AQAP 2110 inför en försvarsupphandling: processer och bevis som ska vara klara före avtal

Förberedelser inför en försvarsupphandling handlar inte om att samla rutiner, utan om att visa att organisationen kan omsätta kraven i det kommande avtalet i styrda processer, tydliga ansvar och verifierbara dokumenterade resultat. Före anbudet behöver ni fastställa åtagandets omfattning, bedöma den egna och leverantörernas förmåga samt säkerställa en obruten beviskedja från krav till frisläppning av produkt eller tjänst. Om någon av dessa delar inte kan verifieras på ett trovärdigt sätt ska frågan lösas före avtalstecknandet, inte skjutas över till genomförandet.

Upphandlingen prövar leveransförmågan – inte dokumentmängden

Beslutet att delta i en försvarsupphandling bör grundas på en bedömning av det planerade åtagandet, inte på en genomgång av befintliga rutiner. Analysen behöver omfatta hela leveransflödet: identifiering av krav, konstruktion eller planering av genomförandet, inköp, tillverkning eller tjänsteleverans, kontroll, frisläppning och hantering av avvikelser. Först med detta helhetsperspektiv går det att identifiera de krav som medför störst kostnader, störst leveransrisk eller störst beroende av underleverantörer.

Ett SS-EN ISO 9001-certifikat är inte i sig ett tillräckligt bevis på beredskap, särskilt om certifieringens omfattning inte täcker de processer eller verksamhetsställen som ska användas för uppdraget. Detsamma gäller en komplett uppsättning rutiner. Förmågan att fullgöra avtalet visas genom att kraven hänger samman med ansvar, resurser, genomförandedokumentation och acceptanskriterier för produkten eller tjänsten. Anbudet bör därför godkännas inte bara av försäljning och ledning, utan även av ansvariga för kvalitet, operativ verksamhet, inköp och tekniska resurser.

En typisk brist upptäcks först efter tilldelningen. Företaget har bekräftat att kvalitetskraven kan uppfyllas, men konstaterar under produktionsberedningen att det saknas en fungerande mekanism för att föra vidare relevanta krav till underleverantörer eller för att visa spårbarhet på batchnivå. Problemet är då inte avsaknaden av en försäkran, utan skillnaden mellan åtagandet och den faktiska genomförandeförmågan: oklara inköpsunderlag, avsaknad av nödvändiga leverantörsregister samt oförmåga att koppla material, kontrollresultat och frisläppning till en bestämd produktbatch.

AQAP 2110 behöver därför läsas tillsammans med upphandlingsdokumenten, avtalsutkastet, de tekniska specifikationerna och beställarens kvalitetskrav. Åtagandets omfattning beror på de krav som gäller för den aktuella produkten, tjänsten och leveranskedjan. Den bör inte härledas enbart från standardens text eller organisationens nuvarande certifieringsomfattning. Före anbudet behövs en dokumenterad kravgenomgång och ett beslut om omfattningen av den överensstämmelse som organisationen avser att deklarera. Skillnaden mellan att ha dokument och att kunna visa att ledningssystemet fungerar behandlas närmare i AQAP 2110 – vilka dokument och processer granskar revisorer oftast inom försvarssektorn?

Kravgenomgång före anbudet

Den anbudsförberedande genomgången bör leda till ett formellt beslut om anbudets förutsättningar och begränsningar. Det räcker inte att bekräfta tekniska parametrar. Utgångspunkten är ett kravregister som omfattar förfrågan, tekniska bilagor, avtalsutkastet och det planerade innehållet i det egna anbudet. Registret bör omfatta kvalitets-, dokumentations- och mottagningskrav samt krav på spårbarhet, konfigurationsstyrning, styrning av underleverantörer, tillträde för beställarens representanter och hantering av avvikelser.

Registret är tillräckligt detaljerat när varje åtagande kan kopplas till en process, en ansvarig person, ett planerat arbetssätt och ett förväntat bevis. Det bör även visa risk och beslutsstatus, så att oklara eller ogenomförbara krav inte tyst behandlas som accepterade.

Anbudets kravmatris ska synliggöra avvikelser mellan dokumenten, inte förenkla dem till en enda bekväm tolkning. Varje post bör klassificeras som uppfylld, åtgärd krävs, oklar eller omöjlig att acceptera utan förtydligande eller ändring. Ett kommersiellt antagande ersätter inte en dokumenterad kravtolkning. Före anbudet måste frågor som påverkar pris, tidplan, ansvarsfördelning, acceptanskriterier eller möjligheten att visa överensstämmelse redas ut. Genomförandefrågor kan lämnas öppna till före leveransstarten endast om de inte förändrar åtagandet och har en utsedd ansvarig samt ett fastställt slutdatum.

