En resumen
El capítulo 8.4 de la ISO 9001 exige controlar a los proveedores externos en proporción a su impacto en lo que entregas: no impone formularios, puntuaciones ni frecuencias.
Clasificar a los proveedores por impacto y sustituibilidad concentra el control serio en los pocos proveedores críticos.
La homologación requiere criterios escritos y verificables; el certificado del proveedor es un indicio sólido, no una garantía.
La frecuencia de reevaluación la decides tú: vincúlala a la criticidad y añade desencadenantes como reclamaciones graves o no conformidades repetidas.
Los proveedores que tratan tus datos entran también en los controles 5.19–5.22 de la ISO/IEC 27001:2022: amplía el mismo proceso con criterios de seguridad.
Un proveedor no conforme se convierte en tu problema ante el cliente y ante el auditor. Si un lote de material llega fuera de tolerancia, si un transportista entrega tarde o si un proveedor de software pierde datos, el cliente no le pide cuentas a él: te las pide a ti. Por eso la evaluación de proveedores es uno de los requisitos de la ISO 9001 que un auditor revisa casi siempre, y uno de aquellos en los que las pymes tropiezan con más frecuencia.
El problema rara vez es la ausencia de una lista de proveedores. Es que la lista lleva años sin tocarse, los criterios no están por escrito, nadie sabe explicar por qué un proveedor está "homologado" y las no conformidades de entrada nunca vuelven a la evaluación. En esta guía vemos qué exige realmente la norma, cómo clasificar a los proveedores según el riesgo, qué criterios de homologación usar, cada cuánto reevaluarlos y cómo mantener una trazabilidad que resista la auditoría. También encontrarás qué añade la ISO/IEC 27001 cuando el proveedor trata tus datos, un ejemplo concreto y una checklist final.
¿Qué exige la ISO 9001 sobre la evaluación de proveedores?
La ISO 9001 exige controlar lo que llega del exterior de forma proporcional a su impacto. No impone un formulario, una puntuación ni una frecuencia: impone criterios definidos, aplicados y registrados.
El requisito está en el capítulo 8.4 de la norma, titulado "Control de los procesos, productos y servicios suministrados externamente". Se divide en tres partes: 8.4.1 (generalidades), 8.4.2 (tipo y alcance del control) y 8.4.3 (información para los proveedores externos). Esta estructura es la misma de la edición 2015 y el resumen oficial de los cambios introducidos con la edición más reciente de la ISO 9001 no recoge cambios en este capítulo. Si quieres encuadrar el requisito en el conjunto del sistema de calidad, empieza por nuestra guía sobre el sistema de gestión de la calidad ISO 9001.
Quién entra en el perímetro de los proveedores externos
El término "proveedor externo" es más amplio que "quien te vende materias primas". En la práctica entran en el perímetro tres situaciones: quien te suministra materiales, componentes o servicios que pasan a formar parte de tu producto o servicio; quien entrega algo directamente a tu cliente en tu nombre; y quien realiza un proceso completo que has decidido externalizar, como un mecanizado subcontratado, un laboratorio de ensayos o un servicio de asistencia técnica.
Normalmente quedan fuera los proveedores que no tocan lo que entregas al cliente: el material de oficina, la limpieza de las oficinas, la cafetería de la empresa. El criterio es el impacto, no el volumen de gasto. Un pequeño laboratorio que calibra tus instrumentos de medición puede ser más crítico que un gran proveedor de embalajes genéricos. Dejar por escrito qué categorías de proveedores están dentro del sistema, y por qué, es el primer paso para no dispersar esfuerzos en las irrelevantes.
Los registros que debes conservar
La norma exige conservar información documentada sobre las actividades de evaluación, selección, seguimiento del desempeño y reevaluación de los proveedores externos, junto con las acciones que se deriven de ellas. Lo confirma también la guía oficial del comité técnico ISO/TC 176/SC 2 sobre los requisitos de información documentada de la ISO 9001, que incluye estos registros entre los que deben conservarse.
En la práctica: no basta con decir "el proveedor está homologado", tienes que poder mostrar en qué te basaste para decidirlo, cuándo, quién lo decidió y qué pasó después. Una lista de proveedores con nombres y fechas pero sin evidencias detrás no cumple el requisito. En cambio, una ficha por proveedor con criterios, resultado, fecha de la próxima reevaluación y vínculo con las no conformidades registradas es exactamente lo que busca el auditor.
¿Cómo clasificar a los proveedores según el riesgo?
