Auditoría periódica de proveedores: qué revisar cada mes, cada cuatrimestre y cada año (2026)

La mayoría de las empresas verifican a un proveedor de limpieza, mantenimiento o vigilancia una sola vez: cuando lo van a contratar. Piden el folio REPSE, revisan que aparezca vigente, archivan un PDF y firman. El problema es que ese cheque de un solo día no dice nada sobre el estatus del proveedor seis meses después. El cumplimiento no es una foto fija: es un semáforo que cambia. Un registro se vence, una opinión de cumplimiento pasa de positiva a negativa cuando el proveedor deja de pagar sus impuestos, una declaración cuatrimestral se deja de presentar, o el personal que hoy está dado de alta ante el IMSS mañana ya no lo está. Verificar una vez y asumir que el proveedor "ya quedó" es la falla de control más común, y también la más cara cuando llega una auditoría.

Esta guía reformula la verificación de proveedores como lo que realmente es: un proceso continuo con una cadencia definida, no un trámite de arranque. En lugar de explicar de nuevo cada obligación —eso ya vive en las guías específicas de cómo verificar el REPSE, opiniones de cumplimiento, ICSOE y SISUB y deducibilidad de servicios especializados—, aquí te damos el calendario operativo: qué revisar cada mes, qué revisar cada cuatrimestre y qué revisar cada año, con qué evidencia guardar en cada caso y qué riesgo concreto corres si dejas ese eslabón sin revisar.

El centro de la guía es una tabla-calendario que puedes copiar directo a tu control interno, seguida de tres secciones que desarrollan las cadencias mensual, cuatrimestral y anual. Después vas a encontrar cómo montar este control sin que se vuelva una carga imposible, las señales de alerta que exigen frenar un pago de inmediato, qué hacer cuando un proveedor deja de cumplir a mitad de contrato, los errores más comunes y un checklist rápido para pasarle a tu equipo de compras o administración.

Por qué la verificación de un proveedor caduca

Cada documento que le pides a un proveedor tiene una "vida útil" distinta, y ese es exactamente el motivo por el que una verificación de un solo día no protege durante toda la relación. El registro REPSE se renueva cada 3 años: un registro que hoy está vigente puede vencer a mitad de tu contrato, y un registro vencido equivale, para efectos prácticos, a no tener registro. Las opiniones de cumplimiento del SAT, el IMSS y el INFONAVIT son literalmente un semáforo que cambia de estatus: un proveedor con opinión positiva en enero puede tenerla negativa en marzo si dejó de pagar una parcialidad, sin avisarte. Las declaraciones informativas cuatrimestrales (ICSOE ante el IMSS y SISUB ante el INFONAVIT) se presentan tres veces al año, y si el proveedor deja de presentarlas puede perder su propio REPSE. Y los comprobantes de nómina, cuotas y retenciones se generan cada mes: son la única evidencia de que el servicio que estás pagando efectivamente se está cubriendo con personal en regla.

Dicho de otra forma: el riesgo no se congela el día que firmas. Se acumula silenciosamente cada mes que nadie vuelve a revisar. Y como buena parte de estas obligaciones las presenta el proveedor por su cuenta, sin obligación de notificarte cuando algo falla, la única manera de enterarte a tiempo es pedir la evidencia de forma recurrente, con un calendario que no dependa de que alguien se acuerde. Ese calendario es lo que convierte una intención de "estar al pendiente" en un control real.

El calendario de auditoría

Esta es la tabla central de la guía. Cada renglón es una cosa que debes re-verificar, con qué frecuencia, dónde o cómo hacerlo, qué evidencia conviene archivar en el expediente del proveedor, y qué riesgo concreto corres si ese renglón se queda sin revisar. Úsala como plantilla de tu propio control: si tienes varios proveedores de servicios especializados, replica estos renglones para cada uno.

