最初の対話の前に、実務家が受ける問い。

非常勤COO とは、御社の事業運営を非常勤で回す、現場に入り込んだ運営リーダーであり、報告書を手渡して去っていく助言者ではありません。私は御社の直属の部下たちと席を並べ、御社の数字に対して成果に責任を負い、仕組みがひとりでに保たれるようになるまでとどまります。コンサルタントは提言します。実務家は動かします。

2026年7月時点では、始まりません。2026年7月13日、DoD（米国国防総省）は、当初2026年11月10日に予定されていた、第三者による認証を義務づける段階、すなわち CMMC フェーズ2を停止し、制度改革のタスクフォースを設置しました。代わりの期日は公表されていません。そのまま効力を保っているのはフェーズ1であり、その施行は2025年11月10日に始まりました。その中身は、110ある NIST SP 800-171 Rev 2（米国立標準技術研究所の管理対象非機密情報保護基準）の要求事項に対する三年ごとの Level 2 自己評価と、SPRS（サプライヤー実績リスクシステム）への年次の適合表明です。同省は、この停止によって DFARS（国防連邦調達規則補足）第252.204-7012条に基づく情報保護の義務がなくなるわけではないことを、明確に述べています。停止したのは認証であって、義務ではありません。

いいえ。DFARS 第252.204-7012条は、対象となる防衛情報を保護し、インシデントを報告することを、今なお御社に求めています。2026年7月13日に停止を公表した際、同省自身がその点を明確に述べています。フェーズ1の自己評価、年次の適合表明、そして SPRS に登録されたスコアは、いずれも効力を保ったままです。元請けは、御社の評価が有効でない限り、対象となる作業を発注できません。そして虚偽申告は、将来のいずれかの期日にではなく、いまこの時点で不正請求取締法（False Claims Act）上のリスクを伴います。制度改革のタスクフォースが掲げているのは、中小企業および非伝統的な企業の参入障壁を下げること、そして官僚的なコンプライアンスを、拡張性と回復力のあるサイバーセキュリティの手立てに置き換えることです。書類のための書類を減らし、実際に機能するセキュリティを増やす、ということです。110の管理策を日々の業務フローに組み込んだ製造現場は、見直しが何をもたらそうと、備えができています。期日に合わせて認証を買おうとしていた製造現場の手元に残るのは、バインダーです。

小規模な防衛メーカーの多くは、Level 2 に到達するために、CMMC.com によれば、およそ10万〜20万ドルを費やします。DoD が公表した評価見積もりでは、Level 2 の自己評価が3万7,000〜4万9,000ドル、Level 2 の C3PAO（認定第三者評価機関）評価が10万5,000〜11万8,000ドルとされています。いずれも是正前の金額です。2026年7月時点でフェーズ2は停止されているため、いま動いている道筋は自己評価であり、第三者による評価は止まっています。いずれにせよ、費用が向かう先は同じ110の管理策です。ですから私はそれを御社の業務フローに組み込みます。その支出は、バインダーではなく、実際に動く仕組みを買うことになります。

Hidden Factory とは、御社の ERP（統合基幹業務システム）が決して記録しない、文書化されていない手戻り、暗黙知、そして帳簿に載らない問題解決のことです。品質管理の先駆者 Armand Feigenbaum（アーマンド・ファイゲンバウム）は、この損失が会社全体の労力の40パーセントに達し得ると見積もりました。30日間の事業運営トリアージは、それを見つけ出し、対応力とキャッシュへと取り戻すために存在します。

ご支援は一つひとつ、固有の制約に合わせて範囲を定めます。ですから、料金表は、間違ったものに値段をつけることになります。30日間のトリアージは、明確な成果物に対する固定価格、非常勤COO の仕事は顧問契約（リテイナー）、戦略コンサルティングは有償で時間を区切ったセッションです。範囲と金額は、いかなる作業も始まる前に、戦略的な対話の中で合意します。

私は、ITAR、DFARS、CMMC 2.0、AS9100（航空宇宙品質マネジメント規格）、そして CUI（管理対象非機密情報）の取り扱いに、別立ての作業としてではなく、事業運営の仕組みの一部として、直接携わります。特定の管理策について CMMC の IT パートナーが適切な手立てとなる場合には、その専門家を招き入れ、私が設計する仕組みへの一つの入力として動かします。事業運営の層は、私のもとにとどまります。

有償の戦略コンサルティングは、本格的な枠の空きを待つことなく、いま利用できます。本格的なご支援は、既存のご支援がフェーズ3に達するにつれて空きが出ます。私は同時に最大四件までしか担わないからです。御社の差し迫った事由が時間を争うものであれば、対話をお申し込みの際にそれをお知らせください。48時間以内に、現実的な日程の見通しをお返しします。

エンジニアリング主導の製造現場の多くは、作業そのものはできても、制約を見ることができません。それに最も近い人々が、その内側にいるからです。私は、御社のバリューストリームに対する外部の実務家の読みに加え、多くの社内チームがまだ築く必要のなかった、防衛コンプライアンスの熟達をもたらします。30日間のトリアージは、まさに、能力はありながら事業運営で目詰まりを起こしているチームのために設計されています。

