Preguntas que un operador escucha antes de la primera conversación.

Un COO fraccional es un líder operativo integrado que dirige sus operaciones a tiempo parcial, no un asesor que le entrega un informe y se marcha.

Me siento con sus colaboradores directos, respondo por los resultados frente a sus cifras y me quedo hasta que el sistema se sostiene por sí solo. Un consultor recomienda. Un operador dirige.

No empieza, a fecha de julio de 2026.

El 13 de julio de 2026 el Departamento de Defensa de los Estados Unidos (DoD) suspendió la Fase II de la CMMC (el nivel de madurez en ciberseguridad exigido por la defensa estadounidense), el paso de certificación obligatoria por un tercero previsto en un principio para el 10 de noviembre de 2026, y constituyó un grupo de trabajo para reformar el programa. No se ha anunciado ninguna fecha sustitutiva. Lo que sigue plenamente vigente es la Fase I, que arrancó el 10 de noviembre de 2025: una autoevaluación de Nivel 2 cada tres años frente a los 110 requisitos de la NIST SP 800-171 Rev 2, con una declaración anual de cumplimiento en el SPRS (el sistema estadounidense de puntuación del riesgo de proveedores). El Departamento fue explícito: la suspensión no elimina la obligación de proteger la información conforme a la cláusula 252.204-7012 del DFARS (el suplemento a la reglamentación federal estadounidense sobre adquisiciones de defensa). El certificado está en pausa. La obligación no.

No.

La cláusula 252.204-7012 del DFARS le sigue obligando a salvaguardar la información de defensa cubierta y a notificar los incidentes, y el Departamento lo dijo de forma explícita al anunciar la suspensión el 13 de julio de 2026. La autoevaluación de la Fase I y la declaración anual siguen vigentes, y su contratista principal no puede adjudicarle trabajo cubierto sin una evaluación actualizada y registrada. Una declaración falsa expone a la empresa a la False Claims Act (la ley estadounidense contra el fraude a la Administración) hoy, y no en alguna fecha futura. El grupo de trabajo de la reforma busca rebajar las barreras para las empresas pequeñas, medianas y no tradicionales, y sustituir el cumplimiento burocrático por medidas de ciberseguridad escalables y resilientes. Menos papeleo de escaparate, más seguridad que funciona. El taller que ha integrado los 110 controles en el flujo de trabajo diario está preparado para lo que devuelva la revisión. El que compraba un certificado a contrarreloj se queda con una carpeta.

La mayoría de los pequeños fabricantes de defensa gastan entre 100.000 y 200.000 dólares para alcanzar el Nivel 2, según CMMC.com.

Las estimaciones de evaluación publicadas por el DoD sitúan una autoevaluación de Nivel 2 entre 37.000 y 49.000 dólares, y una evaluación de Nivel 2 por un C3PAO (el evaluador externo acreditado que la certifica) entre 105.000 y 118.000 dólares, antes de la remediación. Con la Fase 2 suspendida a fecha de julio de 2026, la autoevaluación es la vía vigente y la evaluación por un tercero está en pausa. En cualquier caso el dinero va a los mismos 110 controles, así que yo los integro en su flujo de trabajo y ese gasto compra un sistema que funciona en lugar de una carpeta.

La Fábrica Oculta es el retrabajo no documentado, el conocimiento tribal y la resolución de problemas fuera de los registros que su ERP (sistema de planificación de recursos empresariales) nunca anota.

El pionero de la calidad Armand Feigenbaum estimó que esta pérdida puede alcanzar el 40 por ciento del esfuerzo total de la empresa. El Triaje operativo de 30 días existe para encontrarla y reconvertirla en capacidad y caja.

Cada colaboración se ajusta a la restricción concreta, así que una tarifa pondría precio a lo que no toca.

