Le domande che un operatore sente prima del primo colloquio.

Un COO frazionale è un leader operativo integrato che gestisce le Sue operazioni a tempo parziale, non un consulente che Le consegna un rapporto e se ne va.

Siedo con i Suoi diretti collaboratori, rispondo dei risultati rispetto ai Suoi numeri, e resto finché il sistema non tiene da solo. Un consulente raccomanda. Un operatore gestisce.

Allo stato attuale, luglio 2026, non inizia.

Il 13 luglio 2026 il DoD (Dipartimento della Difesa degli Stati Uniti) ha sospeso la Fase II della CMMC (il livello di maturità in cybersicurezza richiesto dalla difesa statunitense), ovvero la certificazione obbligatoria di Livello 2 rilasciata da un C3PAO (l'organismo di valutazione accreditato da terze parti), inizialmente fissata al 10 novembre 2026, e ha istituito una task force per la riforma del programma. Non è stata annunciata alcuna data sostitutiva. Resta saldamente in vigore la Fase I, avviata il 10 novembre 2025: un'autovalutazione di Livello 2 ogni tre anni sui 110 requisiti del NIST SP 800-171 Rev 2, con attestazione annuale nel sistema SPRS. Il Dipartimento è stato esplicito: la sospensione non elimina l'obbligo di proteggere le informazioni ai sensi della clausola DFARS 252.204-7012. La certificazione si è fermata. L'obbligo no.

No.

Il DFARS 252.204-7012 continua a obbligarLa a salvaguardare le covered defense information (le informazioni di difesa soggette alla clausola) e a segnalare gli incidenti. Il Dipartimento della Difesa lo ha detto esplicitamente nell'annunciare la sospensione il 13 luglio 2026. L'autovalutazione della Fase I, l'attestazione annuale e il punteggio SPRS registrato a Suo nome restano tutti in vigore, e senza una valutazione aggiornata il Suo contraente principale non può aggiudicarLe commesse coperte. Una falsa attestazione La espone al False Claims Act già oggi, non a una data futura. La task force di riforma punta ad abbassare le barriere per le imprese piccole, medie e non tradizionali e a sostituire la conformità burocratica con misure di cybersicurezza scalabili e resilienti. Meno burocrazia di facciata, più sicurezza che funziona. L'officina che ha integrato i 110 controlli nel flusso di lavoro quotidiano è pronta per qualunque cosa produca la revisione. L'officina che stava comprando una certificazione per rincorrere una scadenza si ritrova in mano un raccoglitore.

La maggior parte dei piccoli produttori della difesa spende all'incirca da 100.000 a 200.000 dollari per raggiungere il Livello 2, secondo CMMC.com.

Le stime di valutazione pubblicate dal DoD collocano un'autovalutazione di Livello 2 tra 37.000 e 49.000 dollari e una valutazione C3PAO di Livello 2 tra 105.000 e 118.000 dollari, prima degli interventi correttivi. Con la Fase 2 sospesa a luglio 2026, l'autovalutazione è il percorso attivo e la valutazione C3PAO è ferma. In entrambi i casi il denaro finisce negli stessi 110 controlli, quindi li integro nel Suo flusso di lavoro e quella spesa compra un sistema funzionante invece di un raccoglitore.

La Hidden Factory (la fabbrica nascosta) è l'insieme delle rilavorazioni non documentate, della conoscenza tacita e della risoluzione dei problemi fuori registro che il Suo ERP (il sistema gestionale aziendale) non registra mai.

Il pioniere della qualità Armand Feigenbaum ha stimato che questa perdita può raggiungere il 40 per cento dello sforzo totale dell'azienda. Il Triage operativo di 30 giorni esiste per trovarla e riconvertirla in capacità e cassa.

Ogni incarico è calibrato sul vincolo specifico, quindi un listino prezzi quoterebbe la cosa sbagliata.

