01What it isQué es
A supplier audit program is the risk-based schedule of on-site and remote audits — quality, social, environmental and financial — plus the corrective action process that turns each finding into a verified fix.
Un programa de auditoría a proveedores es el calendario basado en riesgo de auditorías en sitio y remotas —de calidad, sociales, ambientales y financieras— junto con el proceso de acciones correctivas que convierte cada hallazgo en una corrección verificada.
02Why it mattersPor qué importa
Self-assessments tell you what suppliers say; audits tell you what is actually happening, but only follow-through changes it. Studying Nike's supplier monitoring, researchers found that audits alone produced limited improvement in labor conditions; gains came where monitoring was combined with capability building and joint problem-solving (Locke, Qin and Brause, 2007 — Industrial and Labor Relations Review). Audit programs should be planned by risk, with defined objectives, criteria and competent auditors (ISO, 2018 — ISO 19011:2018 Guidelines for auditing management systems).
Las autoevaluaciones dicen lo que el proveedor declara; las auditorías muestran lo que realmente pasa, pero solo el seguimiento lo cambia. Al estudiar el monitoreo de proveedores de Nike, los investigadores encontraron que las auditorías por sí solas produjeron mejoras limitadas en las condiciones laborales; los avances se dieron donde el monitoreo se combinó con desarrollo de capacidades y solución conjunta de problemas (Locke, Qin and Brause, 2007 — Industrial and Labor Relations Review). Los programas de auditoría deben planearse por riesgo, con objetivos, criterios y auditores competentes definidos (ISO, 2018 — ISO 19011:2018 Guidelines for auditing management systems).
03How it is doneCómo se hace
1
Tier suppliers by risk. Set audit frequency by criticality — annual for single-source critical suppliers, questionnaires for low-risk ones — so the budget follows the exposure.
2
Close every finding on a clock. Issue a CAR with a fixed deadline per severity, escalate automatically when it slips, and verify the fix before closing it.
3
Make results move volume. Feed audit outcomes into the supplier scorecard so repeated critical findings trigger a sourcing review.
1
Segmentar proveedores por riesgo. Fijar la frecuencia de auditoría según criticidad —anual para proveedores críticos de fuente única, cuestionario para los de bajo riesgo— para que el presupuesto siga a la exposición.
2
Cerrar cada hallazgo con plazo. Emitir un CAR con fecha límite según severidad, escalar automáticamente cuando se vence y verificar la corrección antes de cerrarlo.
3
Hacer que los resultados muevan volumen. Integrar los resultados de auditoría al scorecard de proveedores para que los hallazgos críticos repetidos disparen una revisión de abastecimiento.
04The concept in depthEl concepto a fondo
Supplier audit programs: the systematic assurance that suppliers meet your standards›
A supplier audit program is the structured program of periodic supplier facility inspections and document reviews that verifies supplier compliance with quality, environmental, social, and contractual requirements. Audits provide independent evidence that supplier self-assessments are accurate and that the supplier's operational reality matches their stated capabilities. Audit programs are the primary governance mechanism for supply chain risk management after supplier qualification.
Audit program structure: frequency, scope, and risk-based tiering›
Risk-based audit frequency: Tier 1 critical suppliers (single-source, high-spend, high-risk): annual full audit. Tier 1 standard suppliers: biennial audit. Tier 2 critical suppliers: 3-year audit cycle. Tier 2 standard: questionnaire-based assessment only. Audit types: (1) Quality audit: compliance with quality management system (ISO 9001, IATF 16949 for automotive), specification adherence, process capability, and measurement system validation. (2) Social audit (SA8000, SMETA 4-pillar): labor standards, health and safety, environment, and business ethics. Frequently requested by European and global retailers and brands from their Tier 1 suppliers. (3) Financial/solvency audit: for critical single-source suppliers, an annual review of financial health indicators (credit rating, DSO trends, debt ratios) to assess insolvency risk. (4) Environmental audit: environmental management system compliance, permit validity, waste management, and emissions reporting accuracy.
