Tóm tắt
ISO 9001 cho công ty phần mềm và IT outsourcing: hệ thống quản lý chất lượng gồm gì, khách hàng hỏi gì, liên quan ISO 27001 ra sao và chuẩn bị gì.
ISO 9001 cho công ty phần mềm là việc xây dựng và vận hành một hệ thống quản lý chất lượng (QMS, Quality Management System) theo tiêu chuẩn quốc tế ISO 9001, để quy trình nhận yêu cầu, thiết kế, phát triển, kiểm thử và bàn giao phần mềm được kiểm soát và cải tiến liên tục. Chứng chỉ do một tổ chức chứng nhận được công nhận cấp, có hiệu lực ba năm và có audit giám sát định kỳ.
Bài này dành cho CTO, giám đốc delivery và người phụ trách chất lượng ở công ty phần mềm, IT outsourcing Việt Nam đang được khách hàng hỏi về ISO 9001. Phần giới thiệu tổng quan về framework nằm ở trang ISO 9001 trên pTrackly.
ISO 9001 là gì đối với một công ty làm phần mềm?
ISO 9001 là tiêu chuẩn quốc tế về hệ thống quản lý chất lượng do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) ban hành. Phiên bản hiện hành ISO 9001:2026 được ban hành ngày 16/9/2026; phần lớn chứng chỉ đang có vẫn theo ISO 9001:2015 trong giai đoạn chuyển đổi. Tiêu chuẩn không quy định bạn phải dùng Scrum hay Waterfall. Nó yêu cầu bạn xác định quy trình, giao trách nhiệm, kiểm soát đầu ra và chứng minh được rằng sản phẩm, dịch vụ đáp ứng yêu cầu khách hàng một cách nhất quán.
Các yêu cầu nằm trong điều khoản 4 đến 10. Với một công ty phần mềm, mỗi điều khoản thường ứng với một phần việc quen thuộc:
| Điều khoản ISO 9001:2026 | Nội dung chính | Ví dụ trong công ty phần mềm |
|---|---|---|
| Phạm vi QMS, các bên liên quan, quy trình | Phạm vi gồm phát triển phần mềm theo dự án, bảo trì, hỗ trợ khách hàng |
| Chính sách chất lượng, vai trò và trách nhiệm | Giám đốc ký chính sách chất lượng; PM, QA lead có trách nhiệm rõ |
| Rủi ro và cơ hội, mục tiêu chất lượng | Mục tiêu như tỷ lệ lỗi sau bàn giao, tỷ lệ đúng hạn milestone |
| Nguồn lực, năng lực, thông tin dạng văn bản | Ma trận kỹ năng, đào tạo, kiểm soát tài liệu quy trình |
| Yêu cầu khách hàng, thiết kế và phát triển (8.3), nhà cung cấp bên ngoài (8.4), đầu ra không phù hợp (8.7) | Xác nhận yêu cầu, review thiết kế, kiểm thử, quản lý subcontractor, xử lý bug nghiêm trọng |
| Đo lường, sự hài lòng của khách hàng, audit nội bộ, xem xét của lãnh đạo | Khảo sát khách hàng sau dự án, audit nội bộ hằng năm, họp management review |
| Sự không phù hợp và hành động khắc phục, cải tiến liên tục | Phân tích nguyên nhân gốc của sự cố, theo dõi hành động khắc phục |
Vì sao khách hàng hỏi công ty phần mềm có ISO 9001 không?
Khách hàng doanh nghiệp, đặc biệt khi thuê ngoài phát triển phần mềm, thường đưa ISO 9001 vào bảng đánh giá nhà cung cấp vì đó là bằng chứng bên thứ ba rằng bạn có quy trình được kiểm soát, không phụ thuộc vào vài cá nhân. Câu hỏi thường gặp trong hồ sơ thầu hoặc vendor assessment là: quy trình bàn giao của bạn được kiểm soát thế nào, bạn xử lý lỗi và khiếu nại ra sao, ai chịu trách nhiệm chất lượng, và bạn kiểm soát đối tác phụ (subcontractor) như thế nào.
ISO 9001 không thay thế được câu hỏi về bảo mật. Nếu khách hàng hỏi về bảo vệ dữ liệu và an toàn thông tin, họ thường cần thêm ISO 27001 hoặc báo cáo SOC 2. Xem ISO 27001 là gì để phân biệt.
ISO 9001 và ISO 27001 liên quan với nhau thế nào?
ISO 9001 quản lý chất lượng sản phẩm, dịch vụ; ISO 27001 quản lý an toàn thông tin. Hai tiêu chuẩn cấp hai chứng chỉ riêng, nhưng cùng dùng cấu trúc chung cho hệ thống quản lý (Annex SL, nay gọi là Harmonized Structure): điều khoản 4 đến 10 có cùng tên và trình tự, từ bối cảnh tổ chức đến cải tiến (tóm tắt Annex SL). Nội dung từng điều khoản không giống hệt nhau, nhưng cấu trúc chung giúp bạn vận hành một hệ thống tích hợp.
| Thành phần | Dùng chung được cho ISO 9001 và ISO 27001 | Riêng của từng tiêu chuẩn |
|---|---|---|
| Kiểm soát tài liệu, hồ sơ (7.5) | Có | Danh mục tài liệu bắt buộc khác nhau |
| Audit nội bộ (9.2) và xem xét của lãnh đạo (9.3) | Có thể làm chung một chương trình | Tiêu chí audit khác nhau |
| Sự không phù hợp và hành động khắc phục (10.2) | Có | Không |
| Đánh giá rủi ro | Cách tiếp cận dựa trên rủi ro dùng chung | ISO 27001 có quy trình đánh giá rủi ro an toàn thông tin và Statement of Applicability riêng |
| Kiểm soát nhà cung cấp | Có | ISO 27001 thêm yêu cầu bảo mật với nhà cung cấp trong Annex A |
Nhiều tổ chức chứng nhận có thể audit kết hợp hai tiêu chuẩn trong cùng đợt; cách sắp xếp cụ thể tùy tổ chức chứng nhận bạn chọn. Xem cách chọn tổ chức chứng nhận.
