Revocan autorización a cinco PAC

El 18 de octubre de 2026, la Secretaría Anticorrupción y Buen Gobierno informó, mediante su Comunicado número 121, que una auditoría practicada por el Órgano Interno de Control en el Servicio de Administración Tributaria detectó a siete Proveedores de Certificación de Comprobantes Fiscales Digitales por Internet que realizaban operaciones con contribuyentes identificados como Empresas que Facturan Operaciones Simuladas. De ese universo, el SAT había revocado, al momento del comunicado, la autorización de cinco proveedores y mantenía procedimientos administrativos respecto de otros dos.

Los nombres comerciales comunicados por la autoridad son Facturadorelectronico.com, DigiFact, FactureYa, EdiFactMx y Comercio Digital. Sus razones sociales son, respectivamente, Dot Net Desarrollo de Sistemas, S.A. de C.V.; Teledesic Broadband Networks, S.A. de C.V.; Servicios Tecnológicos Avanzados en Facturación, S.A. de C.V.; EDIFACTMX, S.A. de C.V.; y Sistemas de Comercio Digital, S. de R.L. de C.V. El dato que otorga especial relevancia al anuncio es que los siete proveedores sujetos a revisión validan, de acuerdo con Buen Gobierno, aproximadamente 20.53 % de la facturación nacional. La noticia, por tanto, excede ampliamente la situación particular de cinco empresas: toca una pieza crítica de la infraestructura fiscal digital mexicana.

El PAC no es un simple proveedor tecnológico

Para comprender la dimensión jurídica de la medida debe recordarse que el PAC no opera únicamente como empresa de software contratada libremente por un contribuyente. Su actividad deriva de una autorización administrativa otorgada por el SAT.

El artículo 29 Bis del Código Fiscal de la Federación permite al SAT autorizar particulares para que validen que los CFDI cumplen los requisitos del artículo 29-A y las especificaciones técnicas correspondientes, asignen el folio fiscal e incorporen el sello digital del SAT. Además, los autorizados deben satisfacer los requisitos y obligaciones establecidos mediante reglas generales y otorgar una garantía que respalde su actuación.  

Esta posición explica por qué el estándar de cumplimiento exigido a un PAC es superior al de un proveedor tecnológico ordinario. Su intervención forma parte de la infraestructura mediante la cual se generan millones de documentos que producen consecuencias fiscales para emisores, receptores, autoridades y terceros.

De ahí que una relación comercial aparentemente ordinaria pueda convertirse en una causal de pérdida de la autorización cuando la contraparte se encuentra vinculada con esquemas de facturación inexistente.

La revocación de un PAC no convierte automáticamente en simuladas las operaciones de sus clientes ni invalida, por sí sola, los CFDI previamente certificados; pero sí enciende una alerta de cumplimiento

La causal está expresamente prevista en la RMF

La regla 2.7.2.12 de la Resolución Miscelánea Fiscal para 2026 regula las causas y el procedimiento de revocación de los proveedores de certificación de CFDI. Entre sus supuestos, el inciso i) contempla expresamente la realización de operaciones con contribuyentes ubicados en los supuestos del artículo 69-B, primero o cuarto párrafos del CFF, o con contribuyentes respecto de los cuales se haya determinado la emisión de comprobantes falsos conforme al artículo 49 Bis, salvo que el proveedor demuestre haber corregido su situación fiscal.  

Existe además una causal distinta cuando el propio proveedor, alguno de sus socios, accionistas, representantes, apoderados o integrantes de sus órganos de dirección se ubica en esos supuestos. Esta separación es jurídicamente importante porque “operar con una EFOS” no equivale necesariamente a “ser una EFOS”.

Precisamente aquí conviene introducir un matiz frente al tratamiento noticioso. El comunicado oficial señala que los PAC observados “realizaban operaciones” con empresas que facturan operaciones simuladas. Eso no permite concluir, sin información adicional, que los cinco proveedores hayan emitido ellos mismos operaciones simuladas o que sean empresas incluidas como EFOS en términos del artículo 69-B.

El SAT incluso advierte públicamente a los PAC que certificar comprobantes emitidos por contribuyentes ubicados definitivamente en el artículo 69-B, o ser receptores de comprobantes emitidos por éstos, puede actualizar la causal de revocación contemplada en la regla 2.7.2.12.  

