2026 PCBA Lista de verificación de auditoría de proveedores: 30 verificaciones antes de adjudicar el contrato

Por Robert Luo, ingeniero de ventas · Revisado por Jessica · Publicado el 13 de octubre de 2026

La adjudicación de un contrato es el último momento en el que un comprador todavía tiene influencia y el primer momento en el que la capacidad real del proveedor empieza a importar más que su presentación de ventas. La mayoría de los OEM abordan ese momento con un cuestionario: cincuenta filas, respuestas autodeclaradas, devueltas en formato PDF. Ese documento le indica lo que un proveedor está dispuesto a anotar. No dice qué sucede en el segundo turno, cuyo certificado cubre qué sitio o qué procesos se subcontratan a una fábrica que nadie ha visitado.

Esta lista de verificación está construida de manera diferente. Cada una de las treinta verificaciones a continuación está escrita como algo que usted puede confirmar con un documento, una observación en el piso o un registro de prueba, no como una garantía. Se agrupan en seis áreas que cubren la decisión de principio a fin: sistema de calidad, capacidad de proceso, control de materiales y falsificaciones, montaje y aceptación, prueba y trazabilidad, y cumplimiento y continuidad. Varios de ellos se han vuelto materialmente más importantes en 2026 debido a que el panorama regulatorio y de estándares cambió: el QMSR de la FDA entró en vigor el 2 de febrero de 2026, las obligaciones de presentación de informes de la Ley de Resiliencia Cibernética de la UE entraron en vigor el 11 de septiembre de 2026, y los estándares de gestión de calidad según los cuales la mayoría de los proveedores tienen certificados se encuentran en medio de una revisión. Una lista de verificación escrita antes de esos cambios permitirá que un proveedor parezca conforme mientras su certificado diga algo más limitado de lo que usted supone.

Antes de los treinta artículos, tres reglas regulan cómo aplicarlos. Son importantes porque el fallo de auditoría más común no es un elemento faltante; es un elemento que se verificó leyendo una política en lugar de mirar un registro.

Para cada elemento, defina de antemano qué evidencia le satisfaría: un registro fechado, una entrada de registro, una etiqueta de calibración, un informe de prueba, un número de certificado que puede buscar de forma independiente. Si la respuesta a una verificación es un documento que el proveedor escribió sobre sí mismo, solicite el registro subyacente. Una política que dice que existe una lista de proveedores aprobados no es evidencia de que nunca se hayan utilizado fuentes no autorizadas; lo son un registro de compra y un registro de inspección entrante.

Divida los treinta elementos en aquellos que puede cerrar de forma remota (certificados, registros, listas de calibración, registros, términos de contrato) y aquellos que requieren una visita al sitio o un recorrido en video de la línea. El pase remoto elimina a los proveedores de forma económica y centra la visita en los puntos que sólo la observación puede resolver: limpieza, prácticas de ESD, disciplina de retrabajo y si los registros de proceso que le mostraron son los que realmente se están completando hoy.

Cinco cambios alteran lo que debería verificar una auditoría actual. El Reglamento del Sistema de Gestión de Calidad de la FDA entró en vigor el 2 de febrero de 2026, reemplazando el reglamento del sistema de calidad anterior e incorporando la norma ISO 13485 como referencia, que cambia lo que un cliente de un dispositivo médico debe pedirle a un proveedor que demuestre (FDLI, diciembre de 2025;equipo médico, enero de 2026). Las obligaciones de notificación de incidentes y vulnerabilidades de la Ley de Resiliencia Cibernética de la UE comenzaron el 11 de septiembre de 2026, y las obligaciones totales de marcado CE siguieron el 11 de diciembre de 2027 (Legal 500, guía de la Ley de Resiliencia Cibernética;Preparación para el cumplimiento de Bureau Veritas y CRA). ISO 9001 está a mitad de revisión, IATF 16949 se está preparando para una segunda edición una vez que llegue la revisión ISO, y la serie aeroespacial está en transición de AS9100 a IA9100, lo que significa que una versión del certificado y su estado de transición ahora merecen una verificación explícita (Revista Calidad, enero de 2026;DQS sobre el estado IATF 16949). Finalmente, la propia tabla de revisión de IPC muestra qué tan actualizado debe estar el conjunto de estándares de un proveedor: J-STD-001 está en Rev J (abril de 2024) con un apéndice automotriz en Rev JA (septiembre de 2025), y el estándar de clasificación para dispositivos pasivos y de estado sólido alcanzó la Rev B en febrero de 2026 (Tabla de revisión de estándares IPC, Asociación Global de Electrónica). Una auditoría que pregunta "¿tienen estándares IPC?" en lugar de "¿qué revisiones se utilizan y quién aplica el apéndice automotriz?" no verifica nada.

