AQAP vs ISO 9001 – keskeiset erot ja vaatimukset

Moni organisaatio tunnistaa ISO 9001-standardin yleisenä laatujohtamisen viitekehyksenä. Prosessit kuvataan, riskiperusteinen ajattelu tuodaan johtamiseen, asiakasvaatimukset varmistetaan ja jatkuva parantaminen kuuluu toimintaan.

AQAP on NATO:n julkaisema laatuvarmistusstandardien sarja, jota sovelletaan erityisesti puolustus- ja turvallisuushankinnoissa. Se ei ole vain yleinen laatujärjestelmästandardi, vaan sopimusperusteinen varmistumalli, joka liitetään hankintasopimuksiin.

AQAP-julkaisut (Allied Quality Assurance Publications) rakentuvat ISO 9001 rungon päälle, mutta vievät vaatimustason pidemmälle sopimusohjauksen sekä viranomais-/tilaajavalvonnan mahdollistamisen ja todentamisen osalta.

AQAP-2110 ja ISO 9001 keskeiset erot

AQAP-2110 (Edition D, Version 1, June 2016) määrittelee rakenteellisesti kaksi kerrosta:

1. ISO 9001 vaatimusten soveltuvuuden (“General QMS Requirements”)
2. NATO-spesifit lisävaatimukset (“NATO Specific QMS Requirements”)

AQAP ei siis ole vain “hieman tiukempi ISO”, vaan sopimusperustainen varmistusmalli jossa organisaation pitää pystyä näyttämään (dokumentein, tallentein, suunnitelmin ja auditointikelpoisella jäljitettävyydellä), että lopputuote täyttää puolustushankinnan vaatimukset – ja että tilaaja tai valtuutettu edustaja (GQAR / Government Quality Assurance Representative) voi suorittaa laadunvarmistustoimintaa toimitusketjussa.

ISO 9001 antaa paljon vapautta siihen miten asiat voidaan tehdään ja räätälöidä, kunhan vaatimukset täyttyvät. AQAP:ssa taas korostuu näytön osoittaminen – miten ja millä todisteilla. Alla selitetty tärkeimmät selvitykset/osoitukset, joissa AQAP tyypillisesti vaatii asioita laajemmin ja yksityiskohtaisemmin kuin ISO 9001.

Pääsy, läpinäkyvyys ja tuki viranomais-/tilaajavalvonnalle

AQAP-2110 edellyttää, että toimittaja päästää asiakkaan ja viranomaiset tarkastamaan toimintaansa — niin omissa tiloissaan kuin alihankkijoidensa luona. Käytännössä tämä tarkoittaa tarkastusoikeutta, pääsyä tietoihin ja dokumentteihin sekä riittäviä resursseja valvonnan toteuttamiseen. Vaatimukset ovat selvästi konkreettisempia kuin ISO 9001:n yleisluonteiset asiakas- ja auditointivelvoitteet.

Arjessa on pystyttävä osoittamaan jokaisen tilauksen kohdalla, miten laatu on varmistettu: tarkastus- ja testitulokset, mittalaitteiden kalibroinnit, materiaalitodistukset, poikkeamien käsittely ja alihankkijoiden vastaavat dokumentit. Tiedot on löydyttävä nopeasti, niiden on oltava ajan tasalla ja jokaisen osan historian on oltava jäljitettävissä.

Laatusuunnitelma sopimus- ja projektitasolla

AQAP nostaa laatusuunnitelman keskiöön. Se ei ole vain ”kiva liite”, vaan käytännössä projektin tai tuotteen toteutuksen ohjaava dokumentti: kuka tekee mitä, millä menettelyillä, millä resursseilla, milloin ja millä hyväksyntäpisteillä. AQAP-2110:ssa tämä on nimenomainen NATO-lisävaatimus ja sisällytetty prosessien ohjauksen alle.

