Mandatos de transferencia: asegúralos coa sinatura electrónica...

Por que os mandatos de transferencia son un obxectivo dos defraudadores?

Os mandatos de transferencia constitúen un dos puntos de vulnerabilidade máis explotados polos delincuentes cibernéticos. Segundo o informe anual 2025 do Banco de Francia sobre a seguridade dos medios de pagamento, a fraude de transferencias bancarias representa un dano estimado en 1,2 mil millóns de euros para as empresas francesas. A técnica coñecida como "falsa orde de transferencia" (FOVI) ou fraude ao presidente dirixese precisamente á cadea de aprobación documentaria: un mandato mal asegurado, asinado por un simple escaneo de rúbrica ou enviado por correo electrónico sen autenticación, convértese nunha porta de entrada ideal.

Ante esta realidade, a sinatura electrónica para empresas imponse como unha resposta técnica e xurídica robusta. Non se limita a poñer unha imaxe de sinatura nunha PDF: crea unha pegada criptográfica única, con marca horaria, ligada á identidade verificada do signatario. Nesta guía, analizamos os retos propios dos mandatos de transferencia, os niveis de sinatura a mobilizar, o papel da autenticación bancaria e a implementación operacional nos servizos financeiros e contables.

---

Os diferentes tipos de mandatos de transferencia e os seus riscos respectivos

Mandatos puntuais vs mandatos permanentes

Un mandato de transferencia puntual autoriza unha única transferencia a un beneficiario definido, por un importe e data precisos. Un mandato permanente (tamén chamado orde recorrente) autoriza transferencias repetidas segundo unha frecuencia acordada. O risco non é simétrico: un mandato permanente non revogado, ou cuxo beneficiario foi modificado fraudulentamente, pode xerar perdas durante meses antes de ser detectado.

Os mandatos de débito directo SEPA (SDD — SEPA Direct Debit) constitúen un caso particular: permiten a un acreedor debitar directamente a conta do deudor despois da sinatura dun mandato conforme ás regras do Scheme SEPA. O regulamento SEPA impón que este mandato sexa arquivado durante toda a duración da relación comercial máis 14 meses despois do último débito — unha restrición documentaria forte que aboga pola desmaterialización asegurada.

Os vectores de fraude documentaria

Tres vectores concentran a maior parte dos incidentes declarados:

1. Falsificación post-sinatura: modificación do RIB ou do importe nun documento asinado manualmente e transmitido por correo electrónico, sen sello criptográfico.
2. Usurpación da identidade do signatario: un mandato enviado desde un enderezo de correo electrónico comprometido, sen verificación de identidade en tempo real.
3. Ausencia de rexistro de auditoría: imposibilidade de probar quén asinó que e cando, en caso de litixio coa banca ou un terceiro.

O valor xurídico da sinatura electrónica reside precisamente na súa capacidade de neutralizar estos tres vectores simultaneamente.

---

Que nivel de sinatura electrónica para un mandato de transferencia?

O regulamento eIDAS (nº 910/2014) define tres niveis de sinatura electrónica: simple (SES), avanzada (AdES) e cualificada (QES). Para os mandatos de transferencia, a elección do nivel debe ser proporcional ao importe, á recorrencia e ao perfil de risco da operación.

Sinatura electrónica avanzada (AdES): o estándar operacional

Para a maioría dos mandatos de transferencia de empresa a empresa, a sinatura electrónica avanzada constitúe o equilibrio óptimo entre seguridade e praticabilidade. Responde ás seguintes exixencias definidas por eIDAS:

• Ligada de maneira unívoca ao signatario
• Capaz de identificar ao signatario
• Creada a partir de datos baixo o control exclusivo do signatario
• Ligada aos datos asinados de forma a detectar calquera modificación posterior

Concretamente, isto se traduce nunha autenticación multifactor (OTP SMS, aplicación móbil TOTP ou certificado de nivel substancial), un sello PDF conforme á norma PAdES (ETSI EN 319 132), e un marcaxe horario electrónico cualificado que fixa a data e a hora de sinatura de forma infalsable.

