Un robo de carga, una contaminación intencional de mercancía, un contenedor con droga oculta o un acceso no autorizado a un almacén no son solo incidentes de seguridad: son interrupciones del negocio que cuestan contratos, multas aduaneras y reputación. ISO 28000:2022, el estándar de seguridad en la cadena de suministro, ofrece un sistema de gestión para identificar estas amenazas, evaluarlas con método y controlarlas de forma verificable, desde el andén de tu planta hasta el punto de entrega.
Esta guía está dirigida a gerentes de seguridad patrimonial, directores de logística y comercio exterior, responsables de cumplimiento aduanero, gerentes de calidad de operadores logísticos, agencias aduanales, almacenes, transportistas y exportadores en México. Explica qué pide ISO 28000:2022 cláusula por cláusula, cómo se relaciona con el esquema de Operador Económico Autorizado (OEA) y con C-TPAT, cómo realizar la evaluación de riesgos de seguridad y qué hallazgos aparecen con más frecuencia en auditoría.
Qué es ISO 28000:2022 y qué cambió
ISO 28000 especifica los requisitos de un sistema de gestión de la seguridad (SGS), incluidos los aspectos críticos para la seguridad de la cadena de suministro. La segunda edición, publicada en 2022 con el título Seguridad y resiliencia — Sistemas de gestión de la seguridad — Requisitos, trajo cambios relevantes respecto a la versión de 2007:
- Estructura Armonizada: adopta las cláusulas 4 a 10 comunes a ISO 9001, ISO 14001, ISO 45001 e ISO/IEC 27001, lo que facilita la integración.
- Aplicabilidad más amplia: cualquier organización que quiera gestionar riesgos de seguridad puede usarla, no solo las que forman parte de una cadena logística, aunque la cadena de suministro sigue siendo su aplicación más común.
- Enfoque de riesgo alineado con ISO 31000: la evaluación y el tratamiento de riesgos de seguridad se desarrollan con más detalle.
- Estrategias, tratamientos y planes de seguridad: la cláusula de operación incorpora una lógica cercana a la de continuidad del negocio (ISO 22301), con planes de respuesta, comunicación y recuperación.
La familia se complementa con ISO 28001:2007, que describe buenas prácticas para realizar evaluaciones de seguridad y elaborar planes de seguridad en la cadena de suministro, y que resulta útil para organizaciones que buscan alinearse con programas aduaneros de comercio seguro.
Marco regulatorio y programas de comercio seguro en México
En México, la seguridad de la cadena de suministro se cruza con obligaciones aduaneras y con programas voluntarios que tus clientes pueden exigir:
- Operador Económico Autorizado (OEA): esquema de certificación en materia de seguridad administrado por la autoridad aduanera mexicana (SAT y Agencia Nacional de Aduanas de México) conforme a la Ley Aduanera y las Reglas Generales de Comercio Exterior. Contempla requisitos de seguridad para distintos perfiles: importadores y exportadores, transportistas, agentes aduanales, almacenes, parques industriales y otros actores.
- C-TPAT (Customs Trade Partnership Against Terrorism) de la Agencia de Aduanas y Protección Fronteriza de Estados Unidos (CBP): sus criterios mínimos de seguridad son requisito habitual para proveedores mexicanos de empresas estadounidenses. México y Estados Unidos mantienen un arreglo de reconocimiento mutuo entre el OEA y C-TPAT.
- Estándares privados de la industria: BASC (Business Alliance for Secure Commerce) y los requisitos de TAPA para instalaciones (FSR) y transporte (TSR), frecuentes en electrónica, farmacéutica y bienes de alto valor.
- Protección de datos personales: los sistemas de videovigilancia, control de acceso y verificación de antecedentes del personal deben cumplir la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025).
- Legislación laboral: los procesos de verificación de personal y las revisiones a la salida deben respetar la Ley Federal del Trabajo y los derechos de los trabajadores.
ISO 28000 no sustituye al OEA
El OEA es una certificación otorgada por la autoridad aduanera y otorga beneficios en el despacho; ISO 28000 es una certificación voluntaria de sistema de gestión emitida por un organismo de certificación acreditado. No son intercambiables, pero sí complementarias: un SGS conforme a ISO 28000 te da la estructura de riesgos, controles, auditoría interna y mejora que hace sostenibles los requisitos del OEA y de C-TPAT entre una validación y otra.
