La materialidad no se improvisa el día de la revisión.
Construimos sistemas donde cada operación crítica genera, por sí sola, la prueba de que ocurrió, de quién la ejecutó y de cuándo. Para auditorías del SAT, revisiones del IMSS, certificaciones y due diligence, en empresas industriales y corporativas de Córdoba, Orizaba, Veracruz y todo México.
El problema no es que te auditen. Es no poder demostrarlo.
La mayoría de las empresas sí hizo el trabajo. Compró el material, recibió el servicio, ejecutó el mantenimiento, capacitó al personal. El problema aparece meses o años después, cuando alguien pide demostrarlo y la prueba está repartida entre un Excel que ya nadie mantiene, una carpeta compartida sin control de versiones, correos de una persona que ya no trabaja ahí y la memoria de un supervisor de turno.
En ese momento la empresa deja de defender su operación y empieza a reconstruirla. Y reconstruir evidencia después del hecho, contra reloj y con el sesgo de saber qué respuesta conviene, es exactamente el patrón que una autoridad fiscal está entrenada para detectar. El costo no es solo el crédito fiscal determinado: son semanas de tu gente clave dedicadas a juntar papeles en lugar de operar.
Plazo general de conservación de la contabilidad, contado desde que se presentó o debió presentarse la declaración relacionada (Art. 30 CFF).
Plazo para acreditar la materialidad de una operación cuando la autoridad presume su inexistencia (Art. 69-B CFF).
Conservación mínima de documentos mercantiles que dan nacimiento a derechos y obligaciones (Art. 49 Código de Comercio).
No es solo el SAT.
Una misma operación puede ser revisada por autoridades distintas, con criterios distintos y en momentos distintos. El expediente que sirve para una rara vez sirve para las demás cuando se armó a mano y para salir del paso.
Materialidad de las operaciones
El Art. 69-B del Código Fiscal de la Federación faculta a la autoridad a presumir la inexistencia de operaciones cuando quien emitió el comprobante no contaba con activos, personal, infraestructura o capacidad material para prestarlas. Si tus CFDI quedan alcanzados, el plazo para demostrar que el bien o el servicio existió se cuenta en días, no en meses.
Razón de negocio
El Art. 5-A permite recaracterizar los actos jurídicos que carezcan de una razón de negocio y generen un beneficio fiscal. La defensa aquí no es solo documental: hay que poder explicar y sostener con evidencia la lógica operativa detrás de la decisión, no únicamente su registro contable.
Contabilidad electrónica y conservación
El Art. 28 define qué integra la contabilidad para efectos fiscales, incluidos los sistemas y registros contables. El Art. 30 obliga a conservarla cinco años, y la documentación que acredita la existencia de la sociedad, durante toda su vida. Lo que no se conserva de forma íntegra y recuperable, para efectos prácticos no existe.
Servicios especializados
Desde la reforma en materia de subcontratación, contratar servicios especializados exige registro REPSE vigente del proveedor e informativas periódicas ante IMSS e INFONAVIT. La revisión compara tres cosas que rara vez viven en el mismo lugar: lo contratado, lo informado y lo efectivamente ejecutado en tus instalaciones.
Información documentada bajo control
Los esquemas de auditoría ambiental y las normas ISO 9001 e ISO 14001 exigen información documentada con versión vigente identificable, responsable asignado y registros recuperables. Un archivo suelto en una carpeta compartida, que cualquiera puede sobrescribir, no satisface ese requisito por más completo que esté.
Due diligence y revisiones internas
Antes de una inversión, una línea de crédito, una certificación de cliente o una venta, alguien va a auditar tus procesos con criterios propios y tiempos ajenos. La empresa que entrega evidencia verificable en horas, en lugar de semanas, negocia desde una posición distinta.
Las referencias normativas de esta página son informativas y no constituyen asesoría fiscal ni legal. Cada caso debe revisarse con tu contador o tu abogado, y nosotros trabajamos con ellos, no en su lugar.
Qué significa, técnicamente, que un sistema deje evidencia.
Blindaje no es un módulo de reportes que se instala al final. Son seis propiedades que se deciden en la arquitectura, porque agregarlas después casi siempre implica reescribir.
