Plan de gestión de riesgos de suministro: responsables y medidas probadas
Convierte el registro de riesgos en respuestas ejecutables con responsables, homologación, comunicación y evidencia de cierre.
¿Qué es un plan de gestión de riesgos de la cadena de suministro?
Un plan de gestión de riesgos de la cadena de suministro define cómo detectas, reduces y respondes a interrupciones que amenazan la producción. Conecta piezas y plantas críticas con señales, responsables, alternativas aprobadas, comunicación con el cliente y evidencia de cierre. El registro identifica la exposición; el plan establece qué ocurre después.
El resultado es una respuesta ejecutable antes de agotar el inventario utilizable. Apoya Resiliencia al convertir evaluaciones en medidas financiadas y da a compras, planificación, calidad y finanzas un registro común de responsabilidades. Empieza por tu producción y clientes y añade después los requisitos contractuales y de certificación aplicables.
¿Qué alcance debe tener el plan?
Define productos, plantas, proveedores, procesos en etapas previas de suministro y compromisos con clientes incluidos. Añade las piezas que pueden detener la producción y las dependencias necesarias para fabricarlas. Documenta exclusiones y conexiones con otros planes para que una interrupción del proveedor no quede entre el plan de continuidad de compras y la respuesta de emergencia de la planta.
En fabricación discreta, empieza por suministro de material, fuentes homologadas, procesos externos, utillaje crítico, transporte, inspección y evidencia para liberar inventario. Instalaciones y personal internos pueden pertenecer a otro plan de continuidad, pero identifica quién gestiona esa conexión. La indisponibilidad de recepción puede impedir utilizar un envío recuperado en producción.
Separa requisitos del cliente de las prácticas operativas propuestas. Un cliente de automoción puede exigir pruebas de contingencia y avisos en su portal. Otro puede exigir autorización para cambiar una fuente o proceso. Registra qué requisito afecta a cada pieza o programa en lugar de aplicar todas las reglas a todos los proveedores.
¿Cómo conviertes un registro de riesgos en un plan?
Para cada riesgo crítico, define un desencadenante medible, responsable de decisión, respuesta y evidencia de cierre. Añade el tiempo antes de la primera producción afectada y el plazo de recuperación. Si la mitigación tarda más que tu protección, necesitas una medida provisional o aceptar explícitamente la exposición restante.
Empieza por la evaluación de riesgos de proveedores. Convierte riesgos vagos en escenarios sobre los que actuar. «Riesgo de capacidad» pasa a ser «la única planta homologada de tratamiento térmico no completa el próximo lote antes de la última fecha de liberación». «Riesgo financiero» pasa a ser «el bloqueo crediticio impide comprar la pieza fundida para la siguiente producción».
Nombra un responsable del riesgo y otro de la medida. El primero mantiene actualizada la exposición y escala decisiones. El segundo entrega un resultado, como aprobar un proceso alternativo o confirmar la liberación de un lote. Una persona puede asumir ambos, pero el trabajo y la comprobación de cierre deben quedar claros.
Del riesgo a una medida ejecutable
Un registro ilustrativo de cuatro pasos empieza con la liberación retrasada de una pieza fundida, identifica un desencadenante observable y responsable de compras, define homologación y protección provisional y cierra solo con aprobación documentada y evidencia de suministro utilizable. No fija plazos legales ni duraciones de recuperación prometidas.
- 1
Describir la dependencia expuesta
- Registro que conservar
- La liberación de fundición incumple la última fecha para el próximo conjunto de piezas
- 2
Fijar desencadenante y responsable
- Registro que conservar
- Compras verifica el hito; planificación identifica producción afectada
- 3
Definir respuesta aprobada
- Registro que conservar
- Calidad confirma trabajo de homologación; compras comprueba suministro provisional
- 4
Verificar resultado
- Registro que conservar
- Guardar aprobación y evidencia de suministro utilizable; actualizar exposición pendiente
Registro propuesto: define fallo, desencadenante, respuesta y evidencia de cierre.
El ejemplo es una plantilla operativa, no un formulario obligatorio. Copia su estructura con tus fechas, contactos, aprobaciones del cliente y criterios de aceptación. Enlaza la evidencia en lugar de guardar planos o cuentas confidenciales en una hoja ampliamente compartida.
