Diagrama de flujo de auditoría a proveedores (segunda parte)

¿Qué es diagrama de flujo de auditoría a proveedores (segunda parte)?

Una auditoría a proveedores es una auditoría de segunda parte: tú eres el cliente, el proveedor es el auditado, y la auditoría ocurre porque algo que compras importa lo suficiente como para ir a ver cómo se fabrica. El disparador en este diagrama es el programa de auditoría y no un defecto. Los proveedores se ordenan por lo que la pieza puede hacerle a tu producto, lo que en la práctica significa contenido de seguridad y reglamentario, complejidad del proceso, cómo se ha comportado el proveedor y si algún organismo independiente ha certificado su sistema de gestión, y este ciclo solo se audita a aquellos a los que el riesgo lo justifica. A partir de ahí el diagrama sigue una auditoría de punta a punta: el responsable de calidad aprueba el alcance y el equipo auditor, sale la agenda, el proveedor confirma el acceso y devuelve la documentación previa, se monta una lista de verificación con tus propios requisitos, se celebra la reunión de apertura, se muestrea a pie de línea, los hallazgos se registran contra evidencia, se celebra la reunión de cierre, el informe clasifica cada hallazgo, el proveedor entrega un plan de acción correctiva, se verifica que las acciones funcionaron, y todo ello acaba afectando a su estatus de proveedor aprobado.

Esto no es evaluación de proveedores ni una solicitud de acción correctiva. La evaluación de proveedores es el cuadro de mando recurrente de calidad, entrega, coste y servicio a lo largo de un periodo, y decide si un proveedor está rindiendo; la rama «Solo monitorizar» de la primera decisión sale de este diagrama hacia ella en lugar de abrir una auditoría que nadie tiene tiempo de hacer. Una solicitud de acción correctiva a proveedores parte de una entrega fallida y pide arreglar un escape concreto, mientras que una auditoría parte del riesgo y examina el sistema que lo produjo. Si un proveedor puede usarse siquiera es la homologación de proveedores, y auditar tus propios procesos con tu propia gente es una auditoría de primera parte con un problema de independencia distinto. ISO 19011:2018 da directrices para auditar sistemas de gestión y cubre las auditorías de segunda parte a proveedores externos, pero son directrices y no requisitos: nada de lo que hay aquí convierte una auditoría en oficial, acreditada o certificada, y el diagrama es un punto de partida que adaptas a tus procedimientos, a los requisitos de tus clientes y a la regulación sectorial que te aplique.

Cuatro decisiones sostienen la auditoría. «¿El riesgo justifica auditar este ciclo?» es la que casi todos los programas se saltan, y saltársela produce una lista anual que nadie termina y auditorías a los proveedores más fáciles de visitar. «¿La práctica coincide con el método documentado?» es donde la auditoría se hace de verdad, y pasa por «¿Queda alcance por muestrear?» porque un hallazgo es una anécdota hasta que la muestra cubre el alcance que notificaste. «¿Hay riesgo en producto ya enviado?» es la ruta de excepción que una auditoría de segunda parte necesita y que una de primera parte rara vez dibuja: el auditor está de pie en una fábrica que ya ha despachado, y la contención no puede esperar al informe. «¿Acciones verificadas como eficaces?» está en el carril del auditor jefe y no en el del proveedor por la razón evidente, y su rama fallida llega a un escalado con tres salidas reales, una auditoría de seguimiento, un plan ampliado o la salida de la lista aprobada, porque una verificación sin consecuencia enseña a los proveedores que el entregable es el plan.

Qué cubre este diagrama de flujo

En esta plantilla

• Cinco carriles (Calidad de proveedores / auditor jefe, Responsable de calidad, Compras, Proveedor y Responsable de la lista de proveedores aprobados) repartidos en siete fases: Programa de auditoría, Planificar y notificar, Revisión documental, Auditoría in situ, Hallazgos e informe, Acción correctiva, y Verificación y estatus
• Un programa basado en riesgo en cabecera, donde «Programa de auditoría construido desde el riesgo del proveedor» ordena a los proveedores antes de que nadie reserve una visita y «¿El riesgo justifica auditar este ciclo?» deriva a los que no llegan al listón hacia «Cubrir al proveedor con seguimiento por cuadro de mando» en vez de a una lista que nadie termina
• La planificación dibujada como un intercambio a dos bandas: el responsable de calidad aprueba alcance, fechas y equipo auditor, sale la agenda, y «¿Documentación previa completa?» vuelve a «Confirmar el acceso y enviar la documentación previa» cuando los registros no llegan, de modo que un paquete pobre retrasa la auditoría en vez de desperdiciarla
• El bucle de muestreo que la mayoría de los diagramas de auditoría deja fuera, donde «¿La práctica coincide con el método documentado?» registra un hallazgo o sigue adelante y «¿Queda alcance por muestrear?» vuelve a «Muestrear registros, recorrer la línea y entrevistar» hasta cubrir el alcance notificado
• Una ruta de excepción para el producto que ya está fuera: «¿Hay riesgo en producto ya enviado?» mete al proveedor en «Contener el stock sospechoso y marcar envíos» durante la propia auditoría, porque el stock ya despachado no puede esperar al informe, y la corrección en sí pertenece a una acción correctiva a proveedores
• Hallazgos clasificados con una consecuencia detrás, de forma que «¿Se ha abierto alguna no conformidad mayor?» puede bloquear nuevos pedidos mientras se escribe el plan, «¿El plan ataca la causa raíz y el escape?» devuelve un plan flojo para revisión, y «¿Acciones verificadas como eficaces?» lleva al cierre o a un escalado que puede acabar en la salida de la lista

