ISO9001の取引先評価とは？8.4項と供給者評価表の作り方

品質管理や購買業務に携わっていると、
取引先や仕入先の評価は避けて通れない業務です。

ISO9001を取得している組織では、
この取引先評価が規格の要求事項の一部として位置づけられています。

一方で、評価表を作ってはみたものの、毎年同じ内容を書き写すだけになっていたり、どの項目をどう点数化すべきか迷ったりする現場も少なくありません。

この記事では、ISO9001の取引先評価（仕入先評価・供給者評価・サプライヤー評価）について、規格8.4項が求めていること、評価項目と基準の設計方法、評価表の作り方、そして形骸化させないための運用までを、品質・購買部門の担当者向けに解説します。

なお、本記事はISO 9001:2015の8.4項を中心に解説しています。
ISO 9001には2024年に気候変動対応に関する追補（ISO 9001:2015/Amd 1:2024）が発行されていますが、本記事で扱う取引先評価の基本構造は8.4項の考え方に基づいています。
実際の運用では、自社が適用している最新版の規格・JISを確認してください。

ISO9001の取引先評価とは、
自組織の製品やサービスに影響を与える取引先について、その能力を評価し、選定し、継続的に監視する活動のことです。

規格上の正式な用語は「外部提供者」といいます。

実務では、取引先、仕入先、供給者、サプライヤー、購買先、外注先など、業界や社内の慣習によって呼び方が変わりますが、規格が対象としているのは同じものです。

自組織の製品やサービスの品質は、外部から調達する部品、材料、加工、サービスの品質に大きく左右されます。
取引先の品質が下がれば、自社の品質も下がる。

この因果を組織として管理下に置くために、取引先を評価し、選び、監視し、必要に応じて見直すという一連の活動が規格で求められています。

取引先評価に関する要求事項は、ISO9001:2015の8.4項「外部から提供されるプロセス、製品及びサービスの管理」に集約されています。

• 8.4.1　一般
• 8.4.2　管理の方式及び程度
• 8.4.3　外部提供者に対する情報

このうち、取引先評価（仕入先評価・供給者評価）の中心となるのは8.4.1です。
日本品質保証機構（JQA）による解説でも、2015年版で「供給者」から「外部提供者」という用語に変わり、8.4項でアウトソース管理の扱いが明確になったと説明されています。

ISO9001:2015の8.4.1では、外部提供者に対して次の4つの活動を実施し、その基準を決めて適用することが求められています。
取引先評価の骨格になる部分です。

