Una matriz de riesgos útil para CTPAT u OEA no es un archivo que se prepara unos días antes de una auditoría, es el registro estructurado de cómo una empresa identifica amenazas y vulnerabilidades, entiende sus causas y consecuencias, reconoce los controles que ya existen, prioriza lo que necesita tratamiento y deja evidencia de quién debe actuar, cuándo debe hacerlo y cómo se comprobará el cierre.
La diferencia es importante porque ambos programas parten de una lógica de gestión de riesgos, aunque no son equivalentes ni utilizan exactamente el mismo marco, CTPAT establece una secuencia clara para analizar la cadena internacional de suministro y OEA México exige que la empresa documente su propio proceso de identificación, análisis, evaluación, tratamiento, seguimiento y revisión conforme a su modelo de negocio.
El contexto también explica por qué el tema dejó de ser documental, U.S. Customs and Border Protection reporta más de 11,400 socios certificados en CTPAT que representan más del 52% del valor de la carga importada a Estados Unidos, además señala que una empresa debe haber realizado una evaluación de riesgos antes de completar su perfil de seguridad, que el programa puede tardar hasta 90 días en certificar o rechazar una solicitud satisfactoriamente integrada y que una empresa certificada debe ser validada dentro del primer año.
En México, el SAT presenta al Operador Económico Autorizado como un esquema orientado a actores del comercio exterior que implementan estándares mínimos de seguridad para mitigar actos ilícitos y, de forma expresa, señala que el programa permite identificar y establecer medidas para reducir riesgos internos y externos que puedan afectar la seguridad de la cadena de suministro, por lo que la matriz debe entenderse como parte del sistema de control y no como un anexo aislado.
Por qué la matriz de riesgos debe reflejar la operación real
El primer error consiste en construir la matriz desde un catálogo genérico de riesgos y después intentar acomodar la operación dentro de ese documento, el orden correcto es el inverso, primero se entiende cómo fluye la mercancía, qué información la acompaña, qué instalaciones intervienen, qué personas toman decisiones, qué socios comerciales participan, qué rutas se utilizan y qué controles existen, después se identifican los puntos donde una amenaza puede aprovechar una vulnerabilidad.
Esta lógica coincide con el Perfil de la Empresa E3 de las Reglas Generales de Comercio Exterior para 2026, cuyo Anexo 1 publicado en el Diario Oficial de la Federación indica que las empresas interesadas en OEA deben contar con procesos documentados y verificables conforme a una gestión de riesgo, además exige una cultura de análisis que apoye decisiones preventivas y reactivas ante amenazas y circunstancias de riesgo.
El mismo Perfil E3 establece que la empresa debe desarrollar un proceso por escrito adaptado a su modelo de organización y cita entre los factores que pueden cambiar el riesgo la ubicación de las instalaciones, el tipo de mercancías y país de origen, el volumen, los clientes, los proveedores, las rutas, la contratación de personal, la clasificación y manejo de documentos, la tecnología de la información y las amenazas potenciales, de modo que una matriz copiada de otra empresa puede ser formalmente completa y, al mismo tiempo, operativamente inútil.
Para GCP esta distinción es estratégica porque su posicionamiento parte de convertir CTPAT y OEA en cumplimiento operativo real, es decir, traducir requisitos en procedimientos, evidencias, responsables, capacitación y controles que puedan sostenerse durante la operación diaria y defenderse cuando un auditor, una autoridad o un cliente internacional pregunta cómo se administra un riesgo específico.
Qué exigen CTPAT y OEA sobre el análisis de riesgos
Los cinco pasos recomendados por CTPAT
La guía oficial C-TPAT Five Step Risk Assessment Process organiza el análisis en cinco pasos, mapear el flujo de carga y datos e identificar socios comerciales, realizar una evaluación de amenazas, realizar una evaluación de vulnerabilidades conforme a los criterios mínimos de seguridad, preparar un plan escrito para atender vulnerabilidades y documentar el procedimiento utilizado para realizar y actualizar las evaluaciones de riesgo.
