Cómo elaborar una política de control de sanciones para terceros

Una política de control de sanciones para terceros debe ir más allá de afirmar que se comprueba a los proveedores. Debe definir qué relaciones entran en el ámbito del control, por qué son relevantes, qué información necesita el control, cuándo se realiza una comprobación o reevaluación, quién puede investigar y decidir y qué evidencias deben conservarse tras la decisión.

Estas cuestiones afectan a compras, cumplimiento, legal, finanzas, operaciones y tecnología. Una declaración de política breve no puede contener todos los pasos operativos ni cada prueba jurídica específica de una jurisdicción. A su vez, un procedimiento técnico extenso puede fallar si nadie ha aprobado su ámbito o las facultades de decisión.

La solución es una arquitectura que mantenga conectadas, pero diferenciadas, cuatro capas: política, procedimiento, análisis jurídico y tecnología. Esta guía explica cómo construirla para proveedores, agentes, distribuidores, intermediarios, beneficiarios y otras contrapartes relevantes.

Empiece por distinguir las cuatro capas

Muchos problemas de control de sanciones surgen cuando se pide a una capa que desempeñe la función de otra. Una norma de gestión de proveedores exige «comprobar a todos los proveedores», pero ningún procedimiento identifica el registro de origen ni la etapa de aprobación. Una configuración de coincidencias se trata como si fuera la norma jurídica. Un analista descarta una alerta de nombre sin considerar la titularidad o el contexto de la operación. El resultado de un software se interpreta como una autorización para continuar.

Utilice expresamente estas cuatro capas:

La política debe exigir una coordinación y un traspaso ordenado entre estas capas, sin reducirlas a un único resultado de «apto/no apto».

Defina la finalidad y la autoridad de la política

Comience con una declaración de finalidad lo bastante concreta como para orientar las decisiones. Por ejemplo: la política establece un control basado en el riesgo para identificar y gestionar la posible exposición a sanciones relacionada con terceros relevantes y partes vinculadas, antes y durante una relación comercial.

El apartado de autoridad debe identificar las entidades jurídicas, unidades de negocio y actividades cubiertas, la función responsable, quién aprueba la política y qué normas y procedimientos la desarrollan. También debe indicar que las obligaciones aplicables derivan de la jurisdicción, el programa y el instrumento jurídico pertinentes, no de la política ni del proveedor de la herramienta de control de sanciones.

El marco de cumplimiento de sanciones de OFAC describe un programa específico para cada organización y basado en el riesgo, sustentado en el compromiso de la dirección, la evaluación del riesgo, los controles internos, las pruebas y auditorías y la formación. Las orientaciones británicas para empresas no establecidas en el Reino Unido señalan igualmente que no existe un enfoque único para gestionar el riesgo de sanciones. Estas fuentes respaldan un control gobernado y proporcionado, pero ninguna crea una política universal para todas las organizaciones del mundo.

Por tanto, la finalidad debe evitar afirmaciones como «la política garantiza el cumplimiento de todas las sanciones mundiales». Un objetivo más defendible es establecer controles con responsables claros que ayuden a identificar, investigar, escalar y documentar cuestiones de sanciones relevantes dentro del perímetro aplicable a la organización.

Elabore un mapa de terceros antes de definir el ámbito

«Tercero» no es una condición jurídica, sino una categoría operativa que puede incluir proveedores directos, subcontratistas, agentes, distribuidores, revendedores, intermediarios, socios de empresas conjuntas, consultores, beneficiarios, receptores de pagos, bancos, transportistas, consignatarios, usuarios finales u otras contrapartes.

La política no debe someterlos a todos al mismo control por el mero hecho de ser externos. Debe exigir un mapa de población que muestre:

• cómo se incorpora cada relación a la actividad;
• qué entidad del grupo, producto o actividad es responsable;
• los bienes, servicios, flujos de valor y geografías relevantes;
• qué partes intervienen en la contratación, el pago y la entrega;
• qué información sobre identidad y relaciones está disponible;
• si la titularidad o el control pueden modificar el análisis; y
• en qué punto puede detenerse una aprobación, un pago u otra actuación para su revisión.

