Cập nhật đánh giá rủi ro định kỳ: Tần suất, trigger và quy trình review theo ISO 45001 Điều 6.1.2

Mở đầu

Risk Assessment không phải là tài liệu "lập một lần để đó". ISO 45001:2018 Điều 6.1.2.2 yêu cầu tổ chức xem xét lại đánh giá rủi ro và cơ hội khi có thay đổi ảnh hưởng đến chúng và duy trì chúng như thông tin dạng tài liệu. Trong thực tế, nhiều bệnh viện thực hiện Risk Assessment tốt lần đầu nhưng sau đó Risk Register trở thành tài liệu tĩnh không phản ánh thực tế thay đổi.

Hai loại cập nhật

1. Periodic Review (Xem xét định kỳ theo lịch)

Tổ chức lịch xem xét toàn bộ hoặc từng phần Risk Register, không phụ thuộc vào có sự kiện cụ thể hay không.

Tần suất đề xuất theo loại mối nguy/khu vực:

Loại	Tần suất	Lý do
Mối nguy sinh học trong phòng XN	1 lần/năm	Thay đổi loại xét nghiệm, tác nhân mới
Mối nguy hóa chất (CSSD, Dược)	1 lần/năm	Thay đổi sản phẩm, nồng độ sử dụng
Bức xạ ion hóa	Cập nhật khi có kết quả liều kế hàng quý/năm	Gắn với chu trình đo liều
Mối nguy công thái học	1–2 lần/năm	Thay đổi quy trình chăm sóc, thiết bị
Mối nguy chung (toàn bệnh viện)	1 lần/năm	Kết hợp với Management Review

2. Triggered Review (Xem xét do sự kiện kích hoạt)

Bất kể lịch định kỳ, một số sự kiện phải kích hoạt review Risk Assessment ngay lập tức:

Trigger	Phạm vi review
Tai nạn lao động hoặc sự cố nghiêm trọng	Risk Assessment của công việc/khu vực liên quan
Near-miss có nguy cơ cao	Tương tự phần liên quan
Thay đổi quy trình làm việc	RA cho quy trình mới
Mua thiết bị mới	RA cho thiết bị và công việc liên quan
Cải tạo, xây dựng, thay đổi bố trí mặt bằng	RA cho khu vực bị ảnh hưởng
Nhân viên mới, bao gồm cả nhà thầu	Xác nhận RA hiện tại đủ cho nhóm này
Thay đổi pháp lý (quy chuẩn mới, ngưỡng mới)	RA liên quan đến loại mối nguy
Kết quả quan trắc môi trường LĐ mới có số liệu vượt ngưỡng	RA cho hazard đó
Sau diễn tập khẩn cấp (nếu phát hiện lỗ hổng)	RA cho tình huống khẩn cấp liên quan

Quy trình cập nhật Risk Register

Bước 1: Xác định phạm vi cần cập nhật

Không cần xem lại toàn bộ Risk Register mỗi lần — xác định rõ phần nào cần cập nhật dựa trên trigger hoặc lịch review.

Bước 2: Thu thập thông tin thay đổi

Thông tin cần thu thập tùy theo trigger: kết quả điều tra sự cố, thông số kỹ thuật thiết bị mới, kết quả quan trắc môi trường mới, yêu cầu pháp lý cập nhật.

Bước 3: Đánh giá lại mối nguy và mức rủi ro

So sánh mối nguy và mức rủi ro hiện tại với thông tin mới. Có xuất hiện mối nguy mới không? Mức rủi ro của mối nguy hiện tại có thay đổi không (tốt hơn hoặc xấu hơn)?

Bước 4: Cập nhật tài liệu

Ghi nhận thay đổi trong Risk Register: ngày cập nhật, người thực hiện, mô tả thay đổi. Dùng kiểm soát phiên bản — không xóa phiên bản cũ mà đánh dấu "đã thay thế" và lưu giữ.

Bước 5: Truyền thông thay đổi

Thông báo đến các bộ phận liên quan về thay đổi trong đánh giá rủi ro, đặc biệt khi có mối nguy mới hoặc mức rủi ro tăng lên.

Tích hợp với Management Review

Kết quả cập nhật Risk Assessment cần được tổng hợp và trình bày trong Management Review hàng năm (bài 4.1.13) như một đầu vào bắt buộc — mục "thay đổi về bối cảnh ảnh hưởng đến hệ thống OH&S" (ISO 45001:2018 Điều 9.3 b).

