Lista de Verificação de Auditoria de Fornecedor de PCBA de 2026: 30 Verificações Antes de Conceder o Contrato

Por Robert Luo, Engenheiro de Vendas · Revisado por Jessica · Publicado em 13 de outubro de 2026

A adjudicação de um contrato é o último momento em que um comprador ainda tem poder de barganha e o primeiro momento em que a capacidade real do fornecedor começa a importar mais do que sua apresentação de vendas. A maioria dos OEMs aborda esse momento com um questionário: cinquenta linhas, respostas autodeclaradas, devolvidas como um PDF. Esse documento diz o que um fornecedor está disposto a escrever. Ele não diz o que acontece no segundo turno, qual certificado cobre qual local ou quais processos são subcontratados para uma fábrica que ninguém visitou.

Este checklist é construído de forma diferente. Cada uma das trinta verificações abaixo é escrita como algo que você pode confirmar com um documento, uma observação no chão de fábrica ou um registro de teste — não com uma garantia. Eles são agrupados em seis áreas que cobrem a decisão de ponta a ponta: sistema de qualidade, capacidade de processo, controle de material e falsificação, montagem e aceitação, teste e rastreabilidade, e conformidade e continuidade. Vários deles se tornaram materialmente mais importantes em 2026 porque o cenário regulatório e de padrões mudou: o QMSR da FDA entrou em vigor em 2 de fevereiro de 2026, as obrigações de relatórios do EU Cyber Resilience Act entraram em vigor em 11 de setembro de 2026, e os padrões de gerenciamento de qualidade contra os quais a maioria dos fornecedores possui certificados estão em meio a revisões. Um checklist escrito antes dessas mudanças permitirá que um fornecedor pareça em conformidade, enquanto seu certificado diz algo mais restrito do que você assume.

Antes dos trinta itens, três regras governam como aplicá-los. Eles importam porque a falha de auditoria mais comum não é um item ausente; é um item que foi marcado lendo uma política em vez de olhando um registro.

Para cada item, defina com antecedência qual evidência o satisfaria: um registro datado, uma entrada de registro, um adesivo de calibração, um relatório de teste, um número de certificado que você pode verificar independentemente. Se a resposta a uma verificação for um documento que o fornecedor escreveu sobre si mesmo, solicite o registro subjacente. Uma política que diz que existe uma lista de fornecedores aprovados não é evidência de que fontes não autorizadas nunca foram usadas; um registro de compra e um log de inspeção de entrada são.

Divida os trinta itens em aqueles que você pode fechar remotamente — certificados, registros, listas de calibração, registros, termos de contrato — e aqueles que exigem uma visita ao local ou uma visita virtual da linha. A aprovação remota elimina fornecedores de forma barata e foca a visita nos itens que apenas a observação pode resolver: organização, prática ESD, disciplina de retrabalho e se os registros de processo que lhe foram mostrados são os que estão sendo preenchidos atualmente.

Cinco mudanças alteram o que uma auditoria atual deve verificar. O Regulamento do Sistema de Gestão da Qualidade da FDA entrou em vigor em 2 de fevereiro de 2026, substituindo o regulamento anterior do sistema de qualidade e incorporando a ISO 13485 por referência, o que muda o que um cliente de dispositivo médico deve pedir a um fornecedor para demonstrar (FDLI, dezembro de 2025); med.equipment, janeiro de 2026). As obrigações de relatórios de vulnerabilidade e incidentes do EU Cyber Resilience Act começaram em 11 de setembro de 2026, com obrigações completas de marcação CE seguindo em 11 de dezembro de 2027 (Legal 500, orientação do EU Cyber Resilience Act); Bureau Veritas, prontidão de conformidade do CRA). A ISO 9001 está em meio a uma revisão, a IATF 16949 está sendo preparada para uma segunda edição assim que a revisão da ISO for publicada, e a série aeroespacial está transitando da AS9100 para a IA9100, o que significa que uma versão do certificado e seu status de transição agora merecem verificação explícita (Quality Magazine, janeiro de 2026); DQS sobre o status da IATF 16949). Finalmente, a própria tabela de revisão da IPC mostra quão atual deve ser o conjunto padrão de um fornecedor: J-STD-001 está na Rev J (abril de 2024) com um adendo automotivo na Rev JA (setembro de 2025), e o padrão de classificação para dispositivos passivos e de estado sólido atingiu a Rev B em fevereiro de 2026 (Tabela de Revisão de Padrões IPC, Global Electronics Association). Uma auditoria que pergunta "você tem padrões IPC?" em vez de "quais revisões estão em uso e quem aplica o adendo automotivo?" não verifica nada.

