Política de sanciones de la empresa — qué debe contener y cómo implantarla

Si tu empresa ya realiza screening de sanciones —o está empezando a implantarlo— tarde o temprano surgirá la pregunta: ¿qué hay que poner exactamente por escrito? La política de sanciones es un documento interno que describe las reglas de verificación de las contrapartes frente a las listas de sanciones de la UE, de la ONU y, en el caso de los países que mantienen su propia lista, frente a la lista nacional correspondiente¹. No es una formalidad académica: es tu principal prueba de diligencia debida en caso de una inspección de la autoridad competente —en España, la Secretaría General del Tesoro y Financiación Internacional²—. Este artículo explica qué debe contener esa política, qué otros documentos son necesarios, quién debe aprobarla y cómo actualizarla.

Situación jurídica a fecha de: 2026-05-20.

TL;DR — lo esencial en cinco puntos

• La política de sanciones es un documento interno de la empresa que describe: a quién verificas, cuándo, frente a qué listas y qué haces cuando aparece una coincidencia. Sin ella, incluso un screening realizado correctamente resulta difícil de demostrar ante el órgano de control.
• La obligación de verificar se deriva directamente de los Reglamentos de la UE n.º 269/2014³ y 833/2014⁴, que son directamente aplicables en cada Estado miembro sin necesidad de transposición⁵ —y, en España, del régimen administrativo de la Ley 19/2003⁶—.
• La documentación completa se compone de cuatro elementos: la política de sanciones, la instrucción de puesto de trabajo, el registro de coincidencias y la evaluación del riesgo de sanciones. Un quinto —los modelos de escritos— resulta útil en el contacto con las autoridades.
• La aprobación debe producirse a nivel del órgano de administración o del titular de la empresa. La persona responsable del cumplimiento debe designarse por escrito.
• La actualización debe ser obligatoria al menos una vez al año y cada vez que se produzca un cambio normativo relevante o un cambio en el ámbito de actividad de la empresa.

Qué es la política de sanciones y para qué tenerla

La política de sanciones es un documento interno que describe cómo tu empresa cumple la obligación derivada de la normativa de la UE y nacional sobre medidas restrictivas. No es un documento dirigido a las autoridades: se elabora para uso propio de la empresa y de sus empleados. Pero si se produce una inspección de la autoridad competente, es el primer documento que pedirá el inspector².

Conviene entender de dónde nace esta obligación. El Reglamento (UE) n.º 269/2014 del Consejo, de 17 de marzo de 2014³, y el Reglamento (UE) n.º 833/2014 del Consejo, de 31 de julio de 2014⁴, prohíben celebrar operaciones con sujetos inscritos en las listas de sanciones. Los reglamentos de la UE son directamente aplicables: vinculan a toda empresa que opere en el territorio de la Unión Europea sin necesidad de ninguna decisión nacional adicional⁵. En España, la Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior y sobre determinadas medidas de prevención del blanqueo de capitales, articula el régimen administrativo de aplicación de las sanciones financieras y prevé un régimen sancionador para los incumplimientos⁶².

Si todavía no sabes si tu empresa está sujeta siquiera a esta obligación, lee primero el artículo ¿tiene mi empresa que realizar screening de sanciones?, que explica a quién afecta la normativa y de dónde se deriva.

La propia política de sanciones cumple dos funciones. La primera es operativa: los empleados saben qué deben hacer, a quién comprobar y qué hacer cuando aparece una coincidencia. La segunda es probatoria: en caso de procedimiento puedes acreditar que la empresa actuó conforme a procedimientos establecidos y que no dejó el cumplimiento al azar. En la práctica, el cumplimiento sin documentación es un cumplimiento que no se puede demostrar.

Qué debe contener la política de sanciones

No existe un modelo oficial único de política de sanciones impuesto por la ley española para las empresas ajenas al sector financiero. Esto significa que tienes cierta libertad de forma, pero el contenido debe cubrir varias áreas clave.

