Auditoría de sanciones en la empresa — la checklist completa de autoevaluación antes de una inspección

Situación jurídica a: 2026-05-26.

Si ya sabes que tu empresa debe efectuar el sanction screening — es el momento de comprobar si realmente lo estás haciendo de un modo que resistiría una inspección del Tesoro, de la AEAT/Aduanas o del SEPBLAC. La auditoría de sanciones no es un proceso complicado que requiera auditores externos. Es una autoevaluación interna que puedes hacer en una tarde — siempre que dispongas de una checklist.

En este artículo recibirás 10 áreas que recorrer en orden, con preguntas de control concretas, la base jurídica y la indicación de qué revela una falta de preparación.

TL;DR

• La auditoría de sanciones requiere 90–180 minutos para una pyme típica (10–250 personas). No necesita un auditor externo.
• Compruebas 10 áreas — desde la designación del responsable de cumplimiento hasta la documentación de las decisiones.
• 3 áreas críticas (BLOCK): falta de responsable de cumplimiento, ausencia de un procedimiento de verificación del cliente, ninguna lista de sanciones en uso — son incumplimientos que el inspector detecta en los primeros minutos.
• Prioridad de subsanación: BLOCK → 7 días, FIX grande → 30 días, FIX pequeño → 90 días.
• Conviene repetir la auditoría una vez cada 12 meses o tras un cambio relevante (nuevo sector, nuevo mercado, nueva lista de sanciones).

Qué es la auditoría de sanciones y en qué se diferencia de la auditoría de antiblanqueo

La auditoría de sanciones es una evaluación interna del cumplimiento, por parte de la empresa, de las obligaciones derivadas de:

• la Ley 19/2003, de 4 de julio, sobre el régimen jurídico de los movimientos de capitales y las transacciones económicas con el exterior, que articula el régimen administrativo de aplicación de las sanciones financieras internacionales (medidas de salvaguardia y de congelación)¹,
• los Reglamentos de la UE 269/2014 (congelación de activos de personas)² y 833/2014 (sanciones sectoriales contra Rusia)³,
• el Reglamento 765/2006 (Bielorrusia)⁴,
• la lista consolidada de la UE, ya que España no mantiene una lista nacional autónoma de sanciones⁵.

La auditoría de antiblanqueo (PBC/FT), en cambio, cubre todas las obligaciones de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo⁶ — entre ellas la diligencia debida sobre el cliente, la evaluación del riesgo del cliente, la comunicación de operaciones sospechosas al SEPBLAC y la identificación del titular real.

La diferencia más importante: la auditoría de sanciones afecta a un universo más amplio de sujetos. El régimen de medidas restrictivas se aplica directamente (Reglamentos de la UE) a todas las empresas de la UE — no solo a los llamados sujetos obligados. Dicho de otro modo: aunque tu empresa no sea un sujeto obligado a efectos de antiblanqueo, debe cumplir las sanciones de la UE.

Las diferencias entre antiblanqueo y sanciones las analizamos en detalle en el artículo AML y sanciones — diferencias.

Quién debería realizar la auditoría

La auditoría debería realizarla toda empresa que cumpla al menos una de las siguientes condiciones:

1. Es un sujeto obligado en el sentido del art. 2 de la Ley 10/2010⁶ — gestorías y asesores contables, asesores fiscales, intermediarios inmobiliarios, casas de cambio, corredores de seguros de vida, proveedores de servicios sobre activos virtuales, comerciantes de bienes de lujo por encima de los umbrales legales, etc.
2. Realiza operaciones internacionales — exportación, importación, servicios para clientes extranjeros, factoring de exportación, leasing transfronterizo.
3. Presta servicios financieros de forma no bancaria — leasing operativo, factoring, venta a plazos, préstamos al consumo por debajo de los umbrales de antiblanqueo.
4. Concurre a la contratación pública — art. 5k del Reg. 833/2014 (más en nuestro artículo sanciones y contratación pública).
5. Atiende a clientes de listas de riesgo — Rusia, Bielorrusia, Irán, Corea del Norte, países sujetos a determinadas sanciones sectoriales.

En la práctica — en nuestros sectores prioritarios — la auditoría deberían hacerla todas las empresas de turismo, seguros, inmobiliario, leasing y e-commerce. También las gestorías y los despachos de abogados — en su condición de sujetos obligados.

