Générateur de liste des fournisseurs approuvés

Construire une liste des fournisseurs approuvés qui tient devant un audit

Ce qu'est vraiment une liste des fournisseurs approuvés

Une liste des fournisseurs approuvés est l'enregistrement maîtrisé de ceux auprès de qui vous avez le droit d'acheter, et pour quoi. C'est la réponse à une question qu'un acheteur pose chaque semaine et qu'un auditeur pose une fois par an. Cette société est-elle autorisée à fournir cette pièce ou cette prestation, et sur quelle base. La plupart des équipes la tiennent dans un tableur, et la plupart du temps ce tableur est parti d'un modèle de liste des fournisseurs approuvés téléchargé il y a des années.

La liste n'est pas la maîtrise. La maîtrise, c'est le processus derrière : comment un fournisseur y entre, quelle preuve l'y place, comment sa performance est surveillée, et ce qui l'en retire. La liste est simplement l'endroit où ce processus laisse ses empreintes. Une liste avec des noms et rien d'autre est un annuaire. Une liste qui enregistre la base de chaque approbation et la date du dernier contrôle est un enregistrement.

Ce qu'exige l'article 8.4 d'ISO 9001

L'article 8.4 d'ISO 9001:2015 s'intitule maîtrise des processus, produits et services fournis par des prestataires externes. Il s'applique quand ce que vous achetez entre dans votre propre produit, quand un prestataire externe livre directement à votre client pour votre compte, et quand vous externalisez une partie de vos propres processus. Ce dernier cas couvre plus de choses qu'on ne le croit : traitement thermique, revêtement, anodisation, contrôle non destructif, stérilisation et étalonnage sont tous des processus dont vous restez responsable du résultat, même si quelqu'un d'autre les réalise.

L'article 8.4.1 est la phrase qui crée la liste. Il exige de déterminer et d'appliquer des critères d'évaluation, de sélection, de surveillance des performances et de réévaluation des prestataires externes, fondés sur leur aptitude à fournir conformément à vos exigences, et de conserver des informations documentées sur ces activités et sur toute action découlant des évaluations. Quatre verbes, et chacun laisse une trace : comment vous les avez jugés, comment vous les avez choisis, comment vous les surveillez, comment vous les recontrôlez.

L'article 8.4.2 ajoute que le type et l'étendue de la maîtrise doivent être proportionnés : plus l'élément fourni pèse sur votre aptitude à satisfaire aux exigences, plus la maîtrise doit être serrée. C'est ce qui vous autorise à traiter une pièce de fonderie usinée en source unique autrement qu'un carton de chiffons d'atelier. L'article 8.4.3 couvre ce que vous devez communiquer au fournisseur avant le démarrage : processus à fournir, exigences d'approbation, compétences attendues, et la maîtrise et la surveillance que vous comptez appliquer. Une liste des fournisseurs approuvés bien construite renvoie à ces informations, en général les clauses qualité ou les conditions du bon de commande applicables.

Ce qu'AS9100 ajoute

AS9100D reprend tout l'article 8.4 d'ISO 9001, puis rend la liste explicite. L'article 8.4.1.1 demande à l'organisme de tenir un registre de ses prestataires externes qui enregistre le statut d'approbation, avec des catégories comme approuvé, sous condition et désapprouvé, ainsi que le périmètre de cette approbation, par exemple un type de produit ou une famille de procédés. Dans l'aéronautique, une liste des fournisseurs approuvés n'est donc pas une simple bonne pratique. Elle est nommée dans la norme.

Le même article exige un processus défini, avec une responsabilité et une autorité claires pour décider du statut d'approbation, pour le modifier, et pour fixer les conditions dans lesquelles un fournisseur peut encore être utilisé de façon maîtrisée alors que son statut est inférieur à une approbation pleine. Il exige de prendre en compte le risque lors de la sélection et de l'utilisation des prestataires externes, une revue périodique de leur performance incluant la conformité du produit et la ponctualité des livraisons, et des actions définies lorsqu'un prestataire ne satisfait pas aux exigences. Il rappelle aussi que vous restez responsable de la qualité de tout ce que vous achetez, y compris auprès des sources désignées par le client.

