Sergio Zilli es Territory Manager de Achilles en México, enfocado en cadena de suministro, compras y gestión de riesgo de proveedores. Su trabajo se ha concentrado en cómo la tecnología y la sustentabilidad dejaron de ser temas de reporte para convertirse en ejes de diferenciación competitiva.
Conversamos con Sergio sobre el momento que vive México, lo que está cambiando en la dinámica sobre el riesgo y la resiliencia en las cadenas de suministro, y lo que las empresas deberían estar considerando en sus estrategias regionales.
Conociendo el territorio
P: Para comenzar, ¿cómo describirías el panorama actual de negocios y cadenas de suministro en México? ¿Qué cambios o tendencias están teniendo mayor impacto en las organizaciones de la región?
México está en el mejor momento de su historia comercial y, al mismo tiempo, en el más exigente.
Somos el principal socio comercial de Estados Unidos, con un intercambio bilateral cercano a los 935 mil millones de dólares, y más del 80% de nuestras exportaciones van a ese mercado. La demanda está ahí, pero está muy concentrada, y eso es oportunidad y riesgo al mismo tiempo.
De todo lo que está pasando, hay tres cosas que a mí me parecen las que de verdad mueven la aguja.
Una es la relocalización. Muchas compañías globales están trayendo producción a México. Solo en 2026 abrieron planta CELO en Guanajuato, Baltimore Aircoil Company en Nuevo León con una inversión de 100 millones de dólares y la alemana EAM—Mosca, también en Nuevo León. Y al aterrizar descubren lo mismo: su cadena local no está documentada al nivel que la casa matriz exige.
Otra es la regulatoria, y aquí el dato cambió hace poco. La revisión conjunta del T-MEC se hizo el 1 de julio de 2026 y Estados Unidos no confirmó la extensión por 16 años que pedían México y Canadá. El tratado sigue plenamente vigente con horizonte a 2036, pero ahora se revisa cada año. O sea que el marco comercial dejó de ser un dato fijo y hoy es una variable que se renegocia cada doce meses, con reglas de origen, cumplimiento laboral y trazabilidad en el centro de la discusión. A eso súmale que las Normas de Información de Sostenibilidad ya obligan a reportar indicadores no financieros con criterios comparables.
Para una dirección de compras eso significa algo muy concreto, y es que ya no puedes armar tu cadena asumiendo que las reglas de hoy van a ser las mismas en dos años. La única defensa razonable que le veo es tener documentado de dónde viene cada componente y quién es cada proveedor, para poder responder rápido cuando la regla cambie.
Y la tercera es tecnológica. Compras se está digitalizando y el riesgo del proveedor empieza a traducirse en datos que se pueden analizar, no en un reporte que se archiva.
Mi lectura es sencilla: el nearshoring sin proveedores trazables no es integración industrial, es relocalización y ya. La diferencia entre las dos cosas se llama evidencia.
P: Desde tu perspectiva, ¿cuáles son hoy los principales riesgos o desafíos que enfrentan las empresas de México en sus cadenas de suministro? ¿Qué es lo que más está preocupando a los líderes?
El riesgo más grande casi nunca es el evidente. No es el que viene en la página web del proveedor ni en su presentación comercial.
Los obvios ya los conocemos todos: concentración en un solo mercado de destino, volatilidad arancelaria, dependencia de proveedores únicos para insumos críticos, presión sobre energía y agua en el norte y el Bajío.
Pero los que de verdad golpean son más silenciosos.
El primero es la subcontratación sin control, y este es puramente legal. En México la responsabilidad solidaria laboral y de seguridad social no se transfiere por contrato: la reforma publicada en el Diario Oficial de la
Federación el 23 de abril de 2021 dejó a la empresa beneficiaria como responsable solidaria de las obligaciones laborales del contratista (artículo 14 de la Ley Federal del Trabajo), de las cuotas obrero-patronales (artículo 15-A de la Ley del Seguro Social) y de las aportaciones de vivienda (artículo 29 Bis de la Ley del Infonavit). Súmale el registro en el REPSE para servicios especializados. Si tu proveedor no está en regla, el problema también es tuyo, aunque en el contrato diga otra cosa.
