🔍 Auditoría, supervisión de la CNBV y régimen sancionador

1. ¿Cuál es el objetivo de una revisión independiente del programa de prevención?

1. Concluir con evidencia suficiente si el programa se aplica de manera efectiva y no sólo si existe documentado
2. Verificar que la entidad haya presentado todos sus reportes dentro de los plazos legales, que es la obligación cuyo incumplimiento se sanciona con mayor frecuencia
3. Comprobar que el manual de políticas se encuentre aprobado por el consejo de administración y difundido entre el personal de la entidad
4. Confirmar que el oficial de cumplimiento conserve vigente la certificación que la autoridad le expidió en materia preventiva

Las Disposiciones de carácter general orientan la revisión a la aplicación efectiva y no a la existencia formal de los documentos. Los tres controles restantes son verificaciones puntuales que forman parte del trabajo, no su finalidad.

2. ¿Qué debe producir la fase de planeación de la revisión?

1. Un presupuesto de horas por cada procedimiento
2. Un calendario de reuniones con cada una de las áreas revisadas, acordado previamente con la dirección general de la entidad y comunicado al personal
3. Un programa de trabajo con alcance, procedimientos, muestras y recursos, derivado del análisis de riesgo de la entidad
4. Una lista de documentos solicitados a la entidad

La planeación traduce el riesgo en decisiones de alcance, y esas decisiones son las que después se auditan. Un programa que no explica por qué revisa lo que revisa deja su conclusión sin fundamento.

3. ¿Qué expresa el riesgo de que la revisión emita una conclusión equivocada?

1. La exposición del propio revisor a una reclamación civil por parte de la entidad que lo contrató para practicar el trabajo
2. La probabilidad de que la entidad reciba una sanción administrativa como consecuencia de las deficiencias que el revisor llegue a detectar
3. El riesgo de que la entidad revisada sea efectivamente utilizada para colocar o estratificar recursos de procedencia ilícita
4. La posibilidad de concluir que el programa es adecuado cuando presenta deficiencias relevantes no detectadas

El riesgo de la revisión que exigen las Disposiciones de carácter general es de conclusión y no de negocio, y se gestiona con alcance y con muestras. Confundirlo con el riesgo de la entidad lleva a diseñar pruebas que miden lo que no corresponde.

4. ¿Cómo opera la materialidad en una revisión de cumplimiento preventivo?

1. Orienta la profundidad del trabajo, pero no permite excluir del alcance a segmentos pequeños de alto riesgo
2. Fija el importe mínimo de las operaciones que deben incluirse en la muestra, de modo que las inferiores quedan fuera del trabajo de revisión
3. Determina el número exacto de expedientes que deben integrar la muestra examinada durante el trabajo de revisión anual
4. Define el importe a partir del cual una observación debe elevarse a la categoría de hallazgo dentro del informe final

La materialidad financiera no captura la exposición preventiva, y la Nota Interpretativa de la Recomendación 1 del GAFI recuerda que un segmento marginal puede concentrar el riesgo. Por eso se usa para graduar la profundidad y no para recortar el alcance.

5. ¿Por qué debe declararse expresamente el alcance de la revisión?

1. Porque el alcance del trabajo determina los honorarios que el revisor podrá facturar a la entidad al concluir el encargo
2. Porque la autoridad supervisora exige que el alcance de toda revisión se someta a su aprobación antes de que el trabajo dé comienzo
3. Porque sin él nadie puede saber qué quedó fuera y, por tanto, qué no fue examinado ni concluido
4. Porque la entidad revisada puede modificar el alcance durante el desarrollo del trabajo si lo considera conveniente

Una conclusión sin alcance declarado se lee como si cubriera todo, cosa que ninguna revisión hace, y así la leerá la CNBV. Explicitar los límites protege al revisor y orienta a quien lee el informe sobre lo que aún no se ha visto.

6. ¿Qué debe hacer el revisor si la entidad no le entrega información necesaria?