Cinco verificaciones establecen si existe el sistema de calidad en el sitio donde se construirá su placa y si el certificado significa lo que usted cree que significa.

Busque el número del certificado en el propio registro del organismo emisor en lugar de confiar en una copia escaneada, luego lea atentamente tres campos: el estándar y la versión, la declaración de alcance y la dirección del sitio. Es posible que un alcance que cubra la "fabricación de productos electrónicos" sin mencionar el ensamblaje de placas de circuito impreso no cubra el proceso que está comprando. Un certificado emitido a una oficina central mientras sus tableros se construyen en otras dos plantas no constituye evidencia sobre esas plantas. Registre el número de certificado, la URL de registro y la fecha que verificó.

Confirme que el organismo que emitió el certificado esté acreditado para ese estándar por un sistema de acreditación reconocido, y no por un sistema privado con un logotipo similar. Este paso lleva unos minutos y es la forma más rápida de eliminar un certificado que no conlleva ninguna garantía. Pregunte también cuántos auditores tiene el organismo en su región; un certificado mantenido únicamente a través del papeleo tiende a colapsar bajo una auditoría del cliente.

Lea la versión impresa en el certificado y solicite el plan de transición. Con ISO 9001 a mitad de revisión, IATF 16949 esperando una segunda edición una vez que se publique la revisión de ISO, y la serie aeroespacial avanzando hacia IA9100, la pregunta correcta no es "¿está usted certificado" sino "qué versión es esta, cuál es la fecha límite de transición y su organismo de certificación ha emitido un plan de transición". Verifique también las fechas de vigilancia: un certificado vigente que no haya pasado una auditoría de vigilancia es un riesgo real. Al momento de escribir este artículo, IATF 16949:2016 sigue siendo la versión según la cual se otorga la certificación (DQS).

Solicite el cronograma de la última auditoría interna, los hallazgos y los registros de acciones correctivas con fechas de cierre. Lo que busca no es una auditoría limpia; un proveedor sin ningún hallazgo está realizando una auditoría demasiado amplia o registrando muy poco. Busque hallazgos en las áreas que le importan (control de procesos, inspección de entrada, trazabilidad) y evidencia de que las acciones correctivas se verificaron en lugar de cerrarse administrativamente.

Solicite las actas de revisión de la gerencia y el conjunto de KPI actual: tasas internas de desperdicio y retrabajo, devoluciones de clientes, entregas a tiempo, desempeño de proveedores y la tendencia de los últimos cuatro trimestres. Los datos de tendencias que se mueven valen más que un buen mes. Confirme que las métricas se midan en el sitio que ejecutará su programa, no que se agreguen en un grupo de una manera que pueda ocultar una planta débil.

Estas cinco verificaciones establecen si el proveedor puede construir su placa específica, no si puede construir placas en general.

Indique su envolvente tecnológica en papel (recuento de capas, línea y espacio mínimos, tipos de vía y si están llenos o tapados, acabado de la superficie y cualquier requisito rígido-flexible mixto o controlado por impedancia) y luego solicite documentación que muestre el rango calificado del proveedor y, cuando sea posible, un ejemplo de producción reciente dentro del mismo. Exigir la respuesta por escrito evita el modo de falla común en el que la cotización asume una capacidad que el proceso no puede reproducir en volumen.

Solicite la lista de equipos para el sitio, incluidas líneas SMT, hornos de reflujo, AOI, rayos X y las plataformas de prueba de las que depende, con números de modelo y antigüedad. Pregunte cuántas horas por semana funcionan realmente esas líneas, porque una capacidad cotizada sólo es creíble si el equipo no está ya saturado. Luego verifique la calibración al azar: elija tres instrumentos de la lista y solicite sus certificados de calibración actuales y sus fechas de vencimiento.

