Know Your Supplier (KYS) es el conjunto de comprobaciones que una empresa hace antes de dar de alta a un proveedor y de pagarle por primera vez: que existe de verdad, quién está detrás, si es solvente, si figura en listas de sanciones de la UE, la ONU u OFAC y si está al corriente con Hacienda y la Seguridad Social. Su objetivo es sencillo: asegurarse de que el proveedor es quien dice ser y de que el dinero llega a la cuenta correcta.

La mayoría de los departamentos de compras tiene bien resuelto qué pedir a un proveedor para trabajar con él: certificados, seguros, documentación técnica. Lo que suele estar menos resuelto es algo anterior y más básico: comprobar que esa empresa existe, que la persona que nos escribe la representa y que el IBAN que nos facilita es suyo. Es justo en ese hueco donde operan el fraude del proveedor suplantado, el falso cambio de cuenta bancaria y las sociedades pantalla. En esta guía verás qué verificar antes del alta, dónde consultarlo en España y en el ámbito internacional, con qué frecuencia repetir cada control, qué señales deben ponerte en alerta y un protocolo paso a paso para gestionar cualquier solicitud de cambio de IBAN sin exponerte.

Qué es Know Your Supplier y en qué se diferencia de la homologación

El término viene del Know Your Customer (KYC) bancario. Know Your Supplier traslada esa lógica a compras: antes de que un proveedor entre en el maestro y reciba una transferencia, alguien ha verificado su identidad con fuentes independientes, no solo con lo que el proveedor declara.

No es lo mismo que la homologación. La homologación evalúa si un proveedor es apto para suministrar: capacidad técnica, calidad, certificaciones, ESG. El KYS responde a una pregunta previa: ¿es real, es quien dice ser y es legalmente posible pagarle? Un proveedor con documentación técnica impecable puede ser una empresa suplantada, y uno legítimo puede ver su correo comprometido y convertirse en el canal por el que se desvía un pago.

Si quieres profundizar en el proceso completo de incorporación, en el blog tenemos una guía sobre cómo hacer bien el onboarding digital de proveedores. Aquí nos centramos en la capa de verificación de identidad y pagos.

Por qué la verificación previa importa más de lo que parece

Estos fraudes no necesitan romper ningún sistema: les basta con que alguien de administración o compras crea un correo. El FBI, a través de su Internet Crime Complaint Center, recoge en su informe anual de 2025 24.768 denuncias por Business Email Compromise (BEC), con pérdidas declaradas de unos 3.050 millones de dólares solo ese año. Son datos de Estados Unidos, pero el mecanismo es idéntico en España: en su blog para empresas, INCIBE describe el fraude del CEO y la variante en la que los atacantes, desde una cuenta comprometida, envían facturas con datos bancarios alterados.

Además del fraude directo, hay otros tres riesgos que el KYS ayuda a contener:

• Riesgo sancionador: pagar a una entidad incluida en listas de sanciones, o controlada por una persona sancionada, puede suponer un incumplimiento aunque se haga sin saberlo.
• Riesgo de responsabilidad solidaria o subsidiaria: en determinadas contratas y subcontratas, las deudas tributarias o con la Seguridad Social del proveedor pueden acabar reclamándose a la empresa contratante.
• Riesgo operativo y reputacional: una sociedad pantalla o insolvente no entrega, y un proveedor con propietarios opacos puede vincular tu marca a prácticas que no quieres asumir. Lo tratamos con más detalle en el artículo sobre gestión del riesgo reputacional de proveedores.

Checklist KYS: qué comprobar antes de dar de alta a un proveedor

La regla de oro es contrastar cada dato con una fuente independiente del proveedor. Un PDF que envía el propio proveedor es un punto de partida, no una verificación.

