¿Tu organización podría demostrar, con documentos y evidencias concretas, que todos los controles relacionados con sus operaciones de pagos funcionan como deberían?
Esta pregunta cobra especial importancia cuando se trata del Sistema de Pagos Electrónicos Interbancarios (SPEI), una infraestructura crítica para el funcionamiento del sistema financiero mexicano. En junio de 2026, por ejemplo, el sistema registró más de 782 millones de operaciones, por un valor superior a 21.9 billones de pesos.
En este contexto, la auditoría SPEI no debe entenderse únicamente como una revisión técnica de sistemas. El cumplimiento involucra seguridad, gestión de riesgos, continuidad operativa, controles de acceso, monitoreo y capacidad para responder ante incidentes. Además, los requisitos regulatorios han evolucionado y hoy resulta cada vez más importante no solo contar con controles, sino poder demostrar que están implementados, se supervisan y funcionan.
Prepararse con anticipación permite detectar brechas antes de que se conviertan en observaciones y, sobre todo, evita que la organización tenga que reconstruir evidencias a contrarreloj cuando la revisión ya comenzó.
¿Qué es una auditoría SPEI?
Una auditoría relacionada con el cumplimiento de las disposiciones aplicables al SPEI consiste, de manera general, en evaluar si una organización cumple con las obligaciones que le corresponden y si los controles establecidos son adecuados para gestionar los riesgos asociados a su participación en el sistema.
No debe confundirse con una evaluación puntual de cumplimiento ni con una prueba técnica.
Una evaluación de cumplimiento busca determinar si los requisitos aplicables están siendo atendidos. Una prueba técnica, en cambio, puede centrarse en aspectos concretos de la infraestructura tecnológica, como vulnerabilidades, configuraciones o mecanismos de seguridad.
La auditoría puede integrar ambas perspectivas, pero tiene un alcance más amplio. No se trata solamente de comprobar si un servidor está protegido, sino de analizar si existe un proceso formal, quién es responsable, cómo se supervisa, qué ocurre cuando aparece una desviación y qué evidencia permite demostrar todo ello.
¿Quién debe realizar las revisiones de cumplimiento?
El marco regulatorio establece obligaciones para los participantes del SPEI y quienes pretendan actuar con ese carácter. La Circular 14/2017 y sus modificaciones constituyen una referencia fundamental para determinar las obligaciones aplicables. Actualmente, la página oficial de Banco de México muestra, entre otras actualizaciones, la Circular 9/2026, publicada el 17 de junio de 2026.
Dentro de una organización pueden intervenir diferentes funciones en estas revisiones. Auditoría interna puede evaluar controles y detectar áreas de mejora. Las áreas de tecnología y seguridad pueden aportar evidencias técnicas. Riesgos y cumplimiento pueden revisar las obligaciones regulatorias, mientras que una auditoría externa puede realizar una evaluación independiente cuando corresponda.
Lo importante es que las responsabilidades estén claramente definidas. Cuando nadie sabe quién debe proporcionar una evidencia, explicar un control o atender una observación, la revisión puede complicarse incluso aunque técnicamente existan controles adecuados.
¿Qué se revisa?
El alcance concreto depende de las obligaciones aplicables y de la naturaleza de la revisión, pero existen varias áreas que suelen ser especialmente relevantes.
Seguridad informática
Se revisan los mecanismos destinados a proteger los sistemas, aplicaciones, infraestructura y datos relacionados con las operaciones. Esto puede incluir gestión de vulnerabilidades, actualizaciones, configuraciones de seguridad, protección de infraestructura y controles destinados a reducir el riesgo de accesos no autorizados.
Riesgo operacional
No basta con disponer de tecnología segura. También es necesario identificar qué puede salir mal durante la operación y cómo respondería la organización.
Por ello pueden revisarse procesos, responsables, identificación y evaluación de riesgos, incidentes operativos, controles preventivos y mecanismos de seguimiento.
Ciberseguridad y resiliencia
La capacidad para prevenir, detectar y responder ante ciber amenazas es especialmente relevante en servicios financieros. Aquí pueden entrar la gestión de incidentes, monitoreo, mecanismos de detección, respuesta, recuperación y lecciones aprendidas.
