机加工厂办 ISO 9001，热处理和电镀外包了，审核员为什么还盯着你厂里

一台四十万的卧加，一年做 3000 件法兰盘，热处理送去 30 公里外，电镀又在另一家。客户发来的供应商调查表，第三页有一栏问关键工序是否外包，这一栏怎么答，跟客户验厂翻的那几摞记录是一回事，不少老板在这一格停住。

工序能外包，从认证范围里划掉不行。审核员照样来你厂，只是问法从「这道工序怎么做」换成「你怎么管住外面那一家」。《质量管理体系认证规则》5.1.3 把这件事写成申请信息的一项：申请里要写清哪几道工序外包出去[1]。

工序外包出去，责任还在你身上

标准里把外部提供分成两种：买现成标准件，把自己的过程交给外面做。热处理和电镀落在后一种，审核就盯这一段。

8.4.2 接着讲控制到什么程度：外协那几道工序得留在你的体系里，对供方和供方输出结果都要规定控制方式，先评估这道工序对交付能力有多大影响，再确定做哪些验证，这几句分别是 8.4.1 和 8.4.2 的要求[2]。翻成厂里的话就是，热处理回来硬度不够，客户找的是你，不是隔壁县那家。

车间可以没有热处理炉，档案里不能没有热处理的证据。这句听着别扭，可审核看的就是这个。

认证范围这一栏，写你能做的，不写你会做的

范围里写「金属零件机械加工」，没人会要求你把热处理也写进去。规则 6.2.6 规定证书要载明注册地址和认证范围覆盖的经营地址，多个场所要写全地址[1]。外协厂地址不进你的证书，这一点别搞混。

反过来也有坑：明明是自己车间，却当成外协处理。分厂、分公司有独立门牌和独立记录，那就算场所，要走多场所认证的抽样，人日和现场时间都得另算。

申报和删除是两回事：申报是把这条链摆到台面上，删除等于告诉审核员这段我不管了。

现场审核那天，审核员会顺着这条线走一遍

从下料到入库，那条链是这么走的：领料，粗车，精铣，出厂送热处理，回来做电镀，再回来检验，最后入库交付。审核员通常从后半段倒着问，先看成品检验记录，再往回追那批料去了哪家，问法跟现场审核会查什么里那张表对得上。

走到外协这一段，问题集中在三处：技术协议怎么写的，供方怎么评的，回来怎么验的。

技术协议里要写清什么，材料清单其实就是三张纸

8.4.3 列了六项要跟外部供方沟通：提供什么过程和产品，需要批准的工艺与设备，人员资格，双方接口，你如何监视供方绩效，以及你或客户要不要去供方现场验证[2]。

落到热处理上，协议里不能只写「按国标」。材料牌号，硬度范围，渗层深度，随炉试块要不要带，报告什么时候给，这些写明白，回来才有得对。电镀同理，镀层厚度和盐雾时长要写数，不写数就只能凭对方一张嘴。

三张纸配齐，这一段就稳了：

纸	写什么	谁签字
技术协议或采购订单	牌号，硬度或镀层要求，验收准则，随件报告	双方
供方评价记录	设备清单，检测能力，过往批次合格率，再评价日期	你方
进货检验记录	抽检数量，实测值，判定结果，不合格怎么处置	检验员

量具这一头容易被漏。外协件回来要测硬度，测镀层，那几台仪器得在校准有效期内，7.1.5 讲的就是测量溯源这件事[2]。

特殊过程为什么被单独拎出来

8.5.1 有一条容易被跳过去：输出结果没法靠后续的监视或测量验证时，要对这个过程确认，还要定期再确认[2]。

热处理正好卡在这条上。硬度能打，可淬透性和内应力在成品上测不出来。电镀附着力也得靠破坏性试验才看得见。所以审核会问：工艺参数怎么定，谁定，多久复评一次，换材料或者换炉子以后有没有重新确认。

这些活儿外协厂在做，证据得回到你手里。随炉试块的检测报告，工艺曲线，第三方检测，任何一样都行，前提是能对上批次。

外协厂要不要去现场看

8.4.3 最后一项给了这个口子：组织或其顾客，可以到外部供方现场做验证或确认[2]。你的客户提这个要求，拒绝不了。你自己评供方，第一次合作去一趟也常见。

不过要分清的是，去外协厂看属于验证，跟你自己接受审核完全是两件事。审核对象是你这个申请认证的组织。外协厂是独立法人，没写进你的证书，审核组一般不去它现场开不符合项。

