Lo que toda empresa multinacional debe saber sobre... la implantación de un programa de cumplimiento internacional (Parte I)

Las sanciones récord por infracciones de la normativa estadounidense que regula la conducta y las transacciones internacionales ilustran el riesgo de costosas acciones coercitivas al que se enfrentan las empresas multinacionales. Sin embargo, muchas empresas multinacionales carecen de sistemas adecuados de evaluación y gestión de riesgos para hacer frente a estos riesgos crecientes.

Para ayudar, hemos diseñado un programa de doce pasos que la mayoría de las empresas multinacionales deberían tener en cuenta a la hora de diseñar e implantar procedimientos de gestión del riesgo normativo internacional y controles internos. Compartimos nuestro programa de doce pasos en dos publicaciones. Esta publicación comparte los pasos para identificar y evaluar el riesgo regulatorio internacional, mientras que nuestra próxima publicación proporcionará los pasos restantes para implementar medidas de mitigación de riesgos para abordar las áreas de preocupación identificadas.

En conjunto, estos dos artículos ofrecen un programa de doce pasos para identificar, mitigar y gestionar el riesgo normativo internacional. Trabajando cuidadosamente a través de estos doce pasos, la mayoría de las organizaciones multinacionales deberían ser capaces de implementar los tipos de cumplimiento que los reguladores estadounidenses consideran las mejores prácticas de cumplimiento para las empresas multinacionales, incluso en el área recientemente enfatizada de la debida diligencia y cumplimiento de la cadena de suministro.

Paso 1: Conseguir el apoyo de los altos cargos

Muchas empresas multinacionales que desean implantar un programa de cumplimiento normativo internacional empiezan por redactar políticas de cumplimiento por escrito. Pero mucho antes de que llegue el momento de redactar las políticas, una estrategia de cumplimiento bien pensada tendrá en cuenta los fundamentos que hacen que el cumplimiento sea eficaz, incluido el apoyo coherente de la dirección a las iniciativas de cumplimiento.

Aunque la frase "el tono en la cima" engloba el apoyo de la dirección, el respeto por el cumplimiento debe fluir desde el CEO hasta el personal de todos los niveles. La alta dirección debe asegurarse de que los empleados sepan que el cumplimiento cuenta con el pleno apoyo de la cúpula y que recibe los recursos necesarios para funcionar correctamente.

La alta dirección debe dar ejemplo. Los dirigentes deben dejar claro que las normas de cumplimiento se aplican en toda la organización, empezando por el personal directivo. Un cumplimiento estricto requiere que los directivos adopten la práctica coherente de investigar las señales de alarma creíbles y la voluntad de abandonar los negocios que requieran acercarse demasiado al umbral de riesgo. Demostrando un compromiso con estos valores en palabras y acciones, la alta dirección establecerá el respeto por el cumplimiento en toda la empresa.

Paso 2: Realizar una evaluación de riesgos

Evaluar el riesgo es especialmente importante para las empresas multinacionales porque las operaciones internacionales implican responsabilidades de cumplimiento adicionales sin negar ninguna de las responsabilidades que se encuentran en la legislación local. Las empresas que operan a escala multinacional también tienden a ser más grandes, lo que significa que el cumplimiento con éxito requiere el desarrollo de procedimientos bien pensados. Estos procedimientos deben tener en cuenta dificultades logísticas comunes, como la coordinación de las normas de cumplimiento y la formación a través de divisiones y filiales dispares, la formación de empleados con diferencias culturales y lingüísticas, y abordar el escepticismo potencial de la aplicación de las leyes de EE.UU. a la conducta en jurisdicciones extranjeras.

Un buen punto de partida para que las empresas multinacionales evalúen el riesgo es estudiar las unidades de negocio que representan áreas de alto riesgo normativo:

• Una encuesta anticorrupción debe incluir preguntas como si los agentes o partes interesadas de la empresa tratan habitualmente con empresas estatales, si interactúan frecuentemente con reguladores gubernamentales, si agentes o funcionarios extranjeros reciben invitaciones en nombre de la empresa, y si la empresa realiza negocios significativos en países con conexiones conocidas con la corrupción o los abusos laborales, y si la empresa realiza negocios significativos en el Reino Unido (lo que puede implicar la Ley de Soborno del Reino Unido).

