ISO9001-2026之“8.4外部提供的过程、产品和服务的控制”条款（过程）审核检查单（雷泽佳编制-2026B0）

ISO9001-2026之"8.4外部提供的过程、产品和服务的控制”条款（过程）审核检查单（雷泽佳编制-2026B0）雷泽佳编制-2026B0ISO9001-2026之"8.4外部提供的过程、产品和服务的控制”条款（过程）审核检查单（雷泽佳编制-2026B0）审核维度审核项目审核内容与要点审核方法所需证实的成文信息典型不符合项提示P(策划)8.4.1总则-外部供方管控体系策划1.主题事项：外部提供范围与必要性识别

-外部提供的纳入范围识别：组织是否系统地识别并确定了拟纳入自身产品或服务中的外部提供过程、产品和服务？

-代表组织直接提供的外部供方识别：组织是否识别并确定了由外部供方代表组织直接向顾客提供的过程、产品和服务？

-外包过程的识别：组织是否识别并确定了由外部供方提供的过程或过程的一部分（外包过程）？

-外部供方类型定义：外部供方的类型是否被完整定义（如供应商、合作伙伴、关联公司、总部职能等）？

-风险与影响识别：组织是否基于风险思维，识别了所有外部提供过程及产品，并明确了其对组织稳定提供合格产品和服务能力的潜在影响？

-特殊供方覆盖：是否覆盖所有外部提供主体，包含总部共享职能（如集中采购、集中检测）、跨关联公司提供的过程与服务、数字化服务承接方等特殊类型供方？

-供应链图谱与韧性风险：是否绘制供应链图谱，梳理多层级供应链（含二级及以上供方）的依赖关系，识别单一供方、产能集中、地缘风险等供应链韧性风险？

-三方供应链模式管控：针对“原材料供方+委托加工供方”的三方供应链模式，是否明确了加工方对原材料供方的管控责任与验证要求？

-外包过程管控职责与能力保障：组织是否明确外包过程的批准、风险管理与监控职责，并确保外包安排绝不削弱组织交付合格产品和服务的能力？（APG指南）

-多场地统一准则：对于多场地运营的组织，是否统一了外部供方的准入准则与控制要求，并考虑了各场地的特殊需求？-文件评审：评审外包/采购管理程序、合格供方名录、过程识别清单

及外包决策评审记录。

-访谈：访谈采购、质量、生产等部门负责人

及最高管理者，了解如何界定外部提供范围，特别是针对“外包过程”和“直接代表组织提供”的情况，询问外包决策的战略考量与风险评审过程。

-抽样：抽取典型的外部提供产品或外包过程案例进行核实，验证识别的全面性。优先选取工艺流程长、涉及多方协作的外包过程。

-供应链图谱评审：核查供应链梳理文件，验证多层级供方与集中风险的识别完整性。-外部提供过程、产品和服务清单

-合格外部供方名录

-外包过程识别与控制文件

-采购管理程序

-对顾客和法规要求潜在影响的分析记录

-供应链图谱与风险识别记录

-多层级供应链管控要求文件

-外包决策评审记录（如会议纪要、风险评估报告）

-多场地统一采购控制程序-严重不符合：未识别关键过程或产品的外部提供情况（如核心部件外包、关键服务外包），导致过程失控或产品质量不合格；未识别核心零部件的单一供方依赖风险，未建立备选方案，存在供应链中断隐患。外包了需确认的特殊过程，但未将其纳入8.4控制范围，导致交付产品出现重大批量缺陷。

-一般不符合：外部供方名录不完整，或未将代表组织直接向顾客提供服务的供方纳入管理范围；未将总部共享采购、跨关联公司提供的过程纳入外部供方管控范围。对长期稳定供方未设置再评价周期，仅以历史绩效替代持续监控。

-改进机会：建议使用供应链“图谱”工具绘制复杂的层级关系，以系统管理外部提供，并识别供应链集中风险。8.4.1总则-外部供方评价、选择、监视与再评价准则2.主题事项：供方评价与选择准则的建立与实施

