Ocho de cada diez empresas mexicanas que hoy participan en cadenas de suministro internacionales enfrentan disrupciones por presión arancelaria, y una tercera parte ya acelera decisiones de relocalización hacia Norteamérica, lo que convierte a México en uno de los destinos más señalados del reordenamiento global de cadenas de suministro.
Ese desplazamiento no llega solo, porque viene acompañado de una exigencia que muchas empresas subestiman hasta que ya es tarde, dado que los compradores internacionales, los corporativos que instalan planta en México y las propias autoridades aduaneras de ambos lados de la frontera ya no preguntan si una empresa exporta bien, sino que preguntan si puede demostrarlo con evidencia, una pregunta que es, en esencia, lo que responde un diagnóstico CTPAT u OEA, y también la razón por la que este artículo existe, porque saber si tu empresa está lista para certificarse ya no es un ejercicio de curiosidad regulatoria, sino una decisión de negocio con fecha límite.
Ese desplazamiento no llega solo, porque viene acompañado de una exigencia que muchas empresas subestiman hasta que ya es tarde, dado que los compradores internacionales, los corporativos que instalan planta en México y las propias autoridades aduaneras de ambos lados de la frontera ya no preguntan si una empresa exporta bien, sino que preguntan si puede demostrarlo con evidencia, una pregunta que es, en esencia, lo que responde un diagnóstico CTPAT u OEA, y también la razón por la que este artículo existe, porque saber si tu empresa está lista para certificarse ya no es un ejercicio de curiosidad regulatoria, sino una decisión de negocio con fecha límite.
El momento no es casualidad: nearshoring, T-MEC y la nueva exigencia de evidencia
La revisión formal del T-MEC arranca el 1 de julio de 2026, y con ella llega una presión que ya se sentía desde antes en el piso de las plantas mexicanas, dado que la autoridad aduanera de los tres países exige cada vez más que el origen real de cada insumo pueda comprobarse, lo que convierte a la trazabilidad documental en una condición de entrada y no en un requisito opcional.
En paralelo, el análisis de riesgo de cadena de suministro más reciente de McKinsey confirma que el 82% de las empresas encuestadas ya vive disrupción operativa por presión arancelaria, mientras que un 33% acelera activamente sus planes de relocalización hacia mercados más cercanos a Estados Unidos, y KPMG proyecta que la proporción de cadenas de suministro que abastecen a ese mercado y que ya operan desde el continente americano pasará de 59% a 69% en los próximos años, con México como uno de los principales beneficiarios de ese movimiento.
Ese crecimiento, sin embargo, no llega sin condiciones, ya que los mismos analistas que documentan el auge del nearshoring reportan que la visibilidad de los compradores globales sobre sus proveedores de segundo y tercer nivel aumentó 22 puntos en apenas un año, lo que significa que una empresa mexicana ya no compite solo por precio o cercanía geográfica, sino que compite también por su capacidad de mostrar, con papel y con evidencia operativa, que su cadena de suministro es segura y trazable.
La consecuencia práctica es que certificaciones como CTPAT y OEA, que hace una década eran un diferencial competitivo opcional, hoy operan como filtro de entrada para integrarse a cadenas de suministro de manufactura avanzada, automotriz, electrónica, aeroespacial y farmacéutica, sectores que en conjunto recibieron más de 12,700 millones de dólares en inversión extranjera directa durante 2024, mientras que el sector de transporte y almacenamiento —clave para el segmento de autotransporte— captó otros 5,200 millones de dólares bajo el mismo fenómeno.
Frente a ese escenario, la pregunta que debería hacerse cualquier director de operaciones, gerente de comercio exterior o responsable de seguridad patrimonial no es si conviene certificarse, sino si su empresa está realmente lista para hacerlo, y esa pregunta solo tiene una respuesta confiable: un diagnóstico estructurado.
Qué es realmente un diagnóstico CTPAT u OEA
Un diagnóstico no es un formulario que se contesta desde un escritorio, ni tampoco es lo mismo que la certificación misma, sino que es, en esencia, un ejercicio de comparación entre lo que tu empresa hace hoy y lo que exige el estándar mínimo de seguridad de cada programa, con el objetivo de identificar con precisión qué existe, qué falta, qué debe corregirse y qué riesgos podrían frenar una futura implementación o poner en riesgo una validación.