El primer paso obliga a mirar la cadena completa y no solo la instalación propia, CBP pide identificar cómo se mueve la carga, qué modos de transporte intervienen, qué países de origen y puntos de tránsito forman parte de la ruta y qué socios participan de forma directa o indirecta, una lectura que ayuda a descubrir puntos ciegos como patios de terceros, transferencias, consolidaciones, cruces, almacenes externos, brokers o proveedores con acceso a información sensible.
En la evaluación de amenazas, CBP contempla terrorismo, contrabando, tráfico de personas, amenazas agrícolas y de seguridad pública, crimen organizado y condiciones regionales que puedan favorecer esos eventos, después pide estudiar vulnerabilidades concretas, por ejemplo accesos a carga, información, datos o procedimientos que podrían ser aprovechados por una persona o grupo con intención criminal.
El cuarto paso convierte el análisis en gestión, porque el plan de acción debe registrar debilidades, responsables y fechas compromiso, mientras que el quinto exige documentar cómo se realiza el proceso y revisarlo periódicamente, la propia guía indica que el procedimiento y la evaluación deben actualizarse al menos anualmente y con mayor frecuencia cuando se trate de transportistas terrestres o cadenas de alto riesgo.
CTPAT tampoco impone una sola ecuación matemática, la guía admite esquemas como alto, medio y bajo, aceptable o no aceptable, aprobado o no aprobado, además reconoce que un sistema complejo de puntuación no es apropiado para todos los modelos de negocio, por ello una fórmula de probabilidad por impacto puede ser útil como criterio interno siempre que la empresa defina su metodología, la aplique consistentemente y pueda explicar por qué un riesgo recibe determinada clasificación.
Lo que exige el Perfil de la Empresa OEA en México
El Perfil E3 para 2026 es más específico respecto a la evidencia que debe conservarse, pide anexar la matriz de riesgos y el procedimiento documentado utilizado para identificar riesgos en la cadena de suministro y las instalaciones, además señala que el procedimiento debe indicar la periodicidad de revisión, las áreas incorporadas al análisis, la metodología o técnicas utilizadas y los responsables de revisar o actualizar el análisis.
El documento define seis componentes para la apreciación y gestión del riesgo: establecer el contexto, identificar riesgos, analizar causas, consecuencias, probabilidades y controles existentes, evaluar qué riesgos requieren tratamiento y su prioridad, aplicar tratamientos que modifiquen la probabilidad de ocurrencia y realizar seguimiento para verificar resultados y eficacia, además utiliza como niveles de referencia alto, medio y bajo.
El Perfil E3 también exige que el procedimiento se actualice por lo menos una vez al año y cuando aparezcan incidentes de seguridad o cambien las condiciones iniciales de la empresa, esto convierte la matriz en un documento dinámico, porque una nueva ruta, una modificación de proveedor, la apertura de un almacén, un cambio tecnológico, un incidente de seguridad o una variación relevante en el proceso puede justificar una reevaluación antes de que llegue la fecha anual.
Como referencia metodológica, el Perfil sugiere utilizar técnicas de administración, gestión y evaluación de riesgos alineadas con ISO 31000, ISO 31010 e ISO 28000 cuando correspondan al modelo de negocio, la palabra clave es sugiere, porque el texto no convierte la certificación en esas normas en una obligación automática para OEA, sino que las presenta como marcos que pueden ayudar a estructurar el análisis.
Cómo construir una matriz de riesgos para la cadena de suministro
Mapear procesos, rutas, instalaciones y socios comerciales
La matriz empieza antes de llenar celdas, conviene dibujar la cadena desde el origen hasta el punto de entrega, incluyendo recepción de materiales, producción, almacenes, preparación de embarques, carga, inspección, colocación de sellos, patios, transporte, cruces, transbordos, consolidación, intermediarios, sistemas de información y puntos donde terceros tienen acceso físico o digital.
