El certificado digital de tu empresa lleva el nombre de una persona: quién responde de qué

La conversación se repite en cada implantación. La empresa compró «el certificado de la empresa», lo trata como trata la licencia del antivirus o el dominio, y lo guarda en el cajón de sistemas. Entonces el gerente que aparece dentro del certificado renuncia, y alguien descubre a mitad de un cierre contable que el certificado dejó de servir.

No es un fallo del proveedor ni una letra pequeña del contrato. Está escrito en el reglamento y responde a una decisión de diseño: dentro de la Infraestructura Oficial de Firma Electrónica una empresa no firma. Firma una persona natural, en nombre de la empresa, con unos poderes que el propio certificado declara.

Este artículo desarma ese reparto. Si todavía estás decidiendo qué certificado comprar, antes conviene leer qué tipos hay y cuál corresponde a cada caso; si lo que buscas es el trámite, está en la guía para obtener tu certificado digital.

Dos figuras, dos apellidos jurídicos

El artículo 9 del D.S. 052-2008-PCM, publicado en El Peruano el sábado 19 de julio de 2008, empieza por lo que a casi nadie le cuentan al comprar:

«Dentro de la Infraestructura Oficial de Firma Electrónica, la responsabilidad sobre los efectos jurídicos generados por la utilización de una firma digital corresponde al titular del certificado.»

Y a continuación separa los dos papeles. Cuando el certificado es de una persona natural, esa persona es titular y suscriptor a la vez: no hay nada que repartir. Cuando es de una persona jurídica, la empresa es la titular y «los suscriptores son las personas naturales responsables de la generación y uso de la clave privada».

Puesto en una frase corta: la empresa carga con las consecuencias, la persona maneja la clave privada. Son dos responsabilidades distintas y el reglamento las regula por separado.

El glosario del mismo decreto añade una precisión que conviene tener presente antes de repartir el token por la oficina. Al definir «Suscriptor» dice que, cuando el titular es una persona jurídica, «la responsabilidad de suscriptor recaerá sobre el representante legal designado por esta entidad». No es un usuario cualquiera del área de contabilidad.

Lo que va escrito dentro del certificado

El artículo 16 enumera el contenido mínimo, y hay que leerlo en su versión vigente, que es la que le dio la Segunda Disposición Complementaria Modificatoria del reglamento aprobado por el D.S. 029-2021-PCM, publicado el 19 de febrero de 2021. Esa versión reparte el contenido en tres listas. La del certificado de persona jurídica con suscriptor es esta:

• Denominación o razón social
• Número de RUC de la organización
• Nombres y apellidos completos del suscriptor
• Número y tipo de documento oficial de identidad del suscriptor
• Dirección electrónica de los servicios donde consultar el estado de validez del certificado
• Dirección electrónica del certificado de la entidad de certificación emisora
• Identificador de la política de certificación bajo la cual fue emitido el certificado

Las facultades del suscriptor no están en esa lista, y conviene decirlo con claridad porque el texto de 2008 sí las incluía: las quitó el D.S. 070-2011-PCM, publicado el 27 de julio de 2011, al reescribir el artículo, y la versión de 2021 tampoco las repuso. Pueden ir dentro del certificado como información adicional, que la entidad de certificación incluye a pedido del solicitante «siempre y cuando la Entidad de Registro o Verificación compruebe de manera fehaciente la veracidad de ésta», y muchas entidades peruanas las consignan. Obligatorias no son.

Donde las facultades sí aparecen por obligación es en el trámite. El artículo 14, al describir la solicitud de una persona jurídica, pide que «debe indicarse la persona natural que será el suscriptor, señalando para tal efecto las atribuciones y los poderes de representación correspondientes». Se declaran ante la entidad de registro, viajen o no dentro del archivo.

Ese mismo artículo exige que la solicitud y la verificación de identidad se hagan «a través de un representante debidamente acreditado», y el artículo 12 pide acreditar la existencia y la vigencia de la persona jurídica «mediante los instrumentos públicos o norma legal respectiva». Traducido al mostrador: vigencia de poderes de SUNARP, y una comprobación que hace la Entidad de Registro o Verificación, cuyo trabajo contamos en quién comprueba que eres tú antes de emitirte un certificado.

La consecuencia incómoda: firmar fuera de las facultades

El artículo 11 dice cuándo una firma digital emitida bajo la Infraestructura Oficial «carece de validez», y su primer supuesto es este:

«a) Es utilizada en fines distintos para los que fue extendido el certificado.»

