Valutazione dei fornitori ISO 9001: come qualificarli e monitorarli

Un fornitore non conforme diventa un tuo problema davanti al cliente e all'auditor. Se un lotto di materiale arriva fuori tolleranza, se un trasportatore consegna in ritardo o se un fornitore di software perde dei dati, il cliente non chiede conto a lui: chiede conto a te. Per questo la valutazione dei fornitori è uno dei requisiti della ISO 9001 che un auditor controlla quasi sempre, e uno di quelli in cui le PMI inciampano più spesso.

Il problema raramente è l'assenza di un elenco fornitori. È che l'elenco è fermo da anni, i criteri non sono scritti, nessuno sa spiegare perché un fornitore sia "qualificato" e le non conformità in ingresso non tornano mai nella valutazione. In questa guida vediamo cosa chiede davvero la norma, come classificare i fornitori in base al rischio, quali criteri di qualifica usare, ogni quanto rivalutarli e come tenere una tracciabilità che regga all'audit. Trovi anche cosa aggiunge la ISO/IEC 27001 quando il fornitore tratta i tuoi dati, un esempio concreto e una checklist finale.

Cosa chiede la ISO 9001 sulla valutazione dei fornitori?

La ISO 9001 chiede di controllare ciò che arriva dall'esterno in modo proporzionato al suo impatto. Non impone un modulo, un punteggio o una frequenza: impone criteri definiti, applicati e registrati.

Il requisito si trova nella clausola 8.4 della norma, intitolata "Controllo dei processi, prodotti e servizi forniti dall'esterno". È articolata in tre parti: 8.4.1 (generalità), 8.4.2 (tipo ed estensione del controllo) e 8.4.3 (informazioni per i fornitori esterni). Questa struttura è la stessa dell'edizione 2015 e il riepilogo ufficiale delle modifiche introdotte con l'edizione più recente della ISO 9001 non elenca cambiamenti su questa clausola. Se vuoi inquadrare il requisito nell'insieme del sistema qualità, parti dalla nostra guida al sistema di gestione qualità ISO 9001.

Chi rientra nel perimetro dei fornitori esterni

Il termine "fornitore esterno" è più ampio di "chi ti vende materie prime". In pratica rientrano nel perimetro tre situazioni: chi ti fornisce materiali, componenti o servizi che diventano parte del tuo prodotto o servizio; chi consegna qualcosa direttamente al tuo cliente per tuo conto; chi svolge un intero processo che hai deciso di affidare all'esterno, come una lavorazione conto terzi, un laboratorio di prova o un servizio di assistenza.

Restano fuori, di solito, i fornitori che non toccano ciò che consegni al cliente: la cancelleria, la pulizia degli uffici, il bar aziendale. Il criterio è l'impatto, non la dimensione della spesa. Un piccolo laboratorio che esegue le tarature dei tuoi strumenti di misura può essere più critico di un grande fornitore di imballaggi generici. Scrivere chiaramente quali categorie di fornitori sono dentro il sistema, e perché, è il primo passo per non disperdere energie su quelle irrilevanti.

Le registrazioni da conservare

La norma chiede di conservare informazioni documentate sulle attività di valutazione, selezione, monitoraggio delle prestazioni e rivalutazione dei fornitori esterni, insieme alle azioni che ne derivano. Lo conferma anche la guida ufficiale del comitato tecnico ISO/TC 176/SC 2 sui requisiti di informazione documentata della ISO 9001, che elenca queste registrazioni tra quelle da conservare.

Tradotto in pratica: non basta dire "il fornitore è qualificato", devi poter mostrare su quale base lo hai deciso, quando, chi lo ha deciso e cosa è successo dopo. Un albo fornitori con nomi e date ma senza evidenze dietro non soddisfa il requisito. Al contrario, una scheda per fornitore con criteri, esito, data della prossima rivalutazione e collegamento alle non conformità registrate è esattamente ciò che l'auditor cerca.

Come classificare i fornitori in base al rischio?

Non tutti i fornitori meritano lo stesso controllo. La clausola 8.4.2 chiede di stabilire tipo ed estensione dei controlli: significa che il livello di attenzione deve crescere con l'effetto potenziale del fornitore sulla qualità di ciò che consegni.