¿Qué hace ejecutable una alternativa de recuperación?
Una alternativa ejecutable dispone de fuente homologada, capacidad, información técnica, condiciones comerciales autorizadas y fecha creíble de piezas utilizables. Enumera lo pendiente. «Segundo proveedor identificado» no es capacidad de recuperación si la inspección de primer artículo, aprobación del cliente, utillaje o compra de material solo empezarán después del fallo de la fuente principal.
Distingue etapas: candidato identificado, capacidad comprobada, oferta recibida, homologación en curso, aprobado y capaz de entregar. Registra tareas pendientes y responsable junto a cada etapa. La aprobación de una fuente sin capacidad no protege por sí sola el calendario.
Compara toda la ruta de sustitución con el inventario utilizable. Incluye transporte, recepción, certificados e inspección. Si el inventario solo cubre el inicio de la ruta, decide si aumentas la protección, homologas antes o acuerdas otra recuperación. Clear-to-build explica por qué el inventario en inspección o retenido no cuenta automáticamente como protección.
Comprueba si dos alternativas dependen de la misma operación en una etapa previa de suministro. Otro taller que usa la fundición original puede mantener intacta la exposición principal. Verifica ese supuesto antes de dar por completo el abastecimiento con dos fuentes.
¿Qué añaden los requisitos de contingencia de automoción?
Para organizaciones sujetas a IATF 16949, la contingencia incluye interrupciones de suministro y otras amenazas, avisos al cliente, pruebas periódicas de eficacia y revisión multidisciplinar al menos anual con alta dirección. También exige registros de cambios y concienciación del personal. Son requisitos de certificación dentro de su alcance, no obligaciones de todas las empresas industriales.
La interpretación sancionada 3 de IATF cubre interrupciones de proveedores, averías, desastres, incendios, pandemias, cortes de servicios, ciberataques, escasez laboral e interrupciones de infraestructura. También exige prever la validación de conformidad del producto después de reiniciar producción tras una emergencia cuando no se siguieron los procesos normales de parada. IATF 16949, SI 3, cláusula 6.1.2.3.
Incorpora los requisitos específicos aplicables del cliente y utiliza la norma vigente con sus interpretaciones sancionadas. El plan de continuidad de proveedores puede cubrir solo parte de las contingencias exigidas. No lo describas como la respuesta completa de certificación si instalaciones, personal o sistemas de información se gestionan en otros planes.
¿Cómo debes probar el plan?
Prueba un escenario de fallo concreto con quienes responderían y registra si las medidas funcionan dentro del tiempo disponible. Empieza por un ejercicio de simulación y verifica después las dependencias importantes. Confirmar que todos asistieron no demuestra que las piezas alternativas puedan llegar, aceptarse y sostener la producción.
Plantea un suceso concreto: el proveedor principal no puede liberar el siguiente lote de fundición y el próximo conjunto de piezas depende de él. Pide a compras contactar con la alternativa usando los datos guardados, a calidad identificar la aprobación pendiente, a planificación calcular la producción expuesta y al responsable del cliente redactar el aviso.
Registra qué falló: contacto obsoleto, aprobación supuesta, útil en otra planta o plazo sin inspección. Asigna correcciones y vuelve a probar la parte que falló. Utiliza una frecuencia de pruebas basada en riesgo; los requisitos de certificación o del cliente añaden restricciones.
La FAQ 29 de IATF explica que la contingencia eficaz necesita evidencia de revisión, pruebas y validaciones periódicas y cumplimiento de requisitos del cliente. Incluye ejemplos como fuentes auxiliares, servicios contratados e inventario de seguridad; ninguno sustituye comprobar que la respuesta elegida funciona. IATF FAQ 29.
¿Suministras a clientes de EE. UU.?
Según la comprobación del 26 de septiembre de 2026, EO 14415 §3(c) ordena normas propuestas sobre mitigación, seguimiento hasta cierre, avisos, planes correctivos e informes de cierre tras evaluar proveedores. Distingue estos futuros requisitos de desarrollo de tus obligaciones contractuales actuales; la orden por sí sola no impone hoy el mismo calendario a todos los proveedores. EO 14415 §3(c).
