Hay un momento que todo empresario en México teme. No es cuando bajan las ventas. No es cuando un cliente grande se va. No es cuando la competencia lanza algo mejor. Es cuando llega la notificación del SAT.
Esa notificación que dice, en ese lenguaje burocrático diseñado para generar la máxima cantidad de ansiedad con la mínima cantidad de claridad, que la autoridad fiscal detectó «discrepancias» en sus declaraciones. Que se va a iniciar una revisión. Que tiene un plazo para presentar documentación. Y que, si no responde, se presumirá que las observaciones de la autoridad son correctas.
Léalo otra vez: se presumirá que las observaciones de la autoridad son correctas.
No que se investigará. No que se verificará. Se presumirá. La autoridad fiscal te dice que debes dinero, te da un plazo que muchas veces ni siquiera te enteraste que empezó a correr, y si no respondes a tiempo, su versión se convierte en la verdad oficial. Así funciona el sistema tributario en México. Y así se destruyen empresas.
Este artículo existe porque en 17 años de informática forense, el equipo de Duriva ha visto un patrón que se repite con una frecuencia que ya debería ser escándalo nacional: la autoridad fiscal toma decisiones basadas en datos digitales que no verificó correctamente, que no cotejó contra los sistemas del propio contribuyente, y que presenta como verdad absoluta ante el tribunal. Y cuando el contribuyente intenta defenderse, descubre que el sistema está diseñado para que la carga de la prueba caiga sobre él — sobre usted — incluso cuando la autoridad es la que cometió el error.
Empresario que acaba de recibir un crédito fiscal y siente que el piso se le mueve: lo que siente es legítimo. Pero necesita entender algo antes de hacer cualquier movimiento: esta pelea no se gana con Excel, no se gana con carpetas de facturas impresas, y no se gana con un contador que le diga «yo tengo todo en orden.» Esta pelea se gana con evidencia técnica forense que demuestre, con rigor pericial, que los datos de la autoridad están equivocados o que sus propios sistemas generaron la discrepancia.
Contador que está leyendo esto porque su cliente lo está presionando para «resolver» la auditoría: con todo respeto, si su defensa es mostrar las mismas declaraciones que ya tiene el SAT y decir «aquí está todo,» no tiene defensa. Lo que necesita es un peritaje informático que analice las bases de datos, los servidores, los logs de acceso al portal del SAT, los metadatos de los archivos XML, y que demuestre técnicamente dónde está la discrepancia y por qué existe.
Fiscalista que está armando la estrategia de defensa: lo que viene a continuación es el componente técnico que le falta a la mayoría de las defensas fiscales en México. La parte que convierte un argumento jurídico en una prueba irrefutable. La parte que hace que el magistrado no tenga que creerle a usted — tenga que creerle a los datos.
Abogado tributario que nunca ha usado un peritaje informático en un juicio fiscal: este artículo le va a cambiar la forma de litigar contra el SAT. No es exageración. Es lo que reportan los abogados que trabajan con Duriva después de su primer caso.
El problema de fondo: el SAT te pide probar lo que no existe
Vamos al grano. El núcleo del problema en una auditoría fiscal no es técnico. Es filosófico. Es una inversión de la lógica jurídica que, si usted se detiene a pensarla, es absurda.
En cualquier sistema jurídico civilizado, la carga de la prueba recae sobre quien acusa. Si el ministerio público dice que usted cometió un delito, el ministerio público tiene que probarlo. Usted no tiene que probar su inocencia. Eso es onus probandi básico. Derecho procesal 101.
Pero en el terreno fiscal mexicano, la dinámica se invierte de facto. El SAT dice: «Detectamos que no declaraste estos ingresos.» Y la carga de demostrar que sí los declaró, o que esos ingresos no existen, o que la discrepancia se debe a un error del propio sistema del SAT, recae sobre usted. Sobre el contribuyente. Sobre la empresa.
El SAT te pide probar lo que no existe.
Piensen en lo kafkiano de la situación. La autoridad dice «no subiste tal declaración.» Usted dice «sí la subí.» La autoridad dice «en nuestro sistema no aparece.» Y ahora usted tiene que demostrar que sí la subió. Tiene que demostrar un hecho positivo — que realizó una acción digital en un sistema que usted no controla, no administra y no puede auditar. Un sistema cuyos logs no le pertenecen. Un sistema cuyas fallas técnicas no se documentan públicamente. Un sistema que, cuando tiene errores, no emite disculpas. Emite créditos fiscales.
