Il paragrafo 8.4 della ISO 9001:2026 - Controllo dei processi, prodotti e servizi forniti dall'esterno
Cosa dice davvero il punto 8.4 della futura ISO 9001 e come si è evoluto dalla ISO 9004:2018 ai future concepts
Nel 2018, la catena KFC, circa novecento ristoranti nel paese, cambiò il proprio operatore logistico che, sulla carta, prometteva di modernizzare gli standard di settore, ad esempio, nel caso di KFC, servendo l'intero paese da un unico centro di distribuzione appena aperto. I problemi, però, sono da subito molti e la catena del freddo non regge i ritardi. Nel giro di una settimana centinaia di ristoranti KFC devono chiudere perché mancano i polli da cucinare, l'unico ingrediente davvero necessario per quella catena di rosticcerie.
Quello che era successo è che KFC aveva modificato il profilo di rischio di un processo critico affidato all'esterno, spostandolo da una rete di depositi specializzati a un hub unico appena avviato senza che il tipo e l'estensione dei controlli cambiassero.
Tutto questo e molto di più è scritto nel punto della ISO 9001:2026 che stiamo esaminando in questo articolo: il punto 8.4 che non dobbiamo solo smettere di chiamare "il punto sugli acquisiti" ma che dobbiamo iniziare ad imparare a considerare come un vero e proprio controllo dei processi, dei prodotti e dei servizi forniti dall'esterno.
Nota terminologica
Un'osservazione veloce su una parola che nel punto 8.4 non c'è: "partner": la ISO 9004:2018 la usa parlando di relazioni mutuamente vantaggiose e di condivisione di strategie ma la ISO 9001:2026 mantiene la dicitura di "fornitore esterno" ed è una scelta di campo tra due filosofie della fornitura che è un po' la chiave di lettura di tutto il punto. Ci arriviamo per gradi.
Lo scheletro che non cambia
L'architettura del controllo dei fornitori esterni viene confermata per intero dalla nuova ISO 9001.
Chi ha costruito il proprio processo di gestione dei fornitori sulla ISO 9001:2015 non deve rifare quasi nulla. Le novità stanno in una lettera che si allunga e in un allegato che cambia atteggiamento ma, per apprezzarle, bisogna prima rileggere le fondamenta.
Le tre porte d'ingresso
Il punto 8.4.1 stabilisce quando il punto 8.4 si applica elencando tre casi:
- quando prodotti e servizi di fornitori esterni sono destinati a essere incorporati nei vostri;
- quando vengono forniti direttamente al cliente per conto della vostra organizzazione;
- quando un processo, o una sua parte, è svolto da un fornitore esterno
Ho parlato di "porte d'ingresso" nel vostro sistema perché ognuna fa entrare cose diverse:
- dalla prima passa la fornitura classica: il componente, la materia prima, il semilavorato;
- dalla seconda passano quelli che il cliente scambia per voi: il corriere che consegna con la vostra bolla, l'installatore che monta il prodotto a casa del cliente, il centro assistenza che risponde a vostro nome;
- dalla terza entrano i processi che non fate più in casa: la logistica, la selezione del personale, la taratura, il laboratorio prove, ecc.
Quella terza porta merita una riflessione perché dietro c'è una delle domande più importanti dell'economia moderna: perché non comprare tutto fuori, al miglior prezzo? Il primo a prendere sul serio questa domanda fu un economista di ventisette anni, Ronald Coase, in un articolo del 1937 che sessant'anni dopo gli sarebbe valso il Nobel:
Creare un'impresa conviene perché usare il meccanismo dei prezzi comporta un costo.
