CertusTek cubre el informe del SPEI ante Banco de México, el control interno sobre el reporte financiero que piden las matrices japonesas, PCI DSS v4.0.1 y las evaluaciones de madurez contra NIST CSF, ISO 27001 y la norma industrial. Los cuatro comparten la misma evidencia, los mismos responsables y los mismos tableros.
Por qué existe
Una misma organización responde hoy ante varios marcos: el regulador local, la casa matriz, la industria de medios de pago y el comité que pide medir madurez. Cada ejercicio se arma por separado, en hojas de cálculo que circulan por correo.
Los papeles de trabajo quedan en carpetas compartidas, sin liga al punto de control que sustentan. Localizar uno toma tiempo cada vez que el auditor lo pide.
Asignar responsable punto por punto a mano no se alcanza a hacer, así que los hallazgos quedan sin dueño y sin fecha de solución.
Cuando el ejercicio previo no queda registrado, el siguiente empieza de cero y el comité se queda sin comparación de avance.
Los módulos
El informe del SPEI se responde cumple o no cumple. J-SOX concluye efectividad en dos pruebas separadas. Los marcos de madurez se califican del 0 al 5. CertusTek mantiene las tres escalas y comparte el resto de la operación.
Banco de México · Anexo del sistema de pagos
En operaciónLos seis dominios del informe con la jerarquía oficial del archivo de Banxico. La evaluación se hace ambiente por ambiente y la cédula sale en el formato que recibe el regulador.
Matriz japonesa · Ejercicio fiscal abril – marzo
En operaciónPara la subsidiaria mexicana que reporta a un corporativo cotizado en la Bolsa de Tokio. Se concluye si cada control es efectivo, evaluando por separado su diseño y su operación.
Industria de medios de pago
En operaciónEl estándar completo, modelado al nivel en que un evaluador certificado dictamina cada requisito. Cada punto lleva además su nivel de madurez, del 0 al 5.
NIST CSF 2.0 · ISO/IEC 27001:2022 · ISA/IEC 62443
En operaciónPara cuando el comité pide medir la operación y no sólo el cumplimiento del mínimo. Los marcos conservan su estructura oficial, de modo que el resultado es comparable ante una casa matriz o un auditor externo.
Sistema de Pagos Interbancarios en Dólares.
En preparaciónBanco de Datos Transaccionales.
En preparaciónInstituto para el Depósito de Valores.
En preparaciónLos tres marcos en preparación ya están declarados en la plataforma y se habilitan conforme se carga su catálogo oficial.
La base común
Estas nueve funciones operan igual en cualquier marco, así que el equipo las aprende una sola vez.
Cada papel de trabajo se liga al punto de control que sustenta y guarda páginas, fecha de revisión, ubicación y huella. La huella acredita que el archivo es el mismo que se revisó.
El responsable se asigna al nivel que convenga y desciende a los niveles inferiores. Se administran decenas de asignaciones en lugar de cientos, y la excepción puntual se puede registrar.
Cumplimiento y avance por cada agrupador del marco, cada uno a escala de su propio tamaño. Desde cualquier indicador se entra al detalle.
Cada hallazgo registra causa, responsable y fecha compromiso. La vista los ordena por urgencia: vencidos, próximos a vencer y sin plazo acordado.
Los ejercicios cerrados se conservan completos, así que el avance contra el periodo anterior se consulta en pantalla.
Una consultoría opera el portafolio completo. Cada cliente entra sólo a lo suyo, y la validación y el cierre quedan del lado de la consultoría.
La plataforma puede leer el documento adjunto y proponer una calificación con su justificación, que el evaluador acepta o corrige. Se configura con la clave y el modelo de la propia organización, y queda apagada si no se configura.
Ocho perfiles, del administrador del portafolio al cliente de sólo lectura. El segundo factor por código temporal se activa por usuario y se pide sólo a quien lo dio de alta.
La cédula del regulador, el reporte a la matriz, el informe en PDF y el detalle en Excel se generan del dato ya capturado, sin captura adicional.