-评价准则的建立与实施：组织是否基于外部供方按照要求提供过程、产品或服务的能力，制定并实施了评价、选择、绩效监视和再评价的准则？

-风险分级管理匹配度：评价准则是否与产品/服务的性质及对最终产品质量的影响程度相匹配，体现了风险分级管理（如A/B/C类供方）？

-次级供方控制要求：针对复杂供应链（如涉及三方：客供料加工方），评价准则是否包含了对次级供方的控制要求？

-职责与流程明确：准则是否明确了评价、选择、绩效监视及再评价的职责、流程和输出要求？

-三类场景覆盖：准则是否覆盖初次准入评价、定期绩效再评价、异常触发复评三类场景，明确不同风险等级供方的评价维度、判定标准与工作频次？

-外包过程专项评价维度：针对外包过程类供方，评价准则是否纳入过程能力、人员资质、信息安全、接口管理、应急响应等专项评价维度？

-分包行为约束规则：是否明确供方分包行为的约束规则：关键/特殊过程禁止未经批准分包，一般过程分包需经组织评价确认？

-新兴供方ESG考量：准则中是否包含对供方信息安全管理、社会责任、环保合规等方面的考量，尤其是针对数字化服务、废弃物处置等新兴供方类型？

-战略供方综合能力评价：对于合作开发或长期战略供方，评价准则是否涵盖了其技术创新能力、财务稳定性及共同改进的文化兼容性？-文件评审：审查《外部供方管理程序》中的评价准则部分，确认其覆盖了“评价、选择、绩效监视、再评价”全流程，并且包含了风险分级要素。

-访谈：询问采购和相关技术人员，了解准则制定的依据、风险考量的具体方式。与EHS、IT部门沟通，核实他们对特定供方评价的参与度。

-抽样：抽取关键供方和一般供方的评价记录，对比方法差异，验证准则的适宜性和分级管理的有效性。

-分级验证：抽取高、中、低风险供方各1-2家，核查评价记录与准则要求的一致性。-《外部供方管理程序》

-供方评价、选择、再评价准则

-供方风险分级标准

-三方协议或要求传导文件

-评价、选择、绩效监视、再评价的职责与权限分配文件

-供方准入、再评价、复评的分级管理规则

-外包过程专项评价标准

-供方社会责任/信息安全评估报告

-跨部门供方评审会签到表及会议纪要-严重不符合：对外部供方无任何评价准则，仅凭价格或关系选择供方。

-一般不符合：对所有供方采用统一的评价方法，未根据风险高低进行分级管理；或未定义评价准则；未明确供方再评价的触发条件与周期，或未将外包过程的人员资质纳入评价准则。对提供云服务的供方未进行信息安全能力评价。

-改进机会：定期根据市场、顾客反馈及产品符合性评价并调整对供方的控制程度。建议建立动态分级模型，自动关联订单份额与付款条件。8.4.2控制类型和程度-基于风险的控制策划3.主题事项：基于风险的对外部供方控制类型与程度策划

-控制类型与程度的规定：组织是否清晰地规定了拟对外部供方及其输出结果实施的控制类型和程度？

-影响考量：在策划控制时，是否考虑了外部提供对组织稳定满足顾客和法律法规要求能力的潜在影响？

-风险适应性与实例：控制措施是否与被识别出的风险等级相适应（如对关键/特殊过程供方策划了更严格的控制，如焊接件的过程审核、样品全尺寸检测和功能测试）？

-全生命周期覆盖：控制策划是否覆盖了产品/服务的全生命周期要求（如安装、技术支持、保修、回收、处置等交付后活动）？

-必要验证活动策划：是否策划了必要的验证或其他活动（如进货检验、分析证书评审、第二方审核、绩效数据评价）以确认满足要求？

-精准匹配与分级控制：控制措施与风险等级是否精准匹配：对关键特性/特殊过程供方策划“过程审核+首件鉴定+批次全项检验”组合控制；对重要物料策划“进货抽样检验+质量证明文件评审”；对一般辅材/通用服务策划“到货核查+供方符合性声明”简化控制？

-外包过程体系融入方式：是否明确外包过程纳入组织质量管理体系管控的具体方式，确保过程运行规则、不合格处置、变更管理与内部过程要求协同一致？

-数字化场景专项控制：针对数字化产品、远程交付服务等场景，是否策划信息安全、数据合规、版本管控、服务可用性等专项控制要求？

-不依赖单一证明：是否明确不单一依赖供方“符合性证明”作为控制手段，对关键/高风险对象配置独立验证活动？

-供方控制计划建立：是否已建立针对各类供方的控制计划，明确了控制方法、频次、样本量及负责人，并获得了跨部门批准？

-紧急放行与让步接收策划：对于需要紧急放行或让步接收的供方产品/服务，是否策划了明确的事前批准、追溯标识与事后补救措施？-文件评审：审查质量计划、采购合同、控制计划、供方生产件批准程序等文件，确认控制策划的依据和内容。评审供方控制计划中针对变更管理的触发条件。