Ronald Coase, The Nature of the Firm, 1937
Usare il mercato costa: bisogna cercare i fornitori, negoziare i contratti, controllare che facciano quello che hanno promesso. L'impresa esiste perché, per certe attività, coordinarle all'interno costa meno che comprarle da fuori. Ogni decisione di esternalizzare è, quindi, una scommessa sui costi dell'operazione: ad esempio, risparmio sulla produzione, ma mi carico i costi della ricerca del fornitore, della negoziazione con lui e del suo monitoraggio su ciò che mi consegna. Il punto 8.4 della ISO 9001:2026 ci ricorda che questo costo non è un'opzione perché la responsabilità verso il cliente resta sempre vostra.
Tipo ed estensione: il controllo su misura chiarito
Il punto 8.4.2 spiega che i controlli sul fornitore e sulla fornitura vanno dimensionati considerando l'impatto potenziale di ciò che viene fornito sulla conformità finale e l'efficacia dei controlli che il fornitore già applica per conto suo: più la fornitura è critica e meno il fornitore dimostra di controllarsi da solo, più il vostro controllo dovrà essere esteso (e costerà).
C'è un proverbio russo che Ronald Reagan aveva imparato a memoria e ripeteva spesso:
Fidati, ma verifica.
proverbio russo, reso celebre da Ronald Reagan
È la sintesi perfetta dell'8.4.2 ed è quello che è mancato a KFC: la verifica sull'efficacia dei controlli del nuovo fornitore.
Su questo fronte la nuova norma porta un chiarimento utile: l'allegato A esplicita che i controlli possono includere gli audit di seconda parte, richiamando come riferimento la ISO 19011. Per le forniture critiche un controllo documentale può non bastare, e andare a vedere con i propri occhi è uno strumento previsto.
Un certificato dice che il fornitore ha un sistema; un audit di seconda parte dice se quel sistema, per le cose che contano per voi, funziona.
QualitiAmo
La lettera d): il fornitore davanti al vostro cliente
E veniamo al vero cambiamento nel testo della ISO 9001. Il punto 8.4.3 elenca le informazioni da comunicare al fornitore esterno, e alla lettera d) la ISO 9001:2015 chiedeva di comunicare i requisiti relativi alle interazioni del fornitore con l'organizzazione. La ISO 9001:2026 estende le interazioni del fornitore esterno con l'organizzazione e, ove applicabile, con i suoi clienti e con le altre parti interessate rilevanti. In sostanza, la versione del 2015 regolava un dialogo a due, voi e il fornitore; la nuova versione prende atto che una parte crescente dei fornitori non parla con voi ma direttamente con i vostri clienti. L'azienda, per il cliente, non è il vostro organigramma ma la somma dei quindici secondi in cui qualcuno, a nome vostro, gli risponde.
Dal rischio all'opportunità chiarito
Resta l'ultima novità che troviamo nell'allegato A. Accanto al risk-based thinking, che resta lo strumento per dimensionare tipo ed estensione dei controlli, la nuova ISO 9001:2026 introduce esplicitamente la possibilità di applicare alla catena di fornitura l'opportunity-based thinking cioè di usare la relazione con i fornitori esterni non solo per difendersi dai rischi, ma per individuare miglioramenti congiunti dei processi e dei servizi forniti.
È il punto in cui la ISO 9001 si avvicina di più alla visione della ISO 9004:2018 e a una tradizione che ha radici profonde nella storia della qualità. Già negli anni Sessanta Kaoru Ishikawa, formalizzando i principi delle relazioni tra cliente e fornitore che avrebbero fatto scuola nell'industria giapponese, metteva al primo posto un'idea che all'epoca suonava rivoluzionaria:
Acquirente e fornitore sono responsabili dell'applicazione del controllo di qualità, con reciproca comprensione e cooperazione.
Kaoru Ishikawa, principi delle relazioni cliente-fornitore, anni Sessanta
La versione matura di questa idea è la partnership della ISO 9004, mentre nell'allegato della nuova ISO 9001 troviamo una sua versione prudente che non impone nulla ma legittima chi vuole lavorare con il fornitore ad esempio per ridurre gli scarti che arrivano o condividere i dati di processo invece dei soli esiti dei collaudi.
