Funciones esenciales del Comité de auditoría

La existencia de un comité de auditoría suele asociarse con organizaciones de gran tamaño, emisoras o empresas sujetas a estructuras sofisticadas de gobierno corporativo. Esa percepción ha provocado que numerosas sociedades privadas consideren innecesario establecerlo mientras no exista una obligación expresa que las fuerce a hacerlo. El razonamiento confunde, sin embargo, dos preguntas diferentes. La primera consiste en determinar cuándo la legislación exige formalmente un órgano con determinadas características; la segunda, mucho más vinculada con la calidad del gobierno, consiste en identificar cuándo la complejidad de la empresa hace aconsejable que el consejo disponga de un mecanismo especializado para supervisar información financiera, auditoría, controles internos y riesgos relacionados.

El comité de auditoría adquiere valor precisamente porque el consejo enfrenta una limitación inevitable: no puede revisar con idéntica profundidad todos los asuntos que llegan a su conocimiento. Los estados financieros, las estimaciones contables, los hallazgos de auditoría, las deficiencias de control, las operaciones con partes relacionadas y determinados indicios de irregularidad requieren tiempo, conocimiento técnico y conversaciones que difícilmente pueden desarrollarse de manera suficiente dentro de una agenda ordinaria. El comité permite profundizar en esas materias y regresar al consejo con conclusiones, observaciones y recomendaciones mejor estructuradas. Su existencia, por tanto, no disminuye la responsabilidad del órgano de administración; busca elevar la calidad de la información con la que éste ejerce sus facultades.

El punto de partida: distinguir obligación legal y mejor práctica

La Ley General de Sociedades Mercantiles (LGSM) no impone, con carácter general, la constitución de un comité de auditoría a toda sociedad anónima. La estructura tradicional de vigilancia prevista por este ordenamiento descansa, entre otros elementos, en la figura del comisario. El artículo 164 establece que la vigilancia de la sociedad anónima estará a cargo de uno o varios comisarios, temporales y revocables, quienes pueden ser socios o personas extrañas a la sociedad. Por su parte, el artículo 166 desarrolla facultades y obligaciones de los comisarios, incluyendo la obtención de información financiera mensual, el examen de operaciones, documentación, registros y evidencias necesarias para efectuar la vigilancia, así como la presentación anual de un informe a la asamblea respecto de la veracidad, suficiencia y razonabilidad de la información presentada por el consejo de administración.

Este régimen no debe confundirse con un comité de auditoría. El comisario es un órgano de vigilancia reconocido por la LGSM, mientras que el comité es un órgano colegiado de apoyo cuya naturaleza, integración y atribuciones dependerán del régimen societario correspondiente. En una sociedad privada pueden coexistir ambos cuando la estructura adoptada así lo permita y justifique; lo importante es evitar duplicidades, vacíos y una falsa sensación de supervisión producida por tener varios órganos que presuntamente vigilan lo mismo sin definir quién hace qué. La institucionalización no consiste en acumular estructuras, sino en asignar responsabilidades con claridad.

El tratamiento cambia bajo la Ley del Mercado de Valores (LMV), en las sociedades anónimas bursátiles, la legislación establece una arquitectura específica para las funciones de prácticas societarias y auditoría. El artículo 25 dispone que el consejo contará, para el desempeño de las funciones que la propia ley le asigna, con el auxilio de uno o más comités que establezca; el artículo 43 desarrolla las actividades que corresponden a dichos comités, incluyendo funciones relevantes de auditoría. El régimen, además, establece condiciones particulares respecto de su integración y presidencia, vinculándolas con consejeros independientes. En consecuencia, cuando se analiza una emisora no estamos simplemente ante una recomendación voluntaria, sino ante una estructura regulada cuyo contenido debe estudiarse conforme a la LMV.

Un comité que supervise, no una segunda administración

La primera delimitación funcional consiste en entender qué no debe hacer el comité. No le corresponde preparar la contabilidad, elaborar los estados financieros ni ejecutar los controles internos. Estas tareas pertenecen a la administración y a las áreas responsables. Tampoco sustituye al auditor externo, cuya función consiste en desarrollar su trabajo profesional conforme al marco que le resulte aplicable y emitir las conclusiones correspondientes. Si el comité comienza a realizar actividades propias de la administración, pierde la distancia necesaria para supervisarlas; y si intenta convertirse en auditor paralelo, termina diluyendo responsabilidades.

