客户审核要资料，哪些能给、哪些不能给？——成文信息密级与外发管控五步法

“你们的质量手册发我一份吧。”“把控制计划、PFMEA、作业指导书打包发过来，我们要做供应商评估。”“招标文件要求提供最近三年的检验数据统计。”

质量人一年里会接到很多次这类请求。给吧，工艺参数、良率水平、成本结构就这么流出去了；不给吧，客户审核当场开一条“不配合”，招标直接被扣分。某企业就吃过一次暗亏：客户审核后要求提交整改证据，质量工程师图省事，把控制计划连同内部良率分析的那一页一起发了过去。两个月后，同行的报价单上出现了几乎一样的工艺路线。文件确实发出去了，但“这份东西谁能看、能给谁、给到哪一层”，从头到尾没人定过规矩。

真正的问题从来不是“保密还是配合”的二选一。多数企业把成文信息管理只做成了两件事：审批和发放。版本对不对、现场有没有旧版、回收有没有对账，这些还能管住；但“这份文件属于谁的信息资产、可以给谁看”，几乎是一片空白。ISO 9001 在 7.5.3.1 里其实写得很清楚：成文信息控制要覆盖“分发、访问、检索和使用”，要“防止失效版本的非预期使用”；到 8.4.3，又要求与外部供方沟通的信息必须受控；而 7.5.3 的注释里明确提到“防止泄密”。换句话说，密级与外发管控不是 ISO 之外额外加的合规动作，它本来就是成文信息控制的应有之义，只是被大多数企业漏掉了。

一、分级之前，先想清楚“三个可”

成文信息控制的目标，可以拆成三个平行的“可”：

• 有效性可证：现场用的是有效版本，旧版不误用——这是大家最熟悉的维度。
• 可获取性可达：该看的人随时能找到、能检索、能调阅——这决定了体系是不是“活的”。
• 保密性可控：不该看的人看不到、不该外发的出不去——这是最容易被忽略的维度。

三个“可”之间存在天然张力。保密做到极端，文件锁进柜子、电子档只给部长权限，结果是审核员要三份文件等半小时，工程师宁可按老习惯干活，体系文档彻底变成“墙上文件”；反过来，把“配合”做到极端，谁要都给、要什么给什么，公司多年积累的工艺 know-how 就成了公开课。密级与外发管控的本质，是在这两端之间划出一条有依据、可解释、可追溯的线。

划这条线的原则叫按需知悉（need to know），而不是按级别、按资历、按“大家都是一家人”来分。判断一份文件该给谁，只需要问三个问题：

1. 这个人/这个组织需要用这份信息完成什么工作？ 与工作无关的，一律不给，哪怕他是内部员工。
2. 拿到之后泄露的后果是什么？ 后果决定密级，密级决定控制强度。
3. 给这一层的风险，我能承受吗？ 承受不了就往上收一级，或者用脱敏版本替代。

这三问的价值在于，它把“要不要给”从一个凭感觉、看交情的判断，变成一个能写进流程、能在客户面前解释清楚的规则。客户审核问“为什么这份不给”，你能回答“这份包含工艺参数，属于内部级，客户版本是脱敏后按最小必要原则提供的”，和回答“领导说不能给”，是完全不同的两个结果。

二、密级怎么定：四级模型与判定口径

分级不需要太复杂，四个级别足够覆盖绝大多数制造企业。分级的关键不是名字好不好听，而是每一级都有明确的判定问题和配套的载体要求。

定级时建议守住两条口径。第一，就高不就低，且写在文件里。分级结论必须落到《成文信息清单》的“密级”一栏，而不是只存在于某个人的脑子里。清单里同时记录文件编号、版本、受控状态、存放位置、责任人、密级——这张表就是后面所有外发审批的依据。第二，分级结果要能被客户理解，但不能被客户重置。客户常会要求“把你们的全套体系文件发过来做审核”。正确的回应不是拒绝，而是把请求拆开：公开与内部级的程序文件可以给，秘密级的控制计划按客户审核的实际需要提供脱敏版，机密级的内容以现场查阅、不可带走的方式满足审核需求。既满足审核的实质目的，又不把公司的信息资产整体交出去。

顺带一句，客户的图纸、顾客提供的工艺文件属于 8.5.3 顾客财产，管理上要单独标识、单独归档、按客户指定的密级对待，丢失或泄露对客户是违约，对企业是赔偿。

三、外发管控五步法

分级只是把线画出来，真正防止信息外流的是外发过程中的动作。以下五步按顺序推进，一套走下来通常 4～6 周可以完成第一轮。

第一步：清点与定级，出《成文信息清单》。 从三个来源收集：受控文件主清单、各部门正在使用但未受控的文件（这类往往是重灾区）、电子共享盘里的目录树。逐份打上密级，标注责任人和存放位置。清点不必追求一次完美，先覆盖控制计划、PFMEA、工艺文件、图纸、检验数据这五类高风险对象，就能挡住八成以上的泄密场景。

第二步：定出口与授权矩阵。 明确“谁能批、批到哪一层”，并且只允许一个对外出口——通常设在质量部或技术管理岗，避免各部门自行外发、事后无人知晓。授权矩阵建议直接写成表格：

