IATF16949实战（15）｜供应商二方审核与开发：风险分级表、审核频次矩阵与升级触发线
某企业质量部的年度二方审核计划表上写着 87 家供应商，翻到最后一列——审核频次一栏，87 家全是"每年一次"。于是审核员全年在外跑了 87 趟，每家平均待半天：上午看文件、下午走现场、末次会议握手告别。而真正出问题的那家小五金件供应商，因为就在隔壁镇，反而被顺手审了三天。
年末复盘，数据摆上桌：全年 70% 的来料不良金额来自 6 家供应商，这 6 家的审核结论全是"合格，无严重不符合"。审核计划没有错在"审了谁"，错在"凭什么这么审"——频次按人头平均分，深度按距离远近定，评分靠审核员当天的手感，升级靠质量经理拍桌子。本文把这四件事都换成可算的规则：一张风险分表决定审谁、一个频次矩阵决定审几次审多深、一套评分卡决定好坏、一条触发线决定什么时候升级。
一、审谁：五维风险分把 87 家排出先后
二方审核的第一道浪费，是把有限的人日平均撒在一张几亿元的采购盘上。分级不该按"战略/一般"这类形容词，而应按风险分——五个维度加权，每一个维度都能从系统里取到数。
| 维度 | 权重 | 1 分（低） | 3 分（中） | 5 分（高） | 取数来源 |
|---|---|---|---|---|---|
| 供应地位与采购额占比 | 25% | <1% 且可即时切换 | 1%～10% | >10%，或单一货源 | ERP 年度采购额、合格供方名录 |
| 质量绩效 | 30% | 来料 PPM<50 且 12 个月无客诉 | PPM 50～500，或 1 次一般客诉 | PPM>500，或严重客诉/导致停线 | 来料检验台账、上线不良、客诉台账 |
| 产品安全与特殊特性 | 20% | 无特殊特性 | 有 SC，无安全/法规特性 | 含安全特性或法规特性 | 图纸特性标注、BOM、控制计划 |
| 过程复杂度与特殊过程 | 15% | 组装、包装、简单分装 | 机加工、注塑、冲压 | 热处理、电镀、焊接、涂装等需 CQI 评估的过程 | 过程清单、工艺路线 |
| 可替代性 | 10% | ≥3 家合格备选 | 1～2 家备选 | 独家供货，或切换周期>6 个月 | 合格供方名录、切换验证周期 |
风险分 R = Σ（权重 × 维度分值），取值 1～5，按四档落地：
| 等级 | 风险分 R | 供应商画像 | 资源投放原则 |
|---|---|---|---|
| Ⅰ 类 | ≥4.0 | 安全件/独家/高不良 | 审核主力，质量工程师定点跟进 |
| Ⅱ 类 | 3.0～3.9 | 重要件、绩效波动 | 年度覆盖，问题驱动加密 |
| Ⅲ 类 | 2.0～2.9 | 通用件、多家备选 | 文件评审为主，现场抽审 |
| Ⅳ 类 | <2.0 | 标准件、低值易耗 | 自评问卷 + 来料数据监控 |
两个容易踩的坑：一是只看采购额，把"买得多"当成"风险高"——采购额决定的是议价权，风险取决于失效后果；二是把"战略供应商"直接等同于"高风险"，战略供应商若绩效稳定、有多家备选，反而应该减少打扰、把资源放到 Ⅰ 类里那些真正会停线的独家件上。
二、审几次、审多深：频次矩阵与加审触发线
风险分落地成频次，才能进年度审核方案。三类型审核（体系/过程/产品）按等级组合：
| 等级 | 体系审核 | 过程审核 | 产品审核 | 单次人日 | 复审周期 |
|---|---|---|---|---|---|
| Ⅰ 类 | 每 12 个月 | 每 6～12 个月，必做 | 每季度 | 2～3 | 12 个月 |
| Ⅱ 类 | 每 24 个月 | 每 12 个月 | 每半年 | 1.5～2 | 12～18 个月 |
| Ⅲ 类 | 每 36 个月，或文件评审替代 | 每 24 个月 | 按需 | 1 | 24 个月 |
| Ⅳ 类 | 自评问卷 + 文件评审 | 触发式 | 触发式 | 0.5 | 36 个月 |
单次人日的估算法则（比"凭经验报两天"更可辩护）：基础 1 人日 + 每 3 个关键工序 0.5 人日，上限 4 人日；含一类特殊过程加 0.5 人日，含两类以上加 1 人日；首次审核（新供方）另加 0.5 人日用于体系文件核验。
周期之外，还要有一条"随时加审"的触发线，写进二方审核程序，避免每次靠开会决定：
- 新件 PPAP 提交前后（首次量产前必到现场）；
- 重大变更：场地搬迁、关键设备更换、分供方或材料变更、工艺参数窗口调整；
