Saltar al contenido principal
Orientaciones 2016 OEA

Anexo 2

Amenazas, riesgos y posibles soluciones

En el presente documento figura una relación de los riesgos más significativos relacionados con el proceso de autorización y seguimiento de un AEO, y al mismo tiempo, una lista de posibles soluciones para mantener tales riesgos bajo control. Las posibles soluciones propuestas para un determinado indicador pueden ser aplicables a más de un área de riesgo identificada. La lista sugerida no es exhaustiva ni definitiva, y, en la práctica, las soluciones posibles variarán de unos casos a otros dependiendo de factores como el tamaño del operador, el tipo de mercancías, el tipo de sistemas automatizados y el grado de modernización del operador.

El cuestionario de autoevaluación lo cumplimentan los operadores económicos al inicio del proceso de solicitud, y con él se pretende obtener una visión general de su actividad empresarial y sus procedimientos, así como de la pertinencia de los mismos con vistas a la autorización como AEO. El documento «Amenazas, riesgos y posibles soluciones» se dirige tanto a autoridades aduaneras como a operadores económicos, con el fin de facilitar la auditoría y la revisión y de garantizar así el cumplimiento de los criterios aplicados a los AEO, al cotejar la información facilitada en el CAE y las áreas de riesgo identificadas, así como las posibles soluciones para atender los riesgos identificados.

1. Historial de cumplimiento (sección 2 del CAE)
Criterio: Un historial de cumplimiento de los requisitos aduaneros apropiado [artículos 39, letra a), del CAU y 24 del AE CAU]

Indicador Descripción del riesgo Posibles soluciones Referencias
Cumplimiento
de los requisitos aduaneros

Conducta infractora respecto de:

  • la cumplimentación de las declaraciones aduaneras, incluida la comisión de errores en los apartados de clasificación, valoración u
    origen;
  • el uso de los procedimientos aduaneros;
  • la normativa fiscal;
  • la aplicación de medidas relacionadas con prohibiciones y restricciones, la política comercial;
  • la introducción de las mercancías en el territorio aduanero de la Unión, etc.

Una conducta de infracción en el pasado eleva la posibilidad de que futuras normas y reglamentos se pasen por alto o se infrinjan.
Conocimiento insuficiente de las infracciones contra los requisitos aduaneros.

Política de cumplimiento activo por el operador, en el sentido de que este haya establecido y aplique unas normas internas de cumplimiento.
Se prefieren instrucciones operativas escritas en lo que respecta a las responsabilidades relativas a la realización de controles de precisión, exhaustividad y oportunidad de las operaciones y a la comunicación de irregularidades y errores, incluida la sospecha de actividad delictiva, a las
autoridades aduaneras.
Procedimientos para investigar y comunicar los errores detectados y de revisión y mejora de los procesos.
Identificación clara de la persona competente o responsable en la empresa y establecimiento del régimen de vacaciones y otros tipos de ausencia.

Aplicación de medidas internas de cumplimiento; utilización de los recursos de auditoría para comprobar y garantizar que los procedimientos se aplican correctamente.
Instrucciones internas y programas de formación para garantizar que el personal conozca los requisitos aduaneros.

 CAE-2.1

2. El sistema contable y logístico del solicitante (sección 3 del CAE)
Criterio: un sistema adecuado de gestión de los registros comerciales y, en su caso, de transporte, que permita un control aduanero apropiado [artículos 39, letra b), del CAU y 25 del AE CAU]

2.1. Sistema contable (subsección 3.2 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias

Entorno informático Sistema integrado de contabilidad

 Riesgo de que el sistema contable no se ajuste a los principios de contabilidad generalmente aceptados aplicados en el Estado miembro.
Registro incompleto y/o incorrecto de las operaciones en el sistema de contabilidad.
Falta de correspondencia entre el registro de existencias y el registro contable.
Falta de separación de las tareas correspondientes a las distintas funciones.
Ausencia de acceso físico o electrónico a los registros aduaneros y, en su caso, a los registros de transporte.
Deterioro de la auditabilidad.
Incapacidad de emprender oportunamente una auditoría, debido a la forma en que está estructurada la contabilidad del solicitante.
Posibilidad de encubrir operaciones ilegales, dada la complejidad del sistema de gestión.
Indisponibilidad de datos históricos.