Cadencia mensual: lo que se revisa con cada pago

La cadencia mensual es la más importante en el día a día, porque es la que liga el pago del servicio a la evidencia de cumplimiento. La regla operativa más simple y efectiva es esta: no liberes el pago del mes hasta que el proveedor te entregue el paquete de documentación del periodo. Ese paquete incluye la opinión de cumplimiento vigente del SAT, del IMSS y del INFONAVIT; los CFDI de nómina del personal asignado a tu contrato; los acuses del entero de retenciones de ISR, del pago de cuotas IMSS y de las aportaciones al INFONAVIT; y, cuando quieres acreditar el IVA de la factura, la declaración y el pago de IVA del periodo. Aprovecha ese mismo momento para reconsultar el folio REPSE en el padrón público de la STPS: es el chequeo más barato y el que atrapa el riesgo más caro, un registro que se venció a media relación.

Puede sonar burocrático, pero condicionar el pago a la entrega de estos documentos es la mejor herramienta de cumplimiento que tienes, por una razón práctica: es el único momento del ciclo en que tú tienes toda la palanca. Una vez que pagaste, pedirle al proveedor documentos atrasados se vuelve un ejercicio de buena voluntad; antes de pagar, es una condición del contrato. Además, este mismo paquete es el soporte que necesitas para deducir el gasto del servicio especializado: no estás pidiendo papeles de más, estás construyendo mes a mes la evidencia que el SAT puede requerirte después.

Cadencia cuatrimestral: ICSOE, SISUB y el día 17

Tres veces al año, el proveedor de servicios especializados debe presentar dos declaraciones informativas: el ICSOE ante el IMSS (Informativa de Contratos de Servicios u Obras Especializadas) y el SISUB ante el INFONAVIT (Sistema de Información de Subcontratación). Se presentan por cuatrimestre, con fecha límite el 17 de enero, el 17 de mayo y el 17 de septiembre. En estas declaraciones el prestador reporta información de sus contratos de servicios especializados, del personal asignado y de sus obligaciones, de modo que las autoridades puedan cruzar quién presta qué servicio a quién.

Para ti, como empresa contratante, la acción concreta es sencilla: unas semanas después de cada corte (finales de enero, de mayo y de septiembre), pídele a tu proveedor el acuse de presentación del ICSOE y del SISUB del cuatrimestre y guárdalo en su expediente. No necesitas leer el contenido completo de la declaración; lo relevante es tener la prueba de que la presentó. Esto importa porque un proveedor que deja de presentar estas informativas puede llegar a perder su REPSE, y si eso ocurre, la exposición se traslada a ti. El detalle completo de qué contienen y cómo funcionan estas declaraciones está en la guía de ICSOE y SISUB; aquí lo que importa es agendarlas como un recordatorio fijo tres veces al año.

Cadencia anual: renovaciones, pólizas y el estado general

Una vez al año conviene hacer una revisión más profunda que la del pago mensual. Aquí entran las pólizas de responsabilidad civil, que suelen tener vigencia anual: pide la carátula de la póliza vigente y confirma que la cobertura y el monto asegurado siguen siendo razonables para el tipo de servicio y el tamaño de tu operación. Si el proveedor te entregó algún dictamen de cumplimiento —contra incendio, eléctrico, de elevadores—, es también el momento de confirmar cuánto dura ese dictamen y en qué supuestos ni siquiera te lo exigen, antes de pagar una renovación que quizá no toca. También es el momento de revisar de forma consciente en qué punto está el registro REPSE dentro de su ciclo de 3 años: si el registro de tu proveedor se acerca a su fecha de renovación, agéndalo con varios meses de anticipación y pide evidencia de que el trámite ya está en curso, porque un registro que vence a mitad de contrato te deja expuesto de golpe. La dinámica concreta de ese ciclo está en cómo renovar el REPSE y cada cuánto y en la guía sobre qué registros vencen en 2026.

