8.7外部供應的產品和服務的控制

8.7.1總則

組織應確保外部提供的產品和服務滿足來自于顧客或內部規定的要求，這些要求包括：技術要求、資源要求、質量要求、交付時間要求等。

注1：當組織安排由外部供方實施其職能和過程時，這就意味由外部提供產品和(或)服務。

注2：當所采購的輔助性軟件產品、設施、設備等對信息技術服務管理的最終交付影響較大時，組織可按本條控制。

8.7.2外部供方的控制類型

對外部供方的控制類型包括：

a)由外部供方提供檢驗/檢測證明；

c)對外部供方開展監理；

d)與外部供方共同開展工作，并承擔管理職責。

8.7.3外部供方的控制程度

對外部供方及其供應的過程、產品和服務的控制類型和程度取決于識別的風險及其潛在影響、組織與外部供方對外部供應過程控制的分擔程度和潛在的控制能力。組織應：

a)根據組織的要求，建立和實施對外部供方的評價、選擇和重新評價的準則；

b)評價準則應根據供方提供產品和服務的重要程度、供方的產品和服務類別(軟件開發、人力資源、電子設備等)、外包的內容、供方的服務能力和服務質量管理水平等進行制定；

c)正確應用評價準則，明確對外部供方進行評價的范圍、內容、頻次、方法、實施過程、評價結果呈現等內容；

d)當供方在提供產品或服務中出現問題時，組織應有相應措施以保證采購產品或服務持續符合要求，這些措施包括與供方溝通、加強采購驗證、限制或停止與供方合作等；

e)對評價結果進行分析并形成文件。

注：重新評價指對已提供過產品和服務的供方的業績進行評價，從而決定是否繼續選擇該供方為合格供方。