El MICI tiene la finalidad de contribuir a la generación de un entorno que promueva el cumplimiento razonable de los objetivos institucionales, el desempeño ordenado de la operación, la administración adecuada de los riesgos, la observancia de la normatividad, el desarrollo de procesos mediante el uso eficiente de los recursos, la confiabilidad en la información institucional y la prevención de pérdida de recursos.

En apoyo al MICI se inició la definición de un modelo de Tres Líneas de Defensa que prevé su implementación en tres grupos de trabajo, con actividades y responsabilidades definidas, a fin de mitigar de una manera razonable los riesgos, mediante el establecimiento y operación de controles internos.

La primera línea de defensa se refiere a la participación de funcionarios de nivel directivo, principalmente de las áreas de negocio, para gestionar sus riesgos y establecer sus propios controles. La segunda línea se refiere a las funciones de supervisión de riesgos, controles y cumplimiento de políticas, así como a estándares establecidos en la Institución, abordando riesgos transversales, generales y específicos. La tercera línea la lleva a cabo la Dirección de Auditoría Interna (DAI), la cual aporta supervisión independiente sobre las dos primeras, evalúa el SCI, identifica debilidades y recomienda mejoras. Asimismo, la DAI le reporta directamente al Comité de Auditoría.

Cabe mencionar que anualmente se evalúa el funcionamiento del sistema de control interno y, resultado de ello, se elabora el Informe Anual del Estado que Guarda el Control Interno Institucional, el cual se presenta al Consejo Directivo y al Comité de Auditoría de la institución, así como a diferentes instancias de fiscalización. En ese sentido, las áreas de oportunidad que se detectan mediante la evaluación son atendidas por las diferentes unidades administrativas según su ámbito de competencia.

Por otra parte, se tienen implementadas rutinas de control mediante el establecimiento de una metodología estandarizada de evaluación, la cual consiste en aplicar periódicamente mecanismos de autoevaluación en los procesos críticos de la operación bancaria, a través de cuestionarios que permiten verificar puntos de control y, en su caso, estar en posibilidad de identificar posibles incidencias que motiven la realización de ajustes correspondientes a dichos procesos.

Adicionalmente, se cuenta con los Lineamientos y estrategias en materia de gestión de seguridad de la información, que norman el uso de equipos y servicios de Tecnologías de Información y Comunicaciones (TIC’s), para así contribuir al cumplimiento de la Misión, Visión y Objetivos de la Institución.

Finalmente, el Sistema de Gestión de Seguridad de la Información (SGSI) es la base para diseñar, instrumentar y evaluar las medidas en materia de seguridad de la información y enfocar sus esfuerzos para la mejora y consolidación del sistema.