Leveranstiden kan vara realistisk för den egna produktionen men omöjlig när kvalificering av material, mottagning hos underleverantören och tiden för att samordna kvalitetsplanen räknas in. Tillgängliga maskiner är därför inte i sig ett bevis på leveransförmåga. Den efterfrågade leveranstiden bör jämföras med verifierad kapacitet i de egna processerna och hos leverantörerna, med hänsyn till beroenden samt tids- och kostnadsreserv. Användbara nyckeltal är antalet krav som saknar ansvarig eller bevis på uppfyllelse samt antalet öppna frågor till beställaren och respektive slutdatum.

Efter bedömning av processförmåga, resurser och osäkerheter bör ledningen fatta ett av följande beslut:

• lämna anbud på fastställda villkor;
• begära förtydligande av kraven;
• inkludera kostnaden för ytterligare riskreducerande åtgärder;
• avstå från att delta i upphandlingen.

Godkännandet bör ange vilka antaganden som har gjorts, vilka risker som återstår och vem som ansvarar för respektive åtgärd. AQAP 2110 ersätter inte detta affärsbeslut, men strukturerar hur organisationen visar att avtalskraven har omsatts i styrda processer och dokumenterade resultat. En liknande logik för fullständigt bevisunderlag beskrivs i Dokumentation enligt NIS2 och KSC inför tillsyn: vilka policyer, register och bevis behövs i praktiken?, även om skyldigheternas omfattning och grunderna för överensstämmelse skiljer sig åt.

Processer som är kritiska för avtalet

Organisationen behöver inte bygga om hela kvalitetsledningssystemet före avtalstecknandet. Däremot måste de processer som avgör om avtalskraven kan uppfyllas utformas och verifieras. Avtalets processkarta bör visa alla överlämningspunkter för ansvar: från försäljning och anbudsarbete via konstruktion, inköp, produktion eller tjänsteleverans, kontroll och lager till den person som godkänner frisläppningen av produkten.

För varje överlämning ska nödvändiga underlag, acceptanskriterier, ansvarig, dokumenterat resultat och hantering av ofullständiga uppgifter fastställas. Om ansvarig eller kriterier för in- och utdata saknas finns en processbrist, även när det finns en övergripande rutin.

Det är avgörande att fastställa om organisationens ansvar omfattar konstruktion och utveckling. Om så är fallet måste styrningen av underlag, granskningar, verifiering, validering, ändringar och konfiguration fastställas före avtalstecknandet. Detta gäller även när den tekniska lösningen tas fram genom anpassning av en befintlig produkt eller genom precisering av kundens dokumentation. Konstruktion och utveckling kan endast uteslutas när den faktiska ansvarsfördelningen motiverar det, inte av dokumentationsmässig bekvämlighet.

Avtalets kvalitetsplan bör samtidigt ange genomförandets faser, acceptanskriterier, kontroll- och mottagningspunkter, obligatoriska dokumenterade resultat, ansvar, avvikelsehantering och villkor för frisläppning av leveransen. Planen kan hänvisa till befintliga dokument, men innehållet måste vara anpassat till det enskilda avtalet.

Beredskapen bör prövas genom ett representativt produktflöde, inte genom en bedömning av rutinerna i sig. Ett krav ska kunna följas från upphandlingsdokumenten genom materialinköp, genomförande, kontroll och lager till det dokumenterade underlag som ligger till grund för frisläppningen. I detta flöde bör organisationen verifiera statusen för den mätutrustning som behövs för den planerade omfattningen, styrningen av kundägt material, produktidentifikationen och att kontrollstatusen framgår entydigt.

En vanlig brist är att spårbarheten fungerar vid produktionsstationen men bryts vid ompackning, delning av batcher eller överföring till extern bearbetning. När produkten återkommer kan den vara tekniskt korrekt, samtidigt som organisationen inte kan visa kopplingen till materialet, arbetsordern, kontrollresultaten eller den godkända konfigurationen.

