Seguridad en la cadena de suministro

Las normas de la serie ISO 28000 cubren la seguridad en el entorno del transporte de bienes y servicios. El objetivo es evitar que la cadena logística en este ámbito pueda ser utilizada para fines como el tráfico ilegal o contrabando de mercancías, entre otros.

Cada vez son más las normas de sistemas de gestión que comprenden la gestión de la seguridad. A modo de ejemplo se puede citar la seguridad alimentaria (UNE-EN ISO 22000), la salud y seguridad en el trabajo (OHSAS 18001) o la seguridad de la información (UNE-ISO/IEC 27001). En el sector logístico, tanto para el transporte como para el almacenaje, encuentra aplicación el conjunto de normas ISO 28000. Con ellas se pretende evitar o reducir el riesgo de que la cadena logística pueda ser utilizada para fines no previstos, como puede ser el tráfico de armas o estupefacientes, el contrabando, el envío de explosivos o sustancias biológicas peligrosas, así como el robo de mercancías, que ha aumentado espectacularmente en estos últimos años. Y es que los incidentes de la seguridad contra la cadena de suministro internacional son amenazas al comercio y al crecimiento económico de los países comerciantes.

En este entorno de la seguridad para la cadena de suministro existen actualmente cuatro normas con especificaciones para poder garantizar la seguridad de los bienes y servicios durante todo el proceso. Esto es, desde la provisión de las materias primas hasta la llegada al usuario final.

Seguridad en la cadena

La Norma UNE-ISO 28000:2008 “Especificación para la gestión de la seguridad para la cadena de suministro” define esta cadena como el conjunto relacionado de recursos y procesos que comienza con la provisión de materias primas, y se extiende hasta la entrega de productos o servicios al usuario final a través de los medios de transporte. No obstante, el ámbito de aplicación de esta norma también incluye aspectos de seguridad en las finanzas, producción, gestión de la información y las instalaciones de embalaje, almacenamiento y transferencia de bienes entre distintas localizaciones.

Asimismo, la gestión de la seguridad está enlazada con muchos otros aspectos de la gestión del negocio. Éstos otros aspectos deberían considerarse directamente, dónde y cuándo tienen un impacto en la gestión de la seguridad.

El principal objetivo de la Norma UNE-ISO 28000 es mejorar la seguridad de las cadenas de suministro mediante el análisis de los riesgos y los planes de reacción adecuados. Para ello, se requiere que la organización evalúe el entorno de seguridad en el que opera, que determine si se implementan unas medidas de seguridad adecuadas y si ya existen otros requisitos reglamentarios que la organización cumpla. Esta norma puede aplicarse a cualquier organización que busca la certificación por tercera parte y que este realizando alguna manipulación del producto o de la documentación que le acompaña.

La Norma UNE-ISO 28000 tiene la misma estructura que la Norma UNE-EN ISO 14001 por su enfoque de los sistemas de gestión basado en el riesgo, pero también se puede integrar en normas de gestión por procesos, como la UNE-EN ISO 9001.

Implantar un sistema

Aunque basándose en los requisitos de la Norma UNE-ISO 28000, la Norma UNE-ISO 28001:2008 “Sistemas de gestión de la seguridad para la cadena de suministro. Buenas prácticas para la implementación de la seguridad para la cadena de suministro, evaluaciones y planes” no contiene los mismos requisitos. Incluye, sin embargo, una serie de anexos que ayudan a la comprensión de las especificaciones, como por ejemplo la metodología para la evaluación de riesgos o la lista de comprobación. Esta norma también puede ser utilizada para la certificación por tercera parte.

En el campo de aplicación de la Norma UNE-ISO 28001 se hace mención al establecimiento y documentación de los niveles mínimos de seguridad en la cadena de suministro. Además, establece que el usuario definirá la parte de una cadena de suministro en la que haya establecido la seguridad. Por ello, el campo de aplicación de esta norma esta prevista específicamente para cumplir los requisitos de aquellas organización que optan por el reconocimiento como OEA (operador económico autorizado).

No obstante, la mejor ayuda para la implantación está recogida en la Norma ISO 28004:2007 “Guía para la implementación de ISO 28000”, que contiene los requisitos de la ISO 28000 y los explica a través de distintos conceptos, como la intención de estas obligaciones, las entradas y salidas típicas, y el proceso. Se está realizando una revisión de la misma, editando distintas partes para dar aun más detalle según el tipo de organización. Ahora dispondremos también de una parte 2 que está enfocada a puertos marítimos. La parte 3, para la implantación en pequeñas y medianas empresas y la parte 4, para la implantación de ISO 28001.

No hay que olvidar la norma ISO 31000 “Gestión del riesgo, principios y directrices”. Este documento explica con detalles los diferentes conceptos de la gestión del riesgo y diferentes herramientas se puede encontrar en la norma IEC/ISO 31010.

Identificar los riesgos

Como hemos mencionado anteriormente, la base principal de la norma ISO 28000 es la gestión del riesgo. Para conocer en qué niveles se encuentra nuestra organización, el primer paso es identificar los posibles riesgos a los que está expuesta. Los riesgos generales que debemos tener en cuenta están definidos por la norma ISO 28000, apartado 4.3.1. Una vez identificados, debemos valorar de alguna manera dichos riesgos con los diferentes métodos mencionados según ISO 28004 e ISO 31000.

Cuando hayamos valorado los riesgos, debemos evaluar cómo enfrentarnos a ellos estableciendo las acciones pertinentes, bien para reducirlos, bien para asumirlos como tal o incluso para transferirlos a terceros mediante un seguro. En algunos casos, la valoración de los riesgos será muy baja y por tanto quedará desestimada en nuestro análisis para establecer acciones. No obstante, dejaremos las diferentes versiones de valoración del riesgo disponibles para poder seguir la evolución.

Una vez se haya implantado el sistema, se lleva a cabo el seguimiento y medición del sistema de seguridad como en cualquier otro sistema de gestión. Una fuente importante son los incidentes de seguridad que nos darán información sobre el funcionamiento de nuestro sistema y la eficacia de nuestras contramedidas definidas.

El objetivo es siempre eliminar o mitigar el riesgo, y para ello debemos trabajar continuamente revisando los riesgos más altos o aquellos que tenga una mayor severidad o gravedad como concepto de mejora continua.

En 2011 se editó la norma ISO 28002 “Desarrollo de la capacidad de recuperación en la cadena de suministro”, donde se establecen los requisitos para una rápida recuperación después de un incidente. Esta norma también es certificable.

En definitiva, la certificación UNE ISO 28000 es una eficaz herramienta para la gestión de la seguridad de la cadena de suministro. Está demostrado que aquellas empresas que tenga implantada una sistemática, rápidamente se ven beneficiadas, y no sólo se reducen las perdidas y robos de mercancías, sino que también el tiempo invertido en las investigaciones se reduce. Esto afecta sensiblemente la imagen antes los distintos interlocutores. AENOR ha concedido los primeros cuatro certificados de seguridad de la cadena de suministro a las organizaciones DHL Express, Puerto de Valencia, Disnet y Transportes Julio Rico.