Ámbito subjetivo y objetivo

La política debe determinar con precisión a quién afecta la verificación. Como mínimo: los clientes antes de iniciar una relación comercial, las contrapartes y los proveedores, y los intermediarios y agentes comerciales. Si desarrollas actividad transfronteriza o tratas con titulares reales (UBO), conviene incluir la comprobación de toda la cadena de propiedad —ya que las sanciones de la UE alcanzan a las entidades en las que una persona de la lista posee más del 50 % de las participaciones o ejerce el control⁷—.

El ámbito objetivo determina a qué operaciones afecta el screening: venta de bienes, prestación de servicios, celebración de contratos de arrendamiento, abono de fondos. Cuanto más precisa sea la descripción, menos margen quedará para las dudas operativas.

Listas de sanciones cubiertas por la verificación

Enumera por su nombre qué listas comprueba tu empresa. El mínimo para cualquier empresa española es la lista consolidada de la UE mantenida por la Comisión Europea (DG FISMA)⁸. España no mantiene una lista nacional autónoma de sanciones: se aplican la lista consolidada de la UE y la lista de la ONU, y los mecanismos nacionales de congelación los coordinan el Tesoro Público y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo (CVAFT)¹. Si comercias con sujetos de fuera de la UE o liquidas operaciones en dólares, considera añadir la lista de la ONU⁹ y la lista OFAC (Specially Designated Nationals)¹⁰. Las empresas con exposición al Reino Unido deberían incluir la UK OFSI Consolidated List¹¹.

Conviene indicar en la política de dónde descargas las listas y de qué modo te aseguras de utilizar la versión vigente. Las listas se actualizan de forma continua, sin un calendario fijo: la DG FISMA modifica la lista consolidada de la UE cada vez que se adopta un nuevo paquete de sanciones o se realiza un cambio puntual en una entrada⁸.

Funciones y responsabilidades

¿Quién en la empresa es responsable del cumplimiento en materia de sanciones? La política debe señalar una función concreta (o el nombre y apellidos, si la empresa es pequeña): quién aprueba los resultados de la verificación, quién toma la decisión ante una coincidencia POSSIBLE, a quién se escala un resultado MATCH. La falta de un reparto claro de responsabilidades es uno de los problemas más frecuentes en una inspección.

En una empresa pequeña puede ser una sola persona —el titular o un empleado designado—. En una organización mayor conviene introducir una estructura de dos niveles: un empleado operativo realiza la verificación y una persona designada por el órgano de administración aprueba los casos dudosos. Sea cual sea la estructura, la designación debe documentarse por escrito.

Procedimiento de verificación — paso a paso

Es el corazón del documento. Describe cómo se realiza la comprobación de una contraparte: qué herramientas o sistemas utilizas, qué datos de la contraparte introduces (nombre y apellidos o razón social, fecha de nacimiento o NIF/CIF, país de domicilio), cómo interpretas los resultados y cómo documentas cada paso. Si utilizas un sistema informático de screening, descríbelo por su nombre e indica quién es responsable de su actualización.

Conviene determinar con claridad los momentos de verificación obligatoria: antes de cada nueva relación comercial (antes de firmar el contrato o ejecutar la primera operación) y, en el caso de las contrapartes habituales, después de cada actualización de las listas o en un ciclo establecido (por ejemplo, trimestral). Aprende más sobre cómo realizar la verificación en la práctica en el artículo verificación de la contraparte frente a las sanciones.

Actuación ante una coincidencia

Es una sección que a menudo se omite —y resulta clave—. La política debe describir los tres escenarios del resultado del screening:

• CLEAR — sin coincidencia, la operación puede continuar, el resultado se registra.
• POSSIBLE — resultado no concluyente, se requieren comprobaciones adicionales (cotejo de la fecha de nacimiento, del número de documento, del país) y la decisión de la persona designada por el órgano de administración. La decisión y su motivación se documentan.
• MATCH — coincidencia cierta; la operación se bloquea, los fondos de la contraparte (si están a disposición de la empresa) se congelan y la coincidencia se comunica al órgano competente —en España, el Tesoro Público o, en su caso, la CVAFT²—.