1. Documentar la limitación, evaluar su efecto sobre la conclusión y reflejarla expresamente en el informe
2. Concluir con la información efectivamente disponible, sin mencionar la limitación, dado que el informe se refiere a lo que sí pudo revisarse
3. Suspender el trabajo de manera indefinida hasta que la entidad entregue la totalidad de la información que le fue solicitada
4. Sustituir la información faltante por estimaciones propias del revisor, construidas a partir de los datos que sí obtuvo

Una limitación no declarada convierte el informe que exigen las Disposiciones de carácter general en una afirmación que la evidencia no sostiene. Reflejarla es lo que permite al destinatario ponderar el valor de la conclusión alcanzada.

7. ¿Qué buscan las pruebas de controles?

1. Verificar la existencia física de los expedientes en el archivo y su correcta identificación dentro del sistema
2. Determinar el importe total de las operaciones celebradas durante el periodo revisado y conciliarlo con los registros contables de la entidad
3. Confirmar que el saldo de las cuentas de los clientes incluidos en la muestra coincide con el reportado por la entidad
4. Comprobar que el control existe, opera con la frecuencia prevista y deja evidencia de su ejecución

Existencia, operación y evidencia son las tres dimensiones que hacen auditable cualquiera de los controles que exigen las Disposiciones de carácter general. Un control descrito en el manual y sin rastro de ejecución se valora igual que un control inexistente.

8. ¿Qué aportan las pruebas sustantivas frente a las de controles?

1. Examinan directamente el resultado, por ejemplo si un expediente está completo o si un reporte se presentó a tiempo
2. Miden la satisfacción del personal con los procedimientos internos y permiten anticipar dónde se producirán los incumplimientos futuros
3. Evalúan la razonabilidad de los estados financieros de la entidad y su conformidad con las normas de información aplicables
4. Sustituyen por completo a las pruebas de controles cuando éstas revelan debilidades en el diseño del proceso revisado

La prueba de control mira el proceso y la sustantiva mira el resultado, y la auditoría que exigen las Disposiciones de carácter general necesita ambas. Cuando los controles resultan débiles, la respuesta es ampliar las sustantivas, no prescindir de las de control.

9. ¿Qué revela una prueba de recorrido sobre una operación concreta?

1. Acredita la identidad del cliente que realizó la operación y la vigencia de los documentos que integran su expediente
2. Confirma que el importe de la operación coincide con el registrado en la contabilidad y con el comprobante fiscal correspondiente
3. Muestra dónde se rompe el control real al seguir la operación desde su origen hasta el reporte o el archivo
4. Determina de manera concluyente si la operación examinada debió haber sido reportada a la autoridad competente

El recorrido descubre los puntos donde el procedimiento escrito y la práctica dejan de coincidir, que es lo que la CNBV busca en una visita. Es la técnica que con más frecuencia revela controles que existen en el manual y no en la operación.

10. ¿Qué combinación de muestreo resulta más defendible en esta materia?

1. Selección exclusivamente aleatoria sobre la totalidad de la cartera, único método que garantiza la representatividad estadística del resultado
2. Selección aleatoria para estimar la población y selección dirigida a los segmentos de mayor riesgo, con el diseño documentado
3. Selección propuesta por el área revisada de la entidad
4. Selección de los expedientes de mayor saldo del periodo

El aleatorio permite proyectar y el dirigido permite profundizar donde el riesgo se concentra, combinación coherente con la Recomendación 1 del GAFI. Documentar el diseño es lo que hace defendible la conclusión frente a quien cuestione la representatividad.

11. ¿Qué determina el tamaño de la muestra en una revisión?

1. El riesgo del segmento, la confianza buscada y la variabilidad esperada de los expedientes examinados
2. Un porcentaje fijo que la normativa del sector establece para todas las revisiones, con independencia del riesgo del segmento examinado
3. El tiempo efectivamente disponible del equipo asignado al trabajo durante el periodo comprometido con la entidad revisada
4. El número de expedientes que la entidad revisada decida poner a disposición del revisor durante el trabajo de campo

El tamaño se justifica con criterios documentados y no con disponibilidad de horas, porque el informe que exigen las Disposiciones de carácter general debe poder replicarse. Explicitarlos permite además comparar la revisión de un ejercicio con la del siguiente.

