AQAP 2110 før et forsvarsudbud: processer og dokumentation skal være klar før kontrakten underskrives

Forberedelse til et forsvarsudbud handler ikke om at samle procedurer, men om at dokumentere, at organisationen kan omsætte kravene i den kommende kontrakt til styrede processer, tydelige ansvarsområder og pålidelige registreringer. Før tilbuddet afgives, skal forpligtelserne afgrænses, virksomhedens og leverandørernes kapacitet vurderes, og evidenskæden fra krav til frigivelse af produkt eller ydelse efterprøves. Hvis et af disse forhold ikke kan bekræftes på et troværdigt grundlag, skal det afklares før kontraktunderskrivelsen – ikke skubbes videre til gennemførelsesfasen.

Et udbud afprøver leveranceevnen – ikke dokumentmængden

Beslutningen om at deltage i et forsvarsudbud bør bygge på en vurdering af den kommende leverance og ikke blot på en gennemgang af eksisterende procedurer. Analysen skal omfatte hele leveranceforløbet: identifikation af krav, konstruktion eller planlægning, indkøb, produktion eller levering af ydelsen, kontrol, frigivelse og håndtering af afvigelser. Først med dette helhedsbillede kan organisationen identificere de krav, der medfører de største omkostninger, den største tidsrisiko eller en kritisk afhængighed af underleverandører.

Et DS/EN ISO 9001-certifikat er ikke i sig selv dokumentation for kontraktberedskab – især ikke, hvis certificeringens omfang ikke dækker de processer eller lokationer, der skal anvendes til ordren. Det samme gælder et komplet sæt procedurer. Leveranceevnen dokumenteres gennem sammenhængen mellem krav, ansvar, ressourcer, registreringer fra den faktiske udførelse og acceptkriterier for produktet eller ydelsen. Tilbuddet bør derfor ikke alene godkendes af salgsfunktionen og ledelsen, men også af de ansvarlige for kvalitet, drift, indkøb og tekniske ressourcer.

En typisk mangel bliver først synlig, når tilbuddet er blevet valgt. Virksomheden har bekræftet, at kvalitetskravene kan opfyldes, men opdager under planlægningen, at den hverken har en mekanisme til at videreføre de relevante krav til underleverandørerne eller mulighed for at dokumentere batchsporbarhed. Problemet er ikke manglen på en erklæring, men forskellen mellem den afgivne forpligtelse og den faktiske leveranceevne: uklare indkøbsinput, manglende registreringer hos leverandøren og ingen sikker kobling mellem materiale, kontrol, frigivelse og den konkrete produktbatch.

AQAP 2110 skal derfor læses sammen med udbudsmaterialet, kontraktudkastet, de tekniske specifikationer og ordregiverens kvalitetskrav. Forpligtelsernes omfang afhænger af de krav, der gælder for det konkrete produkt, den konkrete ydelse og forsyningskæden. Omfanget bør ikke alene udledes af standardens tekst eller organisationens nuværende certificeringsomfang. Før tilbuddet afgives, er der behov for en dokumenteret kravgennemgang og en beslutning om omfanget af den overensstemmelse, organisationen vil erklære. Forskellen mellem at have dokumenter og at kunne dokumentere systemets funktion uddybes i AQAP 2110 – hvilke dokumenter og processer kontrollerer auditorer oftest i forsvarssektoren?

Kravgennemgang før tilbudsafgivelse

Gennemgangen før tilbudsafgivelsen skal føre til en formel beslutning om tilbuddets forudsætninger og grænsebetingelser. Den må ikke begrænses til en bekræftelse af tekniske parametre. Grundlaget bør være et kravregister, der omfatter forespørgslen, tekniske bilag, kontraktudkastet og det planlagte indhold i virksomhedens eget tilbud. Registret skal indeholde kvalitets-, dokumentations- og godkendelseskrav samt krav til sporbarhed, konfigurationsstyring, styring af underleverandører, adgang for ordregiverens repræsentanter og håndtering af afvigelser.

Kravregistret er tilstrækkeligt detaljeret, når hver forpligtelse kan knyttes til en proces, en ansvarlig person, en gennemførelsesmetode og den forventede dokumentation. Det skal også synliggøre risikoen og beslutningsstatussen, så uklare eller uigennemførlige krav ikke stiltiende bliver betragtet som accepterede.

Tilbuddets overensstemmelsesmatrix skal synliggøre uoverensstemmelser mellem dokumenterne frem for at reducere dem til én bekvem fortolkning. Hvert punkt bør have én af følgende statusser: opfyldt, kræver handling, uafklaret eller kan ikke accepteres uden afklaring eller ændring. En kommerciel antagelse erstatter ikke en dokumenteret fortolkning af et krav. Inden tilbuddet afgives, skal alle forhold, der påvirker pris, tidsplan, ansvarsomfang, acceptkriterier eller muligheden for at dokumentere overensstemmelse, være afklaret. Gennemførelsesdetaljer kan kun stå åbne frem til leverancestart, hvis de ikke ændrer forpligtelsen, og hvis de har en udpeget ansvarlig og en fastsat frist.