El Triaje de 30 días es a precio fijo frente a un entregable definido, el trabajo de COO fraccional es una cuota fija periódica y una consulta estratégica es una sesión remunerada y acotada en el tiempo. Acordamos el alcance y la cifra en la conversación estratégica, antes de que empiece ningún trabajo.

Trabajo directamente con el ITAR (el control estadounidense de las exportaciones de material de defensa), el DFARS, la CMMC 2.0, la AS9100 (la norma de gestión de calidad aeroespacial) y el tratamiento de la CUI (información no clasificada controlada), como parte del sistema de operaciones y no como una línea de trabajo aparte.

Cuando un socio de IT especializado en CMMC es la herramienta adecuada para un control concreto, incorporo a uno y lo dirijo como una entrada más del sistema que yo diseño. La capa de operaciones sigue siendo mía.

Una consulta estratégica remunerada está disponible ya, sin esperar a una plaza completa.

Las colaboraciones completas se abren a medida que una colaboración en curso alcanza la Fase 3, porque llevo un máximo de cuatro a la vez. Si su detonante es urgente, nómbrelo cuando solicite la conversación y le respondo en menos de 48 horas con un plazo realista.

La mayoría de los talleres liderados por la ingeniería saben hacer el trabajo pero no ven la restricción, porque las personas más cercanas a ella están dentro de ella.

Yo aporto una lectura propia de un operador externo sobre su flujo de valor, además de la soltura en el cumplimiento normativo de defensa que la mayoría de los equipos internos aún no han tenido que desarrollar. El Triaje de 30 días está pensado precisamente para un equipo que es capaz pero está estrangulado en sus operaciones.

El Supplier Performance Risk System (SPRS) contiene su puntuación autoevaluada según la NIST SP 800-171 (la norma estadounidense de controles para proteger la CUI).

Su contratista principal no puede verla, le hayan dicho lo que le hayan dicho. Conforme a la cláusula 252.204-7020(f) del DFARS, la puntuación es visible para el personal del DoD y para usted, y ahí acaba la lista. La palanca que su contratista principal sí tiene es más dura: conforme a la 252.204-7020(g)(2), no puede adjudicarle un subcontrato sujeto a la NIST SP 800-171 si usted no ha completado al menos una evaluación Basic en los últimos tres años. No una puntuación más baja, sino ninguna adjudicación. Una puntuación incorrecta o desactualizada es además un riesgo de declaración falsa, y la Iniciativa Civil contra el Ciberfraude del DOJ (el Departamento de Justicia de los Estados Unidos) persigue exactamente eso al amparo de la False Claims Act. Con la CMMC Fase 2 suspendida a fecha de julio de 2026, esa autoevaluación y su declaración anual son el mecanismo que realmente se está aplicando. Dejar la puntuación correcta, y poder defenderla, forma parte del pilar Nivel soberano.

Sí, es un tipo de colaboración activo.

Ahora mismo estoy poniendo en marcha operaciones estadounidenses de fabricación de defensa para la filial de una matriz canadiense. El trabajo abarca el modelo operativo, la construcción del entorno IT y OT, y la postura de FOCI (propiedad, control o influencia extranjeros) y de cumplimiento que usted necesita para optar a negocio de defensa estadounidense dentro del hito que busca superar.

Una habilitación de seguridad de establecimiento es lo que una empresa necesita para acceder a información clasificada, y la mitigación de la propiedad, el control o la influencia extranjeros (FOCI) es lo que una empresa de propiedad extranjera negocia con la Defense Counterintelligence and Security Agency (DCSA, la agencia estadounidense de contrainteligencia y seguridad de la defensa) para conservar esa habilitación pese a su matriz extranjera.

La mayor parte de la fabricación subcontratada de defensa es trabajo no clasificado, sujeto a la CUI y al control ITAR, que no necesita en absoluto una habilitación de establecimiento. Saber qué clase de trabajo persigue decide si la mitigación FOCI y una habilitación están siquiera dentro del alcance. Yo construyo y dirijo la operación no clasificada; la habilitación y el instrumento FOCI quedan en manos de su asesoría jurídica especializada en establecimientos habilitados y de la DCSA.

