Ciclul de achiziții al startup-urilor de apărare: de la pilot la program de înregistrare

Majoritatea startup-urilor de tehnologie de apărare care eșuează comercial nu eșuează pentru că produsul lor a încetat să funcționeze. Eșuează pentru că distanța dintre un pilot reușit și un Program de Înregistrare (POR) finanțat este mai lungă, mai complex birocratică și mai dependentă de relații decât anticipează orice foaie de parcurs a produsului. Mecanismele de câștigare a primului contract guvernamental sunt bine documentate. Ceea ce primește mult mai puțină atenție este faza mai dificilă care urmează: convertirea unei plăți unice de pilot într-o linie bugetară susținută care poate sprijini o companie în stadiu de creștere. Acest articol trasează ciclul complet de achiziții -- de la proiectarea pilotului prin prototipul OTA, acreditarea de securitate, cultivarea responsabilului de program, considerațiile de coaliție și riscurile structurale de tranziție care închid programele înainte de a atinge scara operațională.

Valea morții: de ce tehnologia bună stagnează între pilot și contract

Valea morții nu este o metaforă despre calitatea produsului. Este un decalaj structural de finanțare care apare dintr-o nepotrivire între viteza demonstrației tehnologice și viteza ciclurilor bugetare de apărare. O companie poate finaliza un pilot în 90 de zile. Biroul de program poate confirma că a funcționat. Dar biroul de program nu poate ancora bani noi împotriva unei capacități pe care tocmai a descoperit-o -- nu până când acea capacitate a supraviețuit procesului Memorandumului Obiectivului Programului (POM), care rulează pe un ciclu de 18 luni și necesită cerințe documentate, estimări de costuri și evaluări ale riscurilor care nu există pentru o tehnologie pe care programul tocmai a evaluat-o.

În acest interval, startup-ul este de așteptat să continue dezvoltarea produsului, să mențină o echipă instruită, să sprijine documentația de evaluare a guvernului și să rămână solvent pe orice SBIR Faza II, contract-punte sau OTA de continuare pe care îl poate asigura. Durata mediană a acestui decalaj -- între sfârșitul unui pilot de succes și prima obligație în cadrul unui buget de program nou -- este de 18 până la 36 de luni pentru un produs software fără istoric anterior de achiziții DoD. Companiile care planifică pentru un decalaj de 6 luni și rămân fără resurse la luna 14 nu mai au șanse în majoritatea birourilor de program; responsabilul se mută, iar tehnologia este re-evaluată de la zero de către următorul manager de program.

Implicația practică este că proiectarea pilotului trebuie să ia în calcul valea înainte ca pilotul să înceapă. Un pilot structurat pentru a genera documentația specifică -- analiza decalajului de capacitate, date de eficacitate operațională, arhitectura de integrare, proiecția costului pe unitate -- de care un manager de program are nevoie pentru a construi o depunere POM va supraviețui perioadei de tranziție la rate mai mari decât un pilot proiectat pur pentru a demonstra performanța tehnică. Performanța tehnică este o condiție minimă. Lizibilitatea administrativă pentru procesul bugetar este ceea ce traversează valea.

Acorduri OTA, SBIR-uri și căi DIU -- cum diferă

Trei instrumente de contractare domină angajamentul timpuriu al startup-urilor de apărare: acorduri prototip de Autoritate pentru Tranzacții Alternative (OTA), premii pentru Cercetare a Inovării în Întreprinderi Mici (SBIR) și procesul Deschiderii Soluțiilor Comerciale (CSO) al Unității de Inovare în Apărare (DIU). Nu sunt interschimbabile, iar alegerea vehiculului greșit pentru momentul greșit din ciclul de achiziții creează întârzieri din care este dificil de recuperat.

Acordurile prototip OTA în baza 10 USC 4022 reprezintă cea mai rapidă cale de la o cerință finanțată la un prototip evaluat pentru un startup fără sisteme de contabilitate guvernamentale. Acestea se află în afara Regulamentului Federal de Achiziții, ceea ce înseamnă că un birou de program poate atribui un OTA unei companii care nu a deținut niciodată un contract DoD, nu are sisteme de contabilitate aprobate de Agenția de Audit a Contractelor de Apărare (DCAA) și nu poate produce date certificate de costuri și prețuri. Compromisul este scopul: atribuirile OTA sunt restricționate legal la activitățile prototip. O tranziție la producția completă necesită fie o continuare competitivă bazată pe FAR, fie o atribuire de producție directă în baza prevederii de tranziție a statutului OTA -- iar acel contract direct nu este automat. Necesită ca biroul de program să facă o determinare scrisă că prototipul a fost atribuit competitiv și că continuarea producției este o extensie logică. Birourile de program care nu au pre-planificat această tranziție pierd adesea autoritatea de a atribui direct și trebuie să recompeteze, repornind termenul.

