Når pengene kommer fra Europa, følger regelboken med
Et fornybar energi-anlegg i Nord-Afrika eller Midtøsten. Rundt hundre og femti megawatt. Prosjektsponsoren er en EU-basert uavhengig kraftprodusent. Långiverne er et syndikat av europeiske banker. Den vellykkede utstyrsbudgiveren er en produsent med solid merittliste på tvers av Asia og Belt and Road-regionen, som byr aggressivt på kapitalkostnad, tilbyr en integrert tjenestepakke, trygg på forslaget sitt.
Det første tekniske møtet går bra inntil samtalen snur seg mot cybersikkerhet.
Budgiverens ingeniørteam er godt forberedt på det de alltid har blitt spurt om — redundans, tilgjengelighet, gjennomsnittlig tid mellom feil, arkitekturen i tilstandsovervåkingssystemet deres. De er mindre forberedt når prosjektsponsorens arkitekt spør om deres sårbarhetsrapporteringsprogram, den offentlige listen over sikkerhetsråd for produktene deres, sertifikatet fra en uavhengig revisor som attesterer utviklingsprosessen deres mot en internasjonal standard som de fleste i rommet bare kjenner ved nummeret.
Spørsmålene er ukjente. De forventede svarene mangler. Budgiveren forlater møtet med en liste over ting å undersøke, litt ut av balanse, lurer på hvorfor et prosjekt som ligger fysisk i Afrika, finansiert for en kunde basert i Europa, drevet i et ikke-europeisk reguleringsrom, akkurat har blitt målt mot regler skrevet i Brussel.
Her er det korte svaret på det spørsmålet.
Pengene er europeiske. Låntakeren er europeisk. Låntakerens revisorer, forsikringsselskaper, regulatorer og aksjonærer er europeiske. Hver av disse partene har egne forpliktelser, skrevet inn i reglene i jurisdiksjonene der de bor. Disse forpliktelsene vandrer nedover kjeden — fra regulatoren til banken, fra banken til låntakeren, fra låntakeren til leverandøren — som kontraktuelle krav, selv når selve prosjektet ligger i et land disse regulatorene ikke har direkte rekkevidde inn i.
Reglene i Den europeiske union, om cybersikkerhet, om databeskyttelse, om åpenhet i leverandørkjeden, om sikker utvikling av produkter med digitale elementer, har de siste årene blitt en sammenhengende stakk. De gjelder direkte for produsenter som plasserer produkter på det europeiske markedet. De gjelder, indirekte men fast, for enhver som leverer inn i et prosjekt hvis eierskap, finansiering eller drift passerer gjennom europeiske hender.
Denne serien er for disse leverandørene.
Det som følger er en sytten-delers gjennomgang av hva en produsent som byr inn i et EU-koblet fornybar energi-prosjekt bør forvente å finne på bordet. Ikke det vi håper de skal gjøre. Ikke det som ville være ideelt. Det som allerede, i dag, er en normal betingelse for å drive forretning når finansieringskjeden strekker seg tilbake til Europa.
Noe av det vil være ukjent. Arkitekturen for fjerntilgang inn i anlegget. Behandlingen av kommunikasjonsnettverket som tilhørende operatøren, ikke leverandøren. Grensen ved transformatorstasjonen. Cellulærmodemet på kontrollerkortet. Den offentlige sikkerhetsråd-siden. Stykklisten over firmwaren. Kryptografisk baseline. Identitets- og tilgangsmodellen. Patch-leveringskontrakten. De grenseoverskridende dataflytene. Sanksjonsavsløringen. Mismatchen mellom en fem-års servicekontrakt og en tjuefem-års støtteforpliktelse.
Hver av disse vil få sin egen artikkel. Hver vil forklare hva forventningen er, hvorfor forventningen eksisterer, og hva en produsent kan gjøre for å møte den. Det første stykket etter dette er en femten-minutters gjennomgang av selve den regulatoriske stakken — navnene på lovene, hva hver krever, og hvordan hver lander som en klausul i en långivers vilkårsark. Det siste stykket er en innkjøpstidslinje-matrise som viser hvor hver samtale hører hjemme, fra forespørselen om informasjon til midt-livs gjennomgang.
Serien er skrevet i overbevisningen om at de fleste ikke-europeiske leverandørene mister konkurransegrunn i EU-koblede prosjekter ikke fordi produktene deres er dårligere, men fordi ingen har satt seg ned med dem og fortalt hva de blir målt mot. Listen er lang, men ikke vanskelig. Arbeidet er ekte, men ikke uoverkommelig. Fordelen på kapitalkostnad som en ikke-europeisk produsent bringer inn i et nordafrikansk eller midtøstlig bud er, i de fleste tilfeller, mer enn nok til å absorbere kostnaden ved å møte disse kravene — men bare hvis kravene er forstått før budet lander snarere enn etter.
Den billigste måten å gjøre dette arbeidet på er på forslagsstadiet. Den dyreste måten er etter valg av foretrukket budgiver, når gapene dukker opp under långivers due diligence og prosjektprogrammet allerede er forpliktet. Det meste av det som følger er, i praksis, en guide til å gjøre arbeidet i den billige enden av kurven.
Den neste artikkelen i serien legger ut den juridiske substansen. De seksten artiklene etter det oversetter det til de ingeniørmessige, kommersielle og operasjonelle beslutningene en produsent vil måtte ta.
Dette er åpnings-ankeret for en atten-delers serie om EU-beredskap for ikke-europeiske leverandører. Hvis en bestemt innkjøpssamtale har overrumplet teamet ditt og du ønsker den dekket i serien, er LinkedIn veien å foreslå den på.