La revisión anual también es una buena ocasión para verificar que nada estructural cambió: que la razón social del proveedor sigue siendo la misma que aparece en la factura, que la actividad que le contratas sigue coincidiendo con la actividad autorizada en el padrón, y que no ampliaste el alcance del servicio a tareas que su registro no cubre sin haberlo actualizado. Si a lo largo del año le empezaste a pedir un servicio adicional (por ejemplo, pasar de limpieza general a incluir control de plagas), esa actividad nueva necesita estar registrada; la revisión anual es el filtro que evita que ese cambio de alcance pase inadvertido.

Cómo montar el control sin volverte loco

El error de la mayoría de las empresas no es no querer auditar, sino intentar hacerlo de memoria y sin dueño. Un control de proveedores funciona cuando es aburrido y sistemático, no cuando depende de que alguien se acuerde. Estos son los cuatro componentes mínimos que lo sostienen:

• Un expediente por proveedor: una carpeta (física o digital) por cada proveedor de servicios especializados activo, donde vive todo: contrato, folio REPSE y consultas al padrón, opiniones de cumplimiento por mes, acuses de ICSOE/SISUB por cuatrimestre, CFDI de nómina y acuses de pago, altas del IMSS del personal y carátula de póliza. Si un día llega un requerimiento de la autoridad, esta carpeta es tu prueba de diligencia debida.
• Condicionar el pago a la entrega de documentos: incorpora en el contrato y en tu proceso de cuentas por pagar la regla de que el pago del periodo se libera contra la entrega del paquete mensual. Es la palanca más poderosa que tienes y no cuesta nada implementarla.
• Un responsable interno con nombre y apellido: asigna a una sola persona o área (típicamente compras o administración) la responsabilidad de mantener el calendario de vigencias y de perseguir los documentos. Cuando el seguimiento se reparte entre legal, compras y el área usuaria, termina sin dueño y nadie lo hace.
• Alertas de vencimiento: lleva una hoja de control con las fechas clave de cada proveedor —vencimiento del REPSE, de la póliza, cortes cuatrimestrales— y configura recordatorios con anticipación (por ejemplo, 60 días antes del vencimiento del registro). Puedes apoyarte en la herramienta de checklist de proveedor para no dejar renglones sueltos, y consultar el directorio de servicios cuando necesites tener un plan B identificado antes de que haga falta.

Señales de alerta que exigen acción inmediata

Hay hallazgos que no pueden esperar a la siguiente revisión programada: cuando aparece uno de estos, lo correcto es frenar el pago y pedir explicaciones antes de continuar.

• El padrón de la STPS muestra el REPSE del proveedor como vencido, cancelado o en un estatus distinto a vigente, aunque el proveedor insista en que "ya lo está renovando".
• La opinión de cumplimiento del SAT, del IMSS o del INFONAVIT pasó de positiva a negativa, o el proveedor de pronto "no puede" compartírtela cuando antes lo hacía sin problema.
• El proveedor no te entrega el acuse de ICSOE o SISUB de un cuatrimestre y evade la pregunta o da largas.
• Detectas personal nuevo operando en tus instalaciones sin que te hayan entregado su acuse de alta ante el IMSS previo a su primer día.
• Los CFDI de nómina que te comparten no cuadran con el número de personas realmente asignadas a tu sitio, o el salario reportado ante el IMSS es notoriamente menor al que el servicio implicaría.
• El proveedor pide adelantos o presiona para pagar antes de entregar la documentación del periodo, rompiendo la lógica de pago contra evidencia.

Qué hacer si un proveedor deja de cumplir

Detectar el incumplimiento a tiempo solo sirve si reaccionas de forma ordenada. No se trata de terminar el contrato al primer tropiezo, pero tampoco de dejarlo pasar esperando que se resuelva solo. Una secuencia razonable:

