【原】IATF16949_SIs（2021年7月更新）

IATF - 国际汽车工作组

IATF 16949:2016 – 认可解释

IATF 16949 第一版已于二零一六年十月刊发，并于二零一七年一月一日生效。以下认可解释已由 IATF 确定及批准。除非另有说明，否则认可解释在发布时适用。

修改后的文本显示为蓝色。

认可解释改变了对规则或要求的解释，而规则或要求本身则是不符合的基础。

SI 1-9 于 2017年 10 月发布，2017 年 10 月生效。

SI 10-11 于 2018 年 4月发布，2018年 6 月生效。

SI 8 于 2018 年 6 月修订并重新发布，2018年 7 月生效。

SI 10 于 2018 年 6 月修订并重新发布，2018年 7 月生效。

SI 12-13 于 2018 年 6 月发布，2018 年 7 月生效。

SI 14-15 于 2018 年 11 月发布，2019 年 1 月生效。

SI 16 - 18 于 2019 年 10 月发布， 2020年 1 月生效。

SI 4 于 2020 年 8 月修订并重新发布，2020年 9 月生效

SI 19 于 2020 年 8 月发布， 2020 年 10 月生效

SI 20 于 2020 年 12 月发布，2021 年 1 月生效

SI 10 于 2021 年 4 月修订并重新发布，2021 年 6 月生效

SI 3于 2021 年 7 月发布， 2021 年11 月生效

SI 21-22 2021 年 7 月发布， 2021 年 11 月生效

SI 10 2021 年 7 月发布， 2021 年 8 月生效

编号	IATF 16949 参考	认可解释
1	3.1 汽车行业的术语和定义	顾客要求 顾客规定的一切要求（如：技术、商业、产品及制造过程相关要求；一般条款与条件；顾客特定要求等等） 当被审核组织是汽车制造商、汽车制造商的子公司、或者与汽车制造商的合资企业时，相关顾客由汽车制造商、其子公司或合资企业指定。 变更的理由： 顾客要求是由汽车制造商制定的，旨在根据产品实现过程的性质在供应链中进行应用。 因此， 在汽车制造商获得认证的情况下，由汽车制造商确定如何管理顾客批准和/或输入。
2	4.4.1.2 产品安全	组织应有形成文件的过程，用于与产品安全有关的产品和制造过程管理；形成文件的过程应包括但不限于（在适用情况下）： a) – m) (…) 注：与安全有关的要求或文件的特殊批准可以由顾客或组织的内部过程要求。是指负责批准含有安全相关内容文件的职能机构（通常为顾客）作出的额外批准。 变更的理由： 澄清与安全相关要求或文件的特殊批准相关的任何混淆。

编号	IATF 16949 参考	认可解释
3	6.1.2.3 应急计划	组织应： a) – b) (…) c) 准备应急计划，以在下列任一情况下保证供应的持续性：关键设备故障（另见第 8.5.6.1.1 条）；外部提供的产品、过程或服务中断；常见自然灾害；火灾；公共事业中断；对信息技术系统的网络攻击；劳动力短缺；或者基础设施破坏； 变更的理由： 组织需要解决可能导致组织制造和物流运行故障的网络攻击的可能性（包括勒索软件）。 组织需要确保他们在发生网络攻击时做好准备。

编号	IATF 16949 参考	认可解释
4 修订	7.2.3 内部审核员能力	组织应有形成文件的过程，用于验证内部审核员的能力，要考虑到组织规定的任何要求和/或 1 顾客特定要求。关于审核员能力的更多参考，参见 ISO 19011。组织应保持一份合格内部审核员名单。 质量管理体系审核员，制造过程审核员 1 和产品审核员应都 1 能证明证实最少具备以下能力： a)    了解汽车审核过程方法，包括基于风险的思维； b)    了解适用的顾客特定要求； c)    了解 ISO 9001 和 IATF 16949 中适用的与审核范围有关的要求； d)    了解与审核范围有关的适用的核心工具要求； e)    了解如何计划审核、实施审核、报告审核以及关闭审核发现。 另外，制造过程审核员应至少 1 证实对于待审核的相关制造过程，其具有技术知识，包括过程风险分析（例如 PFMEA）和控制计划。 产品审核员应至少 1 证实其了解产品要求，并能够使用相关测量和试验设备验证产品符合性。 在通过培训如果组织的人员提供培训 1 来取得能力的情况下，应保留形成文件的信息，证实培训师的能力符合上述要求。 f) … g) 2 变更的理由： 1 区分质量管理体系审核员、制造过程审核员和产品审核员的能力要求。明确对内部培训培训师能力的期望。 2 经修订以显示未排除要求 f) 和 g)