Un país cualificado según el DFARS es una nación con un acuerdo recíproco sobre contratación de defensa suscrito con el Department of Defense, que permite que sus productos finales y componentes eludan las restricciones de compra nacional estadounidense (Buy American).

Los nueve países a los que presto servicio son países cualificados. Es una preferencia en la contratación pública y nada más: no exime del ITAR, no exime de la CMMC y no resuelve la cuestión FOCI. Una matriz de un país cualificado construye igualmente toda la postura de cumplimiento, y esa construcción es todo el trabajo.

Normalmente no sin una frontera.

Si su operación estadounidense contiene datos técnicos controlados, esos datos permanecen dentro de una frontera de datos reservada a las US-persons (personal con estatus estadounidense en el sentido del derecho de exportación), así que un ERP compartido que dé a la matriz extranjera acceso abierto a la CUI o a datos técnicos controlados por el ITAR es un problema. Yo construyo la entidad estadounidense y la frontera de datos para que la operación estadounidense conserve los datos controlados con pleno cumplimiento, y las transferencias a la matriz se realizan bajo autorización de la DDTC (la dirección estadounidense de control del comercio de defensa), o no se realizan en absoluto. A veces eso significa una instancia segregada, a veces un sistema aparte, y la decisión de arquitectura forma parte de la construcción.

El trabajo operativo presencial se concentra en Nueva Inglaterra, donde la base industrial de defensa y las relaciones con contratistas principales que mejor conozco son densas, y es una sólida zona de aterrizaje para un fabricante aliado que entra en el mercado estadounidense.

El trabajo de diagnóstico y estratégico se presta a escala nacional. Si su planta estadounidense va a estar en otro sitio, definimos al inicio la combinación de presencial y remoto.

Soy el socio de operaciones.

Pongo en marcha y dirijo la operación estadounidense conforme: el taller, el modelo operativo, la construcción del entorno IT y OT, la frontera de datos reservada a las US-persons y las pruebas de preparación para el hito que busca superar. La constitución de la entidad, el registro ITAR y DDTC, la mitigación FOCI y las cuestiones de CFIUS (el comité estadounidense de control de inversiones extranjeras) quedan en manos de su asesoría jurídica de empresa y de control de exportaciones. Me coordino con ellos y asumo el resultado operativo.

Significa que su cartera de pedidos crece mientras su fondo de maniobra se estrecha, porque el inventario de aprovisionamiento a largo plazo y el retrabajo atrapan la caja entre la venta y el cobro.

AlixPartners constató que el ciclo de conversión de caja del sector aeroespacial y de defensa se alargó en 21 días entre 2018 y 2022. La Ingeniería de márgenes ataca ese ciclo directamente y recupera días de conversión de caja que usted puede reasignar.

Ambas cosas, y la combinación depende del trabajo.

El trabajo de taller, los recorridos Gemba, los eventos Kaizen y los primeros 90 días de una colaboración fraccional me necesitan presencialmente en Nueva Inglaterra. El análisis, los informes y la cadencia de régimen estable se hacen en remoto. Tengo mi base en Brookline (New Hampshire) y presto servicio presencial en el área metropolitana de Boston y el sur de New Hampshire.

Standard Work 2.0 (mi método propietario de estandarización de las operaciones) es un método con cuatro pilares con nombre y una secuencia de entrega definida.

La Convergencia de IT y OT, la Ingeniería de márgenes, el Human-in-the-Loop y el Nivel soberano son, cada uno, un conjunto de operaciones, entregadas a través del Marco de Formulación de Estrategia de 90 días compuesto por Diagnóstico, Estabilización y Escala Comercial. Los nombres con gancho están para que el trabajo sea memorable, no para que suene impresionante.