Generador de listas de proveedores aprobados

Cómo construir una lista de proveedores aprobados que aguante una auditoría

Qué es en realidad una lista de proveedores aprobados

Una lista de proveedores aprobados es el registro controlado de a quién puedes comprar, y para qué. Es la respuesta a una pregunta que un comprador hace cada semana y un auditor una vez al año: ¿está esta empresa autorizada para suministrar esta pieza o este servicio, y con qué base? La mayoría de los equipos la llevan en una hoja de cálculo, y casi siempre esa hoja nació de una plantilla de lista de proveedores que alguien descargó hace años.

La lista no es el control. El control es el proceso que hay detrás: cómo entra un proveedor, qué evidencia lo pone ahí, cómo se vigila su desempeño y qué lo saca. La lista es sencillamente donde ese proceso deja sus huellas. Una lista con nombres y nada más es una guía telefónica. Una lista que registra la base de cada aprobación y cuándo se comprobó por última vez es un registro.

Qué exige el apartado 8.4 de ISO 9001

El apartado 8.4 de ISO 9001:2015 se titula control de los procesos, productos y servicios suministrados externamente. Aplica cuando lo que compras se incorpora a tu propio producto, cuando un proveedor externo entrega directamente a tu cliente en tu nombre y cuando externalizas parte de uno de tus propios procesos. Ese último caso abarca más de lo que la gente espera: el tratamiento térmico, el recubrimiento, el anodizado, los ensayos no destructivos, la esterilización y la calibración son procesos de cuyos resultados respondes tú aunque los ejecute otro.

El apartado 8.4.1 es la frase que crea la lista. Exige determinar y aplicar criterios para la evaluación, la selección, el seguimiento del desempeño y la reevaluación de los proveedores externos, en función de su capacidad para suministrar conforme a tus requisitos, y conservar información documentada de esas actividades y de cualquier acción derivada de las evaluaciones. Cuatro verbos, y cada uno deja un registro: cómo los juzgaste, cómo los elegiste, cómo los vigilas y cómo los vuelves a comprobar.

El apartado 8.4.2 añade que el tipo y el alcance del control tienen que ser proporcionados: cuanto más afecte lo suministrado a tu capacidad de cumplir requisitos, más estrecho tiene que ser el control. Esa es tu licencia para tratar de forma distinta una fundición mecanizada de fuente única y una caja de trapos de taller. El apartado 8.4.3 cubre lo que tienes que comunicarle al proveedor antes de que empiece a trabajar, incluidos los procesos que va a prestar, los requisitos de aprobación, las expectativas de competencia y el control y el seguimiento que piensas aplicar. Una lista de proveedores aprobados ISO 9001 bien hecha lleva un puntero a esa información, normalmente las cláusulas de calidad o las condiciones del pedido que aplican.

Qué añade AS9100

AS9100D mantiene todo el apartado 8.4 de ISO 9001 y además hace explícita la lista. El apartado 8.4.1.1 exige que la organización mantenga un registro de sus proveedores externos en el que conste el estado de aprobación, con categorías como aprobado, condicional y no aprobado, junto con el alcance de esa aprobación, por ejemplo un tipo de producto o una familia de procesos. Así que en el sector aeroespacial una lista de proveedores aprobados AS9100 no es solo una buena práctica, está nombrada en la norma.

El mismo apartado exige un proceso definido con responsabilidad y autoridad claras para decidir el estado de aprobación, para cambiarlo y para fijar las condiciones en las que un proveedor todavía puede usarse de forma controlada mientras su estado es menor que la aprobación plena. Exige considerar el riesgo al seleccionar y al usar proveedores externos, revisar periódicamente su desempeño incluida la conformidad del producto y la entrega a tiempo, y definir acciones cuando un proveedor incumple los requisitos. También deja claro que sigues siendo responsable de la calidad de todo lo que compras, incluido lo que viene de fuentes designadas por el cliente.