新規の取引先について、自組織の要求事項を満たす能力があるかを判断する活動です。

実際の取引を開始する前に、品質管理体制、生産能力、認証取得状況、財務の安定性などを確認します。

評価の結果をもとに、取引先として採用するかどうかを決定する活動です。

複数の候補から選ぶ場合の判断基準、承認プロセス、承認者を組織として定めておきます。

取引開始後、その取引先が期待どおりのパフォーマンスを発揮しているかを継続的に見る活動です。

納品された製品の不良率、納期遵守率、クレーム発生件数などを記録します。

一定の期間や特定の事象をきっかけに、取引先を改めて評価し直す活動です。

パフォーマンスに問題が出た場合、取引先の体制や工程に大きな変更があった場合、取引内容が拡大した場合などが該当します。

規格は、評価・選択・パフォーマンスの監視・再評価について、基準を決めて適用し、これらの活動と必要な処置に関する文書化した情報を保持することを求めています。

基準を定めること、その基準に沿って実施すること、そして実施したことを記録として残すこと。
この3点が揃って初めて8.4.1の要求を満たすことになります。

取引先評価表を作るとき、最初に決めるのが評価項目です。
何を見るかを決めなければ、基準も点数も設計できません。

評価項目は、自社の業種、扱う製品、取引先が提供するものによって変わりますが、一般的には次の観点がベースになります。

• 品質管理体制（ISO9001認証の有無、品質保証部門の有無）
• 過去の不良率・不適合の発生状況
• 検査体制、工程管理の状況
• クレーム発生時の対応

ただし、ISO9001認証の有無だけで良し悪しを判断するのは避けます。
認証範囲が自社の取引内容に合っているか、実際の納入実績や不適合対応と合わせて確認します。

• 納期遵守率
• 生産能力、供給能力
• 緊急時の対応可能性
• 代替供給ルートの有無

• 価格水準の妥当性
• 長期的な価格安定性
• コストダウンへの協力姿勢

• 技術力、開発力
• 特殊工程への対応可否
• 技術的な問い合わせへの応答

• 財務の安定性
• 主要取引先の分散状況
• コンプライアンス体制
• 情報セキュリティ体制（設計情報や顧客情報を扱う場合）

• 取引先の所在地（地政学リスク、災害リスク）
• 再委託・下請の状況
• 主要人材への依存度

すべての取引先にすべての項目を適用する必要はありません。
取引の重要度や、自社製品への影響度に応じて、確認する範囲を絞ります。

項目を決めたら、次は基準です。
同じ項目でも、判断基準が担当者ごとに違えば、評価結果は再現性を持ちません。

各項目について、達成状況を数値で表現できるようにします。

例えば「品質管理体制」なら、「ISO9001認証を取得している：5点／認証はないが品質保証部門がある：3点／どちらもない：1点」といった具合です。

合計点をもとに、取引先をランクに分けます。

よく見られるのは、A（優先取引先）／B（通常取引先）／C（条件付き取引先）／D（不採用）のような区分です。
ランクごとに、監査頻度、発注量、契約条件を変える運用ができます。

すべての項目を同じ重みで扱う必要はありません。

品質不良が自社製品に致命的な影響を及ぼす部品なら、品質項目の配点を大きくし、コスト項目の配点を小さくするといった調整が可能です。

一度作った評価基準を何年も使い続けると、市場環境や自社の要求と合わなくなります。
基準自体も、定期的に見直す対象として扱います。

実務で使う取引先評価表（供給者評価表）には、大きく3つの種類があります。

それぞれ目的と項目が異なるため、1つの表で兼用しようとすると使いにくくなります。

新規に取引を開始する前に使う表です。
取引実績がないため、体制や認証、財務など、書面や訪問で確認できる項目が中心になります。

主な項目：会社概要、品質管理体制、認証取得状況、生産能力、主要取引先、財務情報、見積内容など。

取引開始後、継続的に実績を記録していく表です。
実際のパフォーマンスデータが中心になります。

主な項目：期間内の納品件数、不良率、納期遵守率、クレーム件数、対応状況、コスト変動など。

一定の期間ごと、または特定の事象をきっかけに、取引先を改めて総合評価するための表です。
新規評価と定期評価の両方の観点を含みます。

主な項目：新規評価時の項目の再確認、定期評価データの集計、総合ランクの見直し、今後の取引方針。

規格本文や解説書は、日本規格協会（JSA）のISO 9001関連ページで有償頒布されています。

再評価について、
「年1回は必ず実施しなければならない」
という理解が広まっていますが、これは正確ではありません。

規格が要求しているのは「再評価の基準を決定する」ことであり、頻度そのものを一律に定めているわけではありません。

再評価をいつ行うかは、次のような要素を踏まえて組織が決めることができます。

• 取引先のパフォーマンスに変化があった場合
• 取引先の体制や工程に大きな変更があった場合
• 取引内容や取引量が大きく変わった場合
• 一定期間（例：1年、2年）が経過した場合

すべての取引先を同じ頻度で再評価する必要はありません。

自社製品への影響度が大きい取引先は毎年、影響が限定的な取引先は2〜3年に1回、といった運用が現実的です。

大切なのは、頻度を含む再評価のルールを組織として定め、それを実行し、記録に残すことです。

基準がないまま「なんとなく毎年やっている」状態は、たとえ実施していても要求を満たしているとは言いにくくなります。

品質・安全チェックを業務プロセスとして設計する方法は、品質・安全チェックを業務プロセスとして設計する方法もあわせて参考にしてください。

内部監査や認証審査では、8.4項に関する記録が確認されます。
よく見られるのは次のような文書・記録です。

• 取引先評価に関する規程・手順書
• 承認された取引先の一覧（承認取引先リスト、ベンダーリスト）
• 新規評価の記録
• 定期的なパフォーマンス評価の記録
• 再評価の記録と、それに基づく処置（改善要求、取引継続の判断など）
• 取引先に対して伝達した情報（仕様、要求事項）の記録

規程はあるのに実施記録がない、実施記録はあるが規程と手順が食い違っている。
この2つが指摘の典型例です。

一般的な取引先評価の項目については、取引先評価チェックリストとは？委託先管理で確認すべき項目と運用方法で扱っています。

評価表を運用している組織で共通して見られる失敗が、いくつかあります。

新規評価と定期評価は運用しているのに、再評価をいつ・どういう条件で行うかが決まっていない。

パフォーマンスに問題が出た取引先の見直しが後回しになり、次の不適合を招く原因になります。

ランクは付けているが、発注量や取引条件に反映されていない。

低ランクの取引先とそのまま取引を続け、高ランクの取引先を活かせない状態は、評価の目的そのものが失われている状態です。

評価表の点数はあるが、その結果として何を伝え、何が改善されたかの記録がない。

監査で「評価結果に基づく処置は？」と問われたときに、答える材料が残っていません。

こうした失敗は、評価表そのものの問題ではなく、依頼・回収・確認・記録という業務フローの設計に起因することが多いものです。
そのため、評価表の項目だけでなく、誰に依頼し、誰が確認し、どの記録を残すのかという運用設計まで含めて考える必要があります。