Deux autres habitudes aéronautiques se voient dans la liste elle-même. Le périmètre d'approbation doit être assez précis pour servir, parce qu'un fournisseur approuvé pour l'usinage n'est pas automatiquement approuvé pour le soudage. Et la prévention des pièces contrefaites, traitée à l'article 8.1.4, explique que les distributeurs et les négociants suivent en général une voie d'approbation distincte de celle des fabricants d'origine. C'est pourquoi beaucoup de listes aéronautiques portent une colonne de type de fournisseur.

Ce qu'IATF 16949 ajoute

IATF 16949:2016 est la plus prescriptive des trois sur la façon dont les fournisseurs sont choisis et surveillés. L'article 8.4.1.2 exige un processus documenté de sélection des fournisseurs qui inclut une évaluation du risque que le fournisseur fait peser sur la conformité du produit et sur la continuité de fourniture à votre client, la performance qualité et livraison du fournisseur, une évaluation de son système de management de la qualité, et une prise de décision pluridisciplinaire. La sélection n'est pas l'affaire d'un acheteur seul.

L'article 8.4.2.3 attend des fournisseurs automobiles qu'ils fassent progresser leur système de management de la qualité vers la certification IATF 16949, selon une séquence définie : conformité à ISO 9001 vérifiée par audit seconde partie, puis certification ISO 9001 par une tierce partie, puis ISO 9001 avec des exigences client supplémentaires, puis certification IATF 16949 complète. Cette progression est une vraie raison d'enregistrer autre chose qu'un oui ou un non dans la colonne certification, car la place du fournisseur sur cette échelle fait partie de votre plan de développement pour lui.

L'article 8.4.2.4 nomme ensuite les indicateurs de surveillance : conformité du produit livré, perturbations causées à votre usine de réception, y compris les blocages sur parc et les arrêts d'expédition, respect du calendrier de livraison, et recours au fret spécial. Lorsque le client les fournit, les notifications de statut particulier et les incidents terrain alimentent aussi le suivi. Les audits seconde partie sont traités à part en 8.4.2.4.1. En pratique, une liste automobile porte une colonne de notation de performance alimentée par des données réelles plutôt que par une opinion, ce qui est exactement l'objet d'une fiche d'évaluation fournisseur.

ISO 13485 et les achats réglementés

L'article 7.4.1 d'ISO 13485:2016 exige des critères d'évaluation et de sélection des fournisseurs fondés sur leur aptitude à satisfaire à vos exigences, sur leur performance, sur l'effet du produit acheté sur la qualité du dispositif médical, et proportionnés au risque associé à ce dispositif. La surveillance et la réévaluation doivent être planifiées, et les enregistrements d'évaluation, de sélection, de surveillance et de réévaluation doivent être conservés. Lorsqu'un fournisseur ne satisfait pas aux exigences d'achat, la réponse doit être proportionnée au risque et cohérente avec les exigences réglementaires applicables.

La conséquence pratique est qu'une liste du secteur des dispositifs médicaux porte en général une colonne de classification du risque et une référence à un accord fournisseur écrit, parce qu'ISO 13485 attend des accords par lesquels les fournisseurs vous informent des modifications du produit acheté avant qu'elles ne soient faites. Un fournisseur qui déplace discrètement un outillage de moulage vers un second site est un vrai problème dans ce secteur. La liste suit donc non seulement l'approbation, mais aussi l'accord qui encadre le changement.

Les prestataires d'étalonnage et d'essais sont un cas à part

Si vous envoyez des instruments à l'extérieur pour étalonnage, ce prestataire d'étalonnage a sa place dans la liste comme tout autre processus externalisé. L'article 6.6 d'ISO/IEC 17025 impose le même devoir aux laboratoires pour leurs propres prestataires externes : définir les exigences, examiner et approuver les prestataires, et surveiller leur performance, avec des enregistrements conservés.