Otras dos costumbres del sector aeroespacial aparecen en la propia lista. El alcance de la aprobación tiene que ser lo bastante específico para servir de algo, porque un proveedor aprobado para mecanizar no queda aprobado automáticamente para soldar. Y la prevención de piezas falsificadas, que cubre el apartado 8.1.4, es una de las razones por las que los distribuidores y los intermediarios suelen seguir una ruta de aprobación separada de la de los fabricantes originales, y por lo que muchas listas aeroespaciales llevan una columna de tipo de proveedor.

Qué añade IATF 16949

IATF 16949:2016 es la más prescriptiva de las tres sobre cómo se seleccionan y se vigilan los proveedores. El apartado 8.4.1.2 exige un proceso documentado de selección de proveedores que incluya una evaluación del riesgo que el proveedor supone para la conformidad del producto y para el suministro ininterrumpido a tu cliente, el desempeño de calidad y de entrega del proveedor, una evaluación de su sistema de gestión de la calidad y una toma de decisiones multidisciplinaria. Seleccionar no es cosa de un comprador actuando solo.

El apartado 8.4.2.3 espera que los proveedores del sector automotriz lleven su sistema de gestión de la calidad hacia la certificación IATF 16949, avanzando por una secuencia definida: conformidad con ISO 9001 verificada mediante auditoría de segunda parte, luego certificación ISO 9001 por una tercera parte, luego ISO 9001 con requisitos adicionales definidos por el cliente, y por último la certificación completa IATF 16949. Esa progresión es una razón real para registrar algo más que un sí o un no en la columna de certificación, porque el escalón en el que está un proveedor forma parte de tu plan de desarrollo para él.

El apartado 8.4.2.4 nombra después los indicadores de seguimiento: conformidad del producto entregado, alteraciones causadas en tu planta receptora incluidas las retenciones en patio y los paros de embarque, cumplimiento del programa de entregas y casos de flete extraordinario. Cuando el cliente las facilita, también entran las notificaciones de estatus especial y las incidencias en campo. Las auditorías de segunda parte se tratan aparte, en el 8.4.2.4.1. En la práctica una lista del sector automotriz lleva una columna de calificación de desempeño que se refresca con datos reales y no con opiniones, que es justo para lo que sirve una ficha de evaluación de proveedores.

ISO 13485 y el suministro regulado

El apartado 7.4.1 de ISO 13485:2016 exige criterios para la evaluación y la selección de proveedores basados en su capacidad para cumplir tus requisitos, en su desempeño, en el efecto que el producto comprado tiene sobre la calidad del dispositivo médico y proporcionados al riesgo asociado a ese dispositivo. El seguimiento y la reevaluación tienen que estar planificados, y hay que conservar registros de la evaluación, la selección, el seguimiento y la reevaluación. Cuando un proveedor incumple los requisitos de compra, la respuesta tiene que ser proporcionada al riesgo y coherente con los requisitos reglamentarios aplicables.

La consecuencia práctica es que la lista de un fabricante de dispositivos médicos suele llevar una columna de clasificación de riesgo y una referencia al acuerdo escrito con el proveedor, porque ISO 13485 espera acuerdos en los que el proveedor te notifique los cambios del producto comprado antes de hacerlos. Un proveedor que mueve en silencio un molde a un segundo sitio es un problema real en este sector, así que la lista no solo sigue la aprobación, también el acuerdo que limita el cambio.

Los proveedores de calibración y ensayo son un caso aparte

Si envías instrumentos fuera a calibrar, ese proveedor de calibración pertenece a la lista como cualquier otro proceso externo. El apartado 6.6 de ISO/IEC 17025 pone el mismo deber sobre los laboratorios respecto de sus propios proveedores externos: definir requisitos, revisar y aprobar a los proveedores y hacer seguimiento de su desempeño, conservando registros.