1. Identidad fiscal: NIF, razón social y domicilio

Lo primero es confirmar que el NIF existe y corresponde a la razón social declarada. En España, la Agencia Tributaria permite la comprobación de un NIF de terceros a efectos censales desde su sede electrónica, con certificado electrónico, DNIe o Cl@ve. Para proveedores de otros Estados miembros de la UE, el sistema VIES de la Comisión Europea indica si un número de IVA intracomunitario es válido.

Una razón social que no coincide exactamente o un domicilio que no casa con la actividad no prueban un fraude, pero sí justifican preguntar más.

2. Existencia real y datos registrales

Si el proveedor es una sociedad, el Registro Mercantil es la fuente de referencia. A través del portal del Colegio de Registradores se puede solicitar una nota simple informativa con la fecha de constitución, el domicilio social, el objeto social, el capital y los administradores y apoderados vigentes. El BORME permite además revisar actos publicados, como cambios de administradores, de domicilio o situaciones concursales.

Qué mirar en la nota simple:

• Que la persona que firma la documentación o el contrato figura como administrador o apoderado con facultades suficientes.
• Que el objeto social es coherente con lo que se va a comprar.
• La antigüedad de la sociedad y los cambios recientes. Una sociedad constituida hace pocas semanas, o con un cambio reciente de administrador y domicilio, no es sospechosa por sí sola, pero merece una revisión más profunda.
• El depósito de cuentas anuales: no haber depositado cuentas durante varios ejercicios es una señal de alerta sobre la actividad real de la empresa.

3. Titularidad real

El titular real es la persona física que, en última instancia, posee o controla la sociedad. La normativa española de prevención del blanqueo de capitales (Ley 10/2010) lo vincula, con carácter general, a quien posea o controle más del 25 % del capital o de los derechos de voto, o ejerza el control por otros medios. Conocerlo importa porque las sanciones internacionales suelen alcanzar también a las entidades controladas por personas sancionadas, y porque una estructura societaria opaca sin motivo aparente es en sí misma un indicador de riesgo.

La vía más directa es pedir al proveedor una declaración de titularidad real firmada por su representante. Como contraste, el Ministerio de Justicia gestiona el Registro Central de Titularidades Reales (RCTIR), operativo desde septiembre de 2023. Ten en cuenta que el acceso no es abierto: además de autoridades y sujetos obligados por la Ley 10/2010, pueden consultarlo las personas u organizaciones que acrediten un interés legítimo, lo que requiere una solicitud justificada. Los libros de socios, la información registral de las sociedades participantes y los informes comerciales ayudan a completar el mapa.

4. Solvencia y salud financiera

Un proveedor insolvente no es un fraude, pero sus consecuencias se parecen: anticipos perdidos y entregas que no llegan. Revisa como mínimo:

• Las cuentas anuales depositadas en el Registro Mercantil: fondos propios, endeudamiento, evolución de la cifra de negocio y resultado.
• La existencia de procedimientos concursales publicados en el BORME o en el Registro Público Concursal.
• Un informe comercial de una agencia de información empresarial, que suele incluir incidencias de pago y una puntuación de riesgo.

5. Listas de sanciones: UE, ONU y OFAC

Antes del alta, el nombre de la empresa, de sus administradores y de sus titulares reales debe cruzarse con las listas de sanciones aplicables. Las tres referencias básicas para una empresa española son:

• Unión Europea: el EU Sanctions Map reúne los regímenes de medidas restrictivas vigentes. Es una herramienta orientativa: lo jurídicamente vinculante son los reglamentos publicados en el Diario Oficial de la UE, y para cribar nombres conviene usar la lista consolidada de sanciones financieras de la UE.
• Naciones Unidas: la lista consolidada del Consejo de Seguridad.
• Estados Unidos (OFAC): la herramienta Sanctions List Search del Departamento del Tesoro. Aunque no seas una empresa estadounidense, es relevante si operas en dólares, tienes filiales o clientes en EE. UU. o hay personas o empresas estadounidenses implicadas en la operación.

