Agente de IA para el alta de proveedores y antifraude

Se selecciona un proveedor nuevo. Alguien de compras envía un correo pidiendo los datos bancarios, un certificado fiscal y la documentación del seguro. Parte de eso llega. Acaba en una bandeja de entrada. Se crea una ficha de proveedor con lo que se haya facilitado, normalmente por alguien que necesita emitir el pedido de compra hoy mismo. El identificador fiscal se introduce tal como llega, los datos bancarios se teclean desde un correo y el certificado del seguro se archiva en algún sitio donde nadie volverá a mirar hasta que haya caducado.

Esa secuencia contiene la mayor exposición individual al fraude en los pagos que soportan la mayoría de las empresas mid-market. Datos bancarios que llegan por correo, introducidos por alguien con prisa, verificados contra nada. El fraude de redirección de facturas —una solicitud convincente para actualizar los datos de pago de un proveedor— tiene éxito porque el proceso que estableció esos datos en primer lugar tampoco tenía ninguna verificación, así que no hay una referencia previa que contradiga el cambio.

El alta es también el único momento en el que el proveedor tiene un incentivo fuerte para colaborar. Quiere que se le pague. Cada dato o documento que no consiga obtener ahora le costará diez veces más esfuerzo obtenerlo después, y parte de ello no lo conseguirá nunca.

Por qué esto importa

La exposición al fraude es el titular y es real. El fraude del correo corporativo comprometido dirigido a los datos de pago de proveedores está entre los más comunes y más costosos contra las empresas mid-market, y no requiere sofisticación técnica: solo un correo plausible y un proceso sin verificación por un canal independiente. Las pérdidas suelen concentrarse en un único pago de importe elevado, y la recuperación es rara.

La dimensión de cumplimiento es más amplia de lo que la mayoría de las empresas supone. Según el sector y la contraparte, puede necesitar cribar contra listas de sanciones, establecer la titularidad real, disponer de pruebas de la situación fiscal y verificar que los subcontratistas tienen un seguro válido y estén dados de alta en la seguridad social. En España y Portugal existen obligaciones específicas sobre el cumplimiento de los subcontratistas en algunos sectores, y las pruebas tienen que existir en el momento de la contratación, no reunirse después.

Y luego está el coste mundano, que es el mayor en conjunto. Los datos de proveedor incompletos producen pagos fallidos, facturas que no se pueden cuadrar, IVA que no se puede recuperar porque el identificador fiscal del proveedor nunca se validó y fichas de proveedor duplicadas creadas porque nadie encontró la que ya existía. Cada una de estas cosas es barata de prevenir en el alta y cara de arreglar después.

De un vistazo: los controles del alta y quién puede realizarlos

Las dos filas del medio son la clave de todo. Un agente puede hacer todo en este proceso excepto establecer que una cuenta bancaria pertenece al proveedor que dice ser. Esa verificación es una llamada a un número que ya tenía —no un número que aparezca en el correo que pide el cambio—, realizada por una persona, registrada y separada de la persona que introduce el dato.

Qué funciona y sobre qué hay que ser honesto

Qué funciona:

Un portal para el proveedor o una solicitud estructurada en lugar de un hilo de correo. El agente solicita documentos concretos contra una lista de comprobación, los valida al recibirlos y reclama lo que falta. Esto elimina tanto el esfuerzo de reclamar como la ambigüedad sobre qué se recibió realmente.

Validación en el punto de entrada. Comprobaciones de formato y existencia del identificador fiscal por país, detección de duplicados contra el maestro de proveedores existente, obligatoriedad de campos. Cada error detectado aquí es uno que, de lo contrario, aparecería como un pago fallido o como un importe de IVA no recuperable.

Verificación bancaria por canal independiente como barrera dura. Ninguna ficha de proveedor pasa a ser pagable hasta que una persona ha verificado los datos bancarios por un canal independiente con un contacto establecido antes de la solicitud. Este único control evita la mayoría de los intentos de redirección de facturas.

Segregación entre la introducción y la activación. La persona que introduce el dato bancario no es la persona que activa al proveedor. Esto es básico y falta con frecuencia en empresas mid-market donde la misma persona hace ambas cosas porque el equipo es pequeño.

