Madurez ISO 28000 · Seguridad de la cadena de suministro

ISO 28000 define los requisitos de un sistema de gestión de la seguridad para la cadena de suministro. La versión 2022 alineó la norma con la estructura de alto nivel común a las normas ISO de gestión: contexto de la organización, liderazgo, planificación, apoyo, realización de las actividades, evaluación del desempeño, mejora. Cubre la seguridad de los flujos físicos e informativos, la evaluación de los riesgos de seguridad, las medidas de protección, la gestión de socios y subcontratistas, y la capacidad de mantener las operaciones ante un incidente. Es certificable por un organismo acreditado.

En la práctica, la dificultad no está en comprender los requisitos sino en saber dónde se sitúa la organización en un perímetro que en buena parte escapa al control directo. ¿Las evaluaciones de riesgos de seguridad cubren todos los eslabones, o solo las instalaciones que se explotan de forma propia? ¿Los requisitos de seguridad figuran en los contratos con proveedores, y se verifican de otra forma que por declaración? ¿Los incidentes de transporte, manipulación o acceso a los datos logísticos se centralizan en un único dispositivo, o siguen tratándose de forma local?

Conviene precisar un punto de contexto, porque estructura los proyectos actuales: la seguridad de la cadena de suministro se ha desplazado hacia lo digital. Los sistemas de gestión de transportes, los intercambios de datos con los transitarios, las plataformas de trazabilidad y los dispositivos conectados embarcados forman ya parte del perímetro de seguridad al mismo título que los precintos y las zonas de acceso restringido. ISO 28000 se confunde con frecuencia con ISO 28001, que trata sobre las buenas prácticas y los criterios aplicables a los operadores de la cadena logística internacional, o se reduce a los programas aduaneros de tipo OEA. Son dispositivos distintos, que se solapan sin sustituirse.

El diagnóstico de madurez responde a una pregunta distinta de la auditoría de certificación. La auditoría concluye con una conformidad o una desviación sobre un requisito dado. El diagnóstico sitúa cada práctica en una escala progresiva, en cinco niveles inspirados en el método CMMI, e indica la acción que permite pasar al siguiente nivel. Datamensio mide la madurez y prepara la auditoría, no expide ningún certificado. Este posicionamiento permite empezar antes de estar preparado, y pilotar el progreso entre dos ciclos de auditoría.

En Datamensio, el marco de referencia está listo para usar y sigue siendo suyo. La IA ajusta los ámbitos, las preguntas y la formulación de los niveles a su sector y a su perímetro, o construye una variante a partir de sus propios documentos: política de seguridad, cartografía de flujos, pliego de condiciones de transporte. Puede evaluar varias unidades de negocio, comparar sus puntuaciones y consolidar una hoja de ruta transversal.