Premiile SBIR Faza II oferă până la 1,72 milioane de dolari (limita actuală DoD) pentru o perioadă de 24 de luni. Prevederea Faza III -- care permite unui birou de program să atribuie un contract de continuare direct unui câștigător Faza II fără competiție -- este mecanismul care convertește finanțarea de cercetare SBIR într-un contract de achiziție. Faza III nu are plafon de valoare și nicio cerință de competiție, ceea ce o face cel mai puternic instrument de punte disponibil pentru o companie mică. Limitarea este că atribuirea Faza III depinde în întregime de un birou de program dispus cu o linie de finanțare deschisă -- iar identificarea acelui birou de program înainte de expirarea perioadei Faza II necesită aceeași muncă de cultivare a responsabilului pe care o cere orice altă cale de achiziție. Programe de ecosistem precum Brave1 din Ucraina au demonstrat că cadrele structurate de accelerare public-privat pot comprima această perioadă de identificare a responsabilului, oferind startup-urilor acces vizibil la birourile de program care caută în mod activ tipuri specifice de capacități.

Procesul CSO al DIU este optimizat pentru tehnologia comercială cu o aplicație de apărare și produce un premiu de Deschidere a Soluțiilor Comerciale care poate trece la un contract de producție în baza 10 USC 4022. Punctul forte al DIU este viteza -- premiile se pot închide în 60 până la 90 de zile -- și rețeaua sa, care conectează companiile selectate la utilizatorii operaționali și birourile de program din cadrul serviciilor. Limitarea structurală pentru un startup este că DIU este un mecanism de tranziție, nu un finanțator susținut. Un premiu DIU dovedește conceptul și furnizează o linie bugetară introductivă; nu substituie un birou de program de servicii care deține cerința în POM-ul său.

Construirea unui produs minim viabil evaluabil pentru ofițerii de achiziții

Un produs minim viabil (MVP) pentru achiziții nu este același artefact ca un MVP pentru o lansare de software comercial. MVP-urile comerciale sunt concepute pentru a testa o ipoteză de piață cu adoptatori timpurii plătitori. MVP-urile pentru achizițiile de apărare trebuie să satisfacă un set diferit de evaluatori -- ofițeri de contractare, manageri de program, testeri operaționali și evaluatori de securitate -- fiecare cu cerințe distincte care nu sunt capturate complet în niciun cadru unic de evaluare.

Ofițerul de contractare trebuie să confirme că prețul propus este corect și rezonabil și că furnizorul este responsabil (adică are capacitatea financiară, tehnică și managerială de a executa). Aceasta înseamnă că MVP-ul trebuie să fie însoțit de o structură de costuri de ordine de mărime aproximativă (ROM) pe care compania o poate apăra sub scrutin, un cod CAGE și înregistrare SAM.gov și cel puțin o referință de performanță anterioară -- chiar dintr-un program comercial sau al unei națiuni aliate -- care demonstrează că firma a livrat lucrări comparabile. Înțelegerea fluxului complet de la RFI la contract ajută startup-urile să pregătească această documentație înainte de a fi solicitată, în loc să o adune sub un termen de răspuns de 72 de ore.

Managerul de program trebuie să confirme că tehnologia abordează un decalaj de capacitate documentat și că sarcina de integrare pentru guvern este gestionabilă. Un MVP care necesită ca biroul de program să modifice sistemele C2 existente, să re-instruiască populațiile de operatori sau să mențină două conducte de date paralele adaugă costuri de tranziție pe care managerul de program trebuie să le justifice autorității superioare. MVP-urile cel mai ușor de gestionat pentru achiziții se conectează la standardele de date existente (CoT, STANAG, Link 16, NIEM) fără a necesita middleware pe care guvernul trebuie să-l finanțeze și să-l mențină separat. Fiecare dependență de integrare pe care un startup o elimină din MVP-ul său reduce costul de fricțiune pe care biroul de program trebuie să-l absoarbă pentru a susține produsul.