Requisitos de ISO 28000:2022 cláusula por cláusula
Contexto, liderazgo y planificación (cláusulas 4 a 6)
La cláusula 4 pide entender el contexto de seguridad de tu organización: amenazas del entorno (robo en carretera en ciertas rutas, contrabando, extorsión, sabotaje), requisitos de partes interesadas (clientes, autoridad aduanera, aseguradoras) y el alcance del sistema, que debe incluir las partes de la cadena de suministro bajo tu control o influencia. La cláusula 5 exige una política de seguridad aprobada por la alta dirección y roles con autoridad clara. La cláusula 6 pide determinar riesgos y oportunidades, establecer objetivos de seguridad medibles y planificar los cambios.
Apoyo (cláusula 7)
Incluye recursos, competencia del personal de seguridad y de operaciones, toma de conciencia, comunicación interna y externa, e información documentada. En seguridad, el control de la información documentada tiene un matiz particular: los planes de seguridad, planos de cámaras o rutas de traslado son información sensible y deben protegerse contra divulgación.
Operación (cláusula 8)
Es el núcleo del estándar. Sus apartados son:
- §8.1 Planificación y control operacional, incluido el control de procesos contratados externamente, como custodias, transporte o guardias.
- §8.2 Identificación de procesos y actividades relevantes para la seguridad: recibo, almacenaje, embarque, transporte, manejo de información y gestión del personal.
- §8.3 Evaluación y tratamiento del riesgo de seguridad.
- §8.4 Controles seleccionados e implementados para tratar los riesgos.
- §8.5 Estrategias, procedimientos, procesos y tratamientos de seguridad, que incluye la selección de estrategias, la determinación de recursos y la implementación de los tratamientos.
- §8.6 Planes de seguridad, con estructura de respuesta, alerta y comunicación, contenido de los planes y recuperación.
Evaluación del desempeño y mejora (cláusulas 9 y 10)
Pide seguimiento y medición del desempeño de seguridad, auditoría interna, revisión por la dirección, tratamiento de no conformidades con acción correctiva y mejora continua. En seguridad, los incidentes y cuasi incidentes son la principal fuente de aprendizaje y deben investigarse con la misma disciplina que una no conformidad de calidad.
Requisito normativo: planes de seguridad probados
ISO 28000:2022 §8.6 pide documentar planes de seguridad que definan cómo responder ante un incidente: quién decide, cómo se alerta y comunica a partes internas y externas, y cómo se recupera la operación. Un plan que nunca se ha ejercitado difícilmente demuestra eficacia. El auditor buscará evidencia de simulacros o pruebas, sus resultados y las mejoras derivadas.
Tabla de requisitos y evidencia esperada
| Cláusula | Requisito resumido | Evidencia esperada |
|---|---|---|
| §4.1–4.2 | Contexto de seguridad y partes interesadas | Análisis de amenazas del entorno y requisitos de clientes, aduana y aseguradoras |
| §4.3 | Alcance del SGS | Alcance que incluya sitios, procesos y eslabones de la cadena bajo control o influencia |
| §5.2 | Política de seguridad | Política aprobada, comunicada y coherente con los riesgos |
| §6.1–6.2 | Riesgos, oportunidades y objetivos | Objetivos medibles de seguridad con plan para lograrlos |
| §7.2–7.3 | Competencia y toma de conciencia | Formación en amenazas, inspección de unidades, reporte de actividades sospechosas |
| §7.5 | Información documentada | Clasificación y control de acceso a información sensible de seguridad |
| §8.1 | Control operacional y procesos externos | Requisitos de seguridad en contratos de transporte, custodia y guardias |
| §8.3 | Evaluación y tratamiento de riesgos | Metodología, matriz de riesgos por proceso y ruta, plan de tratamiento |
| §8.4–8.5 | Controles y tratamientos | Control de acceso, CCTV, sellos, inspección de contenedores, verificación de personal |
| §8.6 | Planes de seguridad | Planes documentados, simulacros y lecciones aprendidas |
| §9.1 | Seguimiento y medición | Indicadores de incidentes, cumplimiento de controles y hallazgos de inspección |
| §9.2–9.3 | Auditoría interna y revisión por la dirección | Programa de auditoría, informes y actas de revisión con decisiones |
| Cláusula 10 | No conformidad, acción correctiva y mejora | Investigación de incidentes, análisis de causa y verificación de eficacia |
Cómo realizar la evaluación de riesgos de seguridad
La evaluación de riesgos es donde la mayoría de los sistemas se queda corta: matrices genéricas con "robo" calificado igual en todos los procesos. Un método sólido, alineado con ISO 31000:2018 y con las buenas prácticas de ISO 28001, sigue estos pasos:
- Mapear la cadena de custodia. Dibuja el flujo físico y de información de la mercancía: proveedor, recibo, almacén, producción, empaque, embarque, transporte, cruce fronterizo y entrega. Marca cada transferencia de custodia.
