Una empresa puede tener un manual CTPAT/OEA actualizado, procedimientos aprobados y carpetas con registros, pero eso no garantiza que su personal sepa cómo actuar ante una anomalía en un embarque, una visita fuera de horario o un sello alterado, la diferencia aparece cuando alguien debe ejecutar el control sin consultar al responsable de certificaciones, explicar por qué lo hace y demostrar qué ocurrió, por eso el valor de un procedimiento no reside en la redacción del archivo, sino en su capacidad para orientar decisiones correctas durante una jornada de trabajo.
Esta distinción importa para las manufactureras exportadoras, transportistas y operadores logísticos de México que participan en cadenas de suministro con Estados Unidos, porque sus obligaciones de seguridad abarcan personas, instalaciones, socios comerciales, información, mercancías y movimientos, mientras que las validaciones pueden contrastar documentos con entrevistas, recorridos y registros, de modo que un manual elaborado para cumplir una lista de requisitos puede volverse insuficiente si describe una operación ideal que no coincide con las actividades del turno nocturno, del almacén o del patio de maniobras.
El propósito de este artículo es explicar cómo transformar los requisitos de CTPAT y OEA en procedimientos útiles, diferenciando las exigencias verificadas de ambos programas de las recomendaciones prácticas de implementación, con ejemplos de actividades, responsables, controles y evidencias, para que la empresa pueda identificar brechas antes de una revisión y construir un sistema que se mantenga vigente cuando cambian las rutas, los puestos, las instalaciones o los riesgos.
El punto de partida: dos programas, requisitos distintos y un mismo desafío operativo
CTPAT exige controles que respondan a los riesgos de cada participante
CTPAT, administrado por la Oficina de Aduanas y Protección Fronteriza de Estados Unidos, o CBP, es un programa voluntario de colaboración con empresas de la cadena de suministro, pero participar implica obligaciones concretas, ya que el Código de Estados Unidos, sección 963 exige evaluar riesgos de seguridad, implementar medidas y mantener prácticas alineadas con los criterios aplicables, entre ellas protección de contenedores, acceso físico, personal, procedimientos, capacitación, socios comerciales y tecnologías de información, una formulación que obliga a considerar lo que sucede realmente en cada proceso.
La Oficina de Rendición de Cuentas del Gobierno de Estados Unidos, GAO, en su informe de enero de 2026, organiza los criterios mínimos CTPAT en 12 categorías, que incluyen visión y responsabilidad de seguridad, evaluación de riesgos, socios comerciales, ciberseguridad, seguridad de medios de transporte, sellos, procedimientos, seguridad agrícola, seguridad física, accesos, personal y educación, capacitación y concientización, aunque el contenido exigible cambia según el tipo de participante, por lo que una manufacturera extranjera no debe copiar sin revisión las instrucciones de una transportista o un agente aduanal.
Esa adaptación comienza antes de solicitar la incorporación al programa, puesto que CBP establece que el perfil de seguridad debe explicar cómo se cumplen sus criterios mínimos y que debe apoyarse en una evaluación de riesgos previa, después dispone de hasta 90 días para certificar o rechazar una solicitud completa y, si la acepta, realiza la validación inicial dentro del primer año, plazos que muestran la importancia de llegar con controles implantados y personal preparado, no con procedimientos preparados únicamente para una entrega documental.
OEA en México obliga a mirar las instalaciones y la operación aduanera
En México, la modalidad Operador Económico Autorizado del Registro en el Esquema de Certificación de Empresas se administra a través del SAT y tiene su propio alcance, pues su ficha oficial de requisitos OEA agrupa los estándares mínimos en 11 apartados, entre ellos planeación de seguridad, seguridad física, accesos, socios comerciales, seguridad de procesos, gestión aduanera, medios de transporte, personal, información y documentación, capacitación y manejo de incidentes, categorías que vinculan la seguridad con los flujos reales de comercio exterior.
El SAT reconoce siete rubros de registro, Importador y/o Exportador, Controladora, Aeronaves, SECIIT, Textil, Recinto Fiscalizado Estratégico y Tercerización Logística, una amplitud que impide hablar de un procedimiento OEA universal, además exige, según el supuesto aplicable, un Perfil de la Empresa o del Recinto Fiscalizado Estratégico por cada instalación donde se realizan operaciones de comercio exterior, por lo que un mismo grupo empresarial podría necesitar adaptar el control de accesos, las inspecciones y las responsabilidades a cada planta, centro de distribución o recinto.