Infraestructura tecnológica y accesos
La revisión puede abarcar servidores, redes, aplicaciones y otros componentes que intervienen en el servicio. También es habitual analizar los controles de acceso, altas y bajas de usuarios, privilegios, autenticación y revisión periódica de permisos.
Monitoreo y continuidad
Una organización debe poder demostrar que supervisa sus operaciones y que dispone de mecanismos para mantener o recuperar los servicios cuando se presenta una interrupción.
Por eso cobran importancia los registros de monitoreo, procedimientos de respuesta, planes de continuidad, pruebas de recuperación y documentación de incidentes, todo alineado con buenas prácticas internacionales.
Tener un control implementado no significa tener evidencia suficiente
Este es uno de los puntos que más fácilmente se pasan por alto.
Una organización puede afirmar que realiza revisiones periódicas de accesos, por ejemplo. Sin embargo, durante una auditoría la pregunta será inevitable: ¿cómo se demuestra?
Una política establece qué debería hacerse. Un procedimiento explica cómo hacerlo. Pero la evidencia demuestra que efectivamente se hizo.
Puede tratarse de reportes, bitácoras, tickets, registros de aprobación, resultados de pruebas, actas, informes o capturas de sistemas, dependiendo del control.
Por eso, preparar la evidencia no debería ser una actividad que comienza cuando llega la solicitud de información. Debe formar parte del propio funcionamiento del control.
¿Qué evidencia conviene tener preparada?
El alcance dependerá de las obligaciones concretas de cada organización, pero una buena preparación puede comenzar con cinco grandes grupos de información.
Gobierno y gestión
Conviene contar con políticas vigentes, responsables claramente definidos y documentación sobre funciones y responsabilidades.
También resulta útil mantener evidencia de la gestión de riesgos, reportes de seguimiento, reuniones de revisión y decisiones relacionadas con los riesgos identificados.
Seguridad tecnológica
Aquí pueden incluirse evaluaciones de seguridad, gestión de vulnerabilidades, reportes de análisis, controles de acceso, resultados de revisiones y documentación relacionada con la gestión de incidentes en sistemas, aplicaciones y redes.
La clave es que los documentos permitan relacionar cada control con su ejecución y con las personas responsables.
Operación
Los procedimientos operativos, bitácoras, registros de monitoreo y documentación de incidentes pueden resultar fundamentales.
Una bitácora aislada tiene poco valor si nadie puede explicar qué se monitorea, con qué frecuencia, quién revisa la información y qué acciones se toman cuando aparece una alerta.
Continuidad y recuperación
Es recomendable conservar los planes de continuidad, resultados de pruebas, hallazgos identificados y acciones correctivas.
Una prueba de recuperación que detectó problemas no necesariamente es una mala señal. Lo problemático sería detectar el problema y no contar con evidencia de que posteriormente se atendió.
Auditoría y remediación
Los informes de revisiones anteriores, planes de acción, responsables, fechas comprometidas y evidencias de cierre permiten demostrar que la organización no solo identifica problemas, sino que también les da seguimiento, y que lo hace continuamente.
¿Una prueba de penetración sustituye la auditoría?
No.
Una prueba de penetración o pentest tiene como objetivo identificar y demostrar vulnerabilidades explotables dentro de un alcance técnico determinado. Puede ser una herramienta muy útil para conocer el nivel de exposición de aplicaciones, redes o infraestructura.
Sin embargo, una auditoría de cumplimiento tiene una perspectiva mucho más amplia.
El hecho de que un pentest no encuentre vulnerabilidades críticas no significa que todos los requisitos regulatorios estén cubiertos. Tampoco demuestra que existan políticas adecuadas, que los accesos se revisen correctamente, que los incidentes se gestionen de forma documentada o que los planes de continuidad funcionen.
El pentest puede formar parte de una estrategia de preparación, pero no sustituye una revisión integral.
