Lo que toda multinacional debería saber sobre… la realización de autoevaluaciones de cumplimiento normativo internacional

Para las empresas multinacionales, el reto actual en materia de cumplimiento normativo no radica únicamente en el número de normativas aplicables, sino en el ritmo de los cambios normativos, la fragmentación geográfica y las crecientes expectativas de los organismos reguladores, los inversores, las instituciones financieras y los socios comerciales. Las autoridades encargadas de velar por el cumplimiento están cada vez más de acuerdo en ir más allá de la mera existencia de políticas escritas para examinar cómo las empresas identifican y priorizan los riesgos, asignan recursos, forman al personal, supervisan a terceros y responden cuando surgen problemas. En consecuencia, un programa de cumplimiento normativo eficaz debe ser dinámico, defendible e integrado en las operaciones empresariales cotidianas, en lugar de constituir un conjunto estático de documentos que se mantienen de forma aislada.

Para ayudar a las empresas a desenvolverse en este entorno, se ofrece esta lista de verificación como una herramienta práctica de autoevaluación para valorar el gobierno corporativo y la infraestructura general de cumplimiento normativo. Está diseñada para ayudar a las organizaciones a evaluar si cuentan con un programa de cumplimiento normativo operativo y basado en el riesgo, independientemente del sector, el modelo de negocio o la jurisdicción. En lugar de enumerar las obligaciones derivadas de leyes o regímenes normativos específicos, la lista de verificación se centra en los pilares fundamentales de un cumplimiento normativo eficaz: el gobierno corporativo, la evaluación de riesgos, la formación, la supervisión, la escalación de incidencias y la mejora continua. En resumen, no se limita a preguntar: «¿Contamos con políticas?», sino: «¿Funciona nuestro programa de cumplimiento en la práctica?».

La lista de verificación está destinada al uso interno por parte de los departamentos jurídico, de cumplimiento normativo, de auditoría y de la dirección empresarial, con el fin de identificar puntos fuertes, detectar puntos ciegos y priorizar las medidas correctoras. Una respuesta «no» no indica, por sí sola, un incumplimiento o una infracción legal. Por el contrario, debe considerarse como una posible deficiencia del programa: un ámbito que puede requerir un análisis más detallado, mejoras o documentación adicional en función del perfil de riesgo específico de la empresa.

I. La actitud de los altos cargos, el sentido de la responsabilidad y la gobernanza

• ¿Demuestran la alta dirección y el consejo de administración un firme compromiso con el cumplimiento normativo promoviendo una conducta ética, apoyando al personal encargado del cumplimiento y garantizando el respeto de las leyes, normativas y políticas aplicables?
• ¿Existe una responsabilidad clara en materia de cumplimiento a nivel directivo (por ejemplo, un responsable de cumplimiento designado con autoridad y responsabilidades definidas)?
• ¿Tiene el departamento de cumplimiento normativo acceso directo al Consejo de Administración o a una comisión adecuada del mismo, y le presenta informes periódicos y sustantivos?
• ¿Goza el responsable de cumplimiento de la independencia suficiente frente a las presiones comerciales como para elevar los problemas y plantear sus inquietudes sin que se le interfiera?
• ¿Tiene el departamento de cumplimiento normativo la autoridad necesaria para suspender o detener actividades cuando se detectan riesgos de cumplimiento significativos?
• ¿Se han asignado formalmente las responsabilidades en materia de cumplimiento normativo entre las unidades de negocio, las regiones y las funciones, incluyendo líneas de responsabilidad claramente definidas?
• ¿Cuenta la función de cumplimiento normativo con los recursos adecuados (es decir, personal, presupuesto y herramientas) teniendo en cuenta el tamaño de la empresa, su presencia geográfica y su perfil de riesgo?
• ¿Se reflejan las expectativas en materia de cumplimiento normativo en las descripciones de los puestos de trabajo, las evaluaciones de rendimiento y los incentivos para la dirección, en lugar de considerarse una obligación informal?
• ¿Se abordan los incumplimientos normativos mediante procesos disciplinarios coherentes, independientemente de la antigüedad en el cargo o del impacto en los ingresos?
• ¿Se considera internamente el cumplimiento normativo como un factor que facilita el negocio y gestiona los riesgos, y no únicamente como un resorte legal o de auditoría?
• ¿Dispone la organización de documentos escritos sobre gobernanza en los que se describan las funciones en materia de cumplimiento, los procedimientos de escalado, las líneas jerárquicas y la autoridad para la toma de decisiones?
• ¿Se abordan en las reuniones del consejo de administración o de las comisiones no solo los indicadores, sino también los riesgos emergentes, los incidentes significativos y la eficacia de los programas?
• ¿Está la función de cumplimiento integrado de manera significativa con las funciones jurídica, de auditoría, financiera, de recursos humanos y de gestión de riesgos empresariales, con mecanismos de coordinación bien definidos?
• ¿Se tienen en cuenta los aspectos relacionados con el cumplimiento normativo a la hora de tomar decisiones estratégicas de la empresa, como la entrada en un mercado, la reestructuración, las adquisiciones o los cambios en el modelo de negocio?