Cinco verificações estabelecem se o sistema de qualidade existe no local que construirá sua placa e se o certificado significa o que você pensa que significa.

Verifique o número do certificado no registro do órgão emissor em vez de confiar em uma cópia escaneada, em seguida, leia três campos cuidadosamente: o padrão e a versão, a declaração de escopo e o endereço do local. Um escopo que cobre "fabricação de produtos eletrônicos" sem mencionar a montagem de placas de circuito impresso pode não cobrir o processo que você está comprando. Um certificado emitido para a sede, enquanto suas placas são construídas em outras duas fábricas, não é evidência sobre essas fábricas. Registre o número do certificado, o URL do registro e a data em que você verificou.

Confirme se o órgão que emitiu o certificado é ele próprio credenciado para esse padrão por um sistema de credenciamento reconhecido, e não um esquema privado com um logotipo de aparência semelhante. Esta etapa leva minutos e é a maneira mais rápida de eliminar um certificado que não oferece garantia. Pergunte também quantos auditores o órgão tem em sua região; um certificado mantido apenas por meio de papelada tende a desmoronar sob uma auditoria de cliente.

Leia a versão impressa no certificado e solicite o plano de transição. Com a ISO 9001 em meio a uma revisão, a IATF 16949 aguardando uma segunda edição após a publicação da revisão da ISO, e a série aeroespacial migrando para a IA9100, a pergunta correta não é "você é certificado?" mas "qual versão é esta, qual é o prazo de transição e seu órgão certificador emitiu um plano de transição?". Verifique também as datas de vigilância: um certificado não expirado que perdeu uma auditoria de vigilância é um risco real. No momento da escrita, a IATF 16949:2016 continua sendo a versão contra a qual a certificação é concedida (DQS).

Solicite o último cronograma de auditoria interna, os achados e os registros de ação corretiva com datas de encerramento. O que você está procurando não é uma auditoria limpa; um fornecedor sem achados é ou audita muito amplamente ou registra muito pouco. Procure achados nas áreas que importam para você — controle de processo, inspeção de entrada, rastreabilidade — e por evidências de que as ações corretivas foram verificadas em vez de encerradas administrativamente.

Solicite as atas da revisão gerencial e o conjunto atual de KPIs: taxas de sucata e retrabalho internas, devoluções de clientes, entrega no prazo, desempenho do fornecedor e a tendência nos últimos quatro trimestres. Dados de tendência que se movem valem mais do que um único mês bom. Confirme se as métricas são medidas no local que executará seu programa, não agregadas em um grupo de forma que possa ocultar uma planta fraca.

Estas cinco verificações estabelecem se o fornecedor pode construir sua placa específica, não se ele pode construir placas em geral.

Declare seu envelope tecnológico no papel — contagem de camadas, linha e espaço mínimos, tipos de vias e se elas são preenchidas ou tampadas, acabamento superficial e qualquer requisito de impedância controlada ou flexível rígido-misto — em seguida, solicite documentação que mostre a faixa qualificada do fornecedor e, sempre que possível, um exemplo de produção recente dentro dela. Exigir a resposta por escrito evita o modo de falha comum em que a cotação assume uma capacidade que o processo não pode reproduzir em volume.

Solicite a lista de equipamentos do local, incluindo linhas SMT, fornos de reflow, AOI, Raio-X e as plataformas de teste em que você confia, com números de modelo e idade. Pergunte quantas horas por semana essas linhas realmente funcionam, porque uma capacidade cotada só é credível se o equipamento não estiver saturado. Em seguida, faça uma verificação pontual de calibração: escolha três instrumentos da lista e solicite seus certificados de calibração atuais e datas de vencimento.

