ISO9001条款深度解读（20）｜8.4 外部提供的过程、产品和服务的控制：供应商管控全链条

一、条款原文要点

8.4 由三小节构成，内在逻辑是"定准则、定控制、定信息"，三节缺一，链条就断。

8.4.1 总则：组织应确定对外部提供的过程、产品和服务实施的控制，使其符合要求。组织应确定并实施对外部供方的评价、选择、绩效监视和再评价的准则；应将这些准则以及按准则所采取的措施保留成文信息。

8.4.2 控制类型和程度：组织应确保外部提供的过程、产品和服务不会对组织持续地提供合格产品和服务的能力产生不利影响。为此应确定对外部供方及其提供的输出实施的控制，并至少考虑两个方面：一是外部提供的过程、产品和服务对组织持续满足顾客要求和适用的法律法规要求能力的影响；二是外部供方自身所实施控制的有效性。组织应确定必要的验证或其他活动，以确保外部提供的过程、产品和服务满足要求。

8.4.3 提供给外部供方的信息：组织应与外部供方沟通其要求，并确保所沟通的要求是充分和适当的。要求应包括：拟提供的过程、产品和服务；批准或放行的要求，包括方法、过程和设备；能力要求，包括人员资格；外部供方与组织的接口和相互作用；组织拟实施的控制与监视；组织拟在外部供方现场实施的验证或确认活动。以上沟通应保留成文信息。

需要特别注意：条款并不要求必须保留一份名为"合格供方名录"的文件，但明确要求准则本身及按准则采取的措施都要留证。

二、意图解读

第一，"管采购"升级为"管风险外溢"。 外包不等于责任外移。顾客不会因为零件是别人做的就降低对整机的期望，所以标准把外部提供的过程、产品和服务直接纳入组织自身的过程管理范畴，与 4.4 过程方法一脉相承——只要进入你的产品实现流程，就必须被识别、被赋予准则和控制。

第二，控制强度必须与影响程度匹配。 8.4.2 用"影响"与"供方自身控制有效性"两个维度来定控制类型和程度，这是对"一刀切"管控方式的直接否定。同样是紧固件，非受力位置的普通螺钉与安全关键位置的螺钉，若使用同一套进货检验方案，本质上就是没有做控制设计。

第三，控制可以分工，但不能放弃。 标准允许把一部分控制交给供方自检，前提是你已经评估了供方控制的有效性并能获得证据。把控制让渡出去却拿不到证据，等于把质量交给了运气。

第四，8.4.3 的深层含义是把"要求"变成"可交付的约定"。 大量供应商问题的根因不在供应商，而在组织从未把自己的要求清楚、完整地传出去：图纸上的特殊特性没传、检验方法没传、变更通知义务没写、现场验证权没约定，事后追责自然无力。

三、落地做法

第一步，分类分级。 按外购对象对最终产品的影响程度（安全、功能、外观）结合工艺成熟度和可替代性，把供方划为 A/B/C 三级，明确各级在准入方式、控制方式、监视频次上的差异，形成分级规则表。

第二步，把准则写成可执行条款。 评价、选择、绩效监视、再评价四类准则都要落成具体维度：评分项与权重、准入阈值、绩效指标与目标值、复评周期、触发加严或淘汰的条件。准则与每次实际评价记录一并留证，避免只有名单没有数据。

第三步，设计控制方案。 对每一级供方同时确定"组织侧控制"（来料检验、抽样方案、驻厂检验、二方审核、首件确认、文件先行审批）与"供方侧控制"（自检、过程能力监控、防错措施、出货报告），并明确证据形式与保存要求。关键件宜采用双重控制，普通辅料可简化但要有依据。

第四步，打通信息传递闭环。 把采购合同、技术协议、质量协议中的要求逐条落到图纸、检验指导书、包装与标识规范、变更通知单等具体载体上，检查是否存在"合同里有、执行文件里没有"的断层；对口头沟通的关键要求补充书面确认。

第五步，绩效监视与再评价。 用批次合格率、不良率、交付准时率、异常响应时长、纠正措施按期关闭率等指标定期评价，输出明确处置：维持、加严、辅导帮扶、限期整改、暂停、淘汰。

四、审核员视角

常见发现一：合格供方名录只有名单，没有准则。 审核员通常会索取近期的供方评价记录与再评价周期，若拿不出评分依据或绩效数据，即判定 8.4.1 的准则未形成成文信息。

常见发现二：控制类型和程度"一刀切"。 关键功能件与普通辅料的进货检验项目、抽样方案、检验频次完全相同，且无法说明是否考虑过供方自身控制的有效性，属于 8.4.2 控制确定不充分。

常见发现三：8.4.3 沟通要求不完整。 采购订单只含品名、数量、单价、交期，缺失验收与放行方法、人员资格要求、变更通知义务、组织现场验证权等条款；甚至出现组织要求进厂验证而被供方以"合同未约定"为由拒绝的情况。

常见发现四：特殊特性传递断链。 顾客图纸或技术规范中的关键特性、安全特性未在传递给供方的图纸、检验规范中标识出来，供方按普通特性控制，最终在装配或客户端暴露。

常见发现五：外包过程被当成内部工序。 电镀、热处理、清洗、校准、软件开发等外包活动未纳入外部提供的控制，既没有验证活动，也没有保留沟通要求，直接用"工序"标签掩盖了外部提供的事实。

常见发现六：变更失控。 供方更换原材料牌号、关键分供方、工艺参数或生产场地，组织未收到通知、也未做风险评估与再验证，现行控制实际上建立在过期信息之上。

典型误区：把 8.4 视为采购部一个部门的事；把供应商审核当作一次性的准入动作；以为签了质量协议就等于要求沟通到位；把供方自检报告直接当作放行依据，而不验证其数据可信度。

五、自检清单

• 对外部供方的评价、选择、监视、再评价准则是否成文、可执行，且有对应的实际记录可查？
• 是否按外部提供对象对产品与服务的影响程度、以及供方自身控制的有效性，差异化确定了控制类型和程度？
• 向外部供方沟通的要求是否覆盖放行方法、能力与资格、接口、组织拟实施的控制与监视、现场验证活动，并保留成文信息？
• 关键特性、安全特性是否随图纸与规范完整传递至供方，并在其检验文件中体现？
• 外包过程是否被识别为外部提供并纳入控制，供方变更是否设有通知义务与再验证流程？

外部提供的风险，最终由组织自己的体系承担。

知识编号：2.1.1

版本：v20260918

作者：卓越质量智库 卓越质量智库致力于为质量管理从业者提供系统化的专业知识、方法论与实战工具，助力企业质量能力持续提升。