Les questions qu'un opérateur entend avant le premier entretien.

Un COO à temps partagé (directeur des opérations à temps partagé) est un dirigeant opérationnel intégré qui pilote vos opérations à temps partiel, pas un conseiller qui vous remet un rapport et s'en va.

Je m'assois avec vos collaborateurs directs, j'assume les résultats au regard de vos chiffres, et je reste jusqu'à ce que le système tienne de lui-même. Un consultant recommande. Un opérateur pilote.

En juillet 2026, elle ne commence pas.

Le 13 juillet 2026, le DoD (département de la Défense des États-Unis) a suspendu la Phase 2 de la CMMC (le niveau de cybermaturité exigé par la défense américaine), c'est-à-dire l'étape de certification obligatoire par un C3PAO (l'organisme d'évaluation tiers certifié), initialement fixée au 10 novembre 2026, et a constitué un groupe de travail chargé de réformer le dispositif. Aucune date de remplacement n'a été annoncée. Ce qui reste fermement en place, c'est la Phase 1, entrée en application le 10 novembre 2025 : une auto-évaluation de niveau 2 tous les trois ans sur les 110 exigences du NIST SP 800-171 Rev 2, assortie d'une attestation annuelle déposée dans le SPRS. Le ministère a été explicite : la suspension ne supprime pas l'obligation de protéger les informations au titre de la clause DFARS 252.204-7012. Le certificat est suspendu. L'obligation, non.

Non.

La clause DFARS 252.204-7012 continue de vous imposer de protéger les informations de défense couvertes et de déclarer les incidents, et le DoD l'a dit explicitement en annonçant la suspension, le 13 juillet 2026. L'auto-évaluation de la Phase 1 et l'attestation annuelle restent en vigueur, votre donneur d'ordres ne peut pas vous attribuer de travaux couverts sans une évaluation à jour déposée dans le SPRS, et une fausse attestation vous expose au False Claims Act (la loi fédérale sur les fausses déclarations) dès aujourd'hui, pas à une date future. Le groupe de travail sur la réforme vise à abaisser les barrières pour les petites et moyennes entreprises et les acteurs non traditionnels, et à remplacer la conformité bureaucratique par des mesures de cybersécurité résilientes et capables de passer à l'échelle. Moins de théâtre de la conformité, plus de sécurité qui fonctionne. L'atelier qui a intégré les 110 contrôles à son flux de travail quotidien est prêt, quoi que produise la revue. Celui qui achetait un certificat en vue d'une échéance tient un classeur.

La plupart des petits fabricants de défense dépensent environ 100 000 à 200 000 dollars pour atteindre le niveau 2, selon CMMC.com.

Les estimations d'évaluation publiées par le DoD situent une auto-évaluation de niveau 2 entre 37 000 et 49 000 dollars et une évaluation de niveau 2 par un C3PAO entre 105 000 et 118 000 dollars, avant remédiation. La Phase 2 étant suspendue depuis juillet 2026, l'auto-évaluation est la voie active et l'évaluation par un tiers est en pause. Dans les deux cas, l'argent finance les mêmes 110 contrôles. J'intègre ces contrôles dans votre flux de travail afin que cette dépense achète un système qui fonctionne, pas un classeur.

L'usine cachée (la Hidden Factory) est l'ensemble des reprises non documentées, du savoir tribal et de la résolution de problèmes officieuse que votre ERP (le progiciel de gestion intégré) n'enregistre jamais.

Le pionnier de la qualité Armand Feigenbaum estimait que cette perte peut atteindre 40 pour cent de l'effort total de l'entreprise. Le Triage opérationnel de 30 jours existe pour la trouver et la reconvertir en capacité et en trésorerie.

Chaque mission est calibrée sur la contrainte précise, une grille tarifaire facturerait donc le mauvais objet.