Este mapa debe vincular cada nodo con responsables y socios comerciales, porque un mismo riesgo cambia según quién controla el proceso, una carga estacionada dentro de una planta con CCTV, control de accesos y personal propio no tiene la misma exposición que una carga detenida en un patio externo sin supervisión equivalente, aunque ambas aparezcan bajo la etiqueta genérica de almacenamiento.
Separar amenaza, vulnerabilidad y consecuencia
Una amenaza describe lo que podría ocurrir, una vulnerabilidad explica qué debilidad permitiría que ocurriera y la consecuencia muestra qué impacto tendría para la seguridad o continuidad del proceso, si el riesgo se redacta solo como robo de mercancía, la organización todavía no sabe qué debe corregir, mientras que una formulación que identifique una ruta con detenciones no controladas, falta de geocercas, comunicación irregular y ausencia de protocolo de escalamiento permite diseñar controles específicos.
La matriz debe evitar mezclar causas y consecuencias en una sola frase, porque hacerlo dificulta elegir tratamientos, una vulnerabilidad puede ser un acceso no segregado, una causa puede estar en un procedimiento incompleto, una consecuencia puede ser contaminación de carga, pérdida de integridad del embarque, interrupción operativa, investigación o incumplimiento frente a un estándar, y cada elemento requiere una respuesta distinta.
Evaluar probabilidad, controles existentes y nivel de riesgo
Después de identificar el riesgo, la empresa necesita revisar qué controles ya existen y si realmente reducen la exposición, no basta con registrar que hay cámaras, sellos, capacitación o procedimientos, la pregunta es si el control está implementado, tiene responsable, genera evidencia, se prueba, se revisa y responde al escenario analizado, porque un control que existe solo en un manual no modifica de manera confiable el riesgo operativo.
Ejemplo de una escala operativa bajo, medio y alto
Una empresa puede definir una escala simple de probabilidad e impacto y convertirla en niveles bajo, medio y alto, siempre que documente qué significa cada nivel, cómo se toma la decisión y qué acciones corresponden, por ejemplo un riesgo alto puede requerir tratamiento inmediato y seguimiento de dirección, uno medio puede exigir un plan con fecha y responsable, y uno bajo puede mantenerse bajo monitoreo si los controles existentes son suficientes.
Esta escala es un ejemplo de operación y no una fórmula oficial impuesta por CTPAT o SAT, la utilidad depende de que la organización la use de manera consistente y pueda demostrar el razonamiento detrás de la clasificación, especialmente cuando dos riesgos similares reciben tratamientos distintos por diferencias de ruta, exposición, historial, volumen, mercancía, tercero involucrado o eficacia de los controles.
Definir tratamiento, responsable, evidencia y plazo
La matriz se vuelve útil cuando cada riesgo prioritario termina en una decisión, el tratamiento puede evitar una exposición, reducir su probabilidad, fortalecer detección, mejorar respuesta, transferir ciertas responsabilidades contractuales o aceptar un riesgo residual bajo criterios definidos, pero en todos los casos debe existir un responsable y una fecha que permitan dar seguimiento.
La evidencia debe diseñarse junto con el control y no al final, porque una auditoría puede revisar procedimientos, registros de inspección, bitácoras, fotografías, listas de asistencia, evaluaciones de capacitación, reportes de incidentes, verificaciones de socios, trazabilidad de sellos, registros de acceso, reportes de GPS, tickets de sistemas, actas de comité o cierres de acciones, por ello la columna de evidencia es tan importante como la columna de tratamiento.
Qué campos debería contener una matriz útil para CTPAT/OEA
No existe una sola plantilla universal, pero una matriz defendible debería permitir reconstruir el razonamiento completo desde el contexto hasta el tratamiento, por ello conviene considerar al menos los siguientes campos y adaptarlos al modelo de negocio de la organización.
- Proceso, nodo, instalación o tramo de la cadena.
- Socio comercial o tercero involucrado, cuando aplique.
