Tener una carpeta llena no demuestra cumplimiento, porque tanto CTPAT como OEA evalúan la capacidad de una empresa para sostener controles de seguridad con una operación que pueda explicarse, verificarse y rastrearse mediante evidencias consistentes, por eso el problema aparece cuando el procedimiento dice una cosa, el personal ejecuta otra y los registros disponibles no permiten reconstruir qué ocurrió, quién fue responsable o cuándo se aplicó el control, una diferencia que puede pasar inadvertida durante meses y hacerse visible justo cuando llega una validación de CTPAT, una inspección del SAT, una renovación o una solicitud de evidencia de un cliente internacional.
La dimensión de los programas explica por qué esta disciplina documental debe tratarse como parte de la operación y no como una actividad administrativa aislada, CBP reporta más de 11,400 socios certificados en CTPAT que representan más del 52% del valor de la carga importada a Estados Unidos, mientras el SAT mantiene OEA como una modalidad formal del Registro en el Esquema de Certificación de Empresas con once apartados mínimos de seguridad, un esquema que además puede implicar inspecciones iniciales y de supervisión, de modo que la evidencia debe funcionar durante el ciclo completo de la certificación y no únicamente en la semana previa a una revisión.
El problema no es tener documentos, sino poder demostrar el control
En CTPAT, la empresa debe presentar un Security Profile que explique cómo cumple los Minimum Security Criteria y CBP señala que ese perfil debe construirse a partir de una evaluación de riesgos previa, después la autoridad puede tardar hasta 90 días en certificar o rechazar una solicitud y, si la empresa es aceptada, debe ser validada dentro del primer año, además el perfil de seguridad debe revisarse al menos una vez al año y la validación puede repetirse como mínimo cada cuatro años o con mayor frecuencia según riesgo, por eso un documento que fue correcto al momento de la certificación puede convertirse en una fuente de riesgo si la operación cambió y el perfil, los procedimientos o las evidencias no se actualizaron al mismo ritmo.
En OEA ocurre una lógica equivalente desde otro marco regulatorio, el SAT establece once grupos de seguridad que incluyen planeación de la seguridad de la cadena de suministro, seguridad física, controles de acceso, socios comerciales, seguridad de procesos, gestión aduanera, vehículos y contenedores, seguridad del personal, información y documentación, capacitación, y manejo e investigación de incidentes, además exige presentar el Perfil correspondiente por cada instalación donde se realicen operaciones de comercio exterior, lo que obliga a evitar expedientes genéricos que describan una empresa abstracta mientras cada planta, patio, almacén o instalación trabaja con condiciones diferentes.
Documento, ejecución y evidencia deben contar la misma historia
Una evidencia sólida conecta tres niveles, primero el requisito que la empresa necesita cumplir, después el procedimiento que explica cómo se controla ese riesgo y finalmente el registro que prueba que la actividad realmente ocurrió, si falta alguno de esos niveles el sistema se vuelve difícil de defender, porque una política sin registros puede ser una declaración sin prueba, un registro sin procedimiento puede mostrar actividad sin criterio y un procedimiento que ya no coincide con la operación puede provocar que una entrevista, una observación en piso o una muestra documental revele contradicciones que no aparecen cuando la revisión se limita a leer manuales.
La trazabilidad permite reconstruir qué ocurrió
La pregunta útil antes de una auditoría interna no es cuántos archivos existen, sino si una persona ajena al proceso puede tomar una evidencia y entender qué requisito respalda, a qué instalación corresponde, quién la generó, cuándo se produjo, qué versión del procedimiento estaba vigente, qué resultado obtuvo el control y qué ocurrió si apareció una desviación, esta trazabilidad se vuelve más importante cuando CTPAT y OEA conviven dentro de la misma empresa, porque una misma inspección, capacitación, evaluación de proveedor o registro de acceso puede servir a ambos programas, pero debe conservar una referencia clara que evite duplicidades, versiones contradictorias o equivalencias que ninguna autoridad ha reconocido.
