Validar el NIF y revisar una ficha del Registro Mercantil no basta para saber con quién vas a contratar. El KYC y compliance: cómo verificar clientes, proveedores y socios comerciales permite identificar a la contraparte, conocer quién controla una empresa y valorar riesgos antes de operar.
Resumen del proceso
Reúne un expediente único y decide con pruebas. Usa este orden para clientes, proveedores, distribuidores y socios, ajustando la profundidad al riesgo.
- Define la relación y el riesgo: anota qué comprará, venderá, cobrará o controlará ese tercero.
- Identifica a la persona o empresa: recoge los datos mínimos y contrástalos con una fuente fiable.
- Separa empresa, firmante y titular real: verifica que existen, que puede firmar y que sabes quién manda.
- Haz el screening: busca sanciones, personas con responsabilidad pública y señales adversas.
- Aprueba, condiciona o rechaza: deja escrita la decisión, el responsable y la fecha de revisión.
- Vigila cambios: actualiza el expediente si varía la propiedad, el pago o el país implicado.
Una comprobación útil responde siempre a tres preguntas distintas: ¿la empresa existe?, ¿esta persona puede obligarla? y ¿quién la controla en último término?. Confundirlas deja huecos aunque el NIF sea correcto.
Paso 1: define el riesgo y abre expediente
Clasifica la relación y obtén los datos necesarios antes de contratar, pagar o dar acceso a sistemas.
Distingue cada tipo de verificación
KYC significa Know Your Customer y sirve para identificar a un cliente; KYB revisa una empresa, KYS a un proveedor y KYE a empleados, representantes o intermediarios.
Crea una ficha de alta sencilla
Abre una ficha con ocho campos y asigna un nivel de riesgo. Incluye nombre o razón social, NIF o documento identificativo, domicilio, actividad, persona firmante, titular real declarado, países implicados y motivo de la relación.
Flujo de control para terceros
1. Identifica
Datos básicos
2. Verifica
Empresa y firma
3. Evalúa
UBO y alertas
4. Decide
Aprueba y revisa
Riesgo bajo: control básico. Riesgo medio: contraste adicional. Riesgo alto: revisión reforzada y aprobación de dirección.
El KYC combina identificación, verificación y evaluación de riesgo para saber con quién se contrata, se cobra o se paga. No obstante, no todas las empresas tienen las mismas obligaciones legales: las entidades sujetas a la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo deben aplicar medidas de diligencia debida conforme a su régimen sectorial, mientras que otras organizaciones pueden usar este marco como control interno de cumplimiento normativo, fraude, crédito, reputación y contratación.
Por ejemplo, una empresa industrial no obligada puede verificar a un distribuidor extranjero antes de concederle exclusividad; una entidad obligada deberá, además, cumplir los requisitos legales de identificación formal, conservación y examen de operaciones que le resulten aplicables.
Paso 2: verifica empresa, poderes y titular real
Comprueba por separado la existencia de la empresa, las facultades del firmante y el control económico final.
Confirma existencia y actividad
Pide la razón social, NIF, domicilio y actividad económica declarada. Contrasta la denominación, el domicilio y la situación censal cuando corresponda con la Agencia Tributaria, y consulta datos registrales en el Registro Mercantil o el Registro Mercantil Central.
Verifica a quien firma
Exige prueba de que la persona firmante puede aceptar ese contrato concreto. Pide identificación, cargo y poder vigente o documento equivalente; si la escritura exige dos administradores mancomunados, una firma sola no basta.
Identifica al titular real
Solicita una declaración de titularidad real y dibuja la cadena de control. El titular real, también llamado UBO, suele ser la persona física que posee o controla más del 25 % de una sociedad, sus derechos de voto o el control por otros medios.
| Comprobación | Riesgo bajo | Riesgo medio | Riesgo alto |
|---|
| Empresa | NIF y datos públicos | Nota simple o escritura | Estructura y actividad contrastada |
| Firmante | Cargo declarado | Poder o nombramiento | Poder vigente y doble firma si aplica |
| Titular real | Declaración | Cadena societaria | Contraste externo y dirección |
| Aprobación | Responsable de área | Finanzas o compliance | Dirección y condiciones |
Para una sociedad, el expediente de verificación de terceros debe permitir reconstruir tanto su existencia como su cadena de control. Como base, reúne la razón social, NIF, domicilio y actividad económica; una nota simple o información del Registro Mercantil; escritura de constitución y, cuando proceda, estatutos o modificaciones relevantes; identificación y poderes de representación de quien firma; declaración de titular real o beneficiario efectivo; y un organigrama cuando haya sociedades interpuestas. Si una empresa afirma pertenecer a un grupo extranjero, no basta con la marca comercial: conviene identificar las sociedades de la cadena hasta llegar a las personas físicas que ejercen el control.