Le Triage de 30 jours est à prix fixe face à un livrable défini, la mission de COO à temps partagé est un forfait récurrent, et une consultation stratégique est une session payante à durée limitée. Nous convenons du périmètre et du montant lors de l'entretien stratégique, avant que le moindre travail ne commence.

Je travaille directement dans l'ITAR (le contrôle américain des exportations d'armement), le DFARS (supplément à la réglementation fédérale américaine sur les acquisitions de défense), la CMMC 2.0, l'AS9100 (la norme de management de la qualité pour l'aéronautique et la défense) et le traitement des CUI (informations non classifiées contrôlées), comme partie intégrante du système opérationnel plutôt que comme un chantier distinct.

Lorsqu'un partenaire IT spécialisé CMMC est le bon outil pour un contrôle précis, je le fais intervenir et je le pilote comme une entrée parmi d'autres dans le système que j'architecture. La couche opérations reste la mienne.

Une consultation stratégique payante est disponible dès maintenant, sans attendre un créneau complet.

Les missions complètes s'ouvrent lorsqu'une mission en cours atteint la Phase 3, car j'en mène un maximum de quatre à la fois. Si votre déclencheur est soumis à une échéance critique, précisez-le au moment de demander l'entretien et je réponds sous 48 heures avec une fenêtre réaliste.

La plupart des ateliers portés par l'ingénierie savent faire le travail mais ne voient pas la contrainte, parce que ceux qui en sont les plus proches sont dedans.

J'apporte la lecture de votre chaîne de valeur par un opérateur extérieur, plus la maîtrise de la conformité de défense que la plupart des équipes internes n'ont pas encore eu à bâtir. Le Triage de 30 jours est conçu précisément pour une équipe compétente mais engorgée sur le plan opérationnel.

Le Supplier Performance Risk System (SPRS, le système fédéral d'évaluation du risque fournisseur) contient votre score NIST SP 800-171 (le référentiel fédéral de protection des informations non classifiées contrôlées) auto-évalué.

Votre donneur d'ordres ne peut pas le consulter, quoi que l'on vous ait dit. Au titre du DFARS 252.204-7020(f), le score est accessible au personnel du DoD et à vous-même. La liste s'arrête là. Le levier dont votre donneur d'ordres dispose réellement est plus brutal : au titre du 252.204-7020(g)(2), il ne peut pas vous attribuer un contrat de sous-traitance soumis au NIST SP 800-171 si vous n'avez pas réalisé au moins une évaluation Basic au cours des trois dernières années. Non pas un score plus faible : aucune attribution. Un score erroné ou périmé constitue par ailleurs un risque de fausse attestation, et l'initiative civile de lutte contre la cyberfraude du DOJ (le ministère de la Justice des États-Unis) poursuit précisément cela au titre du False Claims Act (la loi fédérale sur les fausses déclarations). La Phase 2 de la CMMC étant suspendue depuis juillet 2026, cette auto-évaluation et son attestation annuelle sont le mécanisme réellement appliqué. Établir le score correctement, et pouvoir le défendre, fait partie du pilier Niveau souverain.

Oui, c'est un type de mission actif.

Je mets actuellement en place des opérations américaines de fabrication de défense pour la filiale d'une maison mère canadienne. Le travail couvre le modèle opérationnel, la construction de l'environnement IT et OT, et la posture FOCI (propriété, contrôle ou influence étrangers) et de conformité dont vous avez besoin pour être éligible aux marchés de défense américains dans le jalon que vous cherchez à franchir.

Une facility clearance (habilitation de sécurité d'établissement) est ce dont une entreprise a besoin pour accéder à des informations classifiées, et l'atténuation FOCI (propriété, contrôle ou influence étrangers) est ce qu'une entreprise sous contrôle étranger négocie avec la DCSA (l'agence américaine de contre-espionnage et de sécurité de la défense) pour détenir cette habilitation malgré sa maison mère étrangère.