Su función esencial es formular preguntas que obliguen a comprobar que los procesos funcionan razonablemente. Debe comprender cómo se genera la información financiera, cuáles son las estimaciones más sensibles, dónde se concentran los riesgos de error material, qué deficiencias han detectado auditoría interna o externa y qué hizo la administración para corregirlas. No necesita revisar cada póliza contable; necesita saber si existen controles adecuados para que las pólizas relevantes se registren correctamente y si las excepciones importantes llegan a conocimiento de quienes deben actuar.

Esta diferencia entre ejecutar y supervisar es fundamental. Un comité excesivamente operativo puede sentirse muy ocupado y, paradójicamente, aportar poco gobierno. La calidad no se mide por el número de documentos revisados, sino por la capacidad de identificar asuntos materiales, exigir explicaciones, dar seguimiento a compromisos y escalar oportunamente al consejo aquello que requiera una decisión o conocimiento superior.

La información financiera es el primer territorio, no el único

La revisión de información financiera constituye naturalmente una de las funciones centrales. Sin embargo, revisar no significa limitarse a recibir estados financieros y observar variaciones contra presupuesto. El comité debería comprender las políticas contables relevantes, los juicios utilizados por la administración, las estimaciones con mayor incertidumbre y cualquier cambio que pueda modificar materialmente la presentación de resultados. Deterioros, provisiones, reconocimiento de ingresos, valuación de activos, contingencias y operaciones extraordinarias merecen particular atención cuando resulten significativos para la sociedad.

El comité de auditoría no existe para sustituir al auditor ni para rehacer la contabilidad; su responsabilidad consiste en crear las condiciones de supervisión necesarias para que el consejo pueda confiar razonablemente en la información que recibe.

La conversación adquiere especial importancia cuando existe presión para alcanzar metas. Un cierre difícil, un convenio financiero próximo a incumplirse o una compensación ejecutiva ligada a determinada utilidad pueden crear incentivos para adoptar interpretaciones agresivas. El comité no debe presumir mala fe, pero tampoco puede ignorar los incentivos. Una pregunta elemental puede resultar reveladora: ¿qué estimaciones o decisiones contables podrían modificar de manera material el resultado si se utilizara un supuesto razonablemente distinto? La respuesta permite al órgano concentrarse en las zonas donde el juicio profesional tiene mayor impacto.

En esta materia, el comité debe resistir una tentación frecuente: considerar que la existencia de auditoría externa elimina la necesidad de análisis propio. El auditor proporciona aseguramiento dentro del alcance de su trabajo; el comité, en cambio, supervisa un ecosistema más amplio que incluye la relación con el auditor, la respuesta de la administración a sus hallazgos, la suficiencia del control interno y la calidad general del proceso de información. Recibir un dictamen sin observaciones no convierte automáticamente en excelente el sistema de gobierno financiero.

La relación con el auditor externo debe preservar independencia

Una de las funciones más delicadas consiste en supervisar la relación con el auditor externo. La independencia del auditor no debería tratarse como un requisito documental que se revisa únicamente al contratarlo. El comité necesita conocer qué otros servicios presta la firma o su red, qué honorarios recibe, qué relaciones podrían generar conflictos y si existen circunstancias capaces de comprometer —o aparentar comprometer— la objetividad del trabajo.

También resulta conveniente que el comité pueda reunirse directamente con el auditor externo sin presencia de la dirección financiera o de otros integrantes de la administración. Estas sesiones permiten abordar asuntos que difícilmente surgirían en una reunión donde se encuentran presentes las personas cuya gestión está siendo examinada. La pregunta no debe formularse únicamente como “¿tienen alguna preocupación?”, porque invita a una respuesta genérica. Es preferible explorar si existieron desacuerdos con la administración, ajustes propuestos que no fueron registrados, limitaciones de alcance, debilidades de control, presiones inusuales o áreas en las que el auditor considere que el consejo debería prestar mayor atención.

La Ley de Fiscalización y Rendición de Cuentas de la Federación (LFRCF) no constituye el marco general de auditoría de estados financieros de cualquier sociedad mercantil privada —su ámbito es distinto—, por lo que no debe utilizarse como fundamento indiscriminado de la función corporativa. Para empresas sujetas a regulación sectorial o del mercado de valores deben revisarse específicamente las disposiciones aplicables a auditoría externa y a la independencia del auditor. La precisión en la fuente es indispensable: no toda buena práctica necesita presentarse artificialmente como obligación legal.

