Agente de Detección de Fraude

El fraude empresarial en España se encuadra en un marco regulatorio de cinco áreas convergentes: el Código Penal, que tipifica la estafa (art. 248-251), la apropiación indebida (252), la insolvencia punible (253), la falsedad documental societaria (290) y los delitos fiscal y contra la Seguridad Social (305-308); la LO 5/2010, con la responsabilidad penal de la persona jurídica de hasta 9 millones de euros de multa; la Ley 10/2010 de prevención del blanqueo, con el SEPBLAC como supervisor y sanciones de 150.000 a 10.000.000 de euros; el Plan Anual de Inspección antifraude de la AEAT, con cruces de Verifactu, el SII, el CRS, la DAC6 y el Pilar Dos; el ICAC, con la responsabilidad antifraude del auditor de la NIA-ES 240 y sanciones al auditor de 12.000 a 720.000 euros; y la AEPD, con la sanción de hasta el 4% de la facturación por las decisiones automatizadas del art. 22 de la LOPDGDD. Una empresa mediana (1.500 empleados, 250 millones de euros de facturación) tiene una exposición sancionadora potencial de entre 35 y 65 millones de euros anuales sin un antifraude integrado certificable desde el diseño, según los datos consolidados del informe Report to the Nations 2024 de la ACFE, la memoria del SEPBLAC y el Plan de la AEAT de 2025.

El Código Penal, la LO 5/2010, el SEPBLAC, la AEAT y la AEPD: cinco frentes sancionadores que exigen un antifraude certificable desde el diseño

El Código Penal tipifica en sus artículos 248-251 la estafa (hasta 6 años de prisión), con agravantes especiales en el art. 250 (importe superior a 50.000 euros, abuso de confianza, vivienda u organización criminal). El art. 252 castiga la apropiación indebida (hasta 6 años) y el art. 253, la insolvencia punible. El art. 290 tipifica la falsedad documental societaria (hasta 3 años de prisión y multa de 6 a 12 meses), un delito típico asociado a la manipulación contable o a las facturas falsas. El art. 305 castiga el delito fiscal por cuota defraudada superior a 120.000 euros (hasta 6 años de prisión y multa de hasta 6 veces la cuota) y el art. 308, el delito contra la Seguridad Social por cuota superior a 50.000 euros. El art. 282 sanciona la información engañosa a los mercados en las sociedades cotizadas, con hasta 6 años de prisión.

La LO 5/2010 introdujo la responsabilidad penal de la persona jurídica (CP art. 31 bis a 31 quinquies), con multas de hasta 9 millones de euros, suspensión de actividad hasta 5 años, clausura de locales, prohibición de contratar con el Sector Público hasta 15 años e intervención judicial. La atenuación del art. 31 bis 2 procede cuando el órgano de administración implanta un modelo de compliance conforme a la UNE 19601 y la ISO 37001 ANTES del delito; la exoneración total del art. 31 bis 4 se da cuando el modelo cumple los cuatro requisitos completos. Las sentencias del Tribunal Supremo de 2024 (STS 154/2024 y 234/2024) confirmaron la exoneración de las empresas con el SCIIF y el compliance penal integrados.

El SEPBLAC supervisa la Ley 10/2010 de prevención del blanqueo, con sanciones de 150.000 a 10.000.000 de euros y suspensión de actividad. El Plan Anual de Inspección de la AEAT de 2025 prioriza los cruces automatizados de Verifactu, el SII, el CRS, la DAC6 y el Pilar Dos, con sanciones de la LGT (art. 191-203) del 50 al 150% del importe omitido. La AEPD sanciona con hasta el 4% de la facturación las decisiones automatizadas del art. 22 de la LOPDGDD. La exposición total de una sociedad cotizada del Mercado Continuo (1.500 empleados, 250 millones de euros de facturación) puede acumular entre 35 y 65 millones de euros anuales sin un antifraude certificable desde el diseño.

Quince puntos decisivos deterministas con tres escalados humanos

El agente procesa la detección de fraude mediante una secuencia de 15 puntos decisivos: ocho automatizaciones reglamentadas, cuatro clasificaciones por aprendizaje automático y tres escalados humanos (la comunicación al SEPBLAC en F19 o F22, la escalación al Compliance Officer bajo la LO 5/2010 y el reporte a la Comisión de Auditoría y la CNMV). La clasificación de la entidad obligada por la Ley 10/2010 determina el marco aplicable. Los demás puntos siguen la responsabilidad antifraude de la NIA-ES 240 (testing de asientos en los párrafos 24-27, elusión de controles por la dirección en el 32 y estimaciones en el 41), la matriz de incompatibilidades de la segregación de funciones de la UNE 19601 (art. 5.4), la diligencia debida de proveedores de la ISO 37001 y la transparencia de los sistemas de IA antifraude del art. 50 del Reglamento de IA de la UE.

