AQAP 2110 vs ISO 9001: повне порівняння стандартів і як інтегрувати їх в одну систему якості (2026)

AQAP 2110 vs ISO 9001 — це не вибір «або-або», а питання шарів. ISO 9001:2015 — це базовий міжнародний стандарт системи менеджменту якості, який працює в будь-якій галузі: від кав'ярні до автозаводу. AQAP 2110 — це надбудова НАТО над ISO 9001 спеціально для оборонної промисловості, яка додає defense-специфічні вимоги: управління конфігурацією, простежуваність партій, контроль контрагентів, доказову базу для замовницьких аудитів.

Головний висновок, який команда Ekontrol повторює на кожній першій консультації з оборонним виробником: AQAP 2110 не замінює ISO 9001 — він його доповнює. Усі вимоги ISO 9001:2015 входять в AQAP 2110 повністю, плюс defense-блоки зверху. Тому правильна постановка питання звучить не «який обрати», а «як побудувати одну систему, що закриває обидва стандарти». На практиці це економить 20-30% бюджету впровадження і 4-6 тижнів календарного часу.

Насправді 70-80% документів спільні: політика якості, контекст організації, цілі, ризик-менеджмент, внутрішні аудити, management review. Defense-додатки — це окремий шар модулів, який накладається на готову базу ISO 9001.

Перш ніж порівнювати, треба чітко зафіксувати, що ми порівнюємо. У двох сусідніх дзвінках із виробниками ОПК виявляється, що половина команди розуміє «ISO 9001» як «папірець для тендеру», а «AQAP 2110» — як «щось військове». Це коштує грошей на наступних етапах.

ISO 9001:2015 — міжнародний стандарт системи менеджменту якості, виданий ISO (International Organization for Standardization, Женева) у 2015 році. За даними ISO Survey, у світі видано понад 1,1 мільйона сертифікатів ISO 9001 у 178 країнах. Стандарт добровільний, але de facto обов'язковий для серйозних B2B-контрактів і державних тендерів практично в будь-якій галузі. Структура — 10 розділів за моделлю Annex SL (HLS, High Level Structure), яку ISO використовує для всіх своїх management system standards. Деталі і логіка впровадження — у нашому повному посібнику з ISO 9001.

AQAP 2110 Edition D Version 1 — публікація NATO Standardization Office (NSO, Брюссель), чинна з 2016 року без змін станом на 2026. AQAP розшифровується як Allied Quality Assurance Publication. На відміну від ISO 9001, AQAP 2110 не є самостійним стандартом — це defense-надбудова, яка інкорпорує всі вимоги ISO 9001:2015 і додає 8 блоків специфічних вимог для оборонних контрактів НАТО. Видається в межах STANAG 4107 — угоди про взаємне визнання урядових перевірок якості між країнами Альянсу. Глибше — у повному посібнику з AQAP 2110.

Ключова різниця у природі стандартів: ISO 9001 — добровільний загальний інструмент управління якістю, AQAP 2110 — контрактна вимога defense-сектору. ISO 9001 ви впроваджуєте, бо вирішили вийти на якісно вищий рівень управління і отримати ринкову перевагу. AQAP 2110 ви впроваджуєте, бо без нього вас не пустять на тендер NSPA, контракт Bundeswehr чи серійний контракт ДОТ. Це впливає на пріоритети, бюджет і темп проєкту.

Розглянемо вісім блоків, де AQAP 2110 виходить за межі базового ISO 9001. Це не повний перелік (їх більше дрібних), але саме ці вісім стають предметом найгостріших розмов з аудитором і найболючіших невідповідностей у компаніях, які недооцінили defense-специфіку.

1. Область застосування. ISO 9001 — universal, працює для виробника шоколадних цукерок і для розробника медичних приладів однаково. AQAP 2110 — defense-only: стандарт прямо передбачає контекст оборонного контракту, регуляторні обмеження (ITAR/EAR), співпрацю з державним замовником-військовим. У цивільному бізнесі AQAP 2110 безглуздий, у defense-секторі ISO 9001 — недостатній.

