Cómo probar la integridad de las facturas electrónicas archivadas cuando se impugnan

Casi todos los departamentos financieros archivan sus facturas electrónicas sin pensarlo dos veces. El sistema de contabilidad o un proveedor de gestión documental se encarga, los ficheros reposan durante el plazo de conservación exigido y la casilla de "cumplimiento" queda marcada. El problema aparece el día en que alguien cuestiona uno de esos documentos. En una inspección tributaria, o en un litigio donde una factura sostiene una reclamación, presentar el fichero no basta. Tienes que demostrar la integridad de esa factura electrónica concreta: que no se ha alterado desde su emisión. Ahí es donde archivar deja de ser suficiente y aparece un problema probatorio muy real.

Archivar cumple un deber: mantiene las facturas legibles y recuperables durante el tiempo que la ley exige. Lo que no hace, por sí solo, es generar una prueba técnica autónoma de que un fichero determinado es idéntico al que se emitió. Para producir esa prueba necesitas tres piezas trabajando juntas: un valor hash que actúe como huella del contenido, un sello de tiempo cualificado que fije una fecha cierta y una cadena de custodia verificable que mantenga todo trazable. Un sello electrónico cualificado añade una cuarta dimensión, el origen. Júntalas y repudiar el documento se vuelve difícil de sostener.

Archivar frente a probar la integridad: por qué el almacenamiento no basta

Almacenar una factura y poder probar su integridad son dos objetivos distintos, y cumplir el primero no te entrega automáticamente el segundo. La conservación responde a la pregunta "¿puedo seguir encontrando y leyendo este documento dentro de unos años?". La integridad responde a otra más exigente: "¿puedo demostrar que este fichero exacto no ha cambiado ni un solo bit desde su emisión?". La mayoría de los sistemas de gestión documental están pensados para lo primero y callan sobre lo segundo.

Una conservación bien hecha debería preservar tres cosas a lo largo del tiempo: la autenticidad del origen, la integridad del contenido y la legibilidad. Las normas de gestión documental describen cómo mantener los documentos accesibles y recuperables durante un plazo definido, que en el caso de las facturas se alarga varios años, porque la normativa tributaria española obliga a conservarlas durante ese periodo. Eso es útil, y es una obligación legal, pero opera al nivel del archivo como sistema: no adjunta a cada factura individual una prueba que un juez o un inspector puedan recalcular y comprobar. Un fichero guardado en un repositorio conforme es recuperable. Que sea bit a bit el mismo que salió de tu sistema de facturación es otra afirmación distinta, y esa el almacenamiento no la prueba. Justo en ese hueco entre conservación e integridad probatoria se ganan o se pierden las disputas.

Cuándo se impugna la integridad de una factura electrónica

La integridad de una factura electrónica suele ponerse en duda en cuatro situaciones recurrentes: una inspección tributaria, un litigio comercial, una solicitud de e-discovery y la impugnación directa de una reproducción digital. En todas ellas, enseñar el fichero no equivale a probarlo, porque la otra parte o la autoridad revisora pueden limitarse a afirmar que el documento no es el que se emitió en origen.

En una inspección tributaria, el actuario pide facturas y documentación de soporte. Si tu archivo no puede evidenciar que un documento concreto está inalterado, el fichero se vuelve impugnable, y eso debilita tu posición en el fondo del asunto, no solo en la forma. En un litigio, la factura suele ser el documento sobre el que descansa una reclamación de pago, así que su autenticidad es precisamente lo que atacará la parte contraria. El e-discovery plantea una exigencia parecida: hay que aportar información almacenada electrónicamente cuya integridad y procedencia se puedan defender. El cuarto escenario es el más corrosivo. Cuando una parte repudia una reproducción digital, alegando que la copia no representa fielmente al original, la carga recae en la práctica sobre quien se apoya en el documento. Sin un medio técnico para mostrar que el fichero nunca se modificó, acabas persiguiendo un negativo que no puedes probar.

El marco normativo: eIDAS, sello de tiempo cualificado y sello electrónico

El marco que hace la integridad demostrable a nivel europeo se apoya en eIDAS, que define los servicios de confianza cualificados que llevan presunciones legales a tu favor. Dos de ellos importan directamente para las facturas: el sello de tiempo cualificado y el sello electrónico cualificado. Juntos cubren "cuándo" existió un documento y "si" su contenido y su origen están intactos.