12. ¿Qué debe hacer el revisor al encontrar excepciones en una muestra?

1. Sustituir los expedientes en los que se detectó una excepción por otros de la misma población, hasta completar la muestra
2. Reportarlas tal como aparecieron, sin analizar su causa ni su alcance, dado que el análisis corresponde al área revisada y no al revisor
3. Analizar su causa, evaluar si son aisladas o sistemáticas y, en su caso, ampliar la prueba antes de concluir
4. Concluir de inmediato que el control examinado resulta inefectivo y elevar el hallazgo al órgano de gobierno de la entidad

Una excepción aislada y una sistemática exigen conclusiones distintas, y sólo la segunda revela la falla de un control exigido por las Disposiciones de carácter general. Ampliar la prueba es la forma de distinguirlas antes de emitir un juicio sobre el control.

13. ¿Qué caracteriza a la evidencia suficiente y apropiada?

1. La certificación vigente del profesional que obtuvo la evidencia durante el desarrollo del trabajo de campo
2. La totalidad de los documentos generados durante el periodo revisado, ya que cualquier selección introduce un sesgo en la conclusión
3. La conformidad escrita del área revisada respecto de cada uno de los hallazgos que el revisor pretenda incorporar al informe
4. Cantidad bastante para sostener la conclusión y calidad adecuada por su fuente, su fecha y su relación con el hecho

La suficiencia es cuestión de cantidad y la propiedad es cuestión de calidad, y ambas se juzgan profesionalmente en el dictamen que leerán el consejo y la CNBV. La evidencia externa y contemporánea al hecho es siempre más sólida que la interna y posterior.

14. ¿Qué función cumplen los papeles de trabajo?

1. Sirven de base para calcular los honorarios del trabajo en función de las horas efectivamente invertidas por el equipo de revisión
2. Documentan el procedimiento aplicado, la evidencia obtenida y el razonamiento, de modo que otro revisor pueda replicar la conclusión
3. Sustituyen al informe final cuando la autoridad requiere conocer el detalle del trabajo practicado sobre la entidad
4. Se entregan íntegramente al área revisada al concluir el trabajo, para que pueda verificar el sustento de cada hallazgo

La replicabilidad es el criterio de calidad de los papeles de trabajo: un tercero, incluida la CNBV, debe poder llegar a la misma conclusión. Sin ellos, el informe es una afirmación que ni siquiera su autor puede reconstruir meses después.

15. ¿Durante cuánto tiempo conviene conservar los papeles de trabajo?

1. Únicamente hasta la emisión del informe correspondiente
2. Al menos durante el plazo en que la revisión pueda ser cuestionada por la entidad o por la autoridad
3. Durante treinta días naturales tras concluir el trabajo
4. Hasta que la entidad apruebe el informe presentado

El cuestionamiento suele llegar años después, y por eso conviene alinear su conservación con el plazo que fijan las Disposiciones de carácter general para el expediente. Sin papeles, el revisor queda sin defensa aunque su trabajo haya sido correcto.

16. ¿Qué compromete la independencia de quien revisa el programa?

1. Ser empleado de la entidad revisada en lugar de un profesional externo contratado para practicar la revisión anual
2. Ser empleado de la entidad revisada en lugar de un profesional externo contratado específicamente para practicar la revisión anual
3. Haber participado en el diseño o en la operación de los controles que ahora debe evaluar en la revisión
4. Haber revisado a la misma entidad durante el ejercicio inmediato anterior al que ahora es objeto del trabajo

Evaluar el propio diseño es el conflicto que anula el valor de la revisión exigida por las Disposiciones de carácter general, sea interna o externa. La auditoría interna es admisible siempre que no haya operado los controles que examina.

17. ¿Qué implica el escepticismo profesional en esta materia?

1. Ampliar el alcance del trabajo hasta cubrir la totalidad de la población, renunciando a cualquier técnica de muestreo
2. Presumir que la entidad revisada actúa de mala fe y orientar todo el trabajo a confirmar esa presunción durante el desarrollo del encargo
3. Rechazar toda la documentación proporcionada por la entidad y construir la evidencia exclusivamente con fuentes externas
4. No aceptar como suficiente la declaración del área revisada y buscar evidencia que la confirme o la contradiga

El escepticismo que debe mantener el auditor certificado por la CNBV es una actitud de verificación y no una presunción de dolo sobre el revisado. Su ausencia produce revisiones que confirman lo que la entidad afirma sin comprobarlo.

