El comité de auditoría como fundamento de la institucionalización empresarial

La institucionalización comienza por la vigilancia

En las empresas medianas y familiares mexicanas, la transición hacia un gobierno corporativo institucional suele asociarse con la creación de consejos de administración, protocolos familiares, políticas de sucesión y mecanismos de profesionalización directiva. Sin embargo, existe una cuestión previa que frecuentemente recibe menor atención: ¿quién verifica que la información presentada a los órganos de decisión sea confiable?

Un consejo puede estar integrado por personas experimentadas y contar con una estrategia empresarial razonable, pero sus decisiones perderán solidez cuando se sustenten en información financiera incompleta, controles deficientes o reportes elaborados sin mecanismos de revisión independiente. La calidad de la deliberación depende, en buena medida, de la calidad de la información disponible.

El Código de Principios y Mejores Prácticas de Gobierno Corporativo 2025, emitido por el Consejo Coordinador Empresarial (CCE), reconoce esta realidad, su mejor práctica 25 recomienda que el consejo atienda las funciones fundamentales de gobierno corporativo mediante órganos intermedios y, por la importancia de la función de vigilancia, considera conveniente contar al menos con un comité de auditoría.

La recomendación adquiere particular relevancia para sociedades que no cotizan en bolsa, en ellas, la constitución de un comité de auditoría generalmente no responde a una imposición legal universal, sino a una decisión voluntaria de organización y fortalecimiento institucional.

La distinción es importante: una mejor práctica de gobierno corporativo no constituye, por sí misma, una obligación legal exigible a todas las sociedades mercantiles. Su adopción, no obstante, puede contribuir al cumplimiento de deberes que sí derivan de la legislación societaria, fiscal y penal.

El comisario y el comité: dos funciones que deben distinguirse

La Ley General de Sociedades Mercantiles (LGSM) establece, en su artículo 164, que la vigilancia de la sociedad anónima corresponde a uno o varios comisarios, temporales y revocables, quienes pueden ser socios o personas extrañas a la sociedad.

El artículo 166 desarrolla sus atribuciones. Entre ellas destacan exigir información mensual que incluya, por lo menos, un estado de situación financiera y un estado de resultados; examinar operaciones, documentación y registros; rendir anualmente a la asamblea un informe sobre la veracidad, suficiencia y razonabilidad de la información presentada por los administradores; convocar asambleas en determinados supuestos y asistir, con voz, a las reuniones del consejo de administración.

Estas facultades revelan que el comisario no fue concebido como una figura meramente protocolaria. La legislación le atribuye una función de vigilancia sustantiva, orientada a proteger los intereses de la sociedad y de sus accionistas. En la práctica, sin embargo, algunas empresas reducen su intervención a la elaboración del informe anual o a la firma de documentos societarios. Cuando esto sucede, la vigilancia legal puede perder efectividad y convertirse en una formalidad desvinculada de los riesgos reales de la organización.

El comité de auditoría permite establecer una estructura de supervisión continua, con sesiones periódicas, información especializada y seguimiento de observaciones. No obstante, en la sociedad anónima ordinaria no sustituye las atribuciones legales del comisario. Ambas figuras pueden complementarse mediante mecanismos de coordinación que respeten sus competencias, eviten duplicidades y permitan compartir información relevante.

El régimen especial de las sociedades promotoras de inversión

La distinción cambia cuando se examina la sociedad anónima promotora de inversión (SAPI). El artículo 15 de la Ley del Mercado de Valores permite que estas sociedades adopten, para su administración y vigilancia, el régimen relativo a la integración, organización y funcionamiento de las sociedades anónimas bursátiles. Cuando ejercen esa opción, deben contar con un auditor externo independiente y un comité integrado por consejeros que desempeñe las funciones de auditoría en sustitución de la figura del comisario.

Esta consecuencia no deriva de la simple denominación de SAPI ni de la creación voluntaria de un comité. Depende de la adopción del régimen específico previsto en el artículo 15. La precisión evita un error frecuente: suponer que cualquier sociedad promotora de inversión puede prescindir del comisario por el solo hecho de establecer un órgano intermedio de auditoría. En consecuencia, antes de modificar la estructura de vigilancia, debe revisarse el régimen societario aplicable, el contenido de los estatutos y las decisiones adoptadas por los accionistas.

Integración: independencia y conocimientos especializados

La mejor práctica 26 del Código CCE 2025 recomienda que los órganos intermedios se integren por un número de miembros que permita una deliberación eficiente, generalmente entre tres y cinco integrantes, preferentemente consejeros independientes. Para el comité de auditoría, resulta especialmente conveniente que su presidencia corresponda a un consejero independiente con conocimientos y experiencia en contabilidad, finanzas y control interno.

La independencia no debe interpretarse exclusivamente como ausencia de parentesco con los accionistas. También exige examinar relaciones económicas, profesionales o comerciales que puedan comprometer la objetividad de sus integrantes. En una empresa familiar, esta cuestión resulta particularmente sensible. La concentración de la propiedad y de la dirección en un mismo grupo puede dificultar que determinadas decisiones sean examinadas sin conflictos de interés.