Un proveedor que acepta un paquete de datos y devuelve sólo un precio no está revisando su diseño. Solicite un informe DFM de muestra emitido sobre un trabajo reciente, los criterios utilizados para señalar el riesgo y el proceso mediante el cual se plantea, aprueba y registra un cambio de ingeniería. Confirme quién firma un ECN, cómo se maneja el material ya comprometido y cómo se refleja el cambio en la documentación de ensamblaje y el programa de prueba.

Verifique la secuencia del NPI: revisión del diseño, cantidad de fabricación piloto, inspección del primer artículo con resultados medidos, retención de la muestra dorada o del conjunto de referencia y los criterios para pasar al volumen. Solicite ver un informe completo del primer artículo y dónde se almacena la muestra de referencia retenida. Los programas que se saltan las compilaciones piloto porque el cronograma es ajustado son los programas que descubren problemas de proceso en volumen.

Solicite la lista de procesos realizados fuera del sitio: fabricación de tableros desnudos, revestimiento conformado, encapsulado, rayos X en algunos casos, enchapado, desarrollo de pruebas y cualquier trabajo de ensamblaje manual. Luego pregunte cómo está calificado cada subcontratista, si están auditados y cómo le llegan sus registros. Ésta es la pregunta más reveladora en una auditoría de PCBA, porque el propio certificado de un proveedor no dice nada sobre las fábricas que utiliza.

Estas cinco verificaciones abordan de dónde provienen sus componentes, cómo están protegidos y qué sucede cuando una pieza no es lo que dice la etiqueta.

Pregunte qué canales se utilizan para los componentes (distribución autorizada, directo del fabricante o mercado abierto) y exija que se divulgue el abastecimiento de los intermediarios en lugar de absorberlos. Para una muestra de artículos de línea, solicite el registro de compra y la cadena de trazabilidad a la fuente autorizada, con el certificado de conformidad y el código de fecha de las piezas realmente consumidas en el lote. La trazabilidad que se limita a "lo compramos a un distribuidor" es débil; la cadena debe llegar a un fabricante o distribuidor autorizado con identidad de lote.

Verifique un proceso documentado de prevención de falsificaciones alineado con las prácticas descritas en AS5553 y AS6081: una lista de proveedores aprobados, inspección entrante con pruebas definidas, cuarentena de material sospechoso, disposición documentada y una ruta de presentación de informes. Pida un ejemplo real: un lote sospechoso, la prueba realizada, la conclusión y lo que se comunicó al cliente. Es más probable que un programa sin incidentes registrados en años sea un problema no detectado que un historial limpio.

Solicite el plan de inspección entrante para las familias de componentes que utiliza y el registro real de una recepción reciente. Confirme lo que se verifica (cantidad, marcado, condición del empaque, soldabilidad cuando sea relevante, tarjetas indicadoras de humedad para piezas sensibles), con qué estándar y por quién. Observe si el material no conforme está físicamente segregado y si el área de cuarentena está cerrada o abierta.

Verifique que los dispositivos estén clasificados según J-STD-020 y manipulados según la práctica J-STD-033: almacenamiento en paquete seco sellado, tarjetas indicadoras de humedad, seguimiento de la vida útil del piso con un registro, registros de horneado cuando sea necesario y un perfil de reflujo apropiado para la clasificación. Solicite el registro de vida útil del piso para una construcción reciente. El fallo que esto previene (agrietamiento interno que pasa la prueba y falla en el campo) nunca aparece en los datos de calidad salientes.

Confirme que el sitio opera un programa de control de ESD consistente con ANSI/ESD S20.20 y que se mide en lugar de afirmarse: registros de prueba de muñequera y talón, verificación del ionizador, registros de resistencia del piso y la superficie, y el intervalo en el que se verifican. Luego observe el almacenamiento real: los registros de temperatura y humedad en el almacén de componentes y si los registros están actualizados. Los daños por ESD están latentes, por lo que los registros importan más que la señalización.

Estas cinco verificaciones cubren el proceso que realmente crea las uniones de soldadura y los criterios por los cuales serán juzgadas.

Pregunte qué revisión de J-STD-001 rige la producción y si se aplica algún anexo. La tabla de revisión de IPC enumera J-STD-001 en Rev J (abril de 2024) y el anexo automotriz para J-STD-001 e IPC-A-610 en Rev JA (septiembre de 2025) (Tabla de revisión de estándares IPC), por lo que un sitio que afirma cumplir mientras trabaja en una revisión reemplazada tiene un vacío en la documentación que debe ver antes de otorgar la adjudicación. Para los programas automotrices, confirme que se aplique el anexo y que los operadores e inspectores hayan sido capacitados para cumplirlo.

