Les familles de normes qu'un fournisseur de défense doit respecter
La plupart des entreprises rencontrent ces normes de la même façon : un contrat, un appel d'offres ou la clause qualité d'un client en nomme une, et vous n'obtenez que ce nom. Cette page explique ce que ces noms recouvrent, comment les familles s'articulent et d'où viennent les documents. L'explorateur plus bas trouve ensuite celles qui correspondent à ce que vous fournissez.
Commencez par l'ISO 9001
Pour la plupart des fournisseurs, la première norme dont un client parle est l'ISO 9001, la norme internationale du système de management de la qualité. Elle est certifiable, elle est la même dans tous les secteurs, et presque toutes les exigences qualité de la défense s'appuient sur elle. Un système ISO 9001 certifié est le point de départ habituel, et un système qui la suit déjà a accompli l'essentiel du travail sur lequel les familles de la défense viennent s'ajouter. Voir ISO 9001 et les normes de système de management ISO.
EN 9100 et les AQAP : ce que la défense ajoute
L'EN 9100, publiée sous le nom d'AS9100 sur le continent américain, reprend l'intégralité de l'ISO 9001 et y ajoute ce qu'exigent l'aéronautique, le spatial et la défense. La couche propre à l'OTAN est la série AQAP, les Allied Quality Assurance Publications. L'AQAP 2110 fixe les exigences qualité pour la conception, le développement et la production et s'appuie sur l'ISO 9001. L'AQAP 2310 fait de même pour les fournisseurs de l'aéronautique, du spatial et de la défense et s'appuie sur l'EN 9100. L'AQAP 2131 couvre l'inspection et les essais finaux, l'AQAP 2210 ajoute le logiciel, et l'AQAP 2105 précise ce que doit contenir un plan qualité. L'AQAP applicable à un contrat est décidée par l'autorité d'acquisition, pas par le fournisseur. Voir AS9100 et EN 9100, la famille AQAP, AQAP 2110 et AQAP 2310.
STANAG : l'accord entre nations
Un STANAG est un NATO Standardization Agreement. Il acte que les nations membres conviennent d'appliquer une procédure commune, ou de construire selon une spécification commune, afin que leurs forces puissent opérer ensemble. Un STANAG est un document de couverture : il porte l'accord et son état de ratification, et il désigne la publication qui en contient le contenu technique. Le STANAG 4107, par exemple, est l'accord par lequel les nations reconnaissent mutuellement leur assurance qualité étatique et appliquent les AQAP. Les nations ratifient et mettent en œuvre les STANAG ; un fournisseur en respecte un parce qu'un contrat le cite, ou cite la publication qui s'y rattache. Environ 980 sont actifs aujourd'hui. En savoir plus sur le fonctionnement des STANAG.
Allied Publications : les normes elles-mêmes
Une Allied Publication, ou AP, est le document qui contient les exigences. Les lettres indiquent de quel type il s'agit : AQAP pour l'assurance qualité, AEP pour l'ingénierie, AOP pour les munitions, ATP pour les procédures tactiques, AMedP pour le médical, ANEP pour l'ingénierie navale, AECTP pour les essais d'environnement, ACMP pour la gestion de configuration et ACodP pour la codification. Un STANAG couvre en général une publication, parfois plusieurs, et quelques publications existent seules. Le catalogue en contient environ 1 200.
Les STANREC, et les normes civiles que l'OTAN adopte
Un STANREC est une NATO Standardization Recommendation : la forme non contraignante, recommandée comme bonne pratique et non soumise à ratification par les nations. Un acheteur peut néanmoins l'inscrire dans un contrat, et elle vous engage alors comme n'importe quelle autre clause. L'OTAN ne réécrit pas non plus ce que l'industrie possède déjà : certains STANAG adoptent directement une norme ISO, IEC, EN ou SAE, une soixantaine dans le catalogue, et un contrat peut alors citer l'un ou l'autre nom pour la même exigence.
Sécurité de l'information, dispositifs médicaux et risque
Trois exigences atteignent un fournisseur de défense depuis l'extérieur des familles OTAN et figurent pour cette raison dans l'explorateur ci-dessous. Une agence de l'OTAN ou un maître d'œuvre pose des questions sur la sécurité de l'information, ce qui renvoie à l'ISO/IEC 27001 et, pour un fournisseur du département de la Défense des États-Unis, au NIST SP 800-171 ; la page cybersécurité couvre ce domaine. Un fournisseur du médical se voit demander l'ISO 13485, le système qualité des dispositifs médicaux ; la page pharmaceutique et dispositifs médicaux la traite. Et l'AQAP 2110 comme l'ISO 9001 demandent une approche par les risques, ce qu'explique la page gestion des risques. Les autres systèmes de management ISO, l'ISO 14001 environnement, l'ISO 45001 santé et sécurité au travail et l'ISO 22301 continuité d'activité, vous parviennent aussi souvent par des clients civils que par la défense.
D'où viennent les documents
Le Bureau de normalisation de l'OTAN recense chaque norme active dans sa base publique, la NSDD, et sert le document lui-même pour celles qui ne sont pas classifiées, environ un tiers d'entre elles. Les autres passent par votre autorité nationale de normalisation. Les normes ISO s'achètent auprès de l'ISO ou de votre organisme national de normalisation. Chaque entrée de l'explorateur ci-dessous renvoie à sa source.
Qui décide de ce qui s'applique à vous
Ni cette page, ni nous. Le contrat et la clause qualité de votre client nomment les normes, et pour l'AQAP l'autorité d'acquisition décide du niveau. Ce que l'explorateur peut faire, c'est vous montrer la carte entière : cherchez par numéro ou par nom, parcourez par domaine, ou répondez à cinq questions sur ce que vous fournissez et voyez les domaines sur lesquels les fournisseurs comme vous sont couramment interrogés. Chaque entrée renvoie à sa source, à sa page ComplyTrain lorsqu'elle existe, et sinon à une demande. ComplyTrain tient une norme sous forme d'arbre d'exigences, avec les preuves associées à chaque exigence. Le certificat, c'est à vous de l'obtenir.