La separación de tareas correspondientes a las distintas funciones deberá examinarse en estrecha relación con el tamaño de la empresa del solicitante. Por ejemplo, en el caso de una microempresa activa en el transporte por carretera que tenga un volumen muy reducido de operaciones diarias, el envasado, la manipulación y la carga y descarga de las mercancías puede encargarse al conductor del camión. En cambio, la recepción de las mercancías, su introducción en el sistema de administración y el pago y la recepción de facturas deberían encomendarse a terceros.
Adopción de un sistema de alertas que permita identificar operaciones sospechosas.

Desarrollo de una interfaz entre los programas informáticos de despacho aduanero y de contabilidad, para evitar errores de marcado.
Adopción de una planificación de los recursos empresariales (PRE).
Desarrollo de iniciativas de formación y elaboración de instrucciones para la utilización del software.
Posibilidad de un control cruzado de la información.

 CAE - 3.2
ISO 9001:2015, sección 6

2.2. Pista de auditoría (subsección 3.1 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Pista de auditoría La ausencia de una pista de auditoría adecuada dificulta la realización de un control aduanero eficaz y efectivo basado en la auditoría.
Falta de control sobre la seguridad y el acceso al sistema.		 Consulta con las autoridades aduaneras previa a la introducción de los nuevos sistemas de contabilidad aduanera, con el fin de garantizar su compatibilidad con los requisitos aduaneros.
Comprobación y garantía de la existencia de la pista de auditoría en la fase de preauditoría.		 CAE - 3.1
ISO 9001:2015, sección 6

2.3. Sistema logístico que distingue entre mercancías de la Unión y mercancías no pertenecientes a la Unión

Indicador Descripción del riesgo Posibles soluciones Referencias
Amalgama de mercancías de la Unión con mercancías no pertenecientes a la Unión Ausencia de un sistema logístico que distinga entre las mercancías de la Unión y las mercancías no pertenecientes a la Unión.
Sustitución de las mercancías no pertenecientes a la Unión.		 Procedimientos de control interno.
Comprobaciones de la integridad en la introducción de datos para verificar que las introducciones de datos sean correctas.		 CAE 3.2.2

2.4. Sistema de control interno (subsección 3.3 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Procedimientos de control interno Control inadecuado, en la empresa del solicitante, de los procesos operativos.
La inexistencia de controles internos o su ineficacia posibilita el fraude y el desarrollo de actividades no autorizadas o ilegales.
Registro incompleto y/o incorrecto de las operaciones en el sistema de contabilidad.
Información incorrecta o incompleta en las declaraciones aduaneras y otros documentos presentados en aduanas.

Designación de una persona responsable de la calidad y encargada de los procedimientos y los controles internos de la empresa.
Plena conciencia, por cada jefe de departamento, de los controles internos de su respectivo departamento.
Registro de las fechas de los controles internos y las auditorías y corrección de las deficiencias detectadas mediante correctivas.
Notificación a las autoridades aduaneras de los casos de fraude o actividad no autorizada o ilegal que se detecten.
Puesta a disposición del personal competente de los procedimientos de control internos pertinentes.
Creación de una carpeta o archivo en el que cada tipo de mercancía se vincule a su respectiva información aduanera (código arancelario, tipos de los derechos aduaneros, origen y régimen aduanero).
Designación de la persona o personas encargadas de gestionar y actualizar la normativa sobre aduanas aplicable (inventario de reglamentos); p. ej., actualización de los datos en la planificación de recursos empresariales (PRE), liquidación de cuentas, software.
Información y formación del personal en relación con las inexactitudes y sobre cómo se puede evitar que se presenten.

