Compliance tributario y UNE 19602: cómo gestionar el riesgo fiscal de la empresa

Qué es el riesgo tributario

Una empresa se equivoca con los impuestos por muchas vías: un tipo de IVA mal aplicado, una retención que no se practicó, un beneficio fiscal al que no tenía derecho, un precio de transferencia sin documentar. El riesgo tributario es la posibilidad de que eso ocurra y de sus consecuencias, que van de una liquidación con intereses a una sanción administrativa o, en los casos graves, a un delito.

La Ley General Tributaria sanciona las infracciones cometidas con cualquier grado de negligencia (art. 183.1), pero excluye la responsabilidad cuando se ha puesto la diligencia necesaria, por ejemplo con una interpretación razonable de la norma (art. 179.2.d). Un sistema de compliance tributario sirve precisamente para eso: para poder demostrar esa diligencia con documentos.

Cuándo es delito y qué arriesga la empresa

La defraudación a la Hacienda Pública es delito cuando la cuota defraudada, las retenciones no ingresadas o los beneficios indebidos superan los 120.000 euros (art. 305 del Código Penal). En los impuestos periódicos se cuenta lo defraudado en cada período, y si el período es inferior a doce meses, como el IVA trimestral, se suma lo del año natural (art. 305.2). Es agravada por encima de 600.000 euros, cuando se comete en el seno de una organización o grupo criminal, o cuando se usan personas, sociedades o paraísos fiscales interpuestos que ocultan o dificultan saber quién es el responsable, cuánto se defraudó o cuál es su patrimonio (art. 305 bis). El Código Penal recoge estos delitos en los artículos 305 a 310 bis, incluido el incumplimiento grave de las obligaciones contables (art. 310).

Por el artículo 310 bis, una empresa puede responder penalmente de estos delitos como de cualquier otro del artículo 31 bis. Las penas son serias:

• Multa del tanto al doble de lo defraudado si el delito de la persona física tiene prevista una pena de más de dos años de prisión, o del doble al cuádruple si es de más de cinco. En los delitos contables del artículo 310, multa de seis meses a un año.
• Pérdida de subvenciones y ayudas públicas y de los beneficios o incentivos fiscales durante tres a seis años.
• Prohibición de contratar con el sector público: la condena firme por delitos contra la Hacienda Pública es causa directa (art. 71.1.a de la Ley de Contratos del Sector Público), y en esa causa no cabe la vía de las «medidas correctoras» del artículo 72.5.

Como en el resto de delitos, la empresa puede quedar exenta si antes del delito había adoptado y ejecutado con eficacia un modelo de prevención idóneo y cumple las demás condiciones del artículo 31 bis, que son más exigentes cuando el delito lo comete un directivo: supervisión por un órgano autónomo, elusión fraudulenta del modelo y vigilancia suficiente. Establecer el modelo después del delito pero antes del juicio oral es una atenuante (art. 31 quater). Los requisitos de ese modelo se explican en la guía de compliance penal y UNE 19601.

Qué es la UNE 19602

La UNE 19602, «Sistemas de gestión de compliance tributario. Requisitos con orientación para su uso», la publicó la Asociación Española de Normalización (UNE) en febrero de 2019. Su objetivo, en palabras de UNE, es ayudar a las organizaciones a prevenir y gestionar los riesgos tributarios a través de una cultura de cumplimiento. Se aplica a cualquier organización, sea cual sea su tamaño o actividad, pública o privada.

Sigue la estructura de alto nivel de las normas de sistemas de gestión, así que se integra con la UNE 19601 de compliance penal o con la ISO 37001 antisoborno. Según UNE, entre sus requisitos están:

• una política de compliance tributario aprobada por el órgano de gobierno, que minimice la exposición a los riesgos tributarios;
• formación y concienciación del personal sobre los riesgos tributarios identificados;
• controles financieros y no financieros sobre los procesos, e incluso sobre otras entidades;
• canales para comunicar incumplimientos o sospechas fundadas, sin represalias para quien informa.

La norma es voluntaria: ninguna ley la exige. Es certificable por una tercera parte independiente, y su texto está protegido por derechos de autor, así que para implantarla hay que adquirirla en UNE o en un distribuidor autorizado. A fecha de esta guía sigue vigente la edición de 2019.

Qué dice la Agencia Tributaria

La relación entre la AEAT y las grandes empresas se apoya en el Código de Buenas Prácticas Tributarias, aprobado por el Foro de Grandes Empresas en julio de 2010. Es de adhesión voluntaria y recoge recomendaciones que asumen tanto la Administración como las empresas adheridas.

Cómo implantar el sistema paso a paso

1. 1

   Entender el contexto fiscal

   Qué impuestos aplican, en qué países, qué operaciones son complejas (reestructuraciones, precios de transferencia, beneficios fiscales) y quién decide cada una.
2. 2

   Identificar y evaluar los riesgos tributarios

   Por proceso: facturación, compras, nóminas y retenciones, cierre contable, declaraciones. Con una metodología de probabilidad e impacto fijada de antemano.
3. 3

   Aprobar la política

   El órgano de gobierno aprueba la política de compliance tributario y asigna la responsabilidad de supervisar el sistema.
4. 4

   Diseñar los controles

   Financieros y no financieros, sobre cada riesgo relevante: revisiones antes de presentar, segregación de funciones, criterios documentados para las interpretaciones dudosas.
5. 5

   Formar y comunicar

   A quien toma decisiones con efecto fiscal, empezando por los procesos de mayor riesgo.
6. 6

   Abrir el canal

   Con garantía de no represalias. Si la empresa tiene 50 o más trabajadores, debe tener ya un sistema interno de información (Ley 2/2023, art. 10).
7. 7

   Vigilar y mejorar

   Indicadores, auditoría interna y revisión por la dirección. Cada error detectado se corrige y, si procede, se regulariza.

Errores frecuentes

• Confundir compliance con asesoría fiscal. El asesor resuelve dudas; el sistema asegura que las dudas se detectan, se documentan y se deciden con criterio.
• Un mapa de riesgos sin procesos. Listar impuestos no basta: el riesgo está en la operación concreta y en quién la ejecuta.
• No dejar rastro. La diligencia que exime de sanción hay que probarla. Sin registro de quién decidió qué y por qué, no hay prueba.

¿Cómo se puntúan esos riesgos? Lo explica la guía de riesgo inherente y residual.

Preguntas frecuentes