OFAC incluye clientes, contrapartes, productos, servicios y ubicaciones geográficas entre los factores relevantes para evaluar el riesgo. Las orientaciones de la Comisión Europea sobre diligencia debida reforzada frente a la elusión de las sanciones contra Rusia se refieren a partes interesadas directas e indirectas, como clientes, distribuidores, agentes, intermediarios, bancos y usuarios finales. Son orientaciones específicas para un programa y un riesgo: ayudan a mapear la exposición, pero no imponen el mismo ámbito a todas las relaciones.

La guía sobre control de sanciones para proveedores y terceros desarrolla este modelo de población. La política debe recoger la regla aprobada, mientras que una norma de ámbito o un procedimiento puede mantener la matriz detallada de partes y escenarios.

Establezca qué datos necesita el control

La política debe fijar principios mínimos sobre datos sin convertirse en una especificación técnica campo por campo. Exija información fiable suficiente para identificar al tercero, comprender su función e investigar una posible coincidencia.

Según la relación, puede incluir denominación legal, alias o nombres comerciales, tipo de entidad, número registral, país de constitución, lugar de actividad, dirección, identificador interno, representantes relevantes e identidad del beneficiario del pago. Cuando la titularidad o el control resulten relevantes, el expediente también necesita información debidamente documentada y fechada sobre la estructura de propiedad y el gobierno de la entidad.

Mantenga diferenciadas la verificación empresarial, la identificación del titular real y el control de sanciones. Las orientaciones del GAFI sobre titularidad real respaldan la identificación de las personas físicas que en último término poseen o controlan una persona jurídica, pero el concepto de titular real en PBC no constituye por sí mismo una prueba jurídica de sanciones. El resultado de un registro, un porcentaje accionarial o el cargo de administrador no determinan automáticamente la consecuencia en materia de sanciones.

La política debe exigir que la información incompleta o contradictoria no resuelta siga una vía de excepción o escalada. No debe dar a entender que el software descubrirá registros, propietarios ocultos o la cadena de titularidad definitiva. Para conocer las diferencias jurídicas entre los enfoques de OFAC, el Reino Unido y la UE, vincule el control con la guía sobre titularidad y control en materia de sanciones.

Defina el perímetro de sanciones y el alcance del control

La política debe asignar la responsabilidad de determinar qué autoridades, listas, programas y restricciones resultan relevantes para cada entidad jurídica y actividad incluida. La decisión puede depender de la jurisdicción, nacionalidad, establecimiento, moneda, ruta de la operación, bienes o servicios, compromisos contractuales y apetito de riesgo.

Distinga entre:

• las fuentes exigidas porque resulta aplicable un régimen de sanciones;
• las fuentes adicionales adoptadas por apetito de riesgo, contrato o política empresarial;
• el control basado en listas de nombres; y
• las restricciones que requieren un análisis separado del programa, sector, comercio, servicios, inversión, titularidad u operación.

Una configuración amplia de listas no demuestra que una operación sea lícita. Un resultado limpio por nombre no resuelve las restricciones que no se expresan mediante una designación nominativa. Del mismo modo, una posible coincidencia de nombre no demuestra que el tercero esté sancionado.

La política puede exigir que la matriz de fuentes se mantenga actualizada y sujeta a control de cambios. El procedimiento debe explicar cómo se aplican los cambios de fuentes a la población afectada, cómo se detectan los fallos y cómo se recuperan las ejecuciones incompletas.