Establecimiento de procedimientos para registrar y corregir los errores y las transacciones en marcha.

 CAE 3.3
ISO 9001:2015, secciones 5, 6, 7 y 8

2.5. Flujo de mercancías (subsección 3.4 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Disposiciones generales La ausencia de control de los movimientos de existencias aumenta el riesgo de que se incorporen mercancías peligrosas o relacionadas con el terrorismo, o que se retiren mercancías sin el adecuado registro. Información sobre el personal pertinente y presentación de la declaración según las previsiones.
Registros de los movimientos de existencias.
Conciliaciones periódicas de existencias.
Mecanismos de investigación de las discrepancias de inventario.
Capacidad para distinguir en el sistema informático si las mercancías se han despachado o siguen estando sujetas a derechos e impuestos.		 CAE - 3.4
ISO 9001:2015, sección 6
Flujo de mercancías entrante Falta de coincidencia entre las mercancías pedidas, las mercancías recibidas y los asientos contables. Registros de las mercancías entrantes.
Cotejo de las órdenes de compra con las mercancías recibidas.
Procedimientos para la devolución o el rechazo de mercancías, para la contabilidad y la comunicación de insuficiencias o excesos en los envíos y para la identificación y la enmienda de anotaciones incorrectas en el registro de inventario.
Formalización de los procedimientos de importación.
Ejecución periódica de inventarios.
Realización de controles de coherencia puntuales entre la entrada y la salida de mercancías.
Protección de las áreas de almacenamiento (protección externa especial, rutinas de acceso especiales) para luchar contra la sustitución de mercancías.
Almacenamiento Ausencia de control de los movimientos de existencias. Determinación clara de las áreas de almacenamiento.
Procedimientos para la realización periódica de inventarios.
Protección de las áreas de almacenamiento para luchar contra la sustitución de mercancías.		 CAE - 3.4
ISO 9001:2015, sección 6
Producción Ausencia de control de las existencias utilizadas en el proceso de fabricación. Seguimiento y control de gestión de la tasa de rendimiento.
Controles sobre variaciones, residuos, subproductos y pérdidas.
Protección de las áreas de almacenamiento para luchar contra la sustitución de mercancías.		 CAE - 3.4
ISO 9001:2015, sección 6
Flujo de mercancías de salida
Entrega a partir del depósito y expedición y traslado de las mercancías		 Falta de correspondencia entre los registros de existencias y los asientos contables. Designación de personas para autorizar y supervisar el proceso de venta y levante.
Formalización de los procedimientos de exportación.
Controles previos al levante para cotejar la orden de levante con las mercancías que van a cargarse.
Mecanismos para la gestión de las irregularidades, las insuficiencias en las entregas y las variaciones en las mercancías.
Procedimientos normalizados para la gestión de la devolución, la inspección y el registro de mercancías.
Comprobación de que la declaración se ha ultimado en el caso de procedimientos aduaneros con repercusión económica.		 CAE - 3.4
ISO 9001:2015, secciones 6 y 7

2.6. Procedimientos aduaneros (subsección 3.5 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Disposiciones generales

Utilización inadmisible de los procedimientos.
Declaraciones aduaneras incompletas e incorrectas e información igualmente incompleta e incorrecta acerca de otras actividades aduaneras.
Utilización de datos permanentes (números de artículo, códigos aduaneros) incorrectos o no actualizados.

  • Clasificación incorrecta de las mercancías.
  • Código arancelario incorrecto.
  • Valor en aduana incorrecto.

Ausencia de procedimientos para informar a las autoridades aduaneras de las irregularidades identificadas, de conformidad con los requisitos aduaneros pertinentes.
Actualmente, la información arancelaria vinculante (IAV) también es obligatoria para el titular de la IAV. La declaración en aduana ha de hacer referencia a la IAV (artículo 33 del CAU).

