ITAR, DFARS og innenlandsk sourcing: Slik vurderer du en VPX-maskinvareleverandør

Kvalitets- og complianceingeniører som kvalifiserer en leverandør av mekanisk eller termisk maskinvare til et forsvarsprogram, undersøker vanligvis flere ting samtidig: ITAR-registrering, DFARS-samsvar, innenlandsk sourcing og sporbarhet i forsyningskjeden. Disse behandles oftere som utskiftbare enn de burde. En leverandør kan være basert innenlands og likevel ha mangelfull dokumentasjon av sporbarhet. En leverandør kan være ITAR-registrert og fortsatt overse DFARS-klausuler som gjelder for den samme kontrakten. Å vurdere en leverandør korrekt innebærer å evaluere hvert av disse områdene separat og deretter kontrollere hvordan de henger sammen.

Hva krever ITAR egentlig av en maskinvareleverandør?

ITAR (International Traffic in Arms Regulations) er et eksportkontrollregelverk underlagt det amerikanske utenriksdepartementet. Det regulerer overføring av forsvarsrelaterte artikler og tekniske data til utenlandske personer, enten overføringen skjer ved fysisk å sende en del utenlands eller ved å dele tegninger, spesifikasjoner eller produksjonsdata med en utenlandsk statsborger, inkludert en som arbeider i USA, noe som regnes som en «deemed export» under ITAR.

En leverandør som produserer VPX-mekanisk maskinvare, wedgelocks, ejektorer eller heatframes til forsvarsprogrammer, må vanligvis være ITAR-registrert hos Directorate of Defense Trade Controls. Registreringen fastslår at selskapet har et compliance-program på plass for håndtering av kontrollert teknisk informasjon og forsvarsrelaterte artikler. Den sertifiserer ikke hvor leverandørens råmaterialer eller komponenter kommer fra.

Hva kommer DFARS med i tillegg til ITAR?

DFARS (Defense Federal Acquisition Regulation Supplement) utgis av det amerikanske forsvarsdepartementet, ikke utenriksdepartementet, og regulerer selve kontrakten i stedet for eksport av forsvarsrelaterte artikler. Mens ITAR kontrollerer hvem som kan få tilgang til en forsvarsrelatert artikkel eller dens tekniske data, fastsetter DFARS krav en leverandør må oppfylle for i det hele tatt å kunne ha en kontrakt eller underleverandørkontrakt med DoD. Dette omfatter blant annet cybersikkerhetskontroller for Controlled Unclassified Information, sikkerhet i forsyningskjeden og leverandørscreening, datarettigheter og mål for underleveranser til små bedrifter.

For en leverandør av mekanisk eller termisk maskinvare avhenger de relevante DFARS-kravene av kontrakten og klausulene kunden viderefører. Avhengig av anskaffelsen kan kravene omhandle områder som cybersikkerhet og kontrollert informasjon, sourcingbegrensninger, spesialmetaller, forebygging av forfalskede deler eller andre krav til forsyningskjeden.

Er en leverandør med innenlandsk sourcing automatisk ITAR- eller DFARS-kompatibel?

Nei. Begge regelverkene handler om hvordan et selskap kontrollerer tilgang, data og forsyningskjeden, ikke om hvor produksjonen ligger. En innenlandsk forsyningskjede reduserer eksponeringen under begge regelverkene: færre grensepasseringer og færre internasjonale underleverandører betyr færre muligheter for at kontrollert teknisk informasjon når en utenlandsk person, og færre underleverandører lenger ned i kjeden som må kontrolleres mot DFARS-begrensninger på sourcing. Men dette er en følge av innenlandsk sourcing, ikke en erstatning for faktisk ITAR-registrering og et kontraktsprogram som er i samsvar med DFARS.

Hva betyr «innenlandsk sourcing» egentlig i praksis?