Por ello, incorporar al menos una persona con experiencia técnica e independencia de criterio constituye un avance relevante, aunque no garantiza por sí solo el funcionamiento adecuado del comité. El Código recomienda que los órganos intermedios informen al consejo al menos trimestralmente, que sus sesiones sean convocadas con siete días naturales de anticipación y que sus acuerdos queden debidamente documentados. Estas previsiones permiten establecer un principio fundamental: la vigilancia debe generar evidencia de sus actuaciones.

Auditoría externa: independencia frente a la administración

La mejor práctica 39 atribuye al órgano intermedio de auditoría funciones relacionadas con la selección, contratación y supervisión de los auditores externos. El comité debe recomendar al consejo los candidatos, las condiciones de contratación y el alcance de los trabajos profesionales. También debe examinar los servicios adicionales que pudiera prestar el despacho y valorar si afectan su independencia.

El Código incorpora recomendaciones específicas. La mejor práctica 40 aconseja evitar la contratación de despachos cuyos honorarios provenientes de la sociedad, incluidos servicios adicionales, representen más del 10 % de los ingresos totales del despacho. La mejor práctica 41 recomienda la rotación del socio o persona física responsable de dictaminar los estados financieros, al menos cada cinco años.

Estos parámetros corresponden a mejores prácticas del CCE y no deben confundirse con requisitos legales universalmente obligatorios para cualquier auditoría privada.

Su finalidad es reducir situaciones de dependencia económica o familiaridad profesional que puedan comprometer el juicio del auditor. Para una empresa mediana, la independencia del auditor externo representa una garantía de confiabilidad ante accionistas, instituciones financieras y potenciales inversionistas.

La institucionalización de una empresa comienza cuando sus administradores aceptan que la información financiera y las decisiones de gestión deben someterse a una vigilancia independiente y documentada

Auditoría interna y control de riesgos

La auditoría interna constituye otro componente esencial. Su función consiste en evaluar la efectividad de los procesos, identificar debilidades y formular recomendaciones para fortalecer los controles de la organización. La mejor práctica 45 recomienda que la función de auditoría interna mantenga independencia respecto de la dirección general y reporte directamente al consejo o al órgano intermedio encargado de auditoría.

Este diseño busca evitar que los responsables de ejecutar las operaciones sean también quienes determinen, sin supervisión, la suficiencia de los controles utilizados. En empresas medianas, la auditoría interna no necesariamente requiere un departamento numeroso. Puede desarrollarse mediante una estructura proporcional o con apoyo de especialistas externos, siempre que se preserve la independencia funcional.

Lo verdaderamente importante es contar con un programa de revisión basado en riesgos, identificar responsables de corregir las deficiencias y establecer fechas verificables de cumplimiento. Una observación que permanece indefinidamente sin atención revela una debilidad de gobierno corporativo, incluso cuando se encuentre correctamente documentada.

Información financiera y control interno: la base de las decisiones

Las mejores prácticas 44 a 51 desarrollan responsabilidades relacionadas con la información financiera y no financiera, los criterios contables y la evaluación del control interno. El comité debe conocer los lineamientos utilizados para preparar los estados financieros, analizar cambios relevantes y contribuir a que el consejo disponga de información consistente, oportuna y razonablemente confiable.

También debe revisar la efectividad de los controles sobre operaciones sensibles, tales como pagos, ingresos, inventarios, tesorería, financiamientos y autorizaciones de gastos. En una empresa familiar, estos procedimientos pueden revelar riesgos asociados con la concentración de facultades en una sola persona, la ausencia de conciliaciones periódicas o la falta de separación entre patrimonio empresarial y patrimonio personal.

El comité no sustituye a la administración en la elaboración de la contabilidad ni asume directamente las funciones operativas. Su responsabilidad consiste en supervisar que existan procesos adecuados y que las deficiencias identificadas reciban atención. La diferencia entre administrar y vigilar debe mantenerse claramente delimitada.

Operaciones con partes relacionadas y conflictos de interés

Las mejores prácticas 52 y 53 atribuyen al órgano intermedio de auditoría funciones de apoyo al consejo en materia de operaciones con partes relacionadas. Este ámbito resulta especialmente importante en sociedades familiares, donde pueden existir préstamos entre accionistas y la empresa, arrendamientos de inmuebles propiedad de familiares, prestación de servicios por sociedades vinculadas o transferencias de activos entre entidades del mismo grupo.

Estas operaciones no son necesariamente ilícitas ni inconvenientes. Sin embargo, requieren transparencia, documentación y criterios objetivos que permitan evaluar si sus condiciones responden al interés social. El comité puede contribuir mediante la revisión de políticas de contratación, la identificación de conflictos de interés y la emisión de recomendaciones al consejo.

