Equipo Consultto
Especialistas en sistemas de gestión · 9 sep 2026
El auditor recorrió el mapa de procesos y encontró que entre el maquinado y la inspección final había un salto de cuatro días. Preguntó qué pasaba en esos cuatro días y le dijeron lo obvio: la pieza se manda a tratamiento térmico. El proceso llevaba ocho años contratado con el mismo taller, funcionaba bien y nadie tenía queja de él. También llevaba ocho años sin aparecer en el mapa de procesos, sin especificación escrita, sin plan de control, sin un solo registro del ciclo del horno y sin más criterio de aceptación que una dureza medida a una pieza por lote a la vuelta. El hallazgo no fue por el taller: fue porque un proceso que decide la conformidad del producto estaba fuera del sistema.
Un proceso externalizado es aquel que forma parte del sistema de gestión de la organización, que es necesario para que el producto cumpla, y que se decide ejecutar a través de un proveedor externo. La distinción con una compra no está en el contrato sino en la naturaleza de lo que se recibe: cuando se compra un producto se recibe algo que el proveedor fabricó bajo su propia responsabilidad de diseño y proceso; cuando se externaliza un proceso, la pieza es propia, sale de la planta, se le hace algo y regresa transformada. La responsabilidad del resultado no cambia de dueño en ese viaje.
La lista de lo que suele externalizarse es siempre la misma y casi siempre incluye procesos que deciden características que después no se pueden verificar por inspección: tratamiento térmico, recubrimientos y galvanoplastia, pintura, soldadura, esterilización, moldeo, corte por láser, maquinado de piezas propias, calibración de instrumentos, ensayos de laboratorio, transporte con condiciones controladas y, cada vez más, servicios de tecnología de la información que sostienen registros del sistema. Que el proveedor sea excelente no elimina el requisito: elimina el problema, no la obligación de demostrar el control.
De ahí sale la regla que ordena todo el tema: un proceso externalizado no se excluye del alcance del sistema. Se mantiene dentro, se identifica como tal en el mapa de procesos y se le aplican controles determinados por la organización. Lo único que cambia respecto a un proceso interno es la forma del control, que ya no puede ser supervisión directa y tiene que construirse con especificación, aprobación, evidencia y verificación.
El grado del control se decide por el impacto que el proceso tiene en la capacidad de entregar producto conforme y por la eficacia de los controles que el propio proveedor ya aplica. Con ese par de criterios se arma la escala: un proceso que decide una característica especial y cuyo resultado no se puede verificar después exige el control más alto, mientras que uno cuyo resultado se verifica al cien por ciento a la vuelta admite uno más ligero. La consecuencia es que no todos los proveedores de proceso se tratan igual, y que la matriz de control tiene que poder explicarse con esos dos criterios y no con la antigüedad de la relación.
Los controles concretos son pocos y se combinan. La calificación inicial del proveedor, que para un proceso especial significa evaluar el proceso y no solo el sistema. La especificación técnica escrita, que dice qué se le va a hacer a la pieza, con qué parámetros y contra qué criterio de aceptación se acepta. El plan de control del proceso externo, con los parámetros que se vigilan y su frecuencia. La evidencia de la ejecución, que es el registro del ciclo real: la gráfica del horno, el espesor del recubrimiento, los parámetros del baño, el certificado del lote. La verificación a la recepción, con su método y su tamaño de muestra. El acuerdo de calidad, que fija el derecho de acceso a las instalaciones, la obligación de notificar cambios y la prohibición de subcontratar sin autorización. Y la auditoría en sitio con una frecuencia basada en el riesgo.
El control que más se olvida es el de los cambios. Un proveedor de proceso que cambia el horno, el proveedor de la sal, la formulación del baño o la planta donde ejecuta el trabajo está cambiando el proceso, aunque el resultado se vea igual. Si el acuerdo no obliga a notificarlo antes de aplicarlo, la organización se entera cuando aparece el defecto, y para entonces el material afectado ya está en el mercado.
La responsabilidad de la conformidad del producto se queda siempre en quien lo entrega al cliente. Esa es la frase que resuelve las tres discusiones habituales. La primera: que el proveedor esté certificado no sustituye el control, porque su certificado cubre su sistema y no la ejecución de esta pieza en particular. La segunda: que el cliente haya designado al proveedor no libera a la organización de vigilarlo, solo cambia quién lo eligió. La tercera: que el proceso lo ejecute otra planta del mismo corporativo no lo convierte en interno si está fuera del alcance del sistema certificado.
El caso más incómodo es el del proveedor que a su vez subcontrata. El taller de tratamiento térmico que en temporada alta manda la carga a otro horno, el recubridor que envía el cromado a un tercero, el laboratorio que deriva un ensayo. Si el acuerdo no lo prohíbe o no obliga a informarlo, el proceso se ejecuta en un lugar que la organización nunca evaluó, con parámetros que nunca aprobó, y la trazabilidad se interrumpe justo donde más se necesita.
