8.3.6 设计和开发更改

组织应对产品和服务在设计和开发期间以及后续所做的更改进行适当的识别、评审和控制，

以确保这些更改对满足要求不会产生不利影响。

组织应保留下列方面的成文信息：

a)设计和开发更改；

b)评审的结果；

c)更改的授权；

d)为防止不利影响而采取的措施。

8.4 外部提供的过程、产品和服务的控制

8.4.1 总则

 组织应确保外部提供的过程、产品和服务符合要求。

在下列情况下，组织应确定对外部提供的过程、产品和服务实施的控制：

a)外部供方的产品和服务将构成组织自身的产品和服务的一部分；

b)外部供方代表组织直接将产品和服务提供给顾客；

c)组织决定由外部供方提供过程或部分过程。

组织应基于外部供方按照要求提供过程、产品或服务的能力，确定并实施对外部供方的评价、选择、绩效监视以及再评价的准则。对于这些活动和由评价引发的任何必要的措施，组织应保留成文信息。

8.4.1.1总则–补充

8.4.1.1.1组织必须确定

8.4要求的类型和程度应用到内部和外部供方，及基于所规定准则的风险评估。

注：内部供方是被看作从同一公司向该组织交付产品、过程和服务的实体。

组织必须建立、实施和保持一个文件化过程，为8.4.1描述的外部提供过程、产品和服务，以确保符合要求。

该过程必须包括的要求有：

a)外部供方和EPPPS的分类（见8.4.1.1.3）；

b)外部供方的评估（见8.4.1.1.4）；

c)外部供方的认可（见8.4.1.1.5）；

d)外部供方报价的选择（见8.4.1.1.6）；

e)外部供方的信息（见8.4.3）；

f)放行批准EPPPS（见8.4.2.1.2）；

g)放行后的验证EPPPS（见8.4.2.1.3）；

h)监视外部供方绩效，再评估和排序（见8.4.2.1.4）。

8.4.1.1.2 加上，组织必须：

a)在整个供应链管理EPPPS风险；

b)识别风险以传达给外部供方，并要求其提供反馈意见；

c)保留在外部供方控制方面的成文信息。

8.4.1.1.3外部供方和EPPPS的分类

8.4.1.1.3.1外部提供方和EPPPS的分类必须按所规定准则执行，以确定对外部供方和EPPPS的控制类型和程度。作为输出之一，必须识别关键外部供方。

组织必须保留有关成文信息。

8.4.1.1.3.2分类准则必须包括外部供方依据要求提供EPPPS的能力。

8.4.1.1.3.3分类准则应包括：

a)战略需求；

b)过去经验；

c)可获得的市场信息；

d)外部标杆；

e)外部供方所提供产品的运行和集成成熟度（如随意可用的）。

8.4.1.1.3.4加上，组织必须定期评审外部供方的类别。

8.4.1.1.4外部供方的评估

8.4.1.1.4.1外部供方的评估必须包括：

a)外部供方的人员、基础设施和过程；

b)外部供方资质的可用性（如证书：ISO9001或本标准）；

8.4.1.1.4.2组织必须建立、实施、保持和监视策略以获得：

a)选定的外部供方符合本标准；

b)选定的外部供方符合ISO9001；

所选定的外部供方，必须识别其产品范围、相关策略、年度消耗量、产品关键程度、设计活动、在铁路行业的营业额以及交付和质量绩效。

8.4.1.1.4.3组织必须保留关于8.4.1.1.4.1和8.4.1.1.4.2成文信息。

8.4.1.1.5外部供方的认可

组织必须：

a)建立准则用以认可外部供方；

b)确保有批准权力的职能也有拒绝已批准外部供方的权力；

c)保持一份被认可外部供方的名册，包括其认可范围的限定。

组织必须保留有关成文信息。

EPPPS必须全部由被认可的外部供方来提供。

8.4.1.1.6 外部供方报价的选择

8.4.1.1.6.1 组织确保在谈判之前详尽书面分析后才选择了外部供方的报价。其分析必须考

虑：

a)对照要求的符合程度，如逐项；

b)总成本包括LCC；

c)外部供方以前EPPPS的质量、成本和交付绩效，包括因其导致的QDC；

d)通过报价对有关外部供方分类。

组织必须保留有关成文信息。

8.4.1.1.6.2该分析应考虑：

a)风险分析的输出；

b)外部提供产品的运行和集成成熟度。

在采购订单发出之前，组织应确保外部供方对功能和非功能要求有充分理解，如通过一个联合合同评审。