Bitácora inmutable
Append-only. Nadie edita el pasado, ni desde la base de datos.
Los eventos críticos se escriben una sola vez y no admiten modificación ni borrado posterior. Cada registro encadena el hash del anterior, de modo que alterar un evento rompe la cadena y la alteración queda expuesta al verificarla. Un log que el administrador puede editar sin dejar rastro no prueba nada, y un auditor experimentado lo sabe.
Qué incluye
Registro append-only de eventos críticos
Encadenamiento por hash verificable de forma independiente
Detección técnica de cualquier alteración retroactiva
Respaldo con política de retención definida por tipo de registro
Sello de tiempo confiable
El cuándo deja de depender de tu palabra.
La fecha que registra tu propio servidor vale poco si tu propio equipo puede cambiarla. Los eventos que lo ameritan se anclan a una fuente de tiempo externa, y para la conservación de documentos digitales existe el marco de la NOM-151-SCFI-2016, que define cómo obtener una constancia de conservación de mensajes de datos ante un prestador de servicios de certificación autorizado.
Qué incluye
Sello de tiempo en los eventos que sostienen la operación
Constancia de conservación cuando el documento lo justifica
Fuente de tiempo externa al control del operador
Verificación posterior por un tercero sin acceso al sistema
Identidad y no repudio
Quién hizo qué, sin cuentas compartidas.
El usuario genérico y la contraseña pegada en el monitor destruyen la trazabilidad: si tres personas operan con la misma cuenta, no hay evidencia atribuible a nadie. Cada acción queda ligada a una identidad individual, con control de accesos por rol y registro tanto de las operaciones exitosas como de los intentos fallidos, que suelen ser los más reveladores.
Qué incluye
Identidad individual obligatoria por usuario
Control de accesos por rol y separación de funciones
Registro de acciones, autorizaciones e intentos fallidos
Evidencia de quién autorizó cada excepción
Versionado y conservación
La versión vigente y todas las anteriores, recuperables.
Cada documento y cada parámetro crítico conserva su historial: qué cambió, quién lo cambió y contra qué versión se operó en una fecha determinada. Las políticas de retención se configuran contra plazos reales, cinco años para la contabilidad conforme al Art. 30 del CFF y diez años para la documentación mercantil conforme al Art. 49 del Código de Comercio, no contra el espacio disponible en disco.
Qué incluye
Historial completo por documento y por configuración
Versión vigente siempre identificable y fechada
Retención configurada por obligación legal aplicable
Reconstrucción del estado del sistema en una fecha dada
Expediente exportable
La evidencia se entrega, no se busca.
Cuando llega el requerimiento, el sistema arma el paquete: la operación, sus soportes, los responsables, las fechas y el reporte de integridad, en un formato que tu contador o tu abogado puede entregar directamente. La diferencia entre responder en horas y responder en semanas no está en el esfuerzo del equipo, está en si el expediente ya existía antes de que alguien lo pidiera.
Qué incluye
Exportación por operación, periodo, proveedor o centro de costo
Soportes, metadatos y cadena de custodia incluidos
Reporte de integridad verificable por un tercero
Formato entregable sin trabajo de edición manual
Evidencia de proceso, no solo de documento
El CFDI es el final de la historia, no la historia.
Una factura prueba que se pagó, no que el servicio ocurrió. La materialidad se sostiene con el rastro operativo: la orden de trabajo, la entrada de material, la firma de recepción en planta, la fotografía con hora y ubicación, el reporte de avance del turno. Eso es lo que digitalizamos en el punto donde sucede, para que la evidencia se genere sola en el momento del hecho y no se arme meses después.
Qué incluye
Captura móvil en el punto de ejecución
Soporte de fotografía, firma y geolocalización
Vínculo explícito entre la operación y su comprobante fiscal
Cero recaptura posterior y cero reconstrucción de memoria
Cómo saber si hoy estás expuesto.
No hace falta una auditoría para descubrirlo. Basta con intentar responder, hoy y por escrito, quién hizo qué y cuándo en tu operación de hace un año.