La checklist propiamente dicha — 10 áreas que comprobar

Procede en orden. Cada área = una pregunta principal + 2–3 de control. La respuesta es SÍ / NO / PARCIALMENTE. No mires antes las prioridades — comprueba tú mismo cuánto dolor ves en la empresa.

1. Responsable de cumplimiento — ¿designado y conocido?

Pregunta principal: ¿tu empresa ha designado a una persona responsable del sanction screening y del cumplimiento? (Puede ser la misma persona que se ocupa del antiblanqueo, o una persona distinta.)

Preguntas de control:

• ¿La decisión de designación consta por escrito (acuerdo del órgano de administración o decisión del titular, carta de encargo)?
• ¿Esa persona tiene acceso a las listas de sanciones y a las herramientas de verificación?
• ¿En la empresa se sabe a quién comunicar una coincidencia sospechosa?

Base jurídica: la Ley 10/2010⁶ (para los sujetos obligados) exige nombrar a un representante ante el SEPBLAC y a un responsable interno del cumplimiento de las obligaciones de prevención. Para las empresas que no son sujetos obligados — es un requisito de buena gestión del riesgo; en caso de inspección de sanciones, la ausencia de una persona designada equivale a un reproche de omisión.

Qué revela la falta: «nadie se ocupa de esto en concreto», «la dirección lo supervisa en general», la ausencia de una persona concreta en la respuesta.

Sugerencia: en una pyme de 10–50 personas suele ser el apoderado, el responsable de administración o el director financiero. En empresas más grandes — una función Compliance / Compliance Officer dedicada. El enfoque práctico del rol lo describimos en el artículo compliance officer en la pequeña empresa.

2. Procedimiento interno de sanction screening — ¿puesto por escrito?

Pregunta principal: ¿tenéis un documento escrito que describa cuándo y cómo verificáis a la contraparte frente a las listas de sanciones?

Preguntas de control:

• ¿El documento fija el momento de la verificación (antes de la firma del contrato, antes del primer pago, de forma periódica)?
• ¿Indica qué listas se comprueban (UE, ONU, OFAC, UK OFSI)?
• ¿Indica quién toma la decisión ante un MATCH / POSSIBLE?

Base jurídica: la Ley 10/2010⁶ exige a los sujetos obligados aprobar procedimientos y políticas internas de control adecuadas. Para las demás empresas — es un elemento del deber de diligencia que se deriva de la aplicación directa de los Reglamentos de la UE.

Qué revela la falta: «cada empleado lo hace a su manera», «verificamos por intuición», «lo tenemos en algún correo del abogado».

Sugerencia: el procedimiento debe ser operativo — descrito en 2–4 páginas con un lenguaje que entienda un comercial. No un documento de 30 páginas redactado por un abogado. El modelo y la estructura los mostramos en política de sanciones — modelos de documentos.

3. Registro de coincidencias — ¿llevado y actualizado?

Pregunta principal: ¿lleváis un registro de los casos en que el sistema de verificación ha devuelto un MATCH o un POSSIBLE — con la decisión y la motivación?

Preguntas de control:

• ¿Cada entrada tiene fecha, identificador del cliente, lista de origen, tipo de resultado?
• ¿Cada decisión (continuación / rechazo / comunicación al SEPBLAC) tiene una motivación?
• ¿El registro es inalterable (append-only) — no es posible «corregirlo» a posteriori?

Base jurídica: la Ley 10/2010⁶ (conservación de documentos durante 10 años). Para la congelación de activos — la Ley 19/2003¹ (obligación de documentar y comunicar la congelación al Tesoro Público).

Qué revela la falta: ausencia de registro, notas ad-hoc en Excel sin versionado, «lo tenemos en el CRM pero nadie lo ha mirado nunca».

Sugerencia: un modelo de registro de coincidencias (con campos obligatorios y modelo de decisión) — registro de coincidencias de sanciones.

4. Política de sanciones — ¿existe y está aprobada?

Pregunta principal: ¿en la empresa existe un documento escrito de política de sanciones, aprobado por el órgano de administración o por el titular?

Preguntas de control:

• ¿Establece a quién, cuándo y con qué medios verificamos?
• ¿Contiene referencias a actos jurídicos concretos (Reg. 269/2014, 833/2014, Ley 19/2003)?
• ¿Indica qué hacer en caso de MATCH (procedimiento de escalado)?
• ¿Está actualizada (revisión al menos una vez al año)?