Um fornecedor que aceita um pacote de dados e retorna apenas um preço não está revisando seu projeto. Solicite uma amostra de relatório DFM emitido em um trabalho recente, os critérios usados para sinalizar risco e o processo pelo qual uma alteração de engenharia é levantada, aprovada e registrada. Confirme quem assina um ECN, como o material já comprometido é tratado e como a alteração é refletida na documentação de montagem e no programa de teste.

Verifique a sequência de NPI: revisão do projeto, quantidade de construção piloto, inspeção da primeira peça com resultados medidos, retenção de amostra de referência ou montagem de referência e os critérios para passar para o volume. Solicite ver um relatório completo da primeira peça e onde a amostra de referência retida é armazenada. Programas que pulam construções piloto porque o cronograma é apertado são os programas que descobrem problemas de processo em volume.

Solicite a lista de processos realizados fora do local: fabricação de placas nuas, revestimento conformável, encapsulamento, Raio-X em alguns casos, galvanoplastia, desenvolvimento de testes e qualquer trabalho de montagem manual. Em seguida, pergunte como cada subcontratado é qualificado, se eles são auditados e como seus registros chegam até você. Esta é a pergunta mais reveladora em uma auditoria de PCBA, porque o certificado do próprio fornecedor não diz nada sobre as fábricas que ele usa.

Estas cinco verificações abordam de onde vêm seus componentes, como eles são protegidos e o que acontece quando uma peça não é o que o rótulo afirma.

Pergunte quais canais são usados para componentes — distribuição autorizada, direto do fabricante ou mercado aberto — e exija que o sourcing de corretor seja divulgado em vez de absorvido. Para uma amostra de itens de linha, solicite o registro de compra e a cadeia de rastreabilidade de volta à fonte autorizada, com o certificado de conformidade e o código de data das peças realmente consumidas no lote. A rastreabilidade que para em "compramos de um distribuidor" é fraca; a cadeia deve chegar a um fabricante ou distribuidor autorizado com identidade de lote.

Verifique um processo documentado de prevenção de falsificação alinhado com as práticas descritas em AS5553 e AS6081: uma lista de fornecedores aprovados, inspeção de entrada com testes definidos, quarentena de material suspeito, disposição documentada e um caminho de relatórios. Solicite um exemplo real: um lote suspeito, o teste realizado, a conclusão e o que foi comunicado ao cliente. Um programa sem incidentes registrados em anos é mais provável de ser um problema não detectado do que um registro limpo.

Solicite o plano de inspeção de entrada para as famílias de componentes que você usa e o registro real de um recebimento recente. Confirme o que é verificado — quantidade, marcação, condição da embalagem, soldabilidade quando relevante, cartões indicadores de umidade para peças sensíveis — em relação a qual padrão e por quem. Veja se o material não conforme é fisicamente segregado e se a área de quarentena está trancada ou aberta.

Verifique se os dispositivos são classificados sob J-STD-020 e manuseados sob a prática J-STD-033: armazenamento em embalagem seca selada, cartões indicadores de umidade, rastreamento de vida útil no local com um log, registros de cozimento quando necessário e um perfil de reflow apropriado para a classificação. Solicite o log de vida útil no local para uma construção recente. A falha que isso previne — rachaduras internas que passam no teste e falham em campo — nunca aparece nos dados de qualidade de saída.

Confirme se o local opera um programa de controle ESD consistente com ANSI/ESD S20.20 e que ele é medido em vez de afirmado: logs de teste de pulseira e aterramento de calcanhar, verificação de ionizador, registros de resistência de piso e superfície e o intervalo em que são verificados. Em seguida, observe o armazenamento real: gravação de temperatura e umidade na loja de componentes e se os registros estão atualizados. Danos ESD são latentes, é por isso que os registros importam mais do que a sinalização.

Estas cinco verificações cobrem o processo que realmente cria as juntas de solda e os critérios pelos quais elas serão julgadas.

Pergunte qual revisão de J-STD-001 rege a produção e se algum adendo se aplica. A tabela de revisão da IPC lista J-STD-001 na Rev J (abril de 2024) e o adendo automotivo para J-STD-001 e IPC-A-610 na Rev JA (setembro de 2025) (Tabela de Revisão de Padrões IPC), portanto, um local que afirma conformidade enquanto trabalha com uma revisão substituída tem uma lacuna de documentação que você deve ver antes de conceder. Para programas automotivos, confirme se o adendo é aplicado e se os operadores e inspetores foram treinados de acordo.