No todos los proveedores merecen el mismo nivel de control. El apartado 8.4.2 pide establecer el tipo y el alcance de los controles: el nivel de atención debe crecer con el efecto potencial del proveedor sobre la calidad de lo que entregas.
Un enfoque uniforme tiene dos defectos. Si aplicas a todos el control máximo, pierdes tiempo con proveedores marginales y el sistema se vuelve burocrático. Si aplicas a todos el control mínimo, dejas al descubierto precisamente a los proveedores que pueden causarte una reclamación o una parada. La clasificación por riesgo resuelve ambos problemas y se conecta directamente con la forma en que gestionas riesgos y oportunidades en el sistema ISO.
Una matriz sencilla: impacto y sustituibilidad
Para una pyme bastan dos preguntas. La primera: si este proveedor se equivoca, ¿cuánto lo nota el cliente? La segunda: si tuviera que sustituirlo mañana, ¿qué dificultad tendría? Cruzando las respuestas obtienes tres clases de criticidad fáciles de gestionar.
Los proveedores críticos tienen un impacto alto en el producto o el servicio y son difíciles de sustituir: un proveedor de componentes a plano, un subcontratista que realiza un tratamiento térmico, el proveedor del software de gestión con el que trabajas. Los proveedores importantes tienen un impacto medio o alternativas disponibles: materiales estándar con especificaciones precisas, transporte, mantenimiento. Los proveedores ordinarios tienen un impacto bajo y son fácilmente sustituibles. Para cada clase define de antemano qué evidencias se necesitan para homologar, qué indicadores sigues y cada cuánto reevalúas. Así la regla se escribe una vez y se aplica a todos de forma coherente.
Un ejemplo: un taller mecánico de 40 personas
Piensa en un taller que fabrica componentes según planos del cliente. Tiene una treintena de proveedores activos. Entre ellos, el proveedor de barras de acero, el subcontratista del galvanizado y el laboratorio que calibra los calibres son proveedores críticos: un error suyo se convierte en una pieza no conforme enviada al cliente. El transportista y el proveedor de herramientas son importantes. Material de oficina, limpieza y proveedor de ropa de trabajo siguen siendo ordinarios, y para algunos de ellos el taller puede incluso decidir que quedan fuera del perímetro del sistema de calidad.
El resultado es que el control serio se concentra en una decena de proveedores, no en treinta. A los críticos el taller les pide certificados de material para cada lote, verifica las primeras muestras y los reevalúa cada año. Para los importantes se basa en los indicadores de entrega y en las no conformidades registradas. Para los ordinarios basta una evaluación inicial sencilla. Es un sistema que una sola persona puede gestionar en pocas horas al mes.
Cómo homologar a un nuevo proveedor: criterios y evidencias
Homologar significa decidir antes, con criterios escritos, si un proveedor es capaz de cumplir tus requisitos. La homologación debe hacerse antes del primer pedido significativo, no después del primer problema.
Los criterios deben ser pocos, verificables y coherentes con la clase de criticidad. Un error habitual es copiar un cuestionario larguísimo y enviarlo a todos: los proveedores responden de forma aproximada y tú archivas papel que nadie lee. Es mejor una tabla breve, con criterios que realmente puedas comprobar.
Los criterios más útiles para una pyme
Para la mayoría de las pymes funcionan cinco familias de criterios. La capacidad técnica: ¿el proveedor sabe hacer lo que necesitas, con las tolerancias, los materiales o las competencias requeridas? La capacidad productiva y logística: ¿soporta tus volúmenes y tus plazos? El sistema de calidad: ¿tiene una certificación ISO 9001 vigente o, en su defecto, controles documentados del proceso? El cumplimiento legal: ¿dispone de las autorizaciones, habilitaciones o declaraciones exigidas en su sector? La solidez: experiencia, referencias, estabilidad de la relación.
La certificación de un proveedor es un indicio sólido, no una garantía. Comprueba siempre que el certificado esté vigente, que su alcance cubra realmente el producto o servicio que compras y que lo haya emitido un organismo acreditado. Un certificado con un alcance distinto de lo que compras vale poco como evidencia de homologación.
Cuestionario, muestras, visita: cuándo hacen falta
Las herramientas de homologación se eligen según la clase. Para los proveedores ordinarios puede bastar una evaluación documental o un historial de suministros sin incidencias. Para los importantes funciona un cuestionario breve, acompañado de certificados y fichas técnicas. Para los críticos conviene añadir una prueba sobre el terreno: una muestra aprobada, un primer lote inspeccionado al cien por cien o una visita al proveedor.