Corrective Action Reports (CARs): the follow-through mechanism that converts audit findings into compliance›
An audit without corrective action follow-through is an audit that doesn’t improve compliance — it only documents it. CAR process: (1) Critical finding: requires a CAR with root cause analysis within 30 days and verification re-audit within 60 days. A critical finding that is not corrected within the CAR timeline triggers a supplier qualification suspension. (2) Major finding: CAR with corrective action plan within 90 days and documentary evidence of closure. (3) Minor finding: observation documented for tracking; corrective action recommended within 180 days. (4) CAR closure: the audit team (or a qualified third-party auditor) verifies corrective action effectiveness before closing the CAR.
Intermediate vs. Advanced›
Intermediate: participates in supplier quality audits; tracks CAR status for assigned suppliers; escalates overdue CARs.
Advanced: designs and manages the supplier audit program; leads complex supplier audits; manages the CAR process; integrates audit results into the supplier risk scorecard.
Advanced: designs and manages the supplier audit program; leads complex supplier audits; manages the CAR process; integrates audit results into the supplier risk scorecard.
Programas de auditoría a proveedores: el aseguramiento sistemático de que los proveedores cumplen con los estándares›
Un programa de auditoría a proveedores es el programa estructurado de inspecciones periódicas a instalaciones y revisiones documentales que verifica el cumplimiento del proveedor con requisitos de calidad, ambientales, sociales y contractuales. Las auditorías aportan evidencia independiente de que las autoevaluaciones del proveedor son exactas y de que su realidad operativa coincide con las capacidades que declara. Después de la calificación de proveedores, los programas de auditoría son el principal mecanismo de gobernanza para la gestión de riesgos de la cadena de suministro.
Estructura del programa de auditoría: frecuencia, alcance y segmentación por riesgo›
Frecuencia de auditoría basada en riesgo: proveedores críticos Tier 1 (fuente única, alto gasto, alto riesgo): auditoría completa anual. Proveedores estándar Tier 1: auditoría bienal. Proveedores críticos Tier 2: ciclo de auditoría de 3 años. Tier 2 estándar: solo evaluación por cuestionario. Tipos de auditoría: (1) Auditoría de calidad: cumplimiento del sistema de gestión de calidad (ISO 9001, IATF 16949 en automotriz), apego a especificaciones, capacidad de proceso y validación del sistema de medición. (2) Auditoría social (SA8000, SMETA de 4 pilares): estándares laborales, salud y seguridad, medio ambiente y ética de negocios. Frecuentemente solicitada por minoristas y marcas europeas y globales a sus proveedores Tier 1. (3) Auditoría financiera/de solvencia: para proveedores críticos de fuente única, revisión anual de indicadores de salud financiera (calificación crediticia, tendencia de DSO, razones de endeudamiento) para evaluar el riesgo de insolvencia. (4) Auditoría ambiental: cumplimiento del sistema de gestión ambiental, vigencia de permisos, manejo de residuos y exactitud del reporte de emisiones.
Reportes de acción correctiva (CAR): el mecanismo de seguimiento que convierte los hallazgos de auditoría en cumplimiento›
Una auditoría sin seguimiento de acciones correctivas no mejora el cumplimiento: solo lo documenta. Proceso de CAR: (1) Hallazgo crítico: requiere un CAR con análisis de causa raíz en 30 días y una re-auditoría de verificación en 60 días. Un hallazgo crítico que no se corrige dentro del plazo del CAR provoca la suspensión de la calificación del proveedor. (2) Hallazgo mayor: CAR con plan de acción correctiva en 90 días y evidencia documental de cierre. (3) Hallazgo menor: observación documentada para seguimiento; acción correctiva recomendada en 180 días. (4) Cierre del CAR: el equipo auditor (o un auditor externo calificado) verifica la efectividad de la acción correctiva antes de cerrar el CAR.
Intermedio vs. Avanzado›
Intermedio: participa en auditorías de calidad a proveedores; da seguimiento al estatus de los CAR de los proveedores asignados; escala los CAR vencidos.