El segundo es la ciberseguridad de terceros. Los ataques rara vez entran por la puerta principal; entran por el proveedor chico que tiene acceso a tus sistemas y no tiene equipo de seguridad.
Y el tercero, que suena menos grave pero cuesta muchísimo, es el dato vencido. Un proveedor aprobado hace dieciocho meses no es un proveedor aprobado hoy.
Ahora, si me preguntas qué es lo que de verdad les quita el sueño a los líderes, no es la interrupción. Todos saben que va a haber interrupciones. Lo que les pesa es no tener controles para prevenirlas.
Lo digo en cada conversación con un director de compras: el control no termina cuando das de alta al proveedor. Empieza ahí.
Madurez en gestión de riesgos
P: ¿Qué tan maduras consideras que están las empresas de México en materia de gestión de riesgos de proveedores? ¿Estamos viendo una gestión principalmente reactiva o las organizaciones están avanzando hacia modelos más preventivos y estratégicos?
La madurez en México es muy dispar, y esa dispersión es justamente lo más relevante del mercado. No hay un promedio que sirva para describirlo.
Donde encuentras más madurez es en las transnacionales, sobre todo de matriz europea, y en los sectores muy regulados: energía, minería, petróleo, infraestructura. Ahí la exigencia llega de fuera y eso obliga a estructurar. Pero incluso ahí hay de todo. Algunas tienen segmentación por criticidad y auditorías; otras dieron un paso más y armaron un equipo dedicado, separado de compras, que para mí es la mejor señal de madurez que hay, porque significa que quien evalúa el riesgo no es el mismo que necesita cerrar la compra. Esa imparcialidad estructural cambia todo. Y luego hay casos que, pese al nombre global, siguen operando en México de forma bastante básica.
Del otro lado pasa algo que me parece todavía más interesante. Te encuentras empresas mexicanas con operaciones locales más grandes que las de varias transnacionales, con más proveedores, más plantas y más gente en sitio, y con procesos de riesgo notoriamente débiles. El tamaño de la operación no predice el nivel de control. Es una de las conclusiones más consistentes que me llevo del mercado mexicano.
¿Reactivos o preventivos? Hoy sigue dominando lo reactivo, aunque con un matiz importante: ya no por convicción, sino por falta de método. La mayoría sí hace un esfuerzo serio de evaluación al inicio. El problema es que ese esfuerzo se agota en el alta. Se evalúa una vez, se archiva y se asume que el resultado sigue siendo válido.
Ahí está el salto pendiente: pasar del compliance declarativo, donde el proveedor dice que cumple, al monitoreo continuo con evidencia auditable, donde el proveedor lo demuestra y el comprador lo puede verificar.
P: ¿Cuál dirías que es la principal brecha que todavía existe en la gestión de proveedores en tu territorio? Por ejemplo, visibilidad, calidad de la información, monitoreo continuo, gestión de proveedores críticos, ESG, cumplimiento o riesgos de terceros.
Si tengo que elegir una sola, la vigencia y la calidad de los datos. Y muy pegada a ella, la fragmentación.
He visto programas impecables en el papel que en la práctica se sostienen con hojas de cálculo, carpetas compartidas sin control, correo y grupos de WhatsApp. Padrones de más de mil proveedores gestionados por una sola persona con una base maestra en Excel. Esa persona casi siempre es buenísima, no es un tema de capacidad. El tema es que todo el programa depende de que no se enferme, no se vaya y no se equivoque al copiar una fila.
La fragmentación agrava todo. Compras tiene una versión del proveedor, cumplimiento tiene otra, sostenibilidad una tercera y finanzas una cuarta. Cuatro áreas, cuatro verdades, un mismo proveedor, y cada una validando por separado los documentos que le tocan. Imagínate lo que eso demora.
Así que el problema no es que falte información. Sobra información fragmentada, sin trazabilidad y sin disciplina.
Y hay un paso anterior que casi siempre se salta, que es la segmentación. No todos los proveedores merecen el mismo rigor. Un padrón bien segmentado puede tener miles de proveedores de riesgo bajo y unos cientos de riesgo alto. Ahí es donde debe estar la energía, el presupuesto y la auditoría. Sin eso, se audita mucho y se protege poco.
P: ¿Has visto un cambio en la forma en que los líderes están hablando de riesgo y resiliencia? ¿La conversación está pasando de «qué hacemos cuando ocurre una interrupción» a «cómo podemos anticiparnos a ella»?