Adopción de procedimientos formales para la gestión y el seguimiento de cada actividad aduanera y formalización de determinados clientes (clasificación de mercancías, origen, valor, etc.). Con estos procedimientos se pretende garantizar la continuidad del departamento aduanero en caso de ausencia de personal asignado.
Utilización de la IAV que establece los derechos e impuestos de importación y la normativa aplicable (sanitaria, técnica, medidas de política comercial, etc.).
Utilización de la IAV que proporciona el asesoramiento de la Administración respecto de:

  • El origen del producto que usted desea importar o exportar, sobre todo cuando diversas fases de la producción han tenido lugar en diferentes países.
  • La posibilidad de obtener o no un trato preferencial con arreglo a un convenio o un acuerdo internacional.
    Establecimiento de procedimientos formales para la determinación y la declaración del valor en aduana (método de valoración, cálculo, casillas que deben cumplimentarse en la declaración y documentación que debe aportarse).

Aplicación de procedimientos para la notificación de irregularidades a las autoridades aduaneras.

 CAE - 3.5
ISO 9001:2015, sección 6
Representación a través de terceros Falta de control Procedimientos para comprobar la labor de terceros (p. ej., en las declaraciones aduaneras) e identificar las irregularidades e infracciones de representantes. No basta con confiar plenamente en servicios externalizados.
Verificación de la competencia del representante empleado.
Si la responsabilidad respecto de la cumplimentación de las declaraciones aduaneras se externaliza:
disposiciones contractuales específicas para controlar los datos de aduana;
procedimiento específico para transmitir los datos que necesite el declarante para determinar el arancel (es decir, especificaciones técnicas de las mercancías, muestras, etc.).
En caso de externalización de la exportación de mercancías por un exportador aprobado, esta labor externalizada puede asignarse a un agente de aduanas que haya obtenido la autorización para actuar como representante autorizado, siempre que el agente pueda probar el carácter originario de las mercancías.
Adopción de procedimientos formales de control interno con el fin de verificar la exactitud de los datos aduaneros utilizados.
Licencias de importación y/o exportación vinculadas a medidas comerciales o a intercambios de productos agrícolas Uso inadmisible de las mercancías

Procedimientos normalizados de registro de licencias.

Controles internos periódicos de las licencias vigentes y registro de las mismas.
Segregación de tareas entre el registro y los controles internos.
Normas sobre comunicación de irregularidades.
Procedimientos para garantizar que la utilización de mercancías sea conforme con la licencia.

2.7 Requisitos no fiscales (subsección 3.5.4 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Aspectos no fiscales Uso inadmisible de mercancías sujetas a prohibiciones, restricciones o medidas de política comercial. Procedimientos para la gestión de mercancías sujetas a requisitos no fiscales.
Establecimiento de rutinas y procedimientos apropiados:
Distinción entre las mercancías sujetas a requisitos de carácter no fiscal y las demás mercancías.
Verificación de que las operaciones se desarrollan con arreglo a la legislación vigente (distinta de la fiscal).
Gestión de las mercancías sujetas a restricciones, prohibiciones o embargos, incluidas las de doble uso.
Tramitación de licencias con arreglo a los requisitos individuales.
Formación para potenciar la sensibilización del personal que se ocupa de las mercancías sujetas a requisitos no fiscales.		 CAE - 3.5.4

2.8. Procedimientos relativos a la copia de seguridad, a la recuperación normal y de emergencia y al archivo (subsección 3.6 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Requisitos relativos al mantenimiento y archivo de los documentos.

Incapacidad de emprender oportunamente una auditoría debido a la pérdida de información o a deficiencias en los archivos.

Falta de procedimientos relativos a la copia de seguridad.
Ausencia de procedimientos satisfactorios para el archivo de los registros y la información del solicitante.
Destrucción deliberada o pérdida de información importante.

Presentación de un certificado ISO 27001 que demuestre unos estándares elevados en el ámbito de la seguridad de las TI.
Procedimientos de copia de seguridad, recuperación y protección de datos frente a daños o pérdidas.
Planes de emergencia en caso de perturbación o fallo de los sistemas.

