¿Tu institución podría demostrar hoy mismo que los controles que protegen sus operaciones en dólares realmente funcionan?
Cuando se trata del Sistema de Pagos Interbancarios en Dólares (SPID), responder esta pregunta requiere mucho más que comprobar que la plataforma funciona correctamente. Una Auditoría SPID permite revisar de forma integral si los controles, procesos y sistemas relacionados con la operación cumplen con las disposiciones aplicables y si la institución puede demostrarlo mediante evidencia suficiente.
El SPID es una infraestructura administrada por Banco de México y diseñada para realizar transferencias interbancarias en dólares entre instituciones de crédito. A diferencia del SPEI, que opera principalmente con transferencias en pesos y admite distintos tipos de participantes, el SPID está dirigido exclusivamente a instituciones de crédito y sus transferencias entre clientes están restringidas a personas morales.
Por la naturaleza de estas operaciones, el cumplimiento no depende únicamente de contar con sistemas seguros. También es necesario gestionar los riesgos operativos, proteger la infraestructura tecnológica, controlar los accesos, mantener procesos documentados y demostrar que los controles se aplican de forma consistente.
Ahí es donde una revisión especializada adquiere especial importancia. La preparación no debería comenzar cuando llega la solicitud de información, sino mucho antes, cuando todavía existe margen para identificar brechas, corregirlas y organizar la evidencia necesaria.
¿Qué es el SPID y por qué requiere una auditoría especializada?
El Sistema de Pagos Interbancarios en Dólares (SPID) permite realizar transferencias electrónicas interbancarias en dólares entre cuentas de personas morales en México, a través de las instituciones de crédito participantes. Banco de México administra el sistema y establece las disposiciones que regulan su funcionamiento y las obligaciones de sus participantes.
Su marco normativo contempla dos instrumentos principales: la Circular 13/2017, que establece disposiciones generales aplicables a los sistemas de pagos administrados por Banco de México, y la Circular 4/2016, que contiene las Reglas del Sistema de Pagos Interbancarios en Dólares. Ambas deben consultarse en sus versiones vigentes y con sus modificaciones correspondientes.
La diferencia con SPEI no se limita a la moneda. El SPID tiene requisitos específicos relacionados con las entidades participantes, los clientes que pueden utilizarlo y determinados controles reforzados, incluyendo aspectos relacionados con prevención de lavado de dinero.
Por ello, revisar el cumplimiento requiere conocer tanto el funcionamiento del sistema como las obligaciones regulatorias y los controles tecnológicos y operativos que lo soportan.
¿Qué se revisa?
El alcance de una revisión puede abarcar diferentes dimensiones. La normativa contempla, entre otros aspectos, requisitos relacionados con seguridad informática, gestión del riesgo operacional y gestión de riesgos adicionales para operar en el SPID.
Seguridad informática
Se revisan los controles destinados a proteger los sistemas y la información que intervienen en la operación.
Esto puede incluir mecanismos de control de acceso, protección de infraestructura, gestión de vulnerabilidades, monitoreo, gestión de incidentes y procedimientos destinados a prevenir o detectar eventos de seguridad.
No se trata únicamente de preguntar si existe un firewall, una herramienta de monitoreo o un sistema de autenticación. También interesa conocer cómo se administran estos controles, quién los supervisa y qué evidencia demuestra que funcionan.
Gestión del riesgo operacional
Los sistemas de pagos necesitan contemplar escenarios en los que algo puede salir mal.
Una revisión puede analizar cómo se identifican y evalúan los riesgos, qué responsables participan, qué controles existen y cómo se da seguimiento a los incidentes o desviaciones detectadas.
La existencia de un riesgo no implica necesariamente un incumplimiento. Lo importante es que esté identificado, evaluado y gestionado de acuerdo con los procedimientos establecidos.
Ciberresiliencia
La seguridad no consiste solamente en intentar impedir un ataque. También implica estar preparado para responder y recuperar la operación cuando ocurre un incidente.
Por eso, la capacidad de detectar, contener, responder y recuperarse ante eventos de seguridad forma parte de una estrategia de protección mucho más completa.
Banco de México también ha señalado la relevancia del CISO como responsable de la estrategia institucional de seguridad de la información, con una visión que debe superar los límites puramente tecnológicos y considerar procesos, riesgos, prevención, detección y atención de incidentes.
Aplicativo SPID
Uno de los puntos que merece especial atención es el denominado Aplicativo SPID, definido por Banco de México como el programa de cómputo que utilizan los participantes para interactuar con el sistema y que forma parte de la infraestructura tecnológica.
Esto significa que el cumplimiento también debe analizar todo su ciclo de vida, desde cómo se desarrolla, administra y se le brinda soporte a este componente tecnológico.
La normativa contempla procedimientos relacionados con el diseño, desarrollo, validación, liberación e instalación de sistemas, así como con la gestión formal de cambios. También establece la necesidad de considerar la seguridad durante las distintas etapas del desarrollo y de mantener mecanismos que permitan revisar y rastrear los accesos y actividades realizadas por las personas usuarias.
En otras palabras, no basta con que el aplicativo funcione. También debe existir un proceso controlado alrededor de su desarrollo, modificación, seguridad y operación.
Infraestructura tecnológica: más allá del aplicativo
El aplicativo es solo una pieza del ecosistema.
Para que una operación pueda realizarse de forma segura intervienen redes, servidores, mecanismos de autenticación, herramientas de monitoreo, controles de acceso, sistemas de respaldo y otros componentes tecnológicos.
Por eso, una revisión integral debe considerar el entorno en el que funciona el aplicativo y no únicamente el código o la aplicación utilizada para conectarse al sistema.