Avanzado: diseña y gestiona el programa de auditoría a proveedores; lidera auditorías complejas; gestiona el proceso de CAR; integra los resultados de auditoría en el scorecard de riesgo de proveedores.
Avanzado: diseña y gestiona el programa de auditoría a proveedores; lidera auditorías complejas; gestiona el proceso de CAR; integra los resultados de auditoría en el scorecard de riesgo de proveedores.
05In practiceEn la práctica
Design the audit program to be risk-based — allocate the most audit resources to the suppliers whose failure would have the highest operational and compliance impact›
An audit program that audits every supplier equally generates both insufficient coverage (not enough audits for critical suppliers) and wasteful coverage (too many audits for low-risk suppliers). Risk-based tiering — with annual audits for Tier-1 critical suppliers and questionnaire-only assessment for Tier-2 standard suppliers — maximizes audit impact within a fixed budget.
Use remote audits for document review and management system assessment — reserve on-site audits for process observation, worker interviews, and facility condition assessment›
Remote audits (video conference + shared screen document review) work well for document-focused assessments at a fraction of the cost of on-site audits, but they cannot replace the site visit for: facility condition observation, unannounced worker interviews (critical for social audits), production process observation, and physical inventory verification.
Conduct social audits (SMETA or SA8000) for any supplier exporting to European retailers — and use SMETA reports shared across the industry to avoid redundant auditing›
Many European and global retailers and brands ask Tier-1 suppliers for a SMETA (Sedex Members Ethical Trade Audit) or an equivalent social audit. SMETA is an audit methodology, not a certification; its reports are shareable through the Sedex platform — a single SMETA audit can satisfy the requirements of multiple retail customers, eliminating redundant audit costs.
Integrate audit results into the supplier scorecard and supplier segmentation — audit findings should affect sourcing decisions, not just generate corrective actions›
A supplier with 3 critical audit findings in 2 years should have their sourcing volume reviewed regardless of their OTIF performance. Audit results integrated into the supplier scorecard create the commercial consequence that makes suppliers invest in compliance improvement.
Diseñar el programa de auditoría con base en riesgo: asignar más recursos de auditoría a los proveedores cuya falla tendría mayor impacto operativo y de cumplimiento›
Un programa que audita a todos los proveedores por igual genera a la vez cobertura insuficiente (pocas auditorías a proveedores críticos) y cobertura desperdiciada (demasiadas auditorías a proveedores de bajo riesgo). La segmentación por riesgo —con auditorías anuales para proveedores críticos Tier 1 y solo cuestionario para proveedores estándar Tier 2— maximiza el impacto de la auditoría con un presupuesto fijo.
Usar auditorías remotas para la revisión documental y la evaluación del sistema de gestión; reservar las auditorías en sitio para observar procesos, entrevistar trabajadores y evaluar las condiciones de la instalación›
Las auditorías remotas (videoconferencia + revisión de documentos en pantalla compartida) funcionan bien para evaluaciones centradas en documentos, a una fracción del costo de una auditoría en sitio, pero no sustituyen la visita para: observar las condiciones de la instalación, entrevistar trabajadores sin aviso previo (crítico en auditorías sociales), observar el proceso productivo y verificar físicamente el inventario.
Realizar auditorías sociales (SMETA o SA8000) a todo proveedor que exporte a minoristas europeos, y aprovechar los reportes SMETA compartidos en la industria para evitar auditorías redundantes›
Muchos minoristas y marcas europeos y globales piden a sus proveedores Tier 1 una auditoría SMETA (Sedex Members Ethical Trade Audit) o una auditoría social equivalente. SMETA es una metodología de auditoría, no una certificación; sus reportes pueden compartirse a través de la plataforma Sedex, de modo que una sola auditoría SMETA puede satisfacer a varios clientes minoristas y eliminar costos de auditoría redundantes.