Tanto el programa CTPAT, administrado por la Oficina de Aduanas y Protección Fronteriza de Estados Unidos, como el programa OEA, administrado en México por el SAT a través de la Administración General de Auditoría de Comercio Exterior, comparten una misma lógica de origen, ya que ambos se desprenden del Marco Normativo SAFE de la Organización Mundial de Aduanas, lo que explica por qué las empresas certificadas en uno de los dos esquemas suelen encontrar un camino más corto hacia el otro, e incluso quedan exentas de presentar ciertos formatos si ya cuentan con validación vigente del programa complementario.
En la práctica, un diagnóstico bien hecho revisa siete grandes frentes de seguridad que ambos programas comparten en su esencia, aunque cada uno los organice con nomenclatura propia:
- Planeación de la seguridad en la cadena de suministro y análisis de riesgos
- Seguridad física de instalaciones y control de acceso
- Selección, verificación y seguimiento de socios comerciales
- Seguridad de procesos, embarques y gestión aduanera
- Seguridad de vehículos, contenedores y unidades de transporte
- Gestión y verificación de personal
- Seguridad de la información, tecnología y ciberseguridad
Cada uno de estos frentes se traduce, en un diagnóstico real, en preguntas muy concretas, dado que no basta con tener una política de control de acceso, sino que hay que poder mostrar quién entra, cuándo, con qué autorización y qué registro queda de ello, así como tampoco basta con decir que se verifican proveedores, sino que hay que poder mostrar el criterio con el que se seleccionan, la frecuencia con la que se revisan y qué se hace cuando uno de ellos deja de cumplir, y ese nivel de detalle es, precisamente, lo que separa un diagnóstico serio de un cuestionario superficial.
Por qué el diagnóstico determina el alcance de todo lo que sigue
El valor estratégico del diagnóstico no está solo en identificar huecos, sino en que define el alcance real del trabajo que viene después, lo que evita que una empresa dedique meses de esfuerzo desordenado antes de descubrir que estaba resolviendo lo que no era prioritario.
Una empresa que se salta este paso y avanza directo a implementar procedimientos genéricos suele descubrir, ya avanzado el proceso, que sus documentos no corresponden a su operación real, que su personal no puede explicar su función dentro del sistema de seguridad, o que las evidencias que debería tener simplemente no existen, y cualquiera de esos tres escenarios retrasa la certificación, lo que en el caso de OEA tiene un costo medible en tiempo, dado que la autoridad cuenta con 90 días hábiles para resolver una solicitud una vez presentada, con la posibilidad de emitir hasta dos requerimientos de información adicional, cada uno con 15 días hábiles de plazo para responder, y cada respuesta reinicia el conteo completo de los 90 días.
Un expediente mal preparado desde el inicio no solo retrasa el proceso, sino que lo puede multiplicar por dos o por tres.
Diagnóstico vs. auditoría interna: dos servicios que el mercado suele confundir
Uno de los errores más comunes entre empresas que se acercan por primera vez a este tema es tratar el diagnóstico y la auditoría interna como si fueran lo mismo, cuando en realidad responden a momentos distintos del ciclo de vida de una certificación, dado que el diagnóstico se hace antes de iniciar el proceso, o cuando una empresa aún no sabe con certeza qué tan lejos está de cumplir los criterios mínimos, con una función exploratoria centrada en entender el punto de partida, mientras que la auditoría interna se realiza cuando ya existe un sistema de seguridad implementado, con la función de verificar que ese sistema funciona en la práctica y no solo en el papel, generalmente como preparación previa a una validación oficial, a una renovación, o como parte de un programa de mantenimiento anual.
Esta distinción importa porque el mercado de consultoría suele mezclar ambos conceptos bajo el mismo paraguas comercial, lo que genera confusión en empresas que terminan contratando el servicio equivocado para su momento, ya que una empresa que apenas está evaluando si le conviene certificarse necesita un diagnóstico, no una auditoría, mientras que una empresa que ya tiene CTPAT u OEA vigente y quiere anticiparse a una revisión necesita una auditoría interna, no un diagnóstico desde cero, de modo que saber en qué punto del camino se encuentra tu empresa es, de hecho, la primera pregunta que cualquier diagnóstico bien conducido debería resolver antes de entrar en el detalle técnico.