Auditoría interna: independencia funcional antes que tamaño del departamento

La auditoría interna representa otra herramienta fundamental, pero su eficacia depende menos del número de personas que de su posición dentro de la organización. Una función técnicamente competente puede quedar neutralizada si reporta exclusivamente al ejecutivo cuyas áreas necesita revisar. Por ello, una estructura madura procura que exista acceso funcional al comité de auditoría, especialmente para aprobar o conocer el plan anual, revisar hallazgos relevantes, valorar recursos y discutir restricciones que puedan afectar su trabajo.

En empresas medianas no siempre existe justificación económica para mantener un departamento permanente. La función puede organizarse de forma proporcional, incluso mediante servicios especializados, siempre que se preserve claridad sobre alcance, independencia y acceso a información. Lo importante es que el consejo pueda obtener una evaluación razonablemente objetiva de los controles y que los hallazgos materiales no desaparezcan dentro de la estructura ejecutiva antes de llegar al órgano encargado de supervisarlos.

El comité debería prestar especial atención a la reincidencia. Una deficiencia identificada una sola vez puede ser un problema operativo; una deficiencia reportada repetidamente y nunca corregida se convierte en un problema de gobierno. En ese momento, la pregunta ya no es por qué falló el control, sino por qué la administración no atendió oportunamente una debilidad conocida y qué debe hacer el consejo ante esa falta de respuesta.

Control interno: el verdadero centro preventivo

El control interno suele percibirse como territorio exclusivo de contadores y auditores, cuando en realidad representa una de las infraestructuras fundamentales para ejecutar la estrategia. Una empresa que crece sin controles puede aumentar ventas y simultáneamente incrementar fraude, errores, pérdidas de inventario, incumplimientos, pagos indebidos o información financiera poco confiable. El comité necesita comprender cuáles son los procesos críticos y qué controles protegen los activos y la calidad de la información.

Esto no implica revisar manuales completos en cada sesión. El enfoque debe basarse en riesgo y materialidad. Tesorería, pagos, compras, inventarios, ingresos, acceso a sistemas, autorizaciones, estimaciones relevantes y operaciones con partes relacionadas suelen justificar especial atención, dependiendo del giro. Cuando exista una deficiencia significativa, el comité debe conocer responsable, plan de remediación y fecha comprometida. En la siguiente sesión no debería limitarse a recibir nuevamente la misma observación; debe preguntar qué cambió y qué evidencia acredita la corrección.

Un tablero sencillo puede ser más útil que cien páginas de documentación: hallazgo, nivel de riesgo, responsable, fecha, estado y evidencia de cierre. La disciplina de seguimiento es uno de los aportes más valiosos del comité, porque impide que las observaciones pierdan prioridad conforme aparecen nuevos asuntos.

Fraude, denuncias e investigaciones: la información que no puede quedar atrapada

Los mecanismos de denuncia interna guardan una relación estrecha con el comité de auditoría cuando los reportes involucran información financiera, apropiación de activos, corrupción, manipulación contable o conductas de directivos relevantes. La razón es evidente: una denuncia contra un integrante de la alta administración no puede depender exclusivamente de esa misma estructura para decidir si será investigada.

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (CPMPGC) 2025 del Consejo Coordinador Empresarial (CCE) concede especial relevancia a la vigilancia, control interno, administración de riesgos, auditoría y mecanismos que permitan al consejo cumplir adecuadamente sus funciones. El Código debe identificarse correctamente como referencia de mejores prácticas, adaptable a la naturaleza, tamaño y grado de institucionalización de cada organización, y no como legislación obligatoria por sí misma.

Dentro de esa lógica, el comité debería conocer periódicamente información agregada sobre denuncias, tipología, antigüedad, estado de investigaciones y medidas adoptadas. Los casos que involucren a directivos, consejeros, fraude material o potencial afectación significativa deben escalarse bajo protocolos previamente establecidos. La confidencialidad es indispensable, pero confidencialidad no significa opacidad frente al órgano que tiene responsabilidad de supervisión.