Y aquí es exactamente donde entra el peritaje informático fiscal. Porque si bien usted no controla el sistema del SAT, sí controla — o debería controlar — sus propios sistemas. Sus servidores. Sus registros de acceso a internet. Los logs de conexión al portal del SAT. Los metadatos de los archivos XML que generó su sistema de facturación. Los certificados digitales con los que firmó sus declaraciones. Los registros de su Proveedor Autorizado de Certificación. Todo eso es evidencia. Y todo eso es analizable forense.
La defensa fiscal del siglo XXI no se hace con papeles. Se hace con datos.
El buzón tributario: la trampa digital que casi nadie entiende
Antes de entrar en la mecánica del peritaje, hay que hablar de algo que destruye la defensa de miles de contribuyentes en México cada año: el buzón tributario.
El buzón tributario es el sistema de comunicación oficial del SAT con los contribuyentes. Es donde la autoridad deposita notificaciones, requerimientos, resoluciones, multas. Es, para efectos legales, como si un actuario judicial le dejara un citatorio en la puerta de su casa. Con una diferencia fundamental: el citatorio en la puerta, usted lo ve. El buzón tributario, hay que entrar a revisarlo.
Y aquí viene la trampa: si el SAT deposita una notificación en su buzón tributario y usted no la abre en 72 horas, se da por notificado. Legalmente, usted ya fue informado. No importa que no haya entrado al buzón. No importa que no haya visto la notificación. No importa que su contador no le haya avisado. No importa que el sistema haya tenido fallas técnicas ese día. El plazo empezó a correr. Y usted ni se enteró.
Es como si el juez le mandara una carta certificada a una dirección donde usted no vive, y al no recibirla en tres días, declarara que usted fue notificado y que su silencio equivale a aceptación. En el mundo físico, eso sería impugnable de inmediato. En el mundo digital del SAT, es el procedimiento estándar.
Las consecuencias de no responder a tiempo son devastadoras. Multas exorbitantes. Créditos fiscales que se vuelven firmes. Embargos. Cancelación de sellos digitales — que es el equivalente a matarle el negocio, porque sin sellos no puede facturar, y sin facturar no puede operar. Todo porque no revisó un buzón digital en 72 horas.
Empresario que no sabía que tenía buzón tributario: lo tiene. Si tiene RFC, tiene buzón tributario. Y si no ha entrado a revisarlo, puede tener notificaciones acumuladas con plazos vencidos que están generando multas y recargos ahora mismo, mientras lee este artículo. Hable con su contador hoy. No mañana. Hoy.
Contador que dice «yo reviso el buzón de todos mis clientes»: lo dudo. No por mala fe, sino por volumen. Un contador con 50 clientes tiene que revisar 50 buzones tributarios con frecuencia suficiente para no perder un plazo de 72 horas. Eso es un trabajo de tiempo completo solo en revisión de buzones. Y la realidad es que la mayoría de los contadores revisan los buzones cuando hay un motivo — cuando saben que viene una auditoría, cuando el cliente pregunta. No de forma preventiva. Y las notificaciones fantasma se acumulan.
Dónde entra el peritaje informático con el buzón tributario
Lo que un peritaje informático puede demostrar en relación al buzón tributario es técnica y legalmente poderoso:
Que el sistema del SAT presentó fallas técnicas en la fecha de la notificación. Los servidores del SAT no son infalibles. Tienen caídas, tienen mantenimientos, tienen errores. Si el perito puede demostrar — mediante registros de disponibilidad del portal, reportes de terceros como DownDetector, capturas de pantalla certificadas con estampa de tiempo, o registros de intento de acceso desde la IP del contribuyente — que el portal del SAT no estaba disponible durante el período de las 72 horas, la notificación puede ser impugnada.
Que el contribuyente intentó acceder al buzón y no pudo. Los logs de conexión del router o del firewall de la empresa registran cada intento de acceso a un sitio web. Si hay registros de intentos de conexión al portal del SAT que fallaron por timeout, por error de servidor, por certificado SSL inválido, esos registros son evidencia de que el contribuyente no ignoró la notificación — no pudo acceder a ella.