II. Evaluación de riesgos y diseño del programa

• ¿Ha llevado a cabo la empresa una evaluación documentada de los riesgos de cumplimiento a nivel de toda la organización?
• ¿Existe una metodología definida y repetible para identificar, evaluar y priorizar los riesgos de cumplimiento?
• ¿La evaluación de riesgos cuenta con aportaciones significativas de las unidades de negocio, regiones y funciones pertinentes, en lugar de limitarse al ámbito jurídico o de cumplimiento normativo?
• ¿Se actualiza periódicamente la evaluación de riesgos y se revisa tras acontecimientos importantes, como adquisiciones, la entrada en nuevos mercados, cambios en el modelo de negocio o novedades normativas significativas?
• ¿Tiene en cuenta la evaluación de riesgos los principales factores estructurales de riesgo, entre los que se incluyen: (1) la presencia geográfica; (2) el modelo de negocio y los canales de venta; (3) la dependencia de terceros; (4) los puntos de contacto con las administraciones públicas; y (5) la complejidad de la cadena de suministro?
• ¿Se clasifican los riesgos por orden de prioridad utilizando criterios coherentes (por ejemplo, la probabilidad y el impacto potencial), en lugar de considerarlos todos por igual?
• ¿Están los recursos, los controles y las actividades de supervisión en materia de cumplimiento alineados con los riesgos prioritarios identificados en la evaluación?
• ¿Puede la empresa explicar y defender con claridad sus decisiones en materia de priorización de riesgos y diseño de programas ante la alta dirección, el consejo de administración, los auditores o las autoridades reguladoras?

III. Políticas, procedimientos y orientaciones prácticas

• ¿Están redactadas, actualizadas y a disposición de los empleados pertinentes las políticas fundamentales de cumplimiento normativo?
• ¿Las políticas van acompañadas de procedimientos prácticos, guías, ejemplos o preguntas frecuentes que expliquen cómo funciona el cumplimiento normativo en situaciones reales?
• ¿Las políticas: (1) se adaptan a la actividad de la empresa (no son plantillas genéricas); (2) se revisan periódicamente; y (3) se actualizan con regularidad para reflejar los cambios normativos y operativos?
• ¿Existe un proceso documentado para las excepciones, las aprobaciones y las interpretaciones de las políticas?

IV. Formación y sensibilización

• ¿Ofrece la empresa formación periódica en materia de cumplimiento normativo, y no solo formación inicial?
• ¿Se basa la formación en el riesgo, prestando especial atención a los puestos, regiones o funciones de mayor riesgo?
• ¿Se lleva a cabo la formación de la siguiente manera: (1) se realiza un seguimiento y se documenta; (2) se actualiza periódicamente; y (3) se imparte en formatos que los empleados puedan asimilar de forma realista?
• ¿Se recuerda periódicamente a los empleados: (1) dónde pueden obtener orientación sobre el cumplimiento normativo; (2) cómo plantear sus inquietudes; y (3) que están prohibidas las represalias?

V. Notificación, escalado y respuesta

• ¿Existen canales claros y confidenciales para que los empleados y terceros puedan plantear sus inquietudes?
• ¿Saben los empleados cuándo y cómo escalar los problemas?
• ¿Existe un protocolo documentado de investigación y respuesta para los casos de incumplimiento?
• ¿Se realiza un seguimiento de los problemas hasta su resolución, identificando y aplicando las medidas correctoras necesarias?
• ¿Analiza la empresa los problemas para identificar sus causas fundamentales y las deficiencias sistémicas, y no solo los errores individuales?

VI. Seguimiento, pruebas y mejora continua

• ¿Realiza la empresa pruebas o seguimientos periódicos de los controles de cumplimiento?
• ¿Se recurre a auditorías o revisiones para evaluar si los controles funcionan realmente en la práctica?
• ¿Se tienen en cuenta los incumplimientos, los conatos de incumplimiento o las medidas coercitivas a la hora de mejorar el programa?

