随着社会分工的逐步细化，外协外购在社会化生产中的地位越来越重要。同时带来的问题是，外协外购质量问题也给很多企业带来了困扰，如何进行“供方管理”成为很多企业面临的难题。这个难题一般表现在两个方面，一方面是不会管，企业不知道从哪些方面进行供方管理，不知道如何进行供方管理；另一方面是不愿管，企业不愿在供方控制方面投入过多资源。

今天，我们重点聊聊“不会管”的问题，从GJB 9001C-2017《质量管理体系要求》和GJB 5000B-2021《军用软件能力成熟度模型》的供方管理出发，详细说说质量管理体系和软件管理体系对供方管理的要求，希望对各位朋友有所裨益。

一、GJB 9001的供方管理

在GJB 9001标准中，8.1和8.4条款涉及供方管理的内容，主要包括两大部分：一是供方评价和名录管理，二是外协外购过程管理。

1）供方评价和名录管理

供方评价和名录管理的内容在GJB 9001C-2017的8.4.1条款，标准的要求主要有四点：①确定供方评价和选择的准则；②建立合格供方名录；③在合格供方名录外选择供方要履行审批手续（注意，名录外审批只是临时应急措施，不是常态，所以审批手续一定要比正常纳入合格供方名录严格得多）；④在评价和选择供方时识别和控制风险。

2）外协外购过程管理

外协外购过程管理的内容在GJB 9001C-2107的8.1、8.4.2和8.4.3条款，外购过程管理是指采购商用成品，过程比较简单，不作为本文讨论的重点，以下重点介绍外包过程管理（本文把外协和外包等同处理）。

一个典型的外包过程包括外包过程评审、选择供方、签订外包合同、外包过程监督、检验验收五个环节。其中，外包过程评审是审核一项工作能否外包、外包到什么程度的工作，是把关键技术、核心竞争力留在企业的关键环节；选择供方是指在合格供方名录中选择供方，如果在合格供方名录外选择，需先把供方纳入合格供方名录或者走审批流程；签订合同是外包过程管控的起点，一定要在合同中明确外包过程质量控制要求，这是后续开展供方过程监督、检验验收的依据，也是出现法律纠纷、质量问题调查和责任追究的凭证；外包过程监督是依据合同的要求，对供方的研制生产过程进行监督，是外包过程管控的重点和难点；检验验收是依据检验依据文件对外包产品进行全面检验和验收的工作，是外包产品入厂的最后一道关口。关于外包产品全寿期管理，本公众号还有一篇名为《理解|浅析外包全寿期过程管控》的文章，感兴趣的朋友可以去看。

3）两者的关系

合格供方评价与名录管理、外协外购过程管理两部分不是孤立存在的，两者之间经常会产生交互。一方面，外协外购过程会对合格供方评价和名录管理产生影响，如：当外协外购选择不再供方名录内的供方时，就需要启动合格供方评价与名录管理流程；当外协外购产品出现质量问题，也会对供方评价产生影响。另一方面，供方评价也会对外协外购过程产生影响，如：通过供方评价筛选出优质供方，从合同额度、付款、合作深度等方面予以倾斜；对于评价不好的供方，也会加严其过程管控力度。

二、GJB

5000的供方管理

GJB 5000B-2021的供方管理要求集中在外部供方管理（ESM）实践域，该实践域共包括9个实践：选择合格的外部供方、建立并维护外部供方协议、制定并维护外部供方协议管理计划、执行外部供方协议、监督所选择的外部供方过程、确认并评价外部供方交付物、接收并管理外部供方交付物、建立并维护外部供方履约能力的准则、使用准则评价外部供方履约能力。

2.1 两个三级实践属于供方评价和名录管理

建立并维护评价外部供方履约能力的准则（ESM3.1）、使用准则评价外部供方履约能力（ESM3.2）属于外部供方评价和合格供方名录管理的内容，具体要求包括：①确定供方评价准则、程序、责任部门，并按照内外部要求及时更新；②定期或事件驱动进行供方评价，动态维护合格供方名录。