-访谈：与技术、质量人员讨论如何针对不同风险类别确定控制组合。询问对于紧急采购或新供方首次供货是否启用了加严控制方案。

-举例说明：要求被审核方举例说明对一个关键外包过程（如呼叫中心、焊接）和一个非关键采购（如办公用品）的控制策划有何不同，验证其风险思维的应用。

-风险匹配验证：对照供方风险分级清单，抽查对应控制文件，验证控制强度与风险等级的适配性。-采购/外包质量计划

-采购合同或协议样本

-供方生产件批准程序文件

-产品全生命周期控制要求文件

-过程审核程序

-控制计划

-验证活动清单（如进货检验规范、第二方审核计划）

-供方风险分级与控制措施对应表

-外包过程体系融入管理规定

-紧急放行/让步接收控制程序

-数字化服务数据合规审查报告-严重不符合：未能规定对关特过程的外部供方实施任何过程审核或样品验证等控制措施；对特殊过程外包未策划过程能力确认与现场见证控制，仅依赖供方自检报告。

-一般不符合：过度依赖“符合性证明”文件，而未对关键/重要产品和服务实施进一步的验证，存在质量风险；或控制策划未考虑交付后活动；控制策划未覆盖交付后保修、回收等环节的供方责任，存在售后质量风险。未对远程维护供方策划数据安全与访问权限控制，存在信息泄露隐患。

-改进机会：明确界定何时采用进货检验、第二方审核、分析证书评审、绩效数据评价等不同控制方式的组合，以优化控制成本与效果。D(实施)8.4.3提供给外部供方的信息-沟通要求的充分性4.主题事项：向供方传达要求的过程完整性与适宜性

-沟通前要求充分性：组织在向外部供方沟通前，是否确保所确定的要求是充分且适宜的？

-信息完整性与确认：传递给外部供方的信息是否完整、清晰、无歧义，并得到双方确认（如书面订单需经核查，线上订单需“同意”）？

-标准a-f项要求明确：适当时，信息是否明确包含：a)拟提供的过程/产品/服务；b)需批准的事项（产品、方法、过程、设备、放行）；c)能力/资格要求；d)互动方式；e)绩效监视方法；f)现场验证活动？

-具体细节要求：适当时，信息是否具体包含：方法、过程、设备细节（如特定焊接工艺、经校准的测量设备）、人员着装/能力、包装标识、分析证书/试验结果等要求？

-要求匹配度：沟通要求是否与产品和服务的性质及重要程度相匹配，避免过度或不必要的要求？

-全维度覆盖：向供方传递的要求是否覆盖全维度：除产品/服务技术要求外，还包含变更管理流程、不合格处置权限、应急响应机制、环保与合规义务、可追溯性要求？

-多部门评审机制：是否建立要求发布前的多部门评审机制：技术要求由研发/技术部门确认，验收准则由质量部门确认，交付与商务要求由采购部门确认，确保要求充分、适宜且无歧义？

-电子化订单确认规则：针对电子化采购/线上订单，是否明确订单生效的确认规则（如供方系统回执、人工确认邮件），确保双方对要求达成一致？

-接口与沟通渠道：是否明确供方与组织、组织顾客及监管方的接口规则、沟通渠道与响应时效，包含异常问题的升级路径与处理时限？

-法律法规与顾客规范传递：传递的信息中是否包含了适用的法律法规要求（如RoHS、REACH、冲突矿产）及顾客特定的工程规范？

-子级供方要求传递：是否要求外部供方将相关质量、安全、合规要求逐级传递至其子级供方，并提供合规证据？-文件评审：抽取关键采购订单/外包合同，对照标准条款8.4.3的a)至f)项进行内容完整性评审。同时核查图纸、规范中是否引用了最新版本的法律法规要求。