Vigilancia de caducidades agendada. Los certificados de seguro, los certificados fiscales y las certificaciones caducan, y los procesos manuales lo controlan mal. Un agente que vigila las fechas de caducidad y vuelve a solicitar los documentos con antelación mantiene el maestro de proveedores en cumplimiento de forma continua, y no solo cuando llega la auditoría.

Estado del alta visible para el solicitante. La mayor parte de la presión para acortar este proceso viene de un comprador que no sabe en qué punto de la cola está su proveedor. La visibilidad elimina la presión que provoca los atajos.

Sobre qué hay que ser honesto:

Aquí hay una tensión real entre velocidad y control. Compras quiere el proveedor dado de alta hoy. Cada control añade fricción, y la fricción es precisamente el objetivo. La solución es hacer rápido el camino que cumple —recogida, validación y reclamación automatizadas—, no debilitar los controles. Pero habrá ocasiones en las que la respuesta honesta a «¿podemos pagarles esta semana?» sea no.

Un intento de fraude decidido puede seguir teniendo éxito. La verificación por canal independiente derrota los casos comunes. Un ataque sofisticado que implique un buzón de proveedor comprometido y un contacto telefónico plausible es más difícil. Los controles reducen la exposición; no la eliminan, y el caso de negocio no debería afirmar lo contrario.

El cribado de sanciones produce falsos positivos, y requieren criterio. Los nombres comunes generan coincidencias. El agente criba; una persona valora, y la valoración debe quedar documentada. Automatizar el descarte de una coincidencia es exactamente el lugar equivocado para ahorrar esfuerzo.

Los proveedores se resistirán a la carga documental. Los proveedores pequeños en particular pueden encontrar los requisitos desproporcionados. Tenga un camino proporcionado definido para proveedores de bajo importe y bajo riesgo, en lugar de aplicar el proceso completo de forma universal y crear presión para saltárselo por entero.

Este proceso se degrada sin responsable. Los controles del alta son fuertes en la implantación y se erosionan a medida que se acumulan las excepciones. Necesita un responsable con nombre y una revisión periódica de las excepciones concedidas.

Marco de decisión: por dónde empezar

Recórralo en orden. Deténgase en la primera coincidencia.

1. ¿Se verifican actualmente los datos bancarios del proveedor por un canal independiente antes del primer pago?
Si no, implántelo de inmediato, por delante de cualquier otra cosa de esta lista y con independencia de cualquier automatización. Es un cambio de proceso que no requiere tecnología y aborda su mayor exposición individual.

2. ¿Está segregada la introducción de los datos bancarios de la activación del proveedor?
Si no, sepárelas. En un equipo pequeño esto puede significar que la segunda comprobación recaiga en la dirección financiera, lo cual es aceptable: lo que importa es que sea una persona distinta.

3. ¿Sabe qué documentación está realmente obligado a conservar?
Si no, establézcalo por tipo de proveedor y sector antes de automatizar la recogida. Los requisitos difieren, y recoger el conjunto equivocado es esfuerzo sin protección.

4. ¿Se valida el identificador fiscal en el momento de la introducción?
Si no, añádalo. Es barato, detecta errores de transcripción de inmediato y protege la recuperabilidad del IVA.

5. ¿La recogida de documentos es un hilo de correo?
Sustitúyalo por una recogida estructurada dirigida por el agente, con validación y reclamación. Aquí está el retorno en eficiencia y normalmente recorta días del tiempo total del alta.

6. ¿Se vigila de forma continua la caducidad de los certificados?
Si no, agéndelo y automatice la nueva solicitud. Este es el control que más fiablemente se abandona entre auditorías.

7. ¿Todo lo anterior está en marcha y el alta sigue siendo lenta?
La restricción probablemente esté en el enrutado de aprobaciones más que en la recogida de datos. Mire cuántas aprobaciones se exigen, si son secuenciales y si existe delegación.

Coste y esfuerzo indicativos

Se asume una única instancia de ERP y una base de proveedores mid-market fuera de sectores muy regulados. Los sectores regulados, la subcontratación en construcción o un suministro transfronterizo extenso alargan esto. Solicite un presupuesto para una estimación acotada.

Preguntas frecuentes

¿Puede el agente verificar los datos bancarios comprobando el nombre de la cuenta contra el nombre del proveedor?
La comprobación del nombre de la cuenta, cuando está disponible, es una señal adicional útil y no un sustituto. Se puede burlar y no está disponible de forma consistente en todos los esquemas de pago. La llamada humana por canal independiente sigue siendo el control.