Que la notificación se depositó en un horario atípico o fuera de días hábiles. Los metadatos de la notificación en el buzón tributario tienen fecha y hora de depósito. Si la notificación se depositó un domingo a las 3 de la mañana, las 72 horas empiezan a correr desde ese momento. Y un perito puede argumentar, con fundamento técnico, que el depósito en horario no hábil fue irregular.
Discrepancias en base de datos: cuando el SAT dice una cosa y sus sistemas dicen otra
Este es el escenario más común y el más frustrante para el contribuyente.
La autoridad fiscal dice: «Según nuestros registros, usted declaró ingresos por $5,200,000 en el ejercicio 2024.» La empresa dice: «Nuestro sistema de contabilidad registra ingresos declarados por $4,800,000.» La diferencia de $400,000 genera un crédito fiscal con multas y recargos que puede superar el millón de pesos.
¿Quién tiene razón? El SAT dice que sus registros. La empresa dice que los suyos. Y el problema es que el SAT, por ser autoridad, tiene presunción de legalidad. Es decir, se presume que sus datos son correctos hasta que alguien demuestre lo contrario.
Demostrar lo contrario es exactamente lo que hace un peritaje informático fiscal.
Qué analiza el perito forense
La base de datos del sistema contable de la empresa. No el reporte que genera el contador desde Excel. La base de datos real, la que está en el servidor, la que tiene logs de auditoría, timestamps de modificación, registros de cada transacción con fecha, hora y usuario que la capturó. Los sistemas contables modernos — Contpaq, Aspel, SAP, Oracle — registran cada movimiento con metadatos completos. Y esos metadatos no mienten.
Lo que el perito busca es la integridad de la base de datos: que los registros no hayan sido alterados después de las declaraciones, que los montos coincidan con lo que se reportó al SAT, que no haya brechas temporales ni registros fantasma. Y lo más importante: que la cadena de datos — desde la factura emitida hasta la declaración presentada — sea trazable y consistente.
Los archivos XML de las facturas emitidas y recibidas. Cada factura electrónica en México — cada CFDI — es un archivo XML con una estructura definida por el SAT. Ese XML contiene el monto, el RFC del emisor, el RFC del receptor, la fecha de emisión, el folio fiscal, el sello digital, la cadena original y el timbre del Proveedor Autorizado de Certificación. No es un PDF bonito que se le manda al cliente. Es un archivo de datos con firma criptográfica que demuestra matemáticamente que esa factura fue emitida, por quién fue emitida, cuándo fue emitida y por cuánto.
Si la suma de todos los XML emitidos en un ejercicio no coincide con lo que el SAT dice que se declaró, el perito puede demostrarlo factura por factura, folio por folio, peso por peso. Y esa demostración tiene valor probatorio porque está basada en datos certificados por el propio ecosistema del SAT.
Los acuses de recepción del portal del SAT. Cada vez que un contribuyente presenta una declaración en el portal del SAT, el sistema genera un acuse de recepción. Ese acuse tiene un número de operación, una fecha y hora de presentación, y un sello digital. Si la empresa tiene sus acuses de recepción completos — y los puede autenticar con su certificado de sello digital — la evidencia de que presentó correctamente es sólida.
Pero aquí viene lo importante: el acuse tiene que ser el original, el archivo digital con sus metadatos intactos. No una impresión. No un PDF descargado tres años después. El archivo original, con su hash verificable, con su sello digital intacto, con sus metadatos de creación sin modificar. Y la diferencia entre presentar un archivo original autenticado y un papel impreso es la diferencia entre ganar y perder el juicio.
Los logs del servidor y del router de la empresa. Si la empresa subió su declaración desde su oficina, el router de la empresa registró la conexión al portal del SAT. Fecha, hora, dirección IP de origen, dirección IP de destino, duración de la sesión. Esos logs son evidencia de que alguien desde la red de la empresa se conectó al portal del SAT en una fecha y hora específicas. Cruzado con el acuse de recepción, la cadena probatoria se completa: la conexión se hizo (log del router), la declaración se presentó (acuse del SAT), los montos son correctos (base de datos contable y XMLs). Tres fuentes independientes que cuentan la misma historia.
