Domande su COO frazionale e ingresso nel mercato statunitense, con risposta prima del primo colloquio.

Un COO frazionale è un leader operativo integrato che gestisce le Sue operazioni a tempo parziale, non un consulente che Le consegna un rapporto e se ne va.

Siedo con i Suoi diretti collaboratori, rispondo dei risultati rispetto ai Suoi numeri, e resto finché il sistema non tiene da solo.

Allo stato attuale, luglio 2026, non inizia.

Il 13 luglio 2026 il DoD (Dipartimento della Difesa degli Stati Uniti) ha sospeso la Fase II della CMMC (il livello di maturità in cybersicurezza richiesto dalla difesa statunitense), ovvero la certificazione obbligatoria di Livello 2 rilasciata da un C3PAO (l'organismo di valutazione accreditato da terze parti), inizialmente fissata al 10 novembre 2026, e ha istituito una task force per la riforma del programma. Non è stata annunciata alcuna data sostitutiva. La Fase I, avviata il 10 novembre 2025, resta in vigore: un'autovalutazione di Livello 2 ogni tre anni sui 110 requisiti del NIST SP 800-171 Rev 2, con attestazione annuale nel sistema SPRS. Il Dipartimento ha dichiarato che la sospensione non elimina l'obbligo di proteggere le informazioni ai sensi della clausola DFARS 252.204-7012.

No.

Il DFARS 252.204-7012 continua a obbligarLa a salvaguardare le covered defense information (le informazioni di difesa soggette alla clausola) e a segnalare gli incidenti, come il Dipartimento della Difesa ha detto nell'annunciare la sospensione il 13 luglio 2026. L'autovalutazione della Fase I e l'attestazione annuale restano in vigore, senza una valutazione aggiornata e registrata il Suo contraente principale non può aggiudicarLe commesse coperte, e una falsa attestazione La espone al False Claims Act già oggi. La task force di riforma punta ad abbassare le barriere per le imprese piccole, medie e non tradizionali e a sostituire la conformità burocratica con misure di cybersicurezza scalabili e resilienti. L'officina che ha integrato i 110 controlli nel flusso di lavoro quotidiano è pronta per qualunque cosa produca la revisione.

La maggior parte dei piccoli produttori della difesa spende all'incirca da 100.000 a 200.000 dollari per raggiungere il Livello 2, secondo CMMC.com.

Le stime pubblicate dal DoD collocano un'autovalutazione di Livello 2 tra 37.000 e 49.000 dollari e una valutazione C3PAO di Livello 2 tra 105.000 e 118.000 dollari, prima degli interventi correttivi. Con la Fase 2 sospesa a luglio 2026, l'autovalutazione è il percorso attivo. In entrambi i casi il denaro finisce negli stessi 110 controlli; integrati nel Suo flusso di lavoro, quella spesa compra un sistema funzionante invece di un raccoglitore.

La Hidden Factory (la fabbrica nascosta) è l'insieme delle rilavorazioni non documentate, della conoscenza tacita e della risoluzione dei problemi fuori registro che il Suo ERP (il sistema gestionale aziendale) non registra mai.

Il pioniere della qualità Armand Feigenbaum ha stimato che questa perdita può raggiungere il 40 per cento dello sforzo totale dell'azienda. Il Triage operativo di 30 giorni la trova e la riconverte in capacità e cassa.

Ogni incarico è calibrato sul vincolo, quindi un listino prezzi quoterebbe la cosa sbagliata.

Il Triage di 30 giorni è a prezzo fisso rispetto a un risultato definito, il lavoro da COO frazionale è a retainer, e una consulenza strategica è una sessione a pagamento e circoscritta nel tempo. Concordiamo l'ambito e il numero nel colloquio strategico, prima che inizi il lavoro.

Lavoro direttamente su ITAR (la normativa statunitense sul controllo delle esportazioni di materiale d'armamento), DFARS (il supplemento alla normativa federale statunitense sugli appalti della difesa), CMMC 2.0, AS9100 (lo standard di qualità per l'aerospazio e la difesa) e gestione dei CUI (informazioni controllate non classificate), come parte del sistema operativo anziché come un flusso di lavoro separato.

Quando un partner IT specializzato in CMMC è lo strumento giusto per un controllo, ne coinvolgo uno come input nel sistema che progetto. Lo strato operativo resta mio.

Una consulenza strategica a pagamento è disponibile ora, senza attendere che si liberi un posto per un incarico completo.

Gli incarichi completi si aprono man mano che un incarico in corso raggiunge la Fase 3, perché ne gestisco un massimo di quattro alla volta. Se il Suo fattore scatenante è critico sul piano dei tempi, lo indichi e rispondo entro 48 ore con una finestra realistica.

La maggior parte delle officine guidate dall'ingegneria sa fare il lavoro ma non riesce a vedere il vincolo, perché chi gli è più vicino ci è dentro.

Porto la lettura del Suo flusso del valore da parte di un operatore esterno, più la padronanza della conformità della difesa che la maggior parte dei team interni non ha ancora sviluppato. Il Triage di 30 giorni è costruito per un team capace ma operativamente ingolfato.

Il Supplier Performance Risk System (SPRS, il sistema statunitense di valutazione del rischio dei fornitori) contiene il Suo punteggio autovalutato secondo il NIST SP 800-171 (lo standard statunitense per la protezione delle informazioni controllate non classificate).