第三步：脱敏与外发专用副本制作。 外发版本绝不能是内部版本的“另存为”。标准动作有四条：删——删掉与请求事由无关的页（成本页、良率页、其他客户信息、内部备注列）；泛化——把精确参数改为区间或等级（如“Cpk≥1.33”替代实际 1.72）；标识——每份外发件加唯一编号与“外部提供，不得转发”字样，电子件加水印（接收方名称＋日期）；限期——在文件或邮件中明确用途与有效期，例如“仅用于本次供应商评估，30 日内反馈意见”。某企业把这三条做成了一份《外发文件脱敏检查表》，五项打钩才能发出，外发件泄密风险明显下降。

第四步：留痕与台账。 每一次外发都要留下可查的记录：请求方与事由、提供文件的编号与本方版本、密级、脱敏情况、交付方式（邮件/纸质/系统下载链接）、交付日期、约定用途与回收要求。台账的价值在两处体现：一是客户后续追问“你们某版本控制计划什么时候给过我们”，能立刻答上来；二是发现异常外流时，能快速缩小范围，定位到具体交付批次。

第五步：回收、退出与销毁闭环。 纸质外发件要在约定事项结束后回收并做回收对账，回收不了的要书面确认处置方式；电子件到期关闭下载链接、撤回复印版本。更关键的是两类“退出”：员工离职时，回收文件权限、清理本地副本、必要时签保密确认；外部供方合作终止时，要求其返还或销毁公司提供的受控文件，并索取书面确认。这两处不封口，前面四步的努力会在半年内被抵消掉。

四、最容易踩的六个坑

坑一：把“保密”等同于“不给”。 客户审核要文件，一律以“内部资料”挡回去，短期看是保住了信息，长期是把客户关系推向对立面。分级的目的是精准授权，不是全面封锁。

坑二：只有一个密级。 要么所有文件都“内部资料”，要么都“机密待批”，结果是所有文件走同一条审批路径，重要的批不过来，不重要的卡在半路，最后大家绕开流程私下发。

坑三：外发不控版本。 客户拿到的是三个月前的旧版控制计划，按旧版要求做来料检验，判退一批合格料，索赔单直接寄到公司。外发件必须在文件名和正文页眉同时标注版本与日期，并与内部有效版本对应留档。

坑四：电子权限跟着岗位走、离职不回收。 共享盘权限一次开通、终身有效，人员转岗后仍能访问原部门全部文件，离职半年账号还活着。权限应至少每年复核一次，离职流程中把“权限回收”设为强制节点。

坑五：水印和编号只加在纸质件上。 纸质件管得很严，PDF、Excel 裸奔外发，一张截图就能绕过全部控制。电子件的外发控制强度不应低于纸质件。

坑六：只做审批、不做台账。 审批单签得很齐，但没人知道到底给谁发过什么。等到客户投诉信息泄露，企业既查不出源头，也拿不出“我们已尽到管控义务”的证据，谈判桌上完全被动。

五、一个案例：两天时间，堵住一个出口

某汽车零部件企业，员工 400 余人，二级供应商。一次客户过程审核后，开出两条不符合：一是“未能提供成文信息分发与访问控制的证据”，二是“外部提供的信息未验证其充分性”。审核组长同时提出，希望企业把控制计划与工艺文件打包提供，用于客户方的供应商能力评估。

企业最初的反应是照单全发——审核已经在手上了，客户要什么就给什么。质量经理做了一件事改变了走向：他先花半天时间把待发文件按类别过了一遍，发现压缩包里除了控制计划，还包含工艺参数明细、近三个月的过程能力数据、以及一份内部会议纪要（其中提到了两条产线的实际良率与主要客户占比）。

接下来的两天，企业做了三件事。第一，把请求拆成三类：程序文件与作业指导书按原版提供；控制计划删除内部备注列与产能信息，保留客户审核需要的特性、规格、频次、反应计划；工艺参数与良率数据不提供，改为由质量经理与客户工程师在线上会议中口头说明关键控制策略，会后只发一页结论性摘要。第二，为本次外发建立了唯一编号与台账，记录提供范围、版本、交付日期与约定用途，并在邮件中写明“仅用于本次供应商能力评估”。第三，把这三条动作固化成《外发文件脱敏检查表》与授权矩阵，纳入文件控制程序，作为两条不符合的纠正措施证据提交。

审核结果：两条不符合按计划关闭，客户非但没有因为范围收敛而不满，反而在下一轮评审中把该企业列为“文件管理较规范”的样例。企业随后统计，当年的外发文件中，含内部参数的比例从整改前的约七成降到了不足两成，而对外交付的审核配合时长并没有明显增加——因为清点、脱敏、留痕这三步做顺了，反而比过去“临时找、随手发”更快。

文件管控的最高水平，不是把所有东西锁起来，而是任何一份文件都能说清“归谁、谁能看、给谁看过”——分级管住入口，外发管住出口，台账管住痕迹。

文件管得住，先分级再定出口

知识编号：2.3.1

版本：v20261002

作者：卓越质量智库 卓越质量智库致力于为质量管理从业者提供系统化的专业知识、方法论与实战工具，助力企业质量能力持续提升。