NATO-yhteistyövalmiuden arviointi - SecMeter

Tämä kolmijako ehkäisee yhtä keskeistä arviointivirhettä, yleistä NATO-valmiutta ei pidä sekoittaa yksittäisen hankinnan tarjouskelpoisuuteen.

NCIA, NSPA ja kodifiointi näkyvät omina kokonaisuuksinaan

Sovelluksen rakenteessa NCIAan ja NSPA liittyvät asiat on erotettu niin, että käyttäjä pystyy hahmottamaan eri organisaatioiden roolit.

NCIA-yhteydessä arviointi voi kohdistua esimerkiksi toimittajamenettelyihin, hankintaprosessiin ja tarjouskohtaisesti mahdollisesti edellytettävään Declaration of Eligibility -menettelyyn. NSPA-puolella tarkastellaan puolestaan muun muassa toimittajarekisteröintiä, Source File -kokonaisuutta sekä NCAGE- ja NATO Codification System -kysymyksiä.

NCAGE-koodiakaan ei käsitellä sovelluksessa yleisenä NATO-toimittajastatuksena. Sen merkitys määritetään todellisen hankinta-, kodifiointi- ja viranomaiskontekstin perusteella. Tämä on tärkeää, koska erilaiset NATO-organisaatiot käyttävät erilaisia hankinta- ja toimittajamenettelyitä.

Turvallisuus, standardointi ja laadunvarmistus eivät ole automaattisia yleisvaatimuksia

NATO Security -aihekokonaisuudessa arvioidaan turvallisuuteen liittyviä edellytyksiä, mutta myös niiden soveltuvuus sidotaan todelliseen toimintaympäristöön. Esimerkiksi Facility Security Clearance- tai Personnel Security Clearance -tarve tulee olennaiseksi silloin, kun tehtävä, tarjous tai sopimus edellyttää pääsyä NATO-luokiteltuun tietoon, järjestelmään, materiaaliin tai tilaan.

Sama periaate koskee teknisiä standardeja ja laadunvarmistusta. STANAG-, NISP-, AQAP- ja GQA-vaatimuksia ei käsitellä automaattisesti kaikkia yrityksiä koskevina velvoitteina.

Vaatimusrekisteriin voidaan kirjata juuri kyseiseen hankintaan tai sopimukseen liittyvät standardit, Allied Publications -julkaisut, NISP-profiilit, AQAP-vaatimukset, kansalliset toimeenpanostandardit ja muut tekniset vaatimukset.

Yritysmoduulin laadunvarmistuskokonaisuus kattaa AQAP-vaatimusten soveltuvuuden, Government Quality Assurancen, laadunhallinnan, vaatimustenmukaisuuden ja hyväksyntänäytön sekä NATO-kodifiointiin liittyvän tuotetiedon ja konfiguraatiojäljitettävyyden.

Arviointi perustuu sekä suunnitteluun että toteutukseen

SecMeter ei tarkastele pelkästään sitä, onko yrityksellä politiikka tai suunnitelma olemassa. Suunnittelu ja käytännön toteutus arvioidaan erikseen asteikolla 0–4.

Näin voidaan tunnistaa esimerkiksi tilanne, jossa prosessi on hyvin dokumentoitu mutta sitä ei toteuteta käytännössä, tai päinvastoin toimintamalli toimii henkilöstön kokemuksen varassa ilman riittävää dokumentointia.

Arviointiin voidaan lisäksi kirjata käytetty aineisto ja otos, todennettava näyttö, havainto sekä johtopäätös. Tämä tekee arvioinnista pelkkää kyselylomaketta laajemman auditointi- ja kehittämisprosessin.

Vaatimusrekisteri yhdistää arvioinnin konkreettiseen hankintaan

Yritysmoduulin Compliance Matrix eli vaatimusrekisteri on keskeinen osa sovelluksen hankintakohtaista käyttöä. Siihen voidaan kirjata vaatimuksen tunnus, sisältö, lähde, soveltuvuus, toteutumisen tila, evidenssi, tunnistettu puute, vastuuhenkilö ja määräaika.

Tämän avulla yleinen readiness-arviointi voidaan yhdistää konkreettiseen tarjouspyyntöön, tekniseen asiakirjaan tai sopimukseen. Samalla yritys saa jäljitettävän näkymän siihen, mitkä vaatimukset on todennettu, mitkä ovat osittain täytettyjä ja missä on vielä puutteita.