Cambió la narrativa, no el accionar. Y vale la pena ver de dónde viene el impulso, porque ahí está lo interesante.
En la mayoría de los casos no nace en compras ni en sostenibilidad. Llega de afuera de la operación: del fondo de inversión, del consejo de administración, del cliente global que pide evidencia. Por lo menos una tercera parte de las empresas en América Latina ya le pide información de sostenibilidad a sus proveedores, y la gestión de riesgo asociada creció con fuerza como prioridad estratégica en los últimos dos años.
Dicho eso, la conversación se movió mucho más rápido que la operación. Muchos directores ya hablan con soltura de una cultura preventiva mientras sus equipos siguen persiguiendo documentos por correo. Cerrar esa brecha entre el discurso y el proceso es hoy el tema de fondo.
Lo que está cambiando
P: ¿Qué tendencias crees que van a transformar la gestión de las cadenas de suministro en México durante los próximos 3 a 5 años? ¿Qué deberían estar observando desde ahora las empresas?
Hay tres cambios que van a redefinir cómo se trabaja.
El más importante es la inteligencia artificial aplicada a la validación de evidencia. Hoy ya se pueden revisar documentos, certificados y pólizas con IA supervisada y verificar consistencia y vigencia en minutos, no en semanas. Eso libera al equipo humano para lo que la máquina no puede hacer, que es decidir.
El segundo es sacarle jugo de verdad a los datos de los programas de Supply Chain Risk Management. Hoy es normal que Ventas, Marketing o IT monitoreen datos y decidan con ellos todos los días. En Compras y Supply Chain, en cambio, los informes de riesgo del proveedor casi no se usan para decidir; se sigue decidiendo principalmente por variables económicas. El futuro no es un reporte que alguien revisa el viernes, es una alerta que puede frenar un alta, una orden de compra o un pago dentro del sistema donde el comprador ya trabaja. Un dato de riesgo que no termina en una decisión no sirve para nada.
El tercero es la contabilidad de carbono en la cadena. El Alcance 3 representa entre el 70% y el 90% de la huella en manufactura, retail y consumo, y en México el reporte con datos del ejercicio previo se vuelve exigible en los próximos años. Ese número no lo calculas sin tus proveedores.
P: Si tuvieras que señalar un riesgo que las empresas de México todavía están subestimando, ¿Cuál sería y por qué?
La ciberseguridad de terceros, sin dudarlo.
Casi todas las empresas han invertido en serio en proteger su propio perímetro. Muy pocas se han hecho la pregunta incómoda: ¿qué tan expuesto está el proveedor que tiene acceso a mis sistemas, a mi información de clientes o a mi operación logística?
Y los datos son contundentes. Analizando decenas de miles de organizaciones, las que tienen un perfil de exposición alta en su superficie de ataque externa presentan alrededor de tres veces más probabilidad de sufrir ransomware y más del doble de sufrir cualquier otro ciberataque. Eso no es intuición de mercado, es correlación medible.
Se subestima porque es invisible desde el proceso tradicional. Pocos servicios de gestión de riesgos detectan bases de datos expuestas o software sin parches, así que un proveedor puede contestarte con toda honestidad que cumple sus políticas de seguridad y estar comprometido sin saberlo. Y tampoco correlaciona con el tamaño: he visto proveedores chicos, de facturación baja, que resultan ser el punto más vulnerable de toda la cadena precisamente porque nadie los veía como críticos.
Encima sigue muy presente el “¿quién me va a querer hackear a mí?”. Quien no ha tenido un incidente lo ve lejano, y con la IA avanzando como avanza, ese lujo ya no existe.
La buena noticia es que hoy esa exposición se puede medir desde fuera, de forma recurrente y sin pedirle nada al proveedor. La tecnología para verlo ya existe. Lo que falta es la decisión de mirar.
Mirando hacia el futuro
P: ¿Qué diferencia a las organizaciones que están mejor preparadas para enfrentar la incertidumbre de aquellas que todavía están reaccionando a los problemas cuando ocurren?
Déjame responder con un caso que he visto repetirse muchas veces.