编号	IATF 16949 参考	认可解释
5	7.5.1.1 质量管理体系文件	质量手册至少应包括以下内容： a)    质量管理体系的范围，包括任何删减的细节和正当的理由； b)    为质量管理体系建立的形成文件的过程或对其引用； c)    组织的过程及其顺序和相互作用（输入和输出），包括任何外包过程控制的类型和程度； d)    一个显示组织质量管理体系内哪些地方满足了顾客特定要求的文件（即矩阵，例如表格、列表或矩阵）。 变更的理由： 一些认证机构和组织要求澄清，矩阵不是一个强制性的文件。 矩阵只是可接受的多种方法之一。 使用什么格式取决于组织。
6	8.3.3.3 特殊特性	组织应采用多方论证方法来建立、形成文件并实施用于识别特殊特性的过程，包括顾客确定的以及组织风险分析所确定的特殊特性，应包括： a) 将所有特殊特性记录进产品和/或生产文件图纸（按要求）、相关风险分析（例如过程FMEA）、控制计划和标准的工作/操作说明书；特殊特性用特定的标记进行标识，并且贯穿这些文件中的每一个；并且贯穿这些文件中的每一个；记录在为编制或控制这些特殊特性所需的制造文件中； 变更的理由： 明确将特殊特性记录在产品和/或制造图纸中。

编号	IATF 16949 参考	认可解释
7	8.4.2.1 控制的类型和程度 – 补充	组织应有一个形成文件的过程，以识别外包过程并选择控制的类型和程度，用于验证外部提供的产品、过程和服务对内部（组织的）要求和外部顾客要求的符合性。 该过程应包括根据供应商绩效和产品、材料或服务风险评估，增加或减少控制类型和程度以及开发活动的准则和措施。 如果特性或组件在没有确认或控制的情况下“通过了”组织的质量管理体系，组织应确保在制造地点实施适当的控制。 变更的理由： 确组织对特性通过的责任。

编号	IATF 16949 参考	认可解释
8 修订	8.4.2.3 供应商质量管理体系开发	组织应要求其汽车产品和服务供应商开发，实施和改进质量管理体系（QMS），最终目标是具备资格的组织获得本汽车质量管理体系标准的认证。 使用基于风险的模型，组织应为每个供应商确定可接受的 QMS 开发最低水平和 QMS 开发目标水平。 ISO9001 认证，除非除非顾客另行另行 1 授权 [如：下文的 a)项]，ISO 9001 认证的质量管理体系是开发可接受的最低水平。 根据当前绩效和顾客的潜在风险，目标是将供应商转移到以下质量管理体系开发进程：最终目标是通过本汽车QMS 标准的认证。除非顾客另有规定，应当根据以下顺序来达成本要求： a)    由第二方审核符合 ISO 9001；1 b)    经由第三方审核通过 ISO 9001 认证；除非顾客另有规定，组织的供应商应通过保持认证机构出具的第三方认证证明来证实对 ISO 9001 的符合性，证明上应有被承认的 IAF MLA（国际认可论坛多边相互承认协议）成员的认可标志，其中，认可机构的主要范围包括 ISO/IEC 17021 管理体系认证； c)    经由第二方审核通过 ISO 9001 认证，同时符合其它顾客确定的质量管理体系要求（例如：次级供应商最低汽车质量管理体系要求 [MAQMSR] 或等效要求）； d)    通过 ISO 9001 认证，同时经由第二方审核符合IATF 16949； e)    经由第三方审核通过IATF 16949 认证（IATF 认可的认证机构进行的有效的供应商 IATF 16949 第三方认证）。

