Đánh giá nhà cung cấp theo ISO: dùng tiêu chuẩn nào, tránh lạm dụng

Đánh giá nhà cung cấp theo ISO là việc dùng chứng chỉ và hồ sơ đánh giá làm một tiêu chí có trọng số, không phải điều kiện loại. Chứng chỉ chứng minh nhà cung cấp có hệ thống quản lý được đánh giá độc lập; nó không chứng minh sản phẩm không lỗi hay mã nguồn an toàn.

Tóm tắt nhanh

• ISO 9001 nói về hệ thống quản lý chất lượng, không nói về chất lượng từng sản phẩm.
• ISO/IEC 27001 nói về hệ thống quản lý an toàn thông tin, không chứng minh mã nguồn không có lỗ hổng.
• Phạm vi chứng chỉ quan trọng ngang số hiệu: một chứng chỉ hẹp không bao phủ dự án của bạn.
• Dùng ISO như tiêu chí có trọng số 10 đến 15%, không dùng làm cổng loại.
• Nhà cung cấp chưa có chứng chỉ vẫn có thể đáng chọn nếu có bằng chứng quy trình thay thế.

Chứng chỉ ISO chứng minh điều gì

Một chứng chỉ ISO xác nhận rằng tổ chức đã thiết lập một hệ thống quản lý theo yêu cầu của tiêu chuẩn và hệ thống đó đã được một tổ chức đánh giá độc lập xem xét. Nó chứng minh có quy trình, có người chịu trách nhiệm, có ghi chép và có chu kỳ cải tiến. Đó là những thứ hữu ích khi đánh giá một nhà cung cấp phần mềm, vì phần lớn rủi ro trong dự án đến từ quy trình thiếu kiểm soát chứ không đến từ một dòng mã sai.

Nhưng chứng chỉ không chứng minh ba điều thường bị gán cho nó. Thứ nhất, nó không chứng minh sản phẩm không có lỗi: một quy trình tốt vẫn có thể tạo ra sản phẩm lỗi, chỉ là lỗi được phát hiện và xử lý có hệ thống hơn. Thứ hai, nó không chứng minh mã nguồn an toàn: an toàn thông tin là một hệ thống quản lý, không phải kết quả quét lỗ hổng. Thứ ba, nó không chứng minh nhà cung cấp phù hợp với dự án: quy trình chuẩn không thay được kinh nghiệm trong lĩnh vực bạn cần.

Năm tiêu chuẩn hay gặp

ISO/IEC 25010 là mô hình phân loại thuộc tính chất lượng, không phải tiêu chuẩn để chứng nhận tổ chức, nên đừng tìm một chứng chỉ mang tên này.

CMMI là một mô hình trưởng thành quy trình, không phải tiêu chuẩn ISO. Nó thường xuất hiện trong cùng cuộc trao đổi, và việc phân biệt hai loại giúp bạn không so sánh sai: CMMI đánh giá mức độ trưởng thành của quy trình, còn ISO chứng nhận hệ thống quản lý đáp ứng yêu cầu.

Bốn câu hỏi kiểm tra một chứng chỉ

Một tấm ảnh chụp chứng chỉ treo trên website không đủ để kết luận. Cần kiểm bốn điểm.

Phạm vi chứng chỉ là gì? Chứng chỉ ghi rõ phạm vi hoạt động, ví dụ "phát triển phần mềm theo yêu cầu cho khách hàng trong nước" hoặc "cung cấp dịch vụ hạ tầng". Nếu dự án của bạn nằm ngoài phạm vi đó, chứng chỉ không áp dụng.

Tổ chức đánh giá có được công nhận không? Chứng chỉ do một tổ chức đánh giá cấp. Tổ chức đó cần được một cơ quan công nhận, và thông tin này thường tra được trên website của tổ chức đánh giá hoặc cơ quan công nhận. Một chứng chỉ do đơn vị không được công nhận cấp không có cùng giá trị.

Chứng chỉ còn hiệu lực không? Chứng chỉ có thời hạn và cần đánh giá lại định kỳ. Kiểm tra ngày hết hạn và trạng thái hiện tại, không chỉ xem ngày cấp. Chứng chỉ bị tạm đình chỉ vẫn có thể xuất hiện trong hồ sơ năng lực.

Đơn vị nào được đánh giá? Với tổ chức nhiều chi nhánh, chứng chỉ có thể chỉ bao phủ một địa điểm hoặc một pháp nhân. Nếu đội dự án của bạn nằm ở đơn vị khác, chứng chỉ không nói lên điều gì về đội đó.

Bốn câu này có thể hỏi trực tiếp và yêu cầu gửi bản sao chứng chỉ kèm phụ lục phạm vi. Nhà cung cấp minh bạch trả lời được ngay; bên chỉ có logo sẽ né câu hỏi về phạm vi.

Cách đưa ISO vào thang điểm

ISO nên là một tiêu chí trong thang điểm, không phải điều kiện tiên quyết. Trọng số hợp lý là 10 đến 15% tổng điểm, tuỳ mức độ nhạy cảm của dự án.

Tiêu chí con thứ tư phân biệt một hồ sơ thật với một hồ sơ hình thức. Một tổ chức có chứng chỉ nhưng không có phát hiện nào trong nhiều chu kỳ đánh giá thường là dấu hiệu đánh giá hình thức, hoặc hệ thống quá nhỏ để phát hiện vấn đề. Một báo cáo có vài điểm không phù hợp và cách khắc phục rõ ràng đáng tin hơn một báo cáo trắng.

Với dự án có dữ liệu cá nhân hoặc thanh toán, nên tăng trọng số nhóm an toàn thông tin và đánh giá riêng bằng bảng câu hỏi bảo mật.