Un approccio uniforme ha due difetti. Se applichi a tutti il controllo massimo, sprechi tempo su fornitori marginali e il sistema diventa burocratico. Se applichi a tutti il controllo minimo, lasci scoperti proprio i fornitori che possono causarti un reclamo o un fermo. La classificazione per rischio risolve entrambi i problemi e si collega direttamente al modo in cui gestisci rischi e opportunità nel sistema ISO.

Una matrice semplice: impatto e sostituibilità

Per una PMI bastano due domande. La prima: se questo fornitore sbaglia, quanto ne risente il cliente? La seconda: se devo sostituirlo domani, quanto è difficile? Incrociando le risposte ottieni tre classi di criticità facili da gestire.

I fornitori critici hanno impatto alto sul prodotto o sul servizio e sono difficili da sostituire: un fornitore di componenti a disegno, un terzista che esegue un trattamento termico, il fornitore del gestionale su cui lavori. I fornitori importanti hanno impatto medio oppure alternative disponibili: materiali standard con specifiche precise, trasporti, manutenzioni. I fornitori ordinari hanno impatto basso e sono facilmente sostituibili. Per ogni classe definisci in anticipo quali evidenze servono per qualificare, quali indicatori monitori e ogni quanto rivaluti. Così la regola è scritta una volta e applicata a tutti in modo coerente.

Un esempio: un'officina meccanica di 40 persone

Pensa a un'officina che produce componenti su disegno del cliente. Ha una trentina di fornitori attivi. Tra questi, il fornitore di barre in acciaio, il terzista della zincatura e il laboratorio che tara i calibri sono fornitori critici: un errore loro diventa un pezzo non conforme spedito al cliente. Il trasportatore e il fornitore di utensili sono importanti. Cancelleria, pulizie e fornitore di indumenti da lavoro restano ordinari, e per alcuni di questi l'officina può anche decidere che sono fuori dal perimetro del sistema qualità.

Il risultato è che il controllo serio si concentra su una decina di fornitori, non su trenta. Per i critici l'officina chiede certificati di materiale per ogni lotto, verifica i primi campioni e rivaluta ogni anno. Per gli importanti si basa sugli indicatori di consegna e sulle non conformità registrate. Per gli ordinari basta una valutazione iniziale semplice. È un sistema che una persona può gestire in poche ore al mese.

Come qualificare un nuovo fornitore: criteri ed evidenze

Qualificare significa decidere prima, sulla base di criteri scritti, se un fornitore è in grado di soddisfare i tuoi requisiti. La qualifica va fatta prima del primo ordine significativo, non dopo il primo problema.

I criteri devono essere pochi, verificabili e coerenti con la classe di criticità. Un errore comune è copiare un questionario lunghissimo e inviarlo a tutti: i fornitori rispondono in modo approssimativo e tu archivi carta che nessuno legge. Meglio una griglia breve, con criteri che puoi davvero controllare.

I criteri più utili per una PMI

Per la maggior parte delle PMI funzionano cinque famiglie di criteri. La capacità tecnica: il fornitore sa fare ciò che ti serve, con le tolleranze, i materiali o le competenze richieste? La capacità produttiva e logistica: regge i tuoi volumi e i tuoi tempi? Il sistema qualità: ha una certificazione ISO 9001 valida o, in mancanza, controlli documentati sul processo? La conformità legale: ha le autorizzazioni, le abilitazioni o le dichiarazioni richieste dal suo settore? La solidità: esperienza, referenze, stabilità del rapporto.

Una certificazione del fornitore è un indizio forte, non una garanzia. Verifica sempre che il certificato sia in corso di validità, che lo scopo copra davvero il prodotto o il servizio che acquisti e che sia stato rilasciato da un organismo accreditato. Un certificato con scopo diverso da ciò che compri vale poco come evidenza di qualifica.

Questionario, campionatura, visita: quando servono

Gli strumenti di qualifica vanno scelti in base alla classe. Per i fornitori ordinari può bastare una valutazione documentale o la storia di forniture già andate bene. Per gli importanti funziona un questionario breve, accompagnato da certificati e schede tecniche. Per i critici conviene aggiungere una prova sul campo: una campionatura approvata, un primo lotto controllato al cento per cento o una visita presso il fornitore.