• Retén el pago del periodo mientras no se regularice la documentación faltante: es tu palanca contractual y la forma más limpia de forzar la corrección sin llegar todavía a la ruptura.
• Requiere por escrito: notifica formalmente al proveedor qué documento falta o qué estatus está en rojo, pide una explicación y fija un plazo concreto para regularizarse. Conserva esa comunicación: es tu evidencia de que actuaste con diligencia en cuanto detectaste el problema.
• Verifica el estatus real en la fuente, no en la palabra del proveedor: si el tema es el REPSE, confírmalo en el padrón; si es una opinión de cumplimiento, pide el documento con sello, no una captura.
• Evalúa la causal de rescisión con tu área legal: si el contrato la contempla y el proveedor no se regulariza en el plazo pactado, tienes una salida ordenada; de ahí la importancia de haber incluido esa cláusula desde el inicio.
• Prepara un plan de salida en paralelo: si el incumplimiento se prolonga, empieza a evaluar proveedores alternativos antes de que la operación quede dependiendo de un proveedor que dejó de estar en regla, en lugar de esperar a que el contrato colapse.
• Si el incumplimiento ya generó una exposición concreta —un trabajador reclamando salarios, un requerimiento de autoridad—, busca asesoría legal antes de responder, porque la forma en que documentas tu reacción inicial puede pesar después.

Errores comunes

• Verificar al proveedor una sola vez, al firmar, y nunca más durante una relación de varios años: el riesgo se acumula con cada mes que nadie vuelve a revisar.
• Confiar en el PDF que te mandó el proveedor en lugar de consultar directamente el padrón público de la STPS, que es la única fuente que refleja el estatus real y actualizado del registro.
• Pagar el servicio del mes sin haber recibido el paquete de documentación, y luego perseguir esos documentos cuando ya no tienes ninguna palanca.
• Olvidar los cortes cuatrimestrales de ICSOE/SISUB porque "no son mi trámite": la omisión del proveedor puede costarle el REPSE y arrastrarte a ti la exposición.
• Confundir "registro en trámite de renovación" con "registro vigente": si el trámite no concluye antes del vencimiento, hay una ventana real en la que el proveedor opera sin REPSE.
• No pedir el acuse de alta del IMSS antes de que el personal pise tus instalaciones: pedirlo después de un accidente ya no sirve de nada.
• Dejar el seguimiento sin dueño, repartido entre compras, legal y el área usuaria, de modo que en la práctica nadie lo hace.

Checklist rápido para tu equipo

• Cada mes, antes de pagar: opinión de cumplimiento vigente SAT + IMSS + INFONAVIT, CFDI de nómina del personal, acuses de retenciones/cuotas/aportaciones y, para IVA, declaración de IVA del periodo.
• Cada mes, con el pago: reconsulta el padrón público de la STPS para confirmar que el REPSE sigue vigente y con la actividad correcta (toma 30 segundos y cierra el mayor riesgo, un registro vencido a mitad de contrato).
• Cada cuatrimestre (finales de enero, mayo y septiembre): acuse de ICSOE (IMSS) y de SISUB (INFONAVIT) del cuatrimestre.
• Cada año / al renovar: carátula de póliza de responsabilidad civil vigente y revisión del punto del ciclo de renovación del REPSE (3 años).
• Al asignar personal o ante cambios: acuse de alta/baja/modificación del IMSS del personal que entra a tus instalaciones, antes de su primer día.
• Al cambiar el alcance del servicio: confirmar que la actividad nueva está cubierta por el registro REPSE del proveedor.
• Siempre: guardar cada documento en el expediente del proveedor y no liberar pago sin la evidencia del periodo.

Siguiente paso

Montar y sostener este calendario para cada proveedor —perseguir documentos mes con mes, vigilar cortes cuatrimestrales y renovaciones, archivar cada acuse— es trabajo real que rara vez sobra en un área de compras. Partir de proveedores que ya llegan con esta documentación revisada reduce buena parte de esa carga: en ContrataBien puedes solicitar una cotización y recibir propuestas solo de proveedores cuyo REPSE, opiniones de cumplimiento y documentación ya pasaron ese filtro, de modo que tu auditoría periódica parte de una base verificada en lugar de armarse desde cero. Aun así, la cadencia de re-verificación sigue siendo tuya: ningún filtro de origen sustituye el control continuo durante la vida del contrato.