Confirme la clase de aceptación (Clase 1, 2 o 3 según IPC-A-610) para cada conjunto que compre, porque la clase cambia lo que es aceptable en la misma unión de soldadura y, por lo tanto, cambia tanto la tasa de desperdicio como el precio. Luego verifique a las personas que lo aplican: pregunte por las certificaciones IPC-A-610 y J-STD-001 vigentes en el sitio, cuántos capacitadores o especialistas certificados emplea el sitio y cómo se registran las inspecciones por turno. Los criterios de Clase 3 aplicados por inspectores no capacitados son una promesa, no un proceso.

Solicite el perfil de reflujo utilizado para un ensamblaje comparable al suyo, el método utilizado para fijar los termopares al tablero, la ventana de tolerancia y dónde se almacenan los perfiles y registros. Confirmar que el perfil se vuelva a verificar luego de un cambio de diseño de pasta, horno o tablero, y que cada lote de producción pueda vincularse al perfil vigente cuando se construyó. Este es uno de los pocos parámetros del proceso que se puede verificar objetivamente únicamente a partir de registros.

Pregunte qué retrabajo está permitido, quién está autorizado a realizarlo y cómo se registra. Verificar que el sitio funcione según las prácticas de retrabajo y reparación descritas en IPC-7711 e IPC-7721, que los ensamblajes reparados sean identificables y que cualquier retrabajo más allá de un nivel definido active una revisión de ingeniería en lugar de continuar a lo largo de la línea. Una cultura de reelaboración no registrada es la forma más eficaz de destruir la trazabilidad y aparentar tenerla.

Identifique el sistema de fundente en uso y si se aplica limpieza, luego pregunte qué evidencia existe de que los residuos están bajo control: resultados de pruebas de limpieza, cromatografía iónica cuando la aplicación lo requiera y los criterios aplicados. Para ensamblajes con revestimiento conformado, confirme la química del revestimiento, el método de verificación de cobertura y cómo se protegen las áreas enmascaradas, como conectores y puntos de prueba. Los residuos y los huecos en el recubrimiento son dos de las causas más comunes de fallas en el campo que pasan las pruebas funcionales en la fábrica.

Estas cinco verificaciones determinan si los defectos se detectan antes del envío y si se puede reconstruir lo que sucedió cuando algo falla más adelante.

Mapee la secuencia de prueba para su ensamblaje: AOI, rayos X para uniones ocultas, prueba en el circuito, sonda voladora, prueba funcional, escaneo de límites donde el diseño lo admite y cualquier precalentamiento. Para cada paso, confirme qué clase de defecto se pretende detectar y cuáles son los criterios de aprobación. Luego, establezca la propiedad de los accesorios por escrito, porque es costoso recrear los accesorios con un nuevo proveedor y, con frecuencia, representan el costo oculto del cambio.

Establezca a qué se puede resolver un número de serie o código de lote: lote de fabricación de la placa, lotes de componentes y códigos de fecha, lotes de pasta y fundente, el perfil de reflujo aplicado, el operador y la estación, el lote de recubrimiento y los resultados de la prueba. Luego pruebe la afirmación con un escenario: elija un envío del año pasado y pregunte qué se sabría en cuatro horas. La práctica de trazabilidad de la producción del tipo descrito en IPC-1782 proporciona un marco de referencia útil para el nivel de profundidad requerido.

Solicite un informe 8D cerrado sobre una queja de un cliente, incluido el método de análisis de fallas, la causa raíz verificada, la acción de contención y la evidencia de que se realizó la acción correctiva. Un proveedor que puede guiarle a través de un caso real le demuestra más de uno que le explica un proceso. Confirme que la capacidad de análisis de fallas sea interna o a través de un laboratorio calificado, y que los resultados se compartan en lugar de resumirse.

Verifique cómo se crean los registros de producción e inspección, si están escritos a mano o capturados en un sistema, y ​​cómo están protegidos de la edición retrospectiva. Pregunte durante cuánto tiempo se conservan los registros y con qué rapidez se pueden recuperar para una auditoría o un problema de campo. Luego confirme qué sucede con sus registros y sus datos si la relación termina: quién devuelve qué, en qué formato y cuándo. Esto pertenece al contrato, no al correo electrónico al final.