La visita, también llamada auditoría de segunda parte, es la herramienta que más tiempo requiere, pero también la más eficaz. Te permite ver cómo controla el proveedor sus procesos, cómo gestiona las no conformidades y cómo trata tus requisitos. No hace falta para todos: resérvala para los proveedores críticos, para los nuevos proveedores en trabajos delicados o cuando los indicadores señalan un problema recurrente.
¿Cómo hacer el seguimiento de los proveedores en el tiempo?
La homologación inicial no basta. La norma exige también hacer el seguimiento del desempeño y reevaluar a los proveedores: un proveedor excelente hace dos años puede haber cambiado de propiedad, de personal o de procesos.
El seguimiento funciona si se basa en datos que ya recoges. Cada entrega con retraso, cada no conformidad en la recepción y cada reclamación del cliente atribuible a un proveedor es información útil. El problema es que a menudo está en sitios distintos: los albaranes en el almacén, las no conformidades en un archivo de calidad, las reclamaciones en el correo del departamento comercial. Un sistema eficaz las vincula a la ficha del proveedor.
Indicadores prácticos para medir el desempeño
Pocos indicadores, calculados siempre del mismo modo, valen más que un cuadro de mando complicado. Estos son los más usados en las pymes, con la pregunta a la que responden.
Indicador | Qué mide | Dónde encuentras el dato |
|---|---|---|
Puntualidad de las entregas | Cuántas entregas llegan en el plazo acordado | Pedidos y albaranes |
Conformidad en recepción | Cuántos lotes superan los controles de entrada | Registros de inspección en recepción |
No conformidades atribuidas | Cuántos problemas internos nacen de un proveedor | Registro de no conformidades |
Reclamaciones vinculadas | Cuántas reclamaciones del cliente se remontan a un proveedor | Registro de reclamaciones |
Capacidad de respuesta | Con qué rapidez responde el proveedor y cierra las acciones solicitadas | Comunicaciones y acciones correctivas |
Para cada indicador fija un umbral de alerta, no un objetivo abstracto. Si la conformidad en recepción de un proveedor crítico baja del umbral, se activa una solicitud de acción correctiva o una inspección más estricta. Así el indicador no es un número para la revisión por la dirección, sino una señal que genera una acción.
Cada cuánto reevaluar a los proveedores
La norma no fija una periodicidad para la reevaluación. Te corresponde a ti definirla, y la opción más defendible es vincularla a la clase de criticidad: por ejemplo, anual para los críticos, cada dos años para los importantes, más espaciada o ligada a eventos para los ordinarios.
Junto a la fecha fija necesitas criterios de reevaluación extraordinaria: una reclamación grave, una no conformidad repetida, un cambio de propiedad o de planta de producción, la caducidad o la suspensión de la certificación del proveedor. Escríbelos en el procedimiento, para que nadie tenga que decidir cada vez si "merece la pena" reabrir la evaluación. Una reevaluación puede terminar de tres maneras: confirmación, confirmación con condiciones (más controles en recepción, un plan de mejora) o suspensión.
¿Qué debes comunicar a los proveedores?
Un proveedor no puede cumplir requisitos que no conoce. El apartado 8.4.3 trata precisamente de la información que hay que transmitir a los proveedores externos, y muchas no conformidades nacen aquí, no de una mala ejecución.
En concreto, antes de encargar un suministro debes asegurarte de que el proveedor sabe qué tiene que entregar, con qué especificaciones, qué controles o aprobaciones están previstos, qué competencias necesita quien realiza el trabajo y cómo verificarás el resultado. Si piensas hacer controles en sus instalaciones, o los hará tu cliente, también hay que comunicarlo con antelación.
El vehículo natural es el pedido de compra, acompañado de planos, pliegos de especificaciones o condiciones generales de suministro. El error típico es un pedido que solo indica código, cantidad y precio, mientras las especificaciones viven en un correo de tres meses antes. Cuando llega el lote equivocado, nadie puede demostrar qué revisión del plano se había enviado. Vincular el pedido a la revisión correcta del documento elimina gran parte de estas discusiones.
Proveedores y seguridad de la información: qué añade la ISO/IEC 27001
Si un proveedor trata tus datos o gestiona tus sistemas, la calidad del servicio no basta: también cuenta la seguridad de la información. La ISO/IEC 27001:2022 dedica a este tema cuatro controles específicos en el Anexo A.