2.2 七个二级实践属于外协外购过程管理

1）选择合格的外部供方（ESM 2.1）：评价并从备选外部供方中选择供方，具体工作包括：①识别备选供方，发布需求；②制定备选供方评价条件和评分标准，并评审确认；③依据评价条件和评分标准评价备选供方，识别各备选供方的风险，选择供方并记录理由。

2）建立并维护外部供方协议（ESM 2.2）：就是签订合同或协议，具体工作包括：①制定合同或协议，并明确具体内容（至少包括：标的和交付物清单、管理与技术约束、软件工程化要求、质量保证要求、过程监督要求、验收与评价要求、交付要求；与供方相关的技术和管理活动、项供方提供设施、设备、文件的进度安排等）；②与利益相关方评审合同或协议；③需要时，更新合同或协议，保存合同或协议。

3）制定并维护外部供方协议管理计划（ESM2.3）:制定计划作为后续供方过程和产品监督的依据，具体工作包括：①选择过程和产品，制定监督、评审或测试试验计划；②策划风险、进展和绩效相关的跟踪、评审计划；③超过一年的长期项目制定年度管理计划。④对于需求明确的小规模软件，不要求制定单独的供方协议管理计划，可合并到外部供方协议中去。

4）执行外部供方协议（ESM 2.4）：也就是执行合同，记录并跟踪问题，具体工作包括：①监督供方的进展和绩效（重复）；②实施技术评审和管理评审（这是管理类评审，不是GJB 9001专指的管理评审）；③监督与供方相关风险，必要时采取措施（范畴大于ESM2.5的风险范畴）；④沟通技术和管理问题，无法解决的提交更高层解决；⑤记录评审和互动结果，用评审结果改进供方绩效；⑥向供方提供必要设施、设备和文件。

5）监督所选择的外部供方过程（ESM 2.5）：按照外部供方协议管理计划，对所选择的供方过程及工作产品进行监督。具体工作包括：①监督过程、工作产品，分析监督结果；②监督与外部供方履约过程有关的风险事项，必要时采取措施；③分析处理技术质量问题；④必要时，调整供方过程监督的频次、时机和方法等；⑤合适时，对供方过程质量保证体系进行审核。

6）确认并评价外部供方交付物（ESM 2.6）：其实就是测试和检验，具体工作包括：①制定验收细则和验收程序，与利益相关方一起评审并达成共识；②根据验收细则和验收程序，验证产品是否满足合同/协议要求；③标识问题，记录措施项并跟踪闭环，形成验收记录；④根据验收结果决定是否接收，并通知供方。

7）接收并管理外部供方交付物（ESM 2.7）：建立管理机制，接收已验收合格的产品，具体工作包括：①建立供方交付物的管控机制，确保有适当的人员、设施接收产品；②当供方逐件交付时，验证产品是否合格；③当供方批量按基线交付时进行配置审核，确保交付正确、齐备、一致；④管理变更，确保变更的正确性和状态的一致性。

三、两个标准的对比

3.1 相同点

GJB 9001C和GJB 5000B两个标准逻辑框架和工作内容总体上是一致的，并且在条款之间有一定的映射关系，具体如下。

3.2 不同点

GJB 9001C和GJB 5000B两个标准在具体的操作层面还是存在不少差异的，其原因来自于GJB 9001C的通用性和GJB 5000B的专用性，具体差异包括：

1）GJB 9001C-2017有明确的要求，GJB 5000B-2021中没有体现，具体包括：外包过程评审、合格供方名录外选择供方需要履行审批手续。

2）GJB 5000B-2021有明确的要求，但GJB 9001C-2017内容涵盖，但没有明确的要求，具体包括：合同中明确甲方的责任（如向供方提供必要设施条件和文件的进度安排等）、对供方质量保证体系的审核、制定外包过程监督计划、接收和管理交付产品。

3）两个标准都有要求，但范围不同，如：GJB 9001C-2017要求在“选择、评价”供方过程中识别并控制风险，GJB 5000B-2021只要求在“选择”供方时识别并控制风险。