La visita, chiamata anche audit di seconda parte, è lo strumento più costoso in termini di tempo ma anche il più efficace. Ti permette di vedere come il fornitore controlla i suoi processi, gestisce le non conformità e tratta i tuoi requisiti. Non serve per tutti: tienila per i fornitori critici, per i nuovi fornitori su lavorazioni delicate o quando gli indicatori segnalano un problema ricorrente.

Come monitorare i fornitori nel tempo?

La qualifica iniziale non basta. La norma chiede anche di monitorare le prestazioni e rivalutare i fornitori: un fornitore eccellente due anni fa può aver cambiato proprietà, personale o processi.

Il monitoraggio funziona se si basa su dati che raccogli già. Ogni consegna in ritardo, ogni non conformità in accettazione e ogni reclamo del cliente riconducibile a un fornitore sono informazioni utili. Il problema è che spesso restano in posti diversi: le bolle in magazzino, le non conformità in un file della qualità, i reclami nella posta dell'ufficio commerciale. Un sistema efficace le collega alla scheda del fornitore.

Indicatori pratici per misurare le prestazioni

Pochi indicatori, calcolati sempre allo stesso modo, valgono più di un cruscotto complicato. Questi sono i più usati nelle PMI, con la domanda a cui rispondono.

Per ogni indicatore fissa una soglia di attenzione, non un obiettivo astratto. Se la conformità in accettazione di un fornitore critico scende sotto la soglia, scatta una richiesta di azione correttiva o una verifica più stretta. In questo modo l'indicatore non è un numero da riportare nel riesame, ma un segnale che produce un'azione.

Ogni quanto rivalutare i fornitori

La norma non fissa una periodicità per la rivalutazione. Spetta a te definirla, e la scelta più difendibile è legarla alla classe di criticità: per esempio annuale per i critici, ogni due anni per gli importanti, più diradata o legata agli eventi per gli ordinari.

Accanto alla scadenza fissa servono dei criteri di rivalutazione straordinaria: un reclamo grave, una non conformità ripetuta, un cambio di proprietà o di sede produttiva, la scadenza o la sospensione della certificazione del fornitore. Scrivili nella procedura, così nessuno deve decidere ogni volta se "vale la pena" riaprire la valutazione. La rivalutazione può concludersi in tre modi: conferma, conferma con condizioni (più controlli in ingresso, un piano di miglioramento) oppure sospensione.

Cosa devi comunicare ai fornitori?

Un fornitore non può rispettare requisiti che non conosce. La clausola 8.4.3 riguarda proprio le informazioni da trasmettere ai fornitori esterni, e molte non conformità nascono qui, non da una cattiva esecuzione.

In concreto, prima di affidare una fornitura devi assicurarti che il fornitore sappia cosa deve consegnare, con quali specifiche, quali controlli o approvazioni sono previsti, quali competenze servono per chi esegue il lavoro e come verificherai il risultato. Se intendi fare controlli presso di lui, o se lo farà il tuo cliente, anche questo va comunicato in anticipo.

Il veicolo naturale è l'ordine di acquisto, accompagnato da disegni, capitolati o condizioni generali di fornitura. L'errore tipico è un ordine che riporta solo codice, quantità e prezzo, mentre le specifiche vivono in una email di tre mesi prima. Quando arriva il lotto sbagliato, nessuno riesce a dimostrare quale revisione del disegno era stata trasmessa. Collegare l'ordine alla revisione corretta del documento elimina gran parte di queste discussioni.

Fornitori e sicurezza delle informazioni: cosa aggiunge la ISO/IEC 27001

Se un fornitore tratta i tuoi dati o gestisce i tuoi sistemi, la qualità del servizio non basta: conta anche la sicurezza delle informazioni. La ISO/IEC 27001:2022 dedica a questo tema quattro controlli specifici nell'Allegato A.

I controlli sono il 5.19 (sicurezza delle informazioni nei rapporti con i fornitori), il 5.20 (sicurezza delle informazioni negli accordi con i fornitori), il 5.21 (gestione della sicurezza delle informazioni nella filiera ICT) e il 5.22 (monitoraggio, riesame e gestione dei cambiamenti dei servizi dei fornitori). La guida di applicazione di questi controlli è nella ISO/IEC 27002:2022, che usa la stessa numerazione.