-访谈：访谈采购员，了解如何确保要求在被下达前经过了充分评审和核查，以及如何组织与供方沟通。询问当工程规范发生变更时，传递给供方的响应流程与时限。

-场景模拟：询问被审核方，当有新的关键零部件或服务被外包时，如何形成并向供方传递完整的要求包。

-沟通验证：检查双方就要求达成一致的证据（如双方签字的确认函、会议纪要）。

-发布流程核查：抽查3-5份采购文件的评审记录，验证发布前的审批环节完整性。-采购订单

-外包合同/服务水平协议

-技术规格书、图纸

-订单评审记录

-要求沟通确认记录

-供方生产件批准文件

-经批准的供方清单

-采购文件评审批准记录

-电子化订单管理规则

-供方接口与沟通管理规定

-法律法规/顾客特殊要求传递确认函

-供方物料成分声明或合规报告-严重不符合：提供给新供方的关键采购信息（如技术图纸、验收标准）缺失或完全错误，导致批量不合格。

-一般不符合：采购订单上未明确与组织及其顾客互动的方式；或未包含对供方绩效的监视与评价方式；或沟通内容未包含对关键方法、过程、设备的要求；采购文件未明确变更申请与审批流程，供方擅自变更产品参数时无约束依据。提供给供方的图纸为已作废版本，导致产品尺寸超差。

-改进机会：采取措施避免提供不必要的细节，防止因要求过度导致成本上升、交付延误，确保要求与产品/服务性质与重要度相匹配。C(检查)8.4.1总则&8.4.2控制类型和程度-验证、监视与评价5.主题事项：控制措施的落实与验证活动的有效性

-控制活动执行：组织是否确实执行了其策划的控制活动（如进货检验、分析证书评审、对供方进行第二方审核、在供方现场验证）？

-验证记录合格：验证活动的记录是否表明了外部提供的过程、产品和服务满足接收准则？

-绩效监视与评价执行：组织是否按策划频次和内容进行了供方绩效的监视和评价（如针对直接提供给顾客的服务评价其统计数据）？

-再评价与措施触发：对供方的再评价是否基于持续的绩效考核结果，并引发了必要的措施（如供方能力提升、降级或淘汰）？

-三方控制验证：当涉及三方时，组织是否验证了加工方对原材料供方的控制措施？

-控制层级执行严格性：是否严格按策划的控制层级执行验证活动：关键供方按计划实施第二方审核，重要物料按抽样方案实施进货检验，一般物料执行到货数量/外观核查，无超范围简化或加严？

-绩效监视多维度：供方绩效监视是否覆盖多维度指标：产品质量合格率、准时交付率、服务响应时效、问题整改有效率、合规履约情况等？

-顾客面向供方满意度纳入：对直接面向顾客的供方（如售后网点、终端配送、上门服务），是否同步将顾客满意度、投诉数据纳入绩效监视范围？

-多层级供应链验证：针对多层级供应链模式，是否验证加工方/分包方对上游物料的入厂检验与过程控制有效性，确保风险传导受控？

-再评价分级结论：供方再评价是否基于当期绩效数据与问题整改情况，输出分级结论，作为管控力度调整的依据？

-供方现场验证条件确认：当组织或顾客在供方现场实施验证时，是否事先确认了验证条件（如设备校准、人员资质、参考标准件），并保留了验证记录？（ISO9002:2026,8.4.3）

-服务类外包过程监测：对于服务类外包（如呼叫中心、设备巡检），监视是否包含了过程质量监测（如通话监听、巡检到位率分析）而不仅是最终结果？-现场观察：观察进货检验区作业是否符合控制要求；观察供方现场验证活动。旁听外包呼叫中心的实时通话或查看巡检APP后台数据。

-记录审查：审查进货检验报告、分析证书评审记录、第二方审核报告、供方绩效评价记录。抽查供方现场验证时使用的测量设备校准证书。

-访谈：访谈质量工程师，对某个绩效下滑的供方，组织采取了哪些具体控制措施和纠偏行动？

-抽样追踪：抽取一个外包服务，向下游追踪其绩效监视数据和改进措施；抽取一个“客供料加工”案例，验证双方控制的有效性。

-绩效数据溯源：抽查2家供方的绩效评价记录，核对数据来源的真实性与计算准确性。-进货检验记录

-分析证书/试验报告

-收货单

-服务检查单

-第二方审核报告

-供方绩效评价报告

-供方纠正措施要求

-对供方自身控制的验证记录

-供方再评价及后续措施记录

-供方绩效指标统计台账

-顾客端供方服务质量反馈记录

-多层级供应链验证记录

-供方现场验证计划及报告

-服务过程质量监控记录（如通话质检报表）-严重不符合：策划的关键验证活动未执行，导致不合格产品流入下一工序或直接交付给顾客。对高风险的焊接外包，从未进行过过程审核或焊缝无损检测见证。