4）GJB 5000B-2021相对于GJB 9001C-2017要求更细致，在每个实践中，不但给出了活动实例，用于指导该实践的具体工作；还给出了工作产品实例，明确该实践需留存的证据材料，更具操作性。

3.3 针对GJB

5000B-2021的建议

在GJB 5000B-2021标准中，针对“供方协议”和“供方监督”两部分内容没有划分清楚，在执行供方协议和监督供方过程中有交叉情况。

1）先看内涵，ESM2.2是完成合同或协议的签订，并且明确质量保证要求和过程监督要求，注意，ESM2.2只提出宽泛的要求，不涉及具体落实。ESM2.3是制定过程监督计划，其内容就详细得多，至少包括：监督什么、谁来监督、什么时间、什么方式、什么记录等，是对合同或协议的补充。ESM2.3e）条要求“对于外包需求明确的小规模软件，可在外部供方协议中明确供方协议管理计划内容”就很好地印证了这层关系。

再说执行协议（ESM2.4）和监督外部供方过程（ESM2.5），所谓执行，就是按照合同或协议的规定，甲乙双方各自履行自己的职责，双方都是执行主体。所谓监督，就是甲方为了保证供方能按时保质执行合同/协议，对供方的过程、工作产品进行监视和督促，确保供方能提供满足要求的产品和服务；乙方是执行主体，甲方负责监视和督促。

2）再看问题，在ESM2.4执行供方协议实践中，监督供方的进展和绩效、监督与供方相关的风险都属于监督的范畴（执行主体是乙方，甲方只是监视和督促），个人认为都应该放在ESM2.5的实践中。

3）再说建议，把执行外部供方协议（ESM2.4）实践中活动实例的“a）、d）”条款、工作产品实例的“供方进展报告和绩效测量值、风险列表”移到监督所选择的外部供方过程（ESM2.5）中去，就可以实现标题和内容的一致了。

3.4 关于GJB

5000B供方管理风险说明

在ESM2.4d）条有“监督与供方相关的风险”，ESM2.5b）条有“监督与外部供方履约过程有关的风险事项”，这两者是什么关系呢？

从描述看，ESM2.4中与供方相关的风险是指所有与供方有关的风险，其中除了与履约过程有关的风险（ESM2.5）以外，还有其他的风险（比如涉及企业运营的风险，这部分风险虽然与履约过程没有直接关系，但从长远合作角度、质量体系二方审核角度都是相关的），所以个人认为，ESM2.4的风险范围更大，包含了ESM2.5的风险。

四、外包过程监督的实施

GJB 9001和GJB 5000都只是针对外包过程监督提出了要求，但对如何实施过程监督没有详细介绍，实际上，外包过程监督的工作基本可以概括为以下几类：

1）认可/审批类：包括《质量计划》、《技术状态管理计划》、《通用质量特性工作计划》、《软件质量保证计划》、《试验大纲》等。

2）评审类：归零、转阶段、设计、工艺、产品质量评审等。

3）现场检查类：关键过程控制、特殊过程控制、产品包装防护等。

4）检查资料类：产品实现过程记录、体系运行记录、供方管理与监督情况、元器件筛选/复验报告、元器件清单、生产前准备状态检查等。

5）收集审查资料类：合同要求的文件和记录、质量问题信息、相关配套供应商名录、试验结果、特殊过程确认记录、首件鉴定记录和结论等。

外包过程监督的详细内容请参见本公众号《外包质量要求和外包过程监控》。

五、最后的话

供方管理是一个相对成熟的领域，有很多的研究成果，本文只是笔者从质量管理视角的个人看法，希望对企业解决“不会管”的问题有所裨益。不过，理论虽然成熟，但企业如何把理论落地却是一个管理问题，比如：如何解决外包过程“不愿管”的问题、供方评价的结果不能有效利用的问题等等，都需要企业领导者从全局出发，建立健全正确的管理、引导机制，才能真正把供方管理问题彻底解决。