编号	IATF 16949 参考	认可解释
8 (续) 修订	8.4.2.3 供应商质量管理体系开发	注：如果顾客授权，QMS 开发可接受的最低水平可以是通过第二方审核符合 ISO 9001 变更的理由： 1 明确预期的供应商质量管理体系开发进程。 这种方法支持标准第 8.4 节强调的“基于风险的思维”概念. 2 在第一段中增加了“适用”的附加说明，以说明那些没有资格获得 IATF 16949 认证的组织 （包括但不限于以下例子：废金属供应商、提供运输和后勤支持的卡车公司等）。
9	8.7.1.1 顾客的让步授权	无论何时，当产品或制造过程与当前批准的不同时，组织在进一步加工之前应获得顾客的让步或对偏离的许可。 组织应在进一步加工之前，获得顾客对不合格品“照现状使用”和返工返修（见 8.7.1.5）处置的授权。如果在制造过程中有组件的再使用，应在让步或偏离许可中向顾客清楚传达该子部件的再使用。 变更的理由： 明确要求并消除关于顾客批准返工的矛盾。

编号	IATF 16949 参考	认可解释
10 修订	7.1.5.3.2. 外部实验室	组织用于检验、测试或校准服务的外部/商业/独立实验室设施应具有确定的实验室范围，包括执行所需的检查、测试或校准的能力，或： —   该实验室应通过 ILAC MRA（国际实验室认证论坛互认协议 – www.） 1 的认证机构(签约方) 或国家同等效力机构 2 的 ISO/IEC 17025 或国家同等标准的认证（如中国的 CNAS-CL01），并包括认证（证书）范围内的相关检查、测试或校准服务；校准证书或测试报告应包括国家认证机构的标志；或 —   如果没有认可的实验室（例如，对于专业或集成设备，或没有国际可追溯标准参考的参数），组织有责任确保有证据表明该实验室已经过评估，并满足 IATF 16949  第 7.1.5.3.1 条的要求。4 — 应有证据证明该外部实验室可以被顾客接受。4 注：这些证据可以通过顾客评估来证实，或由顾客批准的第二方机构评估，来证明该实验室满足了ISO/IEC    17025    或等效国家标准的意图。第二方机构评估可由评估实验室的组织，采用顾客批准的评估方法进行。 当某一设备没有具备资格的实验室时，校准服务可以由设备制造商进行。在这种情况下，组织应确保第 7.1.5.3.1 条中的要求得到满足。 校准服务的采用，除了由具备资格的（或顾客接受的）实验室提供的以外，需要时，可能需要获得政府监管机构的确认。3, 4

编号	IATF 16949 参考	认可解释
10 修订 (续)	7.1.5.3.2. 外部实验室	注：测量设备的集成自校准，包括使用专有软件，不符合校准要求。4 变更的理由： 一些组织发现，用于检查、测试或校准服务的外部/商业/独立实验室设施的实验室认证要求令人困惑而需要解释清楚。阐明实验室认证要求和期望。 1 于 2018 年 4 月发布 2 于 2018 年 6 月修订 3 重新发布以表明不排除该说明及后续段落。 4 阐明了可以使用非认可实验室的条件，可以使用原始设备制造商的条件，删除了备注，以及设备自校准的可接受性（2021 年 4 月）。还删除了有关监管机构确认的句子，因为这不是政府的要求。

编号	IATF 16949 参考	认可解释
11	8.5.6.1.1 过程控制的临时变更	组织应识别、记录和维护过程控制的列表，包括检查、测量、测试和错误检测设备。, 这包括主要的过程控制和批准的备份或替代方法。 过程控制的清单应包括主要过程控制和已批准的备份或替代方法，如果存在备份或替代方法。 变更的理由： 阐明并不是每个主要过程控制都有备份或替代方法。阐明如果存在备份或替代方法，则将这些备份或替代方法包含在组织维护的列表中。并不要求每个主要控制都要有一个替代过程控制。
12	5.1.1.2 过程有效性和效率	高层管理人员应评审 产品实现过程和质量管理体系的有效性和效率，并支持过程以评估和提高组织质量管理体系的有效性和效率 。过程评审活动的结果应作为管理评审的输入（见第 9.3.2.1 条）。 变更的理由： 阐明并不是每个过程都需要效率衡量。组织需要确定在他们的质量管理体系中哪些过程需要效率衡量。此外，组织的问题解决过程需要由组织的管理人员进行有效性评审。

