Liên quan đến Thủ tục xin cấp giấy chứng nhận ISO cho doanh nghiệp: Những vấn đề pháp lý cần lưu ý, phóng viên Báo Công lý đã có cuộc trao đổi với Luật sư Hà Thị Khuyên, Văn phòng Luật sư Nhân Chính (Đoàn Luật sư thành phố Hà Nội).

Phóng viên: Thưa luật sư, dưới góc độ pháp lý, giấy chứng nhận ISO có ý nghĩa như thế nào đối với doanh nghiệp? Việc đăng ký chứng nhận ISO là bắt buộc hay tự nguyện, và doanh nghiệp cần căn cứ vào đâu để lựa chọn tiêu chuẩn phù hợp với lĩnh vực hoạt động?

Luật sư Hà Thị Khuyên: Theo tôi, trước hết cần phân biệt “tiêu chuẩn ISO” với “giấy chứng nhận ISO”. ISO là hệ thống các tiêu chuẩn quốc tế. Khi doanh nghiệp áp dụng một tiêu chuẩn quản lý như ISO 9001 về hệ thống quản lý chất lượng, ISO 14001 về hệ thống quản lý môi trường, ISO 22000 về hệ thống quản lý an toàn thực phẩm hay ISO/IEC 27001 về hệ thống quản lý an toàn thông tin, doanh nghiệp đang xây dựng và vận hành một hệ thống quản lý theo các yêu cầu của tiêu chuẩn đó. Sau quá trình đánh giá độc lập, nếu đáp ứng yêu cầu, tổ chức chứng nhận có thể cấp chứng nhận cho hệ thống quản lý của doanh nghiệp.

Về nguyên tắc, việc doanh nghiệp áp dụng và chứng nhận hệ thống quản lý theo ISO là hoạt động tự nguyện, trừ trường hợp pháp luật chuyên ngành, quy chuẩn kỹ thuật, điều kiện đấu thầu, hợp đồng hoặc yêu cầu của khách hàng đặt ra một yêu cầu cụ thể. Pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật phân biệt khá rõ giữa tiêu chuẩn và quy chuẩn kỹ thuật. Trong khi chứng nhận hợp quy được thực hiện bắt buộc đối với các đối tượng thuộc quy chuẩn kỹ thuật tương ứng, thì không thể mặc nhiên coi mọi chứng nhận ISO là một thủ tục hành chính bắt buộc đối với doanh nghiệp.

Do đó, doanh nghiệp không nên hiểu rằng cứ thành lập công ty là phải xin ISO. Ngược lại, doanh nghiệp cần xác định mục tiêu của việc chứng nhận. Ví dụ, một doanh nghiệp sản xuất thông thường có thể lựa chọn ISO 9001 để chuẩn hóa quy trình quản lý chất lượng. Doanh nghiệp hoạt động trong lĩnh vực thực phẩm có thể quan tâm ISO 22000 hoặc các hệ thống quản lý an toàn thực phẩm phù hợp. Doanh nghiệp có hoạt động liên quan đến dữ liệu, công nghệ thông tin có thể xem xét ISO/IEC 27001. Doanh nghiệp chú trọng quản lý môi trường có thể lựa chọn ISO 14001.

Điểm quan trọng là không nên lựa chọn ISO chỉ vì “doanh nghiệp khác cũng có”. Tiêu chuẩn phải gắn với hoạt động thực tế và mục tiêu kinh doanh. Về mặt pháp lý, doanh nghiệp nên kiểm tra theo ba tầng: (1) pháp luật chuyên ngành có bắt buộc hoặc dẫn chiếu tiêu chuẩn nào hay không; (2) khách hàng, đối tác, hồ sơ mời thầu có yêu cầu chứng nhận nào hay không; và (3) nhu cầu quản trị thực tế của chính doanh nghiệp.

Một giấy chứng nhận ISO có giá trị thiết thực khi nó phản ánh đúng hệ thống mà doanh nghiệp đang vận hành, chứ không phải chỉ là một tờ giấy để hoàn thiện hồ sơ.

Phóng viên: Luật sư có thể cho biết doanh nghiệp cần đáp ứng những điều kiện, chuẩn bị hồ sơ và thực hiện các bước cụ thể nào từ khi đăng ký đến khi được đánh giá, cấp giấy chứng nhận ISO? Trong quá trình này, doanh nghiệp thường gặp những khó khăn, vướng mắc pháp lý nào?

Luật sư Hà Thị Khuyên: Tôi cho rằng doanh nghiệp nên nhìn thủ tục chứng nhận ISO thành một quy trình gồm nhiều giai đoạn, thay vì hiểu đơn giản là “nộp hồ sơ rồi được cấp giấy”.

