En leverantörsrevision är en planerad granskning där ni som kund kontrollerar att en leverantör uppfyller era krav. Ni bestämmer mål och kriterier i förväg, granskar leverantörens dokument, arbetssätt och resultat, skriver ner fynden och följer upp att bristerna faktiskt åtgärdas.
Revisionen är aktuell för den som köper produkter eller tjänster som påverkar den egna leveransen, till exempel kvalitets- och miljöansvariga i ISO 9001- eller ISO 14001-certifierade företag. Den är också aktuell för den som anlitar ett personuppgiftsbiträde. Den är inte nödvändig för varje leverantör. Använd den där enkätsvar och certifikat inte räcker som underlag.
Vad är en leverantörsrevision?
En leverantörsrevision görs av kunden eller av en revisor på kundens uppdrag. Vid en internrevision granskar företaget i stället sin egen verksamhet, med egna eller anlitade revisorer. Vid en certifieringsrevision granskar ett oberoende certifieringsorgan ledningssystemet mot en standard. Kundens revision kallas andrapartsrevision. Den kan genomföras på plats, på distans eller med en kombination.
| Typ av granskning | Vem granskar | Mot vad |
|---|---|---|
| Internrevision | Företaget självt eller en revisor på dess uppdrag | Krav som gäller för det egna ledningssystemet |
| Leverantörsrevision | Kunden eller en revisor på kundens uppdrag | Avtalade krav och andra relevanta kriterier |
| Certifieringsrevision | Oberoende certifieringsorgan | Standarden leverantören är certifierad mot |
En leverantörsrevision är en metod inom leverantörsbedömningen. Bedömningen omfattar att utvärdera, välja, följa upp och omvärdera leverantörer. Revisionen ger underlag genom intervjuer, observationer och stickprov, till exempel genom att följa en order eller ett ärende från början till slut.
Ett certifikat ersätter inte en revision automatiskt. Det visar att leverantörens ledningssystem är certifierat inom ett visst omfång, inte att just er leverans uppfyller era krav. ISO och IAF:s vägledning för revision av externa leverantörer tar upp samma fråga: godkänns leverantörer enbart för att de är certifierade, eller kontrolleras certifikatets omfång?
När behövs en leverantörsrevision?
Vilken ISO-utgåva gäller? ISO 9001:2026 publicerades den 16 september 2026 och ersätter 2015-utgåvan. Hänvisningarna nedan gäller ISO 9001:2015, för företag som fortfarande arbetar enligt den utgåvan. Stäm av övergången till 2026-utgåvan med ert certifieringsorgan.
ISO 9001:2015 klausul 8.4.2 kräver att styrningen av externa leverantörer står i proportion till hur mycket de kan påverka er förmåga att leverera enligt kundkrav. Standarden kräver alltså inte att ni reviderar alla leverantörer. En revision är ett av flera sätt att verifiera en leverantör, vid sidan av enkäter, certifikatkontroll och mottagningskontroll.
En revision brukar vara motiverad när:
- leverantören levererar en kritisk komponent eller tjänst som är svår att ersätta,
- ni ska godkänna en ny leverantör och skriftliga svar inte räcker för beslutet,
- en allvarlig avvikelse eller upprepade reklamationer kräver att ni undersöker arbetssätt och orsaker närmare,
- certifikatets omfång inte täcker den produkt, process eller anläggning ni köper från,
- er egen kund kräver att ni kan visa hur ni kontrollerar leverantörsledet.
För personuppgiftsbiträden finns ett lagstöd. GDPR artikel 28.3 h säger att avtalet ska ålägga biträdet att möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en revisor som denne har bemyndigat. Se till att rätten står i personuppgiftsbiträdesavtalet innan ni behöver den.
Så genomför ni en leverantörsrevision i sex steg
ISO 19011:2026 ger vägledning för revision av ledningssystem: revisionsprinciper, hur man styr ett revisionsprogram och hur en revision genomförs. Standarden är vägledande och går inte att certifiera sig mot, men den är en bra grund för en egen rutin. Stegen nedan är en praktisk förenkling för revision av en enskild leverantör.
1. Bestäm mål och omfattning. Skriv ner varför revisionen görs och vad den ska ge svar på. "Godkänna leverantören för serieleverans av ytbehandlade fästen" är ett mål. "Se hur de jobbar" är det inte. Ange vilka anläggningar, processer, produkter och vilken tidsperiod som ingår.