- Identificar activos críticos. Mercancía de alto valor o susceptible de contaminación, contenedores y sellos, unidades, información de embarques, sistemas de control de acceso y personas.
- Identificar amenazas por punto. Robo en tránsito, robo interno, introducción de contrabando, contaminación intencional, suplantación de transportista, filtración de información de rutas, sabotaje y ciberataques a sistemas logísticos.
- Evaluar vulnerabilidades. Para cada amenaza, qué controles existen y qué tan eficaces son: iluminación perimetral, cobertura de cámaras, control de llaves, verificación de identidad del operador, segregación de funciones, rastreo GPS.
- Estimar probabilidad y consecuencia. Con una escala definida y criterios explícitos. La probabilidad debe considerar información real: incidentes propios, reportes de tu aseguradora y alertas de las autoridades sobre rutas.
- Decidir el tratamiento. Evitar (cambiar ruta u horario), reducir (controles adicionales), transferir (seguro, custodia contratada) o aceptar con autorización de la dirección.
- Documentar planes y responsables. Cada tratamiento con responsable, fecha y criterio de eficacia.
- Revisar periódicamente. Ante cada incidente, cambio de ruta, nuevo cliente o nueva instalación, y al menos en cada revisión por la dirección.
Este modelo de tres factores es habitual en seguridad patrimonial porque separa la amenaza (que no controlas) de la vulnerabilidad (que sí controlas). Si usas una escala de 1 a 5 en cada factor, define por escrito qué significa cada valor para evitar calificaciones subjetivas.
Ejemplo resuelto: exportador de autopartes en Coahuila
Ejemplo aplicado — Evaluación de riesgo de una ruta de exportación
Contexto: "Componentes del Norte" (empresa ficticia) fabrica arneses eléctricos en Saltillo y exporta a Texas por Nuevo Laredo. Tiene certificación OEA y su cliente le pide alinearse a ISO 28000. Contrata dos líneas transportistas y una agencia aduanal.
Evaluación del riesgo "introducción de mercancía ilícita en el tractocamión durante el tránsito":
- Probabilidad de la amenaza: 3 (existen antecedentes en la región reportados por la industria; no hay incidentes propios).
- Vulnerabilidad residual: 4 (sellos de alta seguridad colocados, pero sin verificación de integridad en el punto de cruce ni inspección de 7 puntos del tractor documentada; paradas no autorizadas no se monitorean).
- Consecuencia: 5 (retención del embarque, pérdida de beneficios OEA, riesgo legal y paro de línea del cliente).
- Nivel de riesgo: 3 × 4 × 5 = 60, por encima del umbral de 40 definido para tratamiento obligatorio.
Tratamientos definidos:
- Inspección documentada de tractor y caja en puntos críticos antes de cargar, con fotografía.
- Registro del número de sello en la documentación de embarque y verificación en el cruce por la agencia aduanal.
- Geocercas en el GPS con alerta ante paradas no autorizadas o desvíos de ruta, monitoreadas por un centro de control.
- Cláusulas de seguridad en contratos con transportistas y evaluación trimestral de su cumplimiento.
Reevaluación: con los controles implementados y verificados durante tres meses, la vulnerabilidad residual baja a 2 y el nivel de riesgo a 3 × 2 × 5 = 30, por debajo del umbral. La dirección acepta el riesgo residual y lo registra en la revisión por la dirección.
Controles de seguridad más frecuentes
Seguridad física y de procesos
- Perímetro, iluminación y control de accesos de personas y vehículos.
- CCTV con cobertura de andenes y áreas de carga, y conservación definida de grabaciones.
- Control de sellos: inventario, asignación, registro y verificación.
- Inspección de contenedores, cajas y tractocamiones antes de cargar.
- Segregación de mercancía de alto valor.
Personas, socios e información
- Verificación de antecedentes proporcional al puesto, respetando la ley.
- Formación en reconocimiento y reporte de actividades sospechosas.
- Requisitos de seguridad para transportistas, custodias y proveedores.
- Protección de información de embarques, rutas y horarios.
- Ciberseguridad de WMS, TMS y sistemas de rastreo.
