La planta de un proveedor Tier 2 de un OEM estadounidense en Querétaro recibe el aviso: el cliente Tier 1 va a hacer revisión de cadena de suministro C-TPAT en cuatro semanas. La cláusula de seguridad física del cuestionario MSC (Minimum Security Criteria) trae diez puntos, pero el primero que se atora es siempre el mismo: bitácoras de patrullaje del perímetro y accesos de personal externo durante los últimos doce meses.
Si la planta lleva bitácoras en papel, la auditoría se convierte en un ejercicio de fotocopiar carpetas mientras el auditor del cliente pierde la paciencia. Si lleva un sistema digital mal estructurado, los exports salen pero no en el formato que C-TPAT acepta. Aquí está qué pide el programa, qué espera el cliente OEM, y cómo se prepara la evidencia.
Qué es C-TPAT y por qué te aplica indirectamente
C-TPAT (Customs Trade Partnership Against Terrorism) es un programa voluntario de la CBP estadounidense para empresas que exportan a EUA. Las plantas mexicanas no son entidades C-TPAT directamente — el OEM Tier 1 sí lo es, y para mantener su certificación tiene que demostrar que sus proveedores Tier 2 y Tier 3 cumplen con los Minimum Security Criteria.
En la práctica esto significa que una vez al año (o por evento), el OEM o el Tier 1 envía un cuestionario MSC al proveedor mexicano y, en plantas relevantes, audita en sitio. La sección de physical security y physical access controls es la que toca rondines.
Lo que pide la sección de seguridad física
Los MSC actualizados de 2025 piden cinco elementos relacionados con vigilancia:
- Programa documentado de patrullaje del perímetro con frecuencia definida y procedimiento aprobado.
- Evidencia de ejecución del programa durante al menos los últimos doce meses, con identidad del vigilante y marca de tiempo.
- Control de accesos de personal externo (contratistas, transportistas, visitantes) con bitácora individual.
- Documentación de incidentes detectados durante los rondines, con tiempo de notificación y acciones tomadas.
- Procedimiento de respuesta ante intrusiones, accesos no autorizados o anomalías detectadas.
El auditor del Tier 1 evalúa los cinco. Si tres de los cinco no aguantan la inspección, el proveedor entra en plan de remediación obligatorio con plazo de 90 días. Si más fallan, el contrato se pone en revisión.
Por qué la planta media reprueba en bitácoras
Los patrones recurrentes que vemos en plantas Tier 2 y Tier 3:
- Bitácora en papel firmada al final del turno. Sin marca de tiempo verificable y sin trazabilidad por punto de control. C-TPAT lo rechaza explícitamente desde 2022.
- Sistema digital sin foto en zonas críticas. Los MSC piden evidencia visual del estado del perímetro en zonas de alto riesgo (almacén de químicos, área de preensamble, salas eléctricas). Sin foto el auditor anota observación.
- Logs de visitantes desconectados de los rondines. El control de portería lleva visitantes, los rondines llevan checkpoints, pero ningún sistema integra los dos. Cuando el auditor pregunta "quién entró al área de pintura el martes a las 22:00 y qué vigilante hizo el rondín siguiente", la planta no puede responder.
- Sin doce meses de histórico. Plataformas que solo guardan 90 días de logs caen automáticamente. C-TPAT pide doce meses verificables.
- Sin export en formato auditable. Excel manual con datos editables se descarta. PDF firmado por evento, con identificador único, es lo que aguanta.
Cómo prepararse en cuatro semanas
Si la auditoría llega en cuatro semanas y la planta sigue en papel, este es el orden de prioridades que recomendamos:
Semana 1: documentación. Procedimiento aprobado de rondines con frecuencias por zona y por turno. Sin esto, no hay nada que medir contra.
Semana 2: despliegue digital. Plataforma operativa con QR/NFC en zonas críticas (perímetro, accesos contratistas, almacén químico, preensamble). El plan gratis de controlrondas.com.mx cubre plantas hasta 10 controladores sin coste para esta fase.
Semana 3: integración con control de visitantes. Los logs de portería se cruzan con los rondines en el mismo tablero. La pregunta del auditor sobre quién entró y quién rondó se resuelve en una línea.
Semana 4: simulacro y export. El responsable de seguridad genera el export que va a entregar al auditor. Si tarda más de cinco minutos, hay un problema de configuración.
Un Tier 2 con quien trabajamos hizo este proceso entre febrero y marzo de 2026 y aprobó la auditoría sin no conformidades en abril. La diferencia entre aprobar y reprobar fue tener el formato del export listo antes de que el auditor entrara a la sala.
Qué ofrece controlrondas.com.mx
La plataforma cumple los cinco MSC del cuestionario C-TPAT con exports preconfigurados aceptados por auditores OEM Tier 1 que hemos visto en 2025-2026. Modo offline 100% para naves blindadas y polígonos. Integración con módulos de control de visitantes vía API REST. Plan gratis hasta 10 controladores para evaluación. Despliegue típico de 2 a 4 semanas para plantas hasta 50 controladores.
Para profundizar
- PatrolTech vs Trinity Guard — comparativa con la alternativa más común en automoción mexicana.
- Ley Federal de Seguridad Privada — marco regulatorio aplicable a operaciones de vigilancia en planta.
- CBP — C-TPAT Minimum Security Criteria — referencia oficial.