La facturación conecta ventas, cobranza, contabilidad y cumplimiento fiscal. Por eso, una noticia sobre el proveedor que certifica las facturas merece una revisión coordinada: identificar quién presta el servicio, comprobar su situación y determinar qué decisiones necesita tomar la empresa.
El comunicado sobre la revocación de autorizaciones a proveedores de certificación plantea una pregunta concreta para las organizaciones: ¿qué controles permiten conocer y gestionar el riesgo de quien participa en su facturación?
¿Qué informó Buen Gobierno sobre los proveedores de certificación?
El 18 de octubre de 2026, la Secretaría Anticorrupción y Buen Gobierno informó que una auditoría del Órgano Interno de Control en el SAT detectó a siete proveedores de certificación que realizaban operaciones con Empresas que Facturan Operaciones Simuladas (EFOS). Según el comunicado, cinco autorizaciones habían sido revocadas y dos procedimientos de revocación seguían en curso.
Los nombres comerciales identificados entre las cinco revocaciones fueron:
| Proveedor | Situación informada en el comunicado |
|---|---|
| Facturadorelectronico.com | Autorización revocada |
| DigiFact | Autorización revocada |
| FactureYa | Autorización revocada |
| EdiFactMx | Autorización revocada |
| Comercio Digital | Autorización revocada |
La dependencia atribuyó a los siete proveedores aproximadamente el 20.53 % de la facturación nacional. Esa cifra describe su participación conjunta; no identifica el porcentaje de comprobantes irregulares. El comunicado tampoco identifica a los otros dos proveedores. Fuente: comunicado oficial de Buen Gobierno.
Esta relación recoge lo informado en esa fecha. Para decidir sobre un servicio concreto, corresponde consultar la situación del proveedor y las disposiciones aplicables al momento de la revisión.
¿Qué hace un PAC y por qué importa conocerlo?
Un Proveedor Autorizado de Certificación (PAC) participa en la validación y el timbrado del CFDI. El SAT explica que revisa la integración del archivo XML conforme al estándar tecnológico y debe enviar a la autoridad copia de los comprobantes que valida. Fuente: funciones de los PAC, SAT.
En la revisión conviene distinguir la plataforma utilizada para facturar del proveedor que genera el timbre. El dato puede contrastarse en el XML: el atributo RfcProvCertif, dentro del complemento TimbreFiscalDigital, identifica el RFC del proveedor de certificación que genera ese timbre. Fuente: documentación del Timbre Fiscal Digital, SAT.
Con esa identificación, la empresa puede vincular el servicio contratado con el proveedor que interviene en sus comprobantes y dirigir correctamente sus consultas.
Tres revisiones distintas: proveedor, comprobante y operación
Para analizar el riesgo conviene formular tres preguntas por separado:
- Proveedor: ¿qué autorización y situación tiene quien certifica el CFDI?
- Comprobante: ¿la factura está registrada y qué resultado arroja su consulta ante el SAT?
- Operación: ¿qué documentos respaldan la entrega del bien o la prestación del servicio facturado?
La herramienta Verifica tus facturas, del SAT permite consultar comprobantes emitidos y recibidos mediante el folio fiscal y los RFC del emisor y receptor. Esa consulta comprueba su registro en los controles de la autoridad.
La evidencia de la operación requiere otra revisión. El artículo 69-B del Código Fiscal de la Federación contempla un procedimiento relacionado con comprobantes que amparan operaciones presuntamente inexistentes. Por ello, el análisis documental debe considerar la operación realizada y la situación específica del contribuyente emisor. Fuente: CFF, artículo 69-B.
El comunicado, por sí solo, no permite concluir que todos los CFDI certificados por los proveedores mencionados hayan perdido efectos fiscales ni que todos sus clientes hayan realizado operaciones simuladas. Esa es una limitación del alcance de la información disponible, no una validación general de los comprobantes.