Estás expuesto si…
La evidencia de una operación vive en un Excel que cualquiera puede editar sin dejar rastro.
El sistema que registra lo crítico se opera con cuentas compartidas.
Reconstruir lo que pasó hace ocho meses depende de que una persona específica se acuerde.
Los soportes están en una carpeta compartida, sin versión vigente ni responsable asignado.
Ante un requerimiento, la primera reacción del equipo es ponerse a juntar papeles.
Estás blindado si…
Puedes decir quién ejecutó una operación hace dos años, con qué autorización y a qué hora.
El expediente completo de una operación se exporta sin intervención manual.
Una alteración retroactiva en un registro crítico es técnicamente detectable.
Las políticas de retención responden a plazos legales, no al espacio en disco.
Un requerimiento se atiende con una consulta al sistema, no con un proyecto interno.
Cómo lo implementamos sin detener tu operación.
Por fases, empezando por el proceso de mayor riesgo y con un entregable verificable en cada una.
Diagnóstico de exposición
Mapeamos qué operaciones son críticas y ante cuál autoridad, dónde vive hoy su evidencia y qué tan defendible es en su estado actual. Entregamos un dictamen con la exposición ordenada por urgencia y costo de remediación. Es un entregable con valor propio: te sirve aunque decidas no avanzar con nosotros.
Blindaje del proceso más expuesto
Empezamos por uno solo, el de mayor riesgo, y lo llevamos a producción completo: bitácora inmutable, identidad individual, versionado y expediente exportable. Un proceso blindado de verdad vale más que seis a medias, y establece el patrón técnico que después se replica.
Extensión y mantenimiento vivo
Replicamos el patrón al resto de la operación y mantenemos el blindaje vigente conforme cambian tus procesos, tus proveedores y la normativa aplicable. El cumplimiento no es un proyecto que se entrega y se cierra, es una propiedad del sistema que hay que conservar.
Preguntas que nos hacen antes de empezar.
¿Esto sustituye a mi contador o a mi abogado fiscalista?
No, y desconfía de quien te diga que sí. Nosotros construimos el sistema que produce, conserva y entrega la evidencia. La estrategia fiscal, la interpretación normativa y la defensa legal las lleva tu asesor. El resultado es mejor cuando ambos están en la mesa: tu asesor define qué hay que poder probar y nosotros hacemos que el sistema lo pruebe solo.
¿Me garantizan que voy a ganar una auditoría?
Nadie honesto puede garantizar eso, porque el resultado depende de hechos, criterios de autoridad y asesoría que están fuera del alcance de un sistema de software. Lo que sí cambia es tu posición de partida: llegas con evidencia íntegra, fechada y trazable, en lugar de con una reconstrucción hecha bajo presión y en plazo vencido.
¿Sirve si mi operación todavía es en papel?
Sí, y suele ser el mejor punto de partida. Digitalizar el proceso justo donde ocurre, con captura móvil, firma y fotografía, es precisamente lo que hace que la evidencia se genere sola. El papel no se blinda, se sustituye por un flujo que deja rastro desde el primer registro.
¿Tengo que cambiar todos mis sistemas?
No. Normalmente se blinda el proceso crítico y se integra con lo que ya tienes, incluido el ERP o el sistema legacy que sostiene la operación. Reemplazar todo es caro, lento y casi nunca necesario para cerrar la exposición que de verdad importa.
¿Qué pasa con la evidencia de operaciones anteriores?
El histórico se puede incorporar al expediente, con una distinción que conviene hacer desde el inicio: los registros creados antes del blindaje conservan el valor probatorio que tengan por su propio origen, no adquieren uno nuevo por haberse cargado al sistema. A partir de la implementación, la evidencia nace con integridad verificable.
¿Cuánto tiempo toma tenerlo en producción?
El diagnóstico toma de 2 a 3 semanas. El blindaje del primer proceso, entre 6 y 10 semanas, según su complejidad y las integraciones necesarias. El rango va en la propuesta, antes de empezar, no después de la primera factura.
El mejor momento para blindar un proceso es antes del requerimiento.
30 minutos para entender tu operación e identificar dónde está tu mayor exposición. Si no la hay, te lo decimos.