La documentación exigida debe aumentar cuando existan estructuras complejas, pagos transfronterizos o acceso a fondos, datos o activos críticos.
Paso 3: criba alertas y vigila cambios
Busca alertas antes del alta y revisa el expediente cuando cambien las circunstancias relevantes.
Haz una búsqueda trazable
Busca el nombre completo, variantes y país de cada persona relevante. Revisa listas de sanciones de la Unión Europea y, si operas con Estados Unidos o dólares, las listas de la OFAC; guarda evidencia con fecha, términos y resultado.
Establece una decisión y una revisión
Registra una de tres salidas: aprobar, aprobar con condiciones o rechazar. Reabre el expediente si cambia el administrador, la cuenta de cobro, el titular real, el país de operación o el patrón de pagos.
El screening de sanciones no debe limitarse a una búsqueda literal del nombre de la empresa. Revisa también al firmante, administradores y beneficiarios efectivos con variantes de nombre, país, fecha de nacimiento o identificadores disponibles; contrasta listas de sanciones aplicables, personas con responsabilidad pública o PEP, alertas adversas fiables y vínculos con países de mayor riesgo. Una coincidencia no confirma por sí sola un incumplimiento: puede ser un homónimo. Documenta los datos comparados, la fuente, la fecha y el resultado de la revisión, y escala los casos no resueltos antes de contratar o pagar.
Durante la relación, repite los controles con una periodicidad basada en el riesgo y ante eventos como cambios de propiedad, nuevas jurisdicciones, modificaciones de la cuenta bancaria o noticias negativas relevantes.
Errores que arruinan el resultado
Evita controles uniformes y documenta siempre el motivo de la decisión.
Evita controles idénticos para todos
No pidas siempre la misma carpeta documental. Pedir documentos excesivos a un cliente de bajo riesgo puede vulnerar la minimización del RGPD, mientras que pedir solo un NIF a un socio con acceso a fondos puede ser insuficiente.
No archives sin una decisión
Guarda el razonamiento junto a la evidencia. Anota fecha, persona que revisó, fuentes consultadas, alertas encontradas y decisión.
Este método no sustituye asesoramiento jurídico ni de prevención del blanqueo si tu actividad está sujeta a la Ley 10/2010, surge una alerta de sanciones, hay estructuras complejas o intervienen jurisdicciones de alto riesgo. En esos casos, detén el alta y eleva el expediente a un especialista antes de operar.
Preguntas y respuestas
Estas respuestas sirven para un control interno ordinario y no sustituyen obligaciones sectoriales específicas.
¿Qué es la verificación KYC?
La verificación KYC confirma la identidad de un cliente mediante datos y fuentes fiables. En una persona jurídica se complementa con KYB para comprobar empresa, firmante y titular real.
¿Un NIF válido demuestra quién es el dueño?
No, un NIF válido identifica fiscalmente a una entidad, pero no acredita quién la controla. Debes revisar el titular real con participación superior al 25 %, votos u otros medios de control.
¿Qué documentos pido a un proveedor español?
Pide como mínimo razón social, NIF, datos del firmante y titularidad de la cuenta de cobro. Para riesgo medio o alto añade poder, nota registral, declaración de titular real y organigrama societario.
¿Qué hago si sale una persona en una lista de sanciones?
Detén la aprobación hasta confirmar si la coincidencia es real. Compara al menos nombre, país, fecha de nacimiento o identificador antes de rechazar o escalar el caso.
¿Cada cuánto debo revisar un proveedor?
Revisa un proveedor de riesgo bajo cada 24 a 36 meses y uno de riesgo alto cada 6 a 12 meses. Revisa antes ante un cambio de IBAN, propiedad, administrador o país.
¿Qué significa PRP o PEP?
Una PRP o PEP es una persona con responsabilidad pública relevante, no una persona automáticamente prohibida. Su presencia exige valorar el riesgo y, en muchos casos, pedir aprobación reforzada.
¿Puedo guardar copias de DNI sin límite?
No, solo debes guardar los datos necesarios y durante el plazo justificado por la finalidad. Limita accesos, registra quién consulta el expediente y elimina documentación cuando ya no proceda conservarla.
¿Sirve este proceso para una alianza comercial?
Sí, sirve para una alianza si añades el análisis de acceso a fondos, datos y decisiones. Cuanto mayor sea el control compartido, más detallada debe ser la revisión de poderes y beneficiarios efectivos.
Lo esencial:- Un NIF y una inscripción registral no sustituyen la comprobación del firmante y del titular real.
- El mismo proceso sirve para clientes, proveedores y socios si ajustas las pruebas al riesgo.
- Las alertas de sanciones, PRP y cambios societarios exigen revisar durante toda la relación.
- La evidencia útil incluye documentos, fuentes, fecha y el motivo de la decisión.
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
