ITAR, DFARS ורכש מקומי: כיצד לבדוק ספק חומרת VPX

מהנדסי איכות ותאימות שמכשירים ספק של חומרה מכנית או תרמית עבור תוכנית ביטחונית בודקים בדרך כלל כמה דברים במקביל: רישום ב-ITAR, תאימות ל-DFARS, מקורות אספקה מקומיים ועקיבות בשרשרת האספקה. לעיתים קרובות מתייחסים אליהם כאילו הם מונחים ניתנים להחלפה, יותר מכפי שראוי. ספק יכול להיות ממוקם בארצות הברית ועדיין לא לעמוד בדרישות התיעוד של העקיבות. ספק יכול להיות רשום ב-ITAR ועדיין להחמיץ סעיפי DFARS שחלים על אותו חוזה. בדיקה נכונה של ספק פירושה הערכה של כל אחד מההיבטים האלה בפני עצמו, ולאחר מכן בחינה של האופן שבו הם משתלבים זה בזה.

מה ITAR באמת דורש מספק חומרה?

ITAR (תקנות הסחר הבינלאומי בנשק) הוא משטר פיקוח על יצוא של מחלקת המדינה. הוא מסדיר העברה של פריטי הגנה ושל נתונים טכניים הקשורים להגנה לאנשים זרים, בין אם ההעברה מתבצעת באמצעות משלוח פיזי של חלק לחו"ל ובין אם באמצעות שיתוף שרטוטים, מפרטים או נתוני ייצור עם אזרח זר, לרבות מי שעובד בתוך ארצות הברית; מצב כזה נחשב ל"יצוא מיוחס" (deemed export) לפי ITAR.

ספק שמייצר חומרה מכנית מסוג VPX, מנגנוני wedgelock, מפלטים או מסגרות קירור עבור תוכניות ביטחוניות נדרש בדרך כלל להיות רשום ב-ITAR אצל Directorate of Defense Trade Controls. הרישום מצביע על כך שלחברה קיימת תוכנית תאימות לטיפול בנתונים טכניים מבוקרים ובפריטי הגנה. הוא אינו מאשר דבר בנוגע למקור חומרי הגלם או הרכיבים של הספק.

מה DFARS מוסיף מעבר ל-ITAR?

DFARS (תוספת תקנות הרכש הפדרליות בתחום ההגנה) מונפק על ידי משרד ההגנה, ולא על ידי מחלקת המדינה, והוא מסדיר את החוזה עצמו ולא את היצוא של פריטי הגנה. בעוד ITAR קובע מי רשאי לגשת לפריט הגנה או לנתונים הטכניים שלו, DFARS קובע דרישות שספק חייב לעמוד בהן כדי להחזיק בכלל בחוזה או בקבלנות משנה של משרד ההגנה, ובהן בקרות סייבר על מידע מבוקר שאינו מסווג, אבטחת שרשרת האספקה ובדיקת ספקים, זכויות על נתונים ויעדי קבלנות משנה לעסקים קטנים.

עבור ספק חומרה מכנית או תרמית, דרישות DFARS החלות עליו תלויות בחוזה ובסעיפים שהלקוח מעביר אליו. בהתאם לרכש, דרישות אלה עשויות להתייחס לתחומים כגון סייבר ומידע מבוקר, הגבלות על מקורות אספקה, מתכות מיוחדות, מניעת רכיבים מזויפים או דרישות אחרות של שרשרת האספקה.

האם ספק שמקורות האספקה שלו מקומיים תואם אוטומטית ל-ITAR או ל-DFARS?

לא. שתי התקנות עוסקות באופן שבו חברה שולטת בגישה, בנתונים ובשרשרת האספקה שלה, ולא במיקום הייצור שלה. שרשרת אספקה מקומית אכן מפחיתה את החשיפה לפי שתיהן: פחות חציות גבול ופחות קבלני משנה בינלאומיים פירושם פחות הזדמנויות לכך שנתונים טכניים מבוקרים יגיעו לאדם זר, ופחות ספקי משנה שיש לבדוק מול מגבלות המקור של DFARS. אך זו תוצאה נלווית של אספקה מקומית, ולא תחליף לרישום בפועל ב-ITAR ולתוכנית התקשרויות תואמת DFARS.

מה פירוש "מקורות אספקה מקומיים" בפועל?

מקורות אספקה מקומיים פירושם שהייצור של הספק ורובם המכריע של ספקי הבסיס שלו ממוקמים בתוך ארצות הברית. במהלך הכשרת ספק, כדאי לבדוק זאת בשלושה מקומות ספציפיים.