La trampa está en la palabra acreditado. La acreditación ISO/IEC 17025 se concede contra un alcance definido: magnitudes, intervalos de medida y capacidades de calibración y medición concretos. Un laboratorio puede estar genuinamente acreditado y aun así quedar fuera de su alcance para la medición exacta que necesitas, y en ese caso el certificado que recibes no lleva la marca de acreditación que dabas por hecha. Por eso la columna de alcance importa más en los proveedores de calibración que en casi ningún otro: registra las mediciones para las que los aprobaste, no solo la norma de su certificado, y consulta el documento de alcance en lugar del logotipo.

Las columnas que tiene una lista útil, y por qué

La mayoría de las plantillas de AVL fallan en una de dos direcciones. O son demasiado pobres para responder una pregunta, o tan anchas que nadie las mantiene al día. Estas son las columnas que se ganan su sitio.

• Nombre del proveedor. La entidad legal, no el contacto comercial ni el nombre comercial de la factura. Si compras a dos sitios del mismo grupo, ponlos por separado, porque la aprobación sigue al sitio que hace el trabajo.
• Categoría o familia. Qué familia de gasto es: piezas mecanizadas, fundiciones, componentes electrónicos, tratamiento térmico, calibración, logística. Es la columna que te deja filtrar la lista y te da una forma sensata de asignar niveles de riesgo en bloque.
• Estado de aprobación. Aprobado, condicional, descalificado o pendiente. Un campo con un conjunto fijo de valores. El texto libre aquí es lo que pudre una lista, porque nadie puede filtrar nueve formas distintas de escribir en espera.
• Base de la aprobación. Certificación por tercera parte, auditoría en planta, cuestionario y primer artículo, desempeño histórico o designación del cliente. Es la columna a la que un auditor va primero, porque explica por qué el estado dice lo que dice.
• Certificación y vencimiento. Qué norma tienen y cuándo caduca el certificado. Una fecha de vencimiento convierte un registro estático en algo que puede avisarte. Es el único campo de una lista típica que cambia de estado por sí solo.
• Alcance del suministro. Lo que están aprobados a proveer, con el detalle suficiente para poder exigirlo. Piezas de acero torneadas hasta 200 mm es un alcance. Mecanizado es un deseo.
• Última evaluación y fecha de la próxima revisión. La fecha en la que miraste por última vez y la fecha en la que te toca mirar otra vez. Sin la segunda fecha, la reevaluación ocurre cuando alguien se acuerda, que en la práctica es la semana antes de la auditoría.
• Responsable de la aprobación. La persona concreta que dio el visto bueno. Aprobar es una decisión, y las decisiones tienen responsable.
• Nivel de riesgo. Alto, medio o bajo, según lo que el suministro le hace a tu producto y lo fácil que sería reemplazarlo. El riesgo es lo que hace operativo, y no decorativo, el lenguaje de control proporcionado de las normas.
• Cláusulas de calidad o referencia del acuerdo. Las cláusulas del pedido, el acuerdo de calidad o los requisitos que se trasladan en cascada y que aplican. Es el enlace al apartado 8.4.3 y a cualquier control de subniveles que esperes.

El generador de arriba usa las siete columnas centrales para que la exportación siga siendo legible. Añade el resto como columnas extra del CSV una vez lo tengas en una hoja de cálculo, y mantén estable el conjunto de columnas después, porque una lista que cambia de forma cada trimestre no se puede analizar como tendencia.

Aprobado, condicional, descalificado

Estas tres palabras cargan con casi todo el peso de la lista, así que defínelas una vez y úsalas igual siempre.

Aprobado significa que el proveedor cumplió tus criterios, la evidencia está archivada y los compradores pueden emitir pedidos dentro del alcance registrado sin preguntarle a nadie. Es el estado normal en el que quieres que esté la mayor parte de la lista.