Cuándo usar esta plantilla

• Compras a un proveedor cuyo proceso importa más que su papeleo, y necesitas una sola imagen de cómo se planifica, se ejecuta y se cierra una auditoría sobre él.
• Tu programa de auditoría existe como una hoja de cálculo con fechas y nadie sabe explicar por qué se eligieron esos proveedores y no otros.
• Se hacen auditorías pero los hallazgos mueren después de la reunión de cierre, porque nada en el proceso verifica que la acción correctiva funcionó.
• Un cliente, un organismo de certificación o un auditor interno ha preguntado cómo auditas tu propia base de proveedores, y la evidencia honesta es una carpeta de informes de viaje.
• Estás acordando quién puede bloquear nuevos pedidos y quién puede sacar a un proveedor de la lista aprobada, y en qué punto esa decisión deja de ser del comprador.

Cómo funciona

1. Cambia los carriles por tus roles

   Sustituye Calidad de proveedores / auditor jefe, Responsable de calidad, Compras, Proveedor y Responsable de la lista de proveedores aprobados por los roles que existen de verdad en tu organización. Las organizaciones pequeñas suelen fusionar los dos primeros, y la lista de proveedores aprobados la mantiene con frecuencia compras o el equipo de datos maestros, no calidad. Conserva el carril Proveedor hagas lo que hagas: marca los cuatro pasos que dependen de alguien ajeno a tu organización, que es donde el ciclo se atasca.

2. Escribe tu regla de selección en la primera decisión

   Pon una regla de verdad en «¿El riesgo justifica auditar este ciclo?» en lugar de una intuición. La mayoría de los programas combinan la criticidad de la pieza, si lleva contenido de seguridad o reglamentario, el desempeño reciente del proveedor y si un organismo independiente ha certificado su sistema de gestión. Registra el intervalo que gana cada banda de riesgo y qué lo reinicia, y anota quién firma que un proveedor se salte el ciclo.

3. Declara qué debe contener la documentación previa

   Enuméralo en «Confirmar el acceso y enviar la documentación previa»: el mapa de proceso, el plan de control o equivalente, la última auditoría interna y las salidas de la revisión por la dirección, los registros de calibración y formación de las operaciones implicadas, y el histórico de cambios de tus piezas. Registra también el plazo y qué pasa cuando se incumple, porque si no la rama Con huecos es un bucle educado y sin final.

4. Define los grados de hallazgo antes de la auditoría

   Acuerda qué hace que un hallazgo sea mayor, menor o una observación, escríbelo en el plan de auditoría y emítelo con la agenda. Ata un plazo de respuesta a cada grado y una consecuencia al más alto. Un grado discutido en la reunión de cierre es un grado que negocia el proveedor, y hace imposible comparar hallazgos de auditores distintos a lo largo del programa.

5. Fija las reglas de contención y de bloqueo de pedidos

   Decide quién puede disparar «Contener el stock sospechoso y marcar envíos» desde dentro de una auditoría y hasta dónde llega: el producto terminado del proveedor, el material en tránsito, tu propio almacén y el curso de fabricación. Escribe después la regla que hay detrás de «Bloquear nuevos pedidos hasta la respuesta», que normalmente cubre la pieza afectada y no todo lo que fabrica el proveedor, y nombra a quién puede levantarlo.

6. Fija el método de verificación y su ventana

   Declara cómo se responde «¿Acciones verificadas como eficaces?»: con la evidencia que nombras tú y no con la que ofrece el proveedor, a lo largo de una ventana definida, como un número de entregas o una visita de vuelta. Las directrices de la norma tratan la auditoría de seguimiento como una forma legítima de verificar. Di quién puede cerrar una no conformidad mayor y deja escrito que ningún hallazgo se cierra sobre una promesa.

7. Recórrelo contra una auditoría a proveedor ya cerrada

   Coge dos auditorías terminadas, una que cerró limpia y otra que se alargó, y sígueles el rastro por el diagrama. Cualquier cosa que la gente describa y no esté dibujada, o dibujada pero que se salte en la práctica, merece arreglarse antes de publicarlo. Fíjate especialmente en lo que pasó de verdad entre el informe y el cierre, que es donde la mayoría de los procesos de auditoría a proveedores resultan estar sin documentar.