Procedimientos de comprobación de las copias de seguridad y la recuperación.
Conservación de los archivos aduaneros y los documentos mercantiles en instalaciones seguras.
Establecimiento de un de clasificación.
Cumplimiento de los plazos legales de archivo.
Las copias de seguridad han de ser diarias, de carácter incremental o completas. Se han de hacer copias de seguridad completas al menos una vez por semana. En todo momento deben estar disponibles como mínimo las tres últimas copias de seguridad consecutivas. Es preferible que las copias de seguridad se realicen de manera remota, mediante un método seguro desde el punto de vista electrónico, en una instalación de almacenamiento situada a una distancia mínima de 300 metros. También se ha de hacer una copia de seguridad de la clave de cifrado, que se guardará lejos de la instalación de almacenamiento.

 ISO 9001:2015, sección 6
ISO 27001:2013
Normas ISO relativas a la seguridad en el ámbito de las TI

2.9 Seguridad de la información: Protección de los sistemas informáticos (subsección 3.7 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Disposiciones generales Acceso no autorizado o intrusión en los sistemas o programas informáticos del operador económico.

Adopción y puesta a disposición del personal de una política de seguridad, procedimientos y normas en materia de TI.
Presentación de un certificado ISO 27001 que demuestre estándares elevados en el ámbito de la seguridad de las TI.
Establecimiento de una política de seguridad de la información.
Designación de un responsable de la seguridad de la información. - Evaluación de la seguridad de la información e identificación de cuestiones asociadas al riesgo en el ámbito de las TI.
Procedimientos para la concesión de derechos de acceso a personas autorizadas; los derechos de acceso deben retirarse inmediatamente en caso de transferencia de obligaciones o cese de empleo.

  • Acceso a datos en la medida necesaria.
    Utilización de programas de cifrado, cuando convenga.

Cortafuegos.
Protección contra virus.
Protección mediante contraseña de todos los ordenadores personales y, si es posible, de los programas importantes.
Si los empleados dejan el puesto de trabajo, el ordenador se debe proteger siempre con una palabra clave.
La contraseña debe estar formada por un mínimo de ocho caracteres, con una mezcla de dos o más letras mayúsculas y minúsculas, números y otros caracteres. Cuanto más larga sea la contraseña, más segura será. Los nombres de usuario y las contraseñas nunca se deben compartir.
Realización de pruebas sobre accesos no autorizados.
Limitación del acceso a salas de servidores a las personas autorizadas.
Pruebas de intrusión a intervalos periódicos; las pruebas de intrusión se han de registrar.
Ejecución de procedimientos para el tratamiento de los incidentes.

 CAE - 3.7
ISO 27001:2013
Disposiciones generales Destrucción deliberada o pérdida de información importante. Plan de contingencia en caso de pérdida de datos.
Procedimientos de copia de seguridad en caso de perturbación o fallo de los sistemas.
Procedimientos para la supresión del derecho de acceso.
Procedimientos para impedir el uso de dispositivos personales, como memorias USB, CD, DVD u otros periféricos electrónicos personales.
Restricción del uso de Internet a los lugares que solo son apropiados para la actividad comercial.		 ISO 28001:2007, sección A 3
ISO 27001:2013