- 质量绩效：连续 2 个月 PPM 超过目标值 2 倍，或单月批次合格率低于 95%；
- 客户端事件：导致我方停线、客户端投诉或现场返回；
- 同类问题重复：同一失效模式 8D 关闭后再发；
- 审核有效性存疑：上次审核"零不符合"但当期不良集中爆发，直接升级为突击审核（不预告、不带供应商安排路线）。
三、三类审核怎么选：目的不同，抽样不同
| 项目 | 体系审核 | 过程审核（VDA6.3 思路） | 产品审核 |
|---|---|---|---|
| 回答的问题 | 体系是否建立并有效运行 | 某产品线的过程能力与风险控制是否到位 | 交付的产品是否满足图纸与规范 |
| 主要依据 | ISO 9001 / IATF 16949 条款、CSR | 过程流程图、PFMEA、控制计划、作业指导书 | 图纸、规范、检验标准 |
| 抽样对象 | 文件、记录、访谈 | 工序、工位、班次、换型 | 成品或在制品样本 |
| 输出 | 不符合项 + 体系成熟度 | 过程符合度评分 + 降风险措施 | 产品符合性结论 + 偏差清单 |
| 适用场景 | 新供方准入、体系换版、复审 | Ⅰ/Ⅱ 类例行、问题定位、变更后 | 新件首产、变更后、客诉复现 |
实操建议：Ⅰ 类供应商年度必做一次过程审核，体系审核只在准入、换版、复审时做；Ⅱ 类以过程审核替代体系审核；Ⅲ/Ⅳ 类用自评问卷 + 文件评审 + 来料数据三方交叉，现场只在触发时去。产品审核最容易漏，但它是唯一能验证"审核结论与实物一致"的手段——审核报告全绿、产品审核一测就超差的情况并不少见。
一天的时间怎么分，比审什么更影响深度。单日审核按四段切分，时间配比固定下来，可以防住"文件看太久、现场来不及"：
| 时段 | 内容 | 建议配比 | 产出 |
|---|---|---|---|
| 09:00～09:30 | 首次会议：说明范围、抽样规则、需要配合的数据 | 5% | 议程确认、对接人名单 |
| 09:30～10:30 | 文件与数据核验：变更清单、内审与 8D 台账、KPI 趋势 | 15% | 疑点清单（转现场验证） |
| 10:30～15:30 | 现场走查：按过程流走，每站对照疑点验证 | 60% | 证据页 + 照片编号 |
| 15:30～16:30 | 补证与末次会议：逐条确认事实、约定整改时限 | 20% | 不符合项清单、签字确认 |
关键纪律：文件段只做"找疑点"，不下结论；现场段必须走过程流而不是走参观路线，从原材料入库一直走到成品出货，中间不跳站；末次会议当场逐条读事实描述，让供方确认"事实是否准确"，避免事后扯"审核员理解有误"。
四、检查表：模块配比与提问设计
检查表不是条款摘抄，是审核思路的载体。一份 60～90 条提问的检查表，按模块固定配比，避免"文件看两小时、现场走半小时"：
| 模块 | 提问占比 | Ⅰ 类条数 | Ⅲ 类条数 | 核心内容 |
|---|---|---|---|---|
| 体系与文件 | 20% | 12～18 | 12 | 文件与执行一致性、内审与管理评审、培训有效性 |
| 过程控制（含 FMEA/CP 一致性） | 40% | 24～36 | 24 | 特殊特性传递、参数监控、反应计划、防错验证 |
| 测量与实验室 | 15% | 9～14 | 9 | 校准状态、MSA、实验室范围、方法与标准有效性 |
| 变更与追溯 | 15% | 9～14 | 9 | 变更通知、首件确认、批次追溯、分供方变更 |
| 改善与闭环 | 10% | 6～9 | 6 | 8D 根因深度、有效性验证、再发判定 |
提问设计三条原则：要证据不要表态（不问"有没有做"，问"拿给我看"）；问最近一次（不问制度怎么规定，问上周那次换型怎么做的）；问失败的那次（不问"合格率多少"，问"不合格的那批怎么处置的"）。
十条可直接抄用的示范提问：
| # | 提问 | 可接受证据 | 典型伪证 |
|---|---|---|---|
| 1 | 最近一次换型后首件谁确认、依据哪份文件、记录在哪 | 首件记录含实测值、确认人签名、与控制计划频次一致 | 只有一枚"OK"签名，无实测数据 |
| 2 | 上季度这个工位出过的不良，现在靠什么防再发 | PFMEA 更新条目 + 防错装置 + 挑战件验证记录 | 只有一张培训签到表 |