- Amenaza identificada y fuente de información utilizada.
- Vulnerabilidad, causa o condición que aumenta exposición.
- Consecuencia potencial para seguridad, operación o cumplimiento.
- Probabilidad o frecuencia estimada bajo la metodología interna.
- Controles existentes y evidencia disponible de su ejecución.
- Nivel de riesgo antes y, cuando resulte útil, después del tratamiento.
- Tratamiento o acción requerida para reducir la exposición.
- Responsable, fecha compromiso y estado de avance.
- Evidencia esperada para demostrar implementación y cierre.
- Fecha de revisión, disparadores de actualización y riesgo residual.
Una versión ejecutiva puede resumir parte de esta información para dirección, pero el sistema de soporte debe conservar suficiente detalle para que una persona distinta al autor pueda entender por qué se asignó el nivel, qué evidencia se revisó y qué acción se decidió, esa trazabilidad reduce la dependencia de una sola persona y facilita mantener la matriz viva durante renovaciones, auditorías internas y cambios de personal.
Ejemplo práctico de matriz de riesgos
El siguiente ejemplo muestra cómo puede aterrizarse la lógica sin pretender sustituir la metodología propia de cada empresa, los niveles son ilustrativos y deben ajustarse al contexto, historial, exposición y controles reales.
| Proceso o nodo | Riesgo | Vulnerabilidad o causa | Controles y evidencia | Nivel | Tratamiento recomendado |
|---|---|---|---|---|---|
| Transporte en ruta | Desvío o intervención no autorizada | Paradas no definidas y comunicación irregular | GPS, geocercas, protocolo de escalamiento, bitácoras | Alto | Reforzar ruta segura, alertas y revisión de evidencia por viaje |
| Sellos de seguridad | Manipulación o sustitución de sello | Trazabilidad incompleta y verificación inconsistente | Registro de sellos, inspección, responsables, evidencia fotográfica | Alto | Estandarizar control, auditoría de registros y capacitación |
| Socio comercial | Acceso de tercero sin controles equivalentes | Evaluación inicial incompleta o monitoreo insuficiente | Due diligence, contrato, revisión periódica, evidencias | Medio | Actualizar evaluación y plan de seguimiento basado en riesgo |
| Personal sensible | Amenaza interna o uso indebido de acceso | Permisos excesivos y baja segregación de funciones | Perfiles, accesos, investigación, monitoreo, capacitación | Medio | Revisar privilegios, alertas y controles por puesto |
| Información y sistemas | Acceso no autorizado o interrupción | Credenciales compartidas y respaldo insuficiente | MFA, perfiles, logs, respaldos, plan de respuesta | Alto | Cerrar accesos, probar recuperación y documentar incidentes |
El valor de esta tabla no está en la cantidad de renglones, sino en la relación entre escenario, vulnerabilidad, control, evidencia y decisión, una matriz con cien riesgos genéricos puede aportar menos que una de treinta escenarios bien definidos, conectados con procesos reales y revisados por las áreas que operan cada control.
Riesgos que no deberían quedar fuera del análisis
Transporte, rutas y puntos de transferencia
El transporte merece un análisis por tramo, horario, tipo de unidad, paradas, patios, cruces, transferencias y protocolos de comunicación, porque el riesgo puede cambiar a lo largo de la misma ruta, conviene incluir integridad de unidades, inspecciones, sellos, estacionamientos, geolocalización, desviaciones, incidentes, contacto con operadores y criterios para escalar eventos anormales.
Socios comerciales y terceros
El Perfil E3 exige un proceso escrito basado en análisis de riesgo para seleccionar nuevos socios comerciales y monitorear a quienes ya trabajan con la empresa, por ello la matriz debe considerar transportistas, agentes, proveedores críticos, almacenes, servicios de seguridad, contratistas y cualquier tercero que tenga acceso físico, documental o tecnológico a la cadena.