Integrar los resultados de auditoría en el scorecard y la segmentación de proveedores: los hallazgos deben influir en las decisiones de abastecimiento, no solo generar acciones correctivas›
A un proveedor con 3 hallazgos críticos en 2 años debería revisársele el volumen asignado, sin importar su desempeño en OTIF. Integrar los resultados de auditoría al scorecard de proveedores crea la consecuencia comercial que hace que los proveedores inviertan en mejorar su cumplimiento.
06Illustrative caseCaso ilustrativo
Illustrative case built from typical industry values — not data from a specific company.Caso ilustrativo construido con valores típicos de la industria — no son datos de una empresa específica.
Illustrative case: Supplier audit program — consumer goods company, 180 Tier-1 suppliers across Mexico, Asia, and Europe
The company designs and implements a risk-based supplier audit program replacing an ad-hoc, audit-on-complaint approach.
The company designs and implements a risk-based supplier audit program replacing an ad-hoc, audit-on-complaint approach.
| Audit program dimension | Pre-program (ad-hoc) | Post-program (risk-based) |
|---|---|---|
| Annual audit coverage (% of Tier-1 suppliers audited per year) | 8% of Tier-1 suppliers audited per year · Audits triggered by quality incidents, not proactive schedule · Average audit backlog: 14 months from incident to audit completion | 35 Tier-1 critical suppliers: 100% audited annually · 80 Tier-1 standard suppliers: biennial schedule · 65 Tier-2 critical suppliers: triennial schedule · Total: 48% of supplier base audited per year on rotating schedule |
| CAR closure rate (% of critical and major audit findings closed within the required timeframe) | CAR tracking in Excel spreadsheet · No systematic escalation · CAR closure rate: 34% within required timeframe · 28% of critical findings still open after 6 months | CAR management system (Intelex) with automated escalation · Critical finding CAR closure rate: 96% within 30-day requirement · Major finding CAR closure rate: 89% within 90-day requirement · 0 critical findings open >45 days |
| Remote audit adoption (% of audits conducted remotely vs. on-site) | 0% remote audits · All audits required on-site travel · Average audit cost: $42K MXN/audit (travel + auditor fees) | 40% of biennial standard supplier audits conducted remotely using video audit protocol · Remote audit cost: $12K MXN/audit · Annual savings from remote audit adoption: $2.4M MXN |
Result: Risk-based audit program: annual coverage increased from 8% to 48% of supplier base, critical finding CAR closure rate improved from 34% to 96%, $2.4M MXN/year in audit cost savings from remote audit adoption. Most significant outcome: 4 Tier-1 critical suppliers identified with previously unknown quality or social compliance issues that would not have been discovered under the ad-hoc incident-triggered approach.
Illustrative case built from typical industry values — not data from a specific company.Caso ilustrativo construido con valores típicos de la industria — no son datos de una empresa específica.
Caso ilustrativo: programa de auditoría a proveedores — empresa de bienes de consumo, 180 proveedores Tier 1 en México, Asia y Europa
La empresa diseña e implementa un programa de auditoría basado en riesgo que reemplaza un enfoque ad hoc de auditar solo cuando hay quejas.
La empresa diseña e implementa un programa de auditoría basado en riesgo que reemplaza un enfoque ad hoc de auditar solo cuando hay quejas.
