En México, la auditoría no es opcional: está respaldada por un marco legal que obliga a las empresas a rendir cuentas ante el SAT, el IMSS, la STPS y otras autoridades.
Imagina que eres auditor interno de una empresa mediana en Guadalajara. Tu director te pide revisar el cumplimiento fiscal y laboral antes de una visita del SAT. No sabes por dónde empezar. Las regulaciones parecen un laberinto. Eso le pasa a muchos profesionistas en México cada año. Esta lección te da el mapa para salir de ese laberinto.
Las cuatro autoridades que más auditan en México
En México existen cuatro autoridades principales que pueden auditar a cualquier empresa. Conocerlas te permite prepararte con anticipación.
El SAT (Servicio de Administración Tributaria) verifica que las empresas paguen correctamente ISR, IVA y otros impuestos. Puede iniciar una revisión de gabinete, una visita domiciliaria o una revisión electrónica. Una empresa como Liverpool, con miles de transacciones mensuales, debe tener su contabilidad electrónica siempre actualizada y disponible en el buzón tributario.
El IMSS (Instituto Mexicano del Seguro Social) audita que los trabajadores estén dados de alta correctamente y que las cuotas obrero-patronales sean correctas. Si una empresa tiene empleados con salario base de $12,500 al mes pero reporta $8,000, el IMSS puede detectar esa diferencia y emitir una cédula de liquidación.
La STPS (Secretaría del Trabajo y Previsión Social) revisa condiciones laborales, contratos colectivos, seguridad e higiene, y el cumplimiento de las NOM aplicables. Por ejemplo, la NOM-035 obliga a las empresas a identificar factores de riesgo psicosocial. Una inspección de la STPS puede multar a una empresa que no tenga evidencia de haber aplicado esa norma.
La CNBV y la CONDUSEF regulan a empresas del sector financiero. Si trabajas en una fintech o en una caja de ahorro, estas autoridades pueden solicitar auditorías de controles internos y protección al consumidor.
El Sistema MARC: cómo conectar la auditoría con la regulación
Para aplicar la auditoría en el entorno regulatorio mexicano, usa el Sistema MARC:
- Mapear las obligaciones aplicables
- Analizar los riesgos de incumplimiento
- Revisar la evidencia disponible
- Concluir con hallazgos y acciones
Este sistema conecta todo lo que aprendiste en el curso con la realidad legal de México. No importa si auditas una empresa de alimentos como Bimbo o una tienda en línea como Mercado Libre: el proceso es el mismo.
Paso 1: Mapear las obligaciones aplicables
Antes de auditar, necesitas saber qué le exige la ley a esa empresa. Haz una lista de todas las obligaciones fiscales, laborales y de seguridad que aplican. Por ejemplo, una empresa manufacturera en Monterrey puede tener obligaciones ante el SAT, el IMSS, la STPS y también ante la SEMARNAT si genera residuos peligrosos.
Usa una tabla sencilla con tres columnas: Autoridad, Obligación, Frecuencia. Esto te da claridad desde el primer día.
Paso 2: Analizar los riesgos de incumplimiento
No todas las obligaciones tienen el mismo peso. Algunas generan multas menores; otras pueden detener operaciones. Clasifica cada obligación como riesgo alto, medio o bajo.
Por ejemplo: no presentar la declaración anual al SAT es riesgo alto. No actualizar la dirección fiscal es riesgo bajo. Esta clasificación guía tu tiempo y esfuerzo durante la auditoría.
Paso 3: Revisar la evidencia disponible
Aquí aplicas las técnicas de recopilación de evidencia que ya conoces. Solicita CFDI, nóminas, contratos, registros del IMSS, constancias de capacitación de la STPS y cualquier documento que demuestre cumplimiento.
Una empresa como FEMSA, con operaciones en varios estados, debe tener evidencia organizada por entidad federativa, ya que algunas obligaciones varían según el estado.
Paso 4: Concluir con hallazgos y acciones
Aplica el sistema CCRA que aprendiste en la lección anterior: Condición, Criterio, Riesgo y Acción recomendada. Cada hallazgo regulatorio debe tener un responsable y una fecha de corrección.