Evidencias documentales donde aparecen las brechas más críticas
Análisis de riesgos desactualizado o demasiado genérico
El análisis de riesgos suele debilitarse cuando se conserva como un ejercicio anual de escritorio y deja de reflejar cambios en rutas, instalaciones, socios comerciales, personal, sistemas, amenazas, incidentes o procesos, CTPAT exige que el Security Profile se apoye en una evaluación de riesgos y la revisión anual existe precisamente para que las políticas y procedimientos continúen representando la operación actual, mientras OEA incorpora la planeación de seguridad como el primero de sus once apartados, por eso una matriz que repite los mismos riesgos, controles y calificaciones año tras año puede ser formalmente completa y operativamente irrelevante si no explica qué cambió, qué evidencia se revisó y por qué el nivel de exposición sigue siendo válido.
Procedimientos que no reflejan la operación real
Una de las fallas más sensibles aparece cuando el documento está bien redactado pero describe una forma de trabajar que ya no existe, por ejemplo un procedimiento puede asignar la inspección de unidades a un puesto que cambió, exigir un formato que dejó de utilizarse, mencionar una ruta de escalamiento que nadie conoce o establecer una frecuencia que no se cumple, en ese caso la evidencia no falla porque el archivo esté ausente, falla porque el archivo y la práctica se contradicen, un riesgo que GCP coloca en el centro de su metodología al trabajar procedimientos a partir de la operación real y no desde plantillas genéricas, con el objetivo de que lo escrito pueda verificarse en piso, patio, almacén, transporte, seguridad, RH y comercio exterior.
Expedientes de socios comerciales sin seguimiento verificable
CTPAT y OEA consideran a los socios comerciales dentro de sus estructuras de seguridad, por eso no basta con conservar una carta, cuestionario o certificado recibido al inicio de la relación, el expediente necesita demostrar cómo se seleccionó al socio, qué nivel de riesgo representa, qué evidencia entregó, qué requisito contractual o de seguridad se le pidió, cuándo debe reevaluarse y qué ocurrió si surgió un incidente o un cambio relevante, esta brecha se vuelve especialmente visible cuando una empresa acumula proveedores, transportistas, agentes, almacenes o terceros con expedientes distintos y sin un criterio común de vigencia, porque el volumen documental crece mientras la capacidad de demostrar control disminuye.
Bitácoras de inspección, accesos, sellos y movimientos sin continuidad
Las bitácoras pueden parecer la evidencia más sencilla y al mismo tiempo convertirse en una de las más débiles cuando presentan periodos vacíos, campos incompletos, firmas repetitivas, horarios incompatibles, números de unidad que no corresponden, sellos sin relación con embarques o formatos que cambiaron sin control de versión, el problema no es únicamente la ausencia de un dato, sino la pérdida de continuidad probatoria, porque una revisión por muestreo puede seleccionar una fecha, una unidad, una persona o un embarque y exigir que la organización reconstruya el control de principio a fin, algo difícil de hacer cuando los registros viven en áreas separadas o no comparten identificadores comunes.
Expedientes de personal que no demuestran el ciclo completo del control
El expediente de personal debe permitir comprobar más que la contratación, ya que los controles relacionados con seguridad requieren entender altas, bajas, cambios de puesto, permisos, accesos, formación y responsabilidades, por eso una baja que no dispara la cancelación de credenciales o una transferencia de puesto que no actualiza permisos y capacitación puede convertir un expediente aparentemente completo en una evidencia contradictoria, además el SAT exige dentro de OEA controles de seguridad del personal y CTPAT mantiene criterios relacionados con personal y control de acceso, de modo que RH, seguridad y TI necesitan conservar información coherente sobre quién puede acceder, a qué puede acceder y por qué esa autorización sigue vigente.