Describe también qué sucede con las relaciones comerciales ya en curso cuando una contraparte aparece en una lista durante la vigencia del contrato.

Frecuencia de la verificación y actualización de la política

Determina con qué frecuencia compruebas a las contrapartes habituales (por ejemplo, trimestralmente o ante cada actualización relevante de las listas). Determina también el calendario de revisión de la propia política: al menos una vez al año y cada vez que se produzca un cambio normativo relevante o un cambio significativo en el perfil de actividad de la empresa.

Formación

Indica quién recibe formación en materia de cumplimiento de sanciones y cuándo. Como mínimo: la persona designada para realizar el screening. Para las empresas con mayor exposición al riesgo: todos los empleados que tengan contacto con clientes y contrapartes. Una formación documentada es otro elemento probatorio de la diligencia debida.

Los demás documentos: instrucción de puesto, registro de coincidencias, evaluación del riesgo, modelos de escritos

La política de sanciones es un documento estratégico —describe las reglas—. Para el trabajo diario necesitas además algunos documentos operativos.

Instrucción de puesto de trabajo

Es un documento redactado pensando en el empleado que materialmente realiza la verificación. Mientras la política describe el «qué» y el «por qué», la instrucción de puesto dice «cómo» —paso a paso—. Debe contener: dónde acceder al sistema o a la página, qué introducir en el campo de búsqueda, cómo leer el resultado, qué hacer con cada uno de los tres resultados posibles, y a quién y con qué rapidez comunicar un resultado MATCH o POSSIBLE. Una buena instrucción de puesto debe ser comprensible para una persona que nunca antes haya tenido contacto con el cumplimiento en materia de sanciones.

Registro de coincidencias

El registro de coincidencias es un diario actualizado de todas las verificaciones realizadas. Cada anotación debe contener al menos: la fecha de la verificación, los datos identificativos de la contraparte (nombre y apellidos o razón social, país), la lista o las listas comprobadas, el resultado de la verificación (CLEAR / POSSIBLE / MATCH), el nombre y apellidos de la persona que realizó la verificación y —en el caso de los resultados POSSIBLE y MATCH— la descripción de las medidas adoptadas y la decisión final. En el caso de un resultado POSSIBLE conviene incluir la motivación de por qué se decidió continuar o bloquear la operación.

El registro de coincidencias es el documento probatorio más importante en caso de inspección. Demuestra que el screening se realizó de hecho —y no que solo quedó descrito en la política—. La normativa nacional no impone expresamente a las empresas ajenas al sector financiero la obligación de llevar este registro⁶, pero su ausencia en caso de procedimiento puede socavar eficazmente el argumento de la diligencia debida.

Evaluación del riesgo de sanciones

La evaluación del riesgo es un documento que describe qué riesgo de incumplimiento del régimen de sanciones lleva aparejado el perfil de tu actividad. Debe tener en cuenta: el sector y el tipo de clientes (si tienes clientes particulares o corporativos), la geografía de las operaciones (si atiendes a clientes de zonas de mayor riesgo) y el tipo de productos o servicios ofrecidos (si son productos sujetos a prohibiciones de exportación del Reglamento 833/2014⁴). El resultado de la evaluación del riesgo influye en lo restrictivo que debe ser el procedimiento de verificación: una empresa con clientes exclusivamente locales en un sector de bajo riesgo puede adoptar un régimen simplificado, mientras que una empresa que importa bienes de regiones de alto riesgo debería aplicar un screening completo en cada operación.

Para las empresas que sean sujetos obligados en el sentido de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo¹², la evaluación del riesgo es un elemento obligatorio que se deriva directamente de esa ley. Para las demás empresas, la evaluación del riesgo es una buena práctica que refuerza su posición en caso de procedimiento.