La precisión no es semántica. Una revocación de autorización es una consecuencia administrativa grave, pero no debe utilizarse como sinónimo automático de responsabilidad por simulación fiscal sin conocer el expediente individual que sustenta cada resolución.

EFOS: por qué el artículo 69-B cambia la magnitud del riesgo

El artículo 69-B del CFF permite a la autoridad presumir la inexistencia de operaciones cuando detecta que un contribuyente emite comprobantes sin contar con activos, personal, infraestructura o capacidad material para prestar los servicios o entregar los bienes que dichos CFDI amparan, o cuando el contribuyente se encuentra no localizado. La disposición prevé un procedimiento para que el emisor desvirtúe esa presunción y, si no lo logra, su inclusión definitiva en el listado correspondiente.  

Para los receptores de esos comprobantes, las consecuencias son igualmente relevantes. Quienes hubieran dado efectos fiscales a CFDI expedidos por un contribuyente publicado definitivamente cuentan con treinta días para acreditar que efectivamente adquirieron los bienes o recibieron los servicios, o para corregir su situación fiscal. Si no lo hacen y la autoridad posteriormente verifica la irregularidad, puede determinar créditos fiscales y considerar las operaciones como actos simulados para efectos de los delitos fiscales correspondientes.  

Esto explica por qué la supervisión de un PAC no puede limitarse a revisar estructuras XML. El sistema fiscal actual incorpora obligaciones de conocimiento y control que exceden la mera validación informática.

¿Los CFDI previamente timbrados quedan invalidados?

Para las empresas usuarias de los PAC revocados, ésta probablemente sea la pregunta más importante. La respuesta debe formularse con cuidado: la revocación de la autorización del proveedor no implica, por sí misma, que todos los CFDI que históricamente certificó sean inexistentes, falsos o inválidos.

La autorización corresponde al PAC; las obligaciones sustantivas de cada factura corresponden a la operación particular, al emisor y al receptor. Para determinar efectos fiscales habrá que revisar que el comprobante cumpla los requisitos aplicables y, sobre todo, que la operación que documenta sea real.

Por tanto, una empresa que durante años utilizó alguno de estos proveedores no debería concluir que debe cancelar masivamente sus CFDI ni presentar declaraciones complementarias únicamente por la revocación. Sí debería, en cambio, aprovechar el evento como una señal para revisar la materialidad de sus operaciones relevantes, especialmente las realizadas con proveedores que hayan aparecido o aparezcan en listados del artículo 69-B.

El verdadero riesgo para una empresa no reside en que determinado PAC hubiera timbrado su factura, sino en que el emisor de esa factura carezca de capacidad material para haber realizado la operación.

Revocación no significa apagón inmediato: existe un periodo de transición

La RMF 2026 contiene una regla especialmente importante para los clientes de los PAC revocados. Una vez notificado el oficio de revocación, comienza un periodo de transición de noventa días naturales. Los primeros treinta días integran una primera etapa durante la cual el proveedor debe continuar prestando el servicio de certificación, publicar un aviso urgente en su página y comunicar a sus clientes que deben contratar a otro proveedor. Además, no puede incorporar nuevos clientes. Al concluir esos primeros treinta días, deja de poder certificar CFDI.

Los siguientes sesenta días conforman una segunda etapa en la que el PAC ya no puede prestar el servicio de certificación y únicamente debe cumplir obligaciones pendientes, controles tecnológicos y requerimientos derivados del cierre de su autorización. Esto modifica sustancialmente la recomendación empresarial. No necesariamente existe un apagón el mismo día en que se anuncia públicamente la revocación, pero sí comienza un reloj regulatorio que hace inconveniente esperar hasta el último momento.

El riesgo de concentración: 20.53 % no es un dato menor

La parte más crítica del comunicado puede encontrarse fuera de los nombres publicados. Si siete proveedores concentran aproximadamente una quinta parte de la facturación nacional, la intervención regulatoria expone un problema de continuidad tecnológica del sistema tributario.

Una empresa de gran tamaño puede emitir miles o millones de CFDI mensualmente. Cambiar de PAC no consiste simplemente en contratar otro nombre comercial; puede requerir nuevas credenciales, pruebas de integración, adaptación de API, validación de complementos, configuración de ERP, protocolos de contingencia y reconciliación entre CFDI emitidos y efectivamente recibidos por el SAT.

