Resposta: De acordo com o requisito 4.3.2 da IATF os CSR devem ser avaliados e incluídos no escopo do SGQ da organização.
Note que o requisito não diferencia OEM de Tier 1, Tier 2 etc.. Assim deve existir uma metodologia para atender esse requisito.

Resposta:  Se a organização pretende não atender a um CSR, deve solicitar uma derroga. Análise de risco pode ser aplicado para ajudar a justificar uma solicitação de derroga.