Módulo SPEI
El informe que se entrega a Banco de México son seis dominios con estructuras distintas entre sí. Las herramientas del mercado suelen cubrir únicamente el de Seguridad Informática, que es el más extenso, y el resto se arma aparte. CertusTek los trae todos con su jerarquía oficial.
Organización de la seguridad, control de accesos, criptografía, bitácoras, red, continuidad, desarrollo y gestión de incidentes. Es el único dominio que se evalúa ambiente por ambiente.
Infraestructura tecnológica · Canales electrónicos · Dispositivos móviles
Metodología de riesgo operacional, análisis de impacto al negocio, contratación y capacitación del personal, continuidad operativa y el plan de pruebas que la respalda.
El segundo dominio en extensión
Controles sobre el procesamiento de órdenes de transferencia, el contrato que ampara la operación por canales electrónicos y el convenio de colaboración para proteger al cliente.
Tres apartados con encabezado propio
Historial de sanciones firmes en materia de prevención de lavado, las acciones correctivas acreditadas ante el Administrador y los supuestos que aplican según el tipo de entidad.
Con variantes por tipo de institución
Si la institución ofrece sus servicios a sus clientes con independencia de la cámara de compensación de transferencias que éstos utilicen.
El dominio más breve del informe
Operaciones y servicios, esquema tarifario y canales de atención al cliente, condicionados por la pregunta de arranque sobre si hubo cambios en el periodo.
Con pregunta de arranque que activa el resto
El dominio se elige antes de entrar al detalle, y Seguridad Informática se acota además por apartado, de modo que cada persona trabaja el tramo que le corresponde.
Alcance por ambiente
El anexo se cumple por ambiente. CertusTek declara el alcance de cada uno en número de equipos y permite justificar un hallazgo en el ambiente donde ocurre, indicando a cuántos equipos afecta.
Cada una con sus sub-ambientes de producción y beta, y su propio conteo de equipos dentro del alcance declarado.
Los componentes operativos del sistema de pagos, evaluados por separado porque su exposición y sus controles no son los mismos.
El esquema de contingencia. Suele quedar fuera de las revisiones y el regulador lo pregunta.
Ciclo de la evaluación
Se declara el participante, el periodo, el tipo de auditoría y el alcance por ambiente.
Cada punto de control se califica y se sustenta con su evidencia y su responsable.
El evaluador valida lo capturado y levanta los hallazgos con su fecha compromiso.
La cédula se exporta en el formato del regulador con su carátula y su detalle.
El ejercicio queda completo como base de comparación para el periodo siguiente.
Cada participante declara qué ambientes le aplican y la plataforma pide justificar únicamente ésos.
Módulo J-SOX
Las subsidiarias mexicanas de matrices cotizadas en la Bolsa de Tokio reportan su control interno sobre el reporte financiero al corporativo, no a un regulador local. La matriz asigna el alcance, el calendario sigue el ejercicio fiscal japonés de abril a marzo y cada control se concluye como efectivo o deficiente.
Cada ítem se concluye dos veces: si el control está bien concebido y si se ejecuta como se concibió. Cuando el diseño resulta deficiente, la prueba de operación no se realiza. La remediación cambia según el caso: rediseñar el control, o reforzar su ejecución.
Las deficiencias se clasifican como deficiencia, significativa o material. Declarar una debilidad material corresponde a la matriz sobre el consolidado, porque deficiencias menores de varias filiales pueden sumarse entre sí. El reporte lo indica de forma explícita.
El ciclo prueba a una fecha de corte intermedia y después extiende la conclusión al cierre del ejercicio. La plataforma registra en qué fase va cada evaluación.
La matriz define qué procesos, qué cuentas significativas y qué capas entran al ejercicio. El alcance se registra tal como llegó, con su sustento, y queda como referencia cuando cambia al año siguiente.
42 ítems a nivel entidad repartidos en seis elementos: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, monitoreo y respuesta a las tecnologías. Más 16 controles generales de TI en cuatro elementos.
Incluye la conclusión del ejercicio, las deficiencias ordenadas por severidad y el desglose por capa y elemento. El tablero muestra el origen de las fallas, en qué elementos se concentran, la cobertura de papeles de trabajo y las fechas comprometidas.