| Dimensión del programa de auditoría | Antes del programa (ad hoc) | Después del programa (basado en riesgo) |
|---|---|---|
| Cobertura anual de auditoría (% de proveedores Tier 1 auditados por año) | 8% de proveedores Tier 1 auditados por año · Auditorías disparadas por incidentes de calidad, no por un calendario proactivo · Rezago promedio: 14 meses desde el incidente hasta completar la auditoría | 35 proveedores críticos Tier 1: 100% auditados cada año · 80 proveedores estándar Tier 1: calendario bienal · 65 proveedores críticos Tier 2: calendario trienal · Total: 48% de la base de proveedores auditada por año en calendario rotativo |
| Tasa de cierre de CAR (% de hallazgos críticos y mayores cerrados dentro del plazo requerido) | Seguimiento de CAR en una hoja de Excel · Sin escalamiento sistemático · Tasa de cierre de CAR: 34% dentro del plazo · 28% de los hallazgos críticos seguían abiertos después de 6 meses | Sistema de gestión de CAR (Intelex) con escalamiento automatizado · Cierre de CAR de hallazgos críticos: 96% dentro del plazo de 30 días · Cierre de CAR de hallazgos mayores: 89% dentro del plazo de 90 días · 0 hallazgos críticos abiertos >45 días |
| Adopción de auditoría remota (% de auditorías remotas vs. en sitio) | 0% de auditorías remotas · Todas las auditorías requerían viaje al sitio · Costo promedio por auditoría: $42K MXN (viáticos + honorarios del auditor) | 40% de las auditorías bienales a proveedores estándar realizadas de forma remota con un protocolo de auditoría por video · Costo de auditoría remota: $12K MXN/auditoría · Ahorro anual por adopción de auditoría remota: $2.4M MXN |
Resultado: programa de auditoría basado en riesgo: la cobertura anual subió de 8% a 48% de la base de proveedores, el cierre de CAR de hallazgos críticos mejoró de 34% a 96% y se ahorraron $2.4M MXN/año en costos de auditoría por la adopción de auditorías remotas. Resultado más relevante: se identificaron 4 proveedores críticos Tier 1 con problemas de calidad o de cumplimiento social antes desconocidos, que no se habrían descubierto con el enfoque ad hoc disparado por incidentes.
07How it is measuredCómo se mide
Supplier Audit Coverage Rate % (% of Tier-1 critical suppliers audited within the required cycle)›
Supplier Audit Coverage Rate % (% of Tier-1 critical suppliers audited within the required cycle)
(Tier-1 critical suppliers audited within the required annual cycle / Total Tier-1 critical suppliers) × 100
Benchmark: 100% Tier-1 critical supplier audit coverage within the annual cycle · <80% indicates the audit program is understaffed or underprioritized
⚠️ A Tier-1 critical supplier audit coverage rate of 8% means 92% of critical supplier risks are unknown and unmanaged. The ad-hoc audit-on-complaint approach is reactive by design — the audit only occurs after a quality incident has already impacted production or customers.
CAR On-Time Closure Rate % (% of critical and major audit findings closed within the required timeframe)›
CAR On-Time Closure Rate % (% of critical and major audit findings closed within the required timeframe)
(Critical and major audit finding CARs closed within the required timeframe (30 days for critical, 90 days for major) / Total critical and major CARs issued) × 100
Benchmark: >90% CAR on-time closure rate in mature audit programs · <70% indicates the audit program generates findings but does not systematically follow through on corrective actions
🔑 A CAR on-time closure rate of 34% means 66% of critical and major audit findings are not corrected within the required timeframe. This is a compliance program that identifies risks and then allows them to persist — generating audit liability without the compliance benefit.
Tasa de cobertura de auditoría a proveedores % (% de proveedores críticos Tier 1 auditados dentro del ciclo requerido)›
Tasa de cobertura de auditoría a proveedores % (% de proveedores críticos Tier 1 auditados dentro del ciclo requerido)
(Proveedores críticos Tier 1 auditados dentro del ciclo anual requerido / Total de proveedores críticos Tier 1) × 100
Referencia: 100% de cobertura de auditoría a proveedores críticos Tier 1 dentro del ciclo anual · <80% indica que el programa de auditoría tiene poco personal o poca prioridad
⚠️ Una cobertura de auditoría de 8% en proveedores críticos Tier 1 significa que 92% de los riesgos de proveedores críticos son desconocidos y no se gestionan. El enfoque ad hoc de auditar solo ante quejas es reactivo por diseño: la auditoría ocurre únicamente después de que un incidente de calidad ya afectó a la producción o a los clientes.