Sitúe los controles en eventos relevantes del ciclo de vida

Una política útil define familias de supuestos de revisión y delega en el procedimiento las reglas exactas de ejecución. Entre los posibles supuestos se encuentran:

• la aprobación inicial, el alta o la activación de un tercero incluido;
• un contrato, pedido, pago, envío o desembolso relevante;
• un nuevo beneficiario, banco, intermediario, agente, distribuidor, consignatario o usuario final;
• un cambio de denominación legal, identificadores, ubicación, titularidad, control o estructura societaria;
• un cambio en los bienes, servicios, ruta, destino o geografía de operación;
• una designación o retirada de una lista, una actualización de fuentes o un cambio de programa; y
• una revisión programada de respaldo cuando el riesgo y la fiabilidad de los datos la justifiquen.

No invente un intervalo universal de repetición del control. La reevaluación por eventos y la revisión programada resuelven problemas distintos. Un cambio material puede requerir atención antes de la siguiente revisión periódica, mientras que una revisión de respaldo puede detectar cambios que los sistemas internos no hayan captado.

La política debe indicar qué supuesto puede llevar una relación u operación a un estado interno de revisión, quién responde de ese estado y quién puede levantarlo. No debe describir una suspensión interna como una congelación o bloqueo jurídico de activos. La guía sobre cuándo repetir el control de sanciones de proveedores ofrece un modelo de supuestos que el procedimiento puede adaptar.

Separe la ejecución del control de su diseño

Una misma política puede ejecutarse mediante revisión en el portal, trabajos por lotes CSV, un evento de negocio conectado por API o monitorización continua configurada. El canal debe responder a la población, el supuesto de revisión, la calidad de los datos, la responsabilidad de revisión y las necesidades de recuperación.

Por ejemplo, una API puede conectar la aprobación de un proveedor con el control; un CSV puede servir para revisar un maestro histórico de proveedores; y la monitorización puede devolver a revisión registros aprobados y configurados cuando se produzcan cambios relevantes en la información admitida por el sistema. Ninguna de estas tecnologías determina qué parte debe comprobarse ni cuál debe ser la respuesta jurídica.

El procedimiento debe especificar cómo se vinculan los resultados al registro del sistema de origen, cómo se gestionan duplicados y ejecuciones parciales, cómo se escalan los fallos técnicos y cómo se conserva el expediente completo de la decisión. La guía comparativa sobre API, lotes y monitorización continua de proveedores ayuda a elegir el modelo sin confundir el formato con la política.

Establezca una norma controlada para investigar alertas

La política debe establecer que una alerta es una posible coincidencia que requiere una revisión proporcionada. No es una determinación de sanciones.

El procedimiento de investigación debe exigir que el revisor determine:

1. qué tercero o parte vinculada generó la alerta;
2. qué datos exactos se comprobaron y qué fuente produjo el candidato;
3. si coinciden nombres, alias, ubicaciones, datos registrales y otros identificadores;
4. si son relevantes la titularidad, el control, la función de la parte o el contexto de la relación;
5. qué jurisdicción, programa y hechos de la operación requieren análisis jurídico;
6. qué información sigue ausente o resulta contradictoria; y
7. por qué la alerta se descartó, se escaló o se resolvió de otro modo.

Las orientaciones de OFAC para valorar coincidencias de nombres distinguen una coincidencia posible de una válida y reconocen que puede requerirse investigación adicional o intervención humana. La distinción es útil desde el punto de vista operativo también fuera de Estados Unidos, pero la conclusión jurídica sigue siendo específica del régimen aplicable.

La política debe definir la competencia de los revisores, los requisitos de segregación o segunda revisión cuando proceda, los criterios de escalada y los resultados autorizados del caso. Las expectativas detalladas sobre evidencias pertenecen a la guía sobre cómo documentar la investigación de una alerta de sanciones.

Reserve las decisiones jurídicas al análisis autorizado

Una vez aclarados en lo posible los hechos sobre identidad y relación, una función autorizada debe determinar si se aplica una restricción jurídica y qué consecuencias tiene. El análisis puede abarcar jurisdicción y vínculo, programa concreto, titularidad o control, bienes y servicios, función en la operación, licencias, excepciones, obligaciones de comunicación y cualquier exigencia de congelar, bloquear, rechazar o abstenerse de operar.