El tribunal fiscal como juez y parte: la realidad que nadie dice en voz alta
Hay una realidad del litigio fiscal en México que todo fiscalista conoce pero que pocos se atreven a articular con claridad. La voy a decir yo porque la informática forense me da la perspectiva técnica para decirla sin que suene a queja: el Tribunal Federal de Justicia Administrativa opera, en la práctica, en condiciones donde la autoridad fiscal tiene una ventaja estructural.
No estoy hablando de corrupción. Estoy hablando de diseño institucional.
Cuando un contribuyente impugna un crédito fiscal ante el TFJA, la autoridad fiscal — el SAT — presenta sus pruebas: capturas de pantalla de sus sistemas internos, constancias de sus bases de datos, impresiones de sus registros. Y el tribunal, en muchas ocasiones, acepta esas pruebas con la presunción de que son correctas porque provienen de una autoridad.
Pero cuando el contribuyente presenta sus pruebas, tiene que demostrar la autenticidad de cada documento, la integridad de cada archivo, la cadena de custodia de cada registro. El contribuyente tiene que probar que sus pruebas son reales. La autoridad, en muchos casos, no.
Es una asimetría probatoria. Y es exactamente la asimetría que un peritaje informático fiscal equilibra.
Porque cuando el contribuyente llega al tribunal no con impresiones y hojas de cálculo, sino con un dictamen pericial emitido por un perito en informática forense, con cadena de custodia documentada, con valor hash SHA-256 de cada archivo analizado, con análisis de metadatos de los XML, con verificación de los sellos digitales de los acuses de recepción, con cruce de datos entre la base contable y los registros del SAT — el magistrado ya no está escuchando la opinión de un contador. Está viendo evidencia técnica con rigor científico. Y esa evidencia pesa.
Pesa porque cumple con los requisitos del artículo 210-A del Código Federal de Procedimientos Civiles: fiabilidad del método con que fue generada, atribuibilidad del contenido a la persona que se le imputa, y accesibilidad para su consulta posterior. Pesa porque tiene el respaldo de la NOM-151, que establece los requisitos para la conservación de mensajes de datos y la certificación de documentos digitales. Pesa porque no es una opinión: es una demostración técnica.
Fiscalista que está acostumbrado a litigar con documentales: la documental es necesaria. Pero en un juicio fiscal donde la discrepancia está en datos digitales, la documental sola es un cuchillo en un tiroteo. Lo que necesita es la prueba pericial en informática. Es la prueba que habla el idioma del problema. Y cuando el magistrado entiende que la discrepancia no es culpa del contribuyente sino del sistema del SAT — porque el perito lo demostró con datos, no con argumentos — el caso cambia de color.
Caso Deloitte: $553 millones de pesos y la lección que debería haber aprendido todo México
No se puede hablar de peritaje informático fiscal sin mencionar el caso de Deloitte México. No por chisme — el caso es público y está documentado en medios — sino porque ilustra con números reales lo que está en juego cuando la autoridad fiscal y una empresa se enfrentan en el terreno digital.
Deloitte México enfrentó un crédito fiscal de $553 millones de pesos. Quinientos cincuenta y tres millones. Una cifra que puede quebrar prácticamente a cualquier empresa en México. Y el caso giró alrededor de discrepancias en la información que el SAT tenía en sus registros versus lo que Deloitte reportó.
La lección de este caso no es si Deloitte tenía razón o no. La lección es la escala. Es el tamaño del golpe. Es la magnitud de lo que puede pasar cuando la autoridad fiscal determina que existe una discrepancia — real o no — y el contribuyente tiene que defenderse.
Si una firma global con los recursos de Deloitte puede enfrentar un crédito fiscal de $553 millones, cualquier empresa en México está expuesta. Y la diferencia entre las empresas que sobreviven a una auditoría del SAT y las que no, frecuentemente no está en la gravedad de la discrepancia — está en la calidad de la defensa técnica.