Come integrare qualità e sicurezza in un'unica valutazione

Per un'azienda certificata ISO 9001 che lavora verso la ISO/IEC 27001, la soluzione più efficiente è un unico processo di valutazione con criteri aggiuntivi per i fornitori che trattano informazioni. Il fornitore del gestionale in cloud, lo studio paghe, l'assistenza IT e il servizio di backup entrano nella stessa anagrafica dei fornitori di materiali, ma con una sezione in più.

In quella sezione valuti come il fornitore protegge le informazioni, quali clausole di sicurezza hai inserito nel contratto, come ti avvisa in caso di incidente e cosa succede ai dati alla fine del rapporto. Il monitoraggio segue la stessa logica della qualità: rivedi periodicamente il servizio, gestisci i cambiamenti del fornitore e registri l'esito. Se vuoi approfondire la norma, trovi il quadro completo nella nostra guida completa alla ISO 27001.

Come dimostrare la tracciabilità all'auditor?

La tracciabilità è ciò che trasforma una valutazione in un'evidenza. L'auditor non si accontenta dell'elenco dei fornitori approvati: sceglie un fornitore, spesso partendo da un ordine o da una non conformità, e ricostruisce la storia.

Le domande tipiche sono prevedibili. Perché questo fornitore è considerato critico? Su quali evidenze è stato qualificato? Quando è stata fatta l'ultima rivalutazione e con quale esito? Le non conformità degli ultimi mesi sono state considerate? L'ordine di acquisto conteneva i requisiti giusti? Se ogni risposta richiede di cercare in tre cartelle diverse, il rischio di un rilievo è alto anche se il lavoro, di fatto, era stato fatto.

La scheda fornitore che regge all'audit

Una scheda fornitore efficace contiene pochi elementi, sempre aggiornati: dati anagrafici e categoria merceologica, classe di criticità con la motivazione, criteri ed evidenze della qualifica, certificazioni con scadenza, indicatori di prestazione del periodo, non conformità e azioni correttive collegate, esito e data dell'ultima rivalutazione, data della prossima. Con questa struttura puoi rispondere all'auditor in pochi minuti e senza ricostruzioni a memoria.

Errori tipici che generano rilievi

Gli errori più frequenti si ripetono in quasi tutte le aziende. Un albo fornitori non aggiornato, con fornitori attivi mai valutati o fornitori cessati ancora qualificati. Certificati dei fornitori scaduti e mai richiesti di nuovo. Criteri di valutazione scritti nella procedura ma diversi da quelli usati davvero. Non conformità in ingresso registrate ma mai riportate nella valutazione del fornitore. Rivalutazioni fatte tutte lo stesso giorno, a ridosso dell'audit, con lo stesso punteggio per tutti. Ognuno di questi segnali dice all'auditor che il processo esiste sulla carta ma non governa le scelte.

Un unico posto per evidenze e scadenze

Tenere insieme schede, certificati, indicatori e non conformità è la parte più faticosa del processo. Con Complaion la valutazione dei fornitori diventa un processo continuo, non un'attività da recuperare prima dell'audit. Il Lead Auditor dedicato che segue la tua azienda ti aiuta a definire le classi di criticità, i criteri di qualifica e la frequenza di rivalutazione più adatti al tuo settore e alla tua dimensione.

La piattaforma raccoglie in un unico posto le evidenze: certificati dei fornitori, valutazioni, non conformità e azioni correttive collegate, documenti di riferimento. Lo scadenziario tiene sotto controllo la validità dei certificati e le date delle rivalutazioni, così le scadenze non dipendono dalla memoria di una persona. Quando arriva l'audit, le informazioni sono già ordinate e collegate tra loro.

Cosa fare quando un fornitore non rispetta i requisiti?

Quando un fornitore sbaglia, la prima cosa è contenere il problema: bloccare il materiale, verificare se ci sono altri lotti coinvolti, decidere se rilavorare, rendere o accettare in deroga. Solo dopo si passa alle cause.

La non conformità va registrata e collegata alla scheda del fornitore. Se l'errore è significativo o si ripete, chiedi al fornitore un'azione correttiva: analisi della causa, azioni decise, tempi e verifica dell'efficacia. È lo stesso metodo che usi per le non conformità interne, descritto nella nostra guida su azione correttiva e analisi delle cause.