Modelos de escritos

Los modelos de escritos resultan útiles en dos situaciones. La primera es la comunicación de una coincidencia al órgano competente —el Tesoro Público o, en su caso, la CVAFT— cuando confirmes que una contraparte figura en una lista de sanciones²¹. La segunda es la correspondencia con la contraparte o el cliente cuando se bloquea una operación. Los modelos ya preparados permiten actuar con rapidez y corrección en una situación de fuerte presión de tiempo y consecuencias graves del error.

Quién aprueba y cómo actualizar la documentación

Aprobación

La política de sanciones debe ser aprobada por la persona u órgano facultado para obligar a la empresa: el titular, el administrador único o —en organizaciones mayores— por acuerdo del órgano de administración. La aprobación debe documentarse con fecha y firma. En caso de inspección, esto acredita que el cumplimiento no fue la iniciativa de un solo empleado, sino una decisión consciente de gestión.

Al mismo tiempo conviene designar por escrito a la persona responsable de la aplicación corriente de la política —con nombre y apellidos, indicando el alcance de sus facultades y obligaciones—. Si esta persona cambia (salida de un empleado, reestructuración), la actualización de la designación debe producirse sin demora y documentarse.

Actualización

La política de sanciones debe revisarse y actualizarse en tres situaciones. En primer lugar, de forma periódica —al menos una vez al año, con fecha y firma de la persona que la aprueba—. En segundo lugar, tras cada cambio normativo relevante —como la adopción de un nuevo paquete de sanciones de la UE o la entrada en vigor de la normativa nacional que transponga la Directiva (UE) 2024/1226 del Parlamento Europeo y del Consejo, de 24 de abril de 2024, relativa a la criminalización del incumplimiento de las medidas restrictivas¹³—. En tercer lugar, cuando cambie el perfil de actividad de la empresa: entrada en un nuevo mercado geográfico, nueva categoría de clientes, nuevo tipo de productos o servicios.

Conviene archivar cada versión de la política con su fecha —no solo la vigente, sino también las anteriores—. En caso de una inspección que abarque hechos del pasado, podrás acreditar qué versión de la política estaba vigente en cada momento.

La documentación como prueba de diligencia debida en una inspección

En España, el incumplimiento de las medidas restrictivas se sanciona por la vía administrativa con arreglo a la Ley 19/2003: la clasificación de las infracciones (muy graves, graves y leves) y la cuantía de las sanciones están reguladas en su régimen sancionador². No se trata de la verificación en sí —se trata de lo que hiciste o dejaste de hacer cuando la contraparte resultó estar en una lista—.

En la práctica, los órganos de control valoran no solo si se produjo el incumplimiento, sino también cómo actuó la empresa: si tenía procedimientos, si se aplicaban, si en la documentación hay rastro de las decisiones adoptadas. Una documentación de cumplimiento completa —política, registro de coincidencias, instrucción de puesto— permite demostrar que actuaste de buena fe y con la diligencia debida. No es garantía de evitar la sanción, pero sí un elemento importante que los órganos tienen en cuenta al valorar el caso.

Conviene también recordar la responsabilidad penal. La Directiva (UE) 2024/1226, de 24 de abril de 2024, obligó a los Estados de la UE a criminalizar el incumplimiento de las sanciones, y su plazo de transposición venció el 20 de mayo de 2025¹³. España aún no la ha transpuesto: se tramita el Proyecto de Ley Orgánica de modificación del Código Penal (LO 121/000072), por lo que hoy no existe todavía un tipo penal específico de incumplimiento de las medidas restrictivas de la UE¹⁴. Dado que el estado del proceso legislativo varía, antes de tomar una decisión de cumplimiento conviene comprobar la situación actual en las publicaciones oficiales del Congreso de los Diputados y del BOE. El cuadro completo de las posibles consecuencias —incluida la responsabilidad personal del titular y de los administradores— lo trata el artículo qué penas conlleva incumplir las sanciones.