Il Triage di 30 giorni è a prezzo fisso rispetto a un risultato definito, il lavoro da COO frazionale è a retainer, e una consulenza strategica è una sessione a pagamento e circoscritta nel tempo. Concordiamo l'ambito e il numero nel colloquio strategico, prima che inizi qualsiasi lavoro.

Lavoro direttamente su ITAR (la normativa statunitense sul controllo delle esportazioni di materiale d'armamento), DFARS (il supplemento alla normativa federale statunitense sugli appalti della difesa), CMMC 2.0, AS9100 (lo standard di qualità per l'aerospazio e la difesa) e gestione dei CUI (informazioni controllate non classificate), come parte del sistema operativo anziché come un flusso di lavoro separato.

Quando un partner IT specializzato in CMMC è lo strumento giusto per un controllo specifico, ne coinvolgo uno e lo gestisco come un unico input nel sistema che progetto. Lo strato operativo resta mio.

Una consulenza strategica a pagamento è disponibile ora, senza attendere che si liberi un posto per un incarico completo.

Gli incarichi completi si aprono man mano che un incarico in corso raggiunge la Fase 3, perché ne gestisco un massimo di quattro alla volta. Se il Suo fattore scatenante è critico sul piano dei tempi, lo indichi quando richiede il colloquio e rispondo entro 48 ore con una finestra realistica.

La maggior parte delle officine guidate dall'ingegneria sa fare il lavoro ma non riesce a vedere il vincolo, perché chi gli è più vicino ci è dentro.

Porto la lettura del Suo flusso del valore da parte di un operatore esterno, più la padronanza della conformità della difesa che la maggior parte dei team interni non ha ancora dovuto sviluppare. Il Triage di 30 giorni è pensato proprio per un team che è capace ma operativamente ingolfato.

Il Supplier Performance Risk System (SPRS, il sistema statunitense di valutazione del rischio dei fornitori) contiene il Suo punteggio autovalutato secondo il NIST SP 800-171 (lo standard statunitense per la protezione delle informazioni controllate non classificate), che il DoD può vedere.

Un punteggio errato o non aggiornato è un rischio di falsa attestazione, e la Civil Cyber-Fraud Initiative del DOJ (il Dipartimento di Giustizia statunitense) persegue esattamente questo ai sensi del False Claims Act (la legge federale statunitense sulle false dichiarazioni). Con la CMMC Fase 2 sospesa a luglio 2026, quell'autovalutazione e la sua attestazione annuale sono il meccanismo effettivamente applicato, e senza una valutazione aggiornata e registrata il Suo contraente principale non può aggiudicarLe una commessa coperta. Ottenere il punteggio corretto, ed essere in grado di difenderlo, fa parte del pilastro Sovereign Tier.

Sì, è un tipo di incarico attivo.

Attualmente sto avviando le operazioni statunitensi di produzione per la difesa per la filiale di una casa madre canadese. Il lavoro copre il modello operativo, la costruzione dell'ambiente IT e OT, e l'assetto FOCI (proprietà, controllo o influenza stranieri) e la postura di conformità di cui ha bisogno per qualificarsi per le commesse di difesa statunitensi entro il varco che deve superare.

Una facility clearance (il nulla osta di sicurezza dell'impianto) è ciò di cui un'azienda ha bisogno per accedere a informazioni classificate, mentre la mitigazione della proprietà, del controllo o dell'influenza stranieri è ciò che un'azienda a controllo estero negozia con la Defense Counterintelligence and Security Agency (DCSA, l'agenzia statunitense per il controspionaggio e la sicurezza della difesa) per mantenere quel nulla osta nonostante la casa madre estera.

La maggior parte della produzione in subfornitura per la difesa è lavoro non classificato, con CUI e soggetto a controllo ITAR, che non necessita affatto di una facility clearance. Sapere quale classe di lavoro sta perseguendo determina se la mitigazione FOCI e un nulla osta rientrino persino nell'ambito. Costruisco e gestisco l'operazione non classificata; il nulla osta e lo strumento FOCI restano di competenza del Suo consulente legale specializzato in impianti abilitati e della DCSA.