Instalaciones, carga y controles físicos
Los riesgos físicos deben mirar accesos, perímetros, zonas sensibles, patios, andenes, almacenamiento, áreas de carga, control de llaves y credenciales, inspecciones, sellos, iluminación, videovigilancia y respuesta ante anomalías, siempre vinculando el control con la evidencia de que se ejecuta y con la persona que puede demostrarlo.
Personal y amenaza interna
La gestión de personal gana importancia porque el SAFE Framework 2025 de la Organización Mundial de Aduanas identifica las amenazas internas y los conspiradores internos como una preocupación creciente y pide que aduanas y operadores autorizados fortalezcan la sensibilización y las medidas preventivas, una tendencia relevante para matrices que antes concentraban casi toda la atención en perímetros, rutas y terceros externos.
El SAFE Framework 2025 fue publicado para una comunidad de 186 miembros de la Organización Mundial de Aduanas y mantiene la lógica global de cooperación entre aduanas y empresas, por lo que su actualización no sustituye los requisitos nacionales de OEA ni los criterios de CTPAT, pero sí confirma que la seguridad de la cadena está ampliando su mirada hacia integridad, conducta y amenazas originadas dentro de la propia organización.
Información, sistemas y ciberseguridad
El análisis también debe cubrir sistemas, credenciales, intercambio de datos comerciales, acceso a documentos, respaldos y continuidad tecnológica, el propio Perfil E3 incluye tecnología de la información y manejo documental entre las variables que la empresa debe considerar al determinar sus riesgos, además contempla ataques cibernéticos dentro de los escenarios que pueden afectar la continuidad del negocio.
Cuándo debe actualizarse la matriz de riesgos
La revisión anual es el piso, no el objetivo final, CTPAT indica que la evaluación y el procedimiento deben revisarse al menos una vez al año y el Perfil E3 2026 exige actualizar el procedimiento por lo menos anualmente, además de hacerlo cuando existan incidentes o cambios en las condiciones iniciales, por lo que conviene establecer disparadores específicos que obliguen a revisar riesgos antes de la fecha programada.
- Apertura, cierre o modificación relevante de instalaciones.
- Cambios de rutas, cruces, transportistas, patios o puntos de transferencia.
- Incorporación de nuevos socios comerciales o servicios críticos.
- Nuevos tipos de mercancía, orígenes, destinos o volúmenes.
- Incidentes de seguridad, anomalías, robos, contaminación o accesos no autorizados.
- Cambios relevantes en sistemas de información o procesos documentales.
- Hallazgos de auditorías internas, validaciones o revisiones de clientes.
- Cambios de personal en puestos sensibles o modificación de responsabilidades.
- Nuevas amenazas regionales, criminales, regulatorias o tecnológicas.
El CTPAT Portal 3.0 Manual 2025 refuerza esta idea al señalar que el Security Profile debe revisarse al menos anualmente como parte de la revisión obligatoria del socio y que la información declarada se verifica durante el proceso de validación, además recuerda que las validaciones están mandatadas por el SAFE Port Act al menos cada cuatro años y pueden realizarse con mayor frecuencia según riesgo.
Errores que debilitan una matriz frente a una auditoría
Una matriz puede verse completa y fallar cuando no existe trazabilidad entre riesgo y operación, entre los errores más frecuentes están copiar riesgos de otra empresa, usar frases demasiado generales, asignar niveles sin criterios definidos, registrar controles que no pueden demostrarse, omitir al responsable real del proceso, dejar acciones abiertas sin fecha y mantener el documento sin cambios a pesar de incidentes o modificaciones operativas.
Otro error es confundir la existencia de un control con su eficacia, una política firmada, una cámara instalada o una capacitación impartida no prueban por sí mismas que el riesgo esté controlado, la empresa necesita evidencias de ejecución, monitoreo y seguimiento, además de mecanismos para saber si la medida redujo la vulnerabilidad que justificó el tratamiento.