Un proveedor entra al padrón completamente en verde: documentación en orden, certificaciones vigentes, evaluación aprobada. Con los meses se vuelve “de casa”, “de confianza”, y la compañía se confía. Dieciocho meses después ese mismo proveedor es el mayor riesgo del programa: cambió de razón social, dejó vencer una póliza, perdió una certificación clave y acumuló observaciones laborales.
No cambió el proveedor. Cambió lo que dejamos de mirar.
Las que están mejor preparadas se distinguen en cosas muy concretas. Segmentan, o sea que saben cuáles proveedores son verdaderamente críticos y aplican rigor proporcional al riesgo, en lugar de tratar a todos igual y no proteger bien a ninguno. Monitorean de forma continua, con señales cuando algo cambia y no una revisión anual. Conectan el riesgo con la decisión, de modo que una alerta relevante puede detener una orden de compra o un pago; si la información no tiene consecuencia operativa, es documentación y no gestión. Y tienen patrocinio ejecutivo, porque en las empresas donde el programa falla casi siempre vive en una sola persona con mucha voluntad y poca autoridad.
Hay una última diferencia, más cultural, y es que desarrollan a su proveedor en lugar de castigarlo.
P: ¿Qué recomendación le darías a un líder de Procurement, Supply Chain o Risk Management que quiera fortalecer hoy la resiliencia de su organización?
Que no empiece comprando tecnología. Que empiece por ordenar tres decisiones.
La primera, definir qué proveedores son críticos y por qué. No solo por volumen de compra, que es el error más común, sino por dificultad de reemplazo, impacto en la operación y exposición regulatoria. Un proveedor de bajo monto que te detiene una línea es más crítico que uno de alto monto fácilmente sustituible.
La segunda, subir el estándar de lo que aceptas como prueba. Hoy la mayoría de los programas se conforma con que el proveedor declare que cumple y adjunte un documento, y eso no es evidencia. Un programa serio define qué debe demostrar cada proveedor según su nivel de riesgo, exige que esa evidencia esté verificada por un tercero independiente y le pone ciclo de revalidación y un dueño con nombre y apellido. El día que cambias la pregunta de “¿me mandaste el papel?” a “¿alguien verificó que esto es cierto y sigue siendo válido?”, cambia la calidad de todo el programa.
La tercera, conectar la alerta con el flujo de decisión, para que el riesgo aparezca justo cuando alguien va a dar un alta, aprobar una orden o liberar un pago. Ahí se evitan los problemas, no en el reporte trimestral.
Después de eso, la tecnología multiplica. Antes de eso, solo digitaliza el desorden.
Y agrego la pregunta que casi nadie se hace: ¿cuántas empresas contratistas entran a tus instalaciones cada mes, y cuánta gente y cuántos vehículos traen? Muy pocos tienen ese número a la mano, y es donde el riesgo deja de ser teórico, porque ahí se materializa la responsabilidad solidaria y ahí pasa el accidente con un tercero. El padrón te dice a quién le compras; el control de accesos te dice quién está hoy parado dentro de tu planta.
Y ese número es, además, el que te consigue presupuesto. Explicado en abstracto, el riesgo casi siempre pierde contra otras iniciativas. Pero cuando llegas al comité con cuántos contratistas entran, qué porcentaje no tiene documentación vigente y cuánto cuesta un accidente o un paro de línea, dejas de rogar por presupuesto y empiezas a recibirlo.
Para cerrar
P: Si tuvieras que resumir en una frase el futuro de las cadenas de suministro en México ¿qué dirías?
Se va a decidir en la evidencia: quien pueda demostrar con datos verificados cómo opera su cadena va a exportar más, financiarse mejor y resistir más que quien solo pueda declararlo.
Y quiero subrayar el punto del financiamiento, porque creo que es el que menos se ve venir. Tener procesos robustos y poder demostrarlos está dejando de ser un tema de cumplimiento para volverse un tema de acceso. Donde antes te pedían estados financieros y garantías, hoy empiezan a pedirte tu política anticorrupción, tus procesos de gestión energética o la trazabilidad de tu cadena. Ese cambio ya empezó en la banca, en los fondos y en los clientes globales, y va a seguir extendiéndose. La empresa que tenga esa evidencia lista va a competir en condiciones muy distintas a la que tenga que salir a construirla el día que se la pidan.