Por ello, las áreas fiscales y tecnológicas deberían tratar la dependencia de un solo PAC de forma semejante a cualquier otro riesgo de proveedor crítico.

La propia RMF permite que un contribuyente utilice simultáneamente uno o más proveedores de certificación de CFDI. Esto abre la posibilidad de diseñar esquemas de redundancia en organizaciones donde una interrupción de facturación puede detener ventas, cobranza, logística o reconocimiento de ingresos.

El dato realmente sensible no es que cinco proveedores perdieran su autorización, sino que los siete observados participan aproximadamente en 20.53 % de la facturación nacional

Una lectura crítica del anuncio oficial

La actuación de la autoridad tiene un fundamento reglamentario identificable y responde a un objetivo legítimo de integridad del sistema de facturación. Sin embargo, una política de fiscalización efectiva también requiere precisión comunicativa.

Expresiones como “operaciones con EFOS” tienen un impacto reputacional severo. El comunicado informa que cinco autorizaciones fueron revocadas, pero no expone el detalle individual de las operaciones que actualizaron la causal, los periodos involucrados ni identifica a los dos proveedores que todavía enfrentan procedimientos.

Respecto de estos últimos, la diferencia es esencial: estar sujeto a procedimiento de revocación no equivale a tener una revocación firme. La regla 2.7.2.12 contempla que el proveedor sea notificado, disponga de diez días hábiles para formular manifestaciones y aportar documentos, y que posteriormente la autoridad valore el expediente antes de emitir la resolución correspondiente.  

Esa secuencia responde a garantías mínimas de audiencia y defensa. Por ello, conviene evitar que la presión mediática sustituya las etapas del procedimiento administrativo.

Qué deberían revisar las empresas desde hoy

Para los contribuyentes, la noticia debe convertirse en un ejercicio preventivo y no en una reacción desordenada. El primer paso es confirmar qué PAC certifica efectivamente sus CFDI y verificar su situación directamente en los medios oficiales del SAT. El Portal permite consultar proveedores autorizados, revocados, con autorización no renovada o en otras situaciones regulatorias.  

Después debe evaluarse la capacidad de migración tecnológica, incluyendo un segundo proveedor cuando el volumen de operaciones justifique redundancia. Paralelamente, conviene contrastar periódicamente a proveedores relevantes contra los listados del artículo 69-B y fortalecer los expedientes de materialidad, integrando contratos, entregables, evidencia de pagos, órdenes de compra, comunicaciones, capacidad del proveedor y demás elementos que permitan acreditar la realidad de las operaciones.

No se trata de revisar miles de CFDI porque hayan sido timbrados por un PAC ahora revocado. Se trata de distinguir correctamente dos riesgos: continuidad de facturación y realidad de las operaciones económicas.

Consideración final

La revocación anunciada el 18 de octubre no debería leerse únicamente como una sanción dirigida contra cinco empresas tecnológicas. Representa un cambio de intensidad en la supervisión de una infraestructura que durante años fue percibida por muchas empresas como un servicio técnico periférico.

El PAC es un tercero autorizado que participa directamente en la formación del CFDI. El artículo 29 Bis del CFF y la regla 2.7.2.12 de la RMF 2026 demuestran que conservar esa autorización exige un estándar continuo de cumplimiento y que relacionarse con contribuyentes vinculados con operaciones inexistentes puede producir consecuencias regulatorias severas.

Al mismo tiempo, conviene evitar conclusiones excesivas. La revocación de un certificador no invalida automáticamente la historia fiscal de sus clientes, no convierte a éstos en EFOS y tampoco demuestra, por sí sola, que cada CFDI certificado ampare una operación simulada.

El mensaje empresarial debe ser distinto: saber quién timbra los comprobantes, contar con una alternativa tecnológica, vigilar a las contrapartes y mantener evidencia suficiente de la sustancia económica de las operaciones.

Porque después de este episodio el riesgo ya no consiste únicamente en que un proveedor deje de prestar servicio. El verdadero riesgo es descubrir que una función crítica para facturar, cobrar y acreditar operaciones dependía de un tercero cuya situación regulatoria nunca fue monitoreada.