Tasa de cierre de CAR a tiempo % (% de hallazgos críticos y mayores cerrados dentro del plazo requerido)›
Tasa de cierre de CAR a tiempo % (% de hallazgos críticos y mayores cerrados dentro del plazo requerido)
(CAR de hallazgos críticos y mayores cerrados dentro del plazo requerido (30 días para críticos, 90 días para mayores) / Total de CAR críticos y mayores emitidos) × 100
Referencia: >90% de cierre de CAR a tiempo en programas de auditoría maduros · <70% indica que el programa genera hallazgos pero no da seguimiento sistemático a las acciones correctivas
🔑 Una tasa de cierre de CAR a tiempo de 34% significa que 66% de los hallazgos críticos y mayores no se corrigen dentro del plazo. Es un programa de cumplimiento que identifica riesgos y luego permite que persistan: genera responsabilidad documentada sin el beneficio del cumplimiento.
08What you would useQué se usa
📌 Supplier Audit & Compliance Platforms
Intelex / ETQ Reliance / Veeva Vault Quality›
Module: Supplier Audit & CAR Management
Intelex, ETQ Reliance, and Veeva Vault Quality are the reference quality management systems for supplier audit scheduling, audit finding documentation, CAR management, and corrective action verification tracking.
Intelex, ETQ Reliance, and Veeva Vault Quality are the reference quality management systems for supplier audit scheduling, audit finding documentation, CAR management, and corrective action verification tracking.
Sedex SMETA / BSI Supply Chain Solutions / Bureau Veritas Supplier Audit›
Module: Third-Party Social Audit Programs
Sedex SMETA, BSI Supply Chain Solutions, and Bureau Veritas are the reference third-party social audit platforms for suppliers to global retailers and consumer goods companies — providing shareable audit reports that satisfy multiple customer audit requirements simultaneously.
Sedex SMETA, BSI Supply Chain Solutions, and Bureau Veritas are the reference third-party social audit platforms for suppliers to global retailers and consumer goods companies — providing shareable audit reports that satisfy multiple customer audit requirements simultaneously.
📌 Plataformas de auditoría y cumplimiento de proveedores
Intelex / ETQ Reliance / Veeva Vault Quality›
Módulo: Gestión de auditorías a proveedores y CAR
Intelex, ETQ Reliance y Veeva Vault Quality son los sistemas de gestión de calidad de referencia para programar auditorías a proveedores, documentar hallazgos, gestionar CAR y dar seguimiento a la verificación de acciones correctivas.
Intelex, ETQ Reliance y Veeva Vault Quality son los sistemas de gestión de calidad de referencia para programar auditorías a proveedores, documentar hallazgos, gestionar CAR y dar seguimiento a la verificación de acciones correctivas.
Sedex SMETA / BSI Supply Chain Solutions / Bureau Veritas Supplier Audit›
Módulo: Programas de auditoría social de terceros
Sedex SMETA, BSI Supply Chain Solutions y Bureau Veritas son las plataformas de referencia de auditoría social de terceros para proveedores de minoristas globales y empresas de bienes de consumo, con reportes compartibles que satisfacen a la vez los requisitos de auditoría de varios clientes.
Sedex SMETA, BSI Supply Chain Solutions y Bureau Veritas son las plataformas de referencia de auditoría social de terceros para proveedores de minoristas globales y empresas de bienes de consumo, con reportes compartibles que satisfacen a la vez los requisitos de auditoría de varios clientes.
The bottom lineEn corto
Audit by risk, close every finding against a deadline, and let the results decide who gets the next order.
Auditar por riesgo, cerrar cada hallazgo contra un plazo y dejar que los resultados decidan quién recibe el siguiente pedido.
← PreviousAnteriorTrade sanctions & export controls: OFAC, BIS & Denied Party ScreeningSanciones comerciales y controles de exportación: OFAC, BIS y Denied Party ScreeningNextSiguiente →Responsible sourcing: conflict minerals, human rights due diligence & OECD guidelinesSourcing responsable: minerales de conflicto, due diligence de derechos humanos y Modern Slavery Act
All D19 componentsTodos los componentes de D19D19 artifactsArtifacts de D19SCRA