Comprobar que una factura es auténtica

Ha llegado una factura de un proveedor que no reconoce, o de uno que sí reconoce pero que pide algo distinto. Este es el orden que conviene seguir y —igual de útil— dónde termina la parte verificable.

La mayoría de las facturas fraudulentas se detienen en uno de los dos primeros pasos. Casi ninguna se detiene mirando el PDF con más intensidad.

La comprobación de diez puntos

Si quiere la versión corta, es esta. Los puntos 1 a 3 detectan casi todo; el resto merecen un minuto cada uno en una factura grande, desconocida o distinta de la anterior.

1. ¿Hay un pedido? Case la factura con un pedido, una entrega o una persona que diga que lo solicitó. Sin pedido no hay pago, por bien que se vea el papeleo.
2. ¿Han cambiado los datos bancarios desde la última vez? Compare con la factura anterior, no con el correo que tiene delante.
3. ¿Ha llamado a un número que ya tenía? Obligatorio ante cualquier cambio de cuenta. No el número de la factura ni el de la firma.
4. ¿Está registrado el número de IVA, y a nombre de quién? Un número registrado demuestra que el registro existe, no que sea del remitente.
5. ¿Coincide el nombre del registro con el de la factura? Los nombres comerciales y las empresas de grupo explican la mayoría de las discrepancias; pregunte por las demás.
6. ¿Pasa el IBAN su dígito de control, y está emitido donde cabría esperar? El control detecta erratas prácticamente siempre y no dice nada sobre el titular.
7. ¿Autentica su propio correo el dominio remitente, y qué antigüedad tiene? Un dominio registrado hace tres semanas no es lo mismo que uno de veinte años.
8. ¿Se parece el nombre a una entrada de sanciones? Un parecido es un aviso para mirar en serio, nunca una determinación.
9. ¿Están los datos obligatorios y cuadran las cuentas? Número de factura, fecha, nombre y domicilio del proveedor, número de IVA, descripción, base, tipo e importe del IVA.
10. ¿Sigue el proveedor en activo? Una empresa en liquidación conserva un número de IVA y una cuenta bancaria operativos, a menudo durante meses.

Los puntos 4 a 8 son los que un ordenador hace mejor que una persona, y el comprobador de facturas ejecuta los cinco de una vez: suelte el PDF y el número de IVA, la cuenta bancaria y el dominio de correo se leen de él en su navegador —el archivo nunca se sube— y después se comprueban en una sola pasada.

1. ¿Alguien pidió esto realmente?

Antes de comprobar si la empresa existe, compruebe si existe la compra. Case la factura con un pedido, una entrega o una persona de su organización que pueda decir «sí, yo lo pedí».

Este único paso detiene la mayor categoría de facturas falsas, que no tienen nada de sofisticadas: cobros de aspecto plausible por material de oficina, inscripciones en directorios, renovaciones de dominio o «registros de cumplimiento», enviados en masa a empresas con la esperanza de que alguna se pague sin que nadie pregunte. Se basan por completo en que nadie compruebe si hubo alguna vez un pedido.

Las facturas de directorios y registros merecen mención aparte. A menudo están redactadas técnicamente como una oferta y no como un cobro —la letra pequeña lo dice— y están diseñadas para confundirse con la renovación de algo que usted ya tiene.

2. ¿Es un cambio respecto a lo anterior?

Si ya ha pagado a este proveedor, compare con la última factura:

• ¿La misma cuenta bancaria?
• ¿La misma entidad jurídica y número de IVA?
• ¿La misma dirección de envío y dominio?
• ¿Importe y condiciones dentro de lo normal?

Un cambio de datos bancarios es el que más importa, y tiene su propia guía: un proveedor pide cambiar sus datos bancarios.

3. Compruebe las afirmaciones de identidad

Estas son las partes que un ordenador puede verificar, y puede ejecutarlas todas a la vez en la página de inicio. Si tiene la factura delante en PDF, el verificador de facturas lee de ella el número de IVA, la cuenta bancaria y el dominio remitente en su navegador y ejecuta las mismas comprobaciones, así que no hay nada que volver a teclear. Cada una responde a una pregunta estrecha:

• Número de IVA. ¿Está registrado actualmente y a nombre de quién? Un número válido demuestra que el registro existe; no demuestra que el remitente sea su titular, ya que los números de IVA son públicos. Véase número de IVA válido, nombre distinto.
• IBAN. ¿Está bien formado y emitido en el país esperado? El dígito de control detecta las erratas prácticamente siempre. No dice nada sobre quién es el titular de la cuenta: casi ninguna fuente pública puede. Véase el país del IBAN difiere del país de IVA.
• Cribado de sanciones. ¿El nombre se parece a una entrada de la lista consolidada de la UE? Una similitud, no una determinación. Véase qué significa una posible coincidencia.
• Dominio de envío. ¿Autentica su propio correo y qué antigüedad tiene? Un dominio registrado hace tres semanas que no publica política DMARC es algo muy distinto de uno que lleva una década. Véase sin política DMARC.