Le piège, c'est le mot accrédité. L'accréditation ISO/IEC 17025 est accordée pour un périmètre défini : des grandeurs de mesure, des étendues et des aptitudes en matière de mesures et d'étalonnages précises. Un laboratoire peut être réellement accrédité et rester hors de son périmètre pour la mesure exacte dont vous avez besoin. Dans ce cas, le certificat que vous recevez ne porte pas la marque d'accréditation que vous croyiez. C'est pourquoi la colonne périmètre compte plus pour les prestataires d'étalonnage que pour presque tous les autres. Enregistrez les mesures pour lesquelles vous les avez approuvés, pas seulement la norme inscrite sur leur certificat, et vérifiez le document de portée plutôt que le logo.

Les colonnes d'une liste utile, et pourquoi

La plupart des modèles d'AVL échouent dans un sens ou dans l'autre. Ils sont trop maigres pour répondre à une question, ou si larges que personne ne les tient à jour. Voici les colonnes qui méritent leur place.

• Nom du fournisseur. L'entité juridique, pas le contact commercial ni le nom commercial porté sur la facture. Si vous achetez auprès de deux sites du même groupe, listez-les séparément, parce que l'approbation suit le site qui fait le travail.
• Catégorie ou famille d'achats. De quelle famille de dépenses il s'agit : pièces usinées, pièces de fonderie, composants électroniques, traitement thermique, étalonnage, logistique. C'est la colonne qui permet de filtrer la liste et d'attribuer des niveaux de risque en masse de façon saine.
• Statut d'approbation. Approuvé, sous condition, disqualifié ou en attente. Un seul champ, avec un jeu de valeurs fixe. C'est le texte libre qui fait pourrir une liste, parce que personne ne peut filtrer sur neuf orthographes différentes de en suspens.
• Base de l'approbation. Certification par tierce partie, audit sur site, questionnaire et contrôle de première pièce, historique de performance, ou source imposée par le client. C'est la colonne que l'auditeur regarde en premier, parce qu'elle explique pourquoi le statut dit ce qu'il dit.
• Certification et expiration. La norme qu'ils détiennent et la date de fin du certificat. Une date d'expiration transforme un enregistrement figé en quelque chose qui peut vous alerter. C'est le seul champ d'une liste courante qui change d'état tout seul.
• Périmètre de fourniture. Ce qu'ils sont approuvés à fournir, assez précis pour être opposable. Pièces en acier tournées jusqu'à 200 mm, c'est un périmètre. Usinage, c'est un souhait.
• Dernière évaluation et date de prochaine revue. La date où vous avez regardé pour la dernière fois, et celle où vous devrez regarder à nouveau. Sans la seconde date, la réévaluation a lieu quand quelqu'un y pense, c'est-à-dire en pratique la semaine avant l'audit.
• Responsable de l'approbation. La personne nommément désignée qui a validé. Une approbation est une décision, et une décision a un responsable.
• Niveau de risque. Élevé, moyen ou faible, selon ce que la fourniture fait à votre produit et la facilité avec laquelle vous pourriez la remplacer. Le risque est ce qui rend opérationnelle, et non décorative, l'exigence de maîtrise proportionnée des normes.
• Clauses qualité ou référence de l'accord. Les clauses du bon de commande, l'accord qualité ou les exigences répercutées qui s'appliquent. C'est le lien vers l'article 8.4.3 et vers toute maîtrise des rangs inférieurs que vous attendez.

Le générateur ci-dessus utilise les sept colonnes essentielles pour que l'export reste lisible. Ajoutez les autres en colonnes supplémentaires dans le CSV une fois qu'il est dans un tableur, et gardez ensuite le jeu de colonnes stable, parce qu'une liste qui change de forme chaque trimestre ne peut pas être suivie dans le temps.

Approuvé, sous condition, disqualifié

Ces trois mots portent l'essentiel du poids de la liste. Définissez-les une fois et employez-les toujours de la même façon.

Approuvé signifie que le fournisseur a satisfait à vos critères, que la preuve est au dossier, et que les acheteurs peuvent passer commande dans le périmètre enregistré sans rien demander à personne. C'est l'état par défaut que vous voulez pour l'essentiel de la liste.

