ITAR, DFARS og innanlandsk innkjøp: Slik vurderer du ein VPX-maskinvareleverandør

Kvalitets- og samsvarsingeniørar som kvalifiserer ein leverandør av mekanisk eller termisk maskinvare til eit forsvarsprogram, kontrollerer vanlegvis fleire ting samtidig: ITAR-registrering, DFARS-samsvar, nasjonal sourcing og sporbarheit i forsyningskjeda. Desse blir oftare behandla som om dei var utskiftbare enn dei burde. Ein leverandør kan vere etablert i USA og likevel ikkje oppfylle krava til dokumentasjon av sporbarheit. Ein leverandør kan vere ITAR-registrert og likevel mangle DFARS-klausular som gjeld for den same kontrakten. Å kontrollere ein leverandør på rett måte inneber å vurdere kvar av desse faktorane på eigne premissar og deretter sjekke korleis dei passar saman.

Kva krev ITAR eigentleg av ein maskinvareleverandør?

ITAR (International Traffic in Arms Regulations) er eit eksportkontrollregelverk under det amerikanske utanriksdepartementet. Det regulerer overføring av forsvarsprodukt og forsvarsrelaterte tekniske data til utanlandske personar, anten overføringa skjer ved å sende ein del fysisk til utlandet eller ved å dele teikningar, spesifikasjonar eller produksjonsdata med ein utanlandsk statsborgar, også ein som arbeider i USA. Det siste blir behandla som ein «deemed export» etter ITAR.

Ein leverandør som produserer VPX-mekanisk maskinvare, wedgelocks, utløysemekanismar eller varmeleidande rammer for forsvarsprogram, må vanlegvis vere ITAR-registrert hos Directorate of Defense Trade Controls. Registreringa viser at selskapet har eit samsvarsprogram for handtering av kontrollerte tekniske data og forsvarsprodukt. Ho stadfestar ikkje kvar råmateriala eller komponentane til leverandøren kjem frå.

Kva legg DFARS til utover ITAR?

DFARS (Defense Federal Acquisition Regulation Supplement) blir utferda av det amerikanske forsvarsdepartementet, ikkje utanriksdepartementet, og regulerer sjølve kontrakten i staden for eksport av forsvarsprodukt. Der ITAR kontrollerer kven som kan få tilgang til eit forsvarsprodukt eller dei tekniske dataene til produktet, fastset DFARS krav ein leverandør må oppfylle for i det heile å kunne ha ein kontrakt eller underkontrakt med det amerikanske forsvarsdepartementet. Dette omfattar mellom anna cybersikkerheitskontrollar for Controlled Unclassified Information, sikkerheit i forsyningskjeda og kontroll av leverandørar, datarettar og mål for underkontrahering til små verksemder.

For ein leverandør av mekanisk eller termisk maskinvare avheng DFARS-krava som gjeld, av kontrakten og klausulane kunden fører vidare. Avhengig av innkjøpet kan krava omfatte område som cybersikkerheit og kontrollert informasjon, avgrensingar på sourcing, spesialmetall, førebygging av forfalska delar eller andre krav til forsyningskjeda.

Er ein leverandør med nasjonal sourcing automatisk ITAR- eller DFARS-kompatibel?

Nei. Begge regelverka handlar om korleis eit selskap kontrollerer tilgang, data og forsyningskjeda si, ikkje om kvar produksjonen ligg. Ei innanlandsk forsyningskjede reduserer eksponeringa under begge regelverka: Færre grensepasseringar og færre internasjonale underleverandørar gir færre høve for at kontrollerte tekniske data når fram til ein utanlandsk person, og færre underleverandørar på lågare nivå å kontrollere mot DFARS-avgrensingar på sourcing. Men dette er ein følgje av nasjonal sourcing, ikkje ein erstatning for faktisk ITAR-registrering og eit DFARS-kompatibelt kontraktsprogram.

Kva tyder «nasjonal sourcing» eigentleg i praksis?