• Por lo que respecta a los controles de exportación, los temas pertinentes a explorar incluyen si la organización trata con artículos controlados o tecnologías controladas; si la empresa trata con artículos incluidos en la Lista de Municiones de EE.UU. (USML) o modifica artículos comerciales para uso militar o para cumplir especificaciones militares; si la empresa ha realizado recientemente una revisión de clasificación; el grado en que los ciudadanos extranjeros pueden acceder potencialmente a datos técnicos controlados; si la organización vende productos que dependen de la encriptación; y si hay ventas a puntos de desvío conocidos (Oriente Medio, México, Pakistán, etc.).

• En el caso de las sanciones económicas, los temas pertinentes que deben cubrirse incluyen si hay ventas de filiales extranjeras a países sancionados o a Nacionales Especialmente Designados (Specially Designated Nationals, SDN, que son personas sometidas a restricciones y requisitos de autorización de la OFAC), si las ventas se realizan a puntos de desvío conocidos, y si la organización, en su conjunto, mantiene un control adecuado de los SDN, o personas que han sido sancionadas por la legislación estadounidense como prohibidas para las transacciones comerciales y los tratos financieros).

• En el caso de las operaciones de importación, una evaluación de riesgos aduaneros debe recurrir a un informe ACE (Entorno Comercial Automatizado) para determinar el patrón de las importaciones e identificar las de alto riesgo, como las potencialmente sujetas a derechos antidumping o compensatorios, las procedentes de China o las procedentes de países con los que se han firmado Acuerdos de Libre Comercio. Entre las preguntas que hay que plantearse figuran si el importador dispone de un Índice de Clasificación actualizado, si realiza con regularidad comprobaciones posteriores a la entrada, si utiliza eficazmente las correcciones posteriores al resumen y las protestas contra la liquidación para corregir cualquier error de importación, y si supervisa adecuadamente a los agentes de aduanas y transitarios.

• Por último, una evaluación del riesgo de boicot debe examinar el alcance de las relaciones con los países de Oriente Medio y con las empresas que operan en la región.

Una evaluación de riesgos exhaustiva debe considerar tanto los riesgos en el lado de la venta (ventas a clientes, a través de distribuidores, etc.) como en el lado de la entrada (cadena de suministro). Si su organización no ha auditado su cadena de suministro recientemente, debería considerar la posibilidad de trazar un mapa de su cadena de suministro e identificar los puntos de riesgo de la misma. Una vez que la cadena de suministro sea un producto totalmente conocido, su organización puede considerar diversas formas de mejorar las medidas de diligencia y cumplimiento, por ejemplo mediante disposiciones legales actualizadas, condiciones de flujo descendente, diligencia debida mejorada en proveedores de alto riesgo y, potencialmente, incluso auditorías y controles de cumplimiento. Estas medidas deben dirigirse a los subproveedores clave, en particular a los que operan en países de alto riesgo con mayor riesgo normativo de trabajo forzoso y trata de seres humanos. Cualquier importación procedente de China debe considerarse automáticamente de alto riesgo debido a las consideraciones derivadas de la Ley de Prevención del Trabajo Forzoso Uigur (UFLPA), que impone requisitos especiales para los bienes que incorporan total o parcialmente mercancías procedentes de la Región Autónoma de Xinjiang, así como programas arancelarios especiales, como los derechos de la Sección 301.

Una vez finalizada la evaluación de riesgos, los resultados deben plasmarse en un perfil de riesgo para toda la empresa que sirva de guía para la estrategia y la asignación de recursos de cumplimiento.

Paso 3: Estudio de los controles actuales

El paso 3 consiste en examinar los procedimientos de cumplimiento y controles internos actuales para ver si sus medidas de cumplimiento y controles internos se ajustan al perfil de riesgo. Entre las preguntas que deben formularse figuran las siguientes:

• ¿Refleja el plan todas las circunstancias que pueden poner a la organización en riesgo de infracción? ¿Se basa el plan en una evaluación de riesgos actual y realista? ¿Es el plan coherente con la actividad y el perfil de riesgo actuales de la empresa? ¿Se han tenido en cuenta las adquisiciones recientes a la hora de evaluar el perfil de riesgo de la empresa?