Ba cách lạm dụng chứng chỉ

Dùng logo thay cho phạm vi. Website hiển thị logo ISO nhưng không nêu phạm vi, không nêu tổ chức đánh giá, không nêu ngày hiệu lực. Đây là cách phổ biến nhất để tạo ấn tượng mà không cung cấp thông tin kiểm được.

Đánh đồng ISO 9001 với chất lượng sản phẩm. Câu "chúng tôi đạt ISO 9001 nên quy trình đảm bảo không có lỗi" là một suy luận sai. ISO 9001 yêu cầu có quy trình đo lường và cải tiến, không cam kết kết quả. Một sản phẩm vẫn có thể lỗi dù quy trình đạt chuẩn.

Dùng chứng chỉ để lấp chỗ trống kinh nghiệm. Chứng chỉ nói về hệ thống quản lý, không nói về kinh nghiệm trong lĩnh vực của bạn. Một nhà cung cấp có chứng chỉ nhưng chưa từng làm hệ thống tương tự vẫn là lựa chọn rủi ro; ngược lại, bằng chứng dự án tương tự có thể quan trọng hơn chứng chỉ.

Ba cách lạm dụng này không phải hành vi cố ý mà xuất phát từ việc cả hai bên dùng chứng chỉ như tín hiệu nhanh thay vì tiêu chí cần đọc kỹ.

Khi nhà cung cấp chưa có chứng chỉ

Phần lớn nhà cung cấp phần mềm vừa và nhỏ chưa có chứng chỉ ISO. Điều đó không tự động loại họ. Cần thay bằng chứng chỉ bằng bằng chứng quy trình cụ thể.

Yêu cầu xem một quy trình đang chạy. Ví dụ quy trình xử lý lỗi từ lúc phát hiện đến lúc đóng, kèm một phiếu thật đã lược bỏ thông tin nhạy cảm. Quy trình giấy thường đẹp hơn quy trình thật; phiếu thật cho thấy quy trình có được dùng hay không.

Yêu cầu bằng chứng kiểm thử. Không phải ảnh chụp màn hình báo cáo, mà là một buổi chạy thử bộ kiểm thử trên máy của bạn hoặc chia sẻ màn hình. Bằng chứng kiểm thử nói nhiều hơn chứng chỉ về chất lượng thực tế.

Hỏi về cách xử lý sự cố gần nhất. Câu hỏi cụ thể về một sự cố đã xảy ra, nguyên nhân, thời gian phát hiện và biện pháp phòng ngừa cho thấy năng lực vận hành thật. Câu trả lời chung chung là dấu hiệu quy trình chưa được dùng.

Cách này mất thời gian hơn xem logo nhưng đo được năng lực của đội sẽ làm dự án, thay vì năng lực của bộ phận chuẩn bị hồ sơ.

Câu hỏi thường gặp

Có chứng chỉ ISO 9001 thì có nghĩa là nhà cung cấp làm phần mềm tốt hơn không?

Không có kết luận trực tiếp. ISO 9001 chứng minh có hệ thống quản lý chất lượng được đánh giá độc lập. Chất lượng sản phẩm còn phụ thuộc vào năng lực kỹ thuật, kinh nghiệm và cách đội dự án vận hành. Nên xem chứng chỉ là điểm cộng nhỏ, không thay thế kiểm tra kỹ thuật.

ISO/IEC 27001 có đảm bảo mã nguồn không bị tấn công không?

Không. ISO/IEC 27001 chứng minh tổ chức có hệ thống quản lý an toàn thông tin theo phạm vi được chứng nhận. Nó không đánh giá từng dòng mã, không chứng minh không có lỗ hổng và không thay thế kiểm thử xâm nhập. Với dự án nhạy cảm, vẫn cần đánh giá bảo mật riêng ở mức thiết kế và mã nguồn.

Nên đặt trọng số bao nhiêu cho chứng chỉ trong thang điểm?

Thường từ 10 đến 15% tổng điểm, tách thành nhóm tiêu chí con thay vì một điểm duy nhất. Dự án có dữ liệu cá nhân hoặc thanh toán có thể tăng trọng số nhóm an toàn thông tin, nhưng không để chứng chỉ quyết định toàn bộ. Trọng số phải được chốt trước khi chấm.

Nhà cung cấp không có chứng chỉ có nên bị loại ngay không?

Không nên. Cần thay bằng chứng chỉ bằng bằng chứng quy trình cụ thể: phiếu xử lý lỗi thật, buổi chạy thử bộ kiểm thử, bảng kê giấy phép, cách xử lý sự cố gần nhất. Nếu các bằng chứng này đầy đủ và nhất quán, nhà cung cấp không có chứng chỉ vẫn có thể đáng chọn; nếu không cung cấp được bằng chứng nào, đó mới là lý do loại.

Cập nhật và kiểm chứng

Cập nhật tháng 11/2026. Số hiệu và năm phiên bản của các tiêu chuẩn được nêu theo bản đang lưu hành tại thời điểm rà soát; doanh nghiệp nên kiểm tra lại trên website của tổ chức tiêu chuẩn trước khi dùng trong hồ sơ mua sắm. Bài viết mang tính tham khảo, không phải tư vấn pháp lý hay tư vấn chứng nhận.

Bài viết liên quan: phần mềm đánh giá nhà cung cấp, đội ngũ phát triển phần mềm, chọn nhà cung cấp và quy trình phát triển phần mềm là gì.

Nếu bạn đang xây thang điểm nhà cung cấp và cần một bên trả lời được các câu hỏi về quy trình thay vì chỉ đưa logo, WinSell xây dựng phần mềm theo yêu cầu theo bốn giai đoạn Khám phá, Đặc tả, Xây dựng, Bàn giao và đo lường — xem dịch vụ của WinSell. Báo giá sau khi chốt phạm vi.