2.10 Seguridad de la información: Seguridad de la documentación (subsección 3.8 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Disposiciones generales Uso indebido del sistema de información del operador económico que pone en situación de riesgo la cadena de suministro.
Destrucción deliberada o pérdida de información importante.		 Presentación de un certificado ISO 27001 que demuestre unos estándares elevados en el ámbito de la seguridad de las TI.
Procedimientos para el acceso autorizado a los documentos.
Archivo y almacenamiento seguro de documentos.
Procedimientos para abordar los incidentes y emprender acciones correctivas.
Registro y copia de seguridad de los documentos, incluido el escaneado.
Plan de contingencia para gestionar las pérdidas.
Posibilidad de utilizar programas de cifrado en caso necesario.
Conocimiento por los agentes comerciales de las medidas de seguridad en los desplazamientos (no consultar nunca documentos «sensibles» en medios de transporte).
Establecimiento de niveles de acceso a la información estratégica con arreglo a las diferentes categorías del personal.
Gestión segura de los ordenadores desechados.
Acuerdos con socios comerciales respecto de la protección y el uso de documentación.		 CAE - 3.8
ISO 28001:2007, sección A 4
ISO 27001:2013
Requisitos de seguridad y protección impuestos a terceros Uso indebido del sistema de información del operador económico que pone en situación de riesgo la cadena de suministro.
Destrucción deliberada o pérdida de información importante.		 Inclusión de requisitos para la protección de datos en los contratos.
Procedimientos para el control y la auditoría de los requisitos en los contratos.

3. Solvencia financiera (sección 4 del CAE)
Criterio: Solvencia financiera demostrada [artículos 39, letra c), del CAU y 26 del AE CAU]

3.1. Solvencia acreditada

Indicador Descripción del riesgo Posibles soluciones Referencias
Insolvencia o incapacidad para atender compromisos financieros  Vulnerabilidad financiera que puede dar lugar en el futuro a conductas de incumplimiento. Examen de los estados financieros y los movimientos financieros del solicitante a fin de evaluar su capacidad para hacer frente a las deudas legales. En la mayoría de los casos, la entidad bancaria del solicitante podrá proporcionar información sobre la solvencia de este último.
Procedimientos de seguimiento internos para evitar amenazas financieras.

4. Requisitos en materia de protección y seguridad (sección 6 del CAE)
Criterio: Niveles de seguridad y protección adecuados [artículos 39, letra e), del CAU y 28 del AE CAU]


4.1 Evaluación de la seguridad llevada a cabo por el operador económico (autoevaluación)

Indicador Descripción del riesgo Posibles soluciones Referencias
Autoevaluación Conocimiento inadecuado de las cuestiones relacionadas con la seguridad y la protección en todos los departamentos relevantes de la empresa. Autoevaluación de riesgos y amenazas, revisión, actualización y documentación periódicas de la misma.
Identificación precisa de los riesgos en materia de seguridad y protección que se derivan de las actividades de la empresa.
Evaluación de los riesgos relacionados con la seguridad y la protección (% de probabilidad o nivel de riesgo: bajo/medio/alto).
Certeza de que todos los riesgos pertinentes se abordan con medidas preventivas y correctivas.		 CAE - 6.1.2
ISO/PAS 28001:2007, sección A.4
Código PBIP
Apéndice 6-B «Lista de control de validación para expedidores conocidos»,
criterios de seguridad del transporte aéreo para Agente Acreditado / Expedidor Conocido
Gestión de la seguridad y organización interna Coordinación inadecuada en materia de protección y seguridad dentro de la empresa del solicitante Designación de una persona encargada con autoridad suficiente para coordinar y ejecutar las medidas de seguridad apropiadas en todos los departamentos pertinentes de la empresa.
Adopción de procedimientos formales para la gestión y el seguimiento de cada actividad logística desde el punto de vista de la seguridad y la protección.
Ejecución de procedimientos para garantizar la seguridad y la protección de las mercancías en vacaciones y otras situaciones de ausencia del personal asignado.		 CAE - 6.1.4
ISO 28001:2007, sección A.3
ISO 9001:2015, sección 5
Código PBIP
Procedimientos de control interno Control inadecuado de las cuestiones relacionadas con la protección y la seguridad dentro de la empresa del solicitante Ejecución de procedimientos de control interno de los procedimientos y las cuestiones relacionados con la seguridad y la protección.
Procedimientos para el registro y la investigación de incidentes de seguridad, incluidas la revisión de las evaluaciones de riesgos y amenazas y la adopción de acciones correctivas, en su caso.		 CAE - 6.1.7
ISO 28001:2007, secciones A.3, A.4
Código PBIP
Procedimientos de control interno Control inadecuado de las cuestiones relacionadas con la protección y la seguridad dentro de la empresa del solicitante Posibilidad de que el registro se efectúe en un archivo que contenga, por ejemplo, la fecha, la anomalía observada, el nombre de la persona que la ha detectado, las medidas de respuesta, la firma de la persona competente, etc.
Puesta del registro de incidentes de seguridad y protección a disposición de los empleados de la empresa.		 ISO 28001:2007, secciones A.3, A.4
Código PBIP
Requisitos en materia de protección y seguridad destinados específicamente a las mercancías Alteración de las mercancías Implementación de un sistema de rastreo de mercancías.
Requisitos especiales en cuanto a embalaje y almacenamiento de las mercancías peligrosas.		 Código PBIP