Júntalo con las atribuciones declaradas en la solicitud y sale una conclusión que casi nadie del sector escribe: si el certificado se extendió para que el suscriptor represente a la empresa ante SUNAT, y esa persona firma con él un contrato de compraventa de un inmueble, la firma no nace bien. Técnicamente se verifica, criptográficamente es correcta, y el reglamento le niega la validez. Que las facultades estén escritas dentro del archivo facilita la comprobación a quien recibe el documento, pero el supuesto del artículo 11 no depende de que estén.

En la práctica esto importa sobre todo en dos sitios. Uno, cuando la empresa pide un certificado con facultades estrechas para abaratar el trámite y luego lo usa para todo. Dos, cuando el token pasa de mano en mano dentro de la empresa: quien firma no es el suscriptor, y ahí ya no estamos hablando de facultades sino de la obligación del artículo 10 c) de «mantener el control y la reserva de la clave privada bajo su responsabilidad».

Qué mata el certificado por cada lado

El artículo 17 lista las causales de cancelación. Ordenadas por quién las provoca, se ve el problema de golpe.

Por el lado de la empresa, el inciso g): «Por extinción de la personería jurídica o declaración judicial de quiebra».

Por el lado de la persona, el inciso h): «Por muerte, o por inhabilitación o incapacidad declarada judicialmente de la persona natural suscriptor del certificado».

Ahí está la escena del principio, con su norma detrás. La empresa sigue existiendo, el RUC sigue activo, el certificado está pagado hasta dentro de dos años, y basta con que le ocurra algo a la persona nombrada dentro para que ese certificado deje de valer. El certificado es de la empresa en cuanto a titularidad y responsabilidad, y depende de una persona en cuanto a vigencia.

Hay un tercer supuesto que no es automático sino una obligación de hacer. El artículo 18 dice que el titular y el suscriptor están obligados, bajo responsabilidad, a pedir la cancelación al enterarse de ciertas circunstancias, y una de ellas es la «Revocación de las facultades de representación y/o poderes de sus representantes legales o apoderados». Es la que se incumple siempre, porque un cambio societario no se parece en nada a un trámite técnico. Lo contamos entero, con lo que se pierde al firmar después, en cuándo la norma te obliga a cancelar.

El reparto de obligaciones, lado a lado

El reglamento dedica un artículo a cada figura, y leerlos seguidos ahorra discusiones internas sobre de quién es cada tarea.

El suscriptor, por el artículo 10, entrega información veraz bajo su responsabilidad, genera por sí mismo la clave privada (o autoriza su generación a distancia a un Prestador de Servicios de Valor Añadido acreditado en firma remota) y firma por los procedimientos de la Entidad de Certificación, mantiene el control y la reserva de la clave privada, sin perjuicio de la responsabilidad de ese prestador cuando es quien la genera, observa las condiciones de uso y, si esa clave privada queda comprometida, lo notifica de inmediato a la Entidad de Registro o Verificación o a la Entidad de Certificación para que cancele.

El titular, por el artículo 15, entrega información veraz en la solicitud y en los demás procesos de certificación, mantiene actualizada esa información ante las dos entidades, solicita la cancelación si la reserva sobre la clave privada se vio comprometida, salvo que la gestione un prestador acreditado en firma remota, y cumple de forma permanente las condiciones de uso, las de la entidad de certificación y, en su caso, las de ese prestador.

Fíjate en lo que pasa ante un mismo incidente. Si la clave privada se compromete, el suscriptor tiene que avisar de inmediato y el titular tiene que pedir la cancelación, salvo en el caso de firma remota que acabas de ver. Son dos deberes distintos sobre dos personas distintas, y ninguno excusa al otro. En una empresa eso se traduce en un procedimiento escrito de dos líneas que casi nadie tiene: a quién llama el suscriptor y quién firma la solicitud de cancelación.

La excepción: cuando no hay persona detrás

Queda el caso del agente automatizado, que es justo el que usa un sistema de facturación o un servidor de firma desatendida. El artículo 9 lo saca de la regla general: en los certificados «para su utilización a través de agentes automatizados […] las personas jurídicas asumen las facultades de titulares y suscriptores del certificado digital». El artículo 14 lo repite y añade que la persona jurídica «asumirá la responsabilidad por el uso de dicho certificado digital».

