Agente Cumplimiento Contractual

El compliance contractual en España es un sistema regulatorio complejo que combina seis áreas principales: la LCSP 9/2017 para la contratación del sector público, la Ley 10/2010 de PBC/FT para la prevención del blanqueo de capitales con la verificación del titular real en el Registro Mercantil, la Ley 15/2007 con sanciones de la CNMC de hasta el 10% de la facturación, el RGPD art. 28 y 35 para las cláusulas de encargo de tratamiento con EIPD, la Ley 2/2023 sobre canales de denuncia (transposición de la Directiva UE 2019/1937) y el cruce con Verifactu, obligatorio por fases entre 2025 y 2026 para el B2B. Cada contrato de un grupo español debe pasar el screening determinista por estas seis áreas y dejar documentado el audit trail para la AEAT, la CNMC, la AEPD y el Substantive Testing de las Big-4.

CNMC, LO 5/2010, AEPD y SEPBLAC: cuatro frentes sancionadores que exigen Cert-Ready by Design

La CNMC es uno de los reguladores de competencia más activos de Europa. Las sanciones por infracciones del art. 1 (acuerdos restrictivos), el art. 2 (abuso de posición dominante) y el art. 8 (concentraciones no notificadas) pueden alcanzar el 10% de la facturación del año económico anterior. El registro de cláusulas abusivas de la CNMC contiene más de 5.000 cláusulas modelo no permitidas; el screening automático de cláusulas en los nuevos contratos modelo B2C es estándar para las empresas medianas y grandes. La auditoría fiscal de la AEAT de 2024 identificó la documentación de compliance de los contratos como uno de sus tres hallazgos principales, con irregularidades típicas: falta de documentación de la verificación del titular real, falta de EIPD en los contratos con tratamiento de datos personales y falta de cruce de los contratos con las facturas Verifactu.

La LO 5/2010 establece la responsabilidad penal de las personas jurídicas: los administradores responden penalmente por los delitos cometidos por los empleados, y un programa de compliance conforme a la ISO 19601 (UNE 19601) puede atenuar o excluir esa responsabilidad (art. 31 bis CP). El RGPD art. 83 impone sanciones de hasta el 4% de la facturación o 20 millones EUR por incumplir las cláusulas de encargo del art. 28 o por falta de EIPD del art. 35. La Ley 2/2023 sobre canales de denuncia sanciona con hasta 1 millón EUR las represalias contra el denunciante, además de la responsabilidad penal del art. 162 CP. La Ley 10/2010 de PBC/FT conlleva una sanción del SEPBLAC de hasta 10 millones EUR por no identificar al titular real. Estos cuatro frentes implican que una empresa española mediana (200-500 empleados, 50-200 millones EUR de facturación) tiene una exposición sancionadora potencial de 50-100 millones EUR anuales sin Cert-Ready by Design.

14 puntos decisivos deterministas con tres escalados humanos

El Agente procesa los contratos en un pipeline de 14 puntos decisivos estructurales: once clasificaciones reguladas, una extracción del tipo de contrato asistida por LLM y tres escalados humanos (el screening anti-cártel, el riesgo de los administradores por la LSC y la aceptación del riesgo por el Compliance Officer). La clasificación del tipo de contrato la hace el LLM extrayendo del texto la parte contratante, el valor, el sector y las relaciones de propiedad, y categorizándolo como LCSP, relevante para prevención del blanqueo, partes vinculadas o B2B estándar. Las 11 clasificaciones restantes siguen la Ley 10/2010 art. 41-42 (sanciones de la UE y la OFAC), la Ley 10/2010 art. 4 (titular real en el Registro Mercantil), el RGPD art. 28 y 35, la LCSP art. 1-7, 116-119 y 145-146, la Ley 3/2004 (plazos de pago), el cruce con Verifactu y la LSC art. 160.

Un ejemplo concreto: una empresa española mediana (350 empleados, 80 millones EUR de facturación) firma un contrato con un proveedor de servicios IT por 1,2 millones EUR anuales. El Agente lo clasifica como B2B estándar, relevante para prevención del blanqueo (por encima de 15.000 EUR) y sin partes vinculadas. El screening del titular real en el Registro Mercantil es correcto, el NIF del proveedor está activo y no aparece en listas de sanciones. Las cláusulas de encargo del RGPD art. 28 están verificadas y la EIPD ejecutada. El cruce con Verifactu queda configurado en frecuencia mensual. El registro de cláusulas abusivas de la CNMC está limpio. El plazo de pago es de 30 días (cumple la Ley 3/2004 para PYME). El audit trail para la AEAT y las Big-4 se genera automáticamente. Como el valor de 1,2 millones EUR queda por debajo del 25% del capital social, no requiere Junta General. En el anti-cártel no hay cláusulas restrictivas, así que lo acepta el Compliance Officer.

El cruce de los contratos con Verifactu, obligatorio por fases entre 2025 y 2026

Verifactu (RD 1007/2023) entró en vigor el 1 de julio de 2025 para las grandes empresas y se extiende por fases a todas las empresas hasta el 1 de enero de 2026. Las facturas emitidas a partir de un contrato deben tener su número Verifactu, el esquema certificado por la AEAT y la referencia cruzada al contrato. El Agente valida cada mes que cada contrato genere las facturas Verifactu que le correspondan según el calendario de pagos, que los importes coincidan con el contrato (con una tolerancia del 5%), que los NIF del proveedor y del destinatario coincidan con la base de titulares reales del Registro Mercantil, y la clasificación de IVA según el art. 84.uno.2 de la LIVA (inversión del sujeto pasivo). Las discrepancias activan automáticamente una alerta de Compliance y el audit trail para la AEAT. Este cruce protege frente a las sanciones de la LGT art. 191-203 (50-150% del importe omitido) por no incluir facturas y documenta un audit trail completo para los inspectores de la AEAT.

Integración con el ecosistema español: Sage, A3, Holded, SAP Ariba, NAVEX y las API de la AEAT y la CNMC

El Agente se integra vía API con los sistemas CLM españoles: Sage 200 y Sage Despachos Connected (líder en PYME, con módulo de compliance de contratos), Sage X3 España (mediana empresa), A3 Software (a3con, a3asesor y a3ERP, para despachos profesionales), Holded (cloud para autónomos y PYME), Cegid Quadra Spain, SAP S/4HANA Spain Compliance con SAP Ariba (multinacionales IBEX-35), Microsoft Dynamics 365 Business Central Spain Compliance y Oracle Fusion Cloud ERP Spain. Plataformas de canal de denuncias: NAVEX Global (líder), Telpark (España), Sygnanet y Aequo Compliance. Se integra con las bases: la API del Registro Mercantil de titularidad real (DGSJyFP), la API del SEPBLAC (sanciones), el registro de cláusulas abusivas de la CNMC, la API de Verifactu con certificado FNMT-RCM, el VIES de la UE (operaciones intracomunitarias) y las sanciones de la UE (CFSP) y la OFAC. El Substantive Testing de las Big-4 se apoya en la exportación directa a Deloitte ASM, PwC Halo, EY Helix y KPMG Clara con los metadatos del audit trail conforme a las NIA-ES y el PCAOB AS 1215.