Condicional significa que vas a seguir comprando, pero con una restricción concreta y una fecha de fin. Los detonantes típicos son un certificado caducado, una acción correctiva abierta, un proceso o un sitio nuevo, o un escape de calidad en investigación. Un condicional sin restricción y sin fecha de revisión es un aprobado con cara de preocupación, y es el estado que los auditores más aprietan. Escribe cuál es la condición, qué tiene que pasar para levantarla y para cuándo: inspección en origen en cada lote hasta que pasen tres lotes seguidos, por ejemplo.

Descalificado significa que no hay pedidos nuevos. Deja estas filas en la lista en lugar de borrarlas, porque el registro de por qué se retiró a un proveedor vale más que la fila que te ahorras al ocultarla, y porque evita que un comprador lo vuelva a aprobar por accidente el año que viene. Algunos equipos añaden un cuarto estado, pendiente, para proveedores en evaluación que todavía no pueden recibir pedidos. Así el proceso queda a la vista sin contaminar el conjunto de aprobados.

Cada cuánto reevaluar

Ninguna de las normas nombra una frecuencia, y eso es deliberado: te piden planificar el seguimiento y la reevaluación, no obedecer un calendario que puso otro. Una base defendible que la mayoría de los auditores reconoce es una reevaluación anual de cada proveedor activo, con el ciclo acortado cuando el riesgo es mayor. Los proveedores de procesos especiales, las fuentes únicas y cualquiera con una acción correctiva abierta se revisan habitualmente cada seis meses.

Dos cosas deberían disparar una revisión al margen del calendario. La primera es un evento: un escape de calidad, una entrega fallida que perjudicó a un cliente, un cambio de propiedad, una mudanza a un sitio nuevo o un cambio en un proceso que aprobaste. La segunda es que un certificado llegue a su fecha de vencimiento, porque ese día la evidencia detrás de la aprobación deja de ser válida, tenga el desempeño del proveedor la pinta que tenga.

Los proveedores a los que no has comprado durante el periodo de revisión no necesitan una reevaluación completa. Márcalos como inactivos, registra que no se emitieron pedidos y vuelve a comprobarlos antes del siguiente pedido, en lugar de hacer papeleo por una relación que ahora mismo no está en marcha.

Qué pregunta de verdad un auditor

Las auditorías de control de proveedores suelen seguir los mismos tres pasos, y arrancan de tus datos y no de tu lista. El auditor saca un puñado de pedidos o de registros de recepción recientes, elige a los proveedores que aparecen en ellos y entonces pide: enséñame cómo se aprobó a este, enséñame la evidencia detrás y enséñame cuándo lo revisaste por última vez. Si el proveedor del pedido no está en la lista, el hallazgo se escribe solo.

Los dos hallazgos más comunes en esta área no son conceptuales, son de oficina. El primero es un proveedor que sigue listado como aprobado con un certificado que venció hace meses. El segundo es una fecha de reevaluación que ya pasó sin registro de ninguna revisión. Los dos se pueden evitar, y a los dos apuntan los avisos de vencimiento del generador de arriba. Imprime o exporta la lista antes de una auditoría, pero mantén la versión viva en un sitio que pueda decirte cuándo ha pasado una fecha.

Dónde deja de funcionar la hoja de cálculo

Una hoja de cálculo sirve perfectamente como plantilla de lista de proveedores aprobados cuando la lista es corta. Deja de bastar por una razón sencilla: una hoja de cálculo no le avisa a nadie de que una fecha ya pasó. Los certificados vencen en silencio, las fechas de revisión se quedan atrás y el archivo solo habla cuando alguien lo abre. Añade unas decenas de proveedores, varias normas con ciclos de renovación distintos y dos personas editando copias separadas, y la lista se aleja de la realidad sin que nadie haya hecho nada mal.

Ese es el hueco que conviene cerrar primero, y es pequeño: certificados, estados de aprobación y fechas de revisión en un solo sitio que vigila el calendario por ti. Todo lo demás de una lista de deseos de calidad de proveedores puede esperar hasta que eso esté firme.