Dos matices: las búsquedas deben ser aproximadas (transliteraciones, variantes, alias) y cada coincidencia debe revisarse para descartar homónimos; y como las listas cambian a menudo, hay que repetir el cribado periódicamente sobre toda la base activa.

6. Situación con Hacienda y la Seguridad Social

Estar al corriente indica actividad real y ordenada y, en algunos casos, protege jurídicamente a la empresa contratante.

• Agencia Tributaria: el certificado de estar al corriente de obligaciones tributarias para contratistas y subcontratistas se expide a los efectos del artículo 43.1.f) de la Ley General Tributaria, que regula la responsabilidad subsidiaria en determinadas contratas y subcontratas de la propia actividad.
• Tesorería General de la Seguridad Social: el certificado de estar al corriente en las obligaciones de la Seguridad Social se obtiene a través de Import@ss y la sede electrónica de la Seguridad Social.

Verifica siempre el código seguro de verificación (CSV) del certificado en la sede del organismo emisor: un PDF alterado es fácil de fabricar, un CSV válido no. El alcance exacto de la responsabilidad en contratas y subcontratas depende de cada caso, por lo que conviene validarlo con tu asesoría jurídica o fiscal. Qué ocurre cuando estos certificados vencen y nadie los renueva lo explicamos en el artículo sobre la homologación que caduca en silencio.

7. Cuenta bancaria: el dato que más se ataca

El IBAN es el dato más sensible del maestro de proveedores, porque es el único que convierte un engaño en dinero. Antes de registrar la primera cuenta:

• Pide un certificado de titularidad bancaria emitido por la entidad, no una captura de pantalla ni un IBAN escrito en el cuerpo de un correo.
• Comprueba que el titular de la cuenta coincide con la razón social y el NIF del proveedor.
• Desconfía de cuentas en un país distinto al del domicilio social sin una explicación razonable.
• Confirma el dato por un canal independiente: una llamada a un teléfono que ya tenías o que has obtenido de una fuente pública, nunca al que figura en el mismo correo.

Desde el 9 de octubre de 2025, los bancos de la zona euro ofrecen de forma gratuita la verificación del beneficiario en las transferencias en euros, en aplicación del Reglamento (UE) 2024/886. Según explica el Portal del Cliente Bancario del Banco de España, el banco del beneficiario responde si el nombre y el IBAN coinciden, casi coinciden, no coinciden o no se pueden verificar, y el servicio también se aplica a las remesas de transferencias. Para empresas es un servicio al que se puede renunciar, así que merece la pena confirmar con tesorería que está activo. Y un detalle importante: si se ordena la transferencia pese a un resultado de no coincidencia, el banco no responde de que el dinero llegue a un beneficiario no deseado.

Tabla de verificación: qué comprobar, dónde y cada cuánto

Las frecuencias son orientativas: ajústalas al nivel de riesgo del proveedor y a tu política interna.

Cómo adaptar el nivel de verificación al riesgo

Aplicar todo el checklist con la misma intensidad a cada proveedor es caro y acaba haciendo que nadie lo aplique. Pongamos una empresa industrial con dos mil proveedores activos: podría clasificarlos en tres niveles.

• Riesgo bajo: compras de bajo importe, proveedores nacionales, sin anticipos. Verificación de NIF, registro, sanciones y cuenta bancaria.
• Riesgo medio: importes relevantes o servicios recurrentes. Lo anterior más certificados de AEAT y TGSS, solvencia básica y declaración de titularidad real.
• Riesgo alto: proveedores críticos o únicos, anticipos importantes, países con regímenes de sanciones o estructuras societarias complejas. Verificación completa, análisis de titularidad real a varios niveles, revisión reforzada y seguimiento continuo.

Sea cual sea el criterio (importe, criticidad, país, anticipos), lo importante es que la política esté escrita, se aplique igual a todos y deje rastro.