Confirme a classe de aceitação — Classe 1, 2 ou 3 sob IPC-A-610 — para cada montagem que você comprar, porque a classe muda o que é aceitável na mesma junta de solda e, portanto, muda tanto a taxa de sucata quanto o preço. Em seguida, verifique as pessoas que a aplicam: solicite as certificações atuais de IPC-A-610 e J-STD-001 mantidas no local, quantos treinadores ou especialistas certificados o local emprega e como as inspeções são registradas por turno. Critérios da Classe 3 aplicados por inspetores não treinados são uma promessa, não um processo.

Solicite o perfil de reflow usado para uma montagem comparável à sua, o método usado para prender termopares à placa, a janela de tolerância e onde os perfis e registros são armazenados. Confirme se o perfil é verificado novamente após uma mudança de pasta, forno ou projeto de placa, e que cada lote de produção pode ser vinculado ao perfil em vigor quando foi construído. Este é um dos poucos parâmetros de processo que podem ser verificados objetivamente apenas a partir de registros.

Pergunte qual retrabalho é permitido, quem está autorizado a realizá-lo e como é registrado. Verifique se o local trabalha com as práticas de retrabalho e reparo descritas em IPC-7711 e IPC-7721, que as montagens reparadas são identificáveis e que qualquer retrabalho além de um nível definido aciona a revisão de engenharia em vez de continuar na linha. Uma cultura de retrabalho não registrada é a maneira mais eficiente de destruir a rastreabilidade enquanto parece tê-la.

Identifique o sistema de fluxo em uso e se a limpeza é aplicada, em seguida, pergunte que evidências existem de que os resíduos estão sob controle: resultados de teste de limpeza, cromatografia iônica onde a aplicação o exige e os critérios aplicados. Para montagens com revestimento conformável, confirme a química do revestimento, o método de verificação de cobertura e como áreas mascaradas como conectores e pontos de teste são protegidas. Resíduos e vazios de revestimento são duas das causas mais comuns de falhas em campo que passam no teste funcional na fábrica.

Estas cinco verificações determinam se os defeitos são capturados antes do envio e se você pode reconstruir o que aconteceu quando algo falhar mais tarde.

Mapeie a sequência de teste para sua montagem: AOI, Raio-X para juntas ocultas, teste in-circuit, sonda voadora, teste funcional, boundary scan onde o projeto o suporta e qualquer burn-in. Para cada etapa, confirme qual classe de defeito ele se destina a capturar e quais são os critérios de aprovação. Em seguida, defina a propriedade da fixação por escrito, porque as fixações são caras para recriar em um novo fornecedor e são frequentemente o custo oculto da troca.

Estabeleça a que um número de série ou código de lote pode ser resolvido: lote de fabricação da placa, lotes de componentes e códigos de data, lotes de pasta e fluxo, o perfil de reflow aplicado, o operador e a estação, o lote de revestimento e os resultados do teste. Em seguida, teste a alegação com um cenário: escolha um envio do último ano e pergunte o que seria conhecido em quatro horas. A prática de rastreabilidade de produção do tipo descrito em IPC-1782 fornece uma estrutura de referência útil para o nível de profundidade a exigir.

Solicite um relatório 8D fechado sobre uma reclamação de cliente, incluindo o método de análise de falhas, a causa raiz verificada, a ação de contenção e a evidência de que a ação corretiva foi mantida. Um fornecedor que pode guiá-lo por um caso real demonstra mais do que um que recita um processo. Confirme que a capacidade de análise de falhas está interna ou através de um laboratório qualificado, e que os resultados são compartilhados em vez de resumidos.

Verifique como os registros de produção e inspeção são criados, se são manuscritos ou capturados em um sistema e como são protegidos contra edição retrospectiva. Pergunte por quanto tempo os registros são retidos e com que rapidez eles podem ser recuperados para uma auditoria ou um problema de campo. Em seguida, confirme o que acontece com seus registros e seus dados se o relacionamento terminar: quem devolve o quê, em qual formato e até quando. Isso pertence ao contrato, não a um e-mail no final.

