Nghiên cứu điển hình này bắt đầu bằng một công bố, bởi nếu thiếu công bố đó thì nó chẳng có giá trị gì: Tôi là CEO của Eucerta AG và là người sáng lập Netgen. Vì vậy, Netgen Switzerland chính là sân thử nghiệm của chính chúng tôi – doanh nghiệp đầu tiên đi hết toàn bộ chặng đường qua nền tảng của chúng tôi, với tất cả những điểm ma sát lộ ra trong quá trình đó.
Ai từ đó kết luận rằng nghiên cứu điển hình này không phải là một báo cáo khách hàng độc lập thì hoàn toàn đúng. Nó là một thứ khác: bản tài liệu về những gì xảy ra khi người ta xây dựng bốn tiêu chuẩn cùng lúc thành một hệ thống, thay vì xử lý lần lượt từng tiêu chuẩn. Bản thân việc đánh giá diễn ra theo đúng những quy tắc như mọi thủ tục khác – cùng một tiêu chuẩn, cùng một thước đo, cùng một số ngày đánh giá. Cách chúng tôi tổ chức tính độc lập được trình bày trên trang Chứng nhận độc lập.
„Chúng tôi muốn biết liệu lời hứa của chính mình có đứng vững hay không. Vì vậy chúng tôi đã kiểm chứng nó trước tiên trên chính mình – và cùng lúc với bốn tiêu chuẩn, bởi đó chính là trường hợp khó nhất.“ – Christian Paredes, CEO Eucerta AG
Doanh nghiệp và phạm vi áp dụng
Netgen Switzerland là một công ty dịch vụ web và số hóa có trụ sở tại Zürich, hoạt động trong lĩnh vực công nghệ và phần mềm. Phạm vi áp dụng trong chứng chỉ ghi: „Các giải pháp web được thiết kế riêng nhằm mang lại trải nghiệm khách hàng tối ưu trong marketing số“.
Đây là một trường hợp điển hình của tổ chức dịch vụ có bốn chủ đề liên quan cùng lúc: chất lượng dự án đối với khách hàng, an toàn thông tin vì dữ liệu và quyền truy cập của khách hàng được xử lý, các khía cạnh môi trường của một hoạt động văn phòng có hạ tầng IT, và việc sử dụng AI trong quá trình cung cấp dịch vụ. Chính từ đó mà bốn tiêu chuẩn hình thành: ISO 9001, ISO 14001, ISO 27001 và ISO 42001.
Các dữ kiện về thủ tục
Trước tiên là những dữ liệu có thể kiểm chứng, vì chúng xác lập khuôn khổ:
- Bốn tiêu chuẩn thành một hệ thống quản lý tích hợp: ISO 9001, ISO 14001, ISO 27001, ISO 42001
- Được chứng nhận ngày 8 tháng 5 năm 2026, có hiệu lực đến ngày 7 tháng 5 năm 2029
- Số hiệu chứng chỉ: eca-20260630-001 cho quản lý chất lượng và eca-20260818-001 cho quản lý môi trường, an toàn thông tin và AI
- Dự án đầu tiên được tạo trong nền tảng vào tháng 2 năm 2026, các dự án tiếp theo trong tháng 3 và tháng 4, cả bốn đều được chứng nhận trong tháng 5 năm 2026
- 164 nhiệm vụ trải khắp các chương của tiêu chuẩn, 54 tài liệu trong hệ thống
Mỗi chứng chỉ trong số này đều có thể kiểm tra được trong sổ đăng ký công khai tại eucerta.org thông qua số hiệu chứng chỉ. Một nghiên cứu điển hình mà người ta không thể tra cứu được chứng chỉ thì chỉ là một lời khẳng định.
Khoảng ba tháng từ dự án đầu tiên đến khi chứng nhận cả bốn tiêu chuẩn – đó là con số trong tiêu đề, và nó có một điều kiện: Doanh nghiệp trước đó đã làm việc có cấu trúc. Các tiêu chuẩn đã sắp xếp lại thực hành đang có, chứ không thay thế những gì còn thiếu.