Una empresa mediana con un crédito fiscal de $3 millones puede ser destruida si no tiene con qué defenderse. Esa misma empresa, con un peritaje informático que demuestre que la discrepancia se debe a un error en el sistema del SAT, puede revocar el crédito y sobrevivir. La diferencia no es el monto. Es la evidencia.
Auditoría forense a servidores: lo que el SAT nunca revisa
Cuando el SAT realiza una auditoría, revisa lo que está en sus propios sistemas. Revisa las declaraciones que recibió, las facturas que le timbró el PAC, los pagos provisionales que registró. Lo que el SAT no revisa — porque no puede, porque no tiene acceso, porque no es su función — son los servidores internos de la empresa.
Y ahí es donde está la otra mitad de la historia.
Los servidores de la empresa contienen la base de datos del sistema contable, los archivos XML originales que generó el sistema de facturación antes de enviarlos al PAC, los respaldos automáticos de las declaraciones antes de subirlas al portal, los logs de conexión al portal del SAT, los registros de correo electrónico entre la empresa y el SAT, los certificados de sello digital con sus claves públicas y privadas.
Una auditoría forense a estos servidores puede revelar:
Que la empresa generó y envió la declaración correctamente, y que el error ocurrió en el sistema del SAT al recibirla. Esto es más común de lo que la autoridad quisiera admitir. Los sistemas del SAT procesan millones de declaraciones. Un error de procesamiento, un timeout durante la recepción, una falla de sincronización entre bases de datos, puede generar una discrepancia que el SAT atribuye al contribuyente pero que se originó en sus propios sistemas.
Que los archivos XML que el SAT tiene registrados no coinciden con los que generó el sistema de facturación de la empresa. Si el XML original en el servidor de la empresa — con su hash verificable, con su timestamp de creación, con su sello del PAC — dice una cosa, y el XML que el SAT tiene en sus registros dice otra, la pregunta no es qué dice el contribuyente. La pregunta es dónde se alteró el dato. Y esa pregunta se responde con informática forense, no con argumentos jurídicos.
Que los respaldos automáticos de la contabilidad son consistentes en el tiempo y no fueron alterados. Si la empresa tiene respaldos incrementales de su base de datos contable — semanales, mensuales, anuales — y todos cuentan la misma historia, la probabilidad de manipulación es mínima. Porque para alterar un dato habría que alterar todos los respaldos, en todos los períodos, con todos los timestamps correctos. Y eso deja rastros que un perito detecta.
Fiscalista que lee esto y se pregunta «¿esto realmente funciona en el tribunal?»: funciona cuando se hace bien. Un dictamen pericial en informática que demuestre con datos — no con opiniones, no con interpretaciones, con datos verificables y replicables — que la discrepancia se originó en el sistema del SAT y no en los registros del contribuyente, es una prueba que el magistrado no puede ignorar. No porque sea espectacular. Porque es técnica. Porque habla de hashes, de timestamps, de logs, de metadatos. Porque dice cosas que un perito de la contraparte tendría que refutar con la misma precisión técnica. Y la autoridad fiscal, les soy franco, rara vez lleva un perito en informática a sus juicios.
Onus probandi fiscal: la inversión que el peritaje corrige
Volvamos al tema de la carga de la prueba porque es el eje de toda la estrategia de defensa.
En teoría, el principio de onus probandi establece que quien afirma algo debe probarlo. Si la autoridad fiscal afirma que el contribuyente no declaró ciertos ingresos, la autoridad debería probar que esos ingresos existieron y no fueron declarados. Eso dice la teoría.
En la práctica fiscal mexicana, el SAT afirma y el contribuyente demuestra. La autoridad dice «en nuestro sistema consta que…» y el contribuyente tiene que desmontar esa constancia. Porque la presunción de legalidad protege los actos de la autoridad.
Pero la presunción de legalidad no es invencible. Se desvirtúa con prueba en contrario. Y la prueba en contrario más poderosa en un litigio que versa sobre datos digitales es un peritaje en informática forense.