Innenlandsk sourcing betyr at leverandørens produksjon og det store flertallet av leverandørbasen befinner seg i USA. Under kvalifisering av leverandører er det verdt å kontrollere dette på tre konkrete områder.

• Innenlandsk produksjon og maskinering: Maskinering og montering utført ved et anlegg i USA, enten internt eller gjennom en innenlandsk underleverandør, i stedet for å bli satt ut til utlandet og bare ferdigstilt eller merket innenlands.
• Innenlandsk ekstern prosessering: Overflatebehandling, varmebehandling og andre sekundærprosesser levert av USA-baserte leverandører i stedet for å bli sendt utenlands og tilbake igjen.
• Råmaterialenes opprinnelse: Aluminium, festemidler og andre råmaterialer hentes innenlands der det er mulig, og oppgis ærlig der de ikke gjør det.

WaveTherms COTS-produktlinjer, SOLIDWEDGE™-wedgelocks, ejektorer og OpenCOTS-heatframe-sett oppfyller dette kravet fullt ut. Montering og en betydelig del av maskineringen skjer internt ved WaveTherms anlegg i Raleigh, NC, og maskineringen som settes ut, går kun til innenlandske verksteder, aldri til utlandet. Ekstern prosessering og råmaterialene bak disse produktlinjene er også 100 % innenlandske. Det eneste unntaket er WaveTherms produkter for test- og valideringsfiksturer, som inneholder noe ikke-innhold fra USA. WaveTherm er også AS9100-sertifisert, slik at denne sourcingen kommer med dokumentasjon av sporbarhet som et programkontor faktisk kan verifisere.

Hvordan henger sporbarhet sammen med innenlandsk sourcing og ITAR?

Sporbarhet er evnen til å dokumentere hvor materialene i en del kom fra, og hvor den ble bearbeidet i hvert trinn av produksjonen. Det er dette som gjør et krav om innenlandsk sourcing til noe et programkontor faktisk kan revidere, og det er også dette som gjør et ITAR-compliance-program troverdig ved en gjennomgang. Når produksjon og kritiske prosesser holdes innenfor en innenlandsk forsyningskjede, får leverandøren direkte oversikt over hvert trinn en del går gjennom. Det betyr raskere rotårsaksanalyse når en del svikter, samt enklere korrigerende tiltak og revisjoner, fordi leverandøren ikke trenger å koordinere på tvers av tidssoner og utenlandske mellomledd for å få svar.

Formelle kvalitetsstyringsstandarder som AS9100 krever allerede konfigurasjonsstyring og sporbarhet gjennom hele produktets livssyklus. En innenlandsk forsyningskjede erstatter ikke dette kravet, men gjør det vesentlig enklere å oppfylle.

Hvordan besvarer WaveTherm disse spørsmålene?

En complianceingeniør som vurderer WaveTherm opp mot alt ovenfor, bør få klare svar på hvert punkt.

• ITAR-registrert? Ja, registrert hos Directorate of Defense Trade Controls, med erfaring i å håndtere kravene som følger med kontrollerte forsvarsprogrammer.
• Innenlandsk produksjon? Montering og en betydelig del av maskineringen skjer internt ved WaveTherms anlegg i Raleigh, NC. Ytterligere maskinering settes ut, men kun til innenlandske verksteder, aldri til utlandet.
• Innenlandsk ekstern prosessering og råmaterialer? 100 % innenlandsk for WaveTherms COTS-produktlinjer. Det eneste unntaket er WaveTherms produkter for test- og valideringsfiksturer, som inneholder noe ikke-innhold fra USA.
• Kvalitetssertifiseringer? AS9100-sertifisert, noe som innebærer dokumentasjon av konfigurasjonsstyring og sporbarhet slik sertifiseringen krever.

Dette er detaljnivået et programkontor bør forvente fra enhver leverandør av mekanisk eller termisk maskinvare før det stoler på leverandøren i et kontrollert forsvarsprogram.