Cambios de SPEI en 2026: la experiencia de usuario entra en el alcance regulatorio
Durante 2026 se produjo una modificación relevante. Banco de México publicó la Circular 9/2026, relacionada con la homologación de la experiencia de usuario en las transferencias electrónicas de fondos realizadas mediante dispositivos móviles. La modificación fue publicada en el Diario Oficial de la Federación el 17 de junio de 2026.
Además, Banco de México publicó en agosto de 2026 la versión 1.1 de las guías para la homologación de la experiencia de usuario.
Esto amplía la conversación más allá de la infraestructura tecnológica. La forma en que las personas usuarias realizan determinadas transferencias desde dispositivos móviles también forma parte del marco que las organizaciones participantes deben considerar.
Para las áreas responsables, esto implica revisar no solo los sistemas que soportan las operaciones, sino también los procesos y componentes de experiencia de usuario que puedan estar sujetos a los nuevos requerimientos.
¿Cómo prepararse para una revisión?
Una preparación ordenada puede dividirse en varias etapas.
1. Identificar las obligaciones aplicables
El primer paso consiste en determinar qué disposiciones corresponden a la organización según su participación y operación.
La Circular 14/2017 es una de las referencias fundamentales y debe revisarse considerando sus modificaciones posteriores. Consultar la Circular 14/2017 en Banco de México
2. Mapear requisitos contra controles
Una vez identificadas las obligaciones, conviene relacionarlas con los controles existentes.
El objetivo es responder preguntas sencillas, pero muy útiles: ¿qué requisito estamos cubriendo?, ¿con qué control?, ¿quién es responsable?, ¿qué evidencia existe?, ¿con qué frecuencia se ejecuta?
3. Evaluar la evidencia
No basta con tener una carpeta llena de documentos. La evidencia debe ser vigente, trazable y suficientemente clara para demostrar la ejecución del control.
También conviene identificar documentos desactualizados, registros incompletos o controles que se ejecutan pero no dejan evidencia.
4. Identificar brechas
El análisis debería permitir separar tres situaciones: controles inexistentes, controles implementados pero deficientes y controles adecuados cuya evidencia necesita mejorar.
Esta clasificación facilita priorizar esfuerzos.
5. Realizar las evaluaciones técnicas necesarias
Dependiendo del alcance, pueden ser necesarias pruebas de seguridad, análisis de vulnerabilidades, revisiones de configuración, evaluaciones de continuidad u otras comprobaciones técnicas.
La finalidad no es acumular pruebas, sino obtener información útil para demostrar el nivel real de control.
6. Establecer un plan de remediación
Finalmente, cada brecha debería tener una persona responsable, una acción concreta y una fecha objetivo.
Prepararse para una revisión no significa intentar aparentar que todo es perfecto. Significa conocer dónde están los problemas y demostrar que existe un proceso serio para resolverlos.
Prepararse antes de que llegue la revisión marca la diferencia
Cuando una organización comienza a recopilar evidencias el mismo día en que recibe una solicitud de auditoría, normalmente aparecen documentos perdidos, responsables que ya no están en el área, controles que no dejaron registros o procedimientos que llevan meses sin actualizarse.
Prepararse con tiempo permite detectar esas situaciones cuando todavía existe margen para corregirlas.
La revisión, además, puede convertirse en algo más útil que un ejercicio de cumplimiento. Puede servir para conocer mejor la madurez de los controles, ordenar responsabilidades, fortalecer la seguridad y reducir riesgos operativos.
Servicio de auditoría SPEI de Cynthus
Para organizaciones que necesitan evaluar su nivel de cumplimiento, identificar brechas y fortalecer sus controles, Cynthus cuenta con servicios de auditoría y aseguramiento, dentro de una oferta que también incluye seguridad de la información y ciberseguridad, continuidad y resiliencia, gobierno y gestión de TI, gestión de riesgos y cumplimiento normativo.
Si necesitas preparar a tu organización para una revisión, evaluar el estado actual de los controles o identificar qué evidencia falta antes de iniciar un proceso formal, puedes conocer el servicio de auditoría SPEI de Cynthus.