Da dove viene tutto questo: la ISO 9004:2018 e i future concepts
L'evoluzione del punto 8.4 è emblematica di come la norma stia cercando di rendere più strategica la gestione della catena di fornitura.
Il primo recepimento parziale riguarda proprio il passaggio da fornitori a partner: la ISO 9004 (punto 9.6) incoraggia relazioni mutuamente vantaggiose, con condivisione di strategie, rischi, opportunità e persino di mission e vision; la ISO 9001 non usa la parola "partner" e non richiede alcuna condivisione di strategie o profitti, ma nell'allegato A, introduce l'opportunity-based thinking per migliorare i processi forniti esternamente lungo la catena di fornitura.
Il secondo riguarda sostenibilità e responsabilità sociale: la ISO 9004 suggerisce esplicitamente di considerare nella gestione dei fornitori gli aspetti ambientali e di responsabilità sociale e il future concept su etica e integrità rafforza questo punto; la ISO 9001:2026 non aggiunge un requisito specifico ma il riferimento alla cultura della qualità e al comportamento etico del punto 5.1 e la determinazione dei requisiti delle parti interessate del punto 4.2 creano un obbligo indiretto di considerare questi fattori nella selezione, quando sono rilevanti per la conformità o per la reputazione aziendale.
I cambiamenti veri sono i due che abbiamo visto: l'estensione della comunicazione alle interazioni con clienti e parti interessate che recepisce l'attenzione alla customer experience della ISO 9004 e l'esplicitazione, nell'allegato, dell'opportunity-based thinking e degli audit di seconda parte con il richiamo alla ISO 19011.
Come si verifica, in pratica
Possiamo tradurre questi elementi in quattro verifiche operative.
Test delle tre porte. Prendete le cinque forniture più critiche per la vostra conformità e chiedetevi da quale delle tre porte sono entrate: incorporazione, fornitura diretta al cliente, processo esternalizzato. Poi controllate il vostro elenco dei fornitori approvati e verificate che non includa solo la prima porta.
Test della taglia unica. Confrontate i controlli applicati al vostro fornitore più critico e a quello meno critico: se il questionario di valutazione, la frequenza di monitoraggio e i criteri di rivalutazione sono gli stessi, state applicando un'unica taglia di vestito che, per definizione, vestirà male entrambi.
Test della lettera d). Elencate i fornitori che interagiscono direttamente con i vostri clienti: chi consegna, chi installa, chi risponde al telefono, chi fa assistenza. Per ciascuno, verificate se il contratto o le specifiche di fornitura definiscono i requisiti di quelle interazioni: come presentarsi, come gestire un problema, come trattare i dati, a chi passare un reclamo o se regolano soltanto il servizio "tecnico".
Test dell'opportunità. Prendete l'ultima rivalutazione periodica dei fornitori e guardate cosa ha prodotto: se contiene soltanto punteggi, classifiche e non conformità, il vostro processo 8.4 non è completo.
✅ I quattro test dell'8.4, in breve
Test delle tre porte: i processi esternalizzati sono registrati come i fornitori di prodotti?
Test della taglia unica: i controlli sono proporzionati o identici per tutti?
Test della lettera d): le interazioni con i vostri clienti sono specificate nei contratti?
Test dell'opportunità: la relazione con i fornitori produce anche miglioramenti, o solo pagelle?
La segmentazione dei fornitori e la cassetta degli attrezzi del punto 8.4
Sapere che i controlli vanno dimensionati è una cosa; decidere quanto controllare ciascuno dei tuoi fornitori è un'altra. Nel mio Substack trovi la parte operativa di questo articolo, mutuata dalla mia esperienza: la matrice per segmentare i fornitori in classi, i criteri di valutazione, monitoraggio e rivalutazione differenziati per ciascuna classe, la checklist per un audit di seconda parte e gli indicatori da portare al riesame di direzione. Ti aspetto lì!
Vai alla parte operativa su Substack