Desde la perspectiva fiscal, estas prácticas también favorecen la documentación de operaciones sujetas a las disposiciones aplicables sobre partes relacionadas y precios de transferencia. Un gobierno corporativo adecuado no elimina las relaciones entre personas vinculadas; procura que dichas relaciones se desarrollen bajo condiciones verificables y debidamente autorizadas.

Implementación gradual en la empresa mediana o familiar

La institucionalización no requiere reproducir inmediatamente la estructura de una sociedad bursátil. El Código CCE reconoce la importancia de adaptar sus recomendaciones al tamaño, complejidad y grado de madurez de cada organización.

Una primera etapa puede concentrarse en constituir el comité, aprobar su reglamento interno, definir un calendario de sesiones y establecer una agenda anual. Sus prioridades deberían comprender la revisión trimestral de información financiera, la relación con el auditor externo y un diagnóstico inicial del control interno. En una segunda etapa, el comité puede incorporar un programa de auditoría interna, revisar operaciones con partes relacionadas y supervisar el seguimiento de observaciones relevantes.

Finalmente, conforme crezcan la empresa y sus riesgos, podrá ampliar su participación en la supervisión de mecanismos de cumplimiento normativo, ética empresarial y continuidad del negocio, sin invadir las atribuciones de otros órganos. La gradualidad no debe confundirse con improvisación. Cada etapa requiere objetivos, responsables y resultados verificables.

El comité de auditoría no debe convertirse en una formalidad corporativa: su verdadero valor consiste en transformar los riesgos identificados en decisiones correctivas verificables

El comité de auditoría y la responsabilidad penal corporativa

La utilidad del comité también puede proyectarse hacia el derecho penal empresarial. El artículo 421 del Código Nacional de Procedimientos Penales contempla la responsabilidad penal de las personas jurídicas cuando determinados delitos se cometen bajo los supuestos legales y existe inobservancia del debido control en la organización.

Por su parte, el artículo 11 Bis del Código Penal Federal permite atenuar determinadas sanciones cuando, antes del hecho imputado, la persona jurídica contaba con un órgano de control permanente encargado de verificar el cumplimiento normativo y las políticas internas de prevención delictiva, además de acreditar acciones orientadas a disminuir el daño. Un comité de auditoría podría contribuir a satisfacer esas funciones si cuenta con atribuciones reales de supervisión del cumplimiento y de prevención de riesgos delictivos.

No obstante, su simple existencia formal no acredita automáticamente el debido control ni garantiza una reducción de sanciones. Será indispensable demostrar que el órgano funcionaba antes de los hechos, que disponía de facultades suficientes y que sus actuaciones guardaban relación con los riesgos relevantes. Esta distinción confirma que la efectividad del gobierno corporativo se mide por sus decisiones y controles, no exclusivamente por su estructura documental.

Reflexión jurídica: vigilar sin desplazar la responsabilidad de administrar

El establecimiento de un comité de auditoría modifica la manera en que se distribuye la información y se supervisan las decisiones empresariales. Sin embargo, no debe convertirse en un mecanismo mediante el cual los administradores pretendan trasladar sus responsabilidades a un órgano auxiliar.

El consejo conserva las atribuciones que le corresponden conforme a la legislación y a los estatutos. El comité examina, informa y recomienda; no sustituye la deliberación ni la responsabilidad de quienes administran la sociedad.

Esta separación permite fortalecer la rendición de cuentas. La administración debe explicar sus decisiones, el comité debe evaluar los riesgos y el consejo debe resolver con información suficiente. En la empresa familiar, este modelo también contribuye a distinguir entre la confianza personal que une a los accionistas y la necesidad institucional de verificar las operaciones.

La confianza es valiosa, pero no reemplaza la evidencia. Un sistema de vigilancia adecuado protege a la organización precisamente porque permite identificar problemas antes de que se conviertan en pérdidas, litigios o responsabilidades.

Conclusión: la vigilancia como fundamento de la permanencia empresarial

El comité de auditoría representa una vía razonable para iniciar la institucionalización de una empresa que no cotiza en bolsa. Su principal aportación consiste en fortalecer la calidad de la información, la independencia de las revisiones y el seguimiento de los controles internos.

En la sociedad anónima ordinaria complementa la vigilancia legal del comisario, sin sustituirlo. En determinadas SAPI que adopten el régimen previsto en el artículo 15 de la Ley del Mercado de Valores, puede desempeñar las funciones de auditoría en sustitución de esa figura, bajo los requisitos específicos de la legislación.

Su implementación debe ser gradual, proporcional y congruente con la realidad económica de cada sociedad. Pero, sobre todo, debe tener contenido: reuniones efectivas, información suficiente, observaciones documentadas y decisiones correctivas.

Una empresa comienza a institucionalizarse cuando comprende que vigilar no significa desconfiar de quienes la administran, sino proteger el patrimonio, fortalecer las decisiones y asegurar su continuidad más allá de las personas que actualmente la dirigen.