Qué puede revisar tu empresa desde ahora
Las siguientes medidas son recomendaciones de gestión de riesgos de CKM Core. Su aplicación debe ajustarse a los hallazgos de cada empresa.
1. Identificar al proveedor que realmente timbra
Reúne la razón social, el RFC, el contrato y los datos de contacto del servicio. Contrasta esa información con el proveedor identificado en los XML de las distintas plataformas o unidades del negocio. Si existen diferencias, pide una explicación documentada.
2. Consultar su autorización y conservar evidencia
El SAT ofrece una consulta de proveedores autorizados y acceso a información sobre revocaciones y otras formas de terminación de la autorización. Registra la fecha, la fuente consultada y el resultado; revisa cualquier discrepancia antes de decidir. Fuente: consulta de proveedores de certificación, SAT.
Solicita también al proveedor información escrita sobre su situación, el alcance del servicio y las medidas de continuidad. Contrasta su respuesta con la información oficial.
3. Respaldar y revisar los comprobantes
Verifica que la empresa conserve sus XML y pueda recuperarlos sin depender exclusivamente de un acceso externo. Define con el equipo fiscal qué periodos y comprobantes revisar, documenta los resultados y asigna responsables para atender las diferencias detectadas.
El objetivo es contar con evidencia suficiente para decidir. Cualquier cancelación, sustitución o corrección debe responder al análisis del comprobante y de la operación correspondiente.
4. Reunir el soporte de las operaciones
Organiza contratos, pedidos, entregables, comprobantes de pago, acuses de recepción y comunicaciones relevantes. La combinación útil dependerá del bien o servicio adquirido: una entrega de mercancías y una consultoría requieren evidencias diferentes.
Si se consultan los listados del artículo 69-B, distingue su categoría y fecha. El SAT separa, entre otros, presuntos, definitivos, desvirtuados y contribuyentes con sentencias favorables. Fuente: contribuyentes publicados, SAT.
5. Preparar la continuidad de facturación
Evalúa una alternativa cuyo estado de autorización se haya comprobado. Antes de una transición, define quién coordina las pruebas, cómo se resguardan los datos, qué operaciones deben atenderse primero y cómo se evitarán duplicidades.
Incluye a finanzas, sistemas y al equipo fiscal. Una decisión sobre el proveedor puede afectar procesos distintos y necesita responsables claros.
La debida diligencia continúa después de contratar
Este caso permite llevar la debida diligencia de proveedores a una práctica concreta: identificar al tercero, comprobar su situación, evaluar su importancia para la operación y mantener evidencia de las revisiones.
Como propuesta de control interno, cada empresa puede definir cuándo volver a revisar a su PAC: al renovar el contrato, ante un cambio de proveedor o frente a una comunicación oficial relevante. La frecuencia debe responder al riesgo y a la dependencia operativa.
Un expediente útil permite reconstruir qué se consultó, quién evaluó el resultado y qué decisión se tomó. Esa trazabilidad también debe formar parte del monitoreo del programa de cumplimiento.
Preguntas frecuentes
¿Se revocaron siete autorizaciones?
El comunicado del 18 de octubre informó cinco revocaciones y dos procedimientos en curso. No presentó las siete revocaciones como concluidas.
¿Debo cancelar todas las facturas relacionadas con esos PAC?
El comunicado no establece una cancelación general de comprobantes. Antes de modificar facturas, corresponde revisar su situación y la operación que documentan con el equipo fiscal.
¿Cómo puedo saber quién timbró una factura?
Revisa el RFC registrado en el atributo RfcProvCertif del complemento TimbreFiscalDigital del XML y contrástalo con la información del proveedor.
Fortalece los controles sobre tus proveedores críticos
La revisión puede empezar con un expediente breve: proveedor identificado, consulta oficial fechada, comprobantes y operaciones por revisar, responsables y decisiones documentadas.
En CKM Core abordamos la debida diligencia como parte del sistema de cumplimiento de la organización. Conversemos sobre los controles que necesita tu empresa.