18. ¿Qué elementos debe contener un hallazgo bien construido?

1. La sanción administrativa que la autoridad podría llegar a imponer a la entidad como consecuencia del defecto detectado
2. Únicamente la descripción del defecto detectado, dado que el criterio y la causa corresponden al área revisada y no al revisor independiente
3. La condición observada, el criterio aplicable, la causa, el efecto y la recomendación asociada
4. El nombre del responsable del área revisada y la medida disciplinaria que el revisor considere procedente aplicarle

Sin criterio el hallazgo es una opinión, y aquí el criterio son las Disposiciones de carácter general; sin causa, la recomendación no puede corregir nada. La estructura completa es lo que convierte una observación en una acción posible.

19. ¿Contra qué debe contrastarse la condición observada?

1. Contra la práctica habitual del resto del sector financiero, obtenida mediante comparación con entidades de tamaño y perfil semejantes
2. Contra la norma aplicable, la política interna aprobada o la buena práctica que la entidad haya adoptado
3. Contra la opinión del revisor sobre lo razonable
4. Contra el resultado de la revisión del ejercicio anterior

El criterio debe ser exigible a la entidad, y por eso proviene de la norma o de su propia política. Un hallazgo construido sobre la preferencia del revisor no resiste la primera objeción del área revisada.

20. ¿Por qué importa identificar la causa de un hallazgo?

1. Porque reduce el importe de la eventual sanción que la autoridad supervisora imponga tras conocer el hallazgo detectado
2. Porque permite determinar al responsable individual de la deficiencia y proponer la medida disciplinaria que resulte procedente
3. Porque la corrección eficaz actúa sobre la causa y no sobre la manifestación observada en la muestra
4. Porque acorta el plazo de cierre del hallazgo dentro del programa de remediación acordado con el área responsable

Corregir los expedientes de la muestra sin tocar el proceso garantiza que el hallazgo reaparezca, y la CNBV lo valorará entonces como reiteración. La causa raíz es lo que distingue una remediación real de un maquillaje de la evidencia.

21. ¿Qué debe expresar el efecto de un hallazgo?

1. La consecuencia posible sobre la detección, sobre el cumplimiento o sobre la exposición de la entidad
2. El importe económico exacto del daño causado a la entidad, calculado sobre las operaciones incluidas en la muestra examinada
3. La probabilidad estimada de que la autoridad supervisora detecte la misma deficiencia durante su próxima visita
4. La opinión del área revisada sobre la relevancia relativa del hallazgo dentro del conjunto de sus prioridades

El efecto es lo que permite priorizar entre hallazgos y justificar ante la CNBV el orden de la remediación. Expresarlo en términos de exposición evita discusiones estériles sobre la gravedad relativa de cada observación.

22. ¿Qué caracteriza a una recomendación útil?

1. Que reproduzca literalmente el texto de la norma incumplida, para que el área destinataria conozca con precisión su obligación
2. Que sea concreta, ejecutable por el área destinataria y verificable mediante una prueba posterior
3. Que proponga sancionar al responsable del área en la que se detectó la deficiencia objeto de la recomendación
4. Que sugiera contratar personal adicional para el área revisada como medida general de fortalecimiento del control

Una recomendación que repite la norma no dice cómo cumplirla y por eso no cambia nada. La verificabilidad es lo que permite cerrar el hallazgo con evidencia y no con una declaración.

23. ¿Cuándo conviene comunicar un hallazgo relevante?

1. Tan pronto se confirme, sin esperar al informe final, cuando su gravedad exija una acción inmediata
2. Únicamente al presentar el informe final del trabajo, ya que comunicarlo antes comprometería la independencia del revisor
3. Después de que el área revisada acepte formalmente la observación y manifieste su conformidad con el hallazgo
4. Sólo si la autoridad supervisora lo requiere de manera expresa durante el desarrollo de una visita de inspección

Retener un hallazgo grave hasta el informe final desperdicia meses de posible corrección, y las Disposiciones de carácter general prevén comunicar de inmediato los asuntos relevantes. La comunicación temprana también permite verificar la remediación dentro del mismo trabajo.