L'essentiel de la fabrication de défense en sous-traitance porte sur des travaux non classifiés, relevant des CUI et sous contrôle ITAR, qui n'exigent jamais de facility clearance. Savoir quelle classe de travaux vous visez détermine si l'atténuation FOCI et une habilitation entrent seulement en jeu. Je construis et je pilote l'opération non classifiée ; l'habilitation et l'instrument FOCI restent du ressort de votre conseil juridique spécialisé dans les établissements habilités et de la DCSA.

Un pays qualifié au sens du DFARS est une nation liée au Department of Defense par un accord réciproque sur les marchés de défense, ce qui permet à ses produits finis et à ses composants de contourner les restrictions Buy-American.

Les neuf pays que je sers sont tous des pays qualifiés. C'est une préférence dans les marchés publics, rien de plus : cela ne lève pas l'ITAR, cela ne lève pas la CMMC, et cela ne règle pas la question FOCI. Une maison mère d'un pays qualifié bâtit tout de même la posture de conformité complète, et cette construction est tout le travail.

En général pas sans frontière.

Si votre opération américaine détient des données techniques contrôlées, ces données restent à l'intérieur d'une frontière de données réservée aux US-persons (personnel de statut américain au sens du droit d'exportation), de sorte qu'un ERP partagé qui donnerait à la maison mère étrangère un accès libre aux CUI ou aux données techniques sous contrôle ITAR pose problème. Je construis l'entité américaine et la frontière de données afin que l'opération américaine détienne les données contrôlées en toute conformité, et les transferts vers la maison mère se font sous autorisation de la DDTC (direction américaine du contrôle du commerce de défense), ou pas du tout. Parfois cela signifie une instance ségréguée, parfois un système distinct, et cette décision d'architecture fait partie de la mise en place.

Le travail opérationnel sur site est concentré en Nouvelle-Angleterre, où la base industrielle et technologique de défense et les relations avec les donneurs d'ordres que je connais le mieux sont denses, et c'est une solide zone d'atterrissage pour un fabricant allié qui entre sur le marché américain.

Le travail de diagnostic et de conseil se mène à l'échelle nationale. Si votre site américain s'implante ailleurs, nous définissons dès le départ le dosage entre le présentiel et le distanciel.

Je suis le partenaire des opérations.

Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour le jalon que vous cherchez à franchir. La constitution de l'entité, l'enregistrement ITAR et DDTC, l'atténuation FOCI et les questions CFIUS (le contrôle fédéral des investissements étrangers aux États-Unis) restent du ressort de votre conseil juridique d'entreprise et de votre conseil en contrôle des exportations. Je me coordonne avec eux et j'assume le résultat opérationnel.

Cela signifie que votre carnet de commandes grossit tandis que votre fonds de roulement se resserre, parce que les stocks à long délai d'approvisionnement et les reprises immobilisent la trésorerie entre la vente et l'encaissement.

AlixPartners a constaté que le cycle de conversion de trésorerie de l'aérospatiale et de la défense s'est allongé de 21 jours entre 2018 et 2022. L'Ingénierie de la marge cible directement ce cycle, en récupérant des jours de conversion de trésorerie que vous pouvez redéployer.

Les deux, et le dosage dépend du travail.

Le travail d'atelier, les tournées Gemba, les événements Kaizen et les 90 premiers jours d'une mission en temps partagé exigent ma présence sur site en Nouvelle-Angleterre. L'analyse, le reporting et la cadence de régime établi se font à distance. Je suis basé à Brookline, NH, et je sers le Grand Boston et le sud du New Hampshire sur site.

C'est une méthode dotée de quatre piliers nommés et d'une séquence de livraison définie.

La Convergence IT / OT, l'Ingénierie de la marge, L'humain dans la boucle et le Niveau souverain sont chacun un ensemble d'opérations, livrés via le cadre de formulation stratégique en 90 jours : Diagnostic, Stabilisation et Passage à l'échelle commerciale. Les intitulés nommés sont là pour rendre le travail mémorable, pas pour l'habiller.