ISO 9001:ssä voit selvitä yleisillä prosessikuvauksilla ja laadunhallintajärjestelmän tasoisella suunnittelulla. AQAP:ssa tilaaja odottaa usein sopimuskohtaista suunnitelmaa, ja se voi linkittyä erilliseen AQAP-ohjeistukseen kuten AQAP 2105 -tyyppiseen laatusuunnitelmasisältöön. Puolustushankinnoissa tätä vaaditaan usein AQAP-2110:n rinnalle.

Konfiguraationhallinta (CM) ja konfiguraationhallintasuunnitelma (CMP)

AQAP-2110 asettaa erilliset vaatimukset konfiguraationhallinnalle ja sen suunnitelmalle. ISO 9001 käsittelee aihetta yleisemmin muutosten hallinnan ja dokumentoidun tiedon kautta, eikä edellytä yhtä tarkkaa ”tuotteen identiteetin” hallintaa.

Käytännössä konfiguraationhallinta tarkoittaa sitä, että tiedetään tarkalleen mikä on tuotteen hyväksytty rakenne/versio (piirustukset, ohjelmistot ja menetelmät) sekä miten muutokset hyväksytään. Lisäksi tiedetään miten varmistetaan että valmistus ja tarkastus tehdään aina voimassa olevaa versiota vasten ja miten konfiguraatiopoikkeamat ja -luovutukset hallitaan.

Tämä on usein yksi tärkeimmistä AQAP-vaatimuksista pk-toimittajille.

Muodollisempi ja läpileikkaavampi riskienhallinta

ISO 9001 toi mukaan riskiperusteisen ajattelun, mutta jätti toteuksen pitkälti organisaatiolle. AQAP-2110 nostaa riskienhallinnan omaksi NATO-spesifiseksi vaatimuskohdaksi.

Puolustushankinnoissa riskienhallinnalta usein odotetaan, että toimitusketjun riskit tunnistetaan (alihankkijat, materiaalien saatavuus, erikoisprosessit), niitä arvioidaan suhteessa tuotteen vaatimustenmukaisuuteen, ja että niille on määritelty hallintatoimet, seurantamittarit ja päätöskriteerit.

Todentaminen ja tuotteen vaatimustenmukaisuuden näyttö

AQAP painottaa todisteita tuotteen vaatimustenmukaisuudesta ja niiden saatavuutta. Dokumentaatio ei ole vain laadunhallinnan sisäinen asia, vaan sopimusvelvoitteen täyttymisen näyttöä. AQAP-2110 edellyttää, että tarvittava dokumentaatio on saatavilla tuotteen vaatimustenmukaisuuden varmistamiseksi ja että organisaatio tukee valvontaa.

Puolustusteollisuudessa korostuvat erityisesti:

• Tarkastus- ja testaussuunnitelmat (ITP)
• Mittausten jäljitettävyys ja mittalaitteiden kalibroinnit
• Materiaalitodistukset ja eräseuranta
• Erikoisprosessien pätevöinnit (esim. hitsaus, NDT ja lämpökäsittely)
• Tuotteen luovutus tapahtuu aina selkeillä, ennalta sovituilla hyväksymiskriteereillä

Alihankintaketjun hallinta

ISO 9001 edellyttää ulkoisten toimittajien ohjausta, mutta AQAP-ympäristössä korostuvat vaatimusten välittäminen alihankkijoille ja heidän toimintansa todentaminen. Tämä näkyy myös Suomessa, jossa esim. Puolustusvoimien hankinnoissa AQAP-vaatimukset ulottuvat koko toimitusketjuun.

Käytännössä toimittaja ei voi siirtää vastuuta alihankkijalleen. Hänen on pystyttävä osoittamaan, että myös alihankkija täyttää vaatimukset — esimerkiksi auditointien, kelpuutusten, todistusaineistojen ja poikkeamien käsittelyn kautta.