Preguntas frecuentes

¿Cuáles son los pasos de una auditoría a proveedores?

El programa se construye desde el riesgo del proveedor, y una primera decisión resuelve si ese riesgo justifica una auditoría o si el seguimiento por cuadro de mando cubre al proveedor. El responsable de calidad aprueba el alcance, las fechas y el equipo auditor, sale la agenda, y el proveedor confirma el acceso y devuelve la documentación previa, que vuelve atrás si llega incompleta. El auditor jefe monta una lista de verificación con tus propios requisitos, celebra la reunión de apertura y después muestrea registros, recorre la línea y entrevista al personal. Donde la práctica no coincide con el método documentado, el hueco se registra contra evidencia objetiva, y si hay producto enviado en riesgo el proveedor contiene el stock durante la propia auditoría; el muestreo continúa hasta cubrir el alcance. La reunión de cierre acuerda los hechos, el informe clasifica cada hallazgo, una no conformidad mayor puede bloquear nuevos pedidos, y la auditoría solo se cierra cuando las acciones se verifican eficaces.

¿Qué diferencia hay entre auditorías de primera, segunda y tercera parte?

ISO 19011:2018 lo plantea con claridad. Una auditoría de primera parte es una auditoría interna, realizada por la propia organización o en su nombre. Una auditoría de segunda parte es una auditoría externa realizada por una parte con interés en la organización, típicamente un cliente que audita a un proveedor externo, que es lo que dibuja este diagrama. Una auditoría de tercera parte la realiza una organización auditora independiente, como un organismo de certificación o una agencia gubernamental. La diferencia práctica es la autoridad. En una auditoría de primera parte puedes exigir acceso, fijar el método y leer cualquier registro. En una de segunda parte puedes pedirlo, y lo que obtienes lo gobiernan el contrato y lo que el proveedor esté dispuesto a enseñar, con zonas donde se trabaja para otro cliente que suelen quedar fuera de límites. Tu auditoría además no certifica nada: es tu propia evaluación para tus propios fines, no una acreditación.

¿Quién debe liderar una auditoría a proveedores y puede hacerlo el comprador?

El auditor jefe debe ser competente en el proceso auditado e independiente de la relación comercial, lo que en la mayoría de las organizaciones significa calidad de proveedores y no el comprador. No es un desprecio a compras. El comprador es dueño del precio, del calendario de entregas y de la relación, y pedirle que escriba una no conformidad mayor contra un proveedor con el que está a mitad de una negociación pone dos trabajos incompatibles sobre una misma persona. Compras sigue teniendo un papel real en este diagrama: perseguir la documentación previa, bloquear nuevos pedidos mientras se responde a una no conformidad mayor y sostener el escalado si la verificación falla. El hallazgo en sí se queda con el auditor. Cuando de verdad es la misma persona quien hace ambas cosas, haz que otro revise el informe antes de emitirlo y registra quién aprobó el alcance y el equipo auditor, para que la pregunta sobre independencia tenga respuesta.

¿Qué hace que un hallazgo sea no conformidad mayor y no menor?

No hay una definición universal. ISO 19011:2018 es explícita en que las no conformidades pueden clasificarse en función del contexto de la organización y sus riesgos, y en que esa clasificación puede ser cuantitativa, como una escala de 1 a 5, o cualitativa, como menor y mayor. El grado es por tanto tuyo, y el sitio para definirlo es el plan de auditoría emitido con la agenda y no la reunión de cierre, donde el proveedor está discutiéndolo. Un reparto habitual es que una no conformidad mayor es un fallo sistémico, la ausencia de un control o cualquier cosa que ponga en riesgo producto conforme; una menor es un fallo aislado en un control que por lo demás funciona; y una observación es un riesgo que todavía no ha producido una no conformidad. Escribe tu propia versión, ata un plazo de respuesta a cada grado y declara qué le hace una mayor a los pedidos.

¿Con qué frecuencia hay que auditar a los proveedores?

La frecuencia la fija el riesgo, no el calendario. ISO 9001:2015, apartado 8.4.1, exige que la organización determine y aplique criterios para la evaluación, la selección, el seguimiento del desempeño y la reevaluación de los proveedores externos, y que conserve información documentada de esas actividades y de las acciones derivadas, pero no nombra ningún intervalo ni exige auditoría alguna. El sector de automoción es más prescriptivo: IATF 16949:2016, apartado 8.4.2.4.1, exige un proceso documentado de auditoría de segunda parte, con criterios para determinar la necesidad, el tipo, la frecuencia y el alcance de esas auditorías a partir de un análisis de riesgo que cubra la seguridad del producto y los requisitos reglamentarios, el desempeño del proveedor y el nivel de certificación de su sistema de gestión de la calidad. En la práctica, un proveedor que fabrica una pieza crítica de seguridad sin certificación independiente se gana una visita mucho más a menudo que un distribuidor de material de catálogo.