Solicite el rendimiento de la primera pasada, las tasas de desperdicio y retrabajo, y la clasificación de defectos de los últimos seis meses, definidos con suficiente precisión para ser reproducibles: qué cuenta como primera pasada, qué estación define la falla y cómo se cuentan las unidades reelaboradas. Las cifras de rendimiento que no pueden rastrearse hasta una fuente de datos deben tratarse como marketing. Pregunte si recibirá informes de rendimiento a nivel de lote como parte del acuerdo de suministro y en qué formato.

Las últimas cinco verificaciones cubren las obligaciones que sobreviven a la construcción y los términos que deciden qué sucede cuando algo sale mal.

Confirme el proceso del proveedor para el cumplimiento de sustancias y la documentación que recibirá con cada envío: declaraciones que cubren las obligaciones de RoHS y REACH, declaraciones de materiales cuando su mercado final las requiera y la posición de informes de minerales conflictivos que se aplica a su programa. Pregunte quién es el propietario de las declaraciones, cómo se realiza el seguimiento de las revisiones cuando cambia una restricción de sustancia y qué activa una notificación cuando cambia el estado de cumplimiento de un componente.

Haga coincidir la preparación del proveedor con su mercado final en lugar de hacerlo con una lista de verificación genérica. Para los programas de dispositivos médicos, el QMSR de la FDA entró en vigor el 2 de febrero de 2026 e incorpora la norma ISO 13485 como referencia, que cambia la evidencia que se espera que tenga un cliente sobre su cadena de suministro. Para los productos con elementos digitales comercializados en el mercado de la UE, las obligaciones de presentación de informes de la Ley de Resiliencia Cibernética comenzaron el 11 de septiembre de 2026 con obligaciones totales el 11 de diciembre de 2027, que afectan a los componentes de firmware y software del conjunto, aunque el proveedor de PCBA no sea el fabricante registrado. Pregunte cuáles de estas obligaciones el proveedor ha asignado a su propio proceso y cuáles siguen siendo suyas.

Pregunte qué sucede con su programa si una línea deja de funcionar, un ingeniero clave se marcha o un componente deja de estar disponible. Solicite el plan de continuidad para el sitio específico, el acuerdo del segundo sitio, si existe, y la ruta de escalada durante un evento de asignación. Confirme si su programa depende de un solo sitio, un solo turno o un solo proceso especializado, y escriba la respuesta en el registro de riesgos en lugar de en las notas de la reunión.

Verifique cómo se manejan los datos del diseño: quién puede acceder a los archivos, si el acceso se registra, si el paquete de datos se destruye o se devuelve al final del proyecto y si se impide la producción de su diseño fuera del alcance acordado. La NDA es el punto de partida, no el control. Pregunte específicamente si alguna pieza del conjunto se produce para otro cliente o se vende en el mercado abierto, porque ese es el riesgo para el que se escriben la mayoría de los NDA y que se revisan con menos frecuencia.

Resuelva cinco términos antes de la adjudicación: la obligación de notificación de cambios y el período de notificación, la regla para material excedente y obsoleto cuando cambia un pronóstico, la posición de responsabilidad por defectos latentes, sus derechos de auditoría durante la vigencia del contrato y los términos de salida que cubren herramientas, accesorios, datos y material pendiente. Los programas que los negocian en la primera disputa lo pagan tanto en costo como en cronograma. Los programas que los resuelven en el momento de la adjudicación descubren que la respuesta del proveedor es un indicador razonable de cómo se comportará más adelante.

Una vez recopilada la evidencia, la decisión es más bien ponderar que calificar, porque dos proveedores pueden responder los treinta ítems y aun así presentar riesgos muy diferentes.

Asigne peso según lo que le costaría el fracaso. Un programa médico o automotriz debe ponderar mucho el sistema de calidad, la profundidad de la trazabilidad y la disciplina de la clase de aceptación, porque una falla en el campo no se puede recuperar mediante una solución comercial. Un programa industrial de alta combinación debería ponderar la respuesta DFM, el manejo de cambios de ingeniería y la flexibilidad de las pruebas, porque su exposición es programación y retrabajo en lugar de recuperación. Déle al grupo de cumplimiento y continuidad un peso real en cada caso, ya que esos elementos fallan silenciosamente y salen a la luz tarde.

