ITAR, DFARS och inhemsk anskaffning: Så granskar du en VPX-hårdvaruleverantör

Kvalitets- och complianceingenjörer som kvalificerar en leverantör av mekanisk eller termisk hårdvara för ett försvarsprogram brukar kontrollera flera saker samtidigt: ITAR-registrering, DFARS-efterlevnad, inhemsk sourcing och spårbarhet i leveranskedjan. Dessa behandlas oftare som utbytbara än de borde. En leverantör kan vara baserad i landet och ändå inte uppfylla kraven på dokumentation av spårbarhet. En leverantör kan vara ITAR-registrerad och ändå missa DFARS-klausuler som gäller för samma avtal. Att granska en leverantör korrekt innebär att utvärdera vart och ett av dessa områden på sina egna villkor och därefter kontrollera hur de passar ihop.

Vad kräver ITAR egentligen av en leverantör av hårdvara?

ITAR (International Traffic in Arms Regulations) är ett exportkontrollregelverk från det amerikanska utrikesdepartementet. Det reglerar överföring av försvarsprodukter och försvarsrelaterade tekniska data till utländska personer, oavsett om överföringen sker genom att en del skickas fysiskt utomlands eller genom att ritningar, specifikationer eller tillverkningsdata delas med en utländsk medborgare, inklusive en person som arbetar i USA, vilket enligt ITAR betraktas som en ”deemed export”.

En leverantör som tillverkar VPX-mekanisk hårdvara, wedgelocks, utdragare eller heatframes för försvarsprogram behöver vanligtvis vara ITAR-registrerad hos Directorate of Defense Trade Controls. Registreringen visar att företaget har ett complianceprogram för hantering av kontrollerade tekniska data och försvarsprodukter. Den intygar inte var leverantörens råmaterial eller komponenter kommer ifrån.

Vad tillför DFARS utöver ITAR?

DFARS (Defense Federal Acquisition Regulation Supplement) utfärdas av försvarsdepartementet, inte utrikesdepartementet, och reglerar själva avtalet snarare än exporten av försvarsprodukter. Medan ITAR styr vem som får tillgång till en försvarsprodukt eller dess tekniska data, fastställer DFARS krav som en leverantör måste uppfylla för att över huvud taget inneha ett DoD-avtal eller underavtal. Bland dessa finns cybersäkerhetskontroller för Controlled Unclassified Information, säkerhet i leveranskedjan och leverantörsgranskning, data rättigheter samt mål för underentreprenader till små företag.

För en leverantör av mekanisk eller termisk hårdvara beror de tillämpliga DFARS-kraven på avtalet och de klausuler som kunden för vidare. Beroende på upphandlingen kan kraven omfatta områden som cybersäkerhet och kontrollerad information, sourcingrestriktioner, specialmetaller, förebyggande av förfalskade delar eller andra krav på leveranskedjan.

Är en leverantör med inhemsk sourcing automatiskt ITAR- eller DFARS-kompatibel?

Nej. Båda regelverken handlar om hur ett företag kontrollerar åtkomst, data och sin leveranskedja, inte om var tillverkningen är placerad. En inhemsk leveranskedja minskar exponeringen enligt båda regelverken: färre gränspassager och färre internationella underleverantörer innebär färre möjligheter för kontrollerade tekniska data att nå en utländsk person, samt färre underleverantörer i senare led att granska mot DFARS sourcingrestriktioner. Men det är en följd av inhemsk sourcing, inte en ersättning för faktisk ITAR-registrering och ett DFARS-kompatibelt avtalsprogram.

Vad innebär ”inhemsk sourcing” i praktiken?

Inhemsk sourcing innebär att en leverantörs tillverkning och den stora merparten av dess leverantörsbas finns i USA. Under kvalificeringen av en leverantör är det värt att kontrollera detta på tre specifika områden.

• Inhemsk tillverkning och bearbetning: Bearbetning och montering utförs vid en anläggning i USA, antingen internt eller genom en inhemsk underleverantör, i stället för att läggas utomlands och endast färdigställas eller märkas i USA.
• Inhemsk extern bearbetning: Plätering, värmebehandling och andra sekundära processer köps från leverantörer baserade i USA i stället för att skickas utomlands och tillbaka.
• Råmaterialets ursprung: Aluminium, fästelement och andra råmaterial köps inhemskt när det är möjligt och redovisas ärligt när så inte är fallet.

WaveTherms COTS-produktlinjer, SOLIDWEDGE™ wedgelocks, utdragare och OpenCOTS heatframe-kit uppfyller helt detta krav. Montering och en betydande del av bearbetningen sker internt vid WaveTherms anläggning i Raleigh, NC, och den bearbetning som läggs ut utförs endast av inhemska verkstäder, aldrig utomlands. Extern bearbetning och råmaterial för dessa produktlinjer är också till 100 % inhemskt inköpta. Det enda undantaget är WaveTherms produkter för test- och valideringsfixturer, som innehåller visst icke-inhemskt innehåll. WaveTherm är dessutom AS9100-certifierat, vilket innebär att denna sourcing åtföljs av den spårbarhetsdokumentation som ett programkontor faktiskt kan verifiera.

Hur hänger spårbarhet ihop med inhemsk sourcing och ITAR?

Spårbarhet är möjligheten att dokumentera var en dels material kommer ifrån och var den har bearbetats i varje tillverkningssteg. Det är detta som gör ett påstående om inhemsk sourcing till något som ett programkontor faktiskt kan granska, och det är också det som gör ett ITAR-complianceprogram trovärdigt vid en granskning. Genom att hålla tillverkning och kritiska processer inom en inhemsk leveranskedja får leverantören direkt kontroll över varje steg som en del genomgår. Det innebär snabbare grundorsaksanalyser när en del fallerar och enklare korrigerande åtgärder och revisioner, eftersom leverantören inte behöver samordna över tidszoner och med utländska mellanhänder för att få svar.

Formella kvalitetsledningsstandarder som AS9100 kräver redan konfigurationshantering och spårbarhet under hela produktens livscykel. En inhemsk leveranskedja ersätter inte det kravet, men gör det betydligt enklare att uppfylla.

Hur besvarar WaveTherm dessa frågor?

En complianceingenjör som granskar WaveTherm utifrån allt ovan bör få tydliga svar på varje punkt.

• ITAR-registrerad? Ja, registrerad hos Directorate of Defense Trade Controls, med erfarenhet av att hantera kraven som följer med kontrollerade försvarsprogram.
• Inhemsk tillverkning? Montering och en betydande del av bearbetningen sker internt vid WaveTherms anläggning i Raleigh, NC. Ytterligare bearbetning läggs ut, men endast hos inhemska verkstäder, aldrig utomlands.
• Inhemsk extern bearbetning och inhemska råmaterial? 100 % inhemskt för WaveTherms COTS-produktlinjer. Det enda undantaget är WaveTherms produkter för test- och valideringsfixturer, som innehåller visst icke-inhemskt innehåll.
• Kvalitetscertifieringar? AS9100-certifierat, vilket innebär den konfigurationshantering och spårbarhetsdokumentation som certifieringen kräver.

Det är den detaljnivå som ett programkontor bör förvänta sig av alla leverantörer av mekanisk eller termisk hårdvara innan det förlitar sig på dem för ett kontrollerat försvarsprogram.