2. Управління конфігурацією. Це найкритичніша і найчастіше недооцінена різниця. ISO 9001:2015 управління конфігурацією явно не вимагає — слово «configuration» зустрічається в стандарті лише побіжно. AQAP 2110 вимагає повного циклу Configuration Management за моделлю ACMP-2100 (NATO Configuration Management Policy): ідентифікація конфігурації, контроль змін, статус-облік, аудит конфігурації. Кожна заміна мікросхеми, кожна зміна прошивки — формально реєструється і схвалюється замовником. Це окрема дисципліна, яку треба будувати з нуля, якщо у вас її не було.

3. Простежуваність продукції. ISO 9001 у пункті 8.5.2 говорить «коли простежуваність є вимогою — організація її забезпечує». Тобто це опційно, залежно від контексту. AQAP 2110 робить простежуваність обов'язковою для defense-продукції: серійні номери, lot tracking, інтеграція з постачальниками, можливість пройти ланцюжком в обидва боки — від сировини до бортового номера і навпаки. Для виробників амуніції чи компонентів БпЛА це означає реальну ERP- або PLM-систему, а не записи в Excel.

4. Контроль контрагентів. ISO 9001 говорить «оцінювати постачальників за визначеними критеріями» — без деталей. AQAP 2110 деталізує: критерії мають враховувати defense-специфіку, постачальник критичних компонентів має сам мати достатній рівень контролю якості, оцінка переоформлюється з певною регулярністю, є чіткий механізм disqualification. На практиці це означає ширший aудит постачальників і часто — каскадування вимог AQAP донизу по supply chain.

5. Доказова база і документація. ISO 9001 говорить «організація повинна підтримувати документовану інформацію» — мінімально. AQAP 2110 додає шар evidence для державного замовника: записи мають бути готові до інспекції GQAR (Government Quality Assurance Representative), архівні строки довші, контроль версій жорсткіший, audit trail обов'язковий. На цивільному ISO 9001-аудиті аудитор приймає «у нас є процес», на AQAP-аудиті — «покажіть записи за останні 12 місяців».

6. Замовницькі перевірки. ISO 9001 не передбачає інспекцій замовника як частини системи. AQAP 2110 прямо розрахований на регулярні customer audits — від MoD, GQAR, головних підрядників. Тому система від самого старту проєктується так, щоб витримувати інспекцію стороннього інспектора: чіткі точки контролю, готові пакети документів, призначені owner'и кожного процесу. Деталі — у нашому матеріалі про замовницький аудит МО.

7. Орган сертифікації. ISO 9001 видає будь-який акредитований орган (CB) у рамках IAF MLA — для України це органи з акредитацією НААУ або іноземні CB. AQAP 2110 потребує органу, акредитація якого визнається NATO MoD. Не кожен український CB має таке визнання; для defense-контрактів краще працювати з Bureau Veritas, TÜV NORD, DNV, BSI або SGS — їхні сертифікати приймає NSPA та національні MoD без додаткових питань.

8. Тривалість сертифіката і контрактна жорсткість. Формально схожі — обидва видаються на 3 роки з щорічним наглядовим аудитом. Але контрактна вимога робить AQAP жорсткішим на практиці: невідповідність на наглядовому аудиті може призвести до призупинення поставок за конкретним контрактом, а не лише до закриття NCR у наступному циклі. ISO 9001 «втратити» — це втратити папірець; AQAP 2110 «втратити» — це втратити контракт.

Коротко все це — у таблиці нижче.

Тепер хороші новини. ISO 9001 і AQAP 2110 побудовані на одній архітектурі, і це робить інтеграцію реалістичною, а не подвійною роботою.

Обидва стандарти використовують структуру Annex SL (High Level Structure) — 10 розділів, які ISO застосовує до всіх своїх management systems: контекст організації, лідерство, планування, підтримка, операційна діяльність, оцінка результативності, поліпшення. Це означає, що карта процесів, реєстр стейкхолдерів, реєстр ризиків, політика якості, цілі — мають єдиний формат і єдиний набір документів для обох стандартів.

Обидва стандарти стоять на 7 принципах менеджменту якості ISO 9000: фокус на клієнті, лідерство, залучення персоналу, процесний підхід, поліпшення, прийняття рішень на основі фактів, управління взаємовідносинами. Жоден з них в AQAP 2110 не замінений і не модифікований — defense-надбудова працює на тих же принципах.