| 3 | 关键特性 Cpk 近三个月走势，低于 1.33 时做了什么 | 控制图 + 反应计划执行记录 + 处置单 | 一份漂亮的 1.67 报告，无趋势数据 |
| 4 | 随机抽 3 把在用卡尺，核对标签、台账、校准报告 | 三者一致，报告在有效期内且由有资质实验室出具 | 标签齐全，报告属另一台设备 |
| 5 | 近 12 个月二级供应商有无变更，如何通知我方 | 变更清单 + 通知函 + 我方批准记录 | 口头承诺"没有变更" |
| 6 | 随手取一件红色标签不合格品，追它的处置单 | 隔离记录 + MRB 结论 + 处置后去向 | 处置单日期晚于审核当日 |
| 7 | 给定一个出货批号，2 小时内反查原材料批号与作业人员 | 追溯记录完整，实际耗时留痕 | 只有成品入库单，无料号对应 |
| 8 | 本月设备点检表缺失的日子怎么处理 | 缺失说明 + 补检记录 + 异常停机单 | 表格补齐，笔迹同日 |
| 9 | 特殊过程参数记录与 CQI 自评结论的差距项 | 参数曲线 + 自评报告 + 整改计划 | 自评报告全满分 |
| 10 | 上次内审开了几条不符合，抽 2 条看有效性验证 | 验证数据（连续批次/月数） | 只有"已整改"三个字 |
检查表管理有两条纪律：会前只发"审核范围与所需文件清单"，不发具体提问细节（发了就等于给答案）；现场用证据页记录，每条提问留"提问—证据编号—判定—条款号—照片号"，末次会议的每条结论都能回指到证据页，避免"当场说不清、事后补理由"。
五、评分卡：权重、算法与分档
现场审核分和月度绩效分是两把不同的尺子，必须分开记。评分卡按月算，四维加权，全部指标可由系统出数：
| 维度 | 权重 | 分项指标 | 满分 |
|---|---|---|---|
| 质量 | 40 | 来料 PPM（20）、批次合格率（10）、客诉与停线（10） | 40 |
| 交付 | 25 | 交付准时率 OTD（15）、超额运费次数（10） | 25 |
| 成本 | 10 | 价格竞争力与降价达成、COPQ 索赔配合 | 10 |
| 响应与改善 | 25 | 8D 响应与根因质量（12）、PPAP 准时率（5）、审核整改准时率（4）、配合度（4） | 25 |
PPM 得分按目标倍数分档（目标值记为 P0，例如 300）：
| 实际 PPM | 得分 | 说明 |
|---|---|---|
| ≤0.5×P0 | 20 | 显著优于目标 |
| 0.5～1.0×P0 | 16 | 达标 |
| 1.0～2.0×P0 | 10 | 轻度超标 |
| 2.0～4.0×P0 | 5 | 明显超标，进入观察 |
| >4.0×P0 | 0 | 触发加审与改善计划 |
算例：某供应商 PPM 620（目标 300，落在 2～4 倍档，得 10 分）；批次合格率 98.6%（得 8 分）；季度内 1 次一般客诉（得 7 分）；OTD 96%（得 12 分）；超额运费 2 次（得 6 分）；成本维度 8 分；8D 24 小时响应率 80%（得 12 分）；PPAP 准时（5 分）；审核整改准时率 90%（4 分）；配合度 4 分。合计 25 + 18 + 8 + 21 = 72 分，判 B 级。
| 等级 | 总分 | 处置 |
|---|---|---|
| A | ≥90 | 优选：新项目优先定点、可简化检验频次、可延长复审周期 |
| B | 75～89 | 合格：按计划复审，纳入改善跟踪 |
| C | 60～74 | 有条件合格：限期 90 天改善，加严来料检验 |
| D | <60 | 不合格：启动受控发运或新项目冻结，进入淘汰评审 |
一票否决项（不论总分，直接判 D）：隐瞒变更、伪造检验或校准记录、涉及安全/法规特性的重大不符合、导致我方停线或客户端召回的失效。
两把尺子要交叉读：评分卡低而审核分高，说明"能力在、执行散"，抓过程纪律；评分卡高而审核分低，说明"侥幸没出事"，抓体系短板——这种供应商最危险，往往在下一次变更后集中爆发。
六、升级：四档处置的触发条件与退出准则
升级机制的价值不在"罚"，在于每一步都有明确的进入条件、动作、周期和退出准则，让供应商知道怎么回去。
| 档位 | 进入条件（满足其一） | 动作 | 最短周期 | 退出准则 |
|---|---|---|---|---|
| 观察 | 总分 75～79；或单月 PPM 超目标 2 倍 | 书面提示 + 指定数据周报 + 定点跟踪 | 30 天 | 连续 2 个月回到目标以内 |
