Qualifica fornitori, passo per passo

Come leggerla

Ogni passo è una schermata vera, scattata nell'ordine in cui le cose sono successe a Immobiliare Belvedere. I numeri delle pratiche e le date sono quelli del giorno in cui le schermate sono state fatte: nella tua azienda saranno altri.

Il riesame, i documenti in scadenza e l'eliminazione arrivano dopo mesi o anni: nelle schermate il tempo è stato fatto passare spostando le date, e le email sono quelle che il cron manda davvero.

Quali fornitori qualificare. Quelli che contano per la qualità, per i clienti o per i dati, non tutti: chi fornisce componenti dei vostri prodotti, chi serve i vostri clienti per conto vostro, chi tratta i dati dei clienti, chi lavora presso di voi. Una pratica per fornitore: prima di aprirne una, cerca il nome in Pratiche.

I sette criteri e la decisione

Sette criteri, ciascuno Adeguato, Da migliorare, Inadeguato o Non applicabile: qualità di prodotti e servizi, tempi e condizioni, competenza e capacità, regolarità documentale, certificazioni, reattività su problemi e reclami, sicurezza delle informazioni. Iterly non calcola punteggi: i giudizi li date voi, e restano scritti.

Un Inadeguato toglie solo la qualifica piena: con riserva o non idoneo restano possibili. La riserva ha una data di riesame entro cui il fornitore deve migliorare; se serve un'azione correttiva, aprite una non conformità con fonte Fornitore e scrivete il suo numero.

Dove avete scritto i requisiti (§8.4.3 della ISO 9001:2026): nel contratto, nell'ordine, in un capitolato o nelle condizioni del fornitore accettate, comprese le interazioni con i vostri clienti. Il documento si carica fra i Documenti come «Contratto o ordine».

I giudizi sono variabili: compaiono nelle email, nel CSV, nella ricerca e all'amministratore. Per una ditta individuale il nome del fornitore è un nome di persona: scrivete fatti, non giudizi sulle persone.

L'accordo art. 28

Responsabile o titolare autonomo. Se il fornitore tratta dati personali per conto vostro — il gestionale o il cloud, l'assistenza informatica con accesso ai dati, le paghe del consulente del lavoro (per i dati dei vostri dipendenti è responsabile, per i suoi e dei suoi clienti titolare: Garante, risposta del 22/1/2019, doc. web 9080970) — è un responsabile e serve l'accordo dell'art. 28. Se li tratta per conto suo (il medico competente, la banca, il corriere) o non ne vede, no. Nel dubbio decide il referente privacy.

Che cosa controlla il referente privacy: la forma dell'accordo (clausole tipo della Commissione, accordo del fornitore letto e accettato, accordo vostro firmato), i sub-responsabili e la loro catena, i dati fuori dallo SEE, il termine entro cui il fornitore vi avvisa di una violazione (il vostro verso il Garante è di 72 ore dalla conoscenza), la restituzione o cancellazione a fine servizio, e i contenuti dell'art. 28(3).

Si riverifica a ogni riesame: il parere EDPB 22/2024 chiede una verifica nel tempo, a prescindere dal rischio. Al riesame la data della verifica riparte vuota; le altre risposte si ripresentano com'erano, e vanno controllate sull'accordo. Una violazione del fornitore si gestisce in Violazione di dati personali; il suo numero va nel registro delle decisioni.

L'accordo lo carica acquisti fra i Documenti (codice <numero>-A28, tipo «Contratto o ordine»); il referente privacy lo scarica dalla pratica. Un accordo caricato in una Richiesta di acquisto è un Allegato di quella richiesta: per la qualifica va ricaricato nell'archivio.

I documenti

Codici, non nomi: <numero della pratica>-Q1, -Q2…, l'accordo art. 28 -A28, una certificazione -CERT1; il file prende il nome dal codice. Una riga che sceglie un documento di un'altra pratica, anche di Lavori in appalto, porta il codice di quel documento.

Lo Stato di ogni riga: In vigore, Sostituito o Non più richiesto. Un documento rinnovato è una riga nuova, e la vecchia diventa Sostituito; mai una versione nuova nell'archivio, che cambierebbe il documento in ogni pratica che lo richiama, chiuse comprese.

La prima scadenza dei documenti In vigore la calcola Iterly al salvataggio e la mostra nel Riepilogo; 30 giorni prima porta la pratica in DOCUMENTI IN SCADENZA. Una riga senza data, o Sostituita, non conta.

Non togliete opzioni da Tipo nell'archivio «Documenti dei fornitori»: un documento esistente conserva il suo tipo, ma uno nuovo creato dalla griglia può nascere con un tipo che l'archivio non offre più.

Una certificazione ISO 9001:2015 del fornitore vale fino alla data stampata: la transizione alla 2026 dura tre anni. Verificatela sulla banca dati dell'ente.

L'albo e il riesame

L'albo è l'elenco dei fornitori qualificati. In Iterly: Processi, vista Classica, il flusso Qualifica fornitori e, nella colonna Esito, il filtro «Qualificato», che prende anche quelli con riserva e lascia fuori i non idonei. Con i sospesi, il CSV del flusso filtrato sulla colonna Esito nel foglio di calcolo: è anche l'albo per l'auditor e per il riesame della direzione, con tutte le 27 colonne. La ricerca libera non basta: «qualificato» trova anche i fornitori qualificati in passato, perché il registro delle decisioni conserva la loro riga.