Il Suo contraente principale non può vederlo: ai sensi del DFARS 252.204-7020(f) il punteggio è visibile al personale del DoD e a Lei. La leva in mano al Suo contraente principale è più dura. Ai sensi del 252.204-7020(g)(2) non può aggiudicarLe un subappalto soggetto al NIST SP 800-171 se non ha completato almeno una valutazione di base negli ultimi tre anni. Una valutazione non aggiornata non Le costa punti. La esclude dall'aggiudicazione. Un punteggio errato o non aggiornato è anche un rischio di falsa attestazione, e la Civil Cyber-Fraud Initiative del DOJ (il Dipartimento di Giustizia statunitense) lo persegue ai sensi del False Claims Act (la legge federale statunitense sulle false dichiarazioni). Con la CMMC Fase 2 sospesa a luglio 2026, quell'autovalutazione e la sua attestazione annuale sono il meccanismo applicato. Un punteggio corretto e difendibile fa parte del pilastro Sovereign Tier.

Sì.

Sto avviando ora le operazioni statunitensi di produzione per la difesa per la filiale di una casa madre canadese. Il lavoro copre il modello operativo, la costruzione dell'ambiente IT e OT, e la postura di conformità di cui ha bisogno per qualificarsi per le commesse di difesa statunitensi.

Una facility clearance (il nulla osta di sicurezza dell'impianto) consente a un'azienda di accedere a informazioni classificate.

La mitigazione della proprietà, del controllo o dell'influenza stranieri (FOCI) è ciò che un'azienda a controllo estero negozia con la Defense Counterintelligence and Security Agency (DCSA, l'agenzia statunitense per il controspionaggio e la sicurezza della difesa) per mantenere quel nulla osta nonostante la casa madre. La maggior parte della produzione in subfornitura per la difesa è lavoro non classificato, con CUI e soggetto a controllo ITAR, che non necessita di una facility clearance, quindi la Sua classe di lavoro determina se la mitigazione FOCI e un nulla osta rientrino nell'ambito. Costruisco e gestisco l'operazione non classificata; il nulla osta e lo strumento FOCI restano di competenza del Suo consulente legale specializzato in impianti abilitati e della DCSA.

Un paese qualificato ai sensi del DFARS è una nazione con un accordo reciproco sugli appalti della difesa con il Dipartimento della Difesa, che consente ai suoi prodotti finiti e componenti di aggirare le restrizioni Buy-American.

Tutti e nove i paesi che servo sono qualificati. È una preferenza negli appalti: non esonera né dall'ITAR né dalla CMMC, e non risolve la questione FOCI.

Di solito non senza un confine.

I dati tecnici controllati restano all'interno di un confine dei dati riservato ai US-person (personale con status di persona statunitense ai sensi della normativa sul controllo delle esportazioni), quindi un ERP condiviso che dia alla casa madre estera libero accesso ai CUI o ai dati soggetti a controllo ITAR è un problema. Costruisco il confine affinché l'operazione statunitense detenga i dati controllati in conformità, e i trasferimenti verso la casa madre avvengano su autorizzazione della DDTC (la direzione statunitense per il controllo del commercio della difesa), oppure non avvengano affatto. A volte questo significa un'istanza segregata, a volte un sistema separato; la decisione architetturale fa parte della costruzione.

Il lavoro operativo in loco è concentrato nel New England, dove la base industriale della difesa e i rapporti con i contraenti principali che conosco meglio sono fitti.

Il lavoro diagnostico e strategico si svolge su scala nazionale. Se il Suo sito statunitense sorgerà altrove, definiamo fin dall'inizio il mix di attività in loco e da remoto.

Io sono il partner delle operazioni.

Metto in piedi e gestisco l'operazione statunitense conforme: il reparto produttivo, il modello operativo, la costruzione dell'ambiente IT e OT, il confine dei dati riservato ai US-person, e le prove di prontezza per il varco che deve superare. La costituzione dell'entità, la registrazione presso ITAR e DDTC, la mitigazione FOCI e il CFIUS (il comitato statunitense per gli investimenti esteri) restano di competenza del Suo consulente legale d'impresa e del Suo consulente in materia di controllo delle esportazioni. Mi coordino con loro e rispondo del risultato operativo.

Il Suo portafoglio ordini cresce mentre il capitale circolante si restringe, perché le scorte con lunghi tempi di approvvigionamento e le rilavorazioni bloccano la liquidità tra la vendita e l'incasso.

AlixPartners ha rilevato che il ciclo di conversione della cassa nell'aerospazio e nella difesa si è allungato di 21 giorni tra il 2018 e il 2022. Margin Engineering agisce su quel ciclo, recuperando giorni di conversione della cassa che può reimpiegare.

Entrambi.

Il lavoro in reparto, le Gemba walk, gli eventi Kaizen e i primi 90 giorni di un incarico da COO frazionale richiedono la mia presenza in loco. Analisi, reportistica e cadenza a regime si svolgono da remoto. Ho sede a Brookline, NH, e servo in loco la Greater Boston e il Southern New Hampshire.

È un metodo con quattro pilastri denominati e una sequenza di erogazione definita.

IT/OT Convergence, Margin Engineering, Human-in-the-Loop e Sovereign Tier sono ciascuno un insieme di operazioni, erogate attraverso il Framework di Formulazione della Strategia in 90 giorni fatto di Diagnosi, Stabilizzazione e Scala Commerciale. I nomi rendono il lavoro memorabile, non altisonante.