Lo que los diagnósticos suelen revelar: la brecha no está donde la mayoría cree
Aquí es donde conviene detenerse, porque el hallazgo más consistente en los diagnósticos recientes contradice la intuición de muchos directores, ya que la mayoría de las empresas mexicanas que se acercan a CTPAT u OEA asume que su principal reto será de seguridad física, instalar cámaras, reforzar bardas, contratar más vigilancia, cuando en realidad el problema más frecuente es documental y probatorio.
En las validaciones y auditorías más recientes de ambos programas, la autoridad ya no se conforma con verificar que existan políticas, procedimientos o formatos firmados, sino que su atención está puesta en confirmar que esos controles se ejecutan de manera constante, que están integrados en la operación diaria y que su cumplimiento puede demostrarse con evidencia objetiva y verificable, de modo que es cada vez más común que se solicite evidencia operativa como registros históricos, grabaciones de circuito cerrado, bitácoras de inspección, reportes de incidencias, e incluso entrevistas directas al personal operativo para confirmar que lo que dice el manual coincide con lo que hace la persona en su puesto de trabajo.
Es frecuente encontrar empresas con manuales actualizados, políticas firmadas y formatos correctamente autorizados desde el punto de vista documental, pero que al momento de una revisión no logran mostrar evidencia suficiente, congruente o trazable de que esos controles realmente se aplican.
Esa brecha explica por qué tantas empresas que se consideraban “listas” reciben observaciones inesperadas durante su validación, y también por qué un diagnóstico bien hecho no se limita a revisar si existen documentos, sino que revisa si esos documentos tienen respaldo operativo real, en la medida en que preguntas como quién genera cada evidencia, dónde se conserva, cómo se actualiza y quién puede verificarla en cualquier momento son, en la práctica, más determinantes para el resultado final que la sola existencia de una política de seguridad bien redactada.
Este mismo patrón se repite después de obtenida la certificación, ya que el verdadero reto de CTPAT y OEA no termina con el certificado, sino que comienza con su mantenimiento, dado que la permanencia de ambos esquemas depende de que la empresa sostenga sus controles y evidencias de manera constante, y no de que los haya tenido en orden únicamente el día de la visita.
Qué significa esto para una decisión de negocio, no solo de cumplimiento
Para un director que evalúa si es momento de certificarse, esta información se traduce en una decisión concreta que va más allá de la casilla regulatoria, ya que si tu empresa forma parte del programa IMMEX, la certificación OEA dejó de ser opcional desde enero de 2024, lo que afecta directamente a cientos de manufactureras que operan bajo ese esquema y que, si aún no han iniciado el proceso, ya acumulan tiempo de exposición regulatoria, mientras que si tu empresa es transportista o proveedora de servicios logísticos que cruza frontera, la presión no viene solo de la autoridad, sino también de tus propios clientes corporativos, que cada vez con mayor frecuencia condicionan sus contratos de suministro a la presentación de certificaciones vigentes y sistemas de trazabilidad verificables, eliminando el margen que antes existía para la informalidad operativa.
La inversión inicial también forma parte de esta decisión, y conviene dimensionarla con precisión, ya que el trámite de inscripción ante el SAT para la certificación OEA representa un pago de derechos de $27,590 pesos conforme al Anexo 2 de las Reglas Generales de Comercio Exterior vigentes, cifra que se mantiene relativamente contenida frente al costo real del proceso, que suele concentrarse en la consultoría especializada, la adecuación de instalaciones y la elaboración de manuales y evidencias.
A esa inversión inicial hay que sumarle una lógica de ciclo, dado que la certificación OEA tiene una vigencia de dos años, sujeta a auditorías anuales de mantenimiento, y su renovación debe presentarse dentro de los treinta días hábiles previos al vencimiento del registro, lo que convierte el diagnóstico en una herramienta que no solo sirve para la primera certificación, sino también para anticipar con margen suficiente cada ventana de renovación y evitar que una empresa certificada pierda su estatus por un descuido de calendario.
Por el lado del costo de no prepararse, la exposición es igual de concreta, ya que una solicitud OEA mal preparada puede extender su resolución varios meses adicionales por cada requerimiento no resuelto a tiempo, y una validación CTPAT con hallazgos de seguridad no sustentados puede significar la diferencia entre una aprobación y una suspensión que afecta directamente la relación comercial con clientes en Estados Unidos, de modo que las empresas que intentan gestionar este proceso de forma interna, sin experiencia previa ni un diagnóstico que ordene el camino, enfrentan tasas de rechazo y retraso considerablemente más altas que aquellas que se apoyan en acompañamiento especializado desde el inicio.