VII. Supervisión de terceros y socios comerciales

• ¿Cuenta la empresa con un proceso basado en el riesgo para identificar, incorporar y gestionar a terceros y socios comerciales?
• ¿Ha definido claramente la empresa el ámbito de aplicación de la supervisión de terceros (por ejemplo, agentes, distribuidores, proveedores, contratistas, consultores e intermediarios)?
• ¿Se clasifica a los terceros según su nivel de riesgo utilizando criterios coherentes, con una diligencia debida adaptada al nivel de riesgo?
• ¿Están los terceros sujetos a: (1) una diligencia debida proporcional al riesgo; (2) compromisos contractuales de cumplimiento; y (3) un seguimiento continuo o una actualización periódica, cuando proceda?
• ¿Se remiten las señales de alerta, los resultados adversos o los cambios en el riesgo a través de un proceso definido de revisión y aprobación?
• ¿Está claramente asignada la responsabilidad de la supervisión de terceros, incluida la gestión de la incorporación, el seguimiento y la resolución de incidencias?
• ¿Se imparte a los terceros pertinentes la formación, la orientación o las certificaciones adecuadas en materia de cumplimiento normativo, cuando el riesgo lo justifique?
• ¿Se abordan los incumplimientos de terceros mediante medidas correctoras documentadas o medidas coercitivas, incluida la suspensión o la rescisión del contrato cuando sea necesario?

VIII. Fusiones y adquisiciones, crecimiento y gestión del cambio

• ¿Se identifican y evalúan con antelación los riesgos de cumplimiento normativo a la hora de entrar en nuevos mercados, lanzar nuevos productos o servicios, o cambiar de modelo de negocio?
• ¿Existe un proceso definido para involucrar a los departamentos jurídico y de cumplimiento normativo en las iniciativas estratégicas ya en la fase de planificación, en lugar de hacerlo una vez que se han tomado las decisiones comerciales?
• ¿Se integra de forma significativa el cumplimiento normativo en: (1) la diligencia debida en fusiones y adquisiciones; (2) la planificación y ejecución de la integración tras la adquisición; (3) las empresas conjuntas, las alianzas estratégicas y las inversiones minoritarias; y (4) las decisiones importantes sobre reestructuración, externalización o rediseño de la cadena de suministro?
• ¿Se evalúan los riesgos de cumplimiento normativo como parte de la estructuración de la operación, incluyendo la asignación de riesgos, las declaraciones y garantías, y la planificación de medidas correctivas tras el cierre de la operación?
• ¿Existe un plan de acción posterior a la transacción para subsanar las deficiencias de cumplimiento detectadas, que incluya plazos, responsabilidades y asignación de recursos?
• ¿Se incorporan las entidades adquiridas o recién integradas al marco de cumplimiento de la empresa en un plazo determinado, incluyendo políticas, formación, mecanismos de notificación y controles?
• ¿Se tienen en cuenta en la evaluación de riesgos de la empresa los cambios en la presencia geográfica, la cartera de clientes, las relaciones con terceros o los puntos de contacto con las autoridades?
• ¿Existe algún proceso para supervisar, comprobar y validar que los controles de cumplimiento sigan siendo eficaces a medida que la organización crece o cambia?
• ¿Se recogen y se aprovechan las lecciones aprendidas de integraciones, ampliaciones o reestructuraciones anteriores para mejorar los futuros procesos de gestión del cambio?

IX. Documentación y defendibilidad

• ¿Puede la empresa demostrar sus esfuerzos en materia de cumplimiento mediante documentación contemporánea?
• ¿Existe un registro claro de: (1) las evaluaciones de riesgos; (2) las ofertas de formación y su finalización; (3) las aprobaciones de políticas; y (4) los informes presentados al Consejo de Administración o a la dirección?

Si desea recibir ayuda para analizar los resultados de su autoevaluación de cumplimiento, póngase en contacto con los autores o con su abogado de Foley encargado de su caso.

¿Te te gustaría recibir más consejos prácticos sobre cumplimiento normativo como estos? El departamento de de Comercio Internacional y Seguridad Nacional está al tanto de todas las novedades en materia de comercio internacional, aplicación de la ley y cumplimiento normativo, que publicamos a medida que se producen en nuestros blog de Recursos sobre Aranceles y Comercio Internacional . Haz clic aquí para registrarte en nuestra lista de correo para recibir futuros mensajes y consejos prácticos sobre el cumplimiento normativo internacional, incluidos nuestros artículos «Tariff-ied!» y «Lo que toda multinacional debería saber».

Nuestro informe técnico sobre «Gestión de los riesgos arancelarios y de importación durante una guerra comercial» describe un plan de 12 pasos que ofrece medidas prácticas para ayudar a los importadores a hacer frente a los riesgos arancelarios y de comercio internacional en el actual contexto arancelario y comercial, mientras que el informe técnico complementario sobre «Gestión de los riesgos relacionados con la integridad de la cadena de suministro» ofrece consejos prácticos para hacer frente al aumento de los riesgos en la cadena de suministro relacionados con las mercancías importadas a Estados Unidos, incluido el creciente recurso a las retenciones por parte de las autoridades aduaneras.