En leveringstermin kan være realistisk for virksomhedens egen produktion, men urealistisk, når materialekvalificering, godkendelse hos underleverandøren og tiden til aftale om kvalitetsplanen medregnes. Tilgængelige maskiner dokumenterer derfor ikke i sig selv rettidig leveranceevne. Den krævede termin skal sammenholdes med dokumenteret kapacitet i egne processer og hos leverandørerne, inklusive indbyrdes afhængigheder samt tids- og omkostningsmæssige reserver. Relevante målepunkter er blandt andet antallet af krav uden en procesejer eller dokumentation for opfyldelse samt antallet af åbne spørgsmål til ordregiveren og fristerne for deres afklaring.

Efter vurderingen af proceskapacitet, ressourcer og usikkerheder bør ledelsen godkende én af følgende beslutninger:

• at afgive tilbud på de fastlagte vilkår;
• at anmode om afklaring af kravene;
• at indregne omkostninger til yderligere risikobegrænsende foranstaltninger;
• at undlade at deltage i udbuddet.

Godkendelsen bør angive de valgte forudsætninger, uafklarede risici og ansvarlige for de nødvendige handlinger. AQAP 2110 erstatter ikke denne beslutning, men strukturerer den dokumentation, der skal vise, at kontraktkravene er omsat til styrede processer og registreringer. En tilsvarende logik for fuldstændig dokumentation beskrives i NIS2- og KSC-dokumentation før kontrol: hvilke politikker, registre og beviser er reelt nødvendige?, selv om forpligtelsernes omfang og overensstemmelsesgrundlaget er anderledes.

Kontraktkritiske processer

Det er ikke nødvendigt at ombygge hele kvalitetsledelsessystemet før kontrakten underskrives. Derimod skal de processer, som kontraktens opfyldelse afhænger af, være udformet og afprøvet. Kontraktens proceskort bør vise alle overdragelser af ansvar: fra salg og tilbudsgivning via konstruktion, indkøb, produktion eller levering af ydelsen, kontrol og lager til den person, der godkender frigivelsen af produktet.

For hver overdragelse skal organisationen fastlægge nødvendige input, acceptkriterier, procesejer, registrering af udførelsen og fremgangsmåden ved ufuldstændige data. Manglende procesejerskab eller manglende kriterier for input og output er en procesmangel, selv om der findes en overordnet procedure.

Det er afgørende at fastslå, om organisationens ansvar omfatter konstruktion og udvikling. Hvis det er tilfældet, skal der allerede før kontraktindgåelsen være fastlagt en metode til styring af input, reviews, verifikation, validering, ændringer og konfiguration. Det gælder også, når den tekniske løsning udvikles ved at tilpasse et eksisterende produkt eller præcisere kundens dokumentation. Konstruktion og udvikling kan kun udelukkes, hvis den faktiske ansvarsfordeling begrunder det – ikke fordi det er dokumentationsmæssigt bekvemt.

Samtidig bør kontraktens kvalitetsplan fastlægge leverancens faser, acceptkriterier, kontrol- og godkendelsespunkter, krævede registreringer, ansvar, håndtering af afvigelser og betingelser for frigivelse af leverancen. Planen kan henvise til eksisterende dokumenter, men indholdet skal være tilpasset den konkrete kontrakt.

Beredskabet skal afprøves gennem et scenarie for produktflowet og ikke kun ved at vurdere procedurerne. Kravet skal kunne følges fra udbudsmaterialet gennem materialeindkøb, udførelse, kontrol og lager frem til den registrering, der ligger til grund for frigivelsen. Under denne gennemgang skal organisationen bekræfte status for det måleudstyr, der er nødvendigt i det forventede omfang, styringen af kundeleveret materiale, produktidentifikationen og en entydig kontrolstatus.

En typisk mangel opstår, når sporbarheden fungerer ved produktionsstedet, men brydes ved ompakning, batchopdeling eller overførsel til ekstern bearbejdning. Efter returneringen kan produktet være teknisk korrekt, men organisationen kan ikke dokumentere sammenhængen med materialet, produktionsordren, kontrolresultaterne eller den godkendte konfiguration.