Trước hết, doanh nghiệp cần xác định tiêu chuẩn và phạm vi chứng nhận. Đây là bước đặc biệt quan trọng. Phạm vi phải thể hiện đúng hoạt động, địa điểm, sản phẩm hoặc dịch vụ mà doanh nghiệp muốn đưa vào hệ thống quản lý. Sau đó, doanh nghiệp tiến hành đánh giá khoảng cách (gap assessment) giữa thực trạng quản lý và yêu cầu của tiêu chuẩn; xây dựng, hoàn thiện hệ thống tài liệu và các quy trình cần thiết; phân công trách nhiệm; tổ chức đào tạo, phổ biến và quan trọng nhất là đưa hệ thống vào vận hành thực tế. Tiếp theo, doanh nghiệp phải thực hiện các hoạt động kiểm soát, lưu giữ hồ sơ, đánh giá nội bộ và xem xét của lãnh đạo theo yêu cầu tương ứng của hệ thống quản lý. Chỉ khi hệ thống được vận hành thực tế, doanh nghiệp mới có cơ sở tốt để bước vào đánh giá chứng nhận.

Về phía tổ chức chứng nhận, thông thường quy trình đánh giá sẽ bao gồm việc xem xét hồ sơ, đánh giá giai đoạn 1 và đánh giá giai đoạn 2 tùy chương trình chứng nhận. Nếu phát hiện điểm không phù hợp, doanh nghiệp phải thực hiện hành động khắc phục. Sau khi xem xét kết quả đánh giá và đáp ứng yêu cầu, tổ chức chứng nhận mới đưa ra quyết định chứng nhận. Sau khi được cấp chứng nhận, doanh nghiệp cũng không có nghĩa là “xong việc”. Hệ thống quản lý phải tiếp tục được duy trì và thường xuyên chịu các cuộc đánh giá giám sát, đánh giá tái chứng nhận theo chương trình áp dụng.

Về hồ sơ, doanh nghiệp thường phải chuẩn bị các thông tin cơ bản như hồ sơ pháp lý của doanh nghiệp; thông tin về địa điểm, sản phẩm, dịch vụ và phạm vi chứng nhận; tài liệu hệ thống quản lý; các quy trình, hồ sơ vận hành; kết quả đánh giá nội bộ, xem xét của lãnh đạo và các bằng chứng chứng minh hệ thống đã được áp dụng. Tuy nhiên, không có một bộ hồ sơ ISO duy nhất áp dụng cho mọi doanh nghiệp. Hồ sơ cụ thể phải phụ thuộc vào tiêu chuẩn, lĩnh vực và phạm vi chứng nhận. Khó khăn phổ biến nhất trên thực tế là doanh nghiệp thuê đơn vị tư vấn xây dựng một “bộ hồ sơ ISO” rất đẹp nhưng lại không vận hành theo hồ sơ đó. Khi tổ chức chứng nhận đánh giá thực tế, sự không thống nhất giữa tài liệu và hoạt động có thể dẫn đến điểm không phù hợp.

Một vấn đề khác là doanh nghiệp nhầm giữa đơn vị tư vấn và tổ chức chứng nhận. Hai chức năng này cần được phân biệt. Tư vấn giúp doanh nghiệp xây dựng hệ thống; tổ chức chứng nhận phải thực hiện đánh giá độc lập để đưa ra quyết định chứng nhận. Cơ chế công nhận đối với tổ chức chứng nhận hệ thống quản lý được xây dựng trên ISO/IEC 17021-1 và các tiêu chuẩn liên quan.

Vì vậy, doanh nghiệp cần đặc biệt cảnh giác với quảng cáo kiểu “cấp ISO siêu tốc”, “không cần đánh giá”, “chỉ cần hồ sơ là có chứng nhận”. Những cách làm này không những làm giảm giá trị của chứng nhận mà còn có thể tạo ra rủi ro tranh chấp với khách hàng, đối tác hoặc cơ quan quản lý khi giấy chứng nhận được sử dụng cho một mục đích mà nó không đáp ứng.

Phóng viên: Khi lựa chọn tổ chức đánh giá và cấp chứng nhận ISO, doanh nghiệp cần kiểm tra những thông tin gì để bảo đảm giấy chứng nhận có giá trị pháp lý? Luật sư có khuyến nghị gì giúp doanh nghiệp hạn chế chi phí phát sinh, tránh chứng nhận không hợp lệ và phòng ngừa các tranh chấp có thể xảy ra?

Luật sư Hà Thị Khuyên: Theo tôi, đây là vấn đề doanh nghiệp cần đặc biệt lưu ý.

Thứ nhất, phải kiểm tra tư cách pháp lý và tình trạng hoạt động của tổ chức chứng nhận. Doanh nghiệp không nên chỉ nhìn vào tên gọi, logo hoặc website của đơn vị cung cấp dịch vụ.

