Cuándo hay que auditar a un proveedor y cómo

Una empresa con ciento veinte proveedores activos no puede auditarlos a todos, y tampoco tiene por qué. Pero la respuesta "no auditamos proveedores" tampoco se sostiene cuando el auditor pregunta cómo controlas a quien te surte el componente crítico. El punto intermedio no se decide por intuición: se decide con un criterio de riesgo escrito que explique por qué a unos los visitas, a otros les mandas un cuestionario y a otros solo los evalúas por desempeño.

Qué determina el nivel de control

• —Impacto del suministro en la conformidad del producto final: no es lo mismo el proveedor de la materia prima que va al producto que el del servicio de jardinería.
• —Si el proveedor ejecuta un proceso subcontratado. Cuando externalizas un tratamiento térmico, un laboratorio o una esterilización, sigues siendo responsable de ese proceso y el control tiene que ser mayor.
• —Certificaciones vigentes de tercera parte: un proveedor con ISO 9001 o IATF 16949 vigente y auditado por un organismo acreditado justifica reducir tu propio esfuerzo de auditoría.
• —Historial de desempeño: incidencias, rechazos, entregas fuera de plazo o reclamaciones abiertas suben el nivel de control aunque el proveedor esté certificado.
• —Requisitos del cliente o legales: en automotriz, dispositivos médicos o alimentos, el cliente o la regulación pueden exigir auditoría en sitio sin importar tu evaluación de riesgo.
• —Si es proveedor único o difícil de sustituir: ahí el riesgo de continuidad se suma al de calidad.

Tres niveles de auditoría

La auditoría documental revisa evidencia enviada por el proveedor: certificados, procedimientos, resultados de laboratorio. Es la de menor costo y la apropiada para proveedores de bajo riesgo. El cuestionario de autoevaluación va un paso más allá: el proveedor responde un formato estructurado y adjunta evidencia, y tú verificas la coherencia. La auditoría en sitio es la única que permite ver el proceso real, entrevistar al personal y revisar registros en su origen, y se reserva para proveedores críticos, procesos subcontratados y casos con problemas de desempeño.

Qué revisar en la auditoría en sitio

El error más común es llegar con el checklist genérico de la ISO 9001 y auditar el sistema del proveedor cláusula por cláusula. Eso ya lo hizo su organismo certificador. Lo que a ti te interesa es el proceso específico que produce lo que te vende: control de las características que tú especificaste, calibración de los instrumentos con los que las verifica, trazabilidad de lote, control de cambios de proceso o material, tratamiento del producto no conforme y las acciones que tomó ante tus reclamaciones previas. Una auditoría de proveedor útil es estrecha y profunda, no ancha y superficial.

Sin seguimiento, la auditoría no cuenta

La auditoría genera hallazgos y los hallazgos exigen plan de acción del proveedor, con fechas y verificación de cierre. Un informe de auditoría de hace dos años con seis hallazgos abiertos es peor que no haber auditado: demuestra que detectaste problemas y no hiciste nada. Lo mismo aplica al ciclo completo — reevaluar según la frecuencia que tú mismo definiste, y ajustar el nivel de control cuando el desempeño cambia.

Mantener vivo el expediente de cada proveedor

La parte difícil no es hacer la auditoría, es sostener el ciclo con decenas de proveedores a la vez: quién toca este trimestre, qué certificado vence el mes que entra, qué hallazgo lleva noventa días abierto, qué proveedor acumuló incidencias suficientes para subir de nivel de control. Eso es exactamente lo que resuelve un Software de Gestión y Evaluación de Proveedores ISO 9001: cada proveedor con su clasificación de riesgo, sus documentos vigentes y sus alertas de vencimiento, sus auditorías con hallazgos ligados a su cierre, y el desempeño calculado con las incidencias reales en lugar de con una impresión.