Tarjeta virtual de empresa: seguridad, usos y control

La tarjeta virtual de empresa es un número de tarjeta de pago que solo existe en forma digital, sin plástico en una cartera. En la práctica, hablamos de un «Virtual Card Number» (VCN): 16 cifras, una fecha de caducidad y un criptograma, exactamente como una tarjeta clásica, pero entregados a través de un portal web o de una API, bajo demanda^[2]. El principio es antiguo entre particulares; se impuso en B2B porque resuelve dos problemas que envenenan la vida de las direcciones financieras: la trazabilidad y la exposición al fraude.

Donde una tarjeta física es un objeto único reutilizable indefinidamente, la tarjeta virtual se genera en unos segundos y, según la configuración, para una sola transacción. Se suelen distinguir tres familias: la tarjeta virtual reutilizable (un número persistente para un colaborador o un uso), la tarjeta multiuso limitada (con techo en el tiempo o por importe) y la tarjeta de un solo uso, efímera, destruida tras la transacción^[3]. Cuanto más acotado es el uso, más se reduce la superficie de ataque. Esa es toda la lógica del producto.

La última matización importa: una tarjeta virtual descansa sobre una única cuenta financiadora (la de la empresa), pero cada número derivado es independiente. Comprometer un número virtual solo da acceso a los límites fijados en ese número, nunca a la cuenta principal. Ese compartimentado es el que convierte una herramienta de pago en herramienta de pilotaje.

La seguridad es el primer argumento de los emisores, y las cifras le dan la razón. En su encuesta 2025 sobre el fraude de pago, la AFP (Association for Financial Professionals) mide el fraude por canal: el 63 % de las empresas sufrió ataques en los cheques en 2024, el 38 % en las transferencias por suplantación de identidad (Business Email Compromise) y solo el 5 % en las tarjetas virtuales^[1]. La diferencia no es marginal: es de un orden de magnitud.

Las razones están en la mecánica del producto. Primero, un número de un solo uso sirve una única vez: robado después de la transacción, ya está desactivado. Después, cada tarjeta virtual se configura en su creación: importe, divisa, periodo de validez, comercio autorizado, lo que hace casi imposible un uso desviado más allá del perímetro definido. Por último, el número virtual nunca expone las coordenadas de la cuenta principal. Los pocos casos de fraude registrados rara vez vienen del pago en sí: nacen de la ingeniería social, cuando engañan a un colaborador para que emita un pago a un falso proveedor^[1].

La tarjeta virtual no sirve para todo. Brilla en cuatro terrenos precisos, donde la trazabilidad y el control por transacción reportan más que la comodidad de un plástico.

1. El marketing y la compra de medios. Es el caso de escuela. Una agencia o un equipo growth lanza campañas en varias plataformas (Google, Meta, LinkedIn…). En lugar de una tarjeta única compartida (pesadilla de conciliación), se genera un número por campaña, incluso por cliente. El gasto queda automáticamente ordenado: se acabó la conciliación manual, y una anomalía (un pico en una campaña dormida) salta a la vista de inmediato. Para las agencias de medios, se ha convertido en un estándar de facto.

2. Las suscripciones y el software (SaaS). El shadow IT cuesta caro: suscripciones contratadas por equipos, olvidadas, que se renuevan durante años. Una tarjeta virtual por suscripción resuelve el problema de raíz: techo ajustado a la tarifa, desactivación automática al darse de baja, visibilidad total sobre las renovaciones. Y cuando un proveedor SaaS cambia la tarifa sin avisar, la tarjeta rechaza: la alerta es inmediata, ahí donde una tarjeta clásica lo habría dejado pasar.

3. Los pagos a proveedores. Históricamente, es el territorio del cheque y de la transferencia, los dos canales más fraudados^[1]. La tarjeta virtual de un solo uso, emitida para un pago concreto, acelera el cobro del lado del proveedor y suprime el riesgo de interceptación de un RIB o de un cheque. Los emisores que apuntan a este segmento destacan la bajada de los días de crédito cliente (DSO) y una conciliación automatizada: dos ganancias que no propone ninguna transferencia.

4. El viaje de negocio. Reserva de vuelo, hotel, tren, notas de restaurante: una tarjeta virtual por desplazamiento, con techo en el presupuesto del trayecto, cerrada a la vuelta. Los viajeros dejan de adelantar dinero personal, la dirección financiera sigue cada gasto en tiempo real y ya no hay tarjeta física que perder en misión. Este uso es además uno de los mejor documentados en la literatura B2B sobre tarjetas virtuales.

Planteada así, la pregunta está mal formulada. La tarjeta virtual no sustituye a la física: la complementa. La tarjeta física sigue siendo imprescindible en todo pago «en presencia» de la tarjeta: un peaje, una gasolinera, un restaurante en desplazamiento, un cajero. La virtual, por su parte, destaca en el «pago sin tarjeta presente» (e-commerce, suscripción, pago a proveedor en línea). En los dos terrenos se aplica el control en tiempo real: techos, bloqueo instantáneo, alertas por transacción.

El buen modelo, para la mayoría de las empresas, es la convivencia: una tarjeta física para los usos de terreno (combustible, peaje, restauración en desplazamiento), completada con tarjetas virtuales para los flujos en línea. Es exactamente lo que propone una tarjeta de combustible integrada en una suite de pago pro: un solo back-office para los dos soportes, en lugar de dos herramientas que se ignoran.

Un punto a menudo infravalorado: la tarjeta virtual se presta al control en tiempo real mejor que la física. En una física, ajustar un techo supone un intercambio con el emisor; en una virtual, el parametrado se modifica sobre la marcha desde el portal. Para un equipo de finanzas que debe abrir un techo el tiempo de una feria profesional y volver a cerrarlo esa misma noche, la diferencia es real.

El mercado de la tarjeta virtual B2B ha explotado: el volumen mundial de pagos B2B por tarjeta virtual se ha convertido en el segmento dominante del mercado, y el pago de un solo uso representaba cerca del 60 % del mercado en 2024^[4]. Del lado de la oferta, dos familias se reparten el espacio.

A un lado, las plataformas de gestión de gastos (Brex, Ramp, la tarjeta corporativa de Spendesk, Mooncard) que integran la tarjeta virtual en un flujo de notas de gastos y de aprobaciones. Al otro, las infraestructuras de emisión (Stripe Issuing a la cabeza) que permiten a cualquier empresa crear sus propias tarjetas virtuales por API. Las redes (Visa, Mastercard) alimentan el conjunto y actúan como referente de seguridad^[2]. Greenway se posiciona en el primer terreno: una tarjeta virtual de empresa integrada en una suite que cubre también combustible, peaje y recarga, todo pilotado desde un solo back-office, con el 1 % de cada transacción destinado al programa 1%ForAll®.

Para elegir, dos criterios pesan más que la tarifa bruta: la profundidad de integración (¿dialoga la tarjeta con tu contabilidad, tu gestión de flotas, tu herramienta de notas de gastos?) y la calidad del control en tiempo real (techo por transacción, bloqueo a distancia, alertas). Una tarjeta virtual entregada sin un back-office digno de ese nombre solo cumple la mitad de la promesa.

Para ir más lejos en la lógica de integración y en el uso más amplio de la tarjeta corporativa, nuestro análisis sobre la tarjeta corporativa al servicio de la RSE y nuestro panorama de las tarjetas de pago pro inteligentes completan el cuadro.