Dirección
en Cognitactix
Como contador, si confías solo en lo que ves, entonces debes desconfiar. Este paradigma implica que el tradicional “voucheo”, basado únicamente en la revisión de representaciones impresas o PDF, resulta insuficiente. Hoy los Comprobantes Fiscales Digitales por Internet (CFDI), particularmente sus archivos XML, constituyen un insumo fundamental para revisar buena parte de las operaciones con terceros; sin embargo, también presentan limitaciones como evidencia; aunque su existencia, certificación y estado pueden verificarse ante el Servicio de Administración Tributaria (SAT), la validación fiscal del comprobante no acredita por sí misma la materialidad ni la realidad económica de la operación que documenta.
Blockchain hoy es parte importante de la infraestructura operativa de algunas organizaciones que “tokenizan” activos y registran transacciones en libros distribuidos inmutables (distributed ledgers). Para el auditor interno, esta evolución plantea una pregunta: ¿cómo se audita un activo que no reside en un servidor de la organización, cuyo control depende de una clave criptográfica y cuyo registro vive en una red que nadie posee de forma exclusiva? A diferencia de los sistemas tradicionales, donde la confianza descansa en un administrador central y en sus controles de acceso, blockchain redistribuye esa confianza hacia un mecanismo técnico verificable por cualquier participante de la cadena de nodos que forman parte de la arquitectura con la que funciona.
En un sistema centralizado, la organización puede revertir un asiento erróneo, restaurar un respaldo o exigir a un proveedor la corrección de un dato. En una cadena pública de blockchain, la inmutabilidad implica que una transacción confirmada no se deshace; si se envió a un destino erróneo, no hay reversa a ese registro, salvo que se ejecute una nueva operación por una persona autorizada con la clave de acceso, actualizando todos los nodos que participan en el mismo libro.
Si bien existen sistemas de Planificación de Recursos Empresariales (ERP, por sus siglas en inglés) que aseguran la integridad de los datos, su campo de actuación son solo los registros contables o de operaciones de la propia organización; en cambio, en un caso de uso de blockchain se puede tener seguridad de la integridad del dato más allá de la concepción del propio sistema, por ejemplo, en activos tokenizados.
El segundo supuesto que se rompe es el de la posesión, ya que en el mundo físico y en el contable tradicional, el activo se controla mediante custodia documental y conciliación. En blockchain, el control del activo equivale al control de la clave privada que lo gobierna, es decir, quien tiene la clave, tiene el activo, con independencia de lo que diga cualquier registro auxiliar. Esto desplaza el centro de soporte de la validez del registro auditable hacia la gestión de claves criptográficas.
Un activo tokenizado es la representación digital de un valor o de un bien anclada en la cadena: un criptoactivo, un certificado de origen, un lote de mercancía o un certificado de energía limpia. La tokenización convierte ese bien o derecho en un registro único, identificable y transferible, cuya historia queda asentada de forma inalterable.
En los activos tokenizados orientados a la trazabilidad, blockchain ofrece una ventaja que el auditor debe saber aprovechar: cada movimiento queda registrado con sello de tiempo inalterable y verificable por terceros. Certificados de origen, registros de temperatura en frío o cualquier activo con un registro anclado en cadena permiten reconstruir la historia completa de ese activo sin depender de un intermediario único; aquí el reto no es la confianza en el dato una vez registrado, sino verificar que lo que se asentó en cadena corresponde fielmente a lo que ocurrió en el mundo físico, el clásico problema del oráculo.
Esto último es el término con el cual se describe la conexión entre el registro en blockchain (registro inmutable) y su veracidad (punto en el que la sustancia económica de la operación se incorpora a la cadena) y, por ende, el eslabón donde se decide si el registro tendrá o no respaldo en la realidad.
Trasladar la auditoría del reporte al proceso real adquiere matices propios en blockchain. Algunas pruebas que el auditor interno puede diseñar son:
El aporte conceptual más profundo a la auditoría es lo que puede denominarse “confianza verificable”, es decir, la propiedad por la cual la corrección de un proceso puede ser comprobada por cualquier parte interesada a partir de evidencia técnica trazable, sin necesidad de confiar ciegamente en quien lo ejecuta. En un modelo de blockchain público autorregulado, donde la red no está bajo control de una autoridad única, esta verificabilidad se amplía y abre opciones a los particulares, quienes pueden auditar por sí mismos en lugar de depender de la certificación de un tercero.