2. Välj kriterier. Kriterierna är det ni granskar mot: ritningar och specifikationer, avtalade krav, krav i inköpsordern och de delar av en standard som är relevanta för leveransen. Utan kriterier blir fynden åsikter.
3. Avisera och begär underlag. Kom överens om datum, tidsplan, revisionsform och vilka personer som ska delta. Utse en revisor med kunskap om det ni ska granska och förmåga att bedöma underlaget sakligt.
ISO 9001:2015 klausul 8.4.3 kräver att ni informerar leverantören om de verifieringar som ni eller er kund avser att göra i leverantörens lokaler. Reglera revisionsrätten i avtal eller inköpsvillkor i god tid. Begär in relevanta rutiner, certifikat och resultat och läs dem före revisionen.
4. Genomför revisionen. Starta med ett kort inledande möte om mål och upplägg. Intervjua dem som utför arbetet, observera processen och ta stickprov. Följ till exempel en verklig order från mottagning till leverans. Kontrollera hur kraven uppfylls i varje relevant steg och granska den dokumentation som era kriterier kräver. Anteckna vad ni såg, vilka stickprov ni tog och vilket underlag ni granskade. Om distansgranskningen inte räcker för en viss kontroll, planera ett kompletterande besök.
5. Sammanfatta och rapportera fynden. Gå igenom fynden med leverantören vid ett avslutande möte, så att inga missförstånd hamnar i rapporten. Ett revisionsfynd beskriver vad granskningen visar i förhållande till kriterierna. Det kan visa att ett krav är uppfyllt eller att det finns en avvikelse. Koppla varje fynd till ett krav och det underlag ni har granskat. Skilj avvikelser från förbättringsförslag och skriv ner vad ni inte kunde verifiera.
6. Följ upp åtgärderna och fatta beslut. Bedöm direkt om en avvikelse kräver att ni begränsar eller pausar leveranser under utredningen. Be leverantören beskriva orsaken och åtgärden för varje avvikelse, med ansvarig och datum när åtgärden ska vara klar. Stäng avvikelsen först när ni har kontrollerat att åtgärden fungerar. Dokumentera beslutet om leverantören: godkänd, godkänd med villkor eller inte godkänd. Ange vem som fattar beslutet och vad eventuella villkor innebär.
Exempel på revisionsplan
Ett fiktivt exempel för en ny leverantör av ytbehandlade fästen. Planen ska spegla era egna krav, inte en standardlista.
| Del | Exempel |
|---|---|
| Datum och revisionsform | 5 november 2026, på plats. Kvalitetsansvarig hos kunden leder revisionen. |
| Mål | Avgöra om leverantören kan godkännas för serieleverans. |
| Omfattning | Materialmottagning, ytbehandling, slutkontroll och utleverans av fästen på anläggningen. Stickprov från de senaste tre månaderna. Konstruktion ingår inte. |
| Kriterier | Ritning rev. C, avtalade 500 fästen per månad med högst tio arbetsdagars ledtid samt inköpsvillkorens krav på spårbarhet och kemikaliehantering. |
| Underlag i förväg | Certifikat och dess omfång, rutin för mottagningskontroll, senaste reklamationsstatistik. |
| 08.30–09.00 | Inledande möte: bekräfta mål, omfattning, krav och tillgång till underlag. |
| 09.00–10.30 | Följ en order från materialmottagning till utleverans. Granska mätprotokoll och spårbarhet för tre batcher samt märkning och förvaring av kemikalier. |
| 10.30–11.30 | Granska kapacitetsunderlag och leveransutfall mot avtalad volym och ledtid. Följ upp frågor från stickproven. |
| 11.30–12.00 | Avslutande möte: gå igenom fynd, öppna frågor och nästa steg. |
| Deltagare | Kvalitetsansvarig och inköpare hos kunden. Produktionschef och kvalitetsansvarig hos leverantören. |
| Rapport | Inom en vecka, med fynd, åtgärder, ansvarig och datum. |
Mallen för leverantörsbedömning nedan kan ge stöd för kriterier och beslut. Komplettera den med en revisionsplan som anger omfattning, tider, ansvariga och granskningsmoment.
Exempel: från revisionsfynd till stängd avvikelse
Ett fiktivt exempel från samma revision:
- Krav: Inköpsvillkoren kräver att varje levererad batch kan kopplas till ett materialintyg.
- Underlag och avvikelse: I två av tre granskade batcher saknades kopplingen mellan batchnumret och materialintyget. Spårbarhetskravet var därför inte uppfyllt i dessa stickprov.