Sinatura cualificada (QES): para operacións de alto valor

As transferencias que superan certos limiares internos (a miúdo 50 000 € ou 100 000 € segundo as políticas de control interno dos grandes grupos) ou que implican contrapartes sensibles (fornecedores estranxeiros en zonas de risco, beneficiarios recentemente rexistrados) merecen unha sinatura cualificada. Esta última require unha verificación de identidade presencial ou por videoidenticación ante un prestatario de confianza cualificado (QTSP) recoñecido pola ANSSI.

A QES é a única sinatura con valor equivalente á sinatura manuscrita en toda a Unión Europea, sen que sexa posible cuestionala sobre ese único fundamento. Para un tesoireiro ou un DAF, é unha garantía irrefutable ante un consello de administración ou un auditor externo.

A autenticación bancaria forte como capa complementaria

A directiva DSP2 (revisada en DSP3 en 2026) impón unha autenticación forte do cliente (SCA — Strong Customer Authentication) para a validación das transferencias do lado da banca. Esta autenticación repousa en polo menos dous factores entre: algo que o usuario sabe (contrasinal), posúe (teléfono) ou é (biometría).

É importante distinguir dous niveis de intervención:

• A sinatura do mandato (acto xurídico documentario): releva de eIDAS e do dereito dos contratos.
• A validación da orde de pagamento (instrución bancaria): releva de DSP2/DSP3 e do contrato bancario.

Estas dúas capas son complementarias, non substituibles. Unha plataforma como Certyneo asegura a primeira; o teu banco asegura a segunda. Xuntas, forman unha cadea de proba completa, desde a decisión de emitir a transferencia ata a súa execución.

---

Implementación operacional: integrar a sinatura electrónica no circuíto de validación dos mandatos

Cartografiar os fluxos documentarios existentes

Antes de calquera despliegue, convén cartografiar os fluxos: quén inicia o mandato? Quén o valida? Quén o arquiva? En moitas pemes e ETI, este circuíto aínda pasa por un conxunto de correos electrónicos, arquivos compartidos en rede interna e validacións verbais. Esta opacidade é en si mesma un risco operacional sinalado nas recomendacións do COSO (Committee of Sponsoring Organizations of the Treadway Commission) sobre o control interno.

Un comparativo das solucións de sinatura electrónica axudarache a identificar a plataforma adaptada ao teu volume e ás túas restricións de integración (ERP, TMS, portal de fornecedores).

Configurar os workflows de aprobación multisignatarios

A regra dos catro ollos (dobre validación) é unha boa práctica de control interno recomendada pola AMF e polos comisarios de contas para os mandatos de transferencia. As plataformas de sinatura modernas permiten configurar:

• Secuencias de sinatura (o signatario A debe validar antes que o signatario B)
• Limiares de delegación (o director financeiro asina só ata X €, co-sinatura do director xeral máis alá)
• Alertas e relanzamentos automáticos con xornalización con marca horaria de cada acción
• Procuracións electrónicas para períodos de ausencia, cuxa xestión se detalla na nosa guía sobre a procuración e o mandato

Arquivamento e rexistro de auditoría: as exixencias documentarias

Cada mandato de transferencia asinado electronicamente debe ser arquivado coa súa proba de sinatura (certificate chain, informe de auditoría, hash SHA-256 do documento). Este arquivamento debe ser probatorio: lexible, íntegro e accesible durante toda a duración legal de conservación (10 anos para documentos contables segundo o artigo L. 123-22 do Código de Comercio).

As solucións conformes xeran automaticamente un arquivo de proba (LTV — Long Term Validation) integrado no PDF asinado, que permite verificar a validez da sinatura mesmo despois da expiración do certificado inicial. É unha exixencia das normas ETSI EN 319 132 (PAdES-LTV).

---

Os beneficios cuantificables para as direccións financeiras

Redución do risco de fraude e dos custos asociados

Segundo un estudo da Association of Certified Fraud Examiners (ACFE) de 2024, as organizacións con controles documentarios dixitais rexistran en media 52% menos perdas relacionadas coa fraude interna e externa que aquelas que dependen de procesos en papel. A sinatura electrónica avanzada elimina en particular a posibilidade de modificar un documento despois da sinatura, eliminando de facto a falsificación post-envío.