La risposta del fornitore diventa a sua volta un elemento di valutazione. Un fornitore che risponde rapidamente, trova la causa vera e non ripete l'errore può restare qualificato, magari con controlli in ingresso più stretti per un periodo. Un fornitore che ignora le richieste o ripete gli stessi errori va declassato o sospeso. Ricorda però che, finché il fornitore resta nella tua catena, la responsabilità verso il cliente resta tua: per questo il declassamento deve tradursi in controlli concreti, non solo in un punteggio più basso.

Come Complaion ti aiuta a qualificare e monitorare i fornitori

Gestire bene i fornitori significa proteggere la qualità che consegni ai tuoi clienti, anche quando una parte del lavoro la fanno altri. Complaion affianca oltre 1.000 clienti con un modello che unisce competenza e strumenti: un Lead Auditor dedicato che segue la tua azienda e propone il percorso più adatto alle tue esigenze, e una piattaforma che raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario e prepara l'audit.

Se stai impostando il processo per la prima certificazione o vuoi rimettere in ordine un albo fornitori fermo da anni, puoi partire dal servizio dedicato alla certificazione ISO 9001. Per capire come applicarlo alla tua realtà, parla con un Lead Auditor o richiedi un preventivo costruito sulla tua azienda dalla pagina prezzi.

Domande frequenti sulla valutazione dei fornitori ISO 9001

La ISO 9001 obbliga a valutare tutti i fornitori?

No, non tutti allo stesso modo. La norma riguarda i fornitori di processi, prodotti e servizi che hanno effetto su ciò che consegni ai clienti. Il livello di controllo va proporzionato all'impatto di ciascun fornitore. I fornitori che non toccano il prodotto o il servizio possono restare fuori dal perimetro, purché la scelta sia motivata e coerente.

Serve un albo fornitori qualificati?

La norma non usa l'espressione "albo fornitori" e non impone un formato specifico. Chiede però di conservare informazioni documentate su valutazione, selezione, monitoraggio e rivalutazione dei fornitori e sulle azioni conseguenti. Un elenco con criticità, esito e date, collegato alle evidenze, è il modo più semplice per soddisfare il requisito e per rispondere all'auditor.

Ogni quanto vanno rivalutati i fornitori?

La ISO 9001 non fissa una periodicità: la definisci tu. La scelta più solida è collegarla alla criticità, per esempio annuale per i fornitori critici e meno frequente per gli altri. Accanto alla scadenza ordinaria conviene prevedere rivalutazioni straordinarie dopo reclami gravi, non conformità ripetute o cambiamenti importanti del fornitore.

Se il fornitore è certificato ISO 9001 posso evitare di valutarlo?

No. La certificazione del fornitore è un buon indizio, ma non sostituisce la tua valutazione. Devi verificare che il certificato sia valido, che lo scopo copra ciò che acquisti e che le prestazioni reali siano coerenti. Un fornitore certificato può comunque consegnare in ritardo o fuori specifica, e il monitoraggio delle prestazioni resta necessario.

Quali criteri usare per qualificare un nuovo fornitore?

I criteri più utili per una PMI sono capacità tecnica, capacità produttiva e logistica, sistema qualità, conformità legale e affidabilità complessiva. Vanno scelti in base alla criticità del fornitore e devono essere verificabili. Per i fornitori critici conviene aggiungere una prova concreta, come una campionatura o una visita.

Cosa succede se un fornitore critico ha una non conformità?

Prima contieni il problema bloccando il materiale e verificando gli altri lotti. Poi registri la non conformità, la colleghi alla scheda del fornitore e, se l'errore è significativo, chiedi un'azione correttiva con analisi della causa. L'esito pesa sulla rivalutazione: il fornitore può restare qualificato con controlli più stretti o essere sospeso.

Cosa cambia per i fornitori IT con la ISO/IEC 27001?

Con la ISO/IEC 27001:2022 i fornitori che trattano le tue informazioni vanno gestiti anche dal punto di vista della sicurezza. L'Allegato A dedica ai fornitori i controlli da 5.19 a 5.22: rapporti con i fornitori, accordi, filiera ICT e monitoraggio dei servizi. Se hai già un processo ISO 9001, puoi estenderlo con criteri di sicurezza invece di crearne uno nuovo.