• ייצור ועיבוד שבבי מקומיים: עיבוד שבבי והרכבה המבוצעים במתקן בארצות הברית, בין אם בתוך החברה ובין אם באמצעות קבלן משנה מקומי, ולא מיוצרים בחו"ל ורק עוברים גימור או תיוג מקומי.
• עיבודי המשך מקומיים: ציפוי, טיפול תרמי ותהליכים משניים אחרים הנרכשים מספקים המבוססים בארצות הברית, במקום להישלח לחו"ל ובחזרה.
• מקור חומרי הגלם: אלומיניום, מחברים וחומרי גלם אחרים הנרכשים מקומית ככל האפשר, ובמקרים שבהם הדבר אינו אפשרי — מקורם נמסר בכנות.

קווי מוצרי ה-COTS של WaveTherm, מנגנוני ה-wedgelock מסוג SOLIDWEDGE™, המפלטים וערכות מסגרות הקירור OpenCOTS עומדים ברף הזה במלואו. ההרכבה וחלק משמעותי מהעיבוד השבבי מתבצעים במפעל של WaveTherm עצמו בריילי, צפון קרוליינה, והעיבוד השבבי המבוצע במיקור חוץ נשלח אך ורק לבתי מלאכה מקומיים, לעולם לא לחו"ל. גם עיבודי ההמשך וחומרי הגלם של קווי מוצרים אלה נרכשים כולם ממקורות מקומיים. היוצא מן הכלל היחיד הוא מוצרי מתקני הבדיקה והאימות של WaveTherm, הכוללים רכיבים מסוימים שמקורם מחוץ לארצות הברית. WaveTherm גם מוסמכת לתקן AS9100, ולכן מקור האספקה הזה מלווה בתיעוד עקיבות שמשרד תוכנית יכול לאמת בפועל.

כיצד העקיבות קשורה למקורות אספקה מקומיים ול-ITAR?

עקיבות היא היכולת לתעד מהיכן הגיעו חומרי הגלם של חלק והיכן הוא עבר עיבוד בכל שלב בייצור. היא זו שהופכת טענה בדבר מקורות אספקה מקומיים למשהו שמשרד תוכנית יכול לבקר בפועל, והיא גם מה שהופך תוכנית תאימות ל-ITAR לאמינה במהלך בדיקה. שמירה על הייצור ועל התהליכים הקריטיים בתוך שרשרת אספקה מקומית מעניקה לספק פיקוח ישיר על כל שלב שהחלק עובר, כלומר ניתוח מהיר יותר של גורם השורש כאשר חלק נכשל, ופעולות מתקנות וביקורות פשוטות יותר, מכיוון שהספק אינו צריך לתאם בין אזורי זמן ומתווכים בחו"ל כדי לקבל תשובה.

תקני ניהול איכות רשמיים כמו AS9100 כבר דורשים ניהול תצורה ועקיבות לאורך כל מחזור חיי המוצר. שרשרת אספקה מקומית אינה מחליפה את הדרישה הזו, אך היא מקלה במידה ניכרת על העמידה בה.

כיצד WaveTherm עונה על השאלות האלה?

מהנדס תאימות שבוחן את WaveTherm מול כל הדרישות שלעיל צריך לקבל תשובות ישירות לכל נקודה.

• רישום ב-ITAR? כן, החברה רשומה אצל Directorate of Defense Trade Controls ובעלת ניסיון בטיפול בדרישות הנלוות לתוכניות הגנה מבוקרות.
• ייצור מקומי? ההרכבה וחלק משמעותי מהעיבוד השבבי מתבצעים במפעל של WaveTherm עצמו בריילי, צפון קרוליינה. עיבוד שבבי נוסף מבוצע במיקור חוץ, אך רק בבתי מלאכה מקומיים, לעולם לא בחו"ל.
• עיבודי המשך וחומרי גלם מקומיים? 100% מקומיים בכל קווי מוצרי ה-COTS של WaveTherm. היוצא מן הכלל היחיד הוא מוצרי מתקני הבדיקה והאימות של WaveTherm, הכוללים רכיבים מסוימים שמקורם מחוץ לארצות הברית.
• הסמכות איכות? הסמכה לתקן AS9100, הכוללת את תיעוד ניהול התצורה והעקיבות הנדרש לצורך ההסמכה.

זו רמת הפירוט שמשרד תוכנית צריך לצפות לקבל מכל ספק של חומרה מכנית או תרמית לפני שהוא מסתמך עליו עבור תוכנית הגנה מבוקרת.