CRS

aspectos central

- Las entidades financieras deben aplicar diligencia debida (KYC) para identificar residentes fiscales extranjeros y revisar indicios de residencia múltiple. - Un cliente con activos en un país distinto al de su residencia fiscal puede entrar en reporte obligatorio aunque la autodeclaración diga otra cosa. - La documentación floja sobre identificación de residencia fiscal es el hallazgo más frecuente del ICAC y de la AEAT en cumplimiento CRS. - El auditor verifica el control interno; el fondo de la verificación de residencia lo asume la entidad y, en última instancia, la AEAT al cruzar información con la jurisdicción declarada.

---

Cómo funciona

Lo que realmente ocurre en la mayoría de los expedientes es esto: la entidad tiene un formulario de autodeclaración firmado por el cliente, archivado en su carpeta de KYC, con una casilla marcada que dice "residencia fiscal: España" o el país que sea. El procedimiento existe. La casilla está marcada. Los papeles están flojos en cuanto rascas un poco: nadie ha contrastado esa casilla con la correspondencia que se envía al cliente, con el origen de las transferencias entrantes, ni con el teléfono desde el que se firma la app. Y se firma el reporte CRS sin mirar las cuentas anteriores a 2018. Año tras año. Como si los clientes legados no existiesen.

Vaya por delante que el estándar de la OCDE es claro. La Common Reporting Standard, publicada por el Foro de Administraciones Tributarias de la OCDE como parte del estándar de Intercambio Automático de Información de Cuentas Financieras (AEOI), no se conforma con la autodeclaración. La Sección III.D del estándar exige a la entidad revisar "indicios" de residencia fiscal: domicilio postal en otra jurisdicción, número de teléfono extranjero, instrucciones permanentes para transferencias a cuentas de otra jurisdicción, poderes a personas con domicilio fuera. Si aparece un indicio, la autodeclaración no basta. La entidad debe reabrir el análisis.

La auditoría de cumplimiento CRS verifica cuatro frentes: que existan procedimientos documentados de identificación de residencia fiscal; que esos procedimientos se apliquen a clientes nuevos y a clientes legados en los años de transición; que las personas jurídicas con beneficiarios finales en jurisdicciones CRS se identifiquen correctamente; y que la entidad reporte a la AEAT en plazo las cuentas que cumplen los criterios.

Hay zonas grises legítimas. Un cliente con residencia declarada en Suiza pero con padres en Francia y trabajo remoto desde Alemania tres meses al año genera un análisis de residencia que ni la OCDE resuelve por fórmula. La identificación del beneficiario final en estructuras societarias con varias capas tampoco es trivial. Las reglas del año de transición para cuentas existentes pre-2016 admiten interpretaciones distintas según el regulador del cliente. Esas son las decisiones que merecen documentación. El resto (marcar la casilla, archivar el formulario, no mirar más) no es cumplimiento, es trámite.

---

Ejemplo práctico: Patrimonio Inversiones Mediterráneo S.L.

Cliente: Asesor de patrimonio y gestor de fondos de inversión, con sede en Valencia, España. Gestiona carteras de clientes de diversos orígenes geográficos. Enero de 2025.

Paso 1. Identificar el alcance de clientes CRS. El equipo auditor revisa el registro de clientes y sus perfiles. Se identifican 47 cuentas cuyo titular reside fiscalmente fuera de España (Francia, Alemania, Italia, Reino Unido, Suiza, Portugal, Argentina, México, etc.). Documentación en expediente: "Análisis de cartera CRS realizado 15 enero 2025. 47 cuentas con residentes fiscales extranjeros identificados."

Paso 2. Verificar procedimientos de identificación de residencia fiscal. El auditor solicita los procedimientos documentados de KYC. Patrimonio Inversiones ha adoptado un formulario de autodeclaración de residencia fiscal (self-certification form) que completa cada cliente al abrir cuenta y que se renueva cada tres años. El formulario incluye pregunta explícita sobre residencia fiscal e identifica el país para propósitos tributarios. Documentación en expediente: "Procedimiento de KYC revisado. Formulario de autodeclaración CRS aplicado desde abril 2023. Recopilación: 100% de clientes nuevos desde esa fecha completaron formulario."

