Control interno y auditoría interna en la banca mexicana: qué exige la CNBV
El Sistema de Control Interno que la Comisión Nacional Bancaria y de Valores (CNBV) exige a las instituciones de crédito en México está definido en la Circular Única de Bancos (CUB), la principal norma prudencial del sector. La CUB obliga a cada banco a contar con un sistema de control interno articulado en tres pilares: la Contraloría Interna, la Auditoría Interna y el Comité de Auditoría, todos bajo la responsabilidad última del Consejo de Administración. En junio de 2024, la CNBV reformó estas disposiciones para reforzar la segregación de funciones y los programas de auditoría.
Para un banco que opera en México, no se trata de una buena práctica opcional: es una obligación regulatoria cuya adecuada implementación revisa la CNBV y dictamina el auditor externo.
Qué es el Sistema de Control Interno de la CUB
El Sistema de Control Interno (SCI) es el conjunto de objetivos, políticas, procedimientos y controles que una institución de crédito debe establecer para procurar que sus operaciones se realicen conforme a la normativa, que la información financiera sea confiable, y que los riesgos se gestionen adecuadamente. Está regulado en las Disposiciones de Carácter General Aplicables a las Instituciones de Crédito —la Circular Única de Bancos— emitidas por la CNBV.
El SCI no es un documento, sino una estructura de gobierno: define quién hace qué, con qué independencia y bajo qué supervisión, para que el control no dependa de la buena voluntad de un área, sino de un sistema con responsabilidades claras que llegan hasta el Consejo de Administración.
Novedades: la reforma de 2024
El 14 de junio de 2024, la CNBV publicó en el Diario Oficial de la Federación una resolución que modificó la Circular Única de Bancos para fortalecer el marco de control interno. La reforma buscó dictar lineamientos mínimos de regulación prudencial para que las instituciones de crédito cuenten con objetivos y lineamientos en materia de control interno que segreguen funciones, establezcan mecanismos de control de las operaciones y prevean programas generales de auditoría interna y externa, entre otros aspectos.
En otras palabras, la CNBV reforzó lo que ya existía: más énfasis en la independencia de las funciones de control y en la calidad de los programas de auditoría. Para los bancos, esto implica revisar que su estructura de control interno esté a la altura del estándar actualizado.
A quién aplica
El Sistema de Control Interno de la CUB aplica a las instituciones de crédito supervisadas por la CNBV:
| Tipo de institución | Detalle |
|---|---|
| Instituciones de banca múltiple | Los bancos comerciales que operan en México |
| Instituciones de banca de desarrollo | Bancos públicos de fomento (con su consejo directivo como órgano de gobierno) |
Otras entidades del sistema financiero mexicano —casas de bolsa, instituciones de tecnología financiera (fintech), organizaciones auxiliares del crédito— tienen disposiciones equivalentes en sus propias circulares, con la misma lógica de control interno, auditoría interna y comité de auditoría.
Los tres pilares del control interno
El control interno de la CUB se sostiene sobre tres funciones diferenciadas, cada una con su grado de independencia:
| Pilar | Qué es | Independencia |
|---|---|---|
| Contraloría Interna | Funciones cotidianas y permanentes para propiciar el apego al SCI en las operaciones | A través de la Dirección General o un área específica |
| Auditoría Interna | Revisión periódica y sistemática del funcionamiento del SCI, conforme a un programa anual | Área independiente de la Dirección General |
| Comité de Auditoría | Órgano del Consejo que define y evalúa los objetivos del SCI | Constituido por el Consejo de Administración |
La lógica de fondo es la de las líneas de defensa: la Contraloría opera en el día a día, la Auditoría Interna revisa de forma independiente, y el Comité de Auditoría —desde el Consejo— supervisa todo el sistema.
El Comité de Auditoría
El Comité de Auditoría es el órgano constituido por el Consejo de Administración, con las funciones descritas en los artículos 154, 155 y 156 de la CUB. Su papel es apoyar al Consejo en la definición y actualización de los objetivos del Sistema de Control Interno y de los lineamientos para su implementación, así como en su evaluación. Es el vértice de gobierno del control interno: recibe los reportes de la auditoría interna y de la contraloría, y responde ante el Consejo por la efectividad del sistema. Su existencia asegura que el control interno sea un tema del máximo órgano de gobierno, no solo de las áreas operativas.
La función de Auditoría Interna
La Auditoría Interna es la función que la institución realiza a través de un área independiente de la Dirección General, para revisar de forma periódica y sistemática —conforme a un programa anual de trabajo— el funcionamiento del Sistema de Control Interno. Su independencia es la clave: al no depender de la Dirección General, puede evaluar con objetividad las áreas de negocio y operativas, e informar sus hallazgos directamente a los órganos de gobierno. El área de auditoría interna debe proporcionar un reporte de lo observado en sus revisiones, cuando menos una vez al año, al Consejo, al comité de riesgos y al Comité de Auditoría, y mantenerlo a disposición del auditor externo.
