Las Reglas del SPEI exigen revisiones periódicas de seguridad y riesgo.
Los participantes del Sistema de Pagos Electrónicos Interbancarios deben cumplir con los requerimientos de seguridad informática, ciberresiliencia y gestión de riesgo operacional que establece la Circular 14/2017 de Banco de México y sus modificaciones.
Entre otras obligaciones, la regulación contempla revisiones que se alternan entre la auditoría interna y auditores externos independientes, así como pruebas de penetración a la infraestructura tecnológica conforme al manual operativo.
Además, la Circular 9/2026 incorpora guías de homologación para solicitudes de envío desde dispositivos móviles, con plazo de cumplimiento al 14 de diciembre de 2026.
¿Quién necesita esta auditoría?
- Bancos y casas de bolsa participantes del SPEI
- SOFIPOs, SOCAPs y uniones de crédito
- Instituciones de fondos de pago electrónico (fintech)
- Participantes indirectos y sus proveedores tecnológicos
- Participantes del SPID y servicios CoDi / DiMo
Qué revisamos.
Evaluamos los controles que exige la regulación con evidencia, no solo con cuestionarios.
Seguridad informática
Controles de acceso, segregación de funciones, cifrado, gestión de identidades y protección de la infraestructura que conecta con el SPEI.
Ciberresiliencia
Detección de código malicioso, monitoreo, bitácoras centralizadas y capacidad de respuesta y recuperación ante incidentes.
Gestión de vulnerabilidades
Proceso de identificación, priorización y remediación, y revisión de las pruebas de penetración requeridas.
Riesgo operacional
Identificación y tratamiento de riesgos, continuidad operativa, procedimientos de contingencia y pruebas.
Canales móviles y digitales
Controles de cifrado, autenticación e integridad en aplicaciones móviles y su apego a las guías de homologación.
Terceros y proveedores
Controles sobre proveedores de servicios tecnológicos que intervienen en la operación del SPEI.
Cómo trabajamos.
Planeación
Definimos alcance, normativa aplicable, calendario y la lista de evidencias requeridas.
Revisión de evidencias
Analizamos políticas, configuraciones, bitácoras y reportes; entrevistamos a los responsables.
Pruebas
Validamos controles clave mediante muestreo y pruebas técnicas cuando aplica.
Informe y seguimiento
Entregamos hallazgos priorizados, recomendaciones y acompañamiento en la remediación.
Entregables
- Informe de auditoría con hallazgos y nivel de riesgo
- Matriz de cumplimiento contra los requerimientos aplicables
- Plan de remediación priorizado con responsables y fechas
- Resumen ejecutivo para Dirección y Consejo
- Sesión de presentación de resultados
Experiencia específica en sistemas de pagos.
Nuestro director cuenta con experiencia en auditoría de sistemas de pagos (SPEI, SPID, CoDi) y certificaciones vigentes como Associate C|CISO, ISO/IEC 27001 Lead Auditor e ISO 22301 Lead Auditor.
Trabajas directamente con el auditor responsable, con comunicación ágil y entregables claros para tu área de cumplimiento.
La información de esta página es de carácter general y no sustituye la lectura de la regulación vigente. OMETA es una firma independiente y no está afiliada a Banco de México. Consulta siempre las disposiciones oficiales publicadas por Banco de México.
Lo que más nos preguntan.
¿Qué es la auditoría de seguridad del SPEI?
Es la revisión independiente del cumplimiento de los requerimientos de seguridad informática, ciberresiliencia y gestión de riesgo operacional que Banco de México establece para los participantes del SPEI en la Circular 14/2017 y sus modificaciones.
¿Cada cuánto se debe realizar?
La regulación contempla revisiones periódicas que se alternan entre la auditoría interna y auditores externos independientes. Revisamos contigo el calendario que te corresponde según tu situación y las disposiciones vigentes.
¿También revisan SPID y CoDi?
Sí. Auditamos los controles de seguridad y operación de participantes del SPID y de servicios de cobro digital como CoDi y DiMo.
¿Cuánto dura una auditoría?
Depende del tamaño de la institución y de la disponibilidad de evidencias. Un proyecto típico toma entre 4 y 8 semanas, desde la planeación hasta el informe final.
¿Firman acuerdo de confidencialidad?
Sí. Firmamos un acuerdo de confidencialidad antes de recibir cualquier información de tu institución.
Platiquemos 15 minutos sobre tu caso.
Revisamos tu situación, el alcance y los tiempos, y te enviamos una propuesta sin compromiso.