-一般不符合：绩效监视数据有收集，但未按准则进行系统的再评价；或对评价引发的措施未追踪落实；或未验证加工方对原材料供方的控制有效性；供方绩效评价仅统计质量合格率，未覆盖交付时效、整改有效性等维度，评价不全面。进货检验记录缺失检验员签字或日期，可追溯性不足。

-改进机会：对于非关键物料，仅验证数量、外观并签署收货单，简化流程以提高效率。8.4.2控制类型和程度-供方控制有效性评价6.主题事项：确认供方自身控制措施的有效性

-供方自身控制有效性评估：当控制策划依赖外部供方自身实施的控制时，组织是否评估了其控制的有效性（如质量管理体系、过程控制能力）？

-供方对分包方控制评估：组织对其外部供方的分包方（如加工客供原材料的外部供方），是否评估了其对该原材料供方的控制有效性？

-评估结果输入再评价：评估结果是否作为后续选择和再评价的重要输入？

-多种验证方式：是否通过过程审核、产品审核、见证试验、数据比对等多种方式，验证供方过程控制能力与出厂检验结果的一致性，不单一采信供方体系证书或符合性声明？

-供方分包管控能力评价：是否评价供方对其分包方的管控能力，确认供方的上游选择、入厂验证、过程监督机制符合组织的管控底线要求？

-有效性结果纳入核心输入：是否将供方控制有效性评价结果纳入供方分级、再评价与管控策略调整的核心输入？

-关键供方体系定期复核：对关键供方的质量体系运行情况是否进行定期复核，识别系统性失效风险？

-体系证书背后绩效验证：对于仅凭体系认证证书维持合格地位的供方，组织是否通过定期的产品审核、批次质量回顾或飞行检查等方式，验证其证书有效性背后的实际过程绩效？

-过程能力指数监控：是否建立供方过程能力指数监控机制，当Cpk/Ppk低于警戒线时触发预警和干预？-访谈与审查：与采购和质量负责人讨论如何评估和认可外部供方的质量控制能力，以及如何验证其控制有效性。关注对供方提交的过程控制图、Cpk报告的分析评审记录。

-案例追踪：对于“由合格供方提供原材料，委托另一家供方加工”的复杂模式，审查组织是否要求并验证了加工方对原材料供方的控制。

-记录分析：分析供方提供的控制记录（如过程控制图、检验报告）与组织的验证结果是否一致。

-数据比对验证：抽取同一批次产品的供方出厂报告与组织进货检验报告，比对关键参数的一致性。-供方体系认证证书

-供方过程控制记录

-供方出厂检验记录

-对供方实施的过程审核报告

-供应链控制要求文件

-对供方控制有效性的评估记录

-供方过程能力评估报告

-供方分包管控体系评价记录

-供方过程能力指数统计与评审记录

-针对体系证书供方的飞行检查或产品审核报告-严重不符合：产品出现重大质量隐患或系统性问题，证实供方自身控制完全失效，而组织未能及时识别和干预。供方过程能力指数持续低于1.0却未采取任何措施，导致生产线频繁停线挑选。

-一般不符合：仅凭供方的一纸“符合性证明”或ISO9001证书就认可其控制能力，未做任何风险和绩效评估，也未验证其控制的有效性；仅以供方提供的ISO9001证书作为其控制有效的依据，未结合产品实物质量进行验证。虽有供方过程审核，但对开具的不符合项未追踪至关闭。A(处置)8.4.1总则-持续改进与信息管理7.主题事项：基于评价结果与信息的持续改进

-成文信息保存：组织是否保存了充分的成文信息（如评价、选择、监视、再评价以及由其引发的任何必要措施的记录）？

-记录用于改进：这些记录是否被用于分析和改善外部供方管理过程，以及与供方共同改进？

-供应链风险总结与预案：是否通过评价、监视等活动，总结了供应链风险（如对少数核心供应商的过度依赖），并制定了应对计划和备选方案？

-纠正措施启动与验证：针对供方出现的系统性或重复性问题，是否启动了纠正措施，并验证了其有效性？

-动态分级与激励约束：是否建立供方动态分级与激励约束机制：对绩效优秀的供方给予订单倾斜、简化检验等激励；对绩效不达标供方实施限期整改、降级、暂停合作或淘汰？

-供方根本原因分析及纠正：针对供方重复发生的不合格或系统性质量问题，是否推动供方开展根本原因分析，制定并实施纠正措施，跟踪验证措施的有效性与长效性？

-供应链风险定期复盘与更新：是否定期开展供应链