El peritaje no dice «el contribuyente cree que tiene razón.» El peritaje dice: «El hash SHA-256 del archivo XML con folio fiscal XXXXXX, generado por el sistema de facturación de la empresa el día DD/MM/AAAA a las HH:MM:SS, y timbrado por el PAC autorizado YYY con certificado número ZZZ, arroja un valor de [hash]. Dicho archivo documenta un ingreso por $X. La sumatoria de todos los archivos XML emitidos en el ejercicio fiscal 2024, verificados individualmente por su sello digital y timbrado del PAC, arroja un total de ingresos de $4,800,000.00 MN. Dicha cifra difiere en $400,000.00 de la cifra registrada en los sistemas de la autoridad fiscal.»
Eso ya no es una opinión. Es una demostración matemática. Y una demostración matemática no se refuta con «nuestro sistema dice otra cosa.» Se refuta con otra demostración matemática. O no se refuta.
Abogado tributario que le parece que esto es caro: la pregunta no es cuánto cuesta el peritaje. La pregunta es cuánto cuesta el crédito fiscal. Si el crédito es de $3 millones y el peritaje cuesta $2,000 dólares, la matemática se hace sola. No es apretar el tornillo. Es saber qué tornillo apretar. Y en un litigio fiscal, el tornillo correcto es la prueba pericial en informática.
Notificaciones fantasma: cuando el SAT dice que te notificó y tú no te enteraste
Las llamo notificaciones fantasma porque así las experimenta el contribuyente. Un día descubre que tiene un crédito fiscal firme, con multas, con recargos, con embargo precautorio sobre sus cuentas bancarias. Y cuando pregunta «¿pero cuándo me notificaron?», la respuesta es: «Hace ocho meses. En su buzón tributario. Y como no abrió la notificación en 72 horas, se dio por notificado.»
Ocho meses. La notificación tiene ocho meses. Los plazos para impugnar vencieron. Los recursos administrativos ya no proceden. El crédito es firme. Y la empresa está ante la disyuntiva de pagar una cantidad que puede no deber, o enfrentar el embargo de sus cuentas bancarias.
Este escenario es una emergencia. Y la respuesta forense a esta emergencia es técnica, no jurídica.
Lo que el perito busca es evidencia de que la notificación no fue efectivamente recibida — no por negligencia del contribuyente, sino por fallas del sistema. Y esa evidencia puede tomar varias formas:
Logs de acceso al portal del SAT. Si el contribuyente o su contador accedieron al portal del SAT en el período cercano a la notificación, pero accedieron a la sección de declaraciones y no al buzón tributario, esos logs demuestran que hubo actividad en el portal pero que la notificación específica no fue consultada. No por negligencia — porque sí estaban accediendo al portal para cumplir otras obligaciones — sino porque la arquitectura del portal no avisa proactivamente que hay notificaciones pendientes en el buzón.
Registros de correo electrónico. El SAT supuestamente envía un correo electrónico avisando que hay una notificación en el buzón tributario. Si ese correo nunca llegó — y el perito puede demostrarlo analizando los logs del servidor de correo de la empresa, incluyendo la bandeja de spam, la bandeja de eliminados y los registros MX del dominio — la cadena de notificación del SAT se rompe.
Estado del certificado de e.firma al momento de la notificación. Si la e.firma del contribuyente estaba vencida o revocada al momento de la notificación — impidiendo el acceso al buzón tributario — el argumento de que el contribuyente pudo haber accedido a la notificación se debilita.
Fiscalista que tiene un cliente con una notificación fantasma de hace meses: no todo está perdido. Si se puede demostrar técnicamente que la notificación no fue efectiva, existe la posibilidad de impugnar la firmeza del crédito fiscal. Pero la ventana es estrecha y la evidencia técnica es indispensable. No es un argumento que se pueda hacer de palabra. Es un argumento que requiere un dictamen pericial.
NOM-151 y Artículo 210-A: el marco legal que sostiene todo
Todo lo que se ha descrito en este artículo — el análisis de bases de datos, la verificación de XMLs, la auditoría de logs, la demostración de discrepancias — tiene valor probatorio únicamente si se hace bajo el marco legal correcto. Y en México, ese marco tiene dos pilares:
Artículo 210-A del Código Federal de Procedimientos Civiles. Este artículo establece los requisitos para que la información generada o comunicada por medios electrónicos tenga valor probatorio ante un juez. Los requisitos son tres: fiabilidad del método con que fue generada, comunicada, recibida o archivada; atribuibilidad del contenido de la información a la persona que se le imputa; y accesibilidad para su ulterior consulta. Un dictamen pericial en informática forense emitido por un perito calificado, con cadena de custodia documentada y valor hash verificable, cumple con los tres requisitos.
