Cómo se define el control sobre un proveedor externo

Una empresa mantiene un padrón de ochenta proveedores. A todos les pide lo mismo: alta en el sistema, copia del certificado ISO si lo tienen y una evaluación anual con la misma hoja de cálculo. El proveedor de café y el que suministra el componente que define la función del producto reciben idéntico tratamiento. El auditor no observa que falte control: observa que no hay criterio para decidir cuánto control necesita cada quien, que es exactamente lo que pide el requisito.

Lo que la norma pide determinar

El requisito de control de los procesos, productos y servicios suministrados externamente tiene dos partes que suelen leerse como una sola. La primera es asegurar que lo suministrado externamente cumpla los requisitos. La segunda —la que casi nadie documenta— es determinar el tipo y el alcance del control que se aplicará a cada proveedor. Es decir, no basta con controlar: hay que poder explicar por qué a este proveedor se le audita en sitio y a aquel le basta con una inspección de recibo.

Los criterios que sostienen esa decisión

• —El impacto potencial de lo suministrado sobre la capacidad de cumplir los requisitos del cliente y los legales aplicables.
• —Qué tan crítico es el proceso, producto o servicio para la conformidad de lo que se entrega al cliente final.
• —La eficacia de los controles que el propio proveedor ya aplica, verificada y no supuesta.
• —El desempeño histórico: rechazos, entregas fuera de tiempo, reclamos y respuesta ante no conformidades previas.
• —Si el proveedor fue impuesto por el cliente, caso en el que sigue existiendo obligación de control aunque no haya libertad de selección.

Los tres supuestos que activan el requisito

La norma delimita cuándo aplica y conviene tenerlo claro porque define el alcance del padrón. Aplica cuando lo suministrado se incorpora al propio producto o servicio; cuando el proveedor entrega directamente al cliente en nombre de la organización —una entrega directa de fábrica, un servicio de instalación subcontratado—; y cuando un proceso o parte de un proceso se contrata externamente por decisión de la organización. Ese tercer supuesto es el que suele quedar fuera del padrón: un tratamiento térmico, una calibración, una transportación especializada.

El certificado del proveedor no es el control

Pedir el certificado ISO como único requisito de aprobación es el atajo más común y el más débil. Un certificado dice que un tercero encontró un sistema conforme en una fecha, con un alcance que puede no cubrir el proceso que a esta empresa le interesa. Es un insumo válido para reducir el control, no un sustituto de definirlo: sigue haciendo falta verificar que el alcance del certificado incluya lo que se compra, que esté vigente y que el desempeño real lo respalde.

Qué comunicarle al proveedor

La otra mitad del requisito es la comunicación, y suele ser donde aparecen los hallazgos. Antes de comprar hay que dejar claro qué se espera: los requisitos del producto o servicio, la aprobación de métodos y equipo cuando aplique, los requisitos de competencia del personal del proveedor, cómo interactúa con el sistema de gestión de la organización, qué controles se le van a verificar y qué actividades de verificación se harán en sus instalaciones. Un pedido que solo dice cantidad, precio y fecha deja sin base cualquier reclamo posterior.

Cómo se ordena en la práctica

Lo que funciona es segmentar el padrón en tres o cuatro niveles según impacto y desempeño, y asignar a cada nivel un régimen distinto: inspección al recibo para lo commodity, verificación documental y evaluación periódica para lo intermedio, auditoría en sitio y acuerdo de calidad para lo crítico. En Yucatán, donde la agroindustria y los servicios de Mérida trabajan con cadenas de suministro cortas donde un solo proveedor concentra un insumo sin alternativa cercana, esa segmentación cambia bastante respecto a un corredor industrial con muchas opciones. En la Consultoría ISO 9001 en Mérida se arranca por ahí, porque un padrón sin niveles gasta el mismo esfuerzo en todo y protege poco.