Paso 3. Probar aplicación del procedimiento a muestra de clientes. El auditor selecciona una muestra de 12 de las 47 cuentas identificadas como CRS. Para cada una verifica si existe formulario de autodeclaración firmado, si el formulario identifica correctamente la residencia fiscal y si esa residencia coincide con el país al que se reporta la información. Resultados: 11 de 12 cuentas tienen formulario completado correctamente. Una cuenta (Cliente nº 34, residente declarado en Berlín) no tiene formulario porque la cuenta se abrió en 2021, antes de la aplicación del procedimiento.

Aparece una complicación en la muestra. El Cliente nº 19 tiene autodeclaración de residencia fiscal en Suiza, fechada en 2023, firmada y archivada. Al cotejar con la operativa de la cuenta surgen tres datos: la correspondencia ordinaria se envía a una dirección postal en Lyon (Francia), las contribuciones periódicas llegan desde una cuenta de un banco con sede en Múnich (Alemania) y el teléfono móvil registrado tiene prefijo +33. Tres indicios de residencia múltiple en un mismo expediente. La Sección III.D del CRS exige a la entidad reabrir el análisis cuando aparecen indicios. El procedimiento de Patrimonio Inversiones no incluye este paso: el formulario se da por bueno. ¿Es deficiencia de control? ¿Hallazgo de cumplimiento? ¿Brecha estructural del KYC? Aquí toca razonar, no aplicar fórmula. En mi caso lo trato como hallazgo de control con efecto en la opinión sobre el sistema KYC: el control diseñado no detecta lo que la norma exige detectar. La entidad puede defender que la autodeclaración del cliente prevalece mientras éste no la modifique. La OCDE dice lo contrario.

Paso 4. Verificar completitud del reporte a la AEAT. El auditor obtiene el reporte CRS de Patrimonio Inversiones remitido a la AEAT en 2024 (relativo a cuentas de 2023). El reporte incluye 44 cuentas de clientes con residencia fiscal extranjera, con detalle de saldos medios, intereses pagados e identificación tributaria. El auditor coteja la lista de reporte contra la lista de clientes identificados como CRS en paso 1. Diferencia: 3 cuentas identificadas como CRS en 2025 no aparecen en reporte 2024 porque cumplieron criterios de reporte durante 2024 (aperturas tardías). Documentación en expediente: "Reporte CRS ejercicio 2023 verificado 16 enero 2025. 44 cuentas reportadas. Reconciliación con registro de clientes CRS: 44 de 44 cuentas en reporte tienen identificación de residencia extranjera en formularios de autodeclaración. 3 cuentas abiertas durante 2024 reportarán en próximo ciclo 2025."

Conclusión. El control formal funciona: 44 cuentas reportadas, reconciliación cuadrada, autodeclaraciones archivadas. El control sustantivo, no. El caso del Cliente nº 19 muestra que el procedimiento no detecta indicios de residencia múltiple, y eso es lo que la OCDE pide verificar. La opinión sobre cumplimiento CRS recoge una deficiencia de control significativa en el diseño del procedimiento de revisión de indicios, recomendación específica de incorporar el análisis Sección III.D al flujo de KYC, y apertura de procedimiento de actualización para los 36 clientes legados sin formulario actualizado. No es un trámite. Es una decisión con consecuencias en el informe.

---

Lo que auditores y revisores pasan por alto

- Identificación incompleta de clientes con múltiples residencias fiscales. Un cliente puede tener residencia fiscal distinta de su nacionalidad, su domicilio postal o su residencia habitual operativa. Lo que realmente ocurre es que los procedimientos de identificación se basan en lo que el cliente escribe en el formulario, no en lo que la operativa de la cuenta muestra. He visto expedientes que reportaban Suiza durante seis años seguidos, hasta que la AEAT cruzó la información con Francia y devolvió inconsistencia.