Compartir controles no significa confundir obligaciones
Cuando una compañía participa en CTPAT y OEA puede aprovechar controles comunes, como la revisión de socios comerciales, la administración de sellos o la formación del personal, siempre que documente qué criterio respalda cada actividad y preserve las particularidades regulatorias, porque la coincidencia operativa no crea una equivalencia normativa automática, un punto especialmente importante para equipos que buscan simplificar sus archivos sin perder trazabilidad ni dejar requisitos sin atender.
El SAT contempla un beneficio específico para instalaciones validadas por CTPAT cuando se cumplen condiciones como presentar un reporte emitido dentro de los tres años previos, acreditar el estatus certificado-validado y autorizar el intercambio de información con México, sin embargo, el propio SAT precisa que subsisten las demás obligaciones OEA y que las instalaciones no validadas deben presentar su perfil, de modo que un manual integrado debe ahorrar duplicación, pero nunca sustituir la revisión de requisitos aplicables por programa, rubro e instalación.
Por qué un procedimiento bien escrito puede fallar en el patio o el almacén
La plantilla describe lo deseable, no necesariamente lo que ocurre
El problema habitual de un documento genérico aparece cuando declara que el supervisor revisará cada vehículo antes de la carga, sin especificar quién lo sustituye en el segundo turno, cómo se identifican unidades tercerizadas o qué sucede si el embarque sale durante una contingencia, el texto puede parecer correcto en una auditoría de escritorio, pero la operación exige decisiones concretas que nadie dejó establecidas, así que una prueba sencilla consiste en solicitar a una persona del área que explique la actividad sin ayuda del autor del manual.
La misma dificultad surge cuando se usa un único procedimiento para distintas instalaciones, porque una planta con acceso peatonal separado, patio propio y vigilancia permanente no enfrenta exactamente los mismos puntos de control que un almacén compartido con terceros, por ello conviene preservar una política corporativa común y desarrollar instrucciones o anexos locales cuando cambien las responsabilidades, los recorridos, los registros o las excepciones, sin fragmentar innecesariamente el sistema documental.
El responsable nominal puede no controlar el proceso
Un procedimiento tampoco funciona cuando asigna la decisión a un cargo que no tiene autoridad operativa o acceso a la información necesaria, por ejemplo, comercio exterior puede concentrar el expediente de certificación, mientras logística recibe la unidad, vigilancia abre la puerta y almacén verifica la carga, si nadie define dónde inicia y termina cada responsabilidad, la empresa podría conservar todos los formatos y aun así carecer de una secuencia comprobable ante un incidente, una entrevista o la sustitución de una persona clave.
El cambio operativo convierte la versión anterior en un riesgo
Las modificaciones de rutas, proveedores, horarios, equipos, tecnología, puestos o infraestructura deberían activar una revisión documental proporcional a su efecto en la seguridad, ya que un procedimiento puede pasar de ser útil a ser engañoso sin que exista un error de redacción, particularmente cuando conserva números de contacto inactivos, pasos que dependían de un sistema sustituido o autorizaciones asociadas a una persona que ya no trabaja en la empresa, señales que justifican un control de cambios conectado con la evaluación de riesgos y no únicamente con la fecha de revisión anual.
revisión documental
evaluación de riesgos
Cómo construir un procedimiento que pueda ejecutarse y comprobarse
Primero se observa el flujo real y se identifica el riesgo
El punto de partida recomendado es describir el proceso tal como se ejecuta, desde la entrada de una unidad hasta la liberación de un embarque o desde la contratación de un empleado hasta la baja de sus accesos, identificando participantes, decisiones, excepciones y herramientas disponibles, para después contrastar ese flujo con el criterio CTPAT u OEA aplicable y con la evaluación de riesgos, así se evita redactar controles imposibles de cumplir y se detectan prácticas que hoy dependen de la experiencia informal del personal.
