La UNE 19602 es la norma española de sistemas de gestión de compliance tributario. No es la norma de compliance penal, que es la UNE 19601, y confundirlas es el primer error que vemos cuando una empresa decide certificarse. Aquí tienes qué exige exactamente, en qué se diferencia de sus normas hermanas y qué aporta cuando llega una comprobación de la Agencia Tributaria.
Lo esencial
- Qué es: UNE 19602:2019, Sistemas de gestión de compliance tributario. Requisitos con orientación para su uso. Editada el 27 de febrero de 2019 y vigente.
- Para qué sirve: detectar, prevenir y reducir contingencias fiscales con un sistema de gestión auditable, no con buenas intenciones.
- No la confundas: la UNE 19601 cubre el compliance penal y la ISO 37301 el cumplimiento normativo general. La 19602 es la tributaria.
- Es certificable: el certificado dura tres años, con auditorías de seguimiento anuales.
- Qué pide como mínimo: política de compliance tributario, órgano de compliance, análisis de riesgos fiscales, canal de denuncias, auditorías internas e indicadores de desempeño.
- Quién la necesita: ninguna ley la impone. La implantan las organizaciones con riesgo fiscal relevante o que quieren acreditar diligencia ante la Administración.
¿Qué es la UNE 19602?
La UNE 19602 es la norma española que fija los requisitos de un sistema de gestión de compliance tributario. Su objetivo es que la organización detecte, prevenga y reduzca sus contingencias fiscales de forma sistemática y demostrable. La publicó UNE en febrero de 2019, es certificable por entidad acreditada y sigue vigente.
Su título literal es Sistemas de gestión de compliance tributario. Requisitos con orientación para su uso, y en su versión inglesa Tax compliance management systems. Requirements and guidance (ficha oficial en UNE). La palabra que manda en ese título es «requisitos»: a diferencia de una guía de buenas prácticas, la 19602 contiene obligaciones verificables en auditoría, y por eso se puede certificar.
Lo que la norma te pide no es un manual guardado en una carpeta. Te pide un sistema con partes que funcionan: una política de compliance tributario aprobada por el órgano de gobierno, un órgano de compliance con autoridad real, un análisis de los riesgos fiscales propios de tu actividad, un canal de denuncias operativo, auditorías internas periódicas e indicadores que midan si todo eso está sirviendo para algo.
¿Qué diferencia hay entre la UNE 19602, la UNE 19601 y la ISO 37301?
La UNE 19601 es la norma de compliance penal, la UNE 19602 la de compliance tributario y la ISO 37301 la de cumplimiento normativo general. Las tres comparten la estructura de alto nivel de los sistemas de gestión, así que se pueden implantar y auditar de forma integrada sin duplicar trabajo.
| Norma | Qué cubre | Riesgo que gestiona | Cuándo tiene sentido |
|---|---|---|---|
| UNE 19601 | Sistemas de gestión de compliance penal | Responsabilidad penal de la persona jurídica | Es la vía natural si lo que buscas es sostener el modelo de prevención de delitos del artículo 31 bis del Código Penal |
| UNE 19602 | Sistemas de gestión de compliance tributario | Contingencias fiscales y, en su extremo, delito contra la Hacienda Pública | Cuando el riesgo relevante es fiscal: operaciones vinculadas, estructuras internacionales, planificación agresiva heredada, sectores con IVA complejo |
| ISO 37301 | Sistemas de gestión del cumplimiento | Incumplimiento normativo en general | Como paraguas cuando tienes muchas materias de cumplimiento y quieres un marco único |
En la práctica la 19601 y la 19602 se solapan en un punto concreto y muy sensible: el delito fiscal. Un incumplimiento tributario grave puede acabar siendo un delito contra la Hacienda Pública, y entonces el asunto deja de ser solo una liquidación y entra en el terreno del modelo de prevención de delitos. Esa es la razón por la que muchas organizaciones que certifican una acaban certificando la otra.
¿Qué exige la UNE 19602 para implantar el sistema?
La norma pide seis bloques que tienen que existir y poder auditarse: política de compliance tributario, órgano de compliance, identificación y evaluación de riesgos fiscales, canal de denuncias, auditoría interna e indicadores de desempeño. Sin alguno de ellos no hay sistema certificable, solo documentación.
Los seis bloques, traducidos a lo que hay que montar
- Política de compliance tributario: un documento corto, aprobado arriba, que diga qué nivel de riesgo fiscal acepta la organización. Si no define un límite, no sirve de nada.
- Órgano de compliance: con autoridad y acceso directo al órgano de gobierno. Puede ser una función existente, pero necesita independencia frente a quien toma las decisiones fiscales.
- Análisis de riesgos fiscales: el bloque donde se nota si el sistema es real. Un mapa genérico copiado de una plantilla no resiste una auditoría. Tiene que recoger tus operaciones, tus jurisdicciones y tus criterios discutibles.
- Canal de denuncias: la norma lo exige como elemento del sistema. Si ya tienes el Sistema interno de información de la Ley 2/2023, se aprovecha y se integra en lugar de montar un segundo canal.
- Auditoría interna: periódica y documentada, con seguimiento de los hallazgos. La auditoría que no genera acciones correctivas es un trámite.
- Indicadores de desempeño: pocos y medibles. Plazos de respuesta a requerimientos, incidencias detectadas antes de presentar, recurrencia de los mismos errores.