Il riesame arriva 30 giorni prima della data scritta alla decisione (12, 24 o 36 mesi, o la data della riserva). Chi lo fa cerca con il nome del fornitore in Pratiche le non conformità, i reclami e le violazioni del periodo: il responsabile qualità trova NC e reclami, il referente privacy le violazioni, la direzione tutte e tre; acquisti non ne trova nessuna, e chiede i numeri al responsabile qualità e al referente privacy. I numeri vanno nella colonna «Numeri del periodo» del registro.

Il registro delle decisioni è cumulativo: una riga per decisione, le righe non si cancellano. Iterly chiede almeno una riga, non una riga nuova a ogni decisione: aggiungerla è compito vostro.

Un riesame scaduto non cambia l'esito: il fornitore resta qualificato, con un sollecito ogni cinque giorni lavorativi, finché qualcuno decide.

Cosa fa ciascuno

• Acquisti: avvia la qualifica, carica e aggiorna i documenti, valuta, chiede la verifica dell'accordo, decide; segue i documenti in scadenza, la conservazione e l'eliminazione nell'archivio.
• Responsabile qualità: come acquisti; trova le non conformità e i reclami del fornitore per il riesame.
• Direzione: dai fornitori qualificati e sospesi avvia un riesame, sospende, revoca o chiude il rapporto; segue il resto in osservazione. Non carica documenti.
• Referente privacy: verifica l'accordo art. 28 a ogni ciclo; trova le violazioni del fornitore.
• Referente sicurezza: legge la pratica e apre l'archivio dei documenti.

Che cosa il flusso non fa

• Non valuta: i giudizi li date voi; nessun punteggio, nessun confronto fra fornitori.
• Non legge i documenti né scrive contratti e accordi: registra che ci sono e quando scadono.
• Non impedisce di ordinare a un fornitore non idoneo, sospeso o revocato: Richiesta di acquisto non lo sa. L'albo si guarda.
• Non blocca un doppione: una pratica per fornitore è una regola vostra; un doppione si annulla.
• Non segue i lavori in sede (idoneità, DUVRI, DURC): sono di Lavori in appalto. Non verifica il DURC al pagamento e non valuta un software o un sistema di IA.
• Non è conformità NIS2: il criterio «Sicurezza delle informazioni» basta a una PMI fuori dal perimetro; un vostro cliente soggetto alla NIS2 può chiedervi di più sui vostri fornitori.

Con gli altri flussi

• Lavori in appalto: l'archivio «Documenti dei fornitori» è in comune; un documento di là si sceglie qui con il suo codice. Un fornitore che lavora presso di voi ha anche una pratica di Lavori in appalto per ogni lavoro, dove si scrive il numero di questa.
• Richiesta di acquisto: guardate l'albo prima di ordinare. Qui si scrive il numero della richiesta da cui nasce la qualifica, non il contrario. Un accordo art. 28 caricato nella richiesta come Allegato si ricarica qui nell'archivio.
• Non conformità e Reclamo cliente: una riserva rimanda a una NC con fonte Fornitore; i numeri di NC e reclami del periodo vanno nel registro delle decisioni.
• Violazione di dati personali: le violazioni causate dal fornitore si registrano lì; il loro numero va nel registro, e il ritardo dell'avviso pesa sul criterio della reattività.
• Lo Scadenzario: il riesame della direzione usa il CSV di questo flusso come albo.

Prima di adottare

I ruoli. Servono utenti in acquisti, responsabile qualità, direzione, referente privacy e referente sicurezza: leggono tutti la pratica intera.

L'archivio dei documenti. Se «Documenti dei fornitori» esisteva già (da Lavori in appalto), l'import lo riusa e lo dice: i ruoli e la rinomina dei file non si applicano a una struttura già presente. Controlla che fra i suoi ruoli ci siano acquisti e responsabile qualità, e che le opzioni di Tipo siano le 14 di Lavori in appalto. Non togliete opzioni da Tipo: un documento esistente conserva il suo tipo, ma uno nuovo creato dalla griglia può nascere con un tipo che l'archivio non offre più.

Fornitori. L'anagrafica la scrive l'amministratore: un fornitore che manca si chiede a lui. Se c'era già, i fornitori ci sono già.

Quali fornitori qualificare lo decidete voi: quelli che contano per la qualità, per i clienti o per i dati.

L'amministratore dell'azienda vede elenco e dati della pratica, giudizi compresi, e apre l'archivio dei documenti: sceglietelo di conseguenza; se è un fornitore esterno, passa dall'accordo art. 28.

Conservazione. Dieci anni dalla chiusura per i fornitori con cui c'è stato un rapporto, due per i non idonei: è una scelta del titolare, da far rivedere. I documenti eliminati restano nei backup per i loro tempi.

Da sapere

• Una pratica per fornitore, per tutta la sua vita: i riesami avvengono nella stessa pratica; lo Storico dice chi e quando, il registro delle decisioni dice che cosa.
• Note e motivi mostrano l'ultimo invio: al riesame la valutazione si ripresenta com'era, e la nota va riscritta.
• Due email lo stesso giorno: una qualifica con documenti che scadono entro 30 giorni, o con una riserva a meno di 30 giorni, apre subito l'avviso.
• Una griglia mandata con meno righe si accorcia: le righe non si cancellano per regola, non per un blocco di Iterly.
• Un aggiornamento dello Store non cambia le pratiche aperte.
• Un utente della stessa azienda senza i ruoli non apre la pratica (403); un'altra azienda non la trova.