Con số 164 nói gì về cách làm việc
164 nhiệm vụ nghe có vẻ nhiều, nhưng đó chính là lý do vì sao bốn tiêu chuẩn làm cùng nhau lại nhanh hơn làm riêng lẻ. Kể từ khi có cấu trúc nền tảng chung, bốn tiêu chuẩn đều theo cùng một bố cục: bối cảnh của tổ chức, sự lãnh đạo, hoạch định, hỗ trợ, thực hiện, đánh giá kết quả hoạt động, cải tiến – theo cùng một trình tự, với nội dung phần lớn giống nhau.
Ai triển khai chúng tách biệt thì phải viết các chương này bốn lần, chạy bốn chương trình đánh giá nội bộ, tổ chức bốn cuộc xem xét của lãnh đạo và để bên ngoài đánh giá bốn lần. Giá trị gia tăng về nội dung của việc nhân bốn này bằng không – và khối lượng công việc đó lấy đi nguồn lực khỏi những chủ đề thực sự cần được chú ý. Với một công ty dịch vụ xử lý dữ liệu và quyền truy cập của khách hàng, chủ đề đó trước hết là an toàn thông tin: Báo cáo tình hình của BSI về an toàn IT tại Đức 2025 nêu việc quản lý nhất quán bề mặt tấn công của chính mình là đòn bẩy quyết định và cho biết khoảng 80 phần trăm các vụ tấn công được trình báo thuộc về các doanh nghiệp nhỏ và vừa. Trong hệ thống tích hợp, các chương chung chỉ hình thành một lần, và phần riêng theo từng tiêu chuẩn chỉ còn lại đúng những nội dung thực sự khác nhau: các khía cạnh môi trường và danh mục pháp lý cho ISO 14001, đánh giá rủi ro và 93 biện pháp của Phụ lục A cho ISO 27001, tổng quan hệ thống AI cùng các phân tích tác động cho ISO 42001.
Dưới góc nhìn đó, 54 tài liệu là con số có ý nghĩa hơn. Bốn hệ thống tách biệt sẽ tạo ra nhiều tài liệu hơn đáng kể cho cùng một nội dung thực chất – kèm theo vấn đề hệ quả đã biết là bốn phiên bản của cùng một quy định rồi sẽ có lúc lệch nhau.
`[KIỂM TRA: Nếu nền tảng cung cấp được số lượng tài liệu của một dự án đơn tiêu chuẩn tương đương thì một so sánh có bằng chứng ở đây sẽ rất mạnh, ví dụ „54 tài liệu thay vì X khi có bốn hệ thống tách biệt“. Không có con số so sánh được chứng minh thì nhận định vẫn mang tính định tính như hiện tại.]`
ISO 42001 cụ thể có ý nghĩa gì với một công ty dịch vụ
Phần thú vị nhất là tiêu chuẩn về AI, bởi ở đây tồn tại ít thói quen sẵn có nhất. Với một công ty dịch vụ sử dụng AI trong quá trình cung cấp dịch vụ, ISO 42001 đòi hỏi, trong số các nội dung khác, một bản tổng quan về các hệ thống AI được sử dụng, một đánh giá tác động của chúng, các trách nhiệm rõ ràng và quy tắc xử lý kết quả – bao gồm cả câu hỏi ở đâu thì con người quyết định chứ không phải hệ thống.
Đối với hoạt động thực tế, điều đó có nghĩa là ít kỹ thuật hơn dự kiến và nhiều tổ chức hơn: Những công cụ nào được phê duyệt? Dữ liệu khách hàng nào được phép đưa vào và dữ liệu nào không? Ai kiểm tra kết quả trước khi chúng đến tay khách hàng? Việc đó được lập tài liệu như thế nào?
Những câu hỏi này cũng là lý do vì sao ISO 42001 và EU AI Act nên được xem xét cùng nhau: Tiêu chuẩn cấu trúc cách vận hành AI một cách có trách nhiệm, còn quy định pháp luật xác định điều gì được phép. Quy định này có hiệu lực từ ngày 1 tháng 8 năm 2024, các nghĩa vụ đối với các mô hình AI đa dụng áp dụng từ ngày 2 tháng 8 năm 2025, các mốc tiếp theo sẽ đến trong năm 2026 và 2027. Theo kinh nghiệm, đối với việc sử dụng AI trong sản phẩm, điều này tạo ra cùng những nền tảng giống nhau – tổng quan hệ thống, đánh giá rủi ro, trách nhiệm, tài liệu. Chi tiết được trình bày trên các trang của chúng tôi về ISO 42001 và về EU AI Act.