Base jurídica: la Ley 10/2010⁶ — procedimiento interno en materia de prevención del blanqueo de capitales y de la financiación del terrorismo, del que forman parte las obligaciones en materia de sanciones; la Ley 19/2003¹ — obligaciones documentales en torno a las medidas de congelación.

Qué revela la falta: «política no tenemos, pero hay un procedimiento», «el documento está en el cajón del abogado», «no lo ha leído nunca nadie».

5. Cláusula de sanciones en los contratos comerciales — ¿incorporada?

Pregunta principal: ¿los contratos firmados con las contrapartes contienen una cláusula de sanciones?

Preguntas de control:

• ¿La cláusula incluye una declaración de la contraparte de no estar sujeta a sanciones?
• ¿Te otorga el derecho de resolución en caso de inclusión de la contraparte en una lista?
• ¿Comprende la obligación de informar de los cambios en la estructura de propiedad?

Base jurídica: principio de autonomía de la voluntad (art. 1255 del Código Civil) — la cláusula no la impone la ley, pero su ausencia significa que, en caso de inclusión de la contraparte en una lista, no dispones de instrumentos para resolver el contrato con seguridad. Es una práctica de mercado recomendada también en relación con la prohibición de contratación del art. 5k del Reg. 833/2014⁷.

Qué revela la falta: «tenemos modelos de contrato antiguos, anteriores a 2022», «los contratos se firman sin cláusula, total nadie los lee».

Sugerencia: la cláusula de sanciones en los contratos comerciales debería cubrir también el ámbito de la contratación pública, si la empresa concurre a ella.

6. Formación del personal — ¿realizada y documentada?

Pregunta principal: ¿los empleados en contacto con el cliente (ventas, atención, contabilidad, asesoría jurídica) han sido formados en las reglas de verificación de sanciones?

Preguntas de control:

• ¿La formación es periódica (recomendado: mínimo una vez cada 12 meses)?
• ¿Existe una lista de asistencia / certificado de finalización?
• ¿El material formativo contiene casos concretos de tu sector?
• ¿El empleado sabe reconocer las señales de una operación sospechosa (red flags)?

Base jurídica: la Ley 10/2010⁶ — exige a los sujetos obligados aprobar planes de formación adecuada y continuada del personal; obligación periódica.

Qué revela la falta: «los formamos sobre la marcha», «cada uno sabe lo que tiene que hacer», la ausencia de un documento que acredite la formación.

Sugerencia: un plan marco de formación + una checklist de temas que tratar — formación de los empleados en sanciones.

7. Actualización de las listas de sanciones — proceso y frecuencia

Pregunta principal: ¿con qué frecuencia comprobáis las actualizaciones de las listas de sanciones (Anexo I del Reg. UE, lista consolidada de la UE, OFAC SDN, lista consolidada de la ONU)?

Preguntas de control:

• ¿Tenéis definidas las fuentes de las listas (URL, formatos)?
• ¿El proceso de actualización es diario o ad-hoc?
• En caso de ampliación de la lista (nuevo paquete de sanciones de la UE), ¿volvéis a comprobar a los clientes activos?
• ¿Tenéis alertas / una suscripción a las ampliaciones de las listas?

Base jurídica: los Reglamentos de la UE 269/2014 y 833/2014²³ — las medidas se aplican desde el día de su entrada en vigor. La entrada en vigor de un paquete de sanciones es a menudo el día siguiente al de su publicación en el Diario Oficial de la UE — la ausencia de una actualización diaria = riesgo de ejecutar una operación con un sujeto recién incluido antes de tu reacción.

Qué revela la falta: «lo comprobamos al firmar el contrato», «una vez al trimestre alguien le echa un vistazo», «tenemos una herramienta de pago, pero nadie sabe si se actualiza».

Sugerencia: las fuentes más críticas: actualizaciones de las listas de sanciones, lista consolidada de la UE, lista OFAC.

8. Procedimiento de actuación ante un MATCH / POSSIBLE — ¿descrito?

Pregunta principal: ¿tenéis por escrito los pasos de actuación en caso de coincidencia (MATCH o POSSIBLE)?

