Agente de Monitorización SCIIF

El SCIIF (Sistema de Control Interno sobre la Información Financiera) en España constituye un marco regulatorio estructurado en seis áreas principales: el Código de Buen Gobierno de la CNMV de 2020 con su actualización de 2024 (Recomendaciones 42-44); el art. 526 de la LSC (RDLeg 1/2010), con la Comisión de Auditoría como órgano supervisor; la Ley 22/2015 de Auditoría con las NIA-ES 240, 315, 330 y 540; el marco COSO 2013 con sus 17 principios; la ISO 31000 para la gestión de riesgos; y el compliance penal de la LO 5/2010 con el programa ISO 19601 como atenuante. Cada sociedad cotizada debe documentar el SCIIF en la sección F.1 a F.7 del Informe Anual de Gobierno Corporativo (IAGC), con el auditor externo emitiendo la carta SCIIF según la NIA-ES 720; sin un sistema certificable desde el diseño, el riesgo de una deficiencia material reportable a la CNMV es elevado, especialmente tras la actualización de 2024 que refuerza los aspectos ESG.

La CNMV, el ICAC, la LO 5/2010 y la AEPD: cuatro frentes sancionadores que exigen un sistema certificable desde el diseño

La CNMV es el regulador del mercado de valores español y supervisa el cumplimiento del Código de Buen Gobierno por las sociedades cotizadas. Las sociedades del IBEX-35 y el Mercado Continuo deben publicar el IAGC con la sección F que detalla el SCIIF; las deficiencias materiales pueden originar requerimientos formales según el art. 88 de la LMV (Texto Refundido de la Ley del Mercado de Valores) y, en los casos graves, sanciones por información engañosa (CP art. 282). La actualización de 2024 refuerza tres aspectos clave: una Comisión de Auditoría con presidente independiente, la integración de los riesgos ESG en el SCIIF conforme a la CSRD (UE 2022/2464) y la verificación de la eficacia operativa de los controles por el auditor externo, y no solo de su diseño.

El ICAC supervisa a los auditores del ROAC mediante inspecciones técnicas (cada 6 años para las entidades de interés público) y sanciona las deficiencias en la evaluación del SCIIF con entre 12.000 y 72.000 euros (Ley 22/2015, art. 84) o hasta 720.000 euros en las infracciones muy graves (art. 85). Las deficiencias más comunes del auditor son: una comprensión insuficiente del diseño de los controles (NIA-ES 315, párrafo 12), la evaluación de la eficacia operativa solo en la fecha de la auditoría sin cubrir todo el periodo y la falta de comunicación de las deficiencias significativas a la Dirección (NIA-ES 265).

La LO 5/2010 introdujo la responsabilidad penal de las personas jurídicas (CP art. 31 bis a 31 quinquies); un SCIIF efectivo, combinado con un programa de compliance conforme a la UNE 19601, puede atenuar o excluir esa responsabilidad. La AEPD sanciona con hasta el 4% de la facturación o 20 millones de euros las violaciones del RGPD en los controles internos (un registro de actividades de tratamiento incompleto, la falta de evaluación de impacto para el monitoreo sistemático o la ausencia de las cláusulas del art. 28 del RGPD con los encargados del tratamiento). Una sociedad cotizada mediana (1.500 empleados, 300 millones de euros de facturación) tiene una exposición sancionadora potencial de entre 30 y 60 millones de euros anuales sin un SCIIF certificable desde el diseño.

Dieciséis puntos decisivos deterministas con tres escalados humanos

El agente procesa la monitorización del SCIIF mediante una secuencia de 16 puntos decisivos: trece automatizaciones reglamentadas, una clasificación por aprendizaje automático y tres escalados humanos (deficiencia material frente a significativa, compliance penal de la LO 5/2010 y aceptación del riesgo por la Comisión de Auditoría). La clasificación de la entidad obligada determina el marco aplicable: una cotizada debe reportar públicamente la sección F del IAGC ante la CNMV, una entidad de crédito sigue el ICAAP del Banco de España y una sociedad de más de 50 empleados con DNFR cumple la Ley 11/2018 de reporte no financiero. Los demás puntos siguen el marco COSO 2013 (17 principios), los apartados F.1 a F.7 de la CNMV (entorno, riesgos, actividades, información, supervisión, otras cuestiones y auditor) y las NIA-ES 240, 315, 330 y 540 (fraude, riesgos, respuesta y estimaciones).