En la UE
Para entidades dentro de NIS2, el artículo 21 incluye continuidad, gestión de crisis, seguridad de la cadena de suministro y evaluación de eficacia de las medidas de ciberseguridad. Coordina la respuesta al incidente del proveedor con los requisitos nacionales aplicables y el proceso de incidentes. Es una obligación de ciberseguridad para entidades cubiertas, no una norma universal de contingencia física. Directiva (UE) 2022/2555, artículo 21. Comprobado el 26 de septiembre de 2026.
¿Cómo evitas que las medidas de mitigación queden obsoletas?
Revisa medidas abiertas frente a plazos y evidencia de cierre. Actualiza el plan si cambian propiedad, demanda, proceso, planta o supuestos de recuperación. Conserva decisiones y revisiones. Una aprobación anual puede confirmar la gobernanza, pero no sustituye comprobar una mitigación urgente cuando la próxima producción depende de ella.
Mantén las solicitudes pendientes al proveedor en una cola fechada. Haz seguimiento con el contacto autorizado, registra la respuesta y escala la información ausente al responsable. Separa promesas comerciales de evidencia de homologación. Confirmar que el proveedor «puede ayudar» no equivale a aprobar que entregue tu revisión concreta.
Utiliza seguimiento de pedidos de compra para hitos de entrega y riesgo financiero de proveedores para cambios de financiación. Estas señales deben actualizar el plan cuando invaliden un supuesto, no crear otro registro desconectado.
¿Qué debe incluir la lista de revisión del plan?
Revisa decisiones utilizables, dependencias actuales, respuestas probadas y responsables. Quien lo lea debe identificar la primera producción expuesta, contactar con las personas adecuadas y encontrar la medida aprobada sin reconstruir la evaluación. Conserva con el plan la evidencia de pruebas, revisiones, aceptación del riesgo residual y cierre.
- El alcance identifica productos, plantas, proveedores y conexiones incluidos
- Las piezas críticas tienen evidencia fechada y escenario definido
- Los desencadenantes indican un suceso observable y quién lo comprueba
- Las medidas tienen responsable, plazo, financiación y comprobación de cierre
- La homologación de alternativas enumera aprobaciones y limitaciones pendientes
- La protección de inventario utiliza material disponible y demanda realista
- La comunicación identifica contacto del cliente y requisito aplicable
- Las pruebas registran resultados, carencias, correcciones y repetición necesaria
- Las revisiones registran aprobador y motivos del cambio de supuestos
¿Qué preguntas hacen los equipos sobre estos planes?
El plan debe funcionar para el equipo y cumplir los requisitos realmente aplicables. Conecta registro de trabajo, revisión formal y obligaciones con el cliente. Estas respuestas aclaran qué aporta el registro, qué no demuestra una plantilla y cómo las revisiones operativas encajan con los requisitos de certificación o del cliente.
¿Un registro de riesgos equivale a un plan de gestión?
El registro contiene exposiciones y datos de trabajo. Se convierte en un plan útil cuando añade desencadenantes de detección, decisiones, responsables, respuestas y evidencia de cierre. Mantén explícita la conexión: una etiqueta de riesgo alto no indica quién homologa una fuente ni cuándo planificación debe modificar la producción.
¿El plan garantiza que un auditor lo acepte?
No. La aceptación depende de norma aplicable, requisitos del cliente, ejecución y evidencia. Construye el plan con esos criterios, conserva pruebas y correcciones y verifica que el equipo puede ejecutarlo. Una plantilla organiza el trabajo, pero su título o una lista completada no demuestran por sí solos conformidad de certificación.
¿Con qué frecuencia debemos revisarlo?
Sigue los requisitos de certificación y del cliente y añade revisiones al cambiar los supuestos. IATF exige revisión al menos anual; un suceso crítico del proveedor puede requerir actuación antes. Ajusta las revisiones operativas a la exposición y al tiempo de recuperación y asigna seguimiento propio a las medidas pendientes entre revisiones formales.
Si falta evidencia del proveedor para ejecutar tu plan, habla con nuestro equipo sobre las solicitudes y el seguimiento que compras necesita completar.
Este artículo es información general, no asesoramiento jurídico ni fiscal. Consulta con tu asesor jurídico o fiscal cómo se aplican las normas a tu empresa.