编号	IATF 16949 参考	认可解释
13	9.3.2.1 管理评审输入 – 补充	管理评审的输入应包括： a)    不良质量成本（内部和外部不符合成本）； b)    过程有效性的衡量； c)    产品实现过程的过程效率的衡量, 如适用； d)    产品符合性； e)    对现有操作更改和新设施或新产品进行的制造可行性评估（见第 7.1.3.1 条）； f)  顾客满意（见ISO 9001 第 9.1.2 条）； g)    对照维护目标的绩效评审； h)    保修绩效（在适用情况下）； i)   顾客计分卡评审（在适用情况下）； j)   通过风险分析（如 FMEA）识别的潜在使用现场失效标识； k)    实际使用现场失效及其对安全或环境的影响。 变更的理由： 阐明并不是每个过程都需要效率衡量。组织需要确定在他们的质量管理体系中哪些过程需要效率衡量。

编号	IATF 16949 参考	认可解释
14	9.2.2.2 质量管理系统审核	组织应根据年度方案，在每一个三年的审核周期日历期内，对所有质量管理体系过程进行审 核，使用过程方法验证是否符合本汽车质量管理体系标准。结合这些审核，组织应对顾客特定的质量管理体系要求进行抽样，检查是否得到有效实施。 整个审核周期保持为三年。在三年的审核周期内，质量管理体系对单个过程的审核频率，应基于内部和外部的绩效和风险。组织应对其过程的指定审核频率保持正当理由。所有过程必须在三年的审核周期内抽样，并按照 IATF 16949 标准的所有适用要求进行审核，包括 ISO 9001 基本要求和任何顾客特定要求。 变更的理由： 阐明审核周期仍为三年。删除 IATF 16949 常见问题 18，将之前的常见问题 18 第二段要求并入认可解释 14。阐明在三年的审核周期内对所有过程进行审核。
15	3.1 汽车工业的术语和定义	嵌入式软件 嵌入式软件是存储在顾客指定的汽车部件（通常是计算机芯片或其他非易失性存储器)中，或作为系统设计的一部分来控制其功能的专门程序。为了符合 IATF 16949 认证的范围，由嵌入式软件控制的部件必须为汽车应用而研发(即客车、轻型商用车、重型卡车、客车以及摩托车;参见《获得并保持 IATF 认可的规则》，第 5 版，第 1.0 节 IATF 16949 认证资格，以符合“汽车”资格）。 注：用于控制制造过程的任何方面的软件（如用于制造部件或材料的机器）不包括在嵌入式软件的定义中。 变更的理由： 尽量减少对嵌入式软件和应用程序的混淆。删除 IATF 16949 常见问题 10。

编号	IATF 16949 参考	认可解释
16	9.3.2.1 管理评审输入 – 补充	管理评审的输入还包括： a)   不良质量成本（内部和外部不符合成本）； b)   过程有效性的衡量； c)   产品实现过程的过程效率的衡量，如适用； d)   产品符合性； e)    对现有操作更改和新设施或新产品进行的制造可行性评估（见第7.1.3.1条）； f)    顾客满意（见ISO 9001第9.1.2条）； g)   对照维护目标的绩效评审； h)   保修绩效（在适用情况下）； i)    顾客计分卡评审（在适用情况下）； j)    通过风险分析（如FMEA）识别的潜在使用现场失效标识； k)   实际使用现场失效及其对安全或环境的影响； l)    产品和过程的设计和开发期间特定阶段的测量汇总结果，如适用。 变更的理由： 在第 8.3.4.1 条“监视”中，产品和过程的设计和开发期间特定阶段的测量汇总结果应被确定、分析，以汇总结果的形式来报告，作为对管理评审的输入； 但是，它没有显示在 9.3.2.1 条 中。 测量可考虑例如：时间安排、成本或可行性。