Sous condition signifie que vous continuez à acheter, mais avec une restriction nommée et une date de fin. Les déclencheurs habituels sont un certificat périmé, une action corrective ouverte, un nouveau procédé ou un nouveau site, ou un défaut échappé en cours d'investigation. Sous condition, sans restriction ni date de revue, c'est simplement approuvé avec un air inquiet, et c'est le statut que les auditeurs creusent le plus. Écrivez la condition, ce qui doit arriver pour la lever, et pour quand : contrôle chez le fournisseur sur chaque lot jusqu'à trois lots conformes consécutifs, par exemple.

Disqualifié signifie plus aucune commande nouvelle. Gardez ces lignes dans la liste plutôt que de les supprimer. La trace de la raison pour laquelle un fournisseur a été écarté vaut plus que la ligne économisée en la masquant, et cela évite qu'un acheteur le réapprouve par erreur l'année suivante. Certaines équipes ajoutent un quatrième état, en attente, pour les fournisseurs en cours d'évaluation qui ne peuvent pas encore recevoir de commandes. Le vivier reste visible sans polluer l'ensemble approuvé.

À quelle fréquence réévaluer

Aucune des normes ne nomme de fréquence, et c'est voulu. Elles demandent de planifier la surveillance et la réévaluation, pas d'obéir à un calendrier fixé par un autre. Une base défendable que la plupart des auditeurs reconnaissent est une réévaluation annuelle de chaque fournisseur actif, avec un cycle raccourci quand le risque augmente. Les fournisseurs de procédés spéciaux, les sources uniques et tous ceux qui ont une action corrective ouverte sont couramment revus tous les six mois.

Deux choses doivent déclencher une revue, quel que soit le calendrier. La première est un événement : un défaut échappé, un retard de livraison qui a touché un client, un changement d'actionnaire, un déménagement vers un nouveau site, ou une modification d'un procédé que vous aviez approuvé. La seconde est un certificat qui atteint sa date d'expiration, parce que ce jour-là la preuve derrière l'approbation cesse d'être valable, quelle que soit la performance du fournisseur.

Les fournisseurs auprès de qui vous n'avez rien acheté sur la période de revue n'ont pas besoin d'une réévaluation complète. Marquez-les dormants, notez qu'aucune commande n'a été passée, et recontrôlez-les avant la prochaine commande plutôt que de faire de la paperasse pour une relation qui ne tourne pas.

Ce qu'un auditeur demande vraiment

Les audits de maîtrise des fournisseurs suivent en général les mêmes trois étapes, et ils partent de vos données plutôt que de votre liste. L'auditeur sort quelques bons de commande ou bons de réception récents, relève les fournisseurs correspondants, puis demande : montrez-moi comment celui-ci a été approuvé, montrez-moi la preuve derrière, et montrez-moi quand vous l'avez revu pour la dernière fois. Si le fournisseur du bon de commande n'est pas du tout dans la liste, l'écart s'écrit tout seul.

Les deux écarts les plus fréquents dans ce domaine ne sont pas conceptuels, ils sont administratifs. Le premier est un fournisseur toujours affiché approuvé sur la foi d'un certificat expiré depuis des mois. Le second est une date de réévaluation passée sans trace de revue. Les deux sont évitables, et les deux sont la cible des alertes d'expiration du générateur ci-dessus. Imprimez ou exportez la liste avant un audit, mais gardez la version vivante dans un endroit capable de vous dire qu'une date est passée.

Là où le tableur cesse de fonctionner

Pour une petite liste, un tableur fait très bien l'affaire comme modèle de liste des fournisseurs approuvés. Il cesse de suffire pour une raison simple. Un tableur ne prévient personne qu'une date est passée. Les certificats expirent sans bruit, les dates de revue passent, et le fichier ne parle que le jour où quelqu'un l'ouvre. Ajoutez quelques dizaines de fournisseurs, plusieurs normes aux cycles de renouvellement différents et deux personnes qui modifient des copies séparées, et la liste s'éloigne de la réalité sans que personne n'ait rien fait de mal.

C'est l'écart qu'il vaut la peine de combler en premier, et il est petit : les certificats, les statuts d'approbation et les dates de revue tenus au même endroit, par un système qui surveille le calendrier à votre place. Tout le reste d'une liste de souhaits qualité fournisseurs peut attendre que ce socle soit solide.