¿Y si el proveedor pide cambiar los datos bancarios más adelante?
Trátelo como un nuevo evento de verificación con el mismo rigor, usando datos de contacto que ya tenía antes de que llegara la solicitud. Este es precisamente el momento en que se produce el fraude, y la solicitud será normalmente plausible, urgente y aparentemente de un contacto conocido.

¿Necesitamos cribado de sanciones?
Depende del sector, de la geografía de la contraparte y de su propia posición regulatoria. Pida asesoramiento en lugar de suponerlo. Cuando aplica, el cribado se puede automatizar, pero la valoración de una coincidencia no.

¿Cómo damos de alta a un proveedor rápidamente cuando el negocio lo necesita de verdad?
Con un camino acelerado definido que comprima la secuencia sin eliminar la barrera de la verificación bancaria: aprobaciones en paralelo, fichas provisionales que no pueden recibir pagos o una vía de pago puntual con autorización elevada. Diseñe la excepción por adelantado para que no se improvise bajo presión.

¿Cómo encaja esto con la gestión del master data (datos maestros)?
El alta establece la ficha; la custodia del master data la mantiene. Son los mismos datos con distintos modos de fallo, y la vigilancia continua descrita aquí es el puente entre ambos.

¿Con qué rapidez se pueden conectar los flujos de datos de proveedores y de control de fraude?
Suele ser la parte más rápida del proyecto — un partner certificado como Stacksync puede tener en semanas la sincronización en tiempo real entre el maestro de proveedores, el ERP y los controles de arriba. Definir las reglas de fraude y de calidad de datos que aplica el agente lleva más tiempo, y merece la pena hacerlo bien antes de activar el flujo.

Cierre — Próximos pasos

El alta de proveedores es donde se determinan a la vez la calidad de los datos de proveedor de una empresa y su exposición al fraude en los pagos, en un proceso que suele estar en manos de quien toque emitir el pedido de compra. Automatizar la recogida y la validación merece la pena y es sencillo. La parte que más importa no es automatizable en absoluto: una persona verificando una cuenta bancaria por un canal que el solicitante no controla.

Si hace una sola cosa después de leer esto: compruebe si sus últimos diez conjuntos de datos bancarios de proveedores fueron verificados por una persona a través de un canal independiente antes del primer pago. Si la respuesta es no, ese es un cambio de proceso que puede hacer esta semana, antes de cualquier proyecto, y aborda más riesgo que cualquier otra cosa de este artículo.

Sobre el autor

Bruno Galo es el fundador de Atypical Tech, una consultora de NetSuite que presta servicio a clientes mid-market en toda la península ibérica. Está especializado en conectar sistemas CRM y ERP para lograr flujos de order-to-cash sin fricciones, construyendo pipelines automatizados de gestión de pedidos que eliminan la introducción manual de datos entre los equipos comerciales y financieros. Como partner oficial de implementación de Stacksync, Bruno diseña y despliega agentes de IA sobre plataformas de integración para gestionar el enrutado de excepciones, el procesamiento de documentos y la conciliación, convirtiendo flujos de pedidos fragmentados en sistemas fiables y con autovigilancia.

LinkedIn: https://www.linkedin.com/in/brunogd

Fuentes

Las URL son a nivel de editor y deberían verificarse antes de la publicación. Los requisitos de sanciones, titularidad real y cumplimiento de subcontratistas son específicos de cada jurisdicción y sector: pida asesoramiento local.

• Oracle NetSuite, documentación de fichas de proveedor y aprobaciones — https://docs.oracle.com/en/cloud/saas/netsuite/
• European Commission, EU sanctions map y lista consolidada — https://www.sanctionsmap.eu
• European Commission, marco de Anti-Money Laundering y titularidad real — https://finance.ec.europa.eu
• Agencia Tributaria (España), certificados de situación fiscal de proveedores y validación de NIF — https://sede.agenciatributaria.gob.es
• Autoridade Tributária e Aduaneira (Portugal), NIPC y situación fiscal — https://info.portaldasfinancas.gov.pt
• COSO, Internal Control — Integrated Framework — segregación de funciones — https://www.coso.org
• Experiencia de proyectos de Atypical Tech, implantaciones de procure-to-pay en mid-market en la península ibérica
• Stacksync, blog de la plataforma de integración y sincronización en tiempo real — https://www.stacksync.com/blog