Según el Reglamento (UE) 910/2014, artículos 41 y 42, un sello de tiempo cualificado disfruta de la presunción de exactitud de la fecha y la hora que indica y de la integridad de los datos a los que está vinculado. Aplicado a una factura, le adjunta una fecha y una hora ciertas oponibles a terceros, y sigue siendo válido incluso después de que caduque el certificado que lo generó. El artículo 35 del mismo Reglamento otorga al sello electrónico cualificado la presunción de integridad de los datos y de corrección del origen: el sello se vincula a una persona jurídica, de modo que certifica que un documento procede de una organización determinada y no ha sido alterado, algo distinto de una firma vinculada a una persona física. En el plano nacional, la Ley 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza completa este marco. En cuanto al valor probatorio, la Ley 1/2000 de Enjuiciamiento Civil admite los medios de reproducción (artículo 299.2) y los instrumentos que archivan o reproducen datos (artículo 384), que el tribunal valora según las reglas de la sana crítica, mientras que el artículo 326 regula la fuerza probatoria de los documentos privados.

Cómo se prueba la integridad de un documento fiscal: hash, sello de tiempo, cadena de custodia

Probar que un documento fiscal está inalterado se reduce a tres elementos técnicos que responden a tres preguntas distintas: qué es, cuándo existió y cómo se ha manejado. Un valor hash identifica el contenido, un sello de tiempo cualificado fija la fecha cierta y una cadena de custodia documenta cada paso. Combinados, hacen que sostener una alegación de manipulación resulte muy difícil.

La secuencia funciona así:

1. Calcula el hash del fichero. Una función criptográfica como SHA-256 genera una huella de longitud fija del documento. Es determinista y de un solo sentido, y tiene el efecto avalancha: cambiar un solo bit produce un hash completamente distinto. Recalcula el hash del fichero archivado y compáralo bit a bit con el valor original. Si ambos coinciden, el documento es idéntico y no se ha producido ninguna alteración.
2. Aplica un sello de tiempo cualificado. El sello acredita que ese hash concreto existía en una fecha y una hora determinadas, oponibles a terceros al amparo de los artículos 41 y 42 de eIDAS. Responde al "cuándo" y ancla el documento a un momento anterior a cualquier disputa posterior.
3. Mantén una cadena de custodia. Es la secuencia documentada de quién hizo qué, cuándo y cómo, vinculada al hash, al sello de tiempo y a los metadatos relevantes. La norma ISO/IEC 27037 recoge las buenas prácticas para la identificación, recogida, adquisición y preservación de la evidencia digital, y es lo que la hace auténtica, trazable y defendible ante un tribunal.

Un sello electrónico cualificado se sitúa junto a estos tres: vinculado a una persona jurídica según el artículo 35 de eIDAS, garantiza el origen y la integridad, cubriendo el "quién". La cadena de custodia verificable es el tejido conectivo que hace todo el conjunto oponible en el tiempo, y es la capa donde TrueScreen aplica su metodología forense.

Cómo demostrar que una factura archivada no se ha alterado

TrueScreen certifica la autenticidad y la integridad de los documentos fiscales aplicando un sello con huella hash y sello de tiempo cualificado (a través de QTSP terceros integrados), para que una organización pueda demostrar en una inspección o un litigio que la factura es idéntica a la emitida. Esta es exactamente la pieza que archivar no aporta por sí solo: la conservación mantiene el documento disponible, pero no produce una prueba técnica autónoma de que ese fichero concreto nunca se modificó.

Como Data Authenticity Platform, TrueScreen captura el documento, calcula su huella hash, aplica un sello de tiempo cualificado y un sello electrónico cualificado emitidos por QTSP terceros cualificados integrados vía API, y construye una cadena de custodia verificable alrededor de toda la operación. TrueScreen no es un QTSP, ni un Trust Service Provider, ni una Autoridad de Certificación, y no emite certificados cualificados. Lo que hace es integrar el sello y la marca de tiempo cualificados de QTSP terceros y añadir la metodología forense que vuelve defendible la prueba resultante.

Un ejemplo breve muestra la diferencia. Una empresa afronta una inspección y el actuario cuestiona una factura de 2022. El fichero está bien archivado, pero el inspector duda de su integridad: dice que no hay forma de mostrar que el documento no se modificó tras su emisión. Si al emitir la factura se hubiera aplicado un sello forense con huella hash y sello de tiempo cualificado, la empresa recalcularía el hash del fichero archivado, lo compararía con el valor sellado en 2022 y probaría dos cosas de una vez: que el documento es idéntico al emitido y que ya existía en esa fecha cierta. En ese punto, el repudio se queda sin nada en lo que apoyarse.