Casos prácticos en el contexto mexicano
Caso 1: Auditoría fiscal en una PYME
Una empresa de distribución en la Ciudad de México tiene ventas anuales de $4,200,000. El SAT detecta que varios CFDI emitidos no coinciden con los pagos registrados en la contabilidad electrónica. El auditor interno aplica el Sistema MARC: mapea las obligaciones del SAT, identifica el riesgo como alto, revisa los XML de los CFDI contra los registros contables, y concluye que hay una diferencia de $180,000 no justificada. La acción recomendada es regularizar la contabilidad en 15 días y presentar una declaración complementaria.
Caso 2: Auditoría laboral en una empresa mediana
Una empresa de manufactura en Querétaro tiene 80 empleados con salario promedio de $18,500 al mes. La STPS realiza una inspección y solicita evidencia de cumplimiento de la NOM-035. El auditor interno revisa si existe una política de prevención de riesgos psicosociales, si se aplicó la guía de referencia I y II, y si hay registros de capacitación firmados. Encuentra que falta el diagnóstico de riesgos de 2023. El hallazgo se documenta con el sistema CCRA y se asigna al área de Recursos Humanos con fecha límite de 30 días.
Caso 3: Auditoría del IMSS en una empresa de servicios
Una empresa de tecnología en Monterrey tiene 25 empleados. El IMSS detecta diferencias entre el salario integrado reportado y los vales de despensa que aparecen en los recibos de nómina. El auditor revisa los contratos individuales, los recibos de nómina en formato CFDI y los movimientos afiliatorios. Encuentra que los vales de despensa superan el límite exento y deben integrarse al salario base de cotización. La diferencia genera una deuda potencial de $42,000 en cuotas no pagadas. La acción recomendada incluye recalcular el salario integrado de todos los empleados y presentar las correcciones ante el IMSS.
Errores comunes al auditar en el entorno regulatorio mexicano
Auditar sin conocer la versión vigente de la norma. Las NOM y las disposiciones fiscales se actualizan con frecuencia. Siempre verifica la versión vigente antes de iniciar una auditoría. El DOF (Diario Oficial de la Federación) es tu fuente oficial.
Confundir obligaciones federales con estatales. En México, algunas obligaciones como el impuesto sobre nómina varían por estado. Una empresa con operaciones en Jalisco y en Nuevo León tiene tasas diferentes. No aplicar la tasa correcta es un error de auditoría evitable.
No conservar la evidencia el tiempo requerido. El SAT exige conservar la contabilidad electrónica y los CFDI por un mínimo de cinco años. Si la empresa destruye registros antes de ese plazo, el auditor debe señalarlo como hallazgo crítico.
Omitir la firma del acuse de recibo del informe. Como aprendiste en la lección anterior, el informe de auditoría debe entregarse con acuse de recibo firmado. En el contexto regulatorio, este documento puede ser tu respaldo si la empresa enfrenta una sanción posterior.
Lo que aprendiste en este curso: una síntesis
A lo largo de estas nueve lecciones construiste una base sólida en auditoría básica aplicada a México. Aprendiste qué es una auditoría y para qué sirve. Conociste los tipos de auditoría y cuándo usar cada uno. Dominaste la planeación, la recopilación de evidencia, el análisis de riesgos, los controles internos, los hallazgos y el informe final.
Ahora conectaste todo eso con el entorno regulatorio real: el SAT, el IMSS, la STPS y las NOM aplicables.
Tus próximos pasos como auditor
Terminar este curso es el inicio, no el final. Aquí tienes tres acciones concretas que puedes tomar esta semana:
- Descarga el catálogo de NOM vigentes de la página de la STPS y revisa cuáles aplican a tu empresa o a la empresa que quieras auditar.
- Accede al buzón tributario del SAT y verifica que la contabilidad electrónica esté al corriente. Si hay inconsistencias, es mejor detectarlas tú antes que la autoridad.
- Crea tu primera tabla de obligaciones usando el Sistema MARC. Toma una empresa real o ficticia y mapea sus obligaciones ante las cuatro autoridades principales.
La auditoría no es un castigo ni una amenaza. Es la herramienta que protege a las empresas, a sus empleados y a sus dueños. Un auditor bien formado es uno de los profesionistas más valiosos en cualquier organización mexicana.
El auditor que conoce las reglas del juego mexicano no solo detecta problemas: los previene antes de que se conviertan en sanciones.