编号	IATF 16949 参考	认可解释
17	6.1.2.3 应急计划	a) – d) (…) e) 定期测试应急计划的有效性（如：模拟，视情况而定）； 网络安全测试可能包括网络攻击的模拟、对特定威胁的定期监视、相关性的识别以及漏洞的优先级划分。 该测试适合于相关的对顾客造干扰的风险； 注：网络安全测试可由组织内部进行管理，也可以视情况分包 变更的理由： 网络安全对包括汽车在内的所有制造设施的制造可持续性构成越来越大的风险。 组织和认证机构也已将应急测试确定为需要阐明的领域。 此更新提供了要作为网络攻击应急计划验证的一部分进行测试的详细信息。
18	7.1.3.1 工厂、设施及设备策划	组织应使用多方论证的方法，包括风险识别和风险缓解方法，来开发并改进工厂、设施和设备的计划。在设计工厂布局时，组织应： a)  优化材料的流动和搬运，以及对空间场地的增值利用，包括对不合格品的控制；并且 b)  在适用时，便于材料的同步流动；以及 c)  对支持制造的设备和系统实施网络保护。 变更的理由： 网络安全不限于使用计算机的支持功能和办公区域。制造也使用计算机控制和设备，这将面临网络攻击的风险。这种增加推动了必要保护措施的实施，以确保持续运行和生产以满足顾客的要求。

编号	IATF 16949 参考	认可解释
19	8.4.2.4 供应商监视	组织应为供应商绩效评价制定形成文件的过程和准则，以便确保外部提供的产品、过程和服务符合内部要求和外部顾客要求。 至少应监视以下供应商绩效指标： a)    已交付产品对要求的符合性； b)    在收货工厂对顾客造成的干扰，包括整车候检和停止出货； c)    交付排程的绩效； d)    超额运费发生次数。 如顾客有所规定，组织还应视情况在供应商绩效监视中包括： e)  … f) 变更的理由： 超额运费已经包括在 9.1.2.1 中定义的顾客满意要求中。衡量供应商超额运费的发生也不在组织质量管理体系的范围内，因为这是一个内部供应商绩效指标。

编号	IATF 16949 参考	认可解释
20	10.2.3 问题解决	组织应有形成文件的问题解决过程，以防再次发生，包括： a)    用于各种类型和规模的问题（如：新产品开发、当前制造问题、使用现场失效、审核发现）的明确方法； b)    控制不符合输出所必要的遏制、临时措施及相关活动（见ISO 9001 第 8.7 条）； c)    根本原因分析、采用的方法、分析及结果； d)    系统性纠正措施的实施，包括考虑对相似过程和产品的影响； e)    对已实施纠正措施有效性的验证； f)  对适当形成文件的信息（如：PFMEA、控制计划）的评审，必要时进行更新。 若顾客对问题解决有特别规定的过程、工具或系统，组织应采用这些过程、工具或系统，除非顾客另行批准。 变更的理由：变更的理由： 经常观察到纠正措施错过了预防再次发生的重要步骤。预防再次发生现在已被添加为一项要求。

编号	IATF 16949 参考	认可解释
21	6.1.2.1 风险分析	组织应在其风险分析中至少包括: A)从产品召回、产品审核、现场退货和维修、投诉、报废和返工中吸取的教训; B)对信息技术系统的网络攻击威胁。 组织应保留文件化的信息，作为风险分析结果的证据。 更改的理由: 潜在的网络攻击对所有认证组织构成风险，因为在他们的信息技术系统中持有有价值的信息。企业需要在风险分析中考虑潜在的网络攻击。
22	7.2.1 能力——补充	组织应建立并保持形成文件的过程，以识别培训需求，包括培训意识(见第7.3.1节)，并使所有从事影响符合产品和过程要求活动的人员获得能力。执行指定任务的人员应按要求进行资格鉴定，并特别注意满足顾客要求。 为了减少或消除对组织的风险，培训和意识还应包括与组织工作相关的预防信息 环境和员工的责任，如识别未决设备故障和/或试图进行网络攻击的症状。 更改的理由: 员工的知识是防止问题变得严重的关键因素，包括识别潜在的设备故障和网络攻击。