Preguntas de control:

• ¿Quién recibe la notificación?
• ¿Qué pasos da (escalado a cumplimiento, suspensión de la operación, verificación con una segunda fuente)?
• ¿En qué plazo se toma la decisión final?
• ¿Existe un procedimiento de comunicación al SEPBLAC (formulario, plazo, persona responsable)?

Base jurídica: la Ley 10/2010⁶ — obligación de comunicar al SEPBLAC sin demora las operaciones sospechosas; la Ley 19/2003¹ — obligaciones al detectar fondos o recursos económicos sujetos a congelación (comunicación al Tesoro Público).

Qué revela la falta: «todavía no hemos tenido una situación así», «seguramente llamaremos al abogado», «los falsos positivos los ignoramos porque de todas formas nadie lo va a comprobar».

Sugerencia: el tratamiento correcto de los resultados — falso positivo en el sanction screening.

9. Evaluación del riesgo del cliente — ¿realizada antes de la firma del contrato?

Pregunta principal: ¿antes de firmar un contrato con una nueva contraparte evaluáis el nivel de riesgo de sanciones (país, sector, estructura de propiedad, contexto de la operación)?

Preguntas de control:

• ¿Existe un formulario de evaluación del riesgo (KYC light) o una puntuación?
• A los clientes de alto riesgo (países sujetos a sanciones sectoriales, estructuras offshore, falta de transparencia sobre el titular real), ¿los tratáis de forma distinta?
• ¿Documentáis la decisión de firmar el contrato pese al riesgo identificado?

Base jurídica: la Ley 10/2010⁶ — medidas de diligencia debida proporcionadas al riesgo del cliente; evaluación del riesgo de la clientela y aplicación de un enfoque basado en el riesgo.

Qué revela la falta: «confiamos en el sentido común», «no tenemos evaluación del riesgo, el cliente o está o no está», la ausencia de diferenciación entre un cliente de España y un cliente de Chipre.

Sugerencia: el proceso en detalle — verificación de la contraparte a efectos de sanciones.

10. Documentación de las decisiones — ¿10 años, inalterable, accesible?

Pregunta principal: ¿todas las decisiones en materia de sanciones (verificación, MATCH, escalado, comunicación al SEPBLAC, decisión de la dirección) están documentadas y conservadas durante 10 años desde la finalización de la relación de negocio?

Preguntas de control:

• ¿Los documentos se conservan de forma protegida frente a modificaciones (sistema con audit log, copias de seguridad)?
• En caso de inspección, ¿sabes dónde están los documentos de 2022 (4 años atrás)?
• ¿Las decisiones están firmadas (digitalmente o a mano) por el responsable de cumplimiento o por una persona autorizada?

Base jurídica: la Ley 10/2010⁶ — los sujetos obligados conservan los documentos y la información durante un periodo de 10 años desde la finalización de la relación de negocio o la ejecución de la operación ocasional. Una obligación de documentación y conservación rige también para las medidas de congelación (Ley 19/2003¹).

Qué revela la falta: «los documentos están en algún correo», «contabilidad los tiene archivados, pero no sabemos dónde», la imposibilidad de localizar en 30 minutos documentos de hace 2 años.

Qué hacer con las carencias — prioridades de subsanación

Tras recorrer las 10 áreas tienes un resultado. Ahora establece la prioridad:

BLOCK — subsanar en 7 días

Si en las áreas #1, #2, #3 tienes un NO — es un BLOCK. El inspector detectará estas lagunas en los primeros minutos de la inspección.

Consecuencia de la omisión: en caso de incumplimiento de las medidas restrictivas, sanción administrativa al amparo de la Ley 19/2003 — para las infracciones muy graves, multa de hasta el equivalente al contenido económico de la operación, con un mínimo de 30.000 €, además de amonestación pública o privada¹. Hoy no existe todavía en España un delito penal específico por incumplir las medidas restrictivas de la UE: la criminalización está pendiente de la transposición de la Directiva (UE) 2024/1226⁸. Un análisis detallado de las sanciones — penas por incumplir sanciones.

FIX grande — subsanar en 30 días

Las áreas #4, #5, #6, #7 — la falta = FIX grande. El inspector lo detectará en la segunda fase de la inspección (tras revisar los documentos).

FIX pequeño — subsanar en 90 días

Las áreas #8, #9, #10 — la falta = FIX pequeño. El inspector lo detectará en la tercera fase (verificación de casos concretos).