La documentación de cumplimiento es además cada vez más exigida por los socios de negocio. Las empresas de Europa Occidental —en especial de Alemania, los Países Bajos y Escandinavia— piden cada vez con más frecuencia a sus proveedores y colaboradores que acrediten haber implantado procedimientos de sanciones. La falta de documentación puede costar un contrato, aunque nunca se haya producido un incumplimiento de las sanciones.

Cómo empezar — checklist de implantación de la documentación de sanciones

A continuación, un plan de acción práctico para una empresa que empieza a construir su documentación de cumplimiento desde cero. El orden importa: empieza por lo básico antes de pasar al detalle.

1. Confirma que la obligación te afecta. Revisa el artículo ¿tiene mi empresa que realizar screening de sanciones? y asegúrate de entender de dónde se deriva la obligación para tu sector.
2. Designa por escrito a la persona responsable. Un acuerdo del órgano de administración, un apoderamiento por escrito o, al menos, un correo electrónico que apruebe el alcance de las obligaciones —cualquier cosa que pueda mostrarse en una inspección—.
3. Elabora la evaluación del riesgo de sanciones. Valora qué operaciones y qué clientes tienes en cartera, de dónde proviene el riesgo y cuán elevado es. Una o dos páginas bastan para empezar.
4. Redacta la política de sanciones. Cubre las seis áreas descritas en la sección anterior: ámbito, listas, funciones, procedimiento, actuación ante una coincidencia, formación. No tiene por qué ser larga —de cinco a ocho páginas es un mínimo razonable—.
5. Prepara la instrucción de puesto de trabajo. Imprímela o ponla a disposición de la persona que realiza la verificación en su lugar de trabajo.
6. Pon en marcha el registro de coincidencias. Puede ser una hoja de cálculo, una base de datos o un módulo del sistema de screening. Lo clave es que cada verificación quede anotada.
7. Imparte la primera formación. Repasa con la persona designada la política, la instrucción y el registro. Anota la fecha y los participantes.
8. Aprueba el paquete de documentos con la firma del órgano de administración. Fecha y firma en la portada de la política y de la evaluación del riesgo.
9. Programa un recordatorio de revisión anual. O antes —si tu sector está expuesto a cambios frecuentes en materia de sanciones—.
10. Conserva todo durante al menos cinco años. En caso de procedimiento, los órganos pueden requerir documentación de años anteriores.

Si gestionas una agencia de viajes, una inmobiliaria o eres corredor de seguros, consulta también los artículos sectoriales: screening de sanciones para agencias de viajes y turismo, para inmobiliarias y para seguros.

Cómo puede ayudar Sanqto

Sanqto ofrece un paquete listo de documentos de implantación —política de sanciones, instrucción de puesto de trabajo, registro de coincidencias, evaluación del riesgo y modelos de escritos— preparado pensando en las empresas ajenas al sector financiero. Además de los documentos, el software de screening de sanciones de Sanqto funciona en modo on-premise: los datos de tus contrapartes no salen de la infraestructura de la empresa, y los resultados de la verificación —MATCH, POSSIBLE o CLEAR— se registran automáticamente, creando una pista de auditoría lista para usar. Si quieres ver cómo funciona en la práctica para tu sector, visita las páginas: turismo y agencias de viajes, inmobiliarias, seguros.

Preguntas frecuentes (FAQ)

¿Es obligatoria la política de sanciones para toda empresa?

La normativa no impone expresamente a las empresas ajenas al sector financiero la obligación de tener un documento formal denominado «política de sanciones». Lo que sí es obligatorio es cumplir las prohibiciones derivadas de los Reglamentos de la UE n.º 269/2014³ y 833/2014⁴ y del régimen administrativo de la Ley 19/2003⁶. La política de sanciones es el instrumento que permite acreditar que la empresa cumple esas obligaciones —y se reconoce de forma generalizada como un elemento de diligencia debida—.

¿Cuánto debe medir una política de sanciones?