Kraven i AQAP 2110 bör därför bedömas utifrån processernas förmåga att skapa tillförlitliga bevis, inte utifrån antalet godkända dokument. Resultatet av en provspårning bör visa vilka processer som saknar definierade indata, utdata, kriterier eller ansvar samt vilken mätutrustning som saknas eller inte är klar för användning. Före anbudet måste de mekanismer som avgör åtagandets genomförbarhet fungera. Detaljlösningar kan införas efter avtalstecknandet endast om implementeringen är planerad, har en ansvarig och inte äventyrar leveranstid eller överensstämmelse.

Leverantörer ska omfattas av samma styrning

Att lägga ut delar av arbetet externt flyttar inte ansvaret för leveransens överensstämmelse till underleverantören. Redan under anbudsförberedelsen behöver organisationen fastställa vilka tekniska krav, kvalitetskrav, dokumentationskrav och mottagningskrav som ska föras in i inköpsorder och avtal. Detta bör omfatta tillämplig teknisk dokumentation, acceptanskriterier, obligatoriska certifikat och dokumenterade resultat, regler för rapportering av ändringar och avvikelser samt kontroll- och mottagningspunkter. Ett mått på beredskapen kan vara antalet avtalskrav som ännu inte har överförts till inköpsvillkoren.

Leverantörsklassificeringen bör baseras på leverantörens påverkan på överensstämmelse, konfiguration och leveranstid, inte enbart på inköpsvärdet. En liten verksamhet som utför en speciell process, ett laboratorium vars resultat krävs för frisläppning eller en tillverkare av en enskild komponent med lång ledtid kan vara kritisk. Innan en sådan källa tas med i anbudet behöver dess resurser, kompetens, processförmåga och faktiska ledtider verifieras. Organisationen bör också identifiera kapacitetsbegränsningar, obligatoriska mottagningspunkter och möjligheten att använda en alternativ källa.

Bedömningen före avtal får inte stanna vid ett frågeformulär och en försäkran om överensstämmelse. Den bör omfatta spårbarhet, ändringsstyrning, hantering av avvikande produkter och förmåga att tillhandahålla de bevis som organisationen, kunden eller relevanta kontrollfunktioner kräver. Ett typiskt exempel är en leverantör som försäkrar att produkten har tillverkats enligt ritning men inte kan bevara kopplingen mellan ingående material, processparametrar, kontrollresultat och den batch som skickats till kunden. Produkten kan uppfylla dimensionskraven, men avbrottet i dokumentationskedjan gör att överensstämmelsen inte kan visas på ett trovärdigt sätt.

Före anbudet bör organisationen upprätta en lista över kritiska leverantörer, dokumentera grunden för deras kvalificering och avgöra vilka som behöver verifieras på plats. En leverantörsrevision är särskilt motiverad när leverantören utför en process som avgör produktens egenskaper, är ensam källa eller när leverantörens dokumentation kommer att ligga till grund för mottagning och godkännande. Metoden för sådan verifiering beskrivs närmare i Leverantörsrevision före avtalstecknande – så minskar ni kvalitets- och leveransrisken.

Om leverantören inte vill lämna ut processdokumentation behöver parterna komma överens om en säker form för insyn eller ta fram andra objektiva bevis. Om förmågan inte kan verifieras är detta en anbudsrisk, inte en brist som bör lämnas till efter avtalstecknandet. Denna syn på leverantörsstyrning ligger i linje med AQAP 2110 – kvalitātes nodrošināšanas sistēma militārajiem piegādātājiem.

Objektiva bevis i stället för försäkringar

Avtalsberedskap styrks med objektiva revisionsbevis, inte med antalet godkända rutiner. Varje bevis bör visa vilken aktivitet som har genomförts och med vilket resultat, vem som ansvarade, när aktiviteten utfördes och hur den är kopplad till ett bestämt krav, en produkt, en batch eller en ändring. En tom mall visar bara att organisationen har avsett att skapa ett dokumenterat resultat. En rutin visar hur arbetet är tänkt att genomföras. Inget av detta bekräftar på egen hand att processen fungerar effektivt.

Ett grundläggande underlag för att visa beredskap bör omfatta:

• resultat från kravgenomgången;
• ansvarsmatris;
• riskbedömning för avtalet;
• processkarta för genomförandet;
• kriterier för kontroll och frisläppning;
• resultat från leverantörskvalificering;
• dokumentation av kompetensstyrningen;
• dokumentation från ett provgenomförande.

