Anexo 24 Apartado C (Ficha 154/LA): acceso en línea al SAT en 48 horas y arquitectura TI

Con la incorporación del Apartado C al Anexo 24 de las RGCE, el modelo de fiscalización de las empresas con Certificación IVA e IEPS y Operador Económico Autorizado (OEA) cambió de raíz. Antes de esta reforma, la Administración General de Auditoría de Comercio Exterior (AGACE) debía notificar un requerimiento formal u ordenar una visita domiciliaria para que la empresa exportara y entregara en discos o memoria USB sus reportes de control de inventarios.

Hoy, bajo el Apartado C del Anexo 24 y la ficha de trámite 154/LA del Anexo 2, la empresa certificada está obligada a entregar al SAT una dirección URL, un usuario y una contraseña activos las 24 horas del día, los 365 días del año, para que la autoridad consulte en línea los catálogos, movimientos aduaneros y descargos PEPS, los cuales deben actualizarse electrónicamente desde el ERP corporativo en un plazo máximo de 48 horas.

1. Los 3 mandatos normativos del Apartado C del Anexo 24

El texto del Apartado C impone tres obligaciones técnicas simultáneas que vinculan al área de Comercio Exterior con la dirección de Tecnologías de la Información (TI / Ciberseguridad):

2. Arquitectura de Red y Seguridad: por qué no debes conectar al SAT directo a tu ERP

Cuando el departamento global de Ciberseguridad de un corporativo en Estados Unidos, Alemania o Japón escucha que “hay que darle al fisco mexicano un usuario y contraseña para entrar en línea a nuestro sistema de inventarios”, la primera reacción suele ser bloquear el proyecto por políticas de seguridad informática (Zero Trust).

La solución técnica estándar en la industria manufacturera mexicana no consiste en abrir un puerto hacia tu servidor productivo de SAP, Oracle o QAD, sino en implementar una Arquitectura de Espejo Web Aislado (DMZ / Cloud Mirror para Apartado C):

flowchart LR
    A["ERP Corporativo\n(SAP / Oracle) + WMS"] -->|"Interfaz Automática\n(Cada 24h / Máx 48h)"| B["Motor Anexo 24\n(Entorno Operativo Interno)"]
    C["Agentes Aduanales\n(Archivos .M + COVE XML)"] -->|"Carga Diaria"| B
    B -->|"Sincronización Automática\n(Solo Tablas Apartado A)"| D["Portal Web Apartado C\n(Servidor Aislado Cloud / DMZ)"]
    E["Auditor SAT / AGACE\n(Credenciales Ficha 154/LA)"] -->|"Acceso HTTPS Público\n(Solo Lectura + Bitácora)"| D

1. Aislamiento total del ERP financiero: el servidor o instancia en la nube del Portal Apartado C contiene exclusivamente los tres módulos que exige el Apartado A del Anexo 24 (I. Catálogos, II. Módulo de Aduanas y III. Módulo de Reportes). No contiene nóminas, costos financieros internos, cuentas bancarias ni datos ajenos al comercio exterior.
2. Sincronización automatizada cada 24 horas (Cron Job / API): un servicio programado replica cada noche hacia el Portal Apartado C las operaciones validadas en el motor de Anexo 24, garantizando que el desfase nunca supere las 48 horas.
3. Permisos de Solo Lectura (Read-Only) + Cambio de Contraseña: el perfil asignado al usuario del SAT permite consultar en pantalla y exportar a Excel/PDF todos los reportes del Apartado A (entradas, salidas, saldos PEPS, BOM, mermas y activo fijo) y permite al auditor cambiar su propia contraseña (requisito expreso de la ficha 154/LA), sin permiso para borrar ni editar registros.

3. Las 5 fallas técnicas de TI que detonan requerimientos de AGACE (Regla 7.2.2)

En las revisiones remotas ejecutadas por AGACE, la mayoría de los oficios de requerimiento bajo la Regla 7.2.2 de las RGCE no se originan en un cálculo arancelario, sino en que el auditor intentó ingresar un miércoles a las 11:00 a. m. y encontró alguno de estos cinco bloqueos:

1. Bloqueo por Geocerca (Geo-IP Blocking) o Firewall Corporativo: el área de TI global configuró el firewall para aceptar tráfico únicamente desde direcciones IP de Estados Unidos o desde la VPN interna de la empresa, rechazando las direcciones IP gubernamentales de México (*.sat.gob.mx o proveedores de internet nacionales).
2. Caducidad automática de contraseña a los 30, 60 o 90 días: el sistema obligaba a renovar contraseña cada 90 días o desactivó el usuario del SAT por “inactividad prolongada”. Regla de oro: la cuenta entregada bajo la ficha 154/LA debe tener expiración deshabilitada (Password Never Expires = True) y prohibido darla de baja en auditorías internas de licencias.
3. Certificado SSL vencido o cambio de dominio/URL sin aviso: TI renovó el dominio web o cambió la URL del proveedor de software de Anexo 24 sin presentar previamente el aviso de actualización de la ficha 154/LA ante oficialía de partes de AGACE. Todo cambio de URL o de sistema requiere actualizar el aviso.
4. Pantallas vacías o cortes mensuales congelados: el auditor entra con éxito el día 22 del mes, filtra las operaciones de los últimos 15 días y el sistema devuelve cero registros porque el analista de comercio exterior sigue subiendo los pedimentos por lote una sola vez al mes. Eso acredita de forma inmediata el incumplimiento del plazo de 48 horas del Apartado C.
5. Manual de usuario desactualizado o en otro idioma: la ficha 154/LA exige anexar un instructivo paso a paso en español que explique exactamente en qué menú hacer clic para generar cada uno de los reportes del Apartado A. Si el software actualizó su interfaz gráfica y los menús ya no coinciden con el manual entregado al SAT, el auditor levantará incidencia.

4. Checklist mensual de cumplimiento TI + Comercio Exterior (Apartado C)

Ejecuta esta prueba de 5 minutos el primer lunes de cada mes y conserva captura de pantalla en tu expediente de cumplimiento:

• Prueba de conexión externa: desde una computadora conectada a una red comercial normal (fuera de la red LAN y sin VPN corporativa), abre en el navegador la URL exacta declarada en el acuse de la ficha 154/LA y verifica que cargue la pantalla de inicio de sesión (Login) con certificado HTTPS válido. (Nota: si el SAT ya cambió su contraseña, no intentes adivinarla para no bloquear la cuenta por intentos fallidos; verifica el estado del usuario desde la consola de administración).
• Revisión del Audit Log (Bitácora de accesos): consulta en la bitácora del servidor si el usuario asignado al SAT registró inicios de sesión durante el mes, desde qué dirección IP y qué reportes consultó.
• Verificación del plazo máximo de 48 horas: consulta con un usuario espejo de solo lectura cuál es la fecha del último pedimento IN, AF, RT o V1 visible en el portal del Apartado C y confirma que no tenga un rezago mayor a 48 horas respecto a la conclusión del despacho o acto correspondiente.
• Integridad de Catálogos y BOM: confirma que los números de parte nuevos exportados en la semana ya tengan su estructura de materiales (BOM) dada de alta en el sistema para que la corrida automática PEPS no genere saldos en negativo ni descargas huérfanas.