Poikkeamat, myönnytykset

AQAP-2110 noudattaa selkeää logiikkaa: tietyt poikkeamiin liittyvät päätökset voivat edellyttää tilaajan tai viranomaisen (GQAR) hyväksyntää. Tämä koskee esimerkiksi tilanteita, joissa virheellinen tuote päätetään korjata, tehdä uudelleen tai hyväksyä sellaisenaan. Tilaaja ja viranomainen voivat myös hylätä toimittajan esittämän ratkaisun.

ISO 9001:ssä poikkeamien käsittely on enemmän organisaation oma sisäinen prosessi. AQAP:ssa se on sen sijaan sopimuksellinen päätöksentekopolku, jossa tilaajalla on viimeinen sana.

Mitä organisaation kannattaa tehdä käytännössä?

Mihin organisaation tulee perehtyä ja ottaa huomioon täyttääkseen tilaajan sopimukseen liittämät AQAP-vaatimukset? AQAP ei yleensä ole irrallinen “status”, vaan tilaajan sopimukseen liittämä vaatimus, joka todennetaan sertifioinnilla ja/tai asiakas- tai viranomaisvalvonnalla. Käytännössä moni organisaatio etenee seuraavasti:

1. Vakiinnuta perusta: ISO 9001 ja erikoisprosessit kuntoon

• Rakenna ja mielellään sertifioi ISO 9001 -laadunhallintajärjestelmä.
• Varmista, että mahdolliset erikoisprosessit ovat hallinnassa (esim. pätevöinnit, materiaalitodistukset, jäljitettävyys, mittalaitteiden hallinta, testaukset ja alihankintakumppanit).

2. Rakenna AQAP-lisäykset: laatusuunnitelma, riskienhallinta ja konfiguraationhallinta (CM)

• Laadi sopimuskohtaisen laatusuunnitelman mallipohjat (mitä tarkastetaan, milloin, kuka hyväksyy ja mitä tallenteita syntyy).
• Ota käyttöön systemaattinen riskirekisteri koko toimitusketjussa ja liitä riskitoimet tarkastus- ja testaussuunnitelmaan (ITP).
• Toteuta kevyt mutta toimiva konfiguraationhallinta: piirustus-/revisionhallinta, muutospyyntömenettely, varmistus siitä että tuotanto perustuu aina hyväksyttyyn tietoon ja tarvittaessa erillinen konfiguraationhallintasuunnitelma (CMP).

3. Nosta todistusaineiston tasoa (Evidence Pack)

• Rakenna “luovutuskansio”-ajattelu: materiaalit, valmistusvaiheet, tarkastukset, poikkeamat, hyväksynnät ja lopullinen luovutus dokumentoidaan yhtenäiseksi kokonaisuudeksi.
• Varmista, että vaatimukset on viety alihankkijoille ja että heidän dokumentaationsa tulee toimituksen mukana.

4. Valmistaudu asiakas- ja GQA-auditointeihin (Government Quality Assurance)

• Huolehdi prosesseusta niin, että ulkopuolinen tarkastaja saa nopeasti pääsyn tarvittaviin dokumentteihin, tallenteisiin, laitteisiin ja henkilöstöön.

5. Hanki tarvittaessa AQAP-sertifiointi (tyypillisin AQAP-2110)

• Valitse sertifiointikumppani, jolla on kokemusta AQAP-vaatimuksista. Suomessa AQAP-sertifiointeja tarjoavat mm. suuret sertifiointitalot.
• Tee esiauditointi tai gap-analyysi ja korjaa havaitut puutteet.
• Tyypillisesti kehityskohteet liittyvät laatusuunnitelmien käytännön toteutukseen, konfiguraationhallinnan näyttöön ja alihankintaketjun hallintaan.

Yhteenveto

Organisaatio täyttää AQAP-vaatimukset käytännössä parhaiten rakentamalla ISO 9001 -järjestelmän päälle sopimuskohtaisen laatusuunnittelun, konfiguraationhallinnan ja auditointikelpoisen todistusaineiston (ml. alihankintaketju) sekä sertifioimalla toiminnan AQAP-2110-vaatimusten mukaiseksi, kun asiakastarve/sopimus sitä edellyttää.