Los controles son el 5.19 (seguridad de la información en las relaciones con los proveedores), el 5.20 (tratamiento de la seguridad de la información en los acuerdos con los proveedores), el 5.21 (gestión de la seguridad de la información en la cadena de suministro TIC) y el 5.22 (seguimiento, revisión y gestión de cambios de los servicios de los proveedores). La guía de aplicación de estos controles está en la ISO/IEC 27002:2022, que usa la misma numeración.
Cómo integrar calidad y seguridad en una única evaluación
Para una empresa certificada en ISO 9001 que trabaja hacia la ISO/IEC 27001, la solución más eficiente es un único proceso de evaluación con criterios adicionales para los proveedores que tratan información. El proveedor del ERP en la nube, la gestoría laboral, el soporte informático y el servicio de copias de seguridad entran en el mismo registro que los proveedores de materiales, pero con una sección más.
En esa sección valoras cómo protege el proveedor la información, qué cláusulas de seguridad has incluido en el contrato, cómo te avisa en caso de incidente y qué pasa con los datos al final de la relación. El seguimiento sigue la misma lógica que la calidad: revisas periódicamente el servicio, gestionas los cambios del proveedor y registras el resultado. Si quieres profundizar en la norma, encontrarás el panorama completo en nuestra guía completa de la ISO 27001.
¿Cómo demostrar la trazabilidad al auditor?
La trazabilidad es lo que convierte una evaluación en una evidencia. Al auditor no le basta con la lista de proveedores homologados: elige un proveedor, a menudo partiendo de un pedido o de una no conformidad, y reconstruye la historia.
Las preguntas típicas son previsibles. ¿Por qué se considera crítico este proveedor? ¿Con qué evidencias se homologó? ¿Cuándo se hizo la última reevaluación y con qué resultado? ¿Se tuvieron en cuenta las no conformidades de los últimos meses? ¿El pedido de compra contenía los requisitos correctos? Si cada respuesta obliga a buscar en tres carpetas distintas, el riesgo de un hallazgo es alto aunque el trabajo, de hecho, se hubiera hecho.
La ficha de proveedor que resiste la auditoría
Una ficha de proveedor eficaz contiene pocos elementos, siempre actualizados: datos de la empresa y categoría de compra, clase de criticidad con su justificación, criterios y evidencias de la homologación, certificaciones con fecha de caducidad, indicadores de desempeño del periodo, no conformidades y acciones correctivas vinculadas, resultado y fecha de la última reevaluación, fecha de la próxima. Con esta estructura puedes responder al auditor en pocos minutos y sin reconstruir nada de memoria.
Errores típicos que generan hallazgos
Los errores más frecuentes se repiten en casi todas las empresas. Una lista de proveedores desactualizada, con proveedores activos nunca evaluados o proveedores dados de baja todavía homologados. Certificados de proveedores caducados y nunca vueltos a pedir. Criterios de evaluación escritos en el procedimiento pero distintos de los que se usan de verdad. No conformidades de entrada registradas pero nunca trasladadas a la evaluación del proveedor. Reevaluaciones hechas todas el mismo día, justo antes de la auditoría, con la misma puntuación para todos. Cada una de estas señales le dice al auditor que el proceso existe en el papel pero no orienta las decisiones.
Un único lugar para evidencias y plazos
Mantener juntas fichas, certificados, indicadores y no conformidades es la parte más pesada del proceso. Con Complaion, la evaluación de proveedores se convierte en un proceso continuo, no en una tarea que recuperar antes de la auditoría. El Lead Auditor dedicado que acompaña a tu empresa te ayuda a definir las clases de criticidad, los criterios de homologación y la frecuencia de reevaluación más adecuados a tu sector y a tu tamaño.
La plataforma reúne en un solo lugar las evidencias: certificados de los proveedores, evaluaciones, no conformidades y acciones correctivas vinculadas, documentos de referencia. El calendario de vencimientos mantiene bajo control la vigencia de los certificados y las fechas de las reevaluaciones, para que los plazos no dependan de la memoria de una persona. Cuando llega la auditoría, la información ya está ordenada y vinculada.
¿Qué hacer cuando un proveedor no cumple los requisitos?
Cuando un proveedor se equivoca, lo primero es contener el problema: bloquear el material, comprobar si hay otros lotes afectados, decidir si reprocesar, devolver o aceptar por concesión. Solo después se pasa a las causas.
