供应商管控是 ISO 13485 中在审核时产生不符合项最多的章节之一，尤其是在中小企业。第 7.4 节对方法有严格要求。仅仅与供应商签订合同不足以证明已实现管控。
第 7.4 节的要求
第 7.4 节分为三个部分。只处理第一部分是最常见的范围界定错误。
7.4.1 采购过程。 基于供应商提供符合规定要求产品的能力、其绩效、所采购产品对器械质量的影响，并与风险相称地对供应商进行评价和选择。选择准则应形成文件，结果应予以记录。再评价应经过策划、实施，并保存其结果，同时保存在出现偏差时所触发的措施。
7.4.2 采购信息。 采购信息应描述所订购的产品：规范、验收准则、对供应商人员资格的要求，适用时还包括质量管理体系要求。中小企业常缺失的一点：变更通知协议。供应商应以合同形式承诺，在实施任何工艺、材料或分包商变更之前予以告知。没有该协议，管控便只能依赖对变更的偶然发现。
7.4.3 采购产品的验证。 进货检验的程度并非一成不变。它取决于供应商评价的结果及相关风险。新近获得资格认定的关键供应商需进行加强检验；而稳定的普通供应商则可减轻检验。
按关键性分级：风险的操作化落地
标准要求管控与风险相称。按关键性分级正是将其落地的具体方式。应在选择资格认定方法之前建立分级。
关键供应商。 其产品或服务进入器械的构成，或影响其安全性和性能：生物相容性原材料、灭菌服务提供商、关键部件分包商。必须进行严格的资格认定。
重要供应商。 其失效可能影响质量但不直接影响安全性：物流服务提供商、初级包装供应商。中等管控水平。
普通供应商。 办公用品、对产品质量无影响的通用服务。最低限度的管控即可。
可接受的资格认定方法
方法的选择取决于关键性水平。
供应商审核，现场或远程。 对关键供应商而言最为稳健的方法。经过策划、按既定方案实施，并以报告结束。
自评估问卷。 对重要供应商可接受。对关键供应商而言单独使用不充分。
文件评审。 ISO 13485 或 ISO 9001 证书、其他客户实施的审核报告、检查报告。ISO 13485 证书有助于资格认定，但不能取代它。它证明的是供应商的质量管理体系，而非其满足您特定要求的能力。视所采购的产品而定，只要覆盖所期望的技术能力，ISO 9001 仍然可以接受。
加强进货检验。 直接依据 7.4.3，针对新供应商或资格认定仍在进行中的供应商所采取的附加措施。
三个最常见的陷阱
陷阱 1：只认定一次，从不再评价。 定期再评价是强制性的。它应在供应商审核方案中加以策划并予以实施，即使该供应商未曾出现任何问题。缺少再评价是一项系统性的不符合项。
陷阱 2：仅凭 ISO 证书进行资格认定。 通过 ISO 13485 认证的供应商拥有符合标准的质量管理体系。但其未必具备满足您特定技术规范的能力。资格认定应涵盖这一特定能力。
陷阱 3：未将供应商变更与变更管理相衔接。 工艺、材料、分包商的变更，或证书到期，都应触发再评价。这正是 7.4.2 所规定的通知协议的目的所在。没有这一合同衔接，合格供应商清单便会在无人察觉的情况下过期。