Kravene i AQAP 2110 skal derfor vurderes ud fra processernes evne til at skabe pålidelig dokumentation – ikke ud fra antallet af godkendte dokumenter. Resultatet af en prøvevis gennemgang bør afdække processer uden definerede input, output, kriterier eller ansvar samt måleudstyr, der ikke er tilgængeligt eller klargjort til brug. De mekanismer, der er afgørende for forpligtelsens gennemførlighed, skal fungere før tilbudsafgivelsen. Detaljerede løsninger kan først iværksættes efter kontraktunderskrivelsen, hvis implementeringen er planlagt, har en ansvarlig ejer og ikke bringer leveringstiden eller leverancens overensstemmelse i fare.

Leverandørerne skal være underlagt samme styring

Outsourcing af dele af arbejdet overfører ikke ansvaret for leverancens overensstemmelse til underleverandøren. Allerede under tilbudsforberedelsen skal organisationen fastlægge, hvilke tekniske, kvalitetsmæssige, dokumentationsmæssige og godkendelsesrelaterede krav der skal videreføres i indkøbsordrerne. Det bør omfatte relevant teknisk dokumentation, acceptkriterier, krævede certifikater og registreringer, regler for meddelelse om ændringer og afvigelser samt kontrol- eller godkendelsespunkter. Et relevant mål for beredskabet er antallet af kontraktkrav, som endnu ikke er overført til indkøbsbetingelserne.

Klassificeringen af leverandører bør baseres på deres indvirkning på kontraktens overensstemmelse, konfiguration og leveringstid – ikke alene på indkøbsværdien. En mindre virksomhed, der udfører en særlig proces, et laboratorium, som leverer et resultat nødvendigt for produktfrigivelsen, eller producenten af en enkelt komponent med lang leveringstid kan være kritisk. Før en sådan leverandør indgår i tilbuddet, skal dens ressourcer, kompetencer, proceskapacitet og faktiske leveringstider bekræftes. Organisationen skal også kende eventuelle kapacitetsbegrænsninger, nødvendige godkendelsespunkter og mulighederne for at benytte en alternativ kilde.

Vurderingen før kontraktindgåelse må ikke slutte med et spørgeskema og en overensstemmelseserklæring. Den skal omfatte sporbarhed, ændringsstyring, håndtering af afvigende produkter og evnen til at stille den dokumentation til rådighed, som organisationen, kunden eller relevante tilsynsfunktioner kræver. Et typisk eksempel er en leverandør, der erklærer, at produktet fremstilles i henhold til tegningen, men ikke kan opretholde sammenhængen mellem indgangsmateriale, procesparametre, kontrolresultater og den batch, der sendes til kunden. Produktet kan opfylde dimensionskravene, men den manglende kontinuitet i registreringerne gør det umuligt at dokumentere overensstemmelsen pålideligt.

Før tilbuddet afgives, bør organisationen udarbejde en liste over kritiske leverandører med grundlaget for deres kvalificering og beslutte, hvilke der skal verificeres på stedet. En audit er især relevant, når leverandøren udfører en proces, der er afgørende for produktets egenskaber, er eneste leverandørkilde, eller når leverandørens registreringer bliver grundlaget for godkendelsen. Metoden til denne verifikation uddybes i Leverandøraudit før kontraktunderskrivelsen – sådan reduceres kvalitets- og leveringsrisikoen.

Hvis leverandøren afviser at udlevere procesregistreringer, skal der aftales en sikker metode til indsigt, eller organisationen skal indhente anden objektiv dokumentation. Manglende mulighed for at bekræfte leveranceevnen er en tilbudsrisiko – ikke en mangel, der bør udskydes til efter kontraktunderskrivelsen. Denne tilgang til leverandørstyring er i tråd med AQAP 2110 – kvalitātes nodrošināšanas sistēma militārajiem piegādātājiem.

Objektiv dokumentation frem for erklæringer

Beredskabet til at gennemføre kontrakten dokumenteres med objektiv auditdokumentation – ikke med antallet af godkendte procedurer. Hvert bevis bør vise den udførte aktivitet og resultatet, den ansvarlige person, datoen og sammenhængen med et konkret krav, produkt, batch eller en ændring. En tom formular viser alene, at der er afsat plads til en registrering, mens en procedure beskriver den planlagte fremgangsmåde. Ingen af delene dokumenterer i sig selv, at processen fungerer effektivt.

Den grundlæggende dokumentationspakke for kontraktberedskabet bør omfatte:

• resultaterne af kravgennemgangen;
• ansvarsmatricen;
• kontraktrisikovurderingen;
• kortlægning af leveranceflowet;
• kriterier for kontrol og frigivelse;
• resultater fra leverandørkvalificeringen;
• registreringer vedrørende kompetencestyring;
• dokumentation fra en prøvegennemførelse.