NOM-151-SCFI-2016. Esta Norma Oficial Mexicana establece los requisitos que deben observarse para la conservación de mensajes de datos y la digitalización de documentos. Es la norma que le dice al tribunal que el archivo digital que se está presentando como prueba fue conservado de forma íntegra, que no fue alterado, que su autenticidad es verificable. Cuando el dictamen pericial certifica que los archivos analizados cumplen con NOM-151, el tribunal tiene la certeza normativa de que la prueba es confiable.
Sin estos dos pilares, la evidencia digital es impugnable. Con ellos, es una roca.
Cuarta pared: lo que necesita saber cada persona que lee esto
Empresario que está siendo auditado y siente que no tiene salida: la tiene. Pero no es la salida que le ofrecen la mayoría de los contadores y abogados fiscalistas. No es «negociar con el SAT.» No es «pagar y olvidarse.» No es «interponer un recurso de revocación con los mismos papeles que ya no funcionaron.» La salida es técnica. Es un peritaje informático que analice sus sistemas, que cruce sus datos contra los del SAT, que encuentre dónde está la discrepancia y que la documente con el rigor que exige el tribunal. La salida es convertir «yo tengo razón» en «aquí están los datos que demuestran que tengo razón.»
Contador que está defendiendo a su cliente con hojas de cálculo: no es su culpa. Nadie le enseñó informática forense en la carrera de contaduría. Pero la realidad es que en un litigio fiscal donde el argumento central gira sobre datos digitales — declaraciones electrónicas, archivos XML, sellos digitales, acuses del portal — su hoja de cálculo no tiene valor probatorio. Lo que tiene valor probatorio es un dictamen pericial que analice los mismos datos que usted tiene pero que los presente con metodología forense: cadena de custodia, hash, análisis de metadatos, certificación bajo NOM-151. Su conocimiento contable es indispensable para identificar las discrepancias. Pero para probarlas ante un tribunal, necesita al perito.
Fiscalista que está armando la estrategia legal: el peritaje informático no sustituye su estrategia jurídica. La complementa con la prueba que su estrategia necesita para funcionar. Piénselo así: su estrategia jurídica es el vehículo. El peritaje informático es el combustible. Sin combustible, el vehículo no llega a ninguna parte. Sin vehículo, el combustible no sirve de nada. Se necesitan ambos. Y la coordinación entre el fiscalista y el perito forense desde el inicio del caso — no cuando ya se están ahogando en el juicio — es lo que marca la diferencia entre los casos que se ganan y los que se pierden.
Abogado tributario que nunca ha ofrecido prueba pericial en informática: la primera vez es la que más cuesta — no en dinero, en curva de aprendizaje. No porque sea difícil, sino porque es diferente a todo lo que le enseñaron en derecho tributario. Pero una vez que lo usa y ve cómo reacciona el magistrado cuando el dictamen pericial demuestra con precisión matemática que la autoridad se equivocó, no vuelve a litigar sin esa prueba. Es como descubrir que existía una herramienta que hacía su trabajo tres veces más fácil y nadie le había dicho.
Preguntas frecuentes
¿Cuánto cuesta un peritaje informático fiscal?
Los peritajes relacionados con el SAT tienen un piso de $2,000 dólares, dependiendo de la complejidad del caso, la cantidad de ejercicios fiscales involucrados, el volumen de archivos XML a analizar y la cantidad de servidores o sistemas que requieran auditoría forense. Parece mucho hasta que se compara con el monto del crédito fiscal. Si el crédito es de $1.5 millones de pesos, el peritaje representa menos del 3% de lo que está en juego. La matemática es clara.
¿En qué momento del proceso se debe solicitar el peritaje?
Lo antes posible. Idealmente, desde que se recibe la primera notificación de auditoría. No cuando ya está en juicio. No cuando ya se perdieron los recursos administrativos. Desde el primer día. Porque la preservación de la evidencia es crítica: logs de servidor se sobrescriben, respaldos se eliminan por política de rotación, acuses de recepción se pierden en cambios de equipo. Mientras más pronto se preserve la evidencia, más sólida es la defensa.