Havainnoista päätöksiksi ja toimenpiteiksi

Arvioinnin tehtävä ei pääty pistemäärän laskemiseen. Puutteista voidaan muodostaa havaintoja, ja merkittävät tai kriittiset havainnot voidaan nostaa päätöksentekotasolle.

Päätöksissä voidaan määritellä esimerkiksi riskiraja, eskalointiperuste, päätöksentekijä ja seuraava päätöspiste. Toimenpiteille voidaan puolestaan määrittää vastuuhenkilö, määräaika ja toteutumisaste. Näin arvioinnista muodostuu yrityksen kehittämisen ja johtamisen väline eikä vain hetkellinen tilannekuva.

Raportointi eri käyttäjäryhmille

Yritysmoduulissa on kahdeksan erilaista tulostettavaa raporttia:

Kumppanimaamoduulissa raportteja on viisi:

Raporttien eriyttäminen on tärkeää myös tiedon minimoinnin kannalta. Johdon ei välttämättä tarvitse saada käyttöönsä koko yksityiskohtaista evidenssiaineistoa, eikä kaikkea arviointiin kirjattua tietoa ole tarkoituksenmukaista jakaa jokaiselle vastaanottajalle.

Erillinen kumppanimaamoduuli

SecMeter NATO Cooperation Readiness Assessment ei rajoitu yritysten toimittajavalmiuteen. Sovelluksessa on erillinen kumppanimaa- ja julkisen puolustustoimijan moduuli, jossa on neljä pääkokonaisuutta, 12 arviointiteemaa ja 48 kysymystä.

Arvioinnin pääkokonaisuuksia ovat demokraattinen valvonta, PARP/ITPP ja puolustussuunnittelu, suorituskyvyt ja resurssit sekä NATO-yhteentoimivuus.

Tämän moduulin erottaminen yritysarvioinnista on olennaista, koska valtion, julkisen puolustusorganisaation ja kaupallisen toimittajan NATO-yhteistyövalmiutta ei ole mielekästä arvioida samalla kysymyspankilla tai samalla pisteytysrakenteella.

Jatkuva arviointi ja tietojen hallinta

Arviointi voidaan tallentaa JSON-tiedostoksi ja avata myöhemmin uudelleen. Tallennukseen sisältyvät arvioinnit, henkilöt, vaatimukset, havainnot, päätökset, toimenpiteet, työajat ja raporttivalinnat. Tämä mahdollistaa arvioinnin jatkamisen vaiheittain sekä saman arviointiaineiston päivittämisen tilanteen kehittyessä.

Sovellus toimii paikallisesti selaimessa. Tämä ei kuitenkaan poista yrityksen vastuuta arviointiaineiston turvallisesta käsittelystä. Aineisto voi sisältää henkilötietoja, tarjoussalaisuuksia sekä turvallisuus- ja teknisiä tietoja. NATO-luokiteltua tai muuta erityisen suojattavaa tietoa ei tule käsitellä sovelluksessa ilman tarkoitukseen hyväksyttyä toimintaympäristöä.

Arvioinnin arvo syntyy jäljitettävyydestä

SecMeter NATO Cooperation Readiness Assessmentin keskeinen ajatus ei ole tuottaa yhtä NATO-valmiutta kuvaavaa prosenttilukua. Olennaisempaa on muodostaa jäljitettävä kokonaisuus siitä, mihin vaatimus perustuu, milloin sitä sovelletaan, kuka siitä vastaa, millä näytöllä toteutuminen osoitetaan ja mitä puutteelle tehdään.

Kun NATO-hankintakelpoisuus, NCIA, NSPA, turvallisuus, yhteentoimivuus, AQAP/GQA, kodifiointi, sopimusvaatimukset ja kansalliset viranomaisvaatimukset voidaan tarkastella sekä erillisinä että osana yrityksen kokonaisvalmiutta, monimutkaisesta toimintaympäristöstä muodostuu hallittavampi kokonaisuus.

Sovelluksen tarkoituksena ei siten ole korvata NATO-organisaatioiden, kansallisten viranomaisten tai hankintayksiköiden virallisia menettelyitä. Sen tehtävänä on auttaa yritystä valmistautumaan niihin järjestelmällisesti, tunnistamaan puutteensa ajoissa ja muodostamaan johdolle sekä asiantuntijoille yhteinen, todennettava kuva NATO-yhteistyövalmiuden nykytilasta ja kehittämistarpeista.