Solicite o rendimento de primeira passagem, as taxas de sucata e retrabalho e a classificação de defeitos para os últimos seis meses, definidos com precisão suficiente para serem reproduzíveis: o que conta como primeira passagem, qual estação define a falha e como as unidades retrabalhadas são contadas. Figuras de rendimento que não podem ser rastreadas a uma fonte de dados devem ser tratadas como marketing. Pergunte se você receberá relatórios de rendimento em nível de lote como parte do acordo de fornecimento e em qual formato.

As últimas cinco verificações cobrem as obrigações que sobrevivem à construção e os termos que decidem o que acontece quando algo dá errado.

Confirme o processo do fornecedor para conformidade de substâncias e a documentação que você receberá com cada remessa: declarações cobrindo obrigações RoHS e REACH, declarações de material onde seu mercado final as exige e a posição de relatórios de minerais de conflito que se aplica ao seu programa. Pergunte quem é o proprietário das declarações, como as revisões são rastreadas quando uma restrição de substância muda e o que aciona uma notificação a você quando o status de conformidade de um componente muda.

Combine a prontidão do fornecedor com seu mercado final em vez de um checklist genérico. Para programas de dispositivos médicos, o QMSR da FDA entrou em vigor em 2 de fevereiro de 2026 e incorpora a ISO 13485 por referência, o que muda quais evidências um cliente deve deter sobre sua cadeia de suprimentos. Para produtos com elementos digitais colocados no mercado da UE, as obrigações de relatórios do EU Cyber Resilience Act começaram em 11 de setembro de 2026 com obrigações completas em 11 de dezembro de 2027, o que abrange componentes de firmware e software da montagem, mesmo que o fornecedor de PCBA não seja o fabricante registrado. Pergunte quais dessas obrigações o fornecedor mapeou para seu próprio processo e quais permanecem suas.

Pergunte o que acontece com seu programa se uma linha parar, um engenheiro chave sair ou um componente se tornar indisponível. Solicite o plano de continuidade para o local específico, o arranjo de segundo local, se houver, e o caminho de escalonamento durante um evento de alocação. Confirme se seu programa depende de um único local, um único turno ou um único processo especializado e coloque a resposta no registro de risco em vez das notas da reunião.

Verifique como os dados do projeto são manuseados: quem pode acessar os arquivos, se o acesso é registrado, se o pacote de dados é destruído ou devolvido no final do projeto e se a produção do seu projeto é impedida fora do escopo acordado. O NDA é o ponto de partida, não o controle. Pergunte especificamente se alguma parte da montagem é produzida para outro cliente ou vendida no mercado aberto, pois esse é o risco que a maioria dos NDAs é escrita para prevenir e raramente é verificado.

Defina cinco termos antes da adjudicação: a obrigação de notificação de alteração e o período de aviso, a regra para material em excesso e obsoleto quando uma previsão muda, a posição de responsabilidade por defeitos latentes, seus direitos de auditoria durante o prazo do contrato e os termos de saída cobrindo ferramentas, fixações, dados e material pendente. Programas que negociam isso na primeira disputa pagam por isso em custo e cronograma. Programas que os definem na adjudicação descobrem que a resposta do fornecedor é um proxy razoável de como ele se comportará mais tarde.

Com as evidências coletadas, a decisão é sobre ponderação em vez de pontuação, porque dois fornecedores podem responder a todos os trinta itens e ainda apresentar riscos muito diferentes.

Atribua peso de acordo com o que a falha lhe custaria. Um programa médico ou automotivo deve ponderar fortemente o sistema de qualidade, a profundidade de rastreabilidade e a disciplina de classe de aceitação, porque uma falha em campo não é recuperável por meio de uma solução comercial. Um programa industrial de alta mistura deve ponderar a resposta DFM, o manuseio de alterações de engenharia e a flexibilidade de teste, porque sua exposição é cronograma e retrabalho em vez de recall. Dê ao grupo de conformidade e continuidade peso real em todos os casos, pois esses itens falham silenciosamente e aparecem tarde.