Thứ hai, nếu doanh nghiệp cần một chứng nhận được công nhận, cần kiểm tra tổ chức chứng nhận có được công nhận hay không, bởi tổ chức đó được công nhận theo tiêu chuẩn nào và phạm vi công nhận có bao phủ đúng tiêu chuẩn và lĩnh vực mà doanh nghiệp cần chứng nhận hay không. Đây là điểm rất quan trọng. Không phải cứ một tổ chức có chứng nhận công nhận là mọi giấy chứng nhận do tổ chức đó cấp đều mặc nhiên nằm trong phạm vi được công nhận. Văn phòng Công nhận Chất lượng quốc gia (BoA) hiện vận hành chương trình VICAS đối với tổ chức chứng nhận. Đối với chứng nhận hệ thống quản lý, tiêu chuẩn công nhận liên quan là ISO/IEC 17021-1 cùng các tiêu chuẩn áp dụng cho từng chương trình; BoA cũng công bố phạm vi công nhận cụ thể của từng tổ chức. Thực tế, các phụ lục công nhận cho thấy phạm vi có thể được xác định rất cụ thể theo nhóm ngành, mã IAF, mã NACE và loại hệ thống quản lý. Vì vậy, doanh nghiệp phải kiểm tra cả tổ chức chứng nhận lẫn phạm vi công nhận, chứ không chỉ kiểm tra tên tổ chức.

Thứ ba, cần kiểm tra trên giấy chứng nhận các nội dung như: tên pháp nhân chính xác của doanh nghiệp; địa chỉ; tiêu chuẩn được chứng nhận; phạm vi chứng nhận; số chứng nhận; ngày cấp, thời hạn hiệu lực; thông tin của tổ chức chứng nhận; tình trạng công nhận và các dấu hiệu nhận diện liên quan.

Thứ tư, doanh nghiệp nên yêu cầu báo giá và hợp đồng dịch vụ ghi rõ toàn bộ chi phí: phí đánh giá ban đầu, phí đánh giá giám sát, tái chứng nhận, chi phí đi lại, chi phí đánh giá bổ sung, chi phí xử lý điểm không phù hợp và các khoản phát sinh khác nếu có. Đặc biệt, hợp đồng cần quy định rõ trách nhiệm của tổ chức chứng nhận, thời gian thực hiện, phạm vi dịch vụ, nguyên tắc bảo mật, xử lý khiếu nại, tranh chấp và trường hợp chứng nhận bị đình chỉ, thu hồi hoặc thay đổi phạm vi. Theo tôi, doanh nghiệp có thể áp dụng nguyên tắc “kiểm tra trước – ký hợp đồng sau – thanh toán theo kết quả”. Không nên thanh toán toàn bộ chi phí ngay từ đầu chỉ dựa trên cam kết của người bán hàng.

Doanh nghiệp cần lưu ý rằng chứng nhận ISO không phải là “lá bùa pháp lý” thay thế cho việc tuân thủ pháp luật. Doanh nghiệp có ISO 9001 không có nghĩa là đương nhiên đáp ứng mọi quy định về chất lượng sản phẩm; có ISO 14001 cũng không có nghĩa là đương nhiên được miễn các nghĩa vụ về môi trường; có ISO 22000 cũng không đồng nghĩa với việc mọi sản phẩm thực phẩm của doanh nghiệp đương nhiên đáp ứng toàn bộ yêu cầu pháp luật chuyên ngành. Vì vậy, lời khuyên của tôi đối với doanh nghiệp là: hãy lựa chọn ISO từ nhu cầu quản trị và yêu cầu pháp lý thực tế, lựa chọn tổ chức chứng nhận dựa trên năng lực và phạm vi công nhận, đồng thời lưu giữ đầy đủ hồ sơ đánh giá và hợp đồng dịch vụ.

Nếu làm đúng ba việc này, doanh nghiệp không chỉ hạn chế nguy cơ mua phải “chứng nhận hình thức”, mà còn giảm đáng kể rủi ro phát sinh chi phí, tranh chấp với tổ chức tư vấn/chứng nhận và tranh chấp với khách hàng, đối tác về giá trị của chứng nhận. Nói ngắn gọn, giá trị của một chứng nhận ISO không nằm ở việc doanh nghiệp có một tờ giấy mang logo ISO, mà nằm ở việc chứng nhận đó được cấp đúng tiêu chuẩn, đúng phạm vi, bởi tổ chức có năng lực và được thực hiện trên cơ sở một hệ thống quản lý thực sự được doanh nghiệp xây dựng, vận hành và duy trì.

Liên hệ tư vấn và mời luật sư: 0936683699 - 0983951338