24. ¿Qué debe hacer el revisor si el área revisada no acepta un hallazgo?

1. Mantenerlo si la evidencia lo sostiene y reflejar la posición del área en el informe
2. Retirarlo para evitar el conflicto con el área
3. Someterlo a votación entre las áreas involucradas
4. Consultar a la autoridad sobre el criterio aplicable

La discrepancia documentada es información valiosa para el órgano de gobierno y para la CNBV, que son quienes leen el informe y deciden. Retirar un hallazgo sostenido por evidencia compromete la independencia y el valor de toda la revisión.

25. ¿Qué estructura debe tener el informe de la revisión?

1. Únicamente la conclusión general sobre si el programa cumple con la normativa, que es lo que interesa al órgano de gobierno
2. Objetivo, alcance, procedimientos aplicados, hallazgos con evidencia, conclusión y recomendaciones
3. Una relación detallada de todos los documentos que fueron revisados durante el trabajo de campo practicado
4. Un resumen de las entrevistas realizadas al personal de las áreas incluidas en el alcance de la revisión

Cada sección del informe que exigen las Disposiciones de carácter general responde a una pregunta distinta: qué se buscó, hasta dónde, cómo y qué se encontró. Un informe que sólo concluye obliga a confiar sin poder verificar.

26. ¿A quién se dirige el informe de la revisión del programa?

1. Al área comercial responsable de los hallazgos
2. Directamente a la autoridad supervisora del sector
3. Al oficial de cumplimiento, que decide su difusión
4. Al comité de comunicación y control y al órgano de gobierno de la entidad revisada

Las Disposiciones de carácter general obligan a elevar los hallazgos al órgano de gobierno, lo que impide que un problema estructural se administre dentro del área técnica. El oficial de cumplimiento no puede ser el filtro de un informe que también evalúa su trabajo.

27. ¿Qué debe hacer el revisor ante un hecho relevante ocurrido tras el cierre del periodo revisado?

1. Incluirlo como hallazgo del periodo revisado
2. Ignorarlo por completo, ya que corresponde a un periodo distinto del que fue objeto de la revisión practicada por el profesional
3. Evaluar su efecto sobre la conclusión y revelarlo cuando resulte relevante para el destinatario del informe
4. Suspender la emisión del informe indefinidamente

Un hecho posterior puede cambiar por completo la lectura de lo revisado, sobre todo si revela que un control exigido por las Disposiciones de carácter general era inefectivo. Revelarlo no lo convierte en hallazgo del periodo: lo sitúa como información necesaria para interpretar la conclusión.

28. ¿Qué debe verificar el seguimiento de las recomendaciones anteriores?

1. Si el plazo comprometido por el área responsable se cumplió conforme al calendario acordado en el programa
2. Si el área revisada aceptó formalmente la recomendación y la incorporó a su programa de trabajo del ejercicio siguiente
3. Si la acción se ejecutó, si funcionó y si el indicador que originó el hallazgo mejoró efectivamente
4. Si el hallazgo quedó incluido en el informe correspondiente al ejercicio en que fue detectado por el revisor

Ejecutar y funcionar son cosas distintas, y sólo la medición posterior las separa, que es lo que la CNBV pide para dar por cerrada una observación. Un cierre declarado sin prueba es el origen habitual de los hallazgos que reaparecen al ejercicio siguiente.

29. ¿Cómo debe tratarse un hallazgo que reaparece en el ejercicio siguiente?

1. Como deficiencia agravada, señalando que la remediación anterior no se ejecutó o resultó inadecuada
2. Como un hallazgo nuevo e independiente del anterior, dado que corresponde a un periodo distinto y a una muestra diferente
3. Como deficiencia menor si el porcentaje disminuyó
4. Como observación interna que no debe informarse

La reiteración demuestra conocimiento previo del problema y es el factor que más pesa cuando la LIC manda graduar una sanción. Una mejora parcial atenúa, pero no convierte el hallazgo en algo distinto de lo que es.