Capacitación documentada que no demuestra competencia por rol
Una lista de asistencia demuestra presencia, pero no necesariamente demuestra que la persona entiende el control que debe ejecutar, por eso la evidencia de capacitación se fortalece cuando relaciona puesto, riesgo, procedimiento, contenido, fecha, evaluación, instructor, constancia y actualización, además conviene probar que el conocimiento llegó a la práctica mediante entrevistas, ejercicios, observaciones o auditorías internas, este punto es relevante para GCP porque su propuesta de capacitación busca trabajar por rol y generar evidencia formal, y también conecta con el propio diseño de OEA, donde capacitación en seguridad y concientización constituye uno de los once apartados mínimos, mientras CTPAT incorpora educación, capacitación y concientización dentro de sus criterios de seguridad.
Incidentes sin investigación, acción correctiva o cierre verificable
Registrar un incidente no equivale a demostrar que fue gestionado, porque la evidencia completa debería mostrar qué ocurrió, cuándo se detectó, quién intervino, cuál fue la causa o condición asociada, qué contención se ejecutó, qué acción correctiva se definió, quién la cerró y cómo se verificó que el riesgo quedó atendido, OEA dedica un apartado específico al manejo e investigación de incidentes y una organización que conserva reportes sin cierre puede transmitir que identifica eventos pero no aprende de ellos, además el historial de incidentes debe retroalimentar el análisis de riesgos y la capacitación, de lo contrario cada archivo queda aislado y el sistema pierde capacidad preventiva.
Documentos digitales sin responsable, versión o vigencia
La digitalización no resuelve por sí misma el control documental, una carpeta en la nube puede contener varias versiones del mismo procedimiento, registros duplicados, archivos sin fecha o evidencias que nadie sabe quién debe conservar, por eso cada elemento crítico necesita una fuente maestra, un responsable, una versión, una fecha de vigencia, una regla de conservación y una ubicación definida, el propio SAT incluye seguridad de la información y documentación entre los estándares OEA, mientras CTPAT ha reforzado la dimensión de ciberseguridad, lo que obliga a conectar la integridad de la evidencia con accesos, respaldos, disponibilidad, confidencialidad y capacidad para recuperar información cuando sea necesaria.
Duplicidades entre CTPAT y OEA que generan contradicciones
Cuando una empresa opera ambos programas por separado suele terminar con un procedimiento CTPAT y otro OEA para el mismo proceso, después cada área actualiza una versión distinta y la operación queda atrapada entre dos documentos que deberían describir una sola realidad, el SAT reconoce que determinadas instalaciones validadas por CTPAT pueden acreditar parte de los requisitos OEA mediante un reporte de validación emitido dentro de los tres años previos, siempre que exista autorización para intercambio de información con México y se mantengan los estándares aplicables, mientras las instalaciones no validadas por CBP deben presentar su Perfil correspondiente, esta relación demuestra compatibilidad entre programas pero no equivalencia total, por eso conviene integrar controles comunes y conservar trazabilidad específica donde cada programa tenga requisitos propios.
CTPAT y OEA no revisan exactamente lo mismo
Qué busca confirmar CBP durante una validación CTPAT
CBP define la validación como la verificación de las medidas de seguridad y prácticas de la cadena de suministro frente a los Minimum Security Criteria, antes de la visita el equipo puede revisar el Security Profile, información suplementaria y documentación de soporte, además el proceso de selección y alcance considera factores de riesgo y la empresa recibe aviso previo con solicitud de materiales cuando corresponda, esto significa que la validación no comienza cuando el equipo llega a la instalación, comienza con la coherencia de la información que la empresa ya declaró en su perfil, por lo que cada actualización anual debe tratarse como una oportunidad para comprobar que los controles, responsables, instalaciones y evidencias siguen describiendo la operación actual.