Termenele de acreditare de securitate și cum să le scurtați

Acreditarea de securitate -- obținerea unei Autorități de Operare (ATO) în cadrul Cadrului de Management al Riscurilor (RMF) DoD -- este elementul de termen cel mai consecvent subestimat în planul de achiziții al unui startup de apărare. Candidații la ATO pentru prima dată bugetează de obicei 6 luni și ajung la luna 18 așteptând încă semnătura oficialului autorizant. Întârzierile nu apar pentru că produsul este nesigur; apar pentru că documentația de control este incompletă, granița sistemului este slab definită sau organizația de evaluare nu are disponibilitate pentru a programa evaluarea de securitate până la luni după depunerea pachetului de documentație.

Cele mai rapide ATO-uri sunt construite pe controale moștenite dintr-o bază de găzduire pre-autorizată. Dacă produsul rulează pe un mediu de infrastructură-ca-serviciu care deține deja o autorizare provizorie DoD Nivel de Impact 2 sau Nivel de Impact 4 -- AWS GovCloud East, Azure Government sau comparabil -- startup-ul moștenește o parte substanțială din setul de controale NIST SP 800-53 de la pachetul de autorizare existent al furnizorului de servicii cloud. Evaluarea startup-ului acoperă apoi doar controalele care nu sunt moștenite: controale la nivelul aplicației, managementul configurației, controlul accesului la nivel software și controalele de suprapunere specifice nivelului de clasificare a datelor. Un produs cloud-nativ bine delimitat poate reduce setul său de implementare a controalelor independente de la întreaga bază de 325 de controale NIST 800-53 Rev 5 la 80 până la 120 de controale specifice aplicației, reducând proporțional durata evaluării.

Al doilea instrument de accelerare este disciplina documentației din prima zi de dezvoltare a produsului. RMF necesită un Plan de Securitate a Sistemului (SSP) care descrie cum este implementat fiecare control aplicabil. Scrierea retroactivă a unui SSP pentru un produs construit fără documentație de arhitectură de securitate este lentă și predispusă la erori; scrierea acestuia pe măsură ce produsul este construit -- cu conducte DevSecOps care produc dovezi continue de conformitate -- reduce SSP-ul la o sarcină editorială mai degrabă decât o reconstrucție criminalistică. Startup-urile care instrumentează conductele CI/CD cu dovezi de control în format OSCAL și scanare automată de conformitate pot prezenta unui evaluator pachete de dovezi lizibile pentru mașini care comprimă faza de planificare a evaluării de la săptămâni la zile.

Găsirea responsabilului din biroul de program: relații peste propuneri

Nicio cale de achiziție nu produce un Program de Înregistrare fără un angajat guvernamental care este dispus să susțină tehnologia în interiorul biroului de program atunci când furnizorul nu este prezent. Acea persoană -- responsabilul -- nu se găsește numai prin depuneri de propuneri sau participare la zilele industriei. Responsabilii sunt cultivați prin angajament persistent, credibil din punct de vedere tehnic, pe 12 până la 24 de luni, care demonstrează că startup-ul înțelege problema operațională la fel de bine ca orice contractor incumbent.

Cea mai fiabilă cale de identificare a responsabilului este prin utilizatorii operaționali mai degrabă decât prin birourile de achiziții. Un manager de program care primește feedback pozitiv consistent de la utilizatori finali în uniformă care au folosit produsul -- chiar și într-un context de evaluare neoficială sau exerciții -- este mult mai motivat să susțină o linie bugetară decât unul care a citit doar un scurt de capacitate. Aceasta înseamnă că startup-urile ar trebui să investească în accesul la exerciții operaționale, jocuri de război și evenimente de coaliție unde tehnologia lor poate fi testată de operatori reali, chiar și fără un vehicul de contract formal. Buclele de feedback din aceste puncte de contact generează aprobările operatorilor pe care managerii de program le folosesc pentru a justifica solicitările de noi începuturi ofițerilor executivi ai programului.

Achizițiile în coaliție și NATO: straturi suplimentare și pregătire

Un startup de apărare care și-a dovedit produsul pe o piață națională se confruntă cu un set structural distinct de cerințe când urmărește achizițiile în coaliție sau NATO. Tehnologia poate fi identică, dar cerințele legale, de securitate și de interoperabilitate se multiplică cu fiecare națiune suplimentară. Companiile care abordează achizițiile în coaliție ca pe o simplă extindere geografică a strategiei lor contractuale existente subestimează în mod constant pregătirea necesară și pierd timp exact în momentul în care avantajul lor de prim-mișcător este cel mai valoros.