Aceleración dos ciclos de aprobación

Un circuíto de validación en papel para un mandato de transferencia leva en media 3 a 7 días laborables nunha empresa de tamaño intermedio (segundo unha enquisa Kyriba/Ipsos 2025 sobre a tesouraría de empresa). O paso ao dixital reduce este prazo a poucas horas, ou incluso minutos para operacións rutinarias con workflow pre-parametrado. Para un tesoireiro xestionando necesidades de liquidez en tempo real, este ganho é estratéxico.

Conformidade facilitada e auditoría simplificada

Durante unha fiscalización ou auditoría legal, a reconstrución das validacións internas en mandatos de transferencia é unha tarefa tediosa. Con un sistema de sinatura electrónica, cada mandato vén acompañado dun rexistro de auditoría inmutable: data, hora, enderezo IP, identificador do signatario, resultado da autenticación. Este nivel de trazabilidade responde directamente ás expectativas dos comisarios de contas e ás da DGFiP en materia de rexistro de auditoría fiable (PAF).

Marco legal aplicable aos mandatos de transferencia asinados electronicamente

Dereito común dos contratos e forza probatoria

En dereito francés, o artigo 1366 do Código Civil establece o principio xeral: "O escrito electrónico ten a mesma forza probatoria que o escrito en soporte papel, baixo reserva de que se poida identificar debidamente a persoa de quen emana e que sexa establecido e conservado en condicións de natureza a garantir a súa integridade." O artigo 1367 precisa que a sinatura electrónica consiste no uso dun procedemento fiable de identificación que garante a súa ligazón co acto ao que se adxunta.

Estas disposicións complétanse co decreto nº 2017-1416 do 28 de setembro de 2017 relativo á sinatura electrónica, que precisa que a fiabilidade dun procedemento de sinatura electrónica se presume ata proba en contrario cando implementa unha sinatura electrónica cualificada no sentido do regulamento eIDAS.

Regulamento eIDAS nº 910/2014 e a súa revisión eIDAS 2.0

O regulamento eIDAS nº 910/2014 constitúe o soco regulatorio europeo. Establece un marco único para o recoñecemento mutuo das sinaturas electrónicas nos 27 estados membros. O artigo 25(1) dispón que unha sinatura electrónica non pode ser rexeitada un efecto xurídico só polo feito de que se presente en forma electrónica. O artigo 25(2) outorga á sinatura cualificada o mesmo valor xurídico que a sinatura manuscrita. En 2024, o regulamento eIDAS 2.0 (regulamento UE 2024/1183) reforzou o marco ao introducir a carteira europea de identidade dixital (EUDIW) e ao ampliar a lista de prestadores de confianza cualificados.

Para os mandatos de débito directo SEPA, as Scheme Rules EPC (European Payments Council) exixen un mandato asinado polo deudor, conservado polo acreedor, conforme aos estándares de identificación. A sinatura electrónica avanzada é expresamente recoñecida polas directrices EPC como modo de sinatura válido.

Directiva DSP2 / DSP3 e autenticación forte

A directiva DSP2 (2015/2366/UE), incorporada ao dereito francés no artigo L. 133-44 do Código Monetario e Financeiro, impón autenticación forte (SCA) para a validación das transferencias en liña que superan 30 €. A revisión en DSP3 (paquete lexislativo adoptado en 2024, entrada en aplicación progresiva 2025-2026) refuerza as exixencias de seguridade e amplía a responsabilidade dos prestadores de servizos de pagamento en caso de fraude non detectada.

RGPD e tratamento de datos de autenticación

O tratamento de datos biométricos e datos de autenticación recollidos durante a sinatura releva do artigo 9 do RGPD nº 2016/679 (datos sensibles) e require unha base legal explícita. Os prestadores cualificados (QTSP) deben dispoñer dunha análise de impacto (AIPD/DPIA) documentada. Os datos de sinatura deben ser minimizados, cifrados en repouso e en tránsito, e suprimidos conforme ás duracións de conservación definidas.

Normas técnicas ETSI

Os formatos de sinatura recoñecidos en Europa están definidos polas normas ETSI EN 319 132 (PAdES para PDF), ETSI EN 319 122 (CAdES) e ETSI EN 319 162 (XAdES). Para os mandatos de transferencia arquivados a longo prazo, o formato PAdES-LTV (Long Term Validation) é recomendado porque integra as informacións de validación necesarias para a verificación futura da sinatura, independentemente da duración de vida do certificado.