Al igual que en otros dominios tecnológicos, la auditoría de activos digitales evoluciona hacia una visión completa de la organización. La operación blockchain involucra a las áreas de tecnología, jurídico, finanzas y cumplimiento, y ninguna posee por sí sola la imagen completa. El auditor interno está bien posicionado para integrar esas perspectivas, siempre que cuente con el conocimiento técnico requerido.
Esa competencia no exige que el auditor sea programador, pero sí que comprenda los conceptos esenciales: qué es una clave privada, qué significa la inmutabilidad, cómo funciona un mecanismo de consenso y dónde se ubican los puntos de falla de un oráculo. Incluso cuando la organización aún no utilice estas tecnologías, conviene identificar qué casos de negocio requieren un nivel de trazabilidad alto y, con ello, justificar el uso de un activo tokenizado.
La tokenización de activos se inscribe en un entramado normativo que conviene distinguir según el ámbito. En el plano mercantil general, el Código de Comercio reconoce, desde la reforma de 2003, plena validez y fuerza probatoria a los mensajes de datos: su artículo 89.° bis dispone que no se negarán efectos jurídicos a la información por estar contenida en un mensaje de datos, equiparándola con la documentación impresa. A su vez, la NOM-151-SCFI-2016 fija los requisitos de conservación e integridad de esos mensajes mediante sello de tiempo y constancia de conservación emitida por un prestador de servicios de certificación. Este principio de equivalencia funcional e integridad verificable es la base jurídica sobre la que descansa el valor probatorio de un registro tokenizado.
En el ámbito financiero, la Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech) define el activo virtual en su artículo 30.° y sujeta su operación a la autorización del Banco de México, además de fijar obligaciones de Prevención de Lavado de Dinero (PLD) que el auditor debe considerar; asimismo, la operación de personas no financieras con activos virtuales está catalogada como actividad vulnerable.
En el plano internacional, instrumentos como la Recomendación de la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (Unesco) sobre la ética de la Inteligencia Artificial (IA) y los marcos de gestión de riesgos tecnológicos aportan principios de gobernanza, trazabilidad y rendición de cuentas adaptables al contexto mexicano. El gran pendiente sigue siendo una legislación integral de ciberseguridad que dé tratamiento explícito a estas herramientas.
La competencia tecnológica del auditor es clave para evaluar riesgos de blockchain y lograr que la confianza en los activos digitales sea verificable.
Un activo digital es tan confiable como sus controles criptográficos y el nivel de comprensión que de ellos tiene el auditor interno. La inmutabilidad y la descentralización no eliminan el riesgo, sino que lo concentran en puntos nuevos: la gestión de claves (públicas y privadas) y la fidelidad del oráculo que la auditoría tradicional no cubre.
En un entorno donde la tokenización de activos avanza con rapidez, la competencia tecnológica del auditor deja de ser una especialización opcional para convertirse en una condición de relevancia profesional. El auditor que entienda blockchain no solo evaluará mejor el riesgo, sino que también contribuirá a construir organizaciones cuya confianza sea, por diseño, verificable.
La auditoría interna puede reforzar la gestión de riesgos al evaluar ciberseguridad, gobernanza, talento tecnológico y estrategias de continuidad del negocio.
Noemí Elizabeth Cortés Llamas, Jaime Ignacio García Jiménez
La Inteligencia Artificial transforma la autenticidad en un recurso escaso y redefine la competencia, mercados y activos intangibles de la economía digital.
Christian Vázquez Sánchez
La competencia tecnológica del auditor interno ya no es una ventaja competitiva, sino el estándar mínimo para generar valor estratégico en la organización.
Jorge Luis Pedroza Rivera
Un informe de auditoría interna estructurado permite impulsar mejoras en procesos, mitigar riesgos y respaldar el cumplimiento de la estrategia organizacional.
Hiram Marín Poó
© 2026 Colegio de Contadores Públicos de México, A.C.
Directorio Contacto Aviso legal Acerca de Veritas
Inicia sesión o suscríbete para continuar leyendo.