Cómo prepararse para una inspección del Tesoro / del SEPBLAC

El control del cumplimiento interno en materia de sanciones puede ser realizado por varios organismos:

• Tesoro Público (Secretaría General del Tesoro y Financiación Internacional) — autoridad nacional competente en materia de sanciones financieras internacionales; recibe las comunicaciones de congelación y gestiona el régimen de la Ley 19/2003¹.
• SEPBLAC — Unidad de Inteligencia Financiera y supervisor de antiblanqueo; recibe las comunicaciones de operaciones sospechosas y vigila el cumplimiento de las obligaciones de los sujetos obligados, sanciones incluidas⁹.
• AEAT / Aduanas (Agencia Estatal de Administración Tributaria) — controla las obligaciones de las empresas en el comercio exterior (exportación, importación, deuda aduanera) y la aplicación de los embargos comerciales — más detalle en inspección aduanera — cómo prepararse.
• CVAFT (Comisión de Vigilancia de Actividades de Financiación del Terrorismo) — adscrita al Ministerio del Interior; gestiona el bloqueo/congelación de fondos vinculados a la financiación del terrorismo⁵.

Qué suele solicitar el inspector:

1. La política de sanciones (#4)
2. El procedimiento interno de screening (#2)
3. El registro de coincidencias (#3)
4. Los documentos de designación del responsable de cumplimiento (#1)
5. Los materiales y las listas de asistencia de las formaciones (#6)
6. Los logs del sistema de screening — prueba de la verificación de clientes concretos (#3, #10)
7. El procedimiento ante un MATCH + ejemplos de aplicación (#8)
8. Las cláusulas de sanciones en contratos seleccionados (#5)

Si lo anterior estás en condiciones de entregárselo al inspector en 60 minutos — estás preparado. Si primero tienes que reunirlo — tienes lagunas en las áreas #1–#10.

Cómo ayuda Sanqto

Sanqto es un software de sanction screening instalado on-premise — los datos de tus clientes no salen de tu infraestructura. En el contexto de la auditoría de sanciones cubrimos directamente varias áreas de la checklist:

• Área #2 (procedimiento): procedimiento de verificación integrado + audit log de cada decisión.
• Área #3 (registro de coincidencias): registro automático con campos obligatorios y periodo de conservación de 10 años.
• Área #7 (actualización de las listas): sincronización diaria de las listas de la UE, la ONU y OFAC.
• Área #10 (documentación): registro inalterable de las decisiones con audit log y copias de seguridad.

Además recibes un paquete de implementación: política de sanciones, instrucción de puesto, modelo de cláusula de sanciones, formulario de evaluación del riesgo. Esto cubre las áreas #1, #4, #5, #9.

Solicita una demo o conoce el producto Sanqto.

Base jurídica

• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo — sujetos obligados (art. 2), procedimientos y políticas internas de control, diligencia debida, formación del personal, conservación de documentos durante 10 años y comunicación de operaciones sospechosas al SEPBLAC⁶.
• Ley 19/2003, de 4 de julio, sobre el régimen jurídico de los movimientos de capitales y las transacciones económicas con el exterior — medidas de salvaguardia y de congelación (art. 4–5), régimen sancionador administrativo (art. 8 clasificación de infracciones, art. 9 cuantía de las sanciones)¹.
• Reglamento (UE) 269/2014 (congelación de activos de personas y entidades) — Anexo I².
• Reglamento (UE) 833/2014 (sanciones sectoriales contra Rusia) — Anexos IV–XXVI, prohibición de contratación art. 5k³.
• Reglamento (CE) 765/2006 (Bielorrusia)⁴.
• Lista consolidada de la UE — España no mantiene una lista nacional autónoma⁵.
• SEPBLAC — Unidad de Inteligencia Financiera y supervisor de antiblanqueo⁹.
• Directiva (UE) 2024/1226 — criminalización de la violación de las medidas restrictivas de la UE; transposición en España pendiente⁸.

Información, no asesoramiento jurídico. Este artículo tiene finalidad meramente informativa y no constituye asesoramiento jurídico. La valoración jurídica de un caso concreto debe realizarse con un abogado experto en derecho de sanciones internacionales y comercio exterior. Situación jurídica: 26 de mayo de 2026.