Qué debe poder demostrar una empresa frente al Perfil OEA
En México, la revisión debe considerar los once apartados de seguridad junto con los requisitos generales del registro, entre ellos el SAT exige declarar establecimientos, permitir acceso de AGACE para inspección inicial o de supervisión, acreditar operaciones de comercio exterior durante los dos años anteriores a la solicitud y presentar el Perfil por cada instalación aplicable, además el portal oficial indica un plazo de hasta 120 días hábiles para resolver la inscripción una vez que los requisitos están completos, una vigencia de dos años renovable y un costo publicado de $38,797 pesos para inscripción, renovación y anualidad del segundo año, datos que muestran que OEA no es un expediente estático, sino una condición regulatoria que debe mantenerse y demostrarse durante toda su vigencia.
Cuándo una misma evidencia puede respaldar ambos esquemas
Una misma evidencia puede utilizarse cuando nace de un control operativo común y su contenido satisface la profundidad requerida por cada programa, por ejemplo una evaluación de socio comercial, una inspección de unidad, un registro de acceso, una capacitación o una investigación de incidente pueden formar parte de un repositorio integrado, siempre que la matriz de cumplimiento indique qué requisito CTPAT y qué apartado OEA respaldan, a qué instalación aplica y qué elementos adicionales exige cada autoridad, esta lógica reduce retrabajo y mejora consistencia sin convertir la integración en una homologación informal.
Cuándo debe conservarse una referencia específica por programa
La referencia debe mantenerse separada cuando la obligación, formato, alcance o autoridad de revisión sea distinta, por ejemplo el Perfil OEA y el Security Profile de CTPAT tienen funciones regulatorias propias y no deben tratarse como documentos intercambiables, de la misma manera una instalación validada por CTPAT puede tener un tratamiento específico para efectos OEA, pero el SAT aclara que las empresas siguen obligadas a cumplir permanentemente los estándares mínimos y pueden recibir visitas de seguimiento, por eso la integración correcta comparte evidencia donde es legítimo hacerlo y conserva una ruta específica cuando la obligación jurídica requiere identidad propia.
Cómo evaluar la calidad de una evidencia antes de una revisión
Una auditoría preventiva puede reducir incertidumbre si cada muestra documental se evalúa con un criterio uniforme, en lugar de limitarse a marcar si el archivo existe, la revisión debe preguntar qué requisito cubre, qué riesgo controla, qué procedimiento lo genera, quién es responsable, con qué frecuencia se produce, qué vigencia tiene, dónde se conserva, a qué instalación corresponde y qué criterio permite aceptar o rechazar la evidencia, además conviene probar la trazabilidad con muestras aleatorias, porque seleccionar un embarque, una baja de personal, un proveedor o un incidente y seguir su rastro obliga al sistema a demostrar que los controles realmente se conectan entre áreas.
Una matriz práctica puede utilizar diez campos como mínimo: requisito, riesgo, control, procedimiento, responsable, evidencia, frecuencia, vigencia, instalación y criterio de aceptación, después cada fila puede incorporar una referencia CTPAT, OEA o compartida y un estado de cumplimiento, con esta estructura la empresa deja de administrar carpetas por intuición y puede identificar de inmediato qué evidencias están vencidas, qué controles no generan registros, qué procedimientos tienen versiones antiguas y qué áreas dependen de una sola persona para explicar el sistema.
Señales de alerta que justifican una auditoría preventiva
Existen señales que deberían activar una revisión antes de esperar una validación o inspección, entre ellas cambios de instalaciones, rutas, proveedores críticos o sistemas, rotación de responsables, procedimientos que no se actualizan desde la certificación, bitácoras con periodos vacíos, capacitación sin relación con puestos, incidentes repetitivos, carpetas CTPAT y OEA que contienen versiones distintas y evidencia concentrada en una sola persona, también conviene revisar cuando se aproxima una renovación o cuando un cliente internacional solicita pruebas de cumplimiento, porque en esos momentos la organización necesita responder con rapidez y cualquier inconsistencia que pudo corregirse con anticipación se convierte en retrabajo, presión y riesgo reputacional.