- Åtgärd: Leverantören utreder orsaken, kompletterar saknade kopplingar och inför en kontroll före utleverans. Produktionschefen ansvarar, med sista datum den 19 november.
- Verifiering: Efter ändringen väljer kundens revisor tre nya batcher och kontrollerar att kopplingen finns och att utleveranskontrollen har använts. Resultatet avgör om avvikelsen kan stängas eller behöver fortsatt uppföljning.
Stickproven visar vad ni har kontrollerat. De är ingen garanti för att alla leveranser uppfyller kravet.
Vad ska revisionsrapporten innehålla?
Rapporten ska göra det möjligt för någon som inte var med att förstå vad som granskades och varför beslutet blev som det blev. Ta med:
- datum, revisorer och deltagare hos leverantören,
- mål, omfattning och kriterier,
- fynd, var och ett kopplat till krav och underlag,
- styrkor ni noterade, så att leverantören vet vad som fungerar,
- vad ni inte kunde verifiera och hur det påverkar slutsatsen,
- slutsats och beslut,
- åtgärder med ansvarig, datum och hur ni ska verifiera dem.
Spara rapporten tillsammans med leverantörens övriga underlag. Vid er egen revision kan revisorn vilja följa en leverantör från godkännande till senaste uppföljning, och då ska revisionen och dess åtgärder gå att hitta.
Vanliga misstag
- Ingen omfattning. Revisionen blir en rundvandring utan slutsats. Bestäm mål, omfattning och kriterier först.
- Checklistan styr i stället för risken. Samma frågor för alla leverantörer ger djup där det inte behövs och ytlighet där det gör det. Anpassa efter vad leverantören levererar.
- Fynd utan underlag. "Rörig hantering" går inte att åtgärda. Beskriv vad ni såg, var och mot vilket krav.
- Avvikelser stängs på löfte. Kontrollera att åtgärden är genomförd och fungerar innan ni stänger avvikelsen.
- Resultatet hamnar i en mejltråd. Spara rapporten i ert leverantörsregister tillsammans med övriga underlag, så att historiken går att följa vid nästa omvärdering.
Hur ChainSec hjälper till med revisionsuppföljningen
När revisionen är klar behöver ni hålla ordning på vilka avvikelser som är öppna, vem som verifierade en åtgärd och vilken status leverantören har nu.
I ChainSec kan ni lägga upp checklistor per leverantör från återanvändbara mallar som stöd för revisionen. När ett krav inte är uppfyllt kan ni registrera en avvikelse mot leverantören med allvarlighetsgrad, ansvarig, rotorsak och leverantörens svar. Ni dokumenterar också vem som verifierade åtgärden och när. Granskningar sparas i en logg. Den godkända leverantörslistan kan exporteras med status, klassning, senaste granskning och certifikatens giltighet. Läs mer om leverantörsregistret i ChainSec.
Vanliga frågor
Vad är en leverantörsrevision?
En leverantörsrevision är en planerad granskning där ni som kund kontrollerar att en leverantör uppfyller era krav. Ni jämför leverantörens arbetssätt, dokument och resultat med förutbestämda kriterier, dokumenterar fynden och följer upp åtgärderna.
Kräver ISO 9001:2015 att man reviderar sina leverantörer?
Nej, inte generellt. Klausul 8.4 i ISO 9001:2015 kräver att styrningen av externa leverantörer står i proportion till hur mycket de påverkar er leverans. En revision är ett sätt att verifiera en leverantör. Enkäter, certifikatkontroll och mottagningskontroll är andra.
Vad är skillnaden mellan leverantörsrevision och leverantörsbedömning?
Leverantörsbedömning är hela processen för att utvärdera, välja, följa upp och omvärdera leverantörer. En leverantörsrevision är en av metoderna i den processen. Ni eller en revisor på ert uppdrag granskar underlag och arbetssätt mot bestämda kriterier, på plats, på distans eller med en kombination.
Får man revidera ett personuppgiftsbiträde?
Ja. GDPR artikel 28.3 h säger att personuppgiftsbiträdesavtalet ska ålägga biträdet att möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en revisor som denne har bemyndigat.
Vad ska en revisionsrapport för en leverantör innehålla?
Datum, revisorer och deltagare, revisionens mål och omfattning, kriterierna ni granskade mot, fynd med hänvisning till krav och underlag, vad ni inte kunde verifiera, en slutsats samt åtgärder med ansvarig och datum.