Operaciones con partes relacionadas y conflictos de interés

Las operaciones con partes relacionadas constituyen uno de los espacios donde la existencia de un órgano con suficiente objetividad puede resultar especialmente valiosa. No toda operación relacionada es indebida. Un accionista puede arrendar un inmueble a la sociedad, otra empresa del grupo puede prestar servicios o existir financiamiento entre entidades relacionadas. El problema surge cuando las condiciones no son comparables con mercado, cuando la relación no se revela o cuando quienes se benefician de la operación dominan también su proceso de aprobación.

En sociedades sujetas a la LMV existen reglas específicas sobre operaciones relevantes, prácticas societarias, deberes de consejeros y participación de comités que deben aplicarse según el supuesto concreto. En sociedades privadas, la estructura puede ser distinta, pero el principio de buen gobierno conserva utilidad: identificar la relación, conocer condiciones, evaluar razonabilidad, documentar el proceso y gestionar correctamente el conflicto de quienes tengan interés.

El comité de auditoría no necesariamente será el órgano encargado de aprobar toda operación relacionada. Esa competencia dependerá del régimen aplicable y de la distribución interna de facultades. Sin embargo, puede desempeñar un papel relevante verificando que la operación se encuentre adecuadamente registrada, revelada y sujeta a controles. Una estructura madura distingue quién propone, quién evalúa, quién aprueba y quién verifica, evitando concentrar todas las etapas en las mismas personas.

Integración: conocimiento financiero e independencia de criterio

Un comité de auditoría débil no se fortalece aumentando el número de integrantes. La calidad depende principalmente de competencias, independencia y disponibilidad. Al menos algunos de sus miembros deben ser capaces de comprender información financiera con profundidad suficiente para identificar preguntas relevantes. Esto no significa que todos tengan que ser contadores públicos; significa que el órgano necesita alfabetización financiera real y, cuando la complejidad lo requiera, experiencia especializada.

La independencia de criterio resulta igualmente importante. En una sociedad privada que adopta voluntariamente el comité, la integración debe evitar que el órgano quede compuesto exclusivamente por ejecutivos responsables de las áreas que pretende supervisar. El director de finanzas puede participar para explicar información y responder preguntas, pero existe una diferencia evidente entre ser fuente de información y ser quien evalúa su propia gestión.

Un comité de auditoría que sólo aparece cuando deben aprobarse los estados financieros llega demasiado tarde: los riesgos relevantes se construyen durante todo el ejercicio, no durante la sesión en que se presenta el cierre.

La presidencia merece particular cuidado. Quien conduce el comité debe tener autoridad suficiente para solicitar información, ordenar la agenda, convocar sesiones cuando resulte necesario y comunicarse directamente con el presidente del consejo. En organizaciones de mayor complejidad, también debería poder mantener contacto directo con auditoría interna, auditor externo y responsables de cumplimiento, según la materia.

La agenda debe seguir los riesgos, no únicamente el calendario contable

Un comité que se reúne una vez al año para conocer el cierre financiero difícilmente cumple una función preventiva. La periodicidad debe corresponder a la complejidad de la organización y a sus riesgos. El calendario puede organizarse alrededor de cierres financieros, plan de auditoría, evaluación del auditor externo, presupuesto, control interno, riesgos, denuncias, operaciones relacionadas y seguimiento de hallazgos.

Sin embargo, una buena agenda no debería convertirse en lista mecánica. Si ocurre un incidente relevante, aparece una denuncia contra un alto directivo o surge una deficiencia material, el comité debe poder modificar prioridades. Gobernar implica dedicar tiempo a aquello que puede afectar materialmente a la sociedad, aunque no apareciera en el calendario aprobado en enero.

Los materiales también requieren disciplina. Deben entregarse con anticipación razonable, destacar decisiones y explicar variaciones. Enviar cientos de páginas la noche anterior puede cumplir formalmente con una entrega y simultáneamente impedir cualquier análisis serio. El secretario del comité o la persona responsable de coordinarlo debería asegurar que cada sesión tenga objetivos claros y que los asuntos pendientes de reuniones anteriores aparezcan nuevamente hasta su conclusión.

Del comité al consejo: informar sin descargar responsabilidad

Uno de los riesgos de crear órganos intermedios consiste en que el consejo comience a asumir que determinados asuntos “ya fueron vistos por auditoría”. Esa frase puede convertirse en una forma de abdicar de la responsabilidad colegiada. El comité profundiza, analiza y recomienda, pero el consejo conserva las atribuciones y responsabilidades que le correspondan conforme al régimen aplicable.