La no conformidad debe registrarse y vincularse a la ficha del proveedor. Si el error es significativo o se repite, pide al proveedor una acción correctiva: análisis de la causa, acciones decididas, plazos y verificación de la eficacia. Es el mismo método que usas para las no conformidades internas, descrito en nuestra guía sobre acción correctiva y análisis de causas.
La respuesta del proveedor pasa a ser, a su vez, un elemento de evaluación. Un proveedor que responde rápido, encuentra la causa real y no repite el error puede seguir homologado, quizá con controles de recepción más estrictos durante un tiempo. Un proveedor que ignora las solicitudes o repite los mismos errores debe ser degradado o suspendido. Recuerda, sin embargo, que mientras el proveedor siga en tu cadena, la responsabilidad ante el cliente sigue siendo tuya: por eso la degradación debe traducirse en controles concretos, no solo en una puntuación más baja.
Cómo te ayuda Complaion a homologar y supervisar a tus proveedores
Gestionar bien a los proveedores significa proteger la calidad que entregas a tus clientes, incluso cuando parte del trabajo lo hacen otros. Complaion acompaña a más de 1.000 clientes con un modelo que une experiencia y herramientas: un Lead Auditor dedicado que sigue a tu empresa y propone el camino más adecuado a tus necesidades, y una plataforma que reúne las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría.
Si estás montando el proceso para tu primera certificación o quieres poner en orden una lista de proveedores que lleva años sin tocarse, puedes empezar por nuestro servicio de certificación ISO 9001. Para saber cómo aplicarlo a tu empresa, habla con un Lead Auditor o solicita un presupuesto a medida desde la página de precios.
Preguntas frecuentes sobre la evaluación de proveedores ISO 9001
¿La ISO 9001 obliga a evaluar a todos los proveedores?
No, no a todos de la misma manera. La norma se refiere a los proveedores de procesos, productos y servicios que afectan a lo que entregas a los clientes. El nivel de control debe ser proporcional al impacto de cada proveedor. Los proveedores que no tocan el producto o el servicio pueden quedar fuera del perímetro, siempre que la decisión esté justificada y sea coherente.
¿Hace falta una lista de proveedores homologados?
La norma no usa la expresión "lista de proveedores homologados" ni impone un formato concreto. Sí exige conservar información documentada sobre la evaluación, la selección, el seguimiento y la reevaluación de los proveedores y sobre las acciones derivadas. Una lista con criticidad, resultado y fechas, vinculada a las evidencias, es la forma más sencilla de cumplir el requisito y de responder al auditor.
¿Cada cuánto hay que reevaluar a los proveedores?
La ISO 9001 no fija una periodicidad: la defines tú. La opción más sólida es vincularla a la criticidad, por ejemplo anual para los proveedores críticos y menos frecuente para los demás. Junto a la fecha ordinaria conviene prever reevaluaciones extraordinarias tras reclamaciones graves, no conformidades repetidas o cambios importantes en el proveedor.
Si el proveedor tiene la ISO 9001, ¿puedo no evaluarlo?
No. La certificación del proveedor es un buen indicio, pero no sustituye a tu evaluación. Tienes que comprobar que el certificado esté vigente, que su alcance cubra lo que compras y que el desempeño real sea coherente. Un proveedor certificado puede igualmente entregar tarde o fuera de especificación, y el seguimiento del desempeño sigue siendo necesario.
¿Qué criterios usar para homologar a un nuevo proveedor?
Los criterios más útiles para una pyme son la capacidad técnica, la capacidad productiva y logística, el sistema de calidad, el cumplimiento legal y la fiabilidad general. Deben elegirse según la criticidad del proveedor y ser verificables. Para los proveedores críticos conviene añadir una prueba concreta, como una muestra o una visita.
¿Qué pasa si un proveedor crítico tiene una no conformidad?
Primero contienes el problema bloqueando el material y comprobando los demás lotes. Después registras la no conformidad, la vinculas a la ficha del proveedor y, si el error es significativo, pides una acción correctiva con análisis de la causa. El resultado pesa en la reevaluación: el proveedor puede seguir homologado con controles más estrictos o ser suspendido.
¿Qué cambia para los proveedores TI con la ISO/IEC 27001?
Con la ISO/IEC 27001:2022, los proveedores que tratan tu información también deben gestionarse desde el punto de vista de la seguridad. El Anexo A dedica a los proveedores los controles del 5.19 al 5.22: relaciones con los proveedores, acuerdos, cadena de suministro TIC y seguimiento de los servicios. Si ya tienes un proceso ISO 9001, puedes ampliarlo con criterios de seguridad en lugar de crear uno nuevo.