| 改善计划（SIP） | 总分 60～74；或连续 2 个月 C 级；或审核结论 C | 供方提交 SIP：根因分析、措施、责任人、里程碑；我方月度评审 | ≤90 天 | 措施 100% 完成 + 连续 3 批或 2 个月达标 |
| 受控发运（CSL） | 总分<60；或停线/安全件问题；或 SIP 逾期；或同类 8D 重复 2 次 | CSL1：供方 100% 全检 + 我方加严抽检；CSL2：第三方分选，费用由供方承担 | 90 天起，可延一次 | 连续 10 批或 3 个月零缺陷 + 复评审核通过 + 我方书面退出 |
| 新项目冻结 / 淘汰 | CSL 期满未达标；或红线事件；或战略退出 | 停止新询价与定点；启动替代供方开发；限期转移库存与工装 | 6 个月 | 不适用（退出路径） |
CSL 的实操细节决定成败，缺一条就会退化成"多检一遍"：
- 检验规范与判定准则由我方批准，不能沿用供方自定标准；
- 每批随货附合格证明（COC）与全检数据，批次标识可追溯到检验员与班次；
- 数据按日/批回传，我方质量工程师每周核对趋势，不是等到期末看汇总；
- 费用清单化：分选工时、第三方费用、加急运费、停线损失按月结算，写进采购协议；
- CSL 期间的任何工艺或分供方变更，需重新提交 PPAP，不得以"已在受控"为由豁免。
供应商开发（8.4.2.5）与升级是同一套动作的两面：SIP 是"开药方"，开发是"给药"。开发手段按投入深度分四层——文件与记录辅导（补基础）、驻厂辅导（盯关键工序）、能力培训（FMEA/MSA/SPC 实操）、测试与实验室能力共建（帮供方建检测手段）。每一层都要有验收物：辅导记录 + 前后数据对比 + 复评结论，否则开发就成了出差。
七、条款证据链：8.4.2.4 与 8.4.2.5 怎么被查
| 条款 | 要求要点 | 应有记录 | 审核员会怎么查 |
|---|---|---|---|
| 8.4.2.3 | 供应商质量管理体系开发，推动其通过 ISO 9001，最终目标 IATF 16949 | 供方认证状态清单 + 开发路线与时限 | 抽 5 家看认证有效期与开发计划是否一致 |
| 8.4.2.4 | 供应商监视：交付产品符合性、接收时特殊状态通知、顾客中断含现场返回、交付计划绩效、超额运费 | 月度评分卡、来料台账、客诉与停线记录、运费台账、状态通知函 | 取后三名供应商，问"这一年做了什么" |
| 8.4.2.4.1 | 二方审核：审核方案、审核员能力、审核记录 | 年度审核方案、审核计划与报告、审核员资质与培训记录 | 核对方案里的家数与实际审核家数是否吻合 |
| 8.4.2.5 | 供应商开发：确定类型（体系/过程/产品/测试能力）、优先级、时限与资源 | 年度开发计划、SIP 台账、辅导记录、复评报告 | 问优先级怎么定的，与风险分是否对得上 |
审核员最常问的三句话，正好对应三处最容易断的地方：分级规则写在哪份受控文件里（很多企业有表无文件）、上一年度实际审了几家、跟规则差多少（计划与执行两张皮）、评分卡后三名的供应商这一年在做什么（有分无动作）。这三问答得出来，8.4.2.4/8.4.2.5 基本不会被开严重不符合。
八、落地要点与常见错误
- 先定规则，再排计划：风险分表、频次矩阵、评分卡、触发线四份文件一次性定稿并受控，年度方案由规则自动生成，别每年重新讨论。
- 人日要能算：按工序数与特殊过程数估人日，别让"审几家"取决于审核员能跑几趟。
- 审核类型别堆叠：Ⅰ 类做过程审核 + 产品审核，体系审核留给准入与换版，避免同一家一年被审三次、每次都在看文件。
- 检查表不是条款清单：按过程流编排，一条提问对应一个可验证证据，否则审完只剩一堆"符合"。
- 评分卡与审核分分开记：混成一张表，既看不清绩效趋势，也看不清体系短板。
- 升级必须有退出准则：只写"进入"不写"退出"，CSL 会变成永久状态，供应商也失去改善动力。
- 红线一次到底：隐瞒变更、伪造记录不适用"限期整改"，直接进 D 档，否则规则失去威慑。
- 开发要留验收物：辅导记录 + 前后数据 + 复评结论，缺一项就算没做，来年还得重来。
审核频次由风险分算出来，不由距离定
知识编号：2.1.2
版本：v20261009
作者：卓越质量智库 卓越质量智库致力于为质量管理从业者提供系统化的专业知识、方法论与实战工具，助力企业质量能力持续提升。