4.2. Acceso a las instalaciones (subsección 6.3 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Procedimientos para la entrada o el acceso de personas, vehículos, y mercancías Entrada o acceso no autorizados de vehículos, personas o mercancías a las instalaciones o a las inmediaciones de la zona de carga y expedición. Limitación máxima del número de vehículos con acceso a las instalaciones.
Por consiguiente, ubicación del aparcamiento para el personal preferiblemente fuera del perímetro de seguridad.
Además, obligación, si es posible, de que los camiones esperen antes y después de la carga en un área al margen fuera de la zona de seguridad. Únicamente los camiones registrados obtendrán acceso al área de carga, previa petición, a la hora de ejecución de estas operaciones.
La utilización de tarjetas de identificación es razonable. Deberán incluir una fotografía. En caso de que no figure una foto, las tarjetas deberán indicar al menos el nombre del operador o de las instalaciones para las que es válida (riesgo de abuso en caso de pérdida).
La utilización de estas tarjetas debe ser supervisada por una persona competente en esta materia. Los visitantes portarán tarjetas de identificación temporales y estarán acompañados en todo momento.
Los datos relativos a las entradas, incluidos los nombres de los visitantes y conductores, las horas de llegada y salida y el personal auxiliar, deberán registrarse y almacenarse en un formulario adecuado (p. ej., un diario, un sistema de TI) y se enumerarán.
Las tarjetas no podrán utilizarse dos veces consecutivas, para evitar su utilización por un acompañante.
Control de acceso mediante códigos: rutinas para el cambio periódico de códigos.
Las tarjetas de identificación y los códigos sólo serán válidos durante el horario laboral de cada empleado.
Procedimientos normalizados de retorno de todas las autorizaciones de acceso.
La empresa deberá acompañar y supervisar a los visitantes a fin de impedir toda actividad no autorizada.
Los visitantes deberán llevar las tarjetas de identificación en un lugar visible.
Hablar con los desconocidos.
Indumentaria corporativa para distinguir a los desconocidos.
En caso de trabajo temporal (p. ej., tareas de mantenimiento), una lista de los trabajadores autorizados de la empresa subcontratada.		 CAE - 6.3
ISO 28001:2007, sección A.3
Código PBIP
Procedimientos operativos normalizados en caso de intrusión Respuesta inadecuada ante la constatación de una intrusión. Ejecución de procedimientos aplicables a casos de intrusión y accesos no autorizados.
Realización de pruebas de intrusión y registro de los resultados y, en caso necesario, adopción de acciones correctivas.
Utilización de informes de incidentes u otros formularios apropiados para registrar los incidentes y las acciones emprendidas.
Adopción de medidas correctivas a raíz de incidentes relacionados con el acceso no autorizado.		 ISO 28001:2007, sección A.3
Código PBIP