Ciertas respuestas no son puntuaciones; son condiciones de parada. Certificados no verificados o un alcance que no cubre el proceso que estás comprando. Subcontratación no revelada del propio montaje. Componentes obtenidos del mercado abierto sin divulgación ni pruebas. Trazabilidad que no puede resolver un lote enviado en un día laborable. Retrabajo que no se registra. Un plan de continuidad que existe sólo como documento. Cualquiera de ellas justifica suspender la adjudicación hasta que cambie la respuesta, porque cada una de ellas convierte una relación comercial en una exposición no gestionada.

Cierre la auditoría solicitando un paquete consolidado, que también se convierte en la base de la relación:

• Certificados actuales con números, alcance y direcciones de sitios, además de los enlaces de registro donde los verificó.
• Listado de equipos del sitio, con capacidad y estado de calibración.
• Muestra de informe DFM y procedimiento de cambio de ingeniería.
• Listado de subcontratistas con el método de calificación para cada proceso subcontratado.
• Política de abastecimiento de componentes, muestra de la cadena de trazabilidad y procedimiento de mitigación de falsificaciones.
• Registro de muestra del plan de inspección entrante, registro de vida útil del piso MSD, registros de prueba ESD.
• Revisión de especificaciones de soldadura, clase de aceptación por ensamble y certificaciones de inspectores.
• Procedimiento y registros de retrabajo, método de verificación de limpieza y recubrimiento.
• Estrategia de prueba, propiedad de dispositivos, profundidad de trazabilidad y un 8D cerrado.
• Declaraciones de cumplimiento, plan de continuidad, controles de propiedad intelectual y los cinco términos contractuales anteriores.

La transferencia remota de certificados, registros, listas de calibración y registros suele tardar unas horas por proveedor una vez que se escribe la plantilla de solicitud. Una visita al sitio que cubra los elementos que dependen de la observación (limpieza, práctica de ESD, disciplina de retrabajo, registros en uso) suele ser de un solo día para un programa enfocado. La variable no es la duración sino la preparación: una auditoría que comienza sin una expectativa de evidencia definida produce varias rondas de solicitudes de seguimiento en lugar de una decisión.

La mayor parte puede. Los certificados, comprobaciones de registros, estados de calibración, procedimientos y registros de muestras se basan en documentos y se pueden revisar de forma remota. Tres grupos se resisten a la verificación remota: si los registros del proceso se completan realmente en tiempo real, si las prácticas de manipulación y ESD coinciden con el procedimiento, y si el equipo en la lista es el equipo en el piso. Un recorrido en video con acceso en vivo a un trabajo actual puede cerrar parcialmente esa brecha, por lo que la división práctica es una evaluación remota seguida de una visita enfocada.

La clase define cómo se considera aceptable una unión soldada, un orificio pasante chapado o la ubicación de un componente, y la Clase 3 aplica criterios más estrictos de continuidad y confiabilidad en productos de alto rendimiento. Para una auditoría, la clase importa dos veces: determina los criterios de aceptación que los inspectores deben aplicar y determina si los inspectores están calificados para aplicarlos. Verifique que la clase esté especificada por ensamblaje en la documentación, que el personal de inspección tenga certificaciones vigentes y que las tasas de desperdicio y retrabajo reportadas sean consistentes con esa clase.

Comience desde su mercado final. Un programa industrial general normalmente requiere ISO 9001 además del cumplimiento específico del proceso con las normas IPC pertinentes. Los programas automotrices requieren IATF 16949 junto con el anexo automotriz a los requisitos J-STD-001 e IPC-A-610. Los programas de dispositivos médicos se alinean cada vez más con la norma ISO 13485, particularmente desde que el QMSR de la FDA entró en vigor el 2 de febrero de 2026. Los programas aeroespaciales y de defensa funcionan dentro de la serie AS9100 en su transición hacia IA9100. Los certificados son un filtro, no una conclusión: el alcance y la dirección del sitio importan más que el logotipo.

Cuatro respuestas justifican detenerse: certificados que no pueden verificarse en el registro del organismo emisor, o cuyo alcance omite el ensamblaje de PCB. La etapa de montaje se subcontrata sin divulgación. Componentes comprados en el mercado abierto sin divulgación, pruebas ni trazabilidad. Y una trazabilidad que no puede reconstruir un lote enviado en un día laborable. Cada uno de estos significa que el proveedor no puede demostrar control del producto que está comprando y ningún término comercial lo compensa.