ISO9001の取引先評価は、規格取得のための書類作業として位置づけられると、次第に形骸化していきます。

品質と購買の実務を守るための活動として動かすには、いくつかの工夫が必要です。

新規評価も再評価も、取引先に自己申告してもらう情報が多く含まれます。

取引先ごとに個別にメールで依頼していると、依頼の抜け、回収の遅れ、記録の散逸が発生します。

依頼と回収を1つの流れで扱えるようにしておくと、担当者の負担が下がり、記録も揃います。

不良率、納期遵守率、クレーム件数といったデータは、受入検査、営業、品質保証など複数の部署で発生します。

それぞれがバラバラにExcelを持っていると、再評価のときに集約するだけで大きな手間になります。

早い段階で、評価に使うデータの参照元と、評価表に反映するルールを決めておくのが結果的に早道です。

回答内容に不備がある場合、取引先に差し戻して再提出を求めます。

この差し戻しの記録と、それに対する対応の記録が、再評価や監査対応で意味を持ちます。

チェックシートの作り方そのものについては、チェックシート・チェックリストの作り方｜設問設計から運用までの進め方で解説しています。

不良率や納期遵守率などの実績データを評価表に反映し、取引先への確認、回答回収、差し戻し、記録保管までを毎回メールとExcelで行うようになると、運用負荷が高くなります。

マモリスのようなチェックシート運用ツールでは、取引先への確認依頼、回答回収、確認、差し戻し、記録の保管を一つの流れで扱えます。
取引先はログイン不要で回答できるため、生産現場の担当者やITツールに慣れていない仕入先にも依頼しやすい形です。

ISO9001の取引先評価（仕入先評価・供給者評価）は、規格8.4項が求める「評価・選択・パフォーマンスの監視・再評価」という4つの活動を、基準を決め、実施し、記録に残すことで成立します。

評価項目、評価基準、評価表の3つを自社の状況に合わせて設計し、
リスクベースで頻度を決める。
そして、実施と記録を続けやすい仕組みにしておく。

規格の要求を満たすことと、実務として品質を守ることは、うまく設計すれば同じ活動の中で両立できます。

Q1. ISO9001の取引先評価は年1回実施する必要がありますか？

規格上、再評価の頻度は一律に定められていません。ISO9001:2015の8.4.1が求めているのは「再評価の基準を決定する」ことであり、頻度は組織がリスクベースで決められます。実務では、自社製品への影響度が大きい取引先は年1回、影響が限定的な取引先は2〜3年に1回といった運用が一般的です。

Q2. すべての取引先を評価する必要がありますか？

規格が対象としているのは、自組織の製品やサービスに組み込まれるもの、または組織に代わって顧客に提供されるものです。一般的な事務用品のように、自社の製品・サービス品質への影響が小さいものは、同じ深さで評価する必要はありません。ただし、顧客に提供する帳票、包装資材、表示物など、品質や顧客要求事項に影響するものは管理対象になり得ます。

Q3. 取引先評価表（仕入先評価表・供給者評価表）のテンプレートはありますか？

自社の業種や扱う製品によって適切な項目が変わるため、そのまま使えるテンプレートというよりは、項目の観点をベースに自社仕様に組み立てるのが実務的です。品質、納期、コスト、技術、管理体制、リスクの6観点から、必要な項目を選んで組み合わせます。

Q4. 取引先が評価に協力してくれない場合はどうすればよいですか？

まず、契約や覚書に評価への協力義務を明記しておくことが土台になります。そのうえで、回答の負担を下げる工夫（設問を絞る、記入例を付ける、回答しやすい形式にする）を用意します。取引先にとっても、自社の管理体制を対外的に示す機会になるという説明が、協力を得るうえで有効です。

Q5. 8.4項の要求を満たしているかどうか、どう確認すればよいですか？

内部監査で確認するのが基本です。確認の観点は、①評価・選択・監視・再評価の基準が文書として定められているか、②基準に沿って実施されているか、③実施記録が残されているか、の3点です。この3点は、内部監査や認証審査で確認されやすい基本観点です。加えて、評価結果に基づく処置や、重要な外部提供者に対する管理の程度が妥当かも確認しておくとよいでしょう。