La actualización normativa también justifica mantener un calendario de revisión, las RGCE 2026 fueron modificadas por segunda vez el 22 de septiembre de 2026 y el SAT publicó una primera versión anticipada de una tercera modificación el 30 de septiembre, por lo que los responsables de OEA necesitan verificar cambios regulatorios antes de reutilizar procedimientos, formatos o interpretaciones de años anteriores, esta vigilancia no significa rehacer el sistema cada vez que aparece una publicación, significa contar con un responsable que revise el impacto, documente la decisión y actualice solo aquello que realmente cambió.
De la carpeta de cumplimiento a un sistema de evidencia trazable
La evidencia documental funciona cuando es el resultado natural de un control que la empresa ejecuta de manera consistente, no cuando se reconstruye antes de una visita, por eso el objetivo de un sistema CTPAT/OEA debe ser que cada área conozca qué controla, qué debe registrar, dónde conserva la prueba y qué hacer cuando detecta una desviación, con un repositorio ordenado, responsables claros, revisiones periódicas y una matriz que conecte requisito, operación y evidencia, este enfoque coincide con la lógica de GCP de convertir certificaciones en cumplimiento operativo real y puede complementarse con un diagnóstico CTPAT/OEA cuando la empresa todavía no conoce su nivel de preparación o con una auditoría interna cuando ya existe un sistema y necesita comprobar que sigue funcionando.
Un caso documentado por GCP muestra por qué esa conexión importa, antes de una validación CTPAT se trabajó capacitación sobre los doce criterios mínimos de seguridad, revisión de documentación existente, diagnóstico integral, fortalecimiento del manual de procedimientos y elaboración de un análisis de riesgos de cinco pasos, el resultado registrado fue una validación exitosa por parte de CBP, una experiencia que no debe interpretarse como garantía de resultado para otros proyectos, pero sí como evidencia de que la preparación útil combina documentos, riesgos, capacitación y operación en lugar de concentrarse únicamente en completar formatos.
La recomendación final es revisar las evidencias como lo haría un tercero que necesita comprobar el sistema sin conocer la historia interna de la empresa, si un registro no explica qué control demuestra, si un procedimiento no coincide con la práctica, si una capacitación no puede relacionarse con el puesto o si una acción correctiva no tiene cierre verificable, todavía existe una brecha, y detectarla durante una auditoría preventiva da tiempo para corregirla antes de que se convierta en observación, requerimiento, presión de cliente o pérdida de control durante una validación, inspección o renovación.
CTA: Solicita una auditoría preventiva CTPAT/OEA con GCP México
Fuentes utilizadas
• U.S. Customs and Border Protection, Customs Trade Partnership Against Terrorism, CTPAT
• U.S. Customs and Border Protection, CTPAT Portal 3.0 Manual 2025
• U.S. Customs and Border Protection, CTPAT Validation Process
• U.S. Customs and Border Protection, Supply Chain Annual Security Profile Review FAQ
• Servicio de Administración Tributaria, Normatividad RMF y RGCE 2026
• Servicio de Administración Tributaria, Reglas Generales de Comercio Exterior para 2026
• GCP México, sitio corporativo
• GCP México, Diagnóstico CTPAT/OEA
• GCP México, Diagnóstico CTPAT y OEA: ¿Tu Empresa Está Lista?
• GCP México, Auditoría OEA: cómo revisar tu cumplimiento antes del SAT
• GCP México, Proceso para obtener OEA en México: solicitud, evidencias y revisión
• GCP México, Cómo integrar CTPAT y OEA en un solo sistema de cumplimiento
• GCP México, Certificación CTPAT
• GCP México, caso documentado de Maquiladora del Refugio, material interno del cliente revisado por Grand Media.