Обидва вимагають процесного підходу і risk-based thinking. Управління ризиками в AQAP 2110 жорсткіше (через специфіку оборонних контрактів і penalty clauses), але інструменти ті ж: реєстр ризиків, оцінка ймовірності та впливу, плани зменшення. Не треба двох окремих систем ризик-менеджменту — одна, з додатковими defense-категоріями ризиків.

Обидва вимагають внутрішнього аудиту, management review, коригувальних дій (CAPA). Програма внутрішніх аудитів покриває обидва стандарти; management review дивиться на дані одночасно для ISO 9001 і AQAP 2110; CAPA-процес уніфікований, з додатковим контуром для defense-невідповідностей.

Насправді коли консультанти Ekontrol роблять gap analysis перед впровадженням AQAP 2110 у компанії з ISO 9001:2015, у середньому 70-80% документів виявляються готовими або потребують косметичних правок (додати defense-контекст у політику, додати GQAR у реєстр стейкхолдерів, додати оборонні контракти у реєстр ризиків). Реальна нова робота — це defense-блоки з пункту 8 нашої таблиці: конфігурація, простежуваність, доказова база.

Це фундамент, на якому будується інтеграція.

Базова стратегія інтеграції проста: одна система менеджменту, два рівні документації. Перший рівень — універсальні документи, які закривають обидва стандарти одночасно. Другий рівень — defense-специфічні модулі, які накладаються поверх універсальної бази.

Універсальні документи (один комплект на обидва стандарти): політика якості з defense-контекстом, контекст організації з GQAR у реєстрі стейкхолдерів, цілі якості з KPI оборонних контрактів, реєстр ризиків з блоком defense-ризиків, карта процесів, керівництво з якості, реєстр документованої інформації, процедури управління документами і записами, програма внутрішніх аудитів, протоколи management review, CAPA-процедура.

Defense-додаткові модулі: процедура управління конфігурацією (CM) за ACMP-2100, процедура простежуваності з прив'язкою до серійних номерів і lot tracking, процедура взаємодії з GQAR і MoD-замовником, чек-листи готовності до замовницького аудиту, процедура обробки defense-невідповідностей з обов'язковим повідомленням замовника, специфічні форми, передбачені AQAP 2110.

Принциповий момент організації — одна команда якості, не дві. У великих компаніях іноді намагаються розділити: «ось наша QA-команда для цивільних контрактів, ось наша defense-QA-команда». Це коштує грошей і породжує колізії в документах. Правильна модель — єдина команда якості, де частина людей має додаткову defense-компетентність (внутрішні аудитори AQAP 2110, CM-менеджер), але система — одна. Це варто закладати на етапі дизайну системи, який зазвичай виконується в межах впровадження системи менеджменту.

Перед стартом проєкту впровадження обов'язково — діагностичний аудит. 3-5 робочих днів, повний чек-ліст за ISO 9001:2015 і AQAP 2110 Edition D, фіксація розривів, реалістичний бюджет і таймлайн. Без цього кроку планування інтеграції йде наосліп, і потім доводиться переробляти на середині проєкту.

Guidance-документ IAQG 9137 (Guidance for the Application of AQAP 2110 within a 9100 QMS) — найкорисніший практичний матеріал з інтеграції. Хоча він написаний для AS 9100 (9100 QMS), 90% методології застосовна і для ISO 9001. Команді якості варто прочитати IAQG 9137 до початку проєкту впровадження.

Окремі сертифікації ISO 9001 і AQAP 2110 — це два проєкти впровадження, два аудитори, два сертифікаційних візити, два графіки щорічної підтримки. Спільна сертифікація в форматі combined audit — це один проєкт, один аудитор (з подвійною компетентністю), один візит, єдиний наглядовий цикл. Цифри економії в середньому такі:

• Бюджет впровадження скорочується на 20-30%. Економія йде на спільних документах, спільному навчанні внутрішніх аудиторів, спільному дизайні системи. Реальні цифри для типового виробника БпЛА на 50-100 людей: окремі ISO 9001 + AQAP 2110 виходять умовно в X євро, інтегрована — в 0,7-0,8X. Деталі калькуляції — у нашому матеріалі про вартість сертифікації AQAP 2110.
• Календарний час скорочується на 4-6 тижнів. Stage 1 і Stage 2 проводяться одночасно для обох стандартів, без розриву в 2-3 місяці між циклами.
• Час команди якості скорочується приблизно на третину. Замість дублювання — спільне планування, спільні внутрішні аудити, спільне management review.
• Щорічна підтримка оптимізується аналогічно. Наглядовий аудит — один візит замість двох; внутрішні аудити — одна програма; management review — один документ за рік.

