一、ISO 9001:2015 8.4 标准原文

二、条款解读说明

2.1 8.4适用范围：外部提供不仅是“买东西”

很多组织将8.4简单理解为“采购管理”，但标准使用的是“外部提供过程、产品和服务”，范围更宽。只要组织为了实现自己的产品或服务，借助外部供方提供过程、产品或服务，并且这些外部输出会影响最终符合性，就必须纳入8.4控制。

2.2 8.4的核心不是“把供方管住”，而是“把责任管清”

标准反复强调“确保符合要求”和“保持在体系控制范围内”，意味着组织对最终结果负有不可转移的责任。外部供方可以执行任务，但不能替组织承担质量责任。审核中经常出现的风险是：问题一出，组织把责任推给外协或供应商，却拿不出对其控制的证据。8.4要求组织建立一套“事前有准入、事中有监视、事后有追溯”的责任链。

2.3 控制类型与程度必须基于风险分级

标准并未要求所有供方采用相同强度的控制。高风险外部提供（如关键安全件、法规敏感过程、直接影响顾客体验的服务）必须采用更强的控制机制；低风险外部提供可以采用简化控制。风险分级的依据通常包括：对最终产品/服务的影响程度、供方过程的稳定性、历史绩效、替代性和法规约束。

2.4 外包过程并非“离开QMS”，而是“纳入QMS外延”

外包过程最大的误区是认为“外面做的就不归我们管”。8.4明确要求外包过程必须处于组织QMS控制范围内。这意味着组织必须定义该外包过程的输入、输出、控制方法、验收标准和职责接口，并对供方过程运行的有效性进行监视。外包过程不是“把控制移出去”，而是“把控制延伸出去”。

2.5 8.4与8.1/8.6/8.7的联动关系

• 与8.1运行策划联动：外部提供本身是运行策划的一部分，控制策略必须在运行策划阶段确定。
• 与8.6放行联动：外部提供的输出必须经过适当的验证或确认才能放行。
• 与8.7不合格控制联动：外部供方的不合格输出需纳入组织不合格控制流程，并能追溯原因。

三、实施要点

3.1 建立“外部提供清单”并分类管理

组织应梳理所有由外部供方提供的过程、产品和服务，形成清单，并按风险和重要性分级。清单要覆盖外包过程与外购产品、外部服务与顾客直接交付等不同类别。

• 识别哪些外部提供直接影响顾客满意或法规合规。
• 确定关键供方、关键过程与关键外购件。
• 将外部提供清单与过程地图、产品结构清单（BOM）对齐。

3.2 按风险设定控制策略与验收规则

对高风险外部提供，应在合同和技术规范中明确控制要求、关键特性、验证方式和变更规则；对中低风险外部提供，可采用简化验收与绩效监控。

• 高风险：要求过程能力数据、首件认可、驻厂或远程审核。
• 中风险：建立绩效评分卡，定期抽检。
• 低风险：基本进料验收与合格供方清单管理。

3.3 建立外部供方绩效监视与改进机制

外部供方控制不应止于“准入”，而应持续监视其绩效。常用指标包括合格率、PPM、交付及时率、响应速度、纠正措施有效性等。

• 设定KPI与评价周期，形成定期绩效回顾。
• 低绩效触发整改、复审或退出机制。
• 必要时实施供方开发与辅导。

3.4 外包过程要明确输入、输出与接口责任

外包过程容易出现责任断裂，组织应明确输入要求、工艺参数、检验标准、交付形式、版本控制与异常处理流程，确保外包过程的输出可控。

• 建立外包过程控制计划和监视点。
• 对外包过程关键参数进行验证或监测。
• 明确异常时的协同处理与升级机制。

3.5 将供方变更纳入组织变更控制流程

供方变更（原材料替换、工艺调整、设备更换、人员变动）会直接影响输出符合性。组织应要求供方进行变更申报，并在必要时评审、验证或批准。

• 合同中约定变更通知与审批规则。
• 关键变更需重新验证或样件确认。
• 保留变更记录，确保可追溯。

3.6 建立外部输出验证与放行机制

外部提供输出必须有适当验证与确认机制。组织可通过来料检验、过程审核、第三方检测或联合验收确保外部输出符合要求。

• 定义验收标准、抽样方案和判定规则。
• 对关键外部输出实施100%检验或过程认证。
• 与8.6放行流程衔接，确保放行前合规。

3.7 建立供应链风险应对与备份策略

外部提供控制不仅是质量问题，还涉及供应链连续性。组织应规划备选供方、库存缓冲与应急方案，避免外部风险导致交付中断。

• 关键供方至少建立备选资源。
• 制定供应中断应急响应与替换流程。
• 针对法规与合规风险建立预警机制。

3.8 形成可审核的证据链

审核员会关注“你是否真正控制了外部提供”。证据链应覆盖准入、过程监视、绩效评价、纠正措施和输出验证等关键环节。

四、常用工具与实施方法

五、典型案例

案例 1 – 制造业：外协热处理导致性能波动

1. 问题背景：汽车零部件企业将热处理外包，出现硬度波动导致批量返工。
2. 问题原因：供方工艺参数未受控、设备校准记录缺失，组织仅做来料抽检。
3. 改进措施：
   • 将热处理列为高风险外包过程，实施现场审核。
   • 要求供方建立过程能力监控并提供Cpk数据。
   • 对关键批次实施100%硬度检测与放行确认。

案例 2 – 服务业：云服务外包导致交付中断

1. 问题背景：软件服务企业将系统托管给外部云服务商，发生宕机导致客户投诉。
2. 问题原因：合同仅关注价格，未规定SLA与备份机制。
3. 改进措施：
   • 建立云服务供方评估清单，增加稳定性与安全性指标。
   • 签订SLA并定期开展灾备演练。
   • 设置双活或容灾架构作为应急替代方案。

案例 3 – 食品行业：外包包装影响法规合规

1. 问题背景：食品企业外包包装印刷，出现标签信息不符合法规要求。
2. 问题原因：缺乏对外包包装的法规审核流程。
3. 改进措施：
   • 将包装印刷纳入外部提供清单的高风险类别。
   • 建立标签内容审核与法规更新机制。
   • 对包装批次实施复核与留样。

六、成文信息管理要求

8.4要求组织保留与外部供方控制相关的成文信息，以证明外部提供过程、产品和服务在受控状态。

1. 隐含强制成文信息
   • 外部供方评价、选择、监视与再评价记录
   • 外包过程控制的证据（审核记录、过程监视记录）
2. 建议保留的成文信息
   • 合格供方清单及分级管理规则
   • 质量协议、技术规范、SLA条款
   • 来料检验与放行记录、供应商绩效评分卡
   • 供方变更通知与审批记录
3. 管理要求
   • 记录必须与供方绩效周期同步更新
   • 文档保留期限应覆盖产品生命周期与法规要求
   • 成文信息需按7.5条款实施版本与权限控制

七、常见误区及踩坑提醒