Dar de alta a un proveedor, cliente o colaborador sin comprobar quién está detrás puede convertir una operación normal en un impago, un fraude documental o un contrato firmado por alguien sin poderes. El CIF no basta: una sociedad puede existir y, aun así, ocultar cambios societarios, titulares reales conflictivos o alertas que comprometan tu reputación y tu dinero.
KYC y compliance: verificación de socios comerciales y prevención de riesgos implica confirmar que la empresa existe, quién la representa y controla, y si presenta alertas de sanciones, PEP o reputación. En España, la Ley 10/2010 exige controles formales a determinados sujetos obligados, pero cualquier pyme puede aplicar una diligencia proporcional antes de firmar para reducir fraude, corrupción y pérdidas.
Antes de firmar: KYC, poderes y alertas B2B
Antes de aprobar un tercero, confirma cuatro hechos: identidad de la empresa, poder de quien firma, titular real y ausencia de alertas relevantes. KYC identifica personas, KYB comprueba empresas y la diligencia debida de terceros estudia si la relación comercial tiene sentido y presenta un riesgo aceptable.
El error más frecuente es archivar un CIF y una escritura antigua como si acreditaran la situación actual. Una sociedad puede seguir inscrita y, a la vez, haber cambiado de administrador, domicilio, actividad o cuenta bancaria.
Qué revisar en un proveedor o distribuidor
Pide denominación social, NIF, domicilio, objeto social, nombre del firmante y cuenta de cobro. Contrasta esos datos con el Registro Mercantil, la factura proforma, la web corporativa y el contrato; si cada documento cuenta una historia distinta, detén el alta.
Una nota simple puede solicitarse por vía telemática, aunque el plazo de emisión depende del registro, del canal de solicitud y de la información requerida. No sustituye al análisis, pero permite confirmar administradores, cargos y datos registrales antes de emitir un pedido relevante.
- Existencia legal: NIF válido, inscripción y actividad coherente con el servicio ofrecido.
- Representación: administrador o apoderado con facultades vigentes para firmar ese contrato.
- Titular real: persona física que posee o controla, directa o indirectamente, la empresa.
- Pago: cuenta bancaria a nombre de la entidad contratada, no de un empleado o tercero.
Cuándo parar la contratación
Detén la operación si hay urgencia sin causa comercial clara, cambios de cuenta a última hora o rechazo a explicar la estructura de propiedad. También requiere escalado una coincidencia razonable en listas de sanciones, una persona expuesta políticamente (PEP) o noticias fiables sobre fraude y corrupción.
Una coincidencia de nombre no demuestra una sanción. Hay que comparar razón social, país, fecha de nacimiento de la persona, cargo y entidades vinculadas antes de bloquear una relación legítima.
Una empresa ausente de listas de sanciones no queda automáticamente validada. El control también debe responder a una pregunta sencilla: ¿el servicio, el precio, el intermediario y el pago tienen una explicación económica normal?
Con la identidad validada, toca decidir cuánta profundidad necesita cada expediente. Ahí es donde muchas pymes gastan tiempo de más o dejan huecos serios.
Clasifica el riesgo antes de pedir documentos
Clasifica al tercero como riesgo bajo, medio o alto antes de enviar un cuestionario. El enfoque basado en el riesgo significa pedir más evidencia cuando la operación puede ocultar fraude, corrupción o blanqueo, no tratar igual una papelería local y un agente extranjero que cobra comisiones.
La práctica demuestra que los formularios idénticos para todos acaban mal. El proveedor pequeño responde tarde y el intermediario de mayor riesgo aprende qué casillas debe marcar sin que nadie examine el fondo.
Seis criterios para puntuar el expediente
Asigna entre 0 y 2 puntos por cada criterio: país, importe anual, forma de pago, uso de intermediario, sector sensible y transparencia de la propiedad. Entre 0 y 3 puntos suele encajar en riesgo bajo, entre 4 y 7 en medio y entre 8 y 12 en alto, siempre dejando escrita la razón de la decisión.
| Nivel | Puntuación | Evidencia mínima | Revisión |
|---|
| Bajo | 0 a 3 | NIF, registro, firmante y sanciones | Cada 24 meses |
| Medio | 4 a 7 | Más titular real, poderes y cuestionario | Cada 12 meses |
| Alto | 8 a 12 | Diligencia reforzada y aprobación directiva | Cada 3 a 6 meses |
Cuándo subir un nivel de control
Sube el nivel si hay contratación pública, efectivo, criptoactivos, comisiones variables, subcontratación crítica o pagos en un país distinto al del proveedor. También cuenta una propiedad difícil de seguir mediante varias sociedades, fiduciarios o jurisdicciones de riesgo.