Ще один економічний бонус — більшість серйозних органів сертифікації (Bureau Veritas, TÜV NORD, DNV, BSI, SGS) свідомо стимулюють combined audit ціновою політикою. У ціннику комбінований аудит дешевший за арифметичну суму двох окремих. Ekontrol як партнер Bureau Veritas в Україні рекомендує клієнтам combined audit з першого дня — це найекономніша і найшвидша стратегія для виробника, який точно знає, що йому потрібні обидва сертифікати.

Коли combined audit не працює: якщо ви хочете отримати ISO 9001 негайно (наприклад, для прозорого тендеру через 2 місяці), а AQAP 2110 — через рік, тоді треба робити послідовно. Але якщо горизонт обох сертифікатів — 6-12 місяців, спільна сертифікація вигідніша.

Тут жорстко залежить від стартової точки і таймлайну. Виділимо три типові сценарії, які покривають 80% реальних кейсів українських оборонних виробників.

Сценарій А. Виробник без жодного сертифіката, новий defense-проєкт, горизонт 12+ місяців. Логіка така: спочатку ISO 9001 (3-5 місяців впровадження), потім AQAP 2110 надбудовою (3-4 місяці поверх). Чому не одразу AQAP 2110? Бо команда не має досвіду роботи в систематизованій системі якості, і паралельне впровадження базового і надбудованого стандарту перевантажує людей. На середньому проєкті це закінчується відмовою на Stage 2 і необхідністю переробки. Розкладена послідовність дозволяє накопичити операційну зрілість на ISO 9001 і потім спокійно додати defense-блоки.

Сценарій Б. У вас уже є ISO 9001:2015, потрібен AQAP 2110. Це найкомфортніша стартова позиція. Команда вміє жити в системі, документація працює, внутрішні аудити йдуть. Залишається додати defense-надбудови: управління конфігурацією, розширена простежуваність, доказова база для GQAR, процедури взаємодії з замовником, чек-листи замовницьких аудитів. Тривалість — 4-6 місяців до Stage 2 AQAP 2110. Інтеграція в існуючу систему без подвійної роботи.

Сценарій В. Швидкий вихід на оборонний контракт, потрібні обидва одночасно. Якщо у вас немає жодного сертифіката, але є зрозумілий контракт або тендер у горизонті 8-12 місяців, який вимагає обох сертифікатів — спільна сертифікація AQAP 2110 + ISO 9001 у форматі combined audit. Тривалість — 8-12 місяців до отримання обох сертифікатів. Це більш напружений темп, ніж послідовна стратегія, але дозволяє вийти на тендер вчасно і заощадити 20-30% бюджету. Підходить компаніям з сильною командою якості або з консультаційним супроводом.

Окремо про drone-стартапи. Якщо ви виросли з Brave1, маєте перші серійні поставки і дивитесь на горизонт експорту до країн НАТО — рекомендована послідовність детально розписана у нашому матеріалі про сертифікацію виробника дронів. Коротко: 6-8 місяців ISO 9001 (без зайвої складності), далі 4-6 місяців AQAP 2110 надбудовою, паралельно — підготовка до замовницьких аудитів МО. Загальний горизонт — 12-18 місяців, що збігається з реальним темпом зростання drone-компанії від pilot-серій до серійних контрактів. Більше про специфіку сектору — у пілларі оборонна промисловість.

Обмеженням практично завжди стає управління конфігурацією і простежуваність — defense-блоки, що потребують 60-90 днів операційного циклу до Stage 1. Це фізична константа, яку не вийде стиснути красивими графіками — закладайте її в план з першого дня.