No hay una extensión mínima ni máxima. Para una empresa pequeña con un perfil de actividad sencillo bastan de cinco a ocho páginas. Para una empresa que opera en varios países, con una amplia cartera de clientes o con productos sujetos a prohibiciones de exportación, el documento puede ser bastante más largo. Lo que cuenta es la completitud del contenido, no la extensión.

¿La política de sanciones tiene que prepararla un abogado?

No. La política puede prepararla el titular de la empresa, la persona responsable del cumplimiento o —partiendo de un modelo ya hecho— cualquier persona que entienda el perfil de actividad de la empresa. Se recomienda que, antes de su aprobación, el documento lo revise alguien con conocimientos jurídicos o de cumplimiento, pero no es un requisito formal.

¿Con qué frecuencia hay que actualizar el registro de coincidencias?

Tras cada verificación —tanto cuando el resultado es CLEAR como ante un POSSIBLE o un MATCH—. Un registro que solo contiene coincidencias no es un registro de screening: es solo un registro de incidencias. Los órganos de control esperan documentación de todo el proceso de verificación, no solo de las excepciones.

¿Qué hacer cuando una contraparte con la que ya trabajamos aparece en una lista?

Hay que suspender de inmediato todos los pagos y suministros a su favor, congelar los fondos de la contraparte que estén a disposición de la empresa (por ejemplo, un anticipo) y comunicar la coincidencia al órgano competente —el Tesoro Público o, en su caso, la CVAFT²¹—. Continuar la operación tras constatar la coincidencia es un incumplimiento de la prohibición del reglamento de la UE, con independencia de la vigencia previa del contrato. Encontrarás información detallada sobre las consecuencias jurídicas del incumplimiento en el artículo qué penas conlleva incumplir las sanciones.

¿Hay que conservar el registro de coincidencias? ¿Durante cuánto tiempo?

La normativa nacional no fija expresamente un plazo de conservación de la documentación de sanciones para las empresas ajenas al sector financiero⁶. En la práctica se recomienda aplicar un criterio análogo al de las normas generales de conservación de documentación —al menos cinco años—, teniendo en cuenta los posibles plazos de prescripción de los procedimientos administrativos y penales.

Base jurídica

• Reglamento (UE) n.º 269/2014 del Consejo, de 17 de marzo de 2014, relativo a la adopción de medidas restrictivas respecto de acciones que menoscaban o amenazan la integridad territorial, la soberanía y la independencia de Ucrania — CELEX 32014R0269
• Reglamento (UE) n.º 833/2014 del Consejo, de 31 de julio de 2014, relativo a medidas restrictivas motivadas por acciones de Rusia que desestabilizan la situación en Ucrania — CELEX 32014R0833
• Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior y sobre determinadas medidas de prevención del blanqueo de capitales (BOE-A-2003-13471) — BOE
• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo (BOE-A-2010-6737) — BOE
• Directiva (UE) 2024/1226 del Parlamento Europeo y del Consejo, de 24 de abril de 2024, relativa a la definición de los delitos y las penas por la vulneración de las medidas restrictivas de la Unión — CELEX 32024L1226
• Lista consolidada de la UE (FSD, DG FISMA) — finance.ec.europa.eu/eu-and-world/sanctions-restrictive-measures_en
• UN Security Council Consolidated List — un.org/securitycouncil/content/un-sc-consolidated-list
• OFAC Specially Designated Nationals List (SDN) — ofac.treasury.gov/specially-designated-nationals-and-blocked-persons-list-sdn-human-readable-lists
• UK OFSI Consolidated List — gov.uk/government/publications/financial-sanctions-consolidated-list-of-targets

Footnotes

Información, no asesoramiento jurídico. Este artículo tiene finalidad meramente informativa y no constituye asesoramiento jurídico. La valoración jurídica de un caso concreto debe realizarse con un abogado experto en derecho de sanciones internacionales y comercio exterior. Situación jurídica: 20 de mayo de 2026.