El Reglamento (UE) 2024/1624 consolida en la Unión Europea un enfoque basado en el riesgo para la prevención del blanqueo. Su aplicación se produce conforme a los plazos previstos en la norma y no convierte por sí sola a toda pyme en sujeto obligado, pero puede servir como referencia para diseñar controles proporcionados.
Ruta de aprobación de un tercero
1. Datos
NIF y firmante
→
2. Riesgo
0 a 12 puntos
→
3. Pruebas
Documentos y búsquedas
→
4. Decisión
Aprobar, escalar o rechazar
Un manual de diligencia debida puede servir para formar a compras y administración cuando todavía no existe un procedimiento escrito. En librerías y tiendas online españolas, estos manuales suelen costar entre 20 y 60 euros; conviene elegir uno actualizado y contrastarlo con asesoramiento jurídico cuando el caso lo requiera.
🛒
Producto recomendado
Un manual de due diligence empresarial ayuda a convertir la revisión informal en una lista de evidencias repetible. Debe complementar, no sustituir, la revisión del caso concreto.
- Ofrece ejemplos de documentos para comprobar poderes, titularidad y pagos
- Facilita formar a compras y administración con un criterio común
- Ayuda a dejar constancia de decisiones y excepciones de riesgo
Ver en Amazon →
La clasificación marca la profundidad. El siguiente paso evita que una carpeta llena de copias se confunda con una comprobación real.
En operaciones internacionales, la diligencia debida no puede limitarse a comprobar que la empresa está inscrita en España. El enfoque del GAFI parte de identificar el riesgo por país, actividad, estructura de propiedad y canal de pago; después, cada jurisdicción concreta sus propias exigencias. Si el socio opera desde otro país, conviene comprobar qué registro mercantil o equivalente acredita su existencia, cómo se identifica al titular real y si sus datos de representación mercantil y poderes de firma son verificables.
También debe revisarse si intervienen países sujetos a medidas reforzadas, pagos transfronterizos inusuales o normas de sanciones aplicables por la moneda, las partes o el lugar de ejecución del contrato.
Documentos que prueban empresa, poderes y UBO
La evidencia debe demostrar que la empresa existe hoy, que el firmante puede obligarla y que se conoce al beneficiario efectivo o titular real. Un UBO es la persona física que, en último término, posee o controla la compañía, aunque no aparezca como administrador.
Comparando las principales fuentes especializadas, la recomendación que se repite es contrastar documentos entre sí y no aceptar declaraciones aisladas. Una escritura puede ser válida, pero no reflejar un poder revocado o una cadena societaria modificada.
Checklist documental según el riesgo
- Base: NIF, denominación, domicilio, actividad, contrato y cuenta bancaria de titularidad de la sociedad.
- Representación: escritura, nota simple reciente o poder suficiente del firmante.
- Propiedad: declaración de titular real y explicación de participaciones indirectas.
- Alertas: búsquedas de sanciones, PEP, prensa adversa y conflictos de interés.
El Registro Mercantil permite contrastar información societaria. La validez del NIF y determinados datos censales públicos pueden verificarse mediante los canales habilitados por la Agencia Tributaria, sin acceder a información fiscal confidencial del tercero. Para obligaciones de prevención de blanqueo, SEPBLAC publica criterios y comunicaciones en su sitio oficial.
Sanciones, PEP y prensa adversa
El screening de sanciones busca coincidencias con listas restrictivas. Una PEP es una persona con función pública relevante, nacional o extranjera; no es una acusación, pero puede exigir conocer mejor el origen de fondos, el motivo económico y las aprobaciones internas.
La prensa adversa debe ser verificable y relevante. Una noticia sin fuente o una reseña negativa no justifican un rechazo, pero una investigación judicial, una sanción administrativa firme o acusaciones coherentes de soborno sí requieren análisis y escalado.
La ausencia de alertas no es un certificado de seguridad. La relación necesita un proceso de alta con responsables, plazos y pruebas guardadas.
Onboarding y vigilancia para que el control sirva
Un proceso de alta B2B es defendible si indica quién solicita, quién comprueba, quién aprueba y qué ocurre ante una alerta. La monitorización continua es la revisión periódica de cambios de administradores, titularidad, sanciones, actividad y reputación durante la relación.
Un caso habitual en una pyme de Madrid es el proveedor que cambia su cuenta bancaria por correo dos días antes del pago. Si finanzas confirma el cambio usando un teléfono ya validado, y no el número del email recibido, evita uno de los fraudes de suplantación más frecuentes.
Reparto simple de responsabilidades
Compras justifica la necesidad comercial y recoge datos básicos. Administración contrasta empresa y firmante; finanzas valida el pago; dirección o la persona responsable de compliance autoriza los casos de riesgo alto y las excepciones.
Guarda fecha de revisión, fuentes consultadas, documentos, resultado y aprobador. La evidencia debe permitir que otra persona entienda por qué se aceptó al tercero seis meses después, sin depender de conversaciones de correo.