- Procedimientos de actualización de clientes legados. La CRS exige identificar residencia fiscal de clientes nuevos y de clientes existentes anteriores a la aplicación (, anteriores a 2016). Muchas entidades cerraron la identificación de nuevos clientes pero nunca actualizaron a los legados. El reporte sale incompleto. En los encargos que he llevado, esta es la causa más frecuente de que la AEAT abra expediente: no es fraude, es trámite no terminado.

- Falta de documentación de exclusiones. La CRS prevé criterios de excepción (cuentas de organismos internacionales, entidades financieras reguladas, saldos bajos en ciertos años). Lo que ocurre en la práctica es que la entidad excluye cuentas correctamente, pero no deja escrita la razón. Cuando un revisor llega seis meses después, no puede reconstruir por qué una cuenta CRS no se reportó. El papel está, falta chicha.

---

Relación con otros conceptos

KYC (Know Your Customer). El procedimiento de identificación que exige la CRS forma parte de un proceso más amplio de diligencia debida del cliente. La CRS añade requisitos específicos sobre residencia fiscal y revisión de indicios; el KYC es la estructura general de identificación.

FATCA (Foreign Account Tax Compliance Act). La FATCA es el estándar de reporte estadounidense que obliga a instituciones financieras a identificar personas fiscales de EE.UU. y reportar sus cuentas al IRS. La CRS se desarrolló como estándar global que recoge los principios de FATCA y los extiende a más de 100 jurisdicciones.

Procedimientos de auditoría sobre control interno tributario. La auditoría de cumplimiento CRS es una aplicación específica del control interno financiero y tributario. El auditor evalúa si el control sobre identificación de residencia fiscal está bien diseñado y si funciona en la operativa diaria.

---

Una desavenencia legítima entre socios

Cliente legado: cuenta abierta en 2014, sin formulario de autodeclaración, sin actualización desde entonces. La entidad sostiene que está rastreando los legados activamente.

- Socio A (es hallazgo). La CRS exige actualización de cuentas existentes en el año de transición. Han pasado diez años. No haber documentado la residencia fiscal de un cliente legado durante una década no es procedimiento en curso, es incumplimiento. La opinión sobre cumplimiento CRS debe recoger deficiencia significativa. - Socio B (es procedimiento de actualización en curso). Si la entidad demuestra un plan documentado de revisión de legados, calendario, recursos asignados y casos cerrados durante el ejercicio, el caso individual es parte del proceso, no un hallazgo. La opinión recoge la observación pero no la eleva a deficiencia significativa.

Ambas posturas tienen apoyo en el estándar. El desempate depende de qué evidencia presente la entidad sobre el plan de actualización: si hay calendario, hay procedimiento; si no, hay hallazgo.

---

Términos relacionados

- Know Your Customer (KYC). Conjunto de procedimientos que una entidad financiera aplica para identificar y verificar la identidad de sus clientes y evaluar el riesgo asociado.

- FATCA (Foreign Account Tax Compliance Act). Normativa estadounidense que obliga a reportar cuentas financieras de residentes fiscales estadounidenses en entidades financieras extranjeras.

- Intercambio automático de información tributaria (AEOI). Proceso por el cual las administraciones fiscales intercambian información sobre cuentas financieras de no residentes con sus homólogas en otros países.

- Autodeclaración de residencia fiscal. Documento que el cliente firma declarando su país de residencia fiscal según la ley tributaria de la jurisdicción de residencia.

- Diligencia debida en materia tributaria. Procedimientos que una entidad aplica para cumplir obligaciones legales en identificación de clientes y reporte de información tributaria.

---

Herramienta de evaluación de cumplimiento CRS

Si su entidad es una institución financiera, gestor de fondos o asesor de patrimonio regulado, la herramienta de evaluación de cumplimiento tributario de ciferi permite documentar el diseño de los procedimientos de identificación de residencia fiscal y probar su funcionamiento operativo con una muestra de clientes. La herramienta genera un informe de conformidad presentable a auditores o reguladores.

El CRS funciona como muchas normas regulatorias en España: la forma se cumple porque el formulario existe, pero el fondo (la verificación real de indicios de residencia múltiple) lo paga la AEAT cuando intercambia información con jurisdicciones que sí la verifican y devuelven inconsistencias, y entonces al revisor le toca explicar por qué nadie lo vio antes.

---