La Contraloría Interna
La Contraloría Interna comprende las funciones que, de manera cotidiana y permanente, realizan las instituciones —a través de la Dirección General, de un área específica o de personal distribuido en varias áreas— para propiciar, mediante el establecimiento de medidas y controles, que la celebración de operaciones y la prestación de servicios se apeguen al Sistema de Control Interno, conforme a los artículos 166, 167 y 168 de la CUB. Es la línea que vive dentro de la operación diaria, a diferencia de la auditoría interna, que la revisa desde fuera.
El programa anual de auditoría
Un elemento operativo central: la auditoría interna no revisa al azar, sino conforme a un programa anual de trabajo. Ese programa define qué se audita, cuándo y con qué alcance, priorizando según el riesgo. La reforma de 2024 puso énfasis precisamente en la calidad de estos programas de auditoría interna y externa. Un buen programa anual permite cubrir sistemáticamente los procesos críticos de la institución a lo largo del año y dejar evidencia de las revisiones, que es lo que el Comité de Auditoría y el auditor externo esperan encontrar.
Cómo fortalecer el control interno paso a paso
- Revisa la estructura de los tres pilares (Contraloría, Auditoría Interna, Comité de Auditoría) frente a la CUB vigente.
- Asegura la independencia del área de auditoría interna respecto de la Dirección General.
- Constituye o actualiza el Comité de Auditoría con las funciones de los artículos 154-156.
- Elabora el programa anual de auditoría basado en riesgos.
- Ejecuta las revisiones y documenta hallazgos con trazabilidad.
- Reporta al Consejo, al comité de riesgos y al Comité de Auditoría al menos una vez al año.
- Da seguimiento a los planes de acción derivados de cada hallazgo.
Fortalece tu auditoría interna con Pirani
Sostener una función de auditoría interna que cumpla la CUB implica planificar el programa anual, ejecutar revisiones, documentar hallazgos, dar seguimiento a los planes de acción y reportar a los órganos de gobierno con evidencia. Hacerlo en hojas de cálculo y documentos sueltos dificulta demostrar la trazabilidad que la CNBV y el auditor externo esperan.
Pirani Auditoría permite planificar el programa anual basado en riesgos, gestionar las auditorías y sus papeles de trabajo, registrar hallazgos, dar seguimiento a los planes de acción y generar los reportes para el Comité de Auditoría, todo con trazabilidad completa. Al integrar la auditoría con la gestión de riesgo operativo, el cumplimiento y la seguridad de la información, conecta las tres líneas de defensa en una sola plataforma y ayuda a las instituciones mexicanas a demostrar que su control interno funciona. Así es como hacemos simple la gestión de riesgos.
Puedes agendar una demo o crear una cuenta gratis —no necesitas tarjeta de crédito— para ver cómo se gestiona la auditoría interna en la práctica.
Preguntas frecuentes
- ¿Qué es el Sistema de Control Interno en la banca mexicana? Es el conjunto de objetivos, políticas, procedimientos y controles que las instituciones de crédito deben establecer conforme a la Circular Única de Bancos de la CNBV, para asegurar el apego a la normativa, la confiabilidad de la información y la adecuada gestión de riesgos. Se sostiene sobre la Contraloría Interna, la Auditoría Interna y el Comité de Auditoría.
- ¿Qué funciones tiene el Comité de Auditoría según la CUB? El Comité de Auditoría, constituido por el Consejo de Administración, apoya a este en la definición, actualización y evaluación de los objetivos del Sistema de Control Interno, conforme a los artículos 154, 155 y 156 de la Circular Única de Bancos.
- ¿La auditoría interna debe ser independiente? Sí. La CUB exige que la auditoría interna se realice a través de un área independiente de la Dirección General, para que pueda revisar con objetividad el funcionamiento del Sistema de Control Interno e informar a los órganos de gobierno.
- ¿Qué cambió con la reforma de 2024 a la Circular Única de Bancos? La resolución publicada en el Diario Oficial de la Federación el 14 de junio de 2024 reforzó el marco de control interno, con énfasis en la segregación de funciones, los mecanismos de control de operaciones y los programas de auditoría interna y externa.
- ¿Cuál es la diferencia entre Contraloría Interna y Auditoría Interna? La Contraloría Interna opera de manera cotidiana y permanente dentro de la operación para propiciar el apego al control interno; la Auditoría Interna revisa ese sistema de forma periódica, sistemática e independiente, conforme a un programa anual de trabajo.
Mantente al día con las últimas publicaciones del blog
Modalidades de lavado de dinero desapercibidas en las empresas
5 mejores software para gestionar riesgos de lavado de activos en 2026