Certas respostas não são pontuações; são condições de parada. Certificados não verificados ou um escopo que não cobre o processo que você está comprando. Subcontratação não divulgada da própria montagem. Componentes fornecidos do mercado aberto sem divulgação ou teste. Rastreabilidade que não pode resolver um lote enviado dentro de um dia útil. Retrabalho que não é registrado. Um plano de continuidade que existe apenas como um documento. Qualquer um desses justifica pausar a adjudicação até que a resposta mude, porque cada um deles converte um relacionamento comercial em uma exposição não gerenciada.

Feche a auditoria solicitando um pacote consolidado, que também se torna a base para o relacionamento:

• Certificados atuais com números, escopo e endereços de site, mais os links do registro onde você os verificou.
• Lista de equipamentos do local, com capacidade e status de calibração.
• Amostra de relatório DFM e o procedimento de alteração de engenharia.
• Lista de subcontratados com o método de qualificação para cada processo terceirizado.
• Política de sourcing de componentes, amostra de cadeia de rastreabilidade e procedimento de mitigação de falsificação.
• Plano de inspeção de entrada, amostra de registro, log de vida útil MSD, registros de teste ESD.
• Revisão da especificação de soldagem, classe de aceitação por montagem e certificações de inspetor.
• Procedimento e registros de retrabalho, método de verificação de limpeza e revestimento.
• Estratégia de teste, propriedade de fixação, profundidade de rastreabilidade e um 8D fechado.
• Declarações de conformidade, plano de continuidade, controles de PI e os cinco termos contratuais acima.

A aprovação remota de certificados, registros, listas de calibração e registros geralmente leva algumas horas por fornecedor, uma vez que seu modelo de solicitação é escrito. Uma visita ao local cobrindo os itens dependentes de observação — organização, prática ESD, disciplina de retrabalho, registros em uso — geralmente é um único dia para um programa focado. A variável não é a duração, mas a preparação: uma auditoria que começa sem uma expectativa de evidência definida produz várias rodadas de solicitações de acompanhamento em vez de uma decisão.

A maior parte pode. Certificados, verificações de registro, status de calibração, procedimentos e registros de amostra são todos baseados em documentos e podem ser revisados remotamente. Três grupos resistem à verificação remota: se os registros do processo são genuinamente preenchidos em tempo real, se a prática ESD e de manuseio corresponde ao procedimento e se o equipamento na lista é o equipamento no chão. Uma visita virtual com acesso ao vivo a um trabalho atual pode fechar parcialmente essa lacuna, razão pela qual a divisão prática é triagem remota seguida por uma visita focada.

A classe define como uma junta de solda, um furo metalizado ou uma colocação de componente é julgada aceitável, com a Classe 3 aplicando critérios mais rigorosos para continuidade e confiabilidade em produtos de alto desempenho. Para uma auditoria, a classe importa duas vezes: determina os critérios de aceitação que os inspetores devem aplicar e determina se os inspetores são qualificados para aplicá-los. Verifique se a classe é especificada por montagem na documentação, se o pessoal de inspeção possui certificações atuais e se as taxas de sucata e retrabalho relatadas são consistentes com essa classe.

Comece a partir do seu mercado final. Um programa industrial geral geralmente requer ISO 9001 mais conformidade específica do processo com os padrões IPC relevantes. Programas automotivos requerem IATF 16949 juntamente com o adendo automotivo aos requisitos J-STD-001 e IPC-A-610. Programas de dispositivos médicos se alinham cada vez mais com a ISO 13485, especialmente desde que o QMSR da FDA entrou em vigor em 2 de fevereiro de 2026. Programas aeroespaciais e de defesa operam dentro da série AS9100 à medida que transita para a IA9100. Certificados são um filtro, não uma conclusão: o escopo e o endereço do local importam mais do que o logotipo.

Quatro respostas justificam a interrupção: certificados que não podem ser verificados no registro do órgão emissor, ou cujo escopo omite a montagem de PCB. A etapa de montagem sendo subcontratada sem divulgação. Componentes comprados no mercado aberto sem divulgação, teste ou rastreabilidade. E rastreabilidade que não pode reconstruir um lote enviado dentro de um dia útil. Cada um desses significa que o fornecedor não pode demonstrar controle do produto que você está comprando, e nenhum termo comercial compensa isso.