¿El SAT puede impugnar el dictamen pericial?
Puede. Y en teoría, debería presentar su propio perito en informática para refutar los hallazgos. En la práctica, la autoridad fiscal rara vez presenta prueba pericial en informática en los juicios. Presenta sus constancias de sistema, sus impresiones certificadas, sus oficios. Pero no presenta un perito que diga, con el mismo rigor técnico, «el hash del archivo que presenta el contribuyente no coincide con el que tenemos» o «los metadatos fueron alterados.» Y en ausencia de prueba pericial en contrario, el dictamen del perito del contribuyente queda firme.
¿Qué pasa si mis servidores ya no tienen los logs del período auditado?
Es un problema, pero no necesariamente fatal. Los logs de servidor tienen períodos de retención — algunos se conservan 90 días, otros un año, otros indefinidamente dependiendo de la configuración. Si los logs ya no están, el perito trabaja con las fuentes de evidencia que sí estén disponibles: XMLs, acuses de recepción, respaldos de la base de datos contable, registros del PAC, certificados de sello digital. La defensa se debilita sin los logs, pero no desaparece. Lo que sí desaparece es la oportunidad de preservarlos si se espera demasiado.
¿Puedo usar el peritaje en un recurso de revocación o solo en juicio contencioso?
Se puede usar en ambos. El dictamen pericial es una prueba admisible tanto en el recurso de revocación ante el SAT como en el juicio contencioso administrativo ante el TFJA. La diferencia es que en el recurso de revocación, la autoridad que resuelve es el propio SAT — lo cual nos regresa al tema de juez y parte. En el juicio contencioso, el que resuelve es el tribunal. La recomendación de Duriva, basada en la experiencia, es ofrecer la prueba pericial en el juicio contencioso, donde tiene mayor probabilidad de ser valorada con imparcialidad.
Qué hacer hoy si el SAT está tocando su puerta
Primero: no entre en pánico, pero no ignore. Ignorar una notificación del SAT es lo peor que puede hacer. Cada día que pasa sin responder es un día donde los plazos se acortan, las multas crecen y las opciones se reducen.
Segundo: revise su buzón tributario ahora. Si no lo ha hecho en los últimos 30 días, hágalo hoy. Si hay notificaciones que no ha visto, consulte con su contador y su fiscalista inmediatamente.
Tercero: preserve evidencia. No borre logs. No formatee servidores. No reinstale el sistema contable. No «limpie» nada. Todo es potencialmente evidencia. Y una vez que se borra, no se recupera.
Cuarto: coordine la defensa entre tres patas. Contador que identifique las discrepancias numéricas. Fiscalista que diseñe la estrategia jurídica. Perito en informática forense que genere la prueba técnica. Las tres patas son necesarias. Quitar una y el banco se cae.
Quinto: solicite una evaluación del caso. Duriva evalúa la viabilidad técnica del peritaje antes de comprometer presupuesto. Si el caso no tiene suficiente evidencia digital para generar un dictamen útil, se dice de frente. No se cobra por un peritaje que no va a producir resultados.
El SAT no es infalible. Sus sistemas no son perfectos. Sus bases de datos tienen errores. Sus notificaciones a veces se depositan en buzones que nadie revisa, en horarios que nadie entiende, con plazos que nadie debería considerar razonables.
Y sin embargo, cuando esos sistemas imperfectos generan un crédito fiscal, la carga de demostrar el error recae sobre el contribuyente. Sobre usted. Sobre su empresa. Sobre su patrimonio. Sobre lo que construyó durante años.
Esa es la asimetría del sistema tributario mexicano. Y la informática forense es la herramienta que equilibra esa asimetría. Porque los datos son los datos. Un hash no tiene ideología. Un timestamp no tiene sesgo. Un log de servidor no miente para favorecer a nadie. Y cuando esos datos demuestran que la autoridad se equivocó, el magistrado no tiene opción: los datos hablan.
No es apretar el tornillo. Es saber qué tornillo apretar. Y en la defensa fiscal, el tornillo correcto es el peritaje informático. Siempre lo ha sido. Lo que pasa es que casi nadie lo sabía.
Hasta ahora.