• ¿Incluye el programa políticas de cumplimiento que cubran las principales áreas de riesgo normativo? (Una organización multinacional típica debe aplicar políticas básicas en 18-22 áreas). ¿Cubre el programa todos los aspectos de la empresa que operan o venden en el extranjero? ¿Cubre a los vendedores, proveedores y subproveedores?

• ¿Contiene el plan controles y procedimientos internos diseñados para reforzar el cumplimiento? ¿Ofrece la empresa al personal pertinente formación periódica adaptada a estos controles y procedimientos internos?

• ¿Se puede comparar el plan con los códigos éticos y las políticas de cumplimiento utilizados por empresas comparables del sector y de los países en los que opera la empresa?

También es fundamental determinar si el programa cubre a los agentes externos que pueden exponer a la organización al riesgo de una infracción de la normativa. El gobierno estadounidense considera que todas las filiales, empresas conjuntas, agentes, distribuidores, subcontratistas y otros terceros son extensiones de la organización. Los mismos principios de responsabilidad están cada vez más implicados en la gestión de la cadena de suministro, hasta el último subproveedor. A la luz del reciente énfasis en la diligencia debida en la cadena de suministro, la encuesta debe evaluar cuidadosamente si la organización cuenta con suficientes disposiciones legales, diligencia debida y medidas de cumplimiento para minimizar el riesgo derivado de una cadena de suministro internacional.

Paso 4: Identificar los recursos disponibles

El cumplimiento es un ejercicio de identificación, minimización y gestión del riesgo. Una gestión adecuada de los riesgos exige adecuar las promesas y expectativas de cumplimiento a los recursos disponibles, y viceversa.

Una vez identificados y catalogados los procedimientos de cumplimiento, el siguiente paso fundamental es aplicar el plan para que funcione con eficacia. La empresa debe tomar medidas para asegurarse de que la organización no ha caído en la clásica trampa del cumplimiento, consistente en enunciar objetivos de cumplimiento sin poner en marcha los recursos y procedimientos significativos para alcanzarlos. Esto significa que, una vez identificados los riesgos de la organización y las medidas de cumplimiento necesarias, así como la aplicación de controles internos, la empresa debe desarrollar un plan realista para financiar el programa de cumplimiento. Por ejemplo, si el plan de la empresa exige la diligencia debida de los agentes extranjeros pero no financia la diligencia y no asigna la responsabilidad de llevarla a cabo internamente ni pone a una persona a cargo del seguimiento del compromiso de cumplimiento, el resultado es un fracaso del cumplimiento.

En el ámbito internacional, los ámbitos en los que el cumplimiento se retrasa suelen ser:

• Lucha contra la corrupción. Promesas de diligencia debida sistemática para investigar a agentes, distribuidores, empresas conjuntas y otras entidades de terceros; supervisión adecuada de las actividades de terceros intermediarios; recursos para realizar auditorías de cumplimiento; formación adecuada de los agentes en el extranjero; y falta de financiación adecuada de los compromisos de cumplimiento.

• Sanciones económicas. Recursos para comprobar sistemáticamente las listas SDN y otras listas bloqueadas; asignación de recursos adecuados a la diligencia de "conozca a su cliente"; formación adecuada de los agentes en el extranjero; y falta de reflejo de las nuevas normas relativas a la cobertura de las actividades dentro de la cadena de suministro o el aprovisionamiento de mercancías en el extranjero.

• Controles de exportación. Clasificación inadecuada de los artículos y datos técnicos controlados; no aplicación de sistemas seguros para salvaguardar los datos técnicos controlados y garantizar que el acceso esté limitado a las personas autorizadas; no aplicación de las directrices "conozca a su cliente" para el uso final y los controles del usuario final; no consideración de los posibles riesgos de desvío; no comprobación de la lista SDN de la OFAC, la lista SDN de la Oficina de Seguridad y otras listas de personas bloqueadas.