Kết luận

Risk Register sống là Risk Register được cập nhật định kỳ và sau các sự kiện kích hoạt. Tích hợp việc cập nhật RA vào các quy trình hiện có (sau sự cố, sau thay đổi thiết bị, trong Management Review) thay vì xem đây là hoạt động riêng biệt — đây là cách hiệu quả nhất để duy trì Risk Assessment cập nhật mà không tốn thêm nhiều nguồn lực.

Tuyên bố miễn trừ trách nhiệm: Tần suất và trigger review trong bài mang tính tham khảo. Tần suất phù hợp phụ thuộc vào mức độ nguy cơ thực tế và tốc độ thay đổi của môi trường làm việc tại từng cơ sở y tế.

Tham khảo thêm

Risk Assessment trong bệnh viện: Khái niệm, khung phương pháp và lộ trình thực hiện

Trong một ca trực bình thường, điều dưỡng đẩy xe thuốc qua hành lang ướt sau khi lau sàn, kỹ thuật viên xét nghiệm xử lý mẫu máu không đủ găng tay phù hợp, nhân viên CSSD xếp dụng cụ vào máy hấp theo tư thế cúi thấp lặp đi lặp lại. Không có sự cố nào xảy ra hôm đó — nhưng mỗi tình huống đó đều là mối nguy chưa được kiểm soát. Risk Assessment (đánh giá rủi ro) là quy trình có hệ thống để nhận diện những mối nguy như vậy trước khi chúng gây ra sự cố, đánh giá mức độ rủi ro, và quyết định biện pháp kiểm soát phù hợp. Đây là nền tảng kỹ thuật của toàn bộ hệ thống OH\&S — không có Risk Assessment tốt, mọi chính sách và chương trình OH\&S khác đều thiếu căn cứ thực tế.

Risk Matrix: Xây dựng ma trận rủi ro phù hợp với quy mô và đặc thù bệnh viện

Sau khi nhận diện được danh sách mối nguy, bước tiếp theo là đánh giá mức độ rủi ro của từng mối nguy để quyết định ưu tiên kiểm soát. Risk Matrix (ma trận rủi ro) là công cụ phổ biến nhất để thực hiện điều này — đơn giản, trực quan, và dễ áp dụng ngay cả khi chưa có dữ liệu định lượng đầy đủ. Tuy nhiên, Risk Matrix "off-the-shelf" từ tài liệu công nghiệp thường không phù hợp trực tiếp với bệnh viện — định nghĩa mức độ "nghiêm trọng" và "khả năng xảy ra" cần được điều chỉnh cho bối cảnh y tế. Bài này hướng dẫn xây dựng Risk Matrix phù hợp với đặc thù bệnh viện VN.

Internal Audit OH&S: Xây dựng chương trình kiểm toán nội bộ theo ISO 45001 Điều 9.2

Kiểm toán nội bộ OH&S (internal audit) là quá trình độc lập, có hệ thống để xem xét liệu hệ thống OH&S có đang vận hành như thiết kế và đạt được kết quả mong muốn. Đây khác với kiểm tra hàng ngày hay quan sát Safety Walk của lãnh đạo — kiểm toán nội bộ mang tính hệ thống, có tiêu chí cụ thể, và tạo ra hồ sơ chính thức. ISO 45001:2018 Điều 9.2 yêu cầu tổ chức thực hiện kiểm toán nội bộ OH&S theo kế hoạch để: đánh giá xem hệ thống có phù hợp với yêu cầu của tiêu chuẩn và yêu cầu của tổ chức hay không, và xem hệ thống có được thực hiện và duy trì hiệu quả hay không.

Quản lý thay đổi (Management of Change): Đánh giá rủi ro trước khi cải tạo, mua thiết bị mới

Nhiều sự cố OH&S trong bệnh viện xảy ra không phải trong công việc thường ngày mà sau khi có thay đổi — thiết bị mới được lắp đặt chưa có quy trình sử dụng an toàn, khu vực được cải tạo tạo mối nguy mới, hoặc nhân viên được chuyển sang vị trí mới chưa được đánh giá đủ năng lực với nguy cơ mới. Đây là khoảng trống mà Management of Change (MOC) nhắm đến. ISO 45001:2018 Điều 8.1.3 yêu cầu tổ chức kiểm soát các thay đổi đã lên kế hoạch và không có kế hoạch ảnh hưởng đến hiệu quả OH&S, bao gồm thay đổi sản phẩm, dịch vụ, quy trình, thiết bị, nhân lực, pháp lý và kiến thức về mối nguy.

Đầu việc

2. Nhận diện & đánh giá nguy cơ