La obligación de evaluar riesgos tiene sustento en CTPAT y en el primer apartado de seguridad OEA, pero la forma de convertir esa evaluación en un mapa de actividades, responsables y puntos de verificación es una recomendación de implementación, de modo que el equipo puede construir una matriz sencilla con cinco campos, actividad real, amenaza identificada, medida preventiva, responsable y evidencia esperada, sin atribuir a las autoridades un formato específico que no exigen de manera general.
Después se define una secuencia clara y comprobable
Un procedimiento operativo debe responder quién activa el control, cuándo se ejecuta, qué verifica, con qué criterio acepta o rechaza un resultado, qué registro produce y a quién escala una desviación, además debe diferenciar las actividades rutinarias de las excepciones, porque una instrucción como verificar el sello es insuficiente si omite comparar su identificador con los documentos del embarque, establecer qué hacer ante una discrepancia y preservar el registro de la decisión, mientras que una secuencia bien definida facilita la capacitación y el muestreo posterior.
El tratamiento de excepciones también forma parte del control
Cuando una inspección identifica una irregularidad, el procedimiento debe explicar cómo detener o aislar la actividad cuando corresponda, quién recibe el aviso, cómo se protege la información, qué autoridad interna decide la liberación y de qué forma se documenta la corrección, siempre de acuerdo con el riesgo y las obligaciones aplicables, esta previsión disminuye la improvisación y evita que el personal perciba el reporte de incidentes como una tarea administrativa que puede resolverse al final del turno.
La evidencia se diseña junto con la actividad, no al final del proyecto
Un formato no debería pedirse únicamente porque aparece en un checklist, sino porque permite reconstruir un control, por ejemplo, una bitácora de inspección será útil cuando identifique la unidad, la fecha, el responsable, el resultado y el tratamiento de cualquier desviación, mientras que fotografías, validaciones digitales o registros de sistema pueden complementar esa prueba según las condiciones de la empresa, el objetivo consiste en lograr correspondencia entre requisito, ejecución y evidencia, sin duplicar información en cinco archivos incompatibles.
Una buena prueba de diseño consiste en seleccionar un embarque terminado y preguntarse si otra persona puede rastrear sus accesos, inspecciones, sellos, movimientos y autorizaciones sin reconstruir la historia mediante llamadas, lo mismo puede hacerse con el expediente de un proveedor o el retiro de accesos de un trabajador, esta prueba conecta con el artículo de GCP sobre evidencias documentales, aunque aquí el énfasis está en corregir el procedimiento que origina los registros y no en organizar archivos ya producidos.
El personal debe practicar el procedimiento que le corresponde
Las responsabilidades escritas solo se convierten en capacidad cuando cada rol entiende qué debe hacer y qué debe reportar, por lo que la capacitación debe partir de escenarios del puesto, como una unidad con indicios de manipulación, una visita no prevista o una contraseña comprometida, y después confirmar el aprendizaje mediante explicación, práctica o revisión supervisada, sin asumir que la asistencia a un curso demuestra por sí sola que el control se aplica, GCP describe precisamente este vínculo entre procedimientos basados en operación real, capacitación por rol y seguimiento como parte de su enfoque de trabajo.
Ejemplos de procedimientos según el área que ejecuta el control
Seguridad patrimonial y accesos
En una instalación exportadora, el procedimiento de accesos debe distinguir empleados, visitantes, contratistas, transportistas y proveedores, aclarar cómo se verifica la autorización, quién registra la entrada y salida, qué sucede ante una identificación irregular y cómo se recuperan credenciales cuando termina una relación laboral, la GAO identifica expresamente en los criterios CTPAT procesos escritos para otorgar, modificar y retirar identificaciones y dispositivos de acceso, por lo que el valor del documento se mide mejor al comprobar una baja real que al revisar un formato vacío.
Patio, transporte y manejo de sellos
En transporte, el control debe acompañar la unidad desde la asignación hasta la entrega correspondiente, con reglas claras sobre inspección, custodia, sellos, paradas, comunicaciones e incidentes según el tipo de participante, porque CTPAT contempla procedimientos escritos para las inspecciones de seguridad y agrícolas, además del control de sellos de alta seguridad, de manera que una empresa que solo capacita sobre el nombre del formato, pero no sobre la decisión de rechazar una unidad o reportar un sello alterado, mantiene una brecha entre la política y la práctica.