¿Quieres implementar tu sistema de gestión?
La norma es explícita desde el capítulo del sistema: cuando la organización decide contratar externamente un proceso que afecta la conformidad de los productos, tiene que asegurarse del control sobre ese proceso, y ese proceso permanece dentro del alcance. En el capítulo de operación lo desarrolla: el control de los procesos suministrados externamente aplica cuando un proceso, o parte de un proceso, lo proporciona un proveedor externo, y obliga a asegurarse de que no afecta de manera adversa la capacidad de entregar producto conforme.
Sobre eso se apilan tres obligaciones concretas. Determinar y aplicar criterios para la evaluación, la selección, el seguimiento del desempeño y la reevaluación de los proveedores externos, y conservar la información documentada de esas actividades. Considerar el impacto potencial del proceso externalizado sobre la capacidad de cumplir y la eficacia de los controles que el proveedor aplica, para definir los propios. Y comunicar al proveedor externo los requisitos: los procesos, productos y servicios a proporcionar, la aprobación de métodos, procesos y equipos, la competencia requerida del personal, la interacción con el sistema de gestión, el control y el seguimiento del desempeño que se le aplicará, y las actividades de verificación que la organización o su cliente pretenden llevar a cabo en las instalaciones del proveedor. A eso se suma el control de los cambios y la liberación, que exige la evidencia de conformidad antes de continuar.
En automotriz la exigencia se endurece en dos direcciones. Por un lado, los procesos externalizados tienen que estar identificados en el alcance del sistema y el proveedor debe ser desarrollado hacia la certificación, con un plan y etapas definidas. Por otro, los procesos especiales tienen evaluaciones específicas por tipo (tratamiento térmico, recubrimientos, pintura, soldadura y ensamble electrónico), que el proveedor debe cumplir y que el cliente pide como condición para aprobarlo. Un proceso especial externalizado sin esa evaluación es un hallazgo por sí mismo.
En dispositivos médicos la norma obliga a establecer acuerdos de calidad por escrito con los proveedores de procesos externalizados y a aplicar un control proporcional al riesgo del dispositivo, además de conservar la evidencia de la evaluación. En aeroespacial se agrega la obligación de trasladar al proveedor todos los requisitos aplicables del cliente, incluidas las aprobaciones de procesos especiales que solo el cliente puede otorgar, y la prohibición de subcontratar sin autorización previa. En los tres casos el sentido es el mismo: si el proceso decide la conformidad y no está a la vista, la evidencia lo tiene que sustituir.
La relación con el proveedor de proceso suele nacer bien y envejecer sin supervisión: se eligió con cuidado, funcionó, y a partir de ahí el control se volvió costumbre. Nadie vuelve a la planta del proveedor, la especificación sigue siendo la que se acordó por teléfono y la evidencia del ciclo nunca se pidió porque las piezas regresan bien. En Hermosillo el problema tiene además un componente de distancia: buena parte de los procesos especiales que necesitan el ensamble automotriz, la proveeduría aeroespacial, la minería y la agroindustria de Sonora se ejecuta en talleres que están a cientos de kilómetros, lo que hace que la auditoría en sitio se posponga, que la verificación se reduzca a mirar la pieza y que el material viaje días con la trazabilidad colgando de una etiqueta. Cerrar eso (proceso identificado en el alcance, especificación y plan de control escritos, evidencia del ciclo por lote y frecuencia de auditoría basada en riesgo) es parte de lo que se ordena en la Consultoría ISO 9001 en Hermosillo, donde lo que se hace fuera de la planta se controla con la misma exigencia que lo que se hace dentro.
Un proceso externalizado es parte del sistema de gestión aunque lo ejecute alguien más, y por eso no se excluye del alcance. El grado del control se decide por el impacto que ese proceso tiene en la conformidad del producto y por la eficacia de los controles del proveedor, y se materializa en calificación, especificación técnica, plan de control, evidencia del ciclo, verificación a la recepción, acuerdo escrito con notificación de cambios y auditoría en sitio. La norma obliga a comunicar al proveedor todos los requisitos, incluidos la competencia del personal y las verificaciones que se harán en sus instalaciones. Lo único que nunca se externaliza es la responsabilidad: el cliente reclama a quien firmó la entrega, no al taller que hizo el tratamiento.
Empieza hoy
Sin compromisos. Sin presentaciones genéricas. Te escuchamos, entendemos tu empresa y te decimos honestamente qué necesitas y cómo podemos ayudarte.
Reunión confirmada
Solicitud enviada · Mié 2 Abr, 10:00 AM
Déjanos tus datos y un consultor se pone en contacto contigo en menos de 30 minutos.