Controlul la export este prima constrângere de rezolvat. Software-ul sau hardware-ul de origine americană cu aplicație de apărare este supus controalelor Regulamentelor Internaționale de Trafic cu Armele (ITAR) sau Regulamentelor Administrării Exporturilor (EAR). Un startup care nu și-a determinat Numărul de Clasificare a Controlului Exporturilor (ECCN) al produsului și nu a obținut licențele necesare înainte de a urmări un birou de program din Regatul Unit, Germania sau Finlanda creează expunere juridică atât pentru sine, cât și pentru omologul guvernamental străin. Analiza clasificării la export ar trebui finalizată înainte de prima întâlnire cu un birou de program străin, nu după primirea unei scrisori de interes.

Pentru achizițiile comune NATO prin Agenția NATO de Sprijin și Achiziții (NSPA), produsul trebuie să satisfacă atât cerințele de securitate ale națiunii achizitoare, cât și politicile de securitate NATO aplicabile. Aceasta introduce o cale de acreditare duală -- ATO național plus acreditarea NATO -- care poate rula în paralel, dar necesită coordonare între două structuri de management al securității care nu partajează formate de documentație sau programe de evaluare. Startup-urile care intră în acest spațiu ar trebui să identifice dacă arhitectura lor suportă instanțe naționale segregate sau o implementare multi-tenant cu segregare a datelor impusă criptografic, deoarece răspunsul determină dacă un singur pachet de acreditare poate fi adaptat între națiuni sau dacă trebuie construite pachete separate pentru fiecare. Termenul de contractare NSPA pentru un contract de capacitate nou rulează 24 până la 36 de luni de la cerința inițială la atribuire, ceea ce trebuie luat în calcul în planificarea fluxului de numerar de la bun început.

De la dovada conceptului la desfășurarea completă: gestionarea riscului de tranziție

Riscul de tranziție -- riscul că o tehnologie pilotată cu succes nu reușește să atingă scara operațională -- este motivul principal pentru care birourile de program ezită să se angajeze la un Program de Înregistrare cu un furnizor startup. Ezitarea nu este irațională. Birourile de program care au investit în programe noi cu furnizori mici au experimentat discontinuitate tehnologică atunci când furnizorul a rămas fără resurse, pivotări ale produsului care au invalidat evaluarea inițială a capacității și eșecuri de integrare care au apărut numai în timpul desfășurării la scară completă. Abordarea explicită a acestor riscuri în documentele de planificare a tranziției este mai eficientă decât afirmarea stabilității în scurtele de capacitate.

Declarația privind drepturile de date este documentul cel mai semnificativ din punct de vedere operațional dintr-un plan de tranziție. În baza DFARS 252.227-7013, guvernul are dreptul la drepturi de scop guvernamental asupra datelor tehnice dezvoltate cu finanțare mixtă -- dar sfera acestor drepturi depinde de modul în care startup-ul și-a documentat investiția independentă de cercetare și dezvoltare (IR&D) la momentul dezvoltării. Un startup care nu a menținut înregistrări contemporane ale componentelor de produs dezvoltate cu fonduri IR&D ale companiei față de fonduri guvernamentale va găsi dificil să revendice drepturile limitate la care are dreptul și poate acorda inadvertent guvernului drepturi de date mai largi decât intenționate. Invers, un startup care revendică drepturi limitate excesiv de largi asupra dezvoltării finanțate de guvern va crea un litigiu de contractare care întârzie tranziția. Abordarea corectă este să mențineți un program IR&D finanțat cu cheltuieli documentate, să revendicați drepturi de finanțare mixtă îngust și precis și să negociați o structură de licență care oferă guvernului acces suficient la date pentru re-competiție la sfârșitul perioadei contractuale fără a transfera proprietatea intelectuală de bază a startup-ului.

Planificarea sustenabilității primește mai puțină atenție decât merită în faza de pilot, iar decalajul se vede la tranziție. Un Program de Înregistrare necesită nu doar capacitatea, ci și o structură de suport definită: o analiză de suport logistic (sau echivalent pentru software), un plan de suport software, o strategie de sustenabilitate a securității cibernetice și -- pentru hardware-ul desfășurat -- un lanț de piese de schimb și întreținere. Startup-urile care prezintă aceste artefacte la revizuirea biroului de program înainte de a fi solicitate demonstrează pregătire instituțională care le distinge de concurenții care tratează sustenabilitatea ca o problemă post-atribuire. Utilizatorul operațional care a susținut pilotul va fi responsabil pentru structura de suport care urmează. Reducerea acestei sarcini de responsabilitate este una dintre cele mai eficiente modalități de a consolida relația cu responsabilul pe parcursul fazei de tranziție.