• Antiboicot. Recursos para revisar contratos, órdenes de compra, cartas de crédito, certificados de origen, conocimientos de embarque y otros documentos comerciales; procedimientos para informar de solicitudes relacionadas con el boicot.

• Aduanas. Recursos para llevar a cabo una supervisión periódica de los agentes de aduanas y transitarios, clasificar las mercancías con precisión y determinar correctamente el país de origen correcto; recursos y procedimientos para llevar a cabo controles periódicos posteriores a la entrada y realizar auditorías aduaneras; recursos para proporcionar a los agentes de aduanas la información oportuna y para responder a las consultas de las aduanas.

• Cadena de suministro. Recursos para trazar la cadena de suministro; recursos para realizar auditorías periódicas de diligencia debida y cumplimiento basadas en el riesgo; recursos para impartir formación, cuando sea necesario, a los proveedores y subproveedores de alto riesgo.

Para evitar estos y otros desajustes entre promesas y recursos, debe comparar, con una mente clara y abierta, el perfil de riesgo identificado de su organización con el inventario de políticas y controles internos actuales para determinar si existen lagunas entre ambos. Una vez identificadas tales lagunas, puede, utilizando los principios normales basados en el riesgo, determinar la mejor manera de remediar el desajuste de recursos, ya sea reasignando los recursos de cumplimiento existentes, encontrando nuevas fuentes de financiación o ajustando los procedimientos de cumplimiento.

Paso 5: Evaluar la supervisión local

Una de las consideraciones clave en materia de cumplimiento para las empresas que operan en varios países es cómo la organización supervisa el cumplimiento fuera de Estados Unidos. El estado de cumplimiento, tal como se prevé en la sede corporativa, y el estado real de cumplimiento, tal como se aplica sobre el terreno, a menudo divergen.

Si bien las iniciativas de cumplimiento pueden tener su origen en un departamento jurídico o de cumplimiento central, la aplicación y la supervisión requieren una atención adicional sobre el terreno por parte de los enlaces de cumplimiento locales. Gestionar el pleno cumplimiento de forma centralizada puede resultar difícil. A veces, el cumplimiento queda rezagado con respecto a otras exigencias de la empresa (formación, control de señales de alarma, investigaciones, etc.). Implicar al personal local en el proceso da buenos resultados, ya que a menudo conocen mejor el entorno y la cultura regional o local. Si los esfuerzos de cumplimiento se basan en agentes cercanos a las operaciones, el personal local está capacitado para identificar y supervisar las señales de alarma cuando surgen y, en el idioma utilizado in situ

La mayoría de las organizaciones tienen buenas opciones para los enlaces de cumplimiento. Entre los agentes locales pertinentes que pueden aprovecharse para la supervisión del cumplimiento se incluyen el personal de RR.HH. de división o regional, los abogados internos y los auditores. Es esencial para la calidad de un enlace local de cumplimiento que éste sea alguien independiente de las presiones empresariales, que cuente con el respeto del personal local y que tenga la autoridad institucional y la independencia necesarias para hacer un seguimiento de los posibles incumplimientos, independientemente de quién esté implicado.

* * *

Siguiendo estos pasos, las empresas que operan, venden o importan desde destinos extranjeros pueden identificar a sus principales partes interesadas en el cumplimiento de la normativa internacional y desarrollar una buena comprensión de su perfil de riesgo internacional. En nuestra próxima actualización quincenal, ofreceremos los siete pasos adicionales que las empresas multinacionales deben seguir para minimizar y gestionar sus riesgos normativos internacionales una vez identificados.

Si necesita más información o ayuda para llevar a cabo una evaluación de riesgos regulatorios internacionales o implementar soluciones de cumplimiento, por favor póngase en contacto con los autores, o su abogado de relaciones Foley, para obtener más información.Si desea ser añadido para ver actualizaciones similares sobre "Lo que toda empresa multinacional necesita saber" acerca de operar en el complicado mundo del comercio internacional de hoy, por favor suscríbase a nuestra lista de correo electrónico quincenal. Haga clic aquí para registrarse.