Nasjonal sourcing tyder at produksjonen til leverandøren og størstedelen av leverandørbasen er lokalisert i USA. Under kvalifisering av leverandøren er dette verdt å kontrollere på tre konkrete område.

• Nasjonal produksjon og maskinering: Maskinering og montering blir utført ved eit anlegg i USA, anten internt eller gjennom ein innanlandsk underleverandør, i staden for å bli sette ut til utlandet og berre ferdigstilte eller merkte nasjonalt.
• Nasjonal vidareforedling: Overflatebehandling, varmebehandling og andre sekundære prosessar blir kjøpte frå leverandørar i USA i staden for å bli sende til utlandet og tilbake.
• Opphav for råmateriale: Aluminium, festemiddel og andre råmateriale blir så langt som mogleg kjøpte nasjonalt, og opphavet blir ærleg opplyst når dei ikkje blir det.

WaveTherms COTS-produktlinjer, SOLIDWEDGE™ wedgelocks, utløysemekanismar og OpenCOTS-varmerammesett oppfyller dette kravet fullt ut. Montering og ein stor del av maskineringa skjer internt ved WaveTherms anlegg i Raleigh, NC, og maskineringa som blir sett ut, går berre til innanlandske verkstader, aldri til utlandet. Vidareforedling og råmateriale for desse produktlinjene er også 100 % nasjonalt innkjøpte. Det einaste unntaket er WaveTherms produkt for test- og valideringsfiksturar, som inneheld noko ikkje-nasjonalt innhald. WaveTherm er også AS9100-sertifisert, så denne sourcingen er knytt til dokumentasjon av sporbarheit som eit programkontor faktisk kan kontrollere.

Korleis heng sporbarheit saman med nasjonal sourcing og ITAR?

Sporbarheit er evna til å dokumentere kvar materiala i ein del kom frå, og kvar delen blei behandla på kvart steg i produksjonen. Det er dette som gjer ein påstand om nasjonal sourcing til noko eit programkontor faktisk kan revidere, og det er også dette som gjer eit ITAR-samsvarsprogram truverdig ved kontroll. Når produksjon og kritiske prosessar blir haldne innanfor ei innanlandsk forsyningskjede, får leverandøren direkte oversikt over kvart steg ein del går gjennom. Det inneber raskare årsaksanalyse når ein del sviktar, og enklare korrigerande tiltak og revisjonar, sidan leverandøren ikkje må koordinere på tvers av tidssoner og utanlandske mellomledd for å få svar.

Formelle standardar for kvalitetsstyring, som AS9100, krev allereie konfigurasjonsstyring og sporbarheit gjennom heile livssyklusen til produktet. Ei innanlandsk forsyningskjede erstattar ikkje dette kravet, men gjer det vesentleg enklare å oppfylle.

Korleis svarar WaveTherm på desse spørsmåla?

Ein samsvarsingeniør som vurderer WaveTherm opp mot alt ovanfor, bør få klare svar på kvart punkt.

• ITAR-registrert? Ja, registrert hos Directorate of Defense Trade Controls, med erfaring i å handtere krava som følgjer med kontrollerte forsvarsprogram.
• Nasjonal produksjon? Montering og ein stor del av maskineringa skjer internt ved WaveTherms anlegg i Raleigh, NC. Ytterlegare maskinering blir sett ut, men berre til innanlandske verkstader, aldri til utlandet.
• Nasjonal vidareforedling og nasjonale råmateriale? 100 % nasjonalt for WaveTherms COTS-produktlinjer. Det einaste unntaket er WaveTherms produkt for test- og valideringsfiksturar, som inneheld noko ikkje-nasjonalt innhald.
• Kvalitetssertifiseringar? AS9100-sertifisert, med dokumentasjon av konfigurasjonsstyring og sporbarheit slik sertifiseringa krev.

Dette er detaljnivået eit programkontor bør forvente frå alle leverandørar av mekanisk eller termisk maskinvare før dei stolar på leverandøren til eit kontrollert forsvarsprogram.