Supplier Performance Risk System は、御社が自己評価した NIST SP 800-171 のスコアを保持しており、これを閲覧できるのは、DoD の担当者と、その評価の対象である御社自身です。誤った、あるいは古いスコアは、虚偽申告のリスクであり、米国司法省（DOJ）の民事サイバー不正対策イニシアチブは、まさにそれを不正請求取締法（False Claims Act）のもとで追及します。2026年7月時点で CMMC フェーズ2は停止されており、実際に執行されている仕組みは、その自己評価と年次の適合表明です。ですから、元請けは、御社の評価が有効でない限り、対象となる作業を発注できません。スコアを正確に整え、それを弁護できるようにしておくことは、Sovereign Tier（ソブリン・ティア。主権的階層）の柱の一部です。

はい、これは現に進行中のご支援の類型です。私は現在、カナダに親会社を持つ子会社のために、米国での防衛製造事業を立ち上げています。その仕事は、事業運営モデル、IT と OT の構築、そして、御社が満たすべき関門の内側で米国の防衛事業の資格を得るために必要な、FOCI（外国による所有・支配・影響）とコンプライアンスの態勢を対象とします。

facility clearance は、企業が機密情報にアクセスするために必要となるものであり、外国による所有・支配・影響（Foreign Ownership, Control, or Influence）の緩和措置は、外国資本の企業が、外国の親会社を持ちながらもその適格性を保持するために、Defense Counterintelligence and Security Agency（DCSA。米国防諜保全機構。産業保全を所管）と交渉して定めるものです。下請けの防衛製造の大半は、非機密の CUI および ITAR 管理対象の作業であり、facility clearance をそもそも一切必要としません。どのクラスの作業を目指しているのかを把握することが、FOCI の緩和措置と適格性認定が、そもそも対象範囲に入るかどうかを決めます。私は非機密の事業を構築し、運営します。適格性認定と FOCI の手続きは、御社の保全施設を担当する法律顧問と DCSA に委ねられます。

DFARS 上の適格国とは、Department of Defense（米国国防総省）との相互防衛調達協定を持つ国であり、それにより、その最終製品や構成品は Buy-American（バイ・アメリカン）制限を回避できます。私が対応する九つの国は、すべて適格国です。それは調達における優遇であって、それ以上のものではありません。ITAR を免除することはなく、CMMC を免除することもなく、FOCI を解消することもありません。適格国の親会社であっても、完全なコンプライアンスの態勢を築くことに変わりはなく、その構築こそが、本質的な仕事です。

通常、境界なしにはできません。御社の米国事業が管理対象の技術データを保持する場合、そのデータは US-person（米国人。輸出管理法上、米国市民・永住者等として扱われる者）専用のデータ境界の内側にとどまります。ですから、外国の親会社に CUI や ITAR 管理対象の技術データへの自由なアクセスを与える共有 ERP は、問題になります。私は米国法人とデータ境界を構築し、米国事業が管理対象データをコンプライアンスに準拠して保持できるようにします。そして、親会社への移転は、DDTC（米国国務省 防衛通商管理局）の許可のもとで行われるか、さもなければ一切行われません。それは、隔離されたインスタンスを意味することもあれば、別個のシステムを意味することもあり、そのアーキテクチャの判断は、構築の一部です。

現地での運営作業は、ニューイングランド全域に集中しています。私が最もよく知る防衛産業基盤（DIB）と元請けとの関係が濃密で、米国市場に参入する同盟国のメーカーにとって、強力な上陸地点だからです。診断と戦略の作業は、全米で行います。御社の米国拠点が別の場所になるのであれば、現地とリモートの組み合わせを、当初に決めます。

私は事業運営のパートナーです。私は、コンプライアンス要件を満たす米国事業を立ち上げ、運営します。製造現場、事業運営モデル、IT と OT の構築、US-person 専用のデータ境界、そして御社が満たすべき関門に向けた準備状況を示す証跡です。法人の設立、ITAR と DDTC への登録、FOCI の緩和措置、そして CFIUS（対米外国投資委員会）に関わる論点は、御社の顧問弁護士および輸出管理の専門顧問に委ねられます。私は彼らと連携し、事業運営の成果に責任を負います。

それは、御社の受注が伸びる一方で、運転資本が逼迫することを意味します。長納期の在庫と手戻りが、販売から入金までの間にキャッシュを閉じ込めるからです。AlixPartners（アリックスパートナーズ）は、航空宇宙・防衛の現金化サイクル（キャッシュ・コンバージョン・サイクル）が、2018年から2022年の間に21日長期化したことを明らかにしました。Margin Engineering（マージン・エンジニアリング。利益率の設計）は、そのサイクルに直接照準を合わせ、御社が再配分できる現金化までの日数を取り戻します。

両方であり、その組み合わせは仕事の内容によります。製造現場の作業、現場ウォーク、改善活動、そして非常勤のご支援の最初の90日は、ニューイングランド全域で現地にいることを必要とします。分析、報告、そして定常状態のリズムは、リモートで行います。私はニューハンプシャー州ブルックリンを拠点とし、グレーターボストンおよびニューハンプシャー州南部を現地で担います。

それは、名前を与えられた四つの柱と、定められた提供の順序を持つ手法です。IT/OT Convergence（IT と OT の統合）、Margin Engineering、Human-in-the-Loop（人間参加型）、そして Sovereign Tier は、それぞれが一連の業務であり、診断、安定化、商業スケールからなる90日間の戦略策定フレームワークを通じて提供されます。名付けられた手がかりは、仕事を印象づけるためではなく、記憶に残るようにするためにあります。