Almacén, inventarios y preparación de embarques
En almacén conviene describir cómo se recibe, identifica, resguarda, selecciona y libera mercancía, quién puede modificar una instrucción de carga y cómo se investiga una diferencia entre unidades físicas y documentación, un ejemplo práctico sería revisar si el personal puede detectar una discrepancia de bultos antes del cierre de un vehículo y si el registro permite relacionar la corrección con el embarque, porque la seguridad de procesos depende de controles entendibles y de acciones documentadas ante errores, no de firmar listas de comprobación en automático.
Recursos humanos, tecnología y comercio exterior
Recursos humanos necesita procedimientos aplicables para altas, cambios de puesto y bajas vinculadas con controles de seguridad, tecnología debe gestionar accesos a sistemas y vulnerabilidades según los riesgos y criterios que le correspondan, y comercio exterior debe verificar que la documentación y los actores asociados a la operación coincidan con los flujos autorizados, funciones que suelen evaluarse por separado aunque interactúan diariamente, por lo que asignar responsables compartidos y puntos claros de entrega de información es más útil que reproducir tres manuales que se contradicen.
Socios comerciales y terceros
Un procedimiento de selección y seguimiento de socios comerciales debe definir cómo se clasifica el riesgo, qué comprobaciones se realizan antes de incorporar a un tercero, quién autoriza excepciones, cuándo se revisa nuevamente la relación y cómo se responde a señales de incumplimiento, los criterios CTPAT incluyen procesos escritos basados en riesgos para examinar socios nuevos y dar seguimiento a los existentes, así que conservar únicamente un cuestionario de ingreso no demuestra necesariamente que la organización sepa gestionar cambios en transportistas, proveedores, agentes o servicios tercerizados.
Cómo validar el procedimiento antes de una auditoría externa
Comprobar documentos, personas y actividades con una misma muestra
La revisión más útil combina tres pruebas vinculadas, lectura de la instrucción vigente, entrevista a la persona responsable y observación o selección de un registro asociado con una actividad reciente, si los tres elementos cuentan historias distintas, la diferencia merece investigación antes de una visita oficial, mientras que una coincidencia consistente ayuda a demostrar que el procedimiento es conocido, ejecutable y supervisado, aunque no sustituye la revisión completa de los requisitos normativos aplicables a esa operación.
En una manufacturera, por ejemplo, puede elegirse un embarque de la semana anterior y pedir a vigilancia que explique el ingreso del operador, a almacén que reconstruya la carga y a logística que muestre la validación del sello y el despacho, después se comparan las respuestas con el procedimiento vigente, sus horarios y sus registros, y si existe una brecha se identifica si la causa fue una instrucción incorrecta, falta de capacitación, un control no ejecutado o una condición operativa que todavía no se ha incorporado al documento.
Revisar los incidentes sin convertir una cifra global en diagnóstico local
La necesidad de procedimientos claros para reportar, investigar y corregir incidentes adquiere dimensión cuando se observa el informe GAO publicado el 27 de enero de 2026, que identificó 480 participantes CTPAT involucrados en aproximadamente 2,200 incidentes de seguridad registrados entre los ejercicios fiscales 2020 y 2024, equivalentes a cerca del 1% de los incidentes de carga incluidos en el universo analizado, aunque el organismo reconoce datos incompletos, por lo que estas cifras describen una muestra administrativa de Estados Unidos y no permiten estimar la incidencia de problemas en empresas mexicanas.
Según esa misma investigación, cerca de 4% de los participantes del programa estuvieron involucrados en uno o más incidentes y los casos relacionados con drogas representaron poco menos de la mitad de los incidentes identificados, hallazgos que no implican que la participación en CTPAT provoque incidentes ni que toda empresa enfrente el mismo riesgo, sino que refuerzan una lección de gestión, los procedimientos deben incluir reglas claras para escalar anomalías, conservar pruebas, investigar causas y registrar decisiones de seguimiento, porque la evaluación de una respuesta resulta difícil cuando nadie puede reconstruir qué se hizo.