Chứng chỉ ISO 9001 được cấp và duy trì như thế nào?
Chứng chỉ do một tổ chức chứng nhận (certification body) được công nhận cấp sau audit hai giai đoạn: giai đoạn 1 xem hồ sơ và mức sẵn sàng, giai đoạn 2 đánh giá hệ thống đang vận hành. Chu kỳ chứng nhận theo ISO/IEC 17021-1 kéo dài ba năm, với audit giám sát (surveillance audit) ít nhất mỗi năm một lần và audit tái chứng nhận trước khi hết hạn (mô tả chu kỳ chứng nhận).
Hãy kiểm tra tổ chức chứng nhận có được công nhận bởi một tổ chức công nhận là thành viên IAF hay không, vì khách hàng quốc tế thường chỉ chấp nhận chứng chỉ được công nhận.
Công ty phần mềm cần chuẩn bị gì để đạt ISO 9001?
- Xác định phạm vi QMS: dịch vụ nào, văn phòng nào, khách hàng nào nằm trong phạm vi, và tài liệu hóa phạm vi đó.
- Viết chính sách chất lượng và mục tiêu chất lượng đo được, gắn với kết quả delivery thực tế.
- Mô tả các quy trình cốt lõi: tiếp nhận và xác nhận yêu cầu, thiết kế và phát triển, kiểm thử, phát hành, hỗ trợ sau bàn giao, và lưu lại bằng chứng của từng bước.
- Thiết lập kiểm soát nhà cung cấp bên ngoài: freelancer, subcontractor, dịch vụ cloud dùng để cung cấp dịch vụ.
- Thiết lập quy trình xử lý đầu ra không phù hợp và hành động khắc phục, kể cả lỗi nghiêm trọng sau bàn giao và khiếu nại khách hàng.
- Vận hành hệ thống đủ lâu để có hồ sơ, sau đó audit nội bộ và họp xem xét của lãnh đạo trước khi mời tổ chức chứng nhận.
Thời gian chuẩn bị phụ thuộc phạm vi và mức độ quy trình hiện có đã được tài liệu hóa; hãy xem đây là ước tính theo phạm vi, không có mốc cố định.
pTrackly hỗ trợ ISO 9001 như thế nào?
pTrackly có framework ISO 9001:2026 với các yêu cầu theo điều khoản 4 đến 10, ma trận tuân thủ cho thấy control nào đáp ứng yêu cầu nào, các mẫu chính sách như Quality Policy, QMS Scope, Quality Objectives, Internal Audit Procedure và Nonconformity & Corrective Action Procedure, cùng các evidence task lặp lại theo tần suất. Nếu bạn đã có ISO 27001 trên pTrackly, các control, chính sách và task trùng nhau được dùng chung thay vì làm lại.
pTrackly không cấp chứng chỉ, không thay tổ chức chứng nhận và không tự viết quy trình delivery của bạn. Đội của bạn vẫn quyết định phạm vi, vận hành quy trình, làm audit nội bộ và xem xét của lãnh đạo.
Câu hỏi thường gặp
Công ty phần mềm có bắt buộc phải có ISO 9001 không?
Không có quy định pháp luật chung bắt buộc công ty phần mềm phải có ISO 9001. Yêu cầu thường đến từ khách hàng, hồ sơ thầu hoặc đối tác, nên hãy hỏi khách hàng cần chứng chỉ nào trước khi bắt đầu.
ISO 9001 có phù hợp với Agile và Scrum không?
Có. ISO 9001 không quy định phương pháp phát triển; nó yêu cầu bạn hoạch định và kiểm soát thiết kế, phát triển (điều khoản 8.3) và lưu bằng chứng. Sprint review, definition of done và retrospective có thể là bằng chứng nếu được duy trì nhất quán.
Nên làm ISO 9001 hay ISO 27001 trước?
Nếu khách hàng hỏi về bảo mật dữ liệu, ISO 27001 thường được ưu tiên; nếu họ hỏi về năng lực quy trình và chất lượng bàn giao, ISO 9001 phù hợp hơn. Vì hai tiêu chuẩn dùng chung cấu trúc, làm cái thứ hai sau khi có cái đầu sẽ tái sử dụng được phần quản lý tài liệu, audit nội bộ và xem xét của lãnh đạo.
Có phiên bản ISO 9001 mới không?
Có. ISO 9001:2026 được ban hành ngày 16/9/2026 và thay thế bản 2015. Chứng chỉ ISO 9001:2015 vẫn có hiệu lực trong giai đoạn chuyển đổi khoảng ba năm (các tổ chức chứng nhận nêu mốc 30/9/2029; hãy xác nhận với tổ chức của bạn). Framework ISO 9001 của pTrackly theo phiên bản 2026, nên bạn có thể triển khai theo bản hiện hành hoặc dùng nó để lập kế hoạch chuyển đổi.
Đang chuẩn bị ISO 9001 cùng ISO 27001? Đặt lịch demo để xem pTrackly tổ chức control, chính sách và evidence dùng chung cho hai tiêu chuẩn.