¿Cómo se certifica la UNE 19602 y cuánto dura el certificado?
La certificación la emite una entidad de certificación tras auditar el sistema implantado. El certificado tiene una validez de tres años y se mantiene con auditorías de seguimiento anuales. Como la norma comparte estructura con la UNE 19601, las auditorías de ambas pueden integrarse en un solo ciclo.
El orden que funciona es implantar primero y auditar después, no al revés. Una organización que llama a la entidad de certificación con el análisis de riesgos a medias dedica la primera auditoría a recoger no conformidades previsibles. Conviene reservar un periodo de rodaje en el que el sistema produzca evidencias reales: actas del órgano de compliance, un ciclo de auditoría interna cerrado y los indicadores con datos de varios meses.
¿Qué aporta la UNE 19602 ante la Agencia Tributaria o ante un tribunal?
AENOR sostiene que el certificado puede ser un elemento de prueba para acreditar ante la Agencia Tributaria o los tribunales la voluntad de la organización de cumplir con sus obligaciones fiscales, y que en un proceso por delito contra la Hacienda Pública puede operar como atenuante y, en el mejor de los casos, como eximente.
Conviene leer esa afirmación con precisión, porque es la que más se exagera en el mercado. Es la posición de la entidad certificadora, no una regla establecida en una ley ni una garantía automática: ninguna norma obliga a juez o inspector a dar por buena la diligencia de una empresa porque tenga un certificado. Lo que el certificado aporta es prueba de que existía un sistema y de que funcionaba antes del problema, que es exactamente lo que resulta imposible de improvisar después.
Hay un precedente que ilustra por dónde va el razonamiento en el terreno penal: la Circular 1/2016 de la Fiscalía General del Estado valoró la certificación como un elemento relevante al apreciar la eficacia de los modelos de prevención. No es equivalente a un eximente, pero marca el criterio de que la acreditación externa cuenta.
¿Qué errores vemos al implantar compliance tributario?
- Confundir la norma. El error más repetido, y el motivo de esta guía: implantar pensando que la 19602 certifica compliance penal. Si lo que buscas es blindar el modelo de prevención de delitos, la norma es la 19601.
- Dejar el análisis de riesgos para el final. Es el núcleo del sistema, no un anexo. Todo lo demás se construye sobre él.
- Un órgano de compliance sin independencia. Si lo ocupa quien firma las decisiones fiscales discutibles, el sistema no puede cuestionarlas.
- Duplicar el canal de denuncias. Montar uno para la norma y otro para la Ley 2/2023 multiplica el coste y reparte las comunicaciones en dos registros.
- Certificar y archivar. El certificado dura tres años con seguimientos anuales: un sistema que se abandona en el mes cuatro llega a la siguiente auditoría peor que al principio.
Preguntas frecuentes
¿La UNE 19602 es obligatoria?
No. Ninguna norma legal obliga a implantarla ni a certificarse. Es una decisión voluntaria que suelen tomar organizaciones con riesgo fiscal relevante, con operaciones vinculadas o internacionales, o que quieren acreditar diligencia ante la Administración tributaria.
¿La UNE 19602 es la norma de compliance penal?
No. La UNE 19602 regula los sistemas de gestión de compliance tributario. La norma de compliance penal es la UNE 19601. Es una confusión muy frecuente porque las dos pertenecen a la misma familia y comparten estructura, pero su alcance es distinto.
¿Se puede certificar la UNE 19602 junto con la UNE 19601?
Sí. Las dos comparten la estructura de alto nivel de los sistemas de gestión, de modo que la implantación y las auditorías pueden integrarse. Es el camino habitual cuando el riesgo fiscal y el penal se solapan, como ocurre con el delito contra la Hacienda Pública.
¿Cuánto dura el certificado de la UNE 19602?
Tres años, con auditorías de seguimiento anuales durante ese periodo. Al vencimiento se renueva mediante una auditoría completa del sistema.
¿Sirve el certificado para evitar una sanción tributaria?
No de forma automática. Según AENOR puede actuar como elemento de prueba de la diligencia de la organización y, en vía penal, como atenuante o eximente. Pero es una valoración de la entidad certificadora, no una exención prevista en la ley, y corresponde al inspector o al tribunal apreciarla.
Por dónde empezar
Antes de pedir presupuesto de certificación, haz dos cosas. La primera es decidir qué norma necesitas de verdad: si tu preocupación es la responsabilidad penal de la sociedad, empieza por el compliance penal; si es el riesgo fiscal, por esta. La segunda es levantar el análisis de riesgos tributarios con nombres, operaciones y cifras propias, porque es lo que determina el alcance de todo el sistema y el coste de la auditoría.
Si quieres situar la 19602 dentro del mapa general de obligaciones, tienes el panorama completo en nuestra guía de compliance en España, y el detalle del enfoque fiscal y de la certificación en la certificación de compliance tributario y fiscal UNE 19602. Para gestionar el sistema sin hojas de cálculo, aquí tienes los criterios para elegir un software de compliance y nuestro SGIP para la parte de incidentes.
En Laworatory ayudamos a implantar el sistema con el alcance correcto desde el principio. Si no tienes claro si tu riesgo es tributario, penal o los dos, agenda una demo y lo revisamos sobre tus operaciones reales.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Última actualización: 13 de octubre de 2026.
