El Banco Nacional de Comercio Exterior, S. N. C. cuenta con un Sistema de Control Interno, que se fundamenta en su estructura de gobierno corporativo, misma que está compuesta por el Consejo Directivo, así como por diversos comités que toman decisiones sobre los diferentes temas de la operación institucional como son: la administración integral de riesgos, la actividad crediticia, los servicios de inversión, los recursos humanos y desarrollo institucional, los sistemas informáticos, la auditoría y el control interno; además cuenta con la evaluación periódica que realizan diferentes instancias de fiscalización que apoyan en el desarrollo de la gestión de la Institución.

El establecimiento y mantenimiento del control interno es responsabilidad de la Dirección General de BANCOMEXT, así como de sus órganos de gobierno, de los funcionarios y empleados de la Institución. El cumplimiento, supervisión y actualización del control interno es una práctica continua y periódica en los procesos y en las áreas de la Institución.

El Comité de Auditoría es un órgano dependiente del Consejo Directivo que se encarga de evaluar y dar seguimiento a la actividad institucional en el marco del Sistema de Control Interno (SCI), está conformado por consejeros independientes y cuenta con la participación de los comisarios.

De acuerdo con lo anterior y en atención a las Disposiciones de Carácter General aplicables a las Instituciones de Crédito emitidas por la Comisión Nacional Bancaria y de Valores, BANCOMEXT cuenta con el Modelo Institucional de Control Interno (MICI) el cual fue actualizado y aprobado por el Consejo Directivo en noviembre de 2016, mismo que incluye objetivos y lineamientos que tienen el propósito de establecer el marco general para que el personal de la Institución lleve a cabo la implementación del SCI en las áreas y procesos de su competencia. Los elementos del modelo se describen en el siguiente gráfico:

El MICI tiene la finalidad de contribuir a la generación de un entorno que promueva el cumplimiento razonable de los objetivos institucionales, el desempeño ordenado de la operación, la administración adecuada de los riesgos, la observancia de la normatividad, el desarrollo de procesos mediante el uso eficiente de los recursos, la confiabilidad en la información institucional y la prevención de pérdida de recursos.

En apoyo al MICI se inició la definición de un modelo de Tres Líneas de Defensa que prevé su implementación en tres grupos de trabajo, con actividades y responsabilidades definidas, a fin de mitigar de una manera razonable los riesgos, mediante el establecimiento y operación de controles internos.

La primera línea de defensa se refiere a la participación de funcionarios de nivel directivo principalmente de áreas de negocio, para gestionar sus riegos y el establecimiento de sus controles. La segunda línea de defensa se refiere a las funciones de supervisión de riesgos, controles y cumplimiento de políticas y estándares establecidos en la Institución, abordando riesgos transversales, generales y específicos. La tercera línea de defensa la lleva a cabo la Auditoría Interna, la cual aporta supervisión independiente sobre las dos primeras líneas de defensa, evalúa el SCI e identifica debilidades y recomienda mejoras. La Auditoría Interna reporta directamente al Comité de Auditoría.

Cabe mencionar que anualmente se evalúa el funcionamiento del sistema de control interno y, resultado de ello, se elabora el informe anual del estado que guarda el control interno institucional, el cual se presenta al Consejo Directivo y al Comité de Auditoría de BANCOMEXT, así como a diferentes instancias de fiscalización. Las áreas de oportunidad que se detectan mediante la evaluación son atendidas por las diferentes unidades administrativas según su ámbito de competencia.

Por otra parte, se tienen implementadas rutinas de control mediante el establecimiento de una metodología estandarizada de evaluación, la cual consiste en aplicar periódicamente mecanismos de autoevaluación en los procesos críticos de la operación bancaria, a través de cuestionarios que permiten verificar puntos de control y, en su caso, estar en posibilidad de identificar posibles incidencias que motiven la realización de ajustes correspondientes a dichos procesos.

Adicionalmente, se cuenta con los lineamientos y estrategias en materia de Seguridad de la Información (SGSI), que norman el uso de los equipos y servicios de tecnologías de información, para con ello contribuir al cumplimiento de la Misión, Visión y Objetivos de la Institución.

Asimismo, el SGSI es la base para diseñar, instrumentar y evaluar las medidas en materia de seguridad de la información y enfocar sus esfuerzos para la mejora y consolidación del sistema.