Un paese qualificato ai sensi del DFARS è una nazione con un accordo reciproco sugli appalti della difesa con il Dipartimento della Difesa, che consente ai suoi prodotti finiti e componenti di aggirare le restrizioni Buy-American.

Tutti e nove i paesi che servo sono paesi qualificati. È una preferenza negli appalti e nulla di più: non esonera dall'ITAR, non esonera dalla CMMC e non risolve la questione FOCI. Una casa madre di un paese qualificato costruisce comunque l'intera postura di conformità, e quella costruzione è tutto il lavoro.

Di solito non senza un confine.

Se la Sua operazione statunitense detiene dati tecnici controllati, quei dati restano all'interno di un confine dei dati riservato ai US-person (personale con status di persona statunitense ai sensi della normativa sul controllo delle esportazioni), quindi un ERP condiviso che dia alla casa madre estera libero accesso ai CUI o ai dati tecnici soggetti a controllo ITAR è un problema. Costruisco l'entità statunitense e il confine dei dati affinché l'operazione statunitense detenga i dati controllati in conformità, e i trasferimenti verso la casa madre avvengano su autorizzazione della DDTC (la direzione statunitense per il controllo del commercio della difesa), oppure non avvengano affatto. A volte questo significa un'istanza segregata, a volte un sistema separato, e la decisione architetturale fa parte della costruzione.

Il lavoro operativo in loco è concentrato nel New England, dove la base industriale della difesa e i rapporti con i contraenti principali che conosco meglio sono fitti, ed è una solida zona di atterraggio per un produttore alleato che entra nel mercato statunitense.

Il lavoro diagnostico e strategico si svolge su scala nazionale. Se il Suo sito statunitense sorgerà altrove, definiamo all'inizio il mix di attività in loco e da remoto.

Io sono il partner delle operazioni.

Metto in piedi e gestisco l'operazione statunitense conforme: il reparto produttivo, il modello operativo, la costruzione dell'ambiente IT e OT, il confine dei dati riservato ai US-person, e le prove di prontezza per il varco che deve superare. La costituzione dell'entità, la registrazione presso ITAR e DDTC, la mitigazione FOCI e le questioni CFIUS (il comitato statunitense per gli investimenti esteri) restano di competenza del Suo consulente legale d'impresa e del Suo consulente in materia di controllo delle esportazioni. Mi coordino con loro e rispondo del risultato operativo.

Significa che il Suo portafoglio ordini cresce mentre il capitale circolante si restringe, perché le scorte con lunghi tempi di approvvigionamento e le rilavorazioni bloccano la liquidità tra la vendita e l'incasso.

AlixPartners ha rilevato che il ciclo di conversione della cassa nell'aerospazio e nella difesa si è allungato di 21 giorni tra il 2018 e il 2022. Margin Engineering agisce direttamente su quel ciclo, recuperando giorni di conversione della cassa che può reimpiegare.

Entrambi, e il mix dipende dal lavoro.

Il lavoro in reparto, le Gemba walk, gli eventi Kaizen e i primi 90 giorni di un incarico da COO frazionale richiedono la mia presenza in loco nel New England. L'analisi, la reportistica e la cadenza a regime si svolgono da remoto. Ho sede a Brookline, NH, e servo in loco la Greater Boston e il Southern New Hampshire.

È un metodo con quattro pilastri denominati e una sequenza di erogazione definita.

IT/OT Convergence, Margin Engineering, Human-in-the-Loop e Sovereign Tier sono ciascuno un insieme di operazioni, erogate attraverso il Framework di Formulazione della Strategia in 90 giorni fatto di Diagnosi, Stabilizzazione e Scala Commerciale. I nomi coniati ci sono affinché il lavoro sia memorabile, non perché suoni altisonante.