30. ¿Qué debe probarse al revisar el proceso de admisión de clientes?

1. Que el cliente no presentó quejas ni reclamaciones durante el tiempo que duró la relación con la entidad
2. Que el cliente firmó el contrato de adhesión vigente y que éste se encuentra registrado ante la autoridad de protección al usuario
3. Que el ejecutivo comercial que originó la relación cumplió con la meta de captación asignada para el periodo
4. Que el expediente se integró antes de operar, que los datos se verificaron y que la clasificación de riesgo se aplicó

La secuencia importa tanto como el contenido: para las Disposiciones de carácter general, identificar después de operar es un incumplimiento aunque el expediente termine completo. Verificar la clasificación cierra el vínculo entre admisión y monitoreo posterior.

31. ¿Qué debe examinarse en una muestra de expedientes?

1. El número de productos financieros que el cliente tiene contratados con la entidad al cierre del ejercicio
2. Únicamente la existencia física de la carpeta y su correcta identificación dentro del archivo que la entidad mantiene organizado
3. El saldo promedio de las cuentas asociadas al cliente durante el periodo que fue objeto de la revisión practicada
4. Su completitud, la verificación de los datos, la pregunta sobre el propietario real y su actualización

El expediente sostiene el perfil y el perfil sostiene el monitoreo, de modo que su calidad se propaga por todo el programa que exigen las Disposiciones de carácter general. La pregunta sobre el propietario real es la omisión más frecuente y la más fácil de acreditar.

32. ¿Cómo puede probarse la calidad del perfil transaccional?

1. Confirmando que el cliente lo firmó al contratar
2. Verificando que el perfil transaccional conste registrado en el sistema para la totalidad de los clientes activos de la entidad
3. Comparando el perfil registrado con la operación observada en una muestra de clientes del periodo
4. Revisando que el perfil se actualice cada año

Un perfil que nunca coincide con la operación real no sirve como referencia, y el perfil transaccional es la pieza central del monitoreo previsto en las Disposiciones de carácter general. La comparación directa es la prueba que revela si el perfil es un dato vivo o un campo administrativo.

33. ¿Qué prueba permite evaluar el sistema de monitoreo?

1. Revisar el contrato con el proveedor tecnológico
2. Confirmar la versión del sistema instalada en el entorno productivo y su correspondencia con la última liberación del proveedor
3. Verificar que las reglas cubren los riesgos declarados y contrastar casos control con el resultado del sistema
4. Contar las alertas generadas durante el periodo

El cruce entre los riesgos de la evaluación institucional y las reglas revela huecos de cobertura, y los casos control revelan fallas del sistema automatizado que exigen las Disposiciones de carácter general. El conteo de alertas describe carga y no capacidad de detección.

34. ¿Qué debe examinarse en una muestra de alertas cerradas?

1. El nombre del analista que atendió el caso y el tiempo que empleó en resolverlo dentro del sistema de gestión
2. Únicamente la fecha de cierre registrada
3. Si la conclusión está motivada, si se consultó el expediente y si el plazo se computó correctamente
4. El tiempo promedio de atención de las alertas del periodo y su comparación con el comprometido internamente

Para la CNBV una alerta cerrada sin motivación es indistinguible de una alerta no atendida. Recalcular el plazo sobre la muestra es además la prueba que más incumplimientos silenciosos revela.

35. ¿Qué debe verificarse respecto de los reportes presentados?

1. Su oportunidad, su contenido y la trazabilidad desde la alerta o la detección hasta el envío a la autoridad
2. Únicamente que el acuse de recibo emitido por la autoridad esté archivado junto con la copia del reporte que fue presentado
3. El número total de reportes presentados durante el ejercicio y su comparación con el promedio del sector
4. La conformidad expresa del comité de comunicación y control respecto de cada uno de los reportes remitidos

La trazabilidad completa permite detectar los casos que se perdieron entre la detección y el envío del reporte a la UIF. El conteo de reportes no dice nada sobre la calidad de la detección ni sobre el cumplimiento de plazos.