No incluya en el procedimiento una respuesta universal como «rechazar a todo proveedor coincidente». Los conceptos de bloqueo y rechazo de OFAC surgen del derecho estadounidense y de restricciones concretas. Las medidas británicas y de la UE tienen sus propios efectos jurídicos, regímenes de licencias y normas de comunicación. Incluso dentro de una jurisdicción, distintos programas pueden exigir tratamientos diferentes.

La política debe definir las facultades de decisión. Puede identificar quién puede cerrar una alerta al confirmar que las identidades no coinciden, quién autoriza la continuidad conforme a la política, quién debe prestar asesoramiento especializado en sanciones o asesoramiento jurídico, quién autoriza una comunicación y quién transmite instrucciones a compras, finanzas u operaciones.

Si persiste la incertidumbre, el procedimiento debe mantener el estado de control y remitir el asunto al especialista autorizado. La tecnología puede facilitar esa transferencia, pero no debe presentarse como si tomara la decisión jurídica o presentara una comunicación automáticamente.

Integre las evidencias en la política

Un control de terceros resulta difícil de defender si la organización solo puede mostrar el último resultado. La política debe exigir un expediente que permita a otra persona autorizada reconstruir lo sucedido.

Como mínimo, el modelo de evidencias debe conectar:

• el tercero, su función y el registro del sistema de origen;
• la información facilitada sobre identidad, relación y titularidad o control;
• el supuesto de revisión, la versión de la política, el canal y la fecha y hora del control;
• la información relevante sobre fuente, lista o programa;
• la coincidencia candidata y los atributos comparados;
• las solicitudes de información, cuestiones pendientes y escaladas a especialistas;
• el revisor, la justificación, el resultado autorizado y su comunicación; y
• los cambios, reevaluaciones, excepciones y conclusiones de controles de calidad posteriores.

Los plazos de conservación y los registros de comunicaciones deben seguir los requisitos jurídicos y sectoriales aplicables y la política de conservación de la organización. Evite trasladar el plazo de una jurisdicción como norma mundial.

Las evidencias también deben cubrir excepciones técnicas: filas CSV rechazadas, tiempos de espera agotados en la API, eventos de monitorización fallidos, solicitudes duplicadas, cambios de configuración y recuperación. Una respuesta correcta para un registro no demuestra que se procesara toda la población prevista.

Gobierne la monitorización continua y los cambios de política

La monitorización continua configurada puede mantener dentro del ámbito registros aprobados de terceros y partes relacionadas y devolver para revisión los cambios relevantes admitidos por el sistema o las posibles coincidencias. La política debe seguir definiendo qué registros se configuran, qué contexto se mantiene, qué cambios generan trabajo, quién responde de la cola y qué sucede si falla la monitorización.

La política también debe exigir una revisión periódica tras cambios organizativos o regulatorios materiales. Los supuestos pueden incluir nuevos productos o países, adquisiciones, cambios en el modelo de terceros, conclusiones de las pruebas, un incidente de sanciones, cambios de fuentes o proveedor, acumulación de casos o fallos de datos y modificaciones de las medidas aplicables.

Las pruebas deben examinar el control de extremo a extremo. Incluya en la muestra distintos tipos de terceros, registros con pocos datos, escenarios de titularidad, alertas descartadas y escaladas, cambios de listas, ejecuciones incompletas y recuperación. Compruebe si la configuración y el procedimiento reflejan la política, si las alertas llegan a una cola con un responsable y si las evidencias respaldan la decisión.

La información útil para la dirección puede incluir cobertura de la población, datos obligatorios ausentes, excepciones de control y monitorización, volumen y antigüedad de la cola, escaladas, excepciones autorizadas, fallos de actualización de fuentes, conclusiones de calidad y medidas correctoras vencidas. El número de alertas por sí solo no demuestra que el control funcione correctamente.

Lista de comprobación de la política de control de sanciones para terceros

El papel de Checklynx

Checklynx puede facilitar el control de sanciones a partir de los datos sobre terceros y titularidad aportados por