外协件被判不合格，整改这一环怎么走

回来的批次不合格，8.7 要求先控制住不合格输出，再决定怎么处置：让步接收要有授权，返工要有方案，报废要有记录[3]。

真正被追问的是下一步：这批不合格有没有影响已经发出去的货。链条上出过一次，就得往回翻库房和已交付清单，这一步不做，问题会在监督审核时再冒出来。

自己的分厂和外面的厂，两回事

分厂当成场所，抽样规则就上来了。相似场所初审按总数全去，监督审核抽 0.6 倍，再认证抽 0.8 倍，结果向上取整，不算相似场所的初审和再认证要逐一到场，监督审核抽不少于 30%，每次都要包含中心职能部门[1]。分场所现场时间，不少于单独查表所得现场时间 50%[1]。

这条对机加工厂影响不小：热处理车间如果在自己院墙内，人数会并进有效人数，人日跟着上一个档，办在外面的独立厂就不进你的有效人数，只作为供方管。

拿证周期：人日和现场时间先算清

附录 B 按有效人数分档给初审两阶段合计：人数不超过 15 人的是 2.5 人日，16 到 25 人 3 人日，26 到 45 人 4 人日[1]。1 个人日按 8 小时算，规则明确不许靠加长每天工时来压人日[1]。

减时也有上限，减少部分不超过附录 B 的 30%，现场审核时间不低于确定时间 80%[1]。两阶段之间最短隔 5 日，最长 6 个月，超过 6 个月第一阶段要重做[1]。

按这个排，一家 80 人的机加工厂，从签合同到拿证通常要两到三个月，前面还得有体系跑满三个月这个前提。

证书有效期三年，中间每年一次监督

6.2.1 规定证书有效期最长 3 年[1]。首监要在证书签发后 12 个月内做完，往后每次间隔也不超过 12 个月[1]。监督审核的审核时间不少于初审的三分之一[1]。

到期前没做完再认证决定，证书就自动失效了，这条不给人留缓冲[1]。

常见问题

热处理外包，认证范围里还要写吗？

不写进范围，但要申报成外协环节。范围写的是你自己的加工能力，外协那几道写在申请信息里，两处都要有。

外协厂没有 ISO 证书，我们能不能过？

能过。8.4 要的是你把它控制住，不是它自己拿证[2]。当然，对方有证书，你的供方评价会省事，客户追问时也好答。

客户要求去外协厂看，可以拒绝吗？

8.4.3 已经把这个权利写进去了，拒绝没道理。提前跟外协厂打招呼，把安全培训和路线安排好就行。

外协件出了问题，责任怎么算？

先看你对外协的控制证据够不够。协议写得清，进货验得实，责任落回供方。协议里只写「按国标」，两边都说不清。

80 人的厂，办下来大概多久？

体系跑满三个月是硬前提，从签合同到拿证常见两到三个月。急着投标的，把体系文件发布日期往前挪没用，起点就是发布实施那天。

参考来源

• 现行《质量管理体系认证规则》，5.1.3 申请信息含影响体系有效性的外协环节，6.2.6 证书载明注册地址与覆盖的经营地址，5.4.3.3 相似场所抽样 X 与 0.6X 与 0.8X，5.4.3.4 非相似场所监督抽 30%，5.4.3.5 分场所现场不少于 50%，5.4.2.1 一人日 8 小时且不得以加长工时代替，5.4.2.3 减时不超过 30% 且现场不低于 80%，5.6.1 两阶段间隔 5 日至 6 个月，附录 B 15 人及以下 2.5 人日，16 至 25 人 3 人日，26 至 45 人 4 人日，5.7.4 监督不少于三分之一，6.2.1 证书最长 3 年，5.4.1.4 首次监督 12 个月内 ｜ https://scjg.jl.gov.cn/fw/wnfw/jyjcfw/tzgg/202512/P020251217323737056989.pdf ｜ 2026-01-01
• GB/T 19001-2016 8.4.1 外部提供过程产品和服务控制总则与供方评价选择绩效监视再评价，8.4.2 控制类型和程度，8.4.3 与外部供方沟通的六项要求含顾客拟在供方现场验证，8.5.1 过程确认与定期再确认，7.1.5 监视和测量资源与测量溯源，8.7 不合格输出的控制 ｜ https://www.cmde.org.cn/gbpdf/GB19001-2016.pdf ｜ 2016-12-30
• GB/T 19001-2016 全文对照，8.4.1 供方评价选择与绩效监视再评价，8.4.2 外协环节控制在体系内并规定控制方式，8.4.3 f 组织或顾客拟在外部供方现场实施验证，8.5.1 f 过程确认与定期再确认，7.1.5 监视测量资源，8.6 放行，8.7 不合格输出控制 ｜ http://www.cnabic.com/uploadfile/2025/0913/20250913105029786.pdf ｜ 2016-12-30