Hacia dónde va la exigencia: más datos, más trazabilidad, menos margen de improvisación
La dirección del cambio es clara y no apunta a suavizarse, ya que los decretos de mayo de 2026 vinculados al Plan México aceleran ciertos trámites de inversión, pero trasladan buena parte del peso del análisis de riesgo hacia las propias empresas, lo que incluye verificación de identidad, revisión de sanciones, identificación de beneficiario final y análisis reputacional como condiciones para acceder a estímulos fiscales, mientras que en paralelo, la revisión del T-MEC que arranca formalmente este año presiona hacia reglas de origen más estrictas y hacia una exigencia de contenido regional que solo puede sostenerse con documentación robusta a lo largo de toda la cadena, no únicamente en el tramo final de manufactura.
Todo esto apunta en una sola dirección: la evidencia operativa dejó de ser un detalle técnico de las auditorías y se está convirtiendo en el lenguaje común entre autoridad, cliente corporativo y proveedor mexicano, de modo que las empresas que entiendan esto antes que sus competidores, y que empiecen por un diagnóstico honesto de dónde están paradas hoy, van a llegar a la conversación de certificación con una ventaja que ya no se puede improvisar en el último mes antes de una visita de validación.
Cómo resuelve esto GCP México
En GCP México, el diagnóstico no es un cuestionario genérico que se contesta en una llamada, sino el primer paso de un sistema de cumplimiento construido a partir de la operación real de cada cliente, lo que significa que antes de hablar de documentos o procedimientos, se revisan rutas, patios, almacenes, accesos, unidades, proveedores y responsabilidades tal como funcionan hoy en el día a día, un punto de partida que es el que permite que la ruta de implementación que sigue después tenga sentido para la empresa específica que la va a ejecutar, y no para una empresa genérica que existe solo en un formato descargado de internet.
Dado que el hallazgo más frecuente en las auditorías actuales no es de seguridad física sino de evidencia insuficiente o inconsistente, el frente de diagnóstico de GCP está diseñado precisamente para detectar esa brecha antes de que se convierta en una observación durante una validación real, revisando no solo si existen políticas y procedimientos, sino si la empresa puede sostenerlos con registros, bitácoras y respaldos que resistan una revisión a fondo, de modo que cuando ese diagnóstico revela que ya existe una base sólida pero falta ordenar la evidencia y capacitar al personal en su rol específico dentro del sistema, el frente de implementación convierte cada hallazgo en procedimientos reales, responsables definidos y evidencias trazables, mientras que la capacitación DC3 asegura que un operador, un guardia, un responsable de embarques o un gerente de seguridad reciban exactamente la información que su función requiere, con constancia oficial como respaldo documental.
Para empresas que ya cuentan con certificación vigente y necesitan anticiparse a una revisión, el frente de auditoría interna de GCP funciona como el paso natural después del diagnóstico, simulando las condiciones de una validación real para detectar brechas antes de que la autoridad o el cliente internacional las detecten primero, y para quienes se acercan al fin de su vigencia, el frente de renovación revisa que la documentación siga reflejando la operación actual y no una fotografía desactualizada de hace dos o tres años, mientras que el frente de certificación OEA acompaña específicamente a las empresas IMMEX que hoy enfrentan esta certificación como obligación, no como opción, de modo que en cada uno de estos seis frentes, la lógica es la misma que sostiene todo el trabajo de GCP: construir sistemas de cumplimiento a partir de la operación real del cliente, y no a partir de plantillas que nadie en la planta reconoce como propias.
Si tu empresa está evaluando si es momento de certificarse, o si ya tiene una certificación vigente y quiere confirmar que puede sostenerla frente a una revisión más exigente, la pregunta que vale la pena hacerse no es si vas a poder llenar los formatos correctos, sino si tu operación puede demostrar, con evidencia real, lo que esos formatos dicen que haces.
Un diagnóstico bien hecho no es el final del camino hacia CTPAT u OEA, sino la única manera confiable de saber cuánto camino falta por recorrer, y en un momento donde el nearshoring y la revisión del T-MEC están elevando la exigencia de evidencia en toda la cadena de suministro, esa claridad inicial puede ser la diferencia entre certificarse a tiempo o quedar fuera de la conversación con el cliente que más te interesa conservar.