Aquí desaparece la persona natural y con ella el inciso h) del artículo 17. Un certificado de agente automatizado no se cae porque alguien renuncie. Es la razón práctica —además de la operativa— por la que un proceso desatendido no debería correr con el certificado personal del gerente de finanzas, aunque funcione. Cuando ese gerente cambie de trabajo, el proceso se para.

Qué hacer con esto esta semana

Cuatro comprobaciones concretas, en orden de lo que más duele:

1. Abre el certificado de tu empresa y busca el campo de facultades. Si lo lleva y no coincide con lo que estás firmando, el artículo 11 ya te está mirando. Si no lo lleva, la referencia es el fin para el que se extendió, que consta en la solicitud y en la política de certificación.
2. Comprueba si la persona que figura como suscriptor sigue en la empresa y conserva sus poderes. Si revocaste poderes y no pediste la cancelación, estás incumpliendo el artículo 18 desde el día de la revocatoria.
3. Separa el uso desatendido del uso personal. Los procesos automáticos van con certificado de agente automatizado, donde la titularidad y la condición de suscriptor son de la empresa.
4. Escribe el procedimiento de aviso. Quién llama a la Entidad de Registro y quién firma la cancelación, con nombres. Son diez minutos y evitan el día perdido.

Ninguna de las cuatro cuesta dinero. La que cuesta es la quinta, que llega cuando el certificado se cae en mitad de un vencimiento y hay que reemitir con la empresa parada.

Si estás montando este reparto por primera vez, o revisando el que heredaste, en mifirmadigital.pe emitimos certificados de persona jurídica y de agente automatizado dentro de la Infraestructura Oficial de Firma Electrónica, y consignamos las facultades del suscriptor dentro del certificado, que es información adicional y no un mínimo legal. Y si la duda es cuál de los dos te toca, empieza por la comparativa de tipos de certificado.

Nota de corrección, 9 de septiembre de 2026

Este artículo se publicó el 6 de septiembre citando el artículo 16 del D.S. 052-2008-PCM en su redacción original de 2008, que incluía «Facultades del suscriptor» entre el contenido mínimo del certificado de persona jurídica. Esa redacción está derogada desde el D.S. 070-2011-PCM y la versión vigente es la del D.S. 029-2021-PCM. El apartado «Lo que va escrito dentro del certificado» se rehízo con el texto vigente, y los tres pasajes que se apoyaban en aquella línea quedaron ajustados.

Lo que no cambia es el fondo del artículo: el reparto entre titular y suscriptor, las obligaciones separadas de los artículos 15 y 18, el supuesto de invalidez del artículo 11 y el caso del agente automatizado. Lo que cambia es que las facultades se declaran en el trámite y pueden ir dentro del certificado, en vez de ir obligatoriamente. Cómo se lee hoy el contenido mínimo, campo por campo, está en el certificado que SUNAT exige para firmar comprobantes.

Corrección del 6 de octubre de 2026

Al repasar el reparto de obligaciones, este artículo resumía los artículos 10 y 15 del D.S. 052-2008-PCM en su redacción de 2008. Ambos los reescribió la Segunda Disposición Complementaria Modificatoria del reglamento aprobado por el D.S. 029-2021-PCM, publicado el 19 de febrero de 2021.

Según el texto vigente, el suscriptor genera «por sí mismo la clave privada, o autoriza su generación a distancia» a un prestador acreditado en firma remota (10 b), y mantiene la reserva «sin perjuicio de la responsabilidad» de ese prestador (10 c). El titular pide la cancelación si la reserva se compromete, salvo cuando la clave privada es «gestionada por un Prestador de Servicios de Valor Añadido acreditado en la modalidad de sistema de creación de firma remota» (15 c), y cumple las condiciones de la entidad de certificación «y, en su caso» las del prestador (15 d). El apartado «El reparto de obligaciones, lado a lado» se ajustó a esa redacción.

Se comprobaron también las demás citas contra el texto original y no cambian: el artículo 9 (titular y suscriptor), el 11 (invalidez), el 14, el 17 g) y h) (causales de cancelación) y el 18 c) (obligación de pedir la cancelación al revocarse poderes). El D.S. 029-2021-PCM no toca esos artículos y el D.S. 070-2011-PCM solo reescribió el 16, ya corregido en la nota del 9 de septiembre.

Fuente: D.S. 029-2021-PCM en El Peruano y en gob.pe; D.S. 070-2011-PCM en gob.pe.