合同触发式 GovCon OS——把第一笔 DoD 合同拆成对应的 CMMC、薪资、保险和人员安全落地栈。

1. Pentagon 对商业技术的态度，已经从好奇转成对 AI、自主系统、机器人和先进制造供应商的明确需求；谁更快变成 contract-ready，谁就有真实的分发优势。
2. 创始人如今要在合同还没确定前，先扛起几十万美元的合规开支，这正给了分阶段、可复用 readiness 工作的软件一个切口，而不是把它当成瞎烧的固定开销。
3. 全美不到 90 名 assessors，说明瓶颈不只是做完合规工作，更是要在项目滑期前抢到稀缺的认证产能。
4. 薪资、保险、人员安全、合规和资质认证现在得一起动，所以真正有价值的是一张统一的依赖图，而不是一堆点状供应商。
5. 已有两打以上的国防科技公司在用共享基础设施，说明市场准备好买一层可复用的 readiness 底座，而不只是定制顾问。

催化因素。 Pentagon 对商业供应商的需求在升温；与此同时，CMMC 评估员短缺、项目前六位数准备成本高企，让无结构的 GovCon 搭建对创业公司来说又慢又贵。

产品从客户上传一份真实的国防机会或分包合同开始。系统把合同要求翻成按里程碑推进的工作流，明确哪些任务必须在 kickoff、涉密作业、开票或扩编前完成。一张 readiness 图谱会跟踪 CMMC 准备、保险覆盖、薪资搭建、人员安全步骤和资质任务里的全部材料，再把当前状态打包成可复用的供应商 passport，供团队发给主承包商和合作方。客户不用第一天就买整套托管服务，而是按每个里程碑真正需要的模块和伙伴逐项启用。时间一长，平台会学出不同 defense-tech 类别里，哪些任务顺序、供应商和证据包最能加快项目过关。

差异化。 横向 GRC 工具能跟踪控制项，PEO、broker 和顾问也能一次卖一种服务，但它们都不是从真正制造紧迫感的那一个国防项目里程碑出发。这家公司是从一笔真实机会往回倒推，在同一张合同触发图谱里统筹 HR、薪资、保险、人员安全、合规和资质认证。每过一个里程碑，都会为下一家主承包商或下一项目留下可复用证据，从而在被接受的 readiness 顺序、伙伴表现数据和 time-to-clear 基准上滚出护城河。

待完成任务

flowchart LR
  Buyer[COO 或运营负责人] --> Pain[第一笔国防合同触发固定 GovCon 开销]
  Pain --> Product[合同触发式 GovCon OS]
  Product --> Outcome[更快达到可开工状态，并带上可复用的供应商 passport]

高管要点

• 痛点是真实的，而且由合同时点触发：创业公司一旦从原型兴趣走向带 CUI 的实际项目，合规、薪资、安全和供应商 onboarding 就不再是普通后台工作，而会直接卡住收入。
• 这是一条窄但能变现的切口：滩头市场大概率是几百家 dual-use 新进入者，不是全部国防承包商，所以产品必须吃高 ACV 项目和伙伴附加收入，不能按横向 SMB SaaS 的经济模型来想。
• 竞争格局仍是碎片化，不是定局。Arkenstone 验证了直接需求，Unanet、Deltek、Vanta 和 CMMC 专业服务商各占一段，但没人拿下完整的合同触发式编排问题。
• 分发应该从紧迫性已经可见的地方起步：主承包商、C3PAO/MSP、政府云伙伴，以及国防 VC / 加速器组合。

市场定义

面向商业和 dual-use 公司的软件与工作流编排层：当一笔真实授标或分包合同触发 CMMC、薪资/工时、供应商 onboarding 和安全任务时，帮它们尽快进入 defense-contract ready 状态。

用户与买方

实际买家是 30-150 人 dual-use 创业公司里的 COO、运营负责人，或财务/合规负责人。这类公司已经有真实国防需求，但还没有成熟的 GovCon 运营栈。安全、项目和 HR 干系人会影响交易，但经济买家通常是那个对合同启动风险负责的高管。

购买触发点

• CMMC 和相关评估状态，正在从后台政策变成适用招标和供应商项目里的 pre-award 闸门。 [1][7][14][16][33][113]
• 主承包商越来越要求分包商在获邀竞标或正式 onboarding 前，就拿出当前网络安全成熟度、注册信息和细分能力证明。 [27][29][33]
• 一旦从原型/试点跨到后续授标或主承包分包，创业公司就得比创始人表格体系快得多地把可审计的工时、安全和合规数据处理搭起来。 [46][114][12]

支付意愿

这个问题确实有企业预算，因为哪怕按官方口径，小型实体做 Level 2 评估准备，在最初 3 年周期里的成本也已略高于 $100k；而专业服务商描述的更完整迁移和实施工作，往往会变成一个六位数、跨多个季度的项目。合同触发式编排层完全可以比整套服务栈便宜得多，却依然帮客户省掉失败启动、重复伙伴劳动和 kickoff 延误风险。 [2][14][15][46][116][117]

品类动态

增长信号 从 2025 年 11 月开始的三年 mandate rollout，而不是一条干净的自然 CAGR 曲线

验证信号

• Arkenstone 带着 $35M 出场，并称已有两打以上的国防科技公司跑在其平台上。
• 美国参议院军事委员会推进了一项 grant 方案，优先支持中小企业和首次承包商做 CMMC assessment。
• 到 2025 年末，Cyber AB 表示已有近 500 家机构拿到 Level 2 认证、567 名 assessors 完成培训，说明市场不只是纸面概念。
• 大型主承包商已经公开要求供应商提升网络安全成熟度，并保持注册和认证信息最新。

监管与技术约束

• FCI 和 CUI 的处理范围，必须对照 FAR 52.204-21、DFARS 7012、CMMC 和 NIST SP 800-171 去界定，不能拿一套泛化的安全姿态直接套。
• 涉及涉密信息的合同，仍然要走 DD254 驱动的处理和 NISPOM 流程，这超出了普通 SaaS onboarding 的范围。
• 国防业务里的云架构往往要认真处理 GCC High、Azure Government、IL 等级或其他主权型控制，而不能默认放在普通商用 SaaS 区域。
• 主承包商仍然要对分包商的网络安全状态和 flowdown 负责，所以创业公司的输出必须能进供应商 onboarding 和授标档案。

直接面向创业公司的 readiness 平台并不多，但相邻替代品很多。GovCon ERP 管会计和工时，合规自动化管控制项证据，CMMC 专家管认证工作，主承包商还有各自的 onboarding portal。创业公司只有在自己成为这些碎片之上的依赖图谱，而不是另一个点状仪表盘时，才有机会赢。

为什么现有厂商不会默认胜出

• GovCon ERP 系统. GovCon ERP 已经管住了 DCAA 友好的会计和工时控制，但它们通常是在客户决定上系统之后才介入，不是在某份真实合同第一次把跨职能紧迫性拉满的那一刻。
• 横向合规自动化. 横向平台能加快证据收集和控制项映射，但仍停在网络安全层，没有围绕单个国防机会去统筹薪资、安全、供应商 onboarding 和里程碑排程。
• CMMC 专业服务商与 MSP. 专业服务商在实施深度和认证可信度上很强，但价值主要由服务驱动、也更偏网络安全，而不是给每个后续项目留下一张可复用的运营图谱。
• 云平台. 政府云产品解决的是托管和主权边界，不是围绕某份合同去编排材料、时点、供应商和面向买方的 readiness 材料包。
• 顾问拼装栈. 创始人当然可以围绕每次机会把律师、薪资供应商、broker 和顾问临时拼起来，但协调负担和证据复用问题基本还是手工。

合同触发式 GovCon OS 瞄准的是一个具体而且有时间硬约束的失效点：一家 30-150 人的 dual-use 国防创业公司刚拿到，或即将拿到，第一笔带 CUI 的分包合同，才发现 CMMC、合规薪资与工时、保险、人员安全和买方 onboarding 都得在开工前就位。眼前的买家是 COO 或总裁，他们要对合同启动风险负责，现在只能在截止日期前，拉着顾问、broker、薪资供应商和表格硬协调。最初产品不该去替换 ERP、薪资系统或评估机构，而应从一份真实合同入手，把条款和范围假设拆成一张依赖图，再输出一份可复用的供应商 passport 材料包。研究说明，这个问题确实有付费意愿：官方测算的 Level 2 首个周期准备成本就超过 $100k，而更广泛的实施工作往往会变成一个六位数、跨多个季度的项目。最好的 GTM 是围绕一个真实 readiness 项目做付费试点，通过国防 VC 组合、C3PAO/MSP 伙伴和主承包商供应商团队切入——这些渠道最早就能看到紧迫性。公司只有在自己表现得像一层压在碎片化供应商之上的编排软件，而不是另一家重服务的 GovCon 顾问公司时，才有机会赢。滩头市场看起来能赚钱，但还没明显到 venture-scale：研究测算的 SAM 约 $27.0M，若第 3 年做到大约 30 个活跃客户，SOM 约 $1.4M，所以后续扩张要靠证明多项目复用和面向买方的 onboarding 可以规模化。最关键的反证风险有三点：主承包商可能不接受可复用的供应商 passport；太多客户仍然想要定制化代办服务；以及每年真正流入带 CUI 的 dual-use 新进入者，可能比公开资料显示的更少。

问题

• 当一家 dual-use 创业公司从原型项目或 OTA 工作走向第一笔主承包分包或后续项目时，CMMC、薪资/工时、保险、人员安全和供应商 onboarding 会在同一时间线上一起变成收入阻塞项。
• 今天的替代方案——创始人自己拉着表格，在顾问、broker、PEO 和合规工具之间协调——会带来盲目的前置投入、重复的证据劳动，以及在评估员或伙伴产能紧张时直接错过 kickoff 窗口。

解决方案

• 导入一份真实合同或分包合同，把条款和客户范围假设映射成按里程碑推进的 readiness 图谱，明确在 kickoff、涉密作业、开票或招聘前，网络安全、薪资、保险、人员安全和云任务分别该按什么顺序做。
• 把产出的材料沉淀进一份可复用的供应商 passport 材料包，供客户发给主承包商和合作方；执行层仍交给筛过的第三方伙伴，而不是逼创业公司一上来就把整套 GovCon 栈全买齐。

为什么我们会赢

• 现有 GovCon ERP、横向合规工具和各类专业服务各自只占工作流的一段，但没有谁是从那份真正让跨部门问题同时爆发的实时合同开始。
• 每完成一个项目，系统都能把 clause-to-task 图谱、伙伴 SLA 基准和买方接受的证据模板再磨一遍；这些切换成本，是人工顾问和点工具积不出来的。

里程碑

flowchart LR
  Wedge[合同触发的创业公司 readiness 切口] --> MVP[合同导入与 readiness 图谱 MVP]
  MVP --> Proof[按时开工与可复用供应商 passport]
  Proof --> Expansion[多项目复用与主承包商侧工作流]

创始团队

实验路线图

风险评估

必须成立的条件

• 至少一半被访的 ICP，必须在 180 天内面临真实的合同启动 deadline，而且阻塞项要同时跨网络安全、薪资/工时、保险和安全，而不只是网络安全。
• 前 4 个付费试点里，至少 2 个要在 6 个月内以 $45k+ ACV 转成年订阅。
• 至少 2 位来自主承包商或 C3PAO/MSP 伙伴的外部干系人，要愿意在只做模板级修改的前提下接受供应商 passport 导出件。
• 第一版模板搭好后，每个新项目的内部交付中位时间，必须在伙伴 pass-through 工作之外压到 20 小时以下。
• 可触达的滩头市场里，合格 logo 和渠道流量必须足以支撑第 3 年做到约 30 个活跃客户。

待尽调问题

• 每年到底有多少 30-150 人的 dual-use 创业公司，会真正跨进带 CUI 的主承包或后续项目？
• readiness 时钟开始转时，预算最先由谁拍板：COO、总裁、财务，还是安全负责人？
• 主承包商和供应商团队到底接受哪些材料，哪些环节仍然要求定制 portal 重填？
• 客户总支出里，持续性软件收入和一次性伙伴 pass-through / 实施费分别占多少？
• 公司能不能接入现有薪资/工时或 GovCon ERP 系统，而不是把每次部署都做成定制服务？

模型合理性

• 收入引擎. 基准情景的收入引擎，是从 Y1 的 3 个付费试点长到 Q4Y3 的 20 个活跃计费项目；而 Y3 的大部分新增，不是来自疯狂打新 logo，而是来自早期账户里的重复项目。
• 必须跑对的环节. 公司必须把早期试点转成可复用的第二项目动作，同时把交付继续压在伙伴侧，让毛利率从试点期的 45% 爬到 Q4Y3 的 70%。
• 模型会在哪坏掉. 如果扩张卡在 15 个活跃项目附近，价值获取也更接近纯订阅定价，那么下行情景的期末现金会掉到约 $164K，bridge round 的概率就会上来。
• 下一轮融资前的证明点. 如果到第 18 个月能做到 5 个活跃付费项目、2 个试点转年订阅、外部材料接受，以及 1 条可复用的伙伴来源试点路径，下一轮融资故事就成立。

情景

敏感性

flowchart LR
  Trigger[真实合同 / 分包合同触发器] --> Pilot[付费试点]
  Pilot --> Program[活跃计费的 readiness 项目]
  Program --> Expansion[重复项目与伙伴附加收入]
  Expansion --> Revenue[订阅费加附加收入]
  Revenue --> GrossProfit[毛利]
  GrossProfit --> Cash[跑到种子轮证明点的现金跑道]

警示项: Y3 人均收入约 $169K，仍低于典型企业 SaaS 的 $200K-$400K 基准，所以下一轮得靠更强的复用或附加收入经济，而不只是继续招人。 · 基准情景只做到 20 个活跃项目，低于研究里的 30 客户 SOM；这刻意保守，但也说明 venture case 很依赖滩头市场之外的后续扩张。 · 现金保持为正，主要因为规模化 GTM 招聘被推迟到第 30 个月；如果在重复项目证据出来前就提前招销售，融资需求会明显抬升。

• 服务膨胀. 如果客户期待公司亲自把每一项保险、薪资和安全任务都做掉，毛利率和产品聚焦都会塌。 缓解措施: 把核心产品守在编排软件上，把实施模板化，并通过有明确 SLA 的筛选伙伴来承接执行。
• 外部产能瓶颈. 即便工作流软件做得很好，评估员和人员安全资源短缺仍可能拖慢客户。 缓解措施: 汇总需求、提前锁定伙伴产能，并引导客户在正式项目 deadline 前很久就分阶段完成 readiness。
• 供应商 passport 接受风险. 如果主承包商和项目伙伴不接受共享的 readiness 材料，产品就可能退化成内部项目管理工具。 缓解措施: 输出围绕现有审阅材料包来设计，先在主承包商分包 onboarding 工作流里拿下试点，再用单个项目更快 kickoff 的结果去证明网络层扩张。