Señales de alerta durante el alta

Ninguna demuestra un fraude por sí sola, pero cualquiera justifica frenar el alta y comprobar más:

• El proveedor presiona para acelerar el alta o el primer pago y evita los pasos habituales.
• El dominio del correo no coincide con el de la web corporativa, es un servicio de correo gratuito o tiene una ligera variación (una letra cambiada, un guion añadido).
• La cuenta bancaria está a nombre de un tercero o en un país sin relación con la actividad o el domicilio.
• El domicilio social es un centro de domiciliación y no hay rastro de instalaciones, plantilla ni actividad.
• No aparecen cuentas anuales depositadas en varios ejercicios.
• El proveedor se niega a facilitar la titularidad real o la estructura societaria es innecesariamente compleja, con sociedades en varias jurisdicciones.
• Los certificados no tienen CSV verificable o presentan diferencias de formato con los originales.
• Alguien interno pide saltarse el procedimiento «porque es urgente» o «porque lo ha pedido dirección».

Fraude del cambio de cuenta bancaria: cómo funciona

Es una de las variantes más habituales del fraude en pagos a proveedores y adopta varias formas:

Proveedor suplantado

Alguien se hace pasar por un proveedor real con el que ya trabajas, normalmente desde un dominio parecido al suyo, y comunica que «por cambio de entidad bancaria» o «por auditoría» los próximos pagos deben hacerse a una nueva cuenta. A veces adjunta un certificado bancario falsificado y una carta con membrete.

Correo comprometido (BEC)

Aquí el correo es auténtico: los atacantes han accedido al buzón del proveedor, o al de alguien de tu organización, y conocen importes, plazos y tono. Intervienen en un hilo real justo antes de un pago. Por eso comprobar el remitente no basta.

Fraude del CEO

El atacante suplanta a un directivo de tu propia empresa y ordena a administración o tesorería un pago urgente y confidencial a un supuesto proveedor, o que se actualicen «ya» los datos bancarios de uno existente. La urgencia y la confidencialidad son precisamente las palancas que busca activar.

En los tres casos el punto débil es un dato bancario que se cambia porque alguien lo pide por correo. La defensa no depende de detectar el engaño a simple vista, sino de un procedimiento que no se pueda saltar.

Protocolo ante una solicitud de cambio de IBAN

Debe estar por escrito, ser conocido por compras, administración y tesorería, y aplicarse a cualquier solicitud, venga de quien venga.

• Paso 1. No cambiar nada desde el correo. Ninguna solicitud recibida por correo, teléfono o mensajería se ejecuta directamente: se registra como incidencia.
• Paso 2. Bloqueo preventivo. Los pagos programados a ese proveedor quedan retenidos hasta completar la verificación.
• Paso 3. Verificación por canal independiente. Se contacta con el proveedor por un teléfono o interlocutor que ya constaba antes de la solicitud, nunca con los datos incluidos en el mensaje.
• Paso 4. Documentación del nuevo IBAN. Se exige un certificado de titularidad emitido por el banco, a nombre de la razón social y el NIF del proveedor.
• Paso 5. Verificación del beneficiario. Se comprueba el nuevo IBAN con el servicio de verificación del beneficiario del banco antes del primer pago. Un resultado de no coincidencia detiene el proceso.
• Paso 6. Segregación de funciones. Quien recibe la solicitud no es quien modifica el dato, y una tercera persona lo aprueba. Queda registro de cada paso.
• Paso 7. Notificación al contacto anterior. Se informa del cambio al interlocutor habitual por el canal conocido: si no era legítimo, suele ser la forma más rápida de descubrirlo.
• Paso 8. Vigilancia del primer pago. El primer pago a la nueva cuenta se revisa de forma reforzada y, si el importe es alto, se confirma su recepción con el proveedor.

Si se detecta un intento de fraude, o si ya se ha realizado un pago, hay que actuar rápido: avisar inmediatamente al banco para intentar retener o recuperar los fondos, conservar los correos y cabeceras como evidencia, denunciar ante las fuerzas y cuerpos de seguridad y avisar al proveedor legítimo, que probablemente tiene un buzón comprometido. La Línea de Ayuda en Ciberseguridad de INCIBE, el 017, orienta gratuitamente a empresas en estas situaciones.