Un ejemplo concreto: una empresa industrial cotizada del Mercado Continuo (1.200 empleados, 220 millones de euros de facturación) integra Sage 200, a3compliance y AuditBoard. El agente la clasifica como sujeto obligado por la Ley 10/2010, entidad de interés público por la Ley 22/2015 y cotizada ante la CNMV. La detección de duplicados identifica 14 facturas con variaciones de importe inferiores al 5% (mismo proveedor, fechas desplazadas). La detección de anomalías por aprendizaje automático señala 23 asientos del cierre trimestral con un z-score superior a 3 (contabilizados en la madrugada del sábado). El cruce con Verifactu identifica 8 facturas sin registro en la AEAT (discrepancia del 1,8% del volumen, por debajo del umbral significativo del 2% pero con alerta). La detección de deepfakes marca 3 facturas con metadatos inconsistentes (PDF generado fuera del horario de la empresa proveedora). El análisis de round-tripping detecta un patrón circular A-B-C-A de 180.000 euros a través del paraíso fiscal de Curazao. Todo ello desencadena la comunicación al SEPBLAC en F19, la escalación al Compliance Officer, el reporte a la Comisión de Auditoría y el Hecho Relevante a la CNMV en 24 horas.

Cross-check Verifactu y SII fasciado 2025-2026 elimina riesgo LGT 191-203

Verifactu (RD 1007/2023) entró en vigor el 1 de julio de 2025 para las grandes empresas y se extiende de forma escalonada a todas las empresas hasta el 1 de enero de 2026. Cada factura debe llevar un número Verifactu único, un esquema XAdES certificado por la AEAT y una firma electrónica FNMT-RCM ICP-España. El cruce entre las facturas emitidas, el registro Verifactu y la declaración del SII en el plazo de 4 días de la AEAT es obligatorio. Las discrepancias superiores al 2% del volumen suponen sanción de la LGT (art. 191-203, del 50 al 150% del importe omitido) y un posible delito fiscal (CP art. 305) si la cuota defraudada supera los 120.000 euros. El Plan Anual de Inspección de la AEAT de 2025 prioriza los cruces automatizados de Verifactu y el SII para detectar el fraude estructural, y las empresas con un sistema certificable desde el diseño reducen el riesgo de selección para inspección en un 40% según los datos de la AEAT de 2024.

La comunicación al SEPBLAC en F19 y F22 y la atenuación de la UNE 19601 bajo el art. 31 bis del Código Penal

Los sujetos obligados (Ley 10/2010, art. 2) deben comunicar las operaciones sospechosas al SEPBLAC en los formatos F19 (intención de la operación) y F22 (operación ejecutada), en un plazo máximo de 30 días desde su conocimiento. La falta de comunicación se sanciona con entre 150.000 y 10.000.000 de euros (art. 57) y puede constituir blanqueo de capitales (CP art. 301, hasta 6 años de prisión). La comunicación de buena fe al SEPBLAC exonera de responsabilidad penal y administrativa (art. 24). La Circular 4/2014 del Banco de España amplía los requisitos de las entidades de crédito: un modelo de riesgo por geografía, cliente, producto y canal de distribución, con revisión anual del auditor interno y del externo. Un programa conforme a la UNE 19601 y la ISO 37001 atenúa la responsabilidad (CP art. 31 bis 2) hasta la exoneración total (art. 31 bis 4) cuando el modelo cumple los cuatro requisitos. El agente automatiza el monitoreo, las alertas, la comunicación en F19 y F22 y el rastro de auditoría penal.

Integración con el ecosistema español: Sage GRC, A3, SAP GRC, AuditBoard y las API de la AEAT, el SEPBLAC y la CNMV

El agente se integra con los sistemas GRC y ERP españoles vía API: Sage 200 y Sage Despachos Connected con los módulos Sage GRC y Sage Compliance, A3 Software (a3con, a3asesor y a3ERP de Wolters Kluwer Spain) con el módulo antifraude a3compliance, SAP S/4HANA Spain Localization con SAP GRC, Process Control, Access Control y Risk Management (multinacionales del IBEX-35), Oracle Fusion Cloud ERP Spain con Oracle Risk Management Cloud y Oracle Financial Services AML, Microsoft Dynamics 365 Business Central Spain con Microsoft Purview Compliance y Microsoft Sentinel SIEM, Cegid Quadra Spain con el módulo Cegid GRC y Holded Cloud con Factorial. Entre las plataformas GRC dedicadas figuran AuditBoard, Workiva, MetricStream y ServiceNow GRC. La integración con las administraciones cubre la AEAT (API de Verifactu, servicio web del SII, censo de la AEAT, modelo 232 y certificado FNMT-RCM ICP-España), el SEPBLAC (formatos F19 y F22 y Memoria anual de prevención del blanqueo), la CNMV (Hechos Relevantes y sección F del IAGC sobre el SCIIF), el Banco de España (Circular 4/2014 de las entidades de crédito) y la AEPD (registro de actividades de tratamiento y evaluaciones de impacto del art. 22 de la LOPDGDD). Las pruebas sustantivas de las Big Four bajo la NIA-ES 240 se soportan mediante exportación directa a Deloitte ASM, PwC Halo, EY Helix y KPMG Clara, con metadatos de rastro de auditoría de las NIA-ES, la PCAOB AS 1215 y el ROAC del ICAC. Entre las herramientas CAAT profesionales soportadas para el testing automatizado de asientos figuran ACL Robotics, IDEA y Galvanize HighBond.