4. Lea el propio documento

Merece un vistazo, pero es prueba débil en ambos sentidos: una falsificación competente acierta en todo esto, y pequeñas empresas legítimas fallan en bastante.

• Menciones obligatorias. Una factura con IVA de la UE o del Reino Unido debe llevar número de factura, fecha, nombre, dirección y número de IVA del proveedor, una descripción, la base imponible, el tipo y la cuota de IVA. Que falten varias en una factura grande es motivo para preguntar.
• La aritmética. ¿El IVA equivale realmente al tipo declarado aplicado a la base?
• La coherencia. ¿El prefijo de país del número de IVA coincide con la dirección? ¿La moneda con el país? ¿El número de factura es plausible frente a los anteriores?
• El bloque de datos bancarios. Busque indicios de que se editó aparte del resto: tipografía, alineación o espaciado distintos.

5. Coja el teléfono

Para cualquier cosa relevante, y para cada cambio de datos bancarios, llame al proveedor a un número que ya tuviera: de una factura anterior, de su sistema contable, o de su web a la que haya llegado usted mismo. Nunca el número de la factura o del correo.

Este es el paso que detiene el fraude que supera todas las demás pruebas: un proveedor real, un número de IVA real, un dominio real, una factura real y la cuenta bancaria de otro.

Tres facturas y qué las delató

Las tres son composiciones de patrones que aparecen de verdad, con datos inventados. Lo que importa es la forma de cada una y qué paso de los anteriores la detecta.

1. La renovación que nunca fue una suscripción

«Renovación de listado de dominio: 987 EUR, pagaderos en 7 días». Dirigida a la empresa con su razón social y domicilio correctos. Con un número de referencia de aspecto real. En letra más pequeña, al pie: esto es una oferta, no una factura.

Qué era cierto: el remitente existía y estaba registrado a efectos de IVA. El nombre y el domicilio eran correctos porque ambos son públicos. No se falsificó nada.

Qué la delató: el punto 1. No había pedido. Todas las comprobaciones de identidad la superan, porque no hay nada mal en la identidad del remitente, sino en dar por hecho que un documento que llega a la bandeja de pagos corresponde a algo que alguien compró.

2. El proveedor auténtico con la cuenta de otro

Una factura real de un proveedor de dos años de relación, en el mismo hilo de correo que las cuatro anteriores, mismo número de pedido, mismo diseño, misma firma. Un campo cambia respecto a la factura anterior: el IBAN. La nota que la acompaña pide disculpas por el cambio y menciona una auditoría.

Qué era cierto: casi todo. El buzón había sido comprometido semanas antes. El dominio era auténtico, así que SPF y DKIM pasaron. El número de IVA era auténtico. El IBAN estaba bien formado y pertenecía a una cuenta real abierta hacía poco.

Qué la delató: los puntos 2 y 3, y nada más habría podido. Es el caso alrededor del cual está construido todo este sitio; véase un proveedor pide cambiar sus datos bancarios.

3. La empresa que había dejado de operar

Una factura corriente de consultoría, de una empresa cuyo número de IVA se resuelve limpiamente en VIES, cuyo nombre coincide exactamente con el registro y cuyo IBAN es del mismo país.

Qué era cierto: todas las comprobaciones pasaron, porque todas preguntaban por el registro. La empresa había entrado en liquidación cuatro meses antes. El número de IVA seguía vivo —la baja censal y la insolvencia son procesos distintos con calendarios distintos— y la cuenta seguía abierta, ahora bajo control de la masa concursal.

Qué la delató: el punto 10, es decir, el registro mercantil nacional en lugar de VIES. VIES responde si un número está registrado y nada más; el registro responde en qué estado está la empresa. Véase qué significa para su pago una empresa en liquidación.

Qué no puede decirle nada de esto

Conviene ser claro con el límite, porque las herramientas que lo difuminan son la razón de que se acabe confiando demasiado en una marca verde:

• De quién es una cuenta bancaria. No es público en la UE ni en el Reino Unido. Polonia es la única excepción, y esta comprobación la utiliza.
• Si los bienes o servicios se entregaron. Solo sus propios registros responden a eso.
• Si la empresa es solvente o piensa entregar. Una empresa registrada con datos impecables puede ser igualmente una mala contraparte.
• Si quien le escribe es quien dice ser. La autenticación de correo demuestra que un mensaje vino de un dominio. No puede demostrar quién estaba al teclado, que es precisamente por lo que un buzón comprometido la derrota.

Por eso también la herramienta de este sitio devuelve un resultado independiente por comprobación y nunca un único veredicto de «seguro para pagar». Cada comprobación responde con honestidad a su propia pregunta estrecha. Combinarlas en una cifra insinuaría una garantía que ninguna de ellas, juntas o por separado, puede dar.