La fase 1 del catálogo cubre los controles a nivel entidad y los controles generales de TI. Los controles de proceso se incorporan con la misma mecánica.
Módulo PCI DSS
Quien opera con tarjetas responde ante dos reguladores distintos. PCI DSS v4.0.1 se evalúa con la misma mecánica del resto de los módulos: responsables, evidencia ligada al requisito, hallazgos con fecha compromiso y tableros de avance.
Los controles se modelan al nivel en que un evaluador certificado dictamina cada requisito. Agruparlos al nivel del encabezado obligaría a resolver media docena de exigencias en un solo renglón.
El estándar se dictamina como cumple o no cumple. Cada punto se califica además por nivel de madurez, que es lo que muestra si el control está institucionalizado o se reconstruye para cada evaluación.
Segundo factor para todo acceso al entorno de datos y no sólo para el administrativo, control de los scripts de la página de pago, y análisis de riesgo que sustente cada periodicidad flexible.
Los requisitos exclusivos de proveedores de servicio o de emisores se marcan como no aplicables con su razón documentada, de modo que el porcentaje refleja lo que le corresponde a esa organización.
Cada punto por debajo del nivel exigido genera su hallazgo con responsable, fecha compromiso y acción concreta. El informe abre por la brecha mayor.
El ejercicio cerrado se conserva completo, así que el avance contra la evaluación anterior se consulta en pantalla y sirve para documentar mejora sostenida.
El catálogo está redactado en español a partir del estándar y sirve para evaluar y dar seguimiento. Para una certificación formal la referencia válida sigue siendo el documento del Consejo de la industria y el dictamen de un evaluador acreditado.
Evaluación de madurez
El cumplimiento acredita el piso regulatorio. La madurez mide qué tan sólida es la operación que lo sostiene. CertusTek trae los dos ejercicios en el mismo sistema y mantiene la escala de cada uno: cumple o no cumple para el SPEI, efectividad para J-SOX, y niveles del 0 al 5 para los marcos de madurez, con PCI DSS entre ellos.
Los marcos conservan su estructura oficial, de modo que el resultado es comparable ante una casa matriz o un auditor externo. El perfil contextual de la organización —sector, tamaño, tipo de información y jurisdicción— ajusta el nivel objetivo de cada dominio, para medir la brecha contra lo que a esa organización le corresponde.
Diferenciadores
Los seis dominios del SPEI con la jerarquía del archivo de Banxico, los doce requisitos de PCI DSS, el marco de control interno japonés y los tres marcos de madurez. No hay que transcribir un estándar ni interpretar su estructura.
Cumple o no cumple para el regulador, efectividad de diseño y de operación para la matriz japonesa, niveles del 0 al 5 para madurez. Forzar los tres a un mismo molde produce un resultado que el destinatario no puede usar.
Principal, secundaria, COA, POA, ASA y cuenta alterna, con producción y beta, y el alcance en número de equipos. La justificación de un hallazgo indica a cuántos afecta.
El responsable se asigna al nivel que convenga y desciende hasta el último detalle. Se administran decenas de asignaciones en lugar de cientos.
Cada papel de trabajo guarda su huella y el registro de quién lo cargó, lo que permite demostrar ante el auditor que es el mismo documento que se revisó.
La cédula del regulador y el reporte a la matriz se generan de lo que ya se capturó, sin una segunda versión que conciliar.
Acompañamiento
La plataforma sostiene el trabajo; el equipo de Soleintek lo ejecuta con la organización.
Definimos qué marcos aplican a la organización y cómo se declara el alcance de cada uno.
Revisión documental y entrevistas por área, capturadas contra el punto de control que sustentan.
Incumplimientos y deficiencias con responsable y fecha compromiso, justificados donde ocurren.
Cédula, reporte o informe de madurez en el formato de cada destinatario, y presentación ante el comité.
Demostración guiada de 30 minutos sobre el marco que hoy cuesta más trabajo cerrar: cómo se captura, cómo se sustenta y cómo sale el entregable.
