¿Conoces cómo reportar incidentes de seguridad en tus Certificaciones OEA-CTPAT?

Los criterios de seguridad para los programas OEA y CTPAT establecen que las empresas certificadas deben contar con medidas para reportar e investigar incidentes en la cadena de suministros y las acciones a tomar para evitar su recurrencia, así como notificar a aquellos socios comerciales que pueden ser afectados, autoridades de seguridad competentes y al especialista OEA y/o CTPAT a cargo. A pesar de esto, es común que las empresas no conozcan el proceso adecuado para notificar a las partes y puedan incurrir en un incumplimiento.

Es importante destacar que cualquier incidente que pueda poner en riesgo la seguridad en la cadena debe ser documentado y analizado, con la finalidad de evaluar el riesgo e identificar las acciones correctivas a tratar. Dentro de los principales incidentes de seguridad a reportar se encuentra un ataque cibernético, la intrusión de personal no autorizado, el contrabando de mercancías ilícitas en las unidades de carga, el robo de unidad o mercancía, la colusión de empleados, el corte de energía eléctrica, la perdida de señal en cámaras de seguridad, entre otros. Dependiendo el nivel de riesgo o incidente la empresa debe evaluar y tomar la decisión de notificar a las autoridades competentes.

Tanto OEA como CTPAT requieren procesos formales, documentados, trazables y oportunos para reportar incidentes que puedan afectar la cadena de suministro.

Como establecen los perfiles de seguridad, las empresas deben comenzar una carpeta de investigación e iniciar con el llenado del formato de incidente de seguridad, el cual debe contener como mínimo fotografías y/o video del incidente, entrevistas, bitácoras o formatos aplicables, información del embarque e inspecciones (de ser el caso), así como una descripción completa del resultado de la investigación y las acciones tomadas. Dicho reporte debe contener la fecha, hora y lugar en el cual sucedió el incidente, qué pasó y quién lo detectó. Se debe dar seguimiento al incidente para determinar su causa, además de las acciones correctivas para evitar que vuelvan a ocurrir, mismas que deben implementarse lo más pronto posible.

El formato y evidencias del incidente debe mantenerse con fines de expediente y auditoría, demás de la presentación de un aviso a la autoridad para notificar el caso.