`[KIỂM TRA: Ở đây một ví dụ cụ thể, đã được phê duyệt, từ thủ tục của Netgen sẽ rất giá trị – chẳng hạn một quy định về việc xử lý dữ liệu khách hàng trong các công cụ AI, được hình thành từ quá trình xây dựng AIMS. Chỉ đưa vào khi có sự đồng ý của Netgen, vì nội dung mô tả hoạt động của họ.]`
Điều gì diễn ra giữa các cuộc đánh giá
Phần thường bị thiếu nhất trong các nghiên cứu điển hình lại là phần quan trọng nhất: Một chứng chỉ có hiệu lực ba năm kể từ ngày đánh giá – ở Netgen là đến ngày 7 tháng 5 năm 2029. Chính trong ba năm này, hệ thống sẽ được định đoạt là nó sống hay đóng bụi trong tủ tài liệu.
Điều được dự kiến cho việc đó là duy trì liên tục trên nền tảng thay vì hồi sức gấp trước cuộc đánh giá kế tiếp: các nhiệm vụ có thời hạn, tài liệu có người chịu trách nhiệm, một chương trình đánh giá nội bộ bao trùm cả bốn tiêu chuẩn và một cuộc xem xét của lãnh đạo thực sự là cơ sở ra quyết định cho ban giám đốc chứ không phải một biên bản dành cho chuyên gia đánh giá. Ai không muốn tự đảm nhận việc duy trì này thì làm việc với một đối tác trong mạng lưới đối tác của chúng tôi với vai trò chuyên gia đánh giá nội bộ – ở chúng tôi được gọi là „người lo việc“.
`[KIỂM TRA: Tình trạng giai đoạn giám sát tại Netgen vào ngày phát hành (11/11/2026) – đã có cuộc đánh giá nội bộ hay xem xét của lãnh đạo nào trong chu kỳ mới chưa? Đề xuất: bổ sung một câu về tình trạng thực tế, điều đó làm cho phần này vững chắc thay vì chỉ mang tính chương trình.]`
Những gì chúng tôi rút ra cho các dự án khác
Ba quan sát từ đó đã được xác nhận trong các thủ tục khác:
- Phạm vi áp dụng là quyết định đắt nhất ở giai đoạn đầu. Với bốn tiêu chuẩn, nó quyết định khối lượng công việc theo hệ số bốn.
- Trình tự quyết định tốc độ. Trước là các chương chung, sau đó là các phần riêng theo tiêu chuẩn – làm ngược lại sẽ sinh ra công việc gấp đôi.
- Cái đã có đáng giá hơn cái mới. Thời gian tiết kiệm được đến từ việc sắp xếp thực hành hiện có, không phải từ việc phát minh các quy trình mới.
`[KIỂM TRA: Nếu có số liệu kinh nghiệm cụ thể về thời gian tiết kiệm so với bốn thủ tục riêng lẻ (ngày đánh giá, ngày công), xin bổ sung ở đây kèm bằng chứng. Tôi đã chủ ý không viết con số phần trăm nào, vì nó chưa được chứng minh.]`
Kết luận
Bốn tiêu chuẩn trong một hệ thống và khoảng ba tháng đến khi được chứng nhận – điều đó là khả thi, nhưng không phải là lời hứa cho mọi doanh nghiệp. Điều kiện tiên quyết là một doanh nghiệp đã làm việc có cấu trúc, và một quyết định xem bốn tiêu chuẩn như một thể chung ngay từ đầu.
Điều có thể khái quát hóa là logic đằng sau đó: Cấu trúc nền tảng chung của các tiêu chuẩn không phải lý thuyết, mà là một đòn bẩy thực sự. Ai sử dụng nó thì trả công cho phần nền tảng một lần thay vì bốn lần. Và ai lấy doanh nghiệp của chính mình làm sân thử nghiệm thì nên công khai điều đó – vì vậy phần công bố trong bài viết này nằm ở đầu chứ không phải trong dòng chữ nhỏ.
Bước tiếp theo của bạn: Hãy tính thử giá trọn gói cho các tiêu chuẩn của bạn trong công cụ tính chi phí – từ tiêu chuẩn thứ hai là 149 thay vì 179 euro mỗi tháng – hoặc xem một hệ thống quản lý tích hợp được xây dựng như thế nào.
Đọc thêm:
