Qué exige el requisito
La 8.4 trata de todo lo que viene de afuera: materiales y componentes comprados, servicios contratados y procesos suministrados externamente. La organización tiene que definir criterios para evaluar, seleccionar, hacer el seguimiento del desempeño y reevaluar a los proveedores externos, con base en su capacidad de suministrar conforme a los requisitos, y conservar información documentada de esas actividades y de las acciones que surjan de ellas. Ese criterio tiene que estar escrito antes de comprar, y no armado a las apuradas el día en que el auditor lo pide.
El tipo y la extensión del control son proporcionales al impacto: un proveedor de materia prima crítica puede exigir inspección de recepción por lote, auditoría en sus instalaciones y certificado de análisis; un proveedor de material de oficina puede no exigir nada. Los procesos suministrados externamente siguen bajo la responsabilidad de la organización, con verificaciones definidas, porque contratar afuera no transfiere la responsabilidad por la conformidad del producto final. Definir el nivel de control por familia de compra, y no proveedor por proveedor, hace que el sistema sea sostenible.
La organización también tiene que comunicar al proveedor sus requisitos: qué se va a suministrar, cómo será aprobado, la competencia exigida a las personas, las interacciones previstas, el control de desempeño que se va a aplicar y las verificaciones que la organización o su cliente pretenden hacer en las instalaciones del proveedor. La orden de compra vaga ("chapa de acero, 100 un.") es una de las fallas más comunes aquí: sin norma, espesor, acabado ni criterio de aceptación no hay forma de reclamar después. La especificación completa en la orden es la única prueba de lo que realmente se pidió.
Qué pide ver el auditor
- Criterios de evaluación, selección y reevaluación definidos por escrito
- Registro de evaluación de cada proveedor relevante y de las acciones derivadas
- Lista de proveedores aprobados usada efectivamente por compras
- Control proporcional al impacto (inspección de recepción, certificados, auditorías)
- Órdenes de compra con especificación y requisitos comunicados
Dónde se equivocan más las empresas
- Compra hecha a un proveedor que nunca fue evaluado
- Evaluación hecha una vez y nunca repetida
- Proveedor con mal desempeño y ninguna acción registrada
- Proceso suministrado externamente sin control definido
- Orden de compra sin especificación técnica ni criterio de aceptación
- Lista de proveedores aprobados que compras no consulta en la práctica
- Criterio de evaluación definido después de la compra, para justificar al proveedor ya elegido
Ejemplo de no conformidad
- Requisito
- ISO 9001, 8.4.1: conservar información documentada de la evaluación y la reevaluación de los proveedores externos y de las acciones derivadas.
- Evidencia
- El proveedor de tratamiento térmico (proceso suministrado externamente) tuvo 5 lotes devueltos entre 01 y 06/2026; la última evaluación registrada es de 2024 y no hay ninguna acción registrada sobre el desempeño actual.
- Hallazgo
- No se hace seguimiento ni reevaluación del desempeño del proveedor externo.
Cómo cumplirlo en PrismaBiz
Plantillas listas para este requisito
Preguntas frecuentes
¿Hay que evaluar a todos los proveedores?
A los que suministran productos, servicios o procesos que afectan la conformidad. Los proveedores sin impacto en la calidad pueden quedar fuera, siempre que el criterio esté definido.
¿Con qué frecuencia se reevalúa?
La norma no lo define. Lo habitual es anual o semestral, y además cada vez que ocurre algo relevante, como una devolución o un atraso grave.
¿Un proveedor certificado ISO 9001 queda exento de evaluación?
No queda exento, pero la certificación puede ser un criterio que reduzca el control. La organización sigue siendo responsable de evaluar el desempeño.