4.3. Seguridad física (subsección 6.2 del CAE)

Indicador Descripción del riesgo Posibles soluciones Referencias
Límites exteriores de las instalaciones Protección inadecuada de las instalaciones contra la intrusión. Cuando proceda, establecimiento de un vallado perimetral de seguridad sujeto a inspecciones periódicas para comprobar su integridad y posibles daños y planificación de su mantenimiento y reparación.
Cuando proceda, establecimiento de áreas controladas adecuadas únicamente para el personal autorizado, sujetas a mecanismos de aprobación y control apropiados.
Patrullas no sistemáticas del personal de seguridad.		 CAE - 6.2
ISO 28001:2007, sección A.3
Código PBIP
Entradas y accesos Existencia de entradas y accesos no vigilados. Aplicación de medidas apropiadas para asegurar todas las entradas y accesos en uso, como un CCTV o sistemas de control de acceso (iluminación, proyectores, etc.).
El CCTV solo es útil si las grabaciones son evaluables y admiten reacciones inmediatas.
En su caso, ejecución de procedimientos para garantizar la protección de los puntos de acceso.		 ISO 28001:2007, sección A.3
Código PBIP
Dispositivos de cierre Dispositivos de cierre inadecuados de puertas interiores y exteriores, ventanas, entradas y verjas.

Formulación de instrucciones y procedimientos sobre la utilización de llaves a disposición del personal pertinente.
Únicamente el personal autorizado puede acceder a las llaves de los dispositivos de cierre empleados en edificios, instalaciones, salas, áreas de seguridad, archivos, cajas de seguridad, vehículos, maquinaria y carga aérea.

Elaboración de inventarios periódicos de llaves y dispositivos de cierre.
Registro de los intentos de acceso no autorizado y comprobación periódica de esta información.
Las puertas y ventanas se deben cerrar con llave cuando no haya nadie trabajando en la sala u oficina de que se trate.

 CAE - 6.2.4
ISO 28001:2007, sección A.3
Iluminación Iluminación inadecuada de puertas, ventanas, portales y barreras, tanto interiores como exteriores. Iluminación adecuada en interiores y exteriores.
En su caso, utilización de generadores de apoyo y fuentes de energía eléctrica alternativas para garantizar una iluminación constante en caso de interrupción del suministro eléctrico local.
Existencia de planes de mantenimiento y reparación de los equipos.		 CAE - 6.2.4
Procedimientos de acceso a las llaves Ausencia de procedimientos adecuados de acceso a las llaves.
Acceso no autorizado a las llaves.		 Ejecución de un procedimiento de control de acceso a las llaves.
Las llaves deberán entregarse únicamente tras su registro y se devolverán inmediatamente después de su utilización. La devolución de las llaves también debe registrarse.		 ISO 28001:2007, sección A.3.3
Medidas de seguridad física interna Acceso inadecuado a zonas interiores de las instalaciones. Aplicación de un procedimiento para distinguir las diferentes categorías de empleados que hay en las instalaciones (p. ej., chaquetas, tarjetas de identificación).
Acceso controlado y personalizado con arreglo al puesto de cada empleado.		 ISO 28001:2007, secciones A.3, A.4
Código PBIP
Aparcamiento de vehículos privados Ausencia de procedimientos adecuados para el aparcamiento de vehículos privados.
Protección inadecuada de las instalaciones contra la intrusión.		 Máxima limitación del número de vehículos con acceso a las instalaciones.
Establecimiento de zonas de aparcamiento de vehículos especialmente designadas para visitantes y personal situadas a distancia de las áreas de manipulación y almacenamiento de las mercancías.
Identificación de riesgos y amenazas asociados al acceso no autorizado de vehículos privados a áreas protegidas.
Definición de normas y procedimientos para el acceso de vehículos privados a las instalaciones del solicitante.
En caso de que la zona de aparcamiento de los visitantes y la de los empleados no estén separadas, los vehículos de los visitantes deberán llevar una identificación.
Mantenimiento de límites exteriores y edificios Protección inadecuada de las instalaciones contra la intrusión como resultado de un mantenimiento inapropiado. Mantenimiento periódico de los límites exteriores de las instalaciones y los edificios cada vez que se detecte una anomalía. ISO 28001:2007, sección A.3