Mantener las versiones alineadas con la operación
La revisión interna debe comprobar que el procedimiento usado por el personal sea el mismo que controla el sistema documental, que las modificaciones de procesos activen actualizaciones proporcionadas al riesgo y que los responsables conozcan sus nuevas funciones, especialmente cuando una empresa trabaja con varios turnos o instalaciones, para ello puede utilizar indicadores propios como porcentaje de procedimientos probados en campo, desviaciones repetidas o controles sin evidencia, métricas propuestas para gestionar el sistema y no indicadores oficiales obligatorios de CTPAT u OEA.
Hacia un cumplimiento más dinámico y verificable
El contexto internacional respalda la necesidad de mantener vivos los procedimientos, pues el 15 de septiembre de 2025 la Organización Mundial de Aduanas publicó la actualización del Marco SAFE, destacando la cooperación entre autoridades y la adaptación de los programas de Operador Económico Autorizado a nuevas condiciones del comercio, incluida una mayor atención a la participación de micro, pequeñas y medianas empresas, una tendencia internacional que aporta dirección estratégica, pero que no modifica por sí misma las obligaciones particulares fijadas por CBP o por el SAT.
También importa dimensionar el universo de CTPAT sin confundirlo con el mercado mexicano, ya que la GAO informó que en agosto de 2025 había aproximadamente 11,000 participantes en el programa, de los cuales 30% eran importadores, 18% fabricantes extranjeros y otro 18% transportistas carreteros de Estados Unidos y Canadá, una composición que demuestra la variedad de actividades sujetas a criterios de seguridad y explica por qué trasladar una sola plantilla entre categorías o sectores produce instrucciones de baja utilidad, aun cuando los encabezados del manual se parezcan.
La GAO describe además tres niveles de participación CTPAT, Tier 1 para empresas certificadas, Tier 2 para empresas validadas y Tier 3 para quienes exceden los criterios aplicables, distinciones que recuerdan que el proceso no termina con la aprobación de documentos, mientras que en OEA el SAT puede realizar visitas de inspección y supervisión, por ello la empresa necesita procedimientos que sobrevivan a la rotación de personal, permitan detectar desviaciones y muestren cómo se mantiene el control durante el ciclo de su certificación.
En este escenario, el enfoque recomendado para una empresa exportadora es establecer una relación directa entre riesgo, procedimiento, responsable, práctica y evidencia, con revisión periódica y correcciones documentadas, en lugar de medir el avance por número de páginas elaboradas, GCP México plantea desarrollar procedimientos desde la operación real de cada cliente y acompañarlos con capacitación, auditoría interna y seguimiento, una propuesta cuya utilidad debe evaluarse siempre contra los procesos particulares, las obligaciones aplicables y las evidencias que la organización efectivamente puede generar.
Qué debe decidir tu empresa antes de actualizar sus manuales
Antes de encargar una nueva versión documental conviene identificar qué procesos son críticos, qué instalaciones o tipos de operación necesitan anexos propios, quién ejecuta los controles, qué excepciones generan mayor exposición y cómo se verificará su aplicación, porque estos criterios permiten convertir el trabajo documental en una mejora operativa y reducir el riesgo de invertir en procedimientos que nadie utiliza, también ayudan a separar la información que debe permanecer compartida entre CTPAT y OEA de los requisitos que necesitan tratamiento individual.
Para las áreas de seguridad, logística, recursos humanos, almacén y comercio exterior, la decisión práctica es revisar primero una muestra de actividades reales y sus registros, observar dónde existen contradicciones y corregir los procedimientos a partir de ese diagnóstico, si tu organización necesita ordenar esa revisión, GCP puede ayudarte a evaluar brechas, desarrollar procedimientos adecuados a tu operación y preparar a los responsables mediante un proceso de implementación y seguimiento enfocado en cumplimiento demostrable.
FUENTES CONSULTADAS Y CITADAS
CBP, Customs Trade Partnership Against Terrorism (CTPAT)
SAT, Registro en el Esquema de Certificación de Empresas, OEA
United States Code, 6 U.S.C. § 963, requisitos mínimos del programa
GAO, Supply Chain Security, informe GAO-26-107893, 27 de enero de 2026
Organización Mundial de Aduanas, actualización del Marco SAFE, 15 de septiembre de 2025