También es débil separar la matriz del resto del sistema, si el análisis identifica una nueva amenaza y la organización no actualiza procedimientos, capacitación, controles, auditorías o criterios de selección de socios, el documento queda desconectado de la operación, justo lo contrario de lo que establece el Perfil E3 cuando indica que las nuevas medidas derivadas del análisis deben incorporarse a procedimientos existentes o generar procedimientos nuevos.
De la matriz al cumplimiento operativo defendible
La matriz debe alimentar procedimientos y decisiones, el riesgo alto de manipulación de sellos puede modificar una inspección, un riesgo de acceso indebido puede cambiar permisos y monitoreo, un riesgo de tercero puede activar una reevaluación de socios, un riesgo de error humano puede convertirse en capacitación por rol y un riesgo tecnológico puede requerir controles de acceso, respaldo o respuesta a incidentes.
Esa relación permite que auditoría interna deje de ser una revisión documental y se convierta en una prueba del sistema, el Perfil E3 establece que las auditorías deben evaluar los procesos de seguridad de forma crítica, comprobar que el personal siga los procedimientos, documentar la revisión y dar seguimiento y cierre a acciones preventivas, correctivas y de mejora, mientras que los formatos utilizados deben evidenciar que los procedimientos y medidas realmente se ponen en práctica.
GCP cuenta con experiencia documentada que ilustra esta lógica, en un proyecto con una empresa manufacturera exportadora que se preparaba para CTPAT se integraron capacitación sobre los criterios mínimos de seguridad, revisión documental, diagnóstico, propuesta de mejoras, elaboración del análisis de riesgos de cinco pasos y trabajo colaborativo para integrar el manual de procedimientos, el material interno reporta una validación exitosa de CBP, aunque la autorización para identificar públicamente a la empresa debe confirmarse antes de publicación.
El aprendizaje aplicable no es que una plantilla garantice una validación, sino que el análisis de riesgos funciona mejor cuando conecta capacitación, procedimientos, controles, evidencia y responsables, porque cada hallazgo puede convertirse en una acción verificable y cada acción puede volver a revisarse en auditoría interna.
Cómo puede prepararse una empresa antes de una validación o auditoría
Antes de una revisión externa conviene tomar una muestra de riesgos altos y medios y recorrerlos de extremo a extremo, verificar que el escenario siga vigente, confirmar que el control exista en la operación, revisar la evidencia más reciente, entrevistar al responsable, validar que las acciones se hayan cerrado y comprobar que los documentos relacionados reflejen el mismo proceso que ejecuta el personal.
Después conviene revisar los disparadores de actualización, comparar la matriz contra incidentes del último año, altas y bajas de proveedores, nuevas rutas, cambios de instalaciones, modificaciones tecnológicas y hallazgos de auditoría interna, porque una matriz sin cambios durante un periodo de transformación operativa puede ser una señal de que el análisis no está acompañando al negocio.
Finalmente, la dirección debe poder leer la matriz como un instrumento de decisión y no como un archivo técnico aislado, necesita conocer cuáles son los riesgos prioritarios, qué controles críticos dependen de recursos, qué acciones están vencidas, qué vulnerabilidades permanecen abiertas y qué evidencia existe para defender que la empresa está gestionando su seguridad de manera sistemática.
Si tu empresa necesita revisar si su matriz de riesgos CTPAT/OEA refleja la operación real, GCP puede realizar una evaluación preventiva para identificar brechas, revisar la trazabilidad entre riesgos, controles y evidencias, y definir una ruta de trabajo antes de una auditoría, renovación o validación.
Fuentes consultadas y citadas
- CBP, programa Customs Trade Partnership Against Terrorism, CTPAT
- CBP, C-TPAT Five Step Risk Assessment Process
- CBP, CTPAT Portal 3.0 Manual 2025
- SAT, Registro en la modalidad Operador Económico Autorizado
- DOF, Anexo 1 de las RGCE para 2026, Perfil de la Empresa E3
- Organización Mundial de Aduanas, SAFE Framework 2025