Var dokumentationen lagras, vem som har åtkomst, hur den godkänns och hur länge den bevaras behöver fastställas utifrån upphandlingskraven, det kommande avtalet och tillämpliga regler. Ett internt mått på fullständighet kan vara andelen krav för vilka ett tillgängligt bevis på uppfyllelse kunde visas vid en bestämd genomgång.

Det mest tillförlitliga testet är ett provavtal eller en simulering av en representativ order. Teamet bör föra en utvald produkt eller batch från kundkravet genom planering, inköp och utförande till kontrollregistrering, beslut om frisläppning och arkivering. En simulering ersätter inte dokumentation från ett verkligt avtal om kunden kräver bevis från faktisk leverans. Före avtalstecknandet kan den däremot användas för att bedöma processförmågan och spårbarhetens kontinuitet. Lämpliga mått är antalet avbrott i beviskedjan och den tid som krävs för att ta fram en fullständig dokumentationsuppsättning för en utpekad batch eller order.

Om det under provet inte går att koppla materialcertifikatet till batchen, kontrollresultatet till rätt dokumentversion eller frisläppningsbeslutet till en behörig person, får ledningen tydlig information om en faktisk brist. Korrigerande åtgärder bör undanröja orsaken till den bristande styrningen – exempelvis otydlig märkning, avsaknad av tilldelat ansvar eller felaktiga åtkomsträttigheter till dokumentationen – i stället för att enbart komplettera ett formulär. En beredskapsrevision bör därför byggas kring beviskedjan, inte bara kring dokumentens existens.

Detta arbetssätt följer logiken i AQAP 2110 -vaatimukset – puolustussektorin toimittajien johtamisjärjestelmä: kraven ska omsättas i styrda aktiviteter och resultat som kan verifieras. En sammanhängande beviskedja är en gemensam princip inom flera områden för styrning och efterlevnad. Som kompletterande referens kan Dokumentation enligt NIS2 och KSC inför tillsyn: vilka policyer, register och bevis behövs i praktiken? användas, där det också är viktigt att kunna koppla samman krav, ansvar, åtgärd och dokumenterat resultat.

Beslutsgrind före avtalstecknandet

Före avtalstecknandet bör en formell genomgång av avtalsberedskapen genomföras med deltagare från försäljning, kvalitet, teknik, inköp, produktion och ekonomi. Ingen av dessa funktioner har ensam överblick över hela risken. Kvalitetskraven kan påverka teknik, inköp, tidplan, kostnader och möjligheten att visa överensstämmelse. Genomgången ska leda till ett entydigt beslut: godkänd, villkorligt godkänd eller inte godkänd. Beslutet bör kompletteras med ett register över accepterade risker och uppgift om vem som har mandat att acceptera dem.

Ett godkännande förutsätter att kritiska krav har stängts, att resurser och kompetens har bekräftats för den planerade leveransperioden, att försörjningskällorna har kvalificerats och att mekanismerna för spårbarhet har verifierats. Det behöver också vara fastställt vilka bevis som ska skapas, vem som ska godkänna dem, var de ska lagras och hur länge de ska bevaras. Varje villkor bör klassificeras som stängt, villkorligt eller öppet.

Ett villkorligt godkännande är motiverat endast när åtgärden har en ansvarig, ett slutdatum, säkrade resurser och en fastställd eskaleringsväg samt när en utebliven stängning inte undergräver uppgifterna i anbudet eller det avtalsmässiga åtagandet. Avsaknaden av en slutlig rapportmall kan exempelvis lämnas som en öppen åtgärd om obligatoriska data, ansvar och datum för godkännande redan har fastställts.

Avsaknad av en verifierad kritisk process, otillgänglig nödvändig kompetens eller en obekräftad förmåga hos en nyckelleverantör måste behandlas annorlunda. Sådana brister bör stoppa avtalstecknandet och leda till omförhandling av kvalitetsvillkoren, ändrad tidplan eller säkring av ytterligare resurser.

Den avslutande checklistan ska inte skapa fler dokument, utan avgöra om organisationen kan ta på sig åtagandet på ett ansvarsfullt sätt. Avtalets riskgenomgång bör avslutas med ett tydligt beslut: teckna avtalet, omförhandla, förstärka förmågan före undertecknandet eller avstå. Först efter godkännandet bör genomförandeplanen aktiveras. I förhållande till AQAP 2110 – Kokybės užtikrinimo sistema kariuomenės tiekėjams är huvudkriteriet en verifierad förmåga att uppfylla kraven, inte enbart fullständiga rutiner.