Un ejemplo concreto: una sociedad cotizada del Mercado Continuo (1.200 empleados, 250 millones de euros de facturación) integra Sage 200 con SAP GRC. El agente la clasifica como obligada ante la CNMV, sujeta a DNFR y entidad de interés público. El mapeo de procesos significativos identifica 8 con riesgo material superior al 5%: ventas, compras, inmovilizado, nómina, tesorería, impuestos, cierre y consolidación. La verificación del principio de cuatro ojos cubre el 100% de las transacciones de más de 50.000 euros. El análisis de segregación de funciones entre módulos detecta 3 conflictos en el área de compras, donde se concentran el alta de proveedor, la aprobación de la factura y la autorización del pago. La detección de anomalías por aprendizaje automático identifica 12 asientos con un z-score superior a 3 en el cierre trimestral. El cruce con Verifactu y el SII confirma una alineación del 99,2% (deficiencia no significativa, por debajo del 2%). La Comisión de Auditoría recibe el Informe SCIIF estructurado según los apartados F.1 a F.7 del IAGC, con un plan correctivo de la segregación de funciones a 30 días.

Cross-check SCIIF con Verifactu y SII fasciado 2025-2026

Verifactu (RD 1007/2023) entró en vigor el 1 de julio de 2025 para las grandes empresas y se extiende de forma escalonada a todas las empresas hasta el 1 de enero de 2026. Su impacto en el SCIIF es directo: cada factura debe llevar un número Verifactu y un esquema certificado por la AEAT; el cruce entre las operaciones contabilizadas y el registro Verifactu es obligatorio; y las discrepancias superiores al 2% constituyen una deficiencia significativa reportable a la Comisión de Auditoría. La integración con el SII (Suministro Inmediato de Información), para las empresas con más de 6 millones de euros de facturación, mantiene el plazo de envío de 4 días a la AEAT. El agente realiza un cruce mensual entre las facturas emitidas en Verifactu, los asientos contables y las declaraciones del SII; las discrepancias activan una alerta SCIIF y el rastro de auditoría ante la AEAT. Este cruce protege frente a las sanciones de la LGT (art. 191-203, del 50 al 150% del importe omitido) y documenta evidencia continua para el auditor externo según la NIA-ES 330, reduciendo el alcance de las pruebas sustantivas.

Integración con el ecosistema español: Sage GRC, A3, SAP GRC, AuditBoard, Workiva y las API de la AEAT y la CNMV

El agente se integra con los sistemas GRC y ERP españoles vía API: Sage 200 y Sage Despachos Connected con el módulo Sage GRC (líder en PYME), A3 Software (a3con, a3asesor y a3ERP de Wolters Kluwer Spain), SAP S/4HANA Spain Localization con SAP GRC, Process Control y Access Control (multinacionales del IBEX-35), Oracle Fusion Cloud ERP Spain con Oracle Risk Management Cloud, Microsoft Dynamics 365 Business Central Spain con Microsoft Purview Compliance, Cegid Quadra Spain con el módulo Cegid GRC y Holded Cloud con su módulo de compliance (PYME). Entre las plataformas GRC dedicadas a las cotizadas figuran AuditBoard, Workiva, MetricStream y ServiceNow GRC. La integración con las administraciones cubre la AEAT (API de Verifactu, servicio web del SII y certificado FNMT-RCM), la CNMV (publicación del IAGC y comunicación de deficiencias), el Banco de España (ICAAP de las entidades de crédito), la AEPD (registro de actividades de tratamiento y evaluaciones de impacto) y el Tribunal de Cuentas (sociedades públicas). Las pruebas sustantivas de las Big Four se soportan mediante exportación directa a Deloitte ASM, PwC Halo, EY Helix y KPMG Clara, con metadatos de rastro de auditoría de las NIA-ES, la PCAOB AS 1215 y el ROAC del ICAC. Las sociedades medianas pueden recurrir a BDO, Mazars, Grant Thornton, RSM o Auren con la misma metodología NIA-ES integrada.