Alertas que exigen escalado
Escala cuando no se identifica al titular real, existen sanciones confirmadas, aparecen indicios de corrupción o el pago no coincide con el contrato. Para sujetos obligados por la Ley 10/2010, una alerta de operación sospechosa puede activar obligaciones ante SEPBLAC que no se resuelven con una aprobación comercial interna.
Mide el proceso con datos sencillos: porcentaje de expedientes completos, tiempo medio de alta, alertas confirmadas y revisiones vencidas. Si se acumulan expedientes incompletos o revisiones vencidas, conviene analizar si el formulario inicial pide datos innecesarios, si faltan responsables claros o si las urgencias comerciales están eludiendo el proceso.
Dpto. Redacción recomienda tratar cada excepción como una decisión escrita, con responsable y fecha de caducidad. La prisa puede justificar un control provisional, nunca la desaparición del control.
Este método no sustituye asesoramiento jurídico especializado ni las obligaciones sectoriales de quienes son sujetos obligados por la normativa de prevención de blanqueo. Tampoco basta como investigación forense si ya existen indicios sólidos de delito, fraude o corrupción: en ese caso, preserva pruebas y busca apoyo legal especializado.
La automatización puede acelerar la verificación de proveedores, la verificación de clientes y los procesos de KYB empresas, pero no sustituye el juicio interno. Una herramienta útil consulta fuentes registrales disponibles, listas de sanciones, personas expuestas políticamente y prensa adversa, compara cambios de administradores o titular real y conserva la fecha, la fuente y el resultado de cada búsqueda. Antes de contratar a un proveedor tecnológico, conviene comprobar la cobertura geográfica de sus datos, la frecuencia de actualización, el tratamiento de falsos positivos, los permisos de acceso y la trazabilidad de las decisiones.
El control de pagos debe seguir siendo independiente: una alerta o un cambio de cuenta requiere validación por un canal previamente confirmado.
Preguntas y respuestas
¿Qué es KYC y para qué sirve?
KYC verifica la identidad de una persona para reducir suplantaciones, fraude y riesgos de blanqueo. En una relación B2B debe unirse a KYB, que confirma la empresa, y a una evaluación de la operación.
¿Cuál es la diferencia entre KYC y KYB?
KYC comprueba personas y KYB comprueba empresas, sus representantes y su situación legal. Si firma un apoderado, necesitas ambos controles antes de aprobar el contrato.
¿Mi pyme está obligada a hacer KYC?
No toda pyme está obligada por la Ley 10/2010, pero toda pyme debe gestionar el riesgo de contratar. Bancos, entidades financieras y otros sujetos obligados tienen deberes formales más exigentes.
¿Qué documentos debo pedir a un proveedor nuevo?
Pide NIF, datos registrales, identidad y poderes del firmante, cuenta bancaria y titular real cuando el riesgo lo justifique. Para un riesgo medio o alto, añade cuestionario y búsquedas de sanciones.
¿Cuándo debo revisar otra vez a un socio comercial?
Revisa cada 24 meses el riesgo bajo, cada 12 meses el medio y entre 3 y 6 meses el alto. Revisa antes si cambian administradores, cuenta de pago, propiedad o país de operación.
¿Una PEP impide contratar con una empresa?
Una PEP no impide contratar por sí sola, pero obliga a entender mejor la relación y aprobarla con más control. La decisión debe valorar su cargo, el país, el pago y la justificación económica.
¿Qué hago si aparece una coincidencia en una lista de sanciones?
No pagues ni actives la relación hasta confirmar si la coincidencia es real. Compara identificadores, documenta la revisión y escala el caso a dirección, compliance o asesoramiento jurídico.
¿Cuánto tarda una verificación de proveedor?
Una revisión básica suele tardar entre 3 y 7 días laborables con datos completos. Un expediente de riesgo alto puede requerir más tiempo si hay socios extranjeros, titularidad indirecta o alertas.
Tu próximo paso: crea un expediente mínimo
Empieza con una ficha única para cada tercero: datos legales, firmante, titular real, puntuación de riesgo, documentos, búsquedas y decisión. No hace falta crear un departamento entero para dejar de aprobar proveedores por intuición.
Define un umbral de importe y de riesgo que obligue a revisar poderes, titularidad y sanciones antes de contratar. Después, asigna una revisión periódica y una persona que pueda bloquear pagos cuando los datos no encajen.
Lo esencial:- KYC identifica a las personas, KYB verifica a la empresa y la diligencia debida valora el riesgo de la relación.
- Un CIF o una escritura antigua no prueban poderes vigentes, titularidad real ni seguridad del pago.
- La profundidad de la revisión debe crecer con las comisiones, la opacidad, el país y las alertas.
- La aprobación debe quedar documentada y revisarse cuando cambie la empresa o su comportamiento.
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