Escenarios de uso: mandatos de transferencia asegurados por sinatura electrónica

Escenario 1 — Unha ETI industrial xestionando 400 mandatos de fornecedores por trimestre

Unha empresa de tamaño intermedio do sector manufactureiro, con aproximadamente 350 salarios e un parque de 120 fornecedores activos, trataba os seus mandatos de transferencia por un procedemento híbrido: iniciación no ERP, impresión PDF, sinatura manuscrita do director financeiro ou do seu axudante, escaneo e arquivamento nun servidor compartido.

Despois dun intento de fraude por falsa transferencia identificado a tempo (modificación do RIB nun arquivo PDF non selado transmitido por correo electrónico), a dirección desplegou unha solución de sinatura electrónica avanzada integrada no ERP por API. Resultados observados despois de 6 meses:

• Prazo medio de validación: pasou de 4,2 días a 6 horas
• Custo de tratamento por mandato: reducido nun 38 % (supresión de impresións, escaneos, correos internos)
• Rexistro de auditoría completo: disponible en tempo real para o comisario de contas, sen reconstitución manual
• Cero incidentes de fraude documentaria no período de seguimento

Escenario 2 — Unha agrupación de colectividades locais e os seus mandatos de subvención

Unha agrupación intercomunal que abarca preto dunha decena de municipios xestionaba mandatos de transferencia de subvencións destinadas a asociacións locais, por un volume anual de aproximadamente 2 000 operacións. A sinatura dos elixidos responsables levábase a cabo en consejos comunais, con prazos impostos polos calendarios de elixidos e riscos de perda documentaria.

A desmaterialización dos mandatos coa sinatura electrónica avanzada, integrada no software de xestión contable pública, permitiu:

• A sinatura a distancia polos elixidos desde o seu espazo personal asegurado, sen presenza física obrigatoria
• A conformidade co marco Hélios (compatibilidade co protocolo de intercambio do Estado para as colectividades)
• Unha redución de 60 % do prazo de posta en pagamento das subvencións (de 22 días en media a 9 días)
• Un arquivamento automatizado conforme ás exixencias das cámaras rexionais de contas

Escenario 3 — Un despacho de xestión de patrimonio e os mandatos dos seus clientes

Un despacho de xestión de patrimonio independente (aproximadamente 25 colaboradores, 800 clientes activos) debía recadar mandatos de transferencia asinados dos seus clientes para a execución de arbitraxes en contas-títulos e contratos de seguro de vida. O procedemento postal levaba en media 8 días, cun índice de devolución incompleta do 15 % (sinatura ausente, data ausente, etc.).

Despois do despliegue dunha solución de sinatura electrónica cun percorrido de identificación reforzado (verificación de documento de identidade + OTP), os indicadores transformáronse:

• Prazo de recollida do mandato asinado: reducido a menos de 2 horas en media
• Índice de mandatos incompletos: caído a menos do 1 % grazas aos controles de compleción automáticos antes da sinatura
• Satisfacción do cliente medida por NPS: ganancia de +18 puntos no criterio "simplicidade dos trámites administrativos"
• Conformidade reforzada coas exixencias da AMF sobre a trazabilidade das instrucións do cliente (artigo 16 MiFID II)

Conclusión

Os mandatos de transferencia asinados electronicamente xa non son un luxo reservado ás grandes empresas: constitúen hoxe o estándar mínimo de seguridade e conformidade para calquera axente que xestione fluxos financeiros sensibles. Ao combinar sinatura electrónica avanzada ou cualificada, autenticación forte e marcaxe horario probatorio, neutralizas os principais vectores de fraude mentres aceleraches os ciclos de aprobación e simplificas as túas auditorías.

O marco xurídico europeo — eIDAS, DSP2/DSP3, Código Civil — é agora maduro e recoñecido polas bancas, os comisarios de contas e as xurisdaccións. Só falta a implementación.

Certyneo acompáñache na aseguración dos teus mandatos de transferencia coa plataforma conforme eIDAS, integrables aos teus ferramentas existentes e utilizable sen adestramento técnico. Descubre os prezos Certyneo ou estima o teu retorno sobre a inversión para lanzar o teu proxecto hoxe mesmo.