El KYS no termina en el alta

Un proveedor verificado hoy puede cambiar mañana: nuevos propietarios, otro administrador, una sanción o un deterioro financiero. Por eso el KYS tiene dos momentos: la verificación inicial y el seguimiento continuo. Este último incluye el cribado periódico contra listas de sanciones, la revisión de cambios registrales en proveedores críticos y la depuración de proveedores inactivos. En el artículo sobre el mantenimiento proactivo de la base de datos de proveedores encontrarás cómo organizar esa revisión.

El KYS tampoco sustituye a los controles sobre las facturas. Son capas complementarias: la verificación previa evita que un proveedor falso o una cuenta fraudulenta entren en el sistema, y el análisis de facturas detecta anomalías una vez dentro. Sobre esta segunda capa tienes más detalle en el artículo dedicado al machine learning para detectar fraudes en la facturación de proveedores.

Preguntas frecuentes

¿Qué diferencia hay entre Know Your Supplier y la homologación de proveedores?

El KYS verifica que el proveedor existe, es quien dice ser, no está sancionado y cobra en una cuenta que es suya. La homologación evalúa si es apto para suministrar: calidad, capacidad técnica, certificaciones, criterios ESG. El KYS es un requisito previo: no tiene sentido homologar a una empresa cuya identidad no se ha confirmado.

¿Es obligatorio comprobar las listas de sanciones antes de pagar a un proveedor?

Las empresas establecidas en la UE deben cumplir las medidas restrictivas de la Unión, que prohíben poner fondos a disposición de las personas y entidades designadas. La forma de acreditar la diligencia es cribar a los proveedores, sus administradores y sus titulares reales. Las listas de OFAC son relevantes sobre todo si operas en dólares o tienes vínculos con Estados Unidos. Conviene validar el alcance concreto con asesoría jurídica.

¿Puede una empresa consultar el Registro Central de Titularidades Reales?

Solo en determinados supuestos. Además de las autoridades y los sujetos obligados por la normativa de prevención del blanqueo, el acceso está abierto a quienes acrediten un interés legítimo ante el Ministerio de Justicia. En la práctica, lo más habitual es pedir al proveedor una declaración de titularidad real firmada y contrastarla con la información registral disponible.

¿Qué hago si un proveedor me pide cambiar su número de cuenta por correo?

No cambiar nada desde ese correo. Retener los pagos pendientes, llamar al proveedor a un teléfono que ya tuvieras, pedir un certificado bancario de titularidad, comprobar el IBAN con el servicio de verificación del beneficiario y que el cambio lo apruebe una persona distinta de quien lo recibió.

Cómo llevar el KYS a la práctica sin multiplicar el trabajo manual

Con hojas de cálculo y correos, el KYS es lento y frágil: los certificados se pierden, nadie sabe qué se comprobó ni cuándo y el cambio de IBAN depende de la memoria de quien lo recibe. La diferencia está en integrarlo en el propio proceso de alta.

En la práctica, eso significa un portal único donde el proveedor se registra y aporta su documentación, un flujo de alta en el que la ficha no se activa hasta completar las verificaciones que exige su nivel de riesgo, permisos y aprobaciones específicos para los datos bancarios, alertas de caducidad de certificados y un registro de auditoría que deje constancia de cada comprobación y cada cambio. Es el enfoque de la gestión del proveedor y calidad de itbid, que centraliza el registro, la documentación, la homologación y el seguimiento del riesgo de proveedores en un mismo entorno, de modo que el equipo de compras dedica su tiempo a revisar las excepciones y no a perseguir documentos.

Este artículo tiene carácter informativo y no constituye asesoramiento legal. Valida con tu asesoría jurídica y fiscal el alcance de las obligaciones aplicables a tu empresa.

Última actualización: septiembre de 2026.