Por ello, el reporte del presidente del comité debe ser suficientemente sustantivo. No basta informar que “se revisaron los estados financieros y no hubo comentarios”. El consejo necesita conocer los principales juicios, riesgos, hallazgos, desacuerdos y recomendaciones. Cuando exista un asunto que requiera decisión, debe explicarse con claridad qué analizó el comité, qué alternativas consideró y por qué recomienda determinado curso de acción.

Las actas son igualmente relevantes. Deben dejar constancia suficiente de los asuntos tratados, información recibida y acuerdos adoptados, sin pretender convertirse en transcripción literal. Una documentación adecuada permite acreditar que el órgano efectivamente deliberó, solicitó información y dio seguimiento. Esto cobra especial importancia cuando, años después, una operación o estimación es cuestionada y resulta necesario reconstruir el proceso decisorio.

El CPMPGC 2025 como parámetro de institucionalización

El CPMPGC 2025 desarrolla una visión en la que el consejo se apoya en órganos intermedios para atender materias que requieren especialización y tiempo. Dentro de ese modelo, auditoría, control interno, riesgos, información financiera y cumplimiento forman parte de una arquitectura de supervisión que debe adaptarse a las características de cada sociedad. La recomendación no consiste en copiar estructuras de una gran emisora, sino en construir mecanismos proporcionales que permitan al consejo cumplir mejor sus funciones.

Una empresa familiar mediana puede comenzar con un comité reducido que sesione periódicamente y concentre información financiera, auditoría externa, controles y seguimiento de hallazgos. Conforme crezca, podrá ampliar alcance, incorporar auditoría interna o separar determinadas funciones. La sofisticación debe acompañar al riesgo y no responder a una preocupación estética por “parecer institucional”.

Ésta es quizá la distinción más importante: el comité de auditoría no es un símbolo de institucionalización; es una herramienta para producirla. Si carece de información, independencia, conocimientos, seguimiento y comunicación con el consejo, su existencia añade organigrama, no gobierno.

La pregunta final no es si existe el comité, sino qué cambia porque existe

Un comité eficaz debería producir consecuencias observables. Los hallazgos se corrigen con mayor rapidez; el auditor externo tiene un interlocutor distinto de la administración; los estados financieros reciben una revisión más profunda; las operaciones sensibles encuentran mayor escrutinio; los riesgos de control llegan oportunamente al consejo y las denuncias relevantes no pueden ser detenidas por las personas involucradas. Si ninguna de estas cosas ocurre, resulta legítimo cuestionar si el comité está cumpliendo su propósito.

También debe evitarse medir su desempeño por ausencia absoluta de problemas. Una organización compleja tendrá hallazgos, errores y riesgos. El buen gobierno no consiste en fingir que no existen, sino en crear mecanismos para identificarlos tempranamente, comprender su importancia y corregirlos. De hecho, un comité que nunca encuentra una deficiencia puede ser menos tranquilizador que uno que identifica problemas y demuestra que la administración los atiende.

La prueba más exigente llega cuando la información es incómoda. Cuando el auditor cuestiona una estimación defendida por la dirección; cuando una denuncia involucra a un ejecutivo relevante; cuando un control deficiente lleva años sin corregirse o cuando una operación relacionada resulta económicamente difícil de justificar. Es precisamente entonces cuando la independencia, el conocimiento técnico y el acceso directo al consejo dejan de ser características formales y se convierten en elementos decisivos.

El comité de auditoría debe entenderse, finalmente, como el espacio donde la confianza empresarial se somete a verificación. El consejo puede confiar en la administración, en los auditores y en sus sistemas; pero una organización institucionalizada no convierte esa confianza en sustituto de la supervisión. Exige evidencia, pregunta por excepciones, documenta respuestas y da seguimiento a los compromisos.

Esa disciplina explica su verdadero valor. No administra la empresa, no audita nuevamente lo auditado y no sustituye al consejo. Hace algo más específico y, a la vez, esencial: reduce la distancia entre la información que la organización produce y el grado de certeza razonable que el órgano de administración necesita para utilizarla responsablemente al tomar decisiones.