La normativa contempla, por ejemplo, procedimientos para evitar la instalación de servicios, aplicaciones o software que no sean indispensables para la operación con el SPID, así como mecanismos para gestionar incidentes de seguridad y evaluar periódicamente la seguridad de la infraestructura tecnológica.
Este enfoque ayuda a entender una cuestión importante: un aplicativo seguro puede verse comprometido si la infraestructura que lo rodea presenta debilidades.
Procesos y controles operativos
La tecnología necesita estar acompañada de procesos.
Una revisión puede analizar cómo se gestionan las operaciones, quién tiene autorización para realizar determinadas actividades, cómo se registran las acciones y qué mecanismos existen para detectar anomalías.
También pueden revisarse procedimientos relacionados con incidentes, cambios, accesos y responsabilidades.
Cuando los procesos dependen demasiado del conocimiento de una sola persona y no están documentados, el riesgo aumenta. No solo porque sea más difícil demostrar el cumplimiento, sino porque una ausencia, una rotación de personal o una emergencia puede afectar la continuidad de la operación.
Evidencia: cómo demostrar que los controles existen y funcionan
Este suele ser uno de los puntos más delicados.
Decir que existe un control no equivale a demostrar que funciona. Una política puede indicar que los accesos se revisan periódicamente, pero durante una revisión será necesario demostrar que esas revisiones realmente se realizaron.
Por eso conviene mantener organizada la evidencia desde el momento en que se ejecuta el control.
Entre la documentación que puede resultar relevante se encuentran:
- Políticas y procedimientos.
- Matrices de riesgos y controles.
- Bitácoras.
- Registros de monitoreo.
- Reportes de seguridad.
- Evidencia de revisiones de acceso.
- Informes de evaluaciones técnicas.
- Registros de incidentes.
- Planes de continuidad y recuperación.
- Evidencia de pruebas.
- Informes de auditoría.
- Planes de remediación.
- Seguimiento y evidencia de cierre de hallazgos.
La calidad de la evidencia también importa. Un documento antiguo o un procedimiento que ya no coincide con la operación actual puede generar más preguntas que respuestas.
¿Quién realiza la auditoría?
La normativa contempla revisiones realizadas tanto por el área de auditoría interna como por Auditores Externos Independientes.
En concreto, cada participante debe verificar anualmente el cumplimiento de determinados requisitos mediante revisiones que realiza la persona titular del área de auditoría interna en un año y el Auditor Externo Independiente al año inmediato siguiente. Los dictámenes y certificaciones correspondientes deben entregarse al comité de auditoría y a Banco de México dentro de los 60 días naturales siguientes al cierre del ejercicio.
Además, existen requisitos específicos de independencia. La normativa establece, entre otras condiciones, límites respecto del número de periodos consecutivos en los que un mismo Auditor Externo Independiente puede realizar la certificación para un participante.
Esto refuerza una idea fundamental: no cualquier revisión interna puede sustituir una evaluación que deba cumplir con los requisitos de independencia establecidos por la regulación.
El papel del CISO en la seguridad del SPID
La seguridad de una infraestructura financiera no puede depender únicamente de herramientas tecnológicas.
El CISO (Chief Information Security Officer o Director de Seguridad de la Información) debe tener una visión transversal de la seguridad de la información y coordinar aspectos relacionados con riesgos, prevención, detección y respuesta. Banco de México describe precisamente este papel como una función que debe tener influencia en toda la organización y suficiente conocimiento del negocio para equilibrar las prioridades operativas y de protección.
Por ello, contar con personal preparado para asumir esta responsabilidad puede ser una pieza importante dentro de la estrategia de cumplimiento.
Para quienes necesitan fortalecer sus conocimientos en esta materia, Cynthus ofrece el curso CCISO Certified Chief Information Security Officer, orientado al desarrollo de competencias para desempeñar funciones de liderazgo en seguridad de la información.
Conoce el curso CCISO Certified Chief Information Security Officer de Cynthus
¿Cómo prepararse?
Una buena preparación puede comenzar mucho antes de la revisión formal.
El primer paso es identificar las disposiciones aplicables y traducirlas a controles concretos. Después conviene comprobar si esos controles existen, quién es responsable y qué evidencia genera cada uno.
A partir de ahí, resulta útil realizar un análisis de brechas que permita distinguir entre controles inexistentes, controles parcialmente implementados y controles que funcionan correctamente pero cuya evidencia es insuficiente.
Las evaluaciones técnicas necesarias deben integrarse en este proceso. Una prueba de penetración, una revisión de configuraciones o una evaluación de seguridad pueden aportar información muy valiosa, pero deben formar parte de una estrategia más amplia.
Finalmente, cada brecha debería convertirse en una acción concreta, con una persona responsable y una fecha de seguimiento.
La preparación deja de ser entonces una carrera contra el tiempo y se convierte en un proceso continuo de mejora.
Servicio de Cynthus
Cumplir con las disposiciones aplicables al SPID implica coordinar tecnología, seguridad, riesgos, procesos y gobierno. Intentar revisar cada elemento por separado puede hacer que se pierda de vista cómo interactúan entre sí.
Cynthus ofrece servicios de auditoría y aseguramiento orientados a ayudar a las organizaciones a evaluar sus controles, identificar brechas y fortalecer sus mecanismos de cumplimiento.
Una revisión especializada permite conocer con mayor claridad qué está funcionando, qué necesita atención y qué evidencia debe mantenerse disponible para demostrarlo.Para una institución participante, esa preparación puede marcar una diferencia importante cuando llega el momento de responder ante una revisión formal.
