Saber cuándo cambia la situación de un proveedor

Toda comprobación de este sitio —y toda comprobación en cualquier otro— responde a una pregunta sobre el día en que la hizo. Un número de IVA que estaba registrado en marzo puede darse de baja en septiembre. Una empresa que operaba el trimestre pasado puede estar en liquidación este. Nada de la primera comprobación le dice cuándo ocurrió eso, y nadie le manda una carta.

Para un proveedor al que paga una vez, da igual. Para uno al que paga cada mes con condiciones fijas, el hueco entre «los comprobamos al darlos de alta» y «sabemos qué son hoy» puede ser de años. Vigilancia de proveedores vuelve a comprobar un proveedor que ya ha comprobado y le escribe solo cuando algo cambia.

Qué cambia realmente, y qué cambios importan

Cuatro cosas se mueven lo bastante a menudo como para merecer vigilancia, y son las cuatro que cambian lo que debe hacer:

Un registro de IVA termina. El proveedor se dio de baja, la administración tributaria lo dio de baja de oficio, o se reestructuró en otra entidad. Las facturas con el número antiguo ya no valen para deducir, y seguir pagándolas con las condiciones antiguas es un problema que aflora en una inspección, no en el pago.

Una empresa entra en liquidación o concurso, o es dada de baja. Donde un registro nacional lo publica, es la señal más clara de que las condiciones de pago están a punto de convertirse en problema de otro. Pagar por adelantado a un proveedor en liquidación es dinero que va a la masa de acreedores.

Un nombre llega a una lista de sanciones. Raro, y grave de una manera en que los demás no lo son: pagar a una parte sancionada es materia penal en la mayoría de las jurisdicciones, no una molestia fiscal. Una designación puede caer de un día para otro y se aplica de inmediato.

Una cuenta bancaria polaca sale de la lista blanca. Polonia es el único país de la UE que publica qué cuentas ha declarado una empresa, y la pertenencia es una propiedad de un día concreto. Una cuenta listada en junio y ausente en julio cambia lo que ocurre si la paga; véase la lista blanca polaca.

Hay una quinta que merece mención y es más débil: un dominio remitente debilita su autenticación de correo, o deja de publicar servidores de correo. Eso no significa que haya nada mal. Significa que el correo que dice venir de ese dominio es más fácil de falsificar que antes, lo cual es contexto para la siguiente petición de pago que reciba de ellos.

La regla que hace útil la vigilancia: avisar del cambio, no del estado

Esta es la parte que la mayoría de la vigilancia hace mal, y es la diferencia entre un sistema que se lee y uno que se filtra a una carpeta.

Un proveedor cuyo número de IVA lleva un año inválido no es noticia. Tampoco lo era el mes pasado, y no lo será el mes que viene. Si un vigilante le escribe sobre el estado actual con una periodicidad fija, recibirá el mismo mensaje sobre el mismo proveedor indefinidamente, y la respuesta enteramente racional es dejar de leer los mensajes de ese remitente. Entonces llega el que importaba, y se va con los demás.

Así que lo que merece contarse es la transición: esto era válido la última vez y ahora no lo es. El silencio debería significar «no se ha movido nada», y debería ser el caso normal.

De ahí se siguen tres consecuencias, y es fácil equivocarse en ellas:

• Un servicio que ha dejado de responder no es un cambio. Que VIES tenga una mala tarde no es una baja. Que «válido» pase a «no se pudo comprobar» no debe producir nada, o cada caída se convierte en una alarma sobre todos los proveedores a la vez.
• Una primera consulta con éxito no es una transición. Si la comprobación anterior no pudo ejecutarse, no hay un antes con el que comparar. Informar de la primera lectura como un cambio significa que una caída seguida de una recuperación fabrica noticias a partir de una situación que nunca se alteró.
• Las mejoras no son alertas. Un proveedor que ha arreglado su autenticación de correo, o que ha salido de una lista, no necesita interrumpirle la tarde a nadie.

Hacerlo sin herramienta

Es perfectamente posible a mano, y para una lista corta de proveedores es razonable.

1. Guarde los identificadores, no el veredicto: el número de IVA, la denominación registrada, el dominio remitente y, para proveedores polacos, el NIP y el número de cuenta. Un «pasó» almacenado hace dieciocho meses no vale nada; los identificadores le permiten volver a preguntar.
2. Repita las comprobaciones con una periodicidad acorde a su exposición. Trimestral es defendible para la mayoría de las relaciones comerciales. Mensual tiene sentido por encima de un umbral que fije usted mismo.
3. Registre la respuesta anterior, para estar comparando y no releyendo. Ese es el paso que lo convierte en vigilancia en vez de en repetición.
4. Vuelva a comprobar en los eventos que de verdad anticipan problemas, diga lo que diga el calendario: un cambio de datos bancarios, un cambio de contacto, un salto inesperado en el importe de la factura, o una primera factura tras un largo silencio.

Reparta el trabajo a lo largo del mes en vez de hacerlo todo el día 1. Los registros públicos son servicios gratuitos con límites de frecuencia, y una ráfaga es lo que más probablemente se rechace.

Qué no puede detectar la vigilancia

El fraude de facturas más común no produce ningún cambio en ningún registro.

El ataque habitual es un proveedor real cuyo buzón fue comprometido. Su número de IVA sigue siendo válido, su empresa sigue operando, su dominio sigue autenticando, su nombre no está en ninguna lista. Todas las comprobaciones pasan, antes y después, porque nada del proveedor cambió: solo los datos bancarios de una factura.

Ningún servicio de vigilancia le avisará de eso, y el que insinúe que sí le está vendiendo algo. El control que lo detiene es el mismo con el que termina cada página de resultados de aquí: una llamada de voz a un número que ya tuviera, antes de cambiar cómo paga a alguien. Hay un recorrido en un proveedor pide cambiar sus datos bancarios, y si la petición llegó por correo, qué significa realmente «dkim=pass» explica por qué el hecho de que el mensaje autentique demuestra menos de lo que parece.

La vigilancia es para los fallos más lentos —la baja, la liquidación, la designación— de los que nadie le avisa y que son genuinamente invisibles hasta que vuelve a mirar.