Indicadores de desempeño de seguridad
| Indicador | Definición | Uso |
|---|---|---|
| Incidentes de seguridad | Número de incidentes por tipo y por cada 1,000 embarques | Tendencia y eficacia de controles |
| Cuasi incidentes reportados | Eventos que pudieron derivar en incidente | Cultura de reporte; un valor muy bajo puede indicar subregistro |
| Cumplimiento de inspección de unidades | Inspecciones documentadas / embarques | Control operacional |
| Discrepancias de sellos | Embarques con sello no coincidente o alterado / embarques | Integridad de la cadena de custodia |
| Socios evaluados en seguridad | Socios críticos con evaluación vigente / socios críticos | Control de procesos externos (§8.1) |
| Simulacros ejecutados | Ejercicios realizados / programados, con lecciones registradas | Eficacia de planes de seguridad (§8.6) |
Hallazgos típicos de auditoría en ISO 28000
| Hallazgo típico | Cláusula | Cómo corregir |
|---|---|---|
| Matriz de riesgos genérica, sin diferenciar procesos, rutas ni activos | §8.3 | Rehacer la evaluación sobre el mapa de cadena de custodia con criterios explícitos |
| Transportistas y custodias sin requisitos de seguridad comunicados ni evaluados | §8.1 | Cláusulas contractuales, verificación inicial y evaluación periódica |
| Planes de seguridad sin simulacros ni pruebas | §8.6 | Programa anual de ejercicios con registro de resultados y mejoras |
| Inventario de sellos sin control de asignación ni conciliación | §8.4 | Registro de entrada, asignación por embarque, conciliación y custodia segura |
| Información sensible de seguridad accesible a todo el personal | §7.5.3 | Clasificación de la información y control de acceso por necesidad de conocer |
| Incidentes resueltos sin investigación de causa | Cláusula 10 | Investigación estructurada, acción correctiva y verificación de eficacia |
| Objetivos de seguridad no medibles o sin seguimiento | §6.2 | Objetivos con indicador, meta, responsable y revisión periódica |
Seguridad sin violar derechos
Las revisiones a personas, la verificación de antecedentes y la videovigilancia deben diseñarse con apoyo jurídico. Un control que viola la privacidad o los derechos laborales puede generar una sanción mayor que el riesgo que intentaba reducir y será cuestionado por el auditor como incumplimiento de requisitos legales.
Integración con ISO 9001, ISO 22301 e ISO 27001
Por compartir la Estructura Armonizada, ISO 28000 se integra con facilidad. Con ISO 9001 en logística comparte la gestión de proveedores, el control operacional y la auditoría interna. Con ISO 22301 comparte la lógica de estrategias, planes de respuesta y recuperación. Con ISO/IEC 27001 comparte la protección de información de embarques y la ciberseguridad de sistemas logísticos. Un sistema integrado evita tener tres matrices de riesgo que no conversan entre sí.
Checklist de preparación para ISO 28000:2022
- El alcance incluye los sitios, procesos y eslabones de la cadena bajo tu control o influencia.
- La política de seguridad está aprobada por la alta dirección y comunicada.
- Existe un mapa de cadena de custodia con todas las transferencias identificadas.
- La evaluación de riesgos diferencia procesos, rutas y activos, con criterios escritos.
- Cada riesgo por encima del umbral tiene tratamiento, responsable y fecha.
- Los sellos se controlan desde su recepción hasta su verificación en destino.
- Las unidades y contenedores se inspeccionan y documentan antes de cargar.
- Transportistas, custodias y guardias tienen requisitos de seguridad contractuales y evaluación.
- La información sensible de seguridad está clasificada y protegida.
- Los planes de seguridad se han ejercitado y las lecciones se registraron.
- Los incidentes y cuasi incidentes se investigan con análisis de causa.
- Los controles de personal y videovigilancia tienen revisión jurídica.
- Se completó un ciclo de auditoría interna y revisión por la dirección.
Cómo lo abordamos en Quality College
Quality College no certifica: acompaña a exportadores, operadores logísticos, agencias aduanales y transportistas a construir un sistema de gestión de la seguridad que llegue a la auditoría de un organismo acreditado con controles probados. Nuestro trabajo incluye diagnóstico contra ISO 28000:2022 y contra los requisitos de seguridad que ya te exigen el OEA o tus clientes, mapeo de cadena de custodia, evaluación de riesgos, diseño de planes de seguridad y simulacros, formación de auditores internos, auditoría interna y acompañamiento en etapa 1, etapa 2 y cierre de hallazgos. Hemos acompañado a más de 150 organizaciones en 8 años, con garantía contractual de certificación.
Qualitix Bot® acelera la documentación de procedimientos y planes, e ISO Track® concentra incidentes, acciones correctivas, auditorías y revisiones por la dirección para sostener el sistema entre vigilancias. Conoce el enfoque sectorial en ISO para logística, transporte y comercio exterior.