể thấp.
Nhưng nếu AI được sử dụng để:
- Phân tích yêu cầu khách hàng.
- Thiết kế sản phẩm.
- Lập kế hoạch sản xuất.
- Kiểm tra chất lượng.
- Đánh giá nhà cung cấp.
- Phân tích khiếu nại.
- Xác định nguyên nhân gốc.
- Đề xuất hành động khắc phục.
- Hỗ trợ quyết định sản phẩm đạt/không đạt.
thì AI đã có khả năng ảnh hưởng trực tiếp đến kết quả của hệ thống quản lý chất lượng.
Khi đó, rủi ro liên quan đến AI cần được xem xét tương xứng với mức ảnh hưởng.
ISO 9001 và ISO 31000 đóng vai trò gì trong quản lý rủi ro AI?
Có thể hiểu đơn giản:
ISO 9001
Đặt rủi ro trong bối cảnh:
Doanh nghiệp cần làm gì để hệ thống quản lý chất lượng đạt kết quả dự kiến, tăng tác động mong muốn, ngăn ngừa hoặc giảm tác động không mong muốn và thúc đẩy cải tiến?
ISO 31000
Giúp doanh nghiệp tổ chức hoạt động quản lý rủi ro một cách có hệ thống:
Rủi ro gì? → Vì sao xảy ra? → Hậu quả gì? → Mức độ bao nhiêu? → Có chấp nhận không? → Xử lý thế nào? → Rủi ro còn lại bao nhiêu?
ISO 31000 không phải tiêu chuẩn chứng nhận và cũng không bắt buộc doanh nghiệp phải sử dụng một ma trận 3×3 hay 5×5 cụ thể.
Doanh nghiệp có thể lựa chọn phương pháp phù hợp với bối cảnh và mức độ phức tạp của mình.
Bước 1: Lập danh mục các trường hợp sử dụng AI
Đừng bắt đầu đánh giá rủi ro bằng một dòng:
“Rủi ro: AI đưa ra kết quả sai.”
Quá rộng.
Trước tiên cần xác định AI đang được dùng ở đâu và để làm gì.
Ví dụ:
| Mã | Hoạt động AI | Bộ phận | Đầu vào | Đầu ra |
| AI-01 | Soạn SOP | QA | Yêu cầu, thông tin quá trình | Dự thảo SOP |
| AI-02 | Phân tích khiếu nại | CSKH/QA | Dữ liệu khiếu nại | Nhóm nguyên nhân |
| AI-03 | Đánh giá nhà cung cấp | Mua hàng | KPI nhà cung cấp | Xếp hạng |
| AI-04 | Hỗ trợ viết code | IT | Source code | Code đề xuất |
| AI-05 | Tóm tắt hợp đồng | Kinh doanh | Hợp đồng | Bản tóm tắt |
Một ứng dụng AI nên được hiểu trong bối cảnh:
AI nào → Ai dùng → Dùng để làm gì → Dữ liệu nào → Đầu ra nào → Đầu ra được sử dụng vào việc gì.
Đây là nền tảng của đánh giá rủi ro.
Bước 2: Xác định bối cảnh và tiêu chí đánh giá
Trước khi chấm điểm, doanh nghiệp cần xác định:
Điều gì quan trọng đối với ứng dụng AI này?
Ví dụ:
- Chất lượng sản phẩm.
- Yêu cầu khách hàng.
- Độ chính xác.
- Thời gian giao hàng.
- Bảo mật thông tin.
- Pháp luật.
- Uy tín doanh nghiệp.
- Khả năng duy trì hoạt động.
Đồng thời cần xác định tiêu chí:
Rủi ro nào có thể chấp nhận?
Rủi ro nào cần xử lý?
Rủi ro nào không được phép chấp nhận nếu chưa có kiểm soát bổ sung?
Nếu không xác định tiêu chí, việc chấm điểm rủi ro rất dễ trở thành:
Chấm xong… rồi để đó.
Bước 3: Nhận diện rủi ro AI theo cấu trúc Nguyên nhân – Sự kiện – Hậu quả
Một cách rất hữu ích là tránh ghi rủi ro chung chung như:
“AI sai.”
Hãy mô tả:
Nguyên nhân → Sự kiện rủi ro → Hậu quả
Ví dụ:
Dữ liệu đầu vào thiếu
↓
AI phân tích sai xu hướng khiếu nại
↓
Doanh nghiệp ưu tiên sai vấn đề cần cải tiến
Một ví dụ khác:
Nhân viên đưa hợp đồng mật lên công cụ AI chưa được phê duyệt
↓
Thông tin rời khỏi cơ chế kiểm soát của doanh nghiệp
↓
Nguy cơ vi phạm yêu cầu bảo mật của khách hàng
Mô tả như vậy giúp doanh nghiệp dễ tìm đúng biện pháp kiểm soát hơn.
10 nhóm rủi ro AI doanh nghiệp nên xem xét
1. Rủi ro dữ liệu đầu vào
- Dữ liệu sai.
- Dữ liệu thiếu.
- Dữ liệu cũ.
- Dữ liệu thiên lệch.
- Dữ liệu không đại diện.
2. Rủi ro đầu ra AI
- Thông tin sai.
- Phân tích sai.
- Đề xuất không phù hợp.
- Nguồn tham chiếu không đáng tin cậy.
3. Rủi ro bảo mật thông tin
- Đưa dữ liệu khách hàng lên AI.
- Rò rỉ bí mật kinh doanh.
- Đưa source code nhạy cảm lên hệ thống bên ngoài.
4. Rủi ro năng lực
Người sử dụng không đủ chuyên môn để phát hiện kết quả AI sai.
5. Rủi ro phụ thuộc AI
Nhân viên dần mất khả năng thực hiện công việc khi AI không có sẵn.
6. Rủi ro tự động hóa quyết định
AI đưa ra đề xuất và con người mặc nhiên chấp nhận mà không xem xét.
7. Rủi ro nhà cung cấp AI
- Dịch vụ ngừng hoạt động.
- Thay đổi tính năng.
- Thay đổi mô hình.
- Thay đổi điều khoản.
- Thay đổi cách xử lý dữ liệu.
8. Rủi ro tích hợp
AI kết nối với CRM, ERP, QMS hoặc hệ thống khác và thực hiện hành động không mong muốn.
9. Rủi ro pháp lý và hợp đồng
Cách sử dụng AI có thể không phù hợp với:
- Yêu cầu pháp luật.
- Điều khoản hợp đồng.
- Quyền sở hữu trí tuệ.
- Nghĩa vụ bảo mật.
10. Rủi ro uy tín
AI tạo nội dung sai hoặc không phù hợp nhưng được phát hành dưới tên doanh nghiệp.
Bước 4: Xác định các kiểm soát hiện có
Đây là bước thường bị bỏ qua.
Trước khi nói cần làm thêm gì, hãy hỏi:
Doanh nghiệp hiện đang kiểm soát rủi ro này bằng cách nào?
Ví dụ AI hỗ trợ soạn SOP.
Kiểm soát hiện có:
- QA kiểm tra.
- Chủ quá trình xem xét.
- Người có thẩm quyền phê duyệt.
- Kiểm soát phiên bản trước khi ban hành.
Khi đó, doanh nghiệp không nhất thiết phải tạo thêm một quy trình mới chỉ vì tài liệu được AI hỗ trợ soạn.
Một nguyên tắc thực tế:
Tận dụng kiểm soát ISO hiện có trước → Chỉ bổ sung kiểm soát AI khi cần.
Bước 5: Phân tích khả năng xảy ra
Doanh nghiệp có thể sử dụng thang điểm 1–5.
Ví dụ:
| Điểm | Khả năng | Diễn giải |
| 1 | Hiếm | Khó xảy ra trong điều kiện bình thường |
| 2 | Ít xảy ra | Có thể xảy ra nhưng không thường xuyên |
| 3 | Có thể | Có khả năng xuất hiện trong hoạt động |
| 4 | Thường xuyên | Đã xảy ra hoặc có khả năng xảy ra thường xuyên |
| 5 | Rất thường xuyên | Có khả năng xảy ra nhiều lần |
Nhưng cần lưu ý:
Đừng chấm điểm chỉ bằng cảm giác.
Có thể dựa vào:
- Sự cố đã xảy ra.
- Tần suất sử dụng AI.
- Số lượng người sử dụng.
- Mức tự động hóa.
- Khả năng phát hiện lỗi.
- Kinh nghiệm nội bộ.
- Thông tin từ nhà cung cấp.
Bước 6: Phân tích hậu quả
Có thể sử dụng thang 1–5:
| Điểm | Hậu quả | Ví dụ |
| 1 | Không đáng kể | Sửa được ngay, gần như không ảnh hưởng |
| 2 | Nhỏ | Ảnh hưởng nội bộ hạn chế |
| 3 | Trung bình | Ảnh hưởng quá trình hoặc khách hàng ở mức nhất định |
| 4 | Lớn | Sản phẩm/dịch vụ không phù hợp, khiếu nại đáng kể |
| 5 | Nghiêm trọng | Ảnh hưởng lớn đến khách hàng, pháp lý, hoạt động hoặc uy tín |
Hậu quả cần được xem trong bối cảnh cụ thể.
Ví dụ:
AI viết sai một caption marketing.
và
AI phân tích sai yêu cầu kỹ thuật của khách hàng.
đều là:
“AI tạo thông tin sai.”
Nhưng hậu quả hoàn toàn khác nhau.
Bước 7: Xác định mức rủi ro
Một phương pháp đơn giản là:
Mức rủi ro = Khả năng × Hậu quả
Ví dụ:
Khả năng = 4
Hậu quả = 5
→ Mức rủi ro = 20
Doanh nghiệp có thể quy định:
| Điểm | Mức rủi ro | Hành động |
| 1–4 | Thấp | Chấp nhận/theo dõi |
| 5–9 | Trung bình | Xem xét kiểm soát |
| 10–16 | Cao | Cần xử lý |
| 17–25 | Rất cao | Không triển khai hoặc phải giảm rủi ro trước khi triển khai |
Đây chỉ là một mô hình thực hành, không phải thang điểm bắt buộc của ISO 9001 hay ISO 31000.
Doanh nghiệp cần tự xây dựng tiêu chí phù hợp với bối cảnh của mình.
Bước 8: Đánh giá rủi ro – Có chấp nhận được không?
Đây là lúc so sánh kết quả phân tích với tiêu chí rủi ro đã xác định.
Ví dụ:
AI dùng để chỉnh ngữ pháp email
Rủi ro = 4
→ Chấp nhận.
AI soạn SOP
Rủi ro = 9
→ Cho phép nhưng cần người có năng lực kiểm tra.
AI tự quyết định sản phẩm đạt/không đạt
Rủi ro = 20
→ Không cho vận hành theo cách hiện tại.
Cần kiểm soát bổ sung trước khi áp dụng.
Đây là điểm rất quan trọng:
Đánh giá rủi ro không phải để tạo ra một con số.
Mà để:
Đưa ra quyết định.
Bước 9: Xử lý rủi ro AI
Doanh nghiệp có thể lựa chọn các cách xử lý phù hợp.
Tránh rủi ro
Không sử dụng AI cho hoạt động đó.
Ví dụ:
Không cho phép đưa bí mật kinh doanh lên công cụ AI công cộng.
Giảm rủi ro
Thiết lập kiểm soát.
Ví dụ:
AI soạn SOP → QA kiểm tra → Chủ quá trình xác nhận → Phê duyệt.
Chia sẻ/chuyển giao một phần rủi ro
Ví dụ sử dụng nhà cung cấp có cam kết và cơ chế bảo vệ dữ liệu phù hợp.
Tuy nhiên, thuê nhà cung cấp không có nghĩa doanh nghiệp chuyển toàn bộ trách nhiệm cho nhà cung cấp.
Chấp nhận rủi ro
Nếu mức rủi ro nằm trong tiêu chí chấp nhận và việc xử lý thêm không cần thiết.
12 biện pháp kiểm soát rủi ro AI doanh nghiệp có thể áp dụng
Tùy rủi ro, có thể lựa chọn:
☐ Danh mục công cụ AI được phê duyệt.
☐ Quy định dữ liệu được phép đưa vào AI.
☐ Ẩn danh hoặc giảm thiểu dữ liệu.
☐ Người có năng lực kiểm tra đầu ra.
☐ Phê duyệt trước quyết định quan trọng.
☐ Kiểm thử trước khi triển khai.
☐ Kiểm tra định kỳ độ chính xác.
☐ Theo dõi lỗi và sự cố AI.
☐ Kiểm soát quyền truy cập.
☐ Đánh giá nhà cung cấp AI.
☐ Phương án dự phòng khi AI ngừng hoạt động.
☐ Đào tạo và nâng cao nhận thức cho người sử dụng.
Không phải ứng dụng AI nào cũng cần đủ 12 biện pháp.
Kiểm soát phải tương xứng với rủi ro.
Bước 10: Đánh giá rủi ro còn lại
Sau khi bổ sung kiểm soát, cần đánh giá lại.
Ví dụ:
Trước kiểm soát
AI soạn SOP và nhân viên có thể ban hành trực tiếp.
Khả năng sai: 4
Hậu quả: 4
Rủi ro ban đầu:
4 × 4 = 16 – Cao
Kiểm soát
- AI chỉ được tạo dự thảo.
- Người phụ trách quá trình kiểm tra.
- QA xem xét.
- Người có thẩm quyền phê duyệt.
Sau kiểm soát
Khả năng một SOP sai được ban hành giảm xuống 2.
Hậu quả vẫn là 4.
Rủi ro còn lại:
2 × 4 = 8 – Trung bình
Nếu mức 8 nằm trong tiêu chí chấp nhận của doanh nghiệp:
→ Có thể triển khai và theo dõi.
Đây chính là tư duy:
Rủi ro ban đầu → Kiểm soát → Rủi ro còn lại → Quyết định.
Ví dụ hoàn chỉnh: Đánh giá rủi ro ChatGPT hỗ trợ phân tích khiếu nại
Hoạt động
QA sử dụng ChatGPT để phân nhóm và phân tích 500 khiếu nại khách hàng.
Mục tiêu
Giảm thời gian phân tích và phát hiện xu hướng nhanh hơn.
Rủi ro 1: AI phân loại sai khiếu nại
Nguyên nhân: Nội dung khiếu nại phức tạp, AI hiểu sai bối cảnh.
Sự kiện: Khiếu nại được phân loại sai.
Hậu quả: Doanh nghiệp xác định sai xu hướng chất lượng.
Khả năng: 3
Hậu quả: 4
Rủi ro:
3 × 4 = 12 – Cao
Kiểm soát
- Xây dựng tiêu chí phân loại.
- Kiểm tra mẫu kết quả AI.
- QA xác nhận các nhóm chính.
- Theo dõi tỷ lệ phân loại sai.
Sau kiểm soát:
Khả năng: 2
Hậu quả: 4
Rủi ro còn lại:
8 – Trung bình
Rủi ro 2: Dữ liệu khách hàng bị đưa lên công cụ không được phép
Nguyên nhân: Nhân viên upload file khiếu nại nguyên bản.
Sự kiện: Dữ liệu khách hàng được xử lý ngoài cơ chế được doanh nghiệp phê duyệt.
Hậu quả: Rủi ro bảo mật, hợp đồng hoặc pháp lý.
Khả năng: 3
Hậu quả: 5
Rủi ro:
15 – Cao
Kiểm soát
- Chỉ sử dụng công cụ AI được phê duyệt.
- Loại bỏ thông tin nhận dạng không cần thiết.
- Quy định loại dữ liệu được phép xử lý.
- Đào tạo người sử dụng.
Sau kiểm soát:
Khả năng: 1
Hậu quả: 5
Rủi ro còn lại:
5 – Trung bình
Lưu ý:
Hậu quả tiềm ẩn vẫn rất cao.
Kiểm soát chủ yếu làm giảm khả năng xảy ra.
Mẫu bảng đánh giá rủi ro AI
Doanh nghiệp có thể sử dụng cấu trúc sau:
| ID | Ứng dụng AI | Rủi ro | Nguyên nhân | Hậu quả | Kiểm soát hiện có | L | C | R | Xử lý | Rủi ro còn lại | Chủ sở hữu |
| AI-01 | Soạn SOP | Nội dung sai | AI thiếu bối cảnh | SOP không phù hợp | QA kiểm tra | 3 | 4 | 12 | Phê duyệt bổ sung | 6 | QA |
| AI-02 | Khiếu nại | Phân tích sai | Dữ liệu/AI | Quyết định cải tiến sai | Kiểm tra mẫu | 3 | 4 | 12 | Xác nhận kết quả | 8 | QA |
| AI-03 | Tóm tắt hợp đồng | Rò rỉ dữ liệu | Upload tài liệu mật | Vi phạm bảo mật | Chưa có | 3 | 5 | 15 | AI được phê duyệt + phân loại dữ liệu | 5 | Sales/IT |
Trong đó:
L = Likelihood – Khả năng
C = Consequence – Hậu quả
R = Risk – Mức rủi ro
Đừng chỉ đánh giá “AI” – hãy đánh giá từng trường hợp sử dụng
Một sai lầm dễ gặp là lập một dòng trong bảng rủi ro:
“AI – rủi ro cao.”
Thông tin này gần như không giúp doanh nghiệp quản lý được gì.
ChatGPT dùng để viết tiêu đề Facebook và AI dùng để quyết định sản phẩm đạt/không đạt không thể được đánh giá giống nhau.
Đối tượng đánh giá nên là:
Use Case – Trường hợp sử dụng AI.
Ví dụ:
- AI soạn SOP.
- AI phân tích khiếu nại.
- AI viết code.
- AI đánh giá nhà cung cấp.
- AI dự báo nhu cầu.
- AI kiểm tra sản phẩm.
Sau đó đánh giá rủi ro của từng trường hợp.
Đừng quên đánh giá cơ hội do AI mang lại
Tư duy dựa trên rủi ro của ISO 9001 không chỉ nhìn vào điều gì có thể đi sai.
AI cũng tạo ra cơ hội.
Ví dụ:
AI phân tích khiếu nại
Rủi ro: Phân loại sai.
Nhưng đồng thời:
Cơ hội: Phân tích 10.000 khiếu nại thay vì chỉ lấy mẫu vài trăm.
AI hỗ trợ CAPA
Rủi ro: Đề xuất nguyên nhân sai.
Cơ hội: Giúp nhóm xem xét nhiều giả thuyết hơn.
AI soạn SOP
Rủi ro: Nội dung không phù hợp thực tế.
Cơ hội: Giảm thời gian soạn thảo.
Một hệ thống quản lý tốt không nên chỉ hỏi:
“Làm thế nào để AI không gây rủi ro?”
Mà còn:
“Làm thế nào để khai thác cơ hội AI mà vẫn giữ rủi ro trong mức chấp nhận?”
7 câu hỏi đánh giá viên ISO có thể đặt ra về rủi ro AI
Nếu AI đã tham gia đáng kể vào QMS, doanh nghiệp nên chuẩn bị trả lời:
- AI đang được sử dụng tại những quá trình nào?
- Doanh nghiệp đã nhận diện rủi ro liên quan chưa?
- Tiêu chí đánh giá mức độ rủi ro được xác định thế nào?
- Những ứng dụng AI rủi ro cao được kiểm soát ra sao?
- Ai chịu trách nhiệm đối với từng rủi ro?
- Sau khi kiểm soát, doanh nghiệp đánh giá rủi ro còn lại thế nào?
- Làm thế nào doanh nghiệp biết biện pháp kiểm soát đang có hiệu lực?
Đánh giá viên không nhất thiết yêu cầu một “Bảng đánh giá rủi ro AI” riêng.
Doanh nghiệp có thể tích hợp AI vào hệ thống quản lý rủi ro hiện có nếu cách làm đó phù hợp và có hiệu lực.
Khi nào cần đánh giá lại rủi ro AI?
Không nên đánh giá một lần rồi để nguyên nhiều năm.
Có thể xem xét lại khi:
- Đưa AI mới vào sử dụng.
- Thay đổi mục đích sử dụng.
- AI bắt đầu xử lý dữ liệu mới.
- Tăng mức tự động hóa.
- Tích hợp AI với hệ thống khác.
- Nhà cung cấp thay đổi model hoặc dịch vụ.
- Xảy ra sự cố.
- Phát hiện đầu ra sai đáng kể.
- Có yêu cầu pháp luật/khách hàng mới.
- Kết quả đánh giá nội bộ cho thấy kiểm soát chưa hiệu lực.
AI thay đổi nhanh.
Vì vậy rủi ro AI cũng có thể thay đổi nhanh hơn nhiều công cụ truyền thống.
Tích hợp đánh giá rủi ro AI vào ISO 9001 thế nào?
Doanh nghiệp không nhất thiết xây dựng một hệ thống riêng biệt.
Có thể tích hợp vào:
Bối cảnh và các bên quan tâm
AI có tạo ra vấn đề nội bộ/bên ngoài hoặc yêu cầu mới không?
Hoạch định rủi ro và cơ hội
Đưa các rủi ro AI đáng kể vào quá trình hoạch định.
Nguồn lực
AI, hạ tầng và dữ liệu có phù hợp không?
Năng lực
Người sử dụng có đủ năng lực để đánh giá đầu ra AI không?
Thông tin dạng văn bản
Tài liệu do AI hỗ trợ tạo ra được kiểm soát thế nào?
Kiểm soát hoạt động
AI tham gia vào quá trình sản xuất/cung cấp dịch vụ được kiểm soát ra sao?
Đánh giá kết quả hoạt động
AI có thực sự tạo ra kết quả mong muốn không?
Cải tiến
Sự cố AI có được phân tích và sử dụng để cải tiến hệ thống không?
ISO 31000, ISO 9001 và ISO/IEC 42001 có thể kết hợp thế nào?
Có thể hình dung:
ISO 9001
→ Đặt AI trong bối cảnh hệ thống quản lý chất lượng.
ISO 31000
→ Cung cấp nguyên tắc, khung và quá trình quản lý rủi ro.
ISO/IEC 42001
→ Đi sâu hơn vào hệ thống quản lý AI khi AI trở thành một phần đáng kể của hoạt động tổ chức.
Doanh nghiệp chưa cần ISO/IEC 42001 vẫn có thể bắt đầu quản lý rủi ro AI ngay bằng hệ thống ISO 9001 hiện có kết hợp tư duy ISO 31000.
Điều quan trọng là quản lý dựa trên thực tế sử dụng và mức độ rủi ro, thay vì chờ đến khi có một yêu cầu mang tên “AI”.
Checklist đánh giá rủi ro AI
Trước khi đưa một ứng dụng AI vào sử dụng, hãy kiểm tra:
☐ Mục đích sử dụng đã rõ chưa?
☐ Chủ sở hữu ứng dụng AI là ai?
☐ Dữ liệu đầu vào là gì?
☐ Dữ liệu có nhạy cảm không?
☐ AI tạo ra đầu ra gì?
☐ Đầu ra được sử dụng vào việc gì?
☐ Nếu AI sai thì hậu quả là gì?
☐ Nguyên nhân rủi ro là gì?
☐ Kiểm soát hiện tại là gì?
☐ Khả năng xảy ra bao nhiêu?
☐ Hậu quả bao nhiêu?
☐ Rủi ro có chấp nhận được không?
☐ Cần bổ sung kiểm soát gì?
☐ Ai chịu trách nhiệm thực hiện?
☐ Rủi ro còn lại bao nhiêu?
☐ Cách theo dõi hiệu lực là gì?
Nếu doanh nghiệp trả lời được những câu hỏi này, việc đánh giá rủi ro AI đã bắt đầu trở thành một quá trình quản lý thực chất thay vì một bảng điểm phục vụ đánh giá ISO.
Kết luận
Đánh giá rủi ro AI không cần bắt đầu bằng một phương pháp phức tạp.
Hãy bắt đầu từ chính hoạt động của doanh nghiệp:
AI dùng ở đâu?
↓
AI có thể sai như thế nào?
↓
Vì sao có thể sai?
↓
Nếu sai thì hậu quả gì?
↓
Rủi ro hiện tại bao nhiêu?
↓
Cần kiểm soát gì?
↓
Rủi ro còn lại có chấp nhận được không?
↓
Ai chịu trách nhiệm và theo dõi thế nào?
Đó chính là cách đưa tư duy quản lý rủi ro vào việc sử dụng AI.
Với ISO 9001, mục tiêu không phải tạo thêm một bảng “Rủi ro AI” để đưa cho đánh giá viên.
Mục tiêu là đảm bảo AI không làm suy giảm khả năng của hệ thống quản lý chất lượng trong việc đạt được kết quả dự kiến và cung cấp sản phẩm, dịch vụ phù hợp.
Với ISO 31000, đánh giá rủi ro cũng không kết thúc ở việc tính:
Khả năng × Hậu quả = một con số.
Giá trị thực sự nằm ở quyết định:
Rủi ro nào chấp nhận → Rủi ro nào xử lý → Kiểm soát gì → Ai chịu trách nhiệm → Kiểm soát có hiệu lực không.
AI càng được sử dụng sâu trong doanh nghiệp, đánh giá rủi ro AI càng cần chuyển từ một hoạt động “nên làm” thành một phần của quản trị doanh nghiệp.
Quản lý AI tốt không phải để sử dụng AI ít đi – mà để doanh nghiệp có thể sử dụng AI nhiều hơn ở những nơi tạo ra giá trị, với mức rủi ro được hiểu và kiểm soát.
Dịch vụ đào tạo và chứng nhận ISO tại PQI
PQI đồng hành cùng doanh nghiệp trong toàn bộ quá trình triển khai hệ thống quản lý:
- Đào tạo nhận thức ISO.
- Đào tạo đánh giá viên nội bộ.
- Đánh giá chứng nhận.
- Đào tạo duy trì và cải tiến hệ thống.
Đội ngũ chuyên gia của PQI luôn hướng tới mục tiêu giúp doanh nghiệp không chỉ đạt chứng nhận, mà còn vận hành hiệu quả hệ thống quản lý môi trường và tạo giá trị bền vững.
Liên hệ ngay với chúng tôi, Tel/Zalo: 0906259389