Placeringen af registreringerne, adgangsrettighederne, reglerne for godkendelse og opbevaringsperioderne skal fastlægges i overensstemmelse med kravene i udbuddet, den kommende kontrakt og de relevante regler. En intern indikator for fuldstændighed kan være andelen af krav, hvor der ved en konkret gennemgang kan fremvises tilgængelig dokumentation for opfyldelsen.

Den mest retvisende afprøvning er en prøvekontrakt eller simulering af en repræsentativ ordre. Teamet bør føre et udvalgt produkt eller en batch hele vejen fra kundekravet gennem planlægning, indkøb og udførelse til kontrolregistreringen, beslutningen om frigivelse og arkiveringen. En simulering erstatter ikke registreringer fra en faktisk kontrakt, hvis kunden kræver dokumentation fra den reelle gennemførelse. Før kontrakten underskrives, kan simuleringen imidlertid bruges til at vurdere proceskapaciteten og sporbarhedens kontinuitet. Det er relevant at måle antallet af brud i sporbarhedskæden og den tid, der kræves for at genskabe et komplet sæt registreringer for en bestemt batch eller ordre.

Hvis det under prøven ikke er muligt at koble materialecertifikatet til batchen, kontrolresultatet til den korrekte dokumentversion eller frigivelsesbeslutningen til en bemyndiget person, har ledelsen fået konkret information om en reel mangel. Den korrigerende handling skal fjerne årsagen til det brudte styringsforløb – eksempelvis tvetydig mærkning, manglende ansvarsplacering eller forkerte adgangsrettigheder til registreringerne – og ikke blot udfylde en manglende formular. En audit af kontraktberedskabet bør derfor bygges op omkring evidenskæden og ikke alene omkring dokumenternes tilstedeværelse.

Denne tilgang følger logikken i AQAP 2110 -vaatimukset – puolustussektorin toimittajien johtamisjärjestelmä: Kravene skal omsættes til styrede aktiviteter og resultater, der kan dokumenteres. Sammenhængende dokumentation er et fælles princip på tværs af forskellige overensstemmelsesområder. Som supplerende reference kan man anvende materialet om NIS2- og KSC-dokumentation før kontrol: hvilke politikker, registre og beviser er reelt nødvendige, hvor sammenhængen mellem krav, ansvar, handling og registrering ligeledes er central.

Beslutningspunktet før kontraktunderskrivelsen

Før kontrakten underskrives, bør der gennemføres en formel gennemgang af kontraktberedskabet med deltagelse af salgs-, kvalitets-, teknik-, indkøbs-, produktions- og økonomifunktionerne. Ingen af funktionerne dækker alene den samlede risiko. Kvalitetskrav kan påvirke teknologi, indkøb, tidsplan, omkostninger og muligheden for at dokumentere overensstemmelse. Gennemgangen skal resultere i en entydig beslutning: godkendt, betinget godkendt eller ikke godkendt, ledsaget af et register over accepterede risici og angivelse af den person, der har mandat til at acceptere dem.

En godkendelse forudsætter, at kritiske krav er afklaret, at ressourcer og kompetencer er tilgængelige i den planlagte leveranceperiode, at leverandørkilderne er kvalificeret, og at sporbarhedsmekanismerne er afprøvet. Det skal desuden være aftalt, hvilken dokumentation der oprettes, hvem der godkender den, hvor den registreres, og hvor længe den opbevares. Status for hver betingelse bør angives som lukket, betinget eller åben.

En betinget godkendelse er kun forsvarlig, når handlingen har en ansvarlig ejer, en frist, sikrede ressourcer og en fastlagt eskalationsvej, og når manglende lukning ikke underminerer erklæringen i udbuddet eller kontraktforpligtelsen. Manglen på en endelig rapportskabelon kan eksempelvis stå som en åben handling, hvis det krævede dataindhold, ansvaret og fristen for godkendelse allerede er fastlagt.

Manglende bekræftelse af en kritisk proces, utilgængelige nødvendige kompetencer eller en nøgleleverandør med udokumenteret kapacitet skal behandles anderledes. Sådanne mangler bør standse kontraktunderskrivelsen og føre til genforhandling af kvalitetskravene, ændring af tidsplanen eller sikring af yderligere ressourcer.

Den afsluttende tjekliste skal ikke skabe flere dokumenter, men afgøre, om organisationen ansvarligt kan påtage sig forpligtelsen. Kontraktrisikovurderingen bør afsluttes med én af fire beslutninger: Vi underskriver, genforhandler, styrker kapaciteten før underskrift eller trækker os. Først efter godkendelsen bør planen for kontraktgennemførelsen aktiveres. I relation til AQAP 2110 – Kokybės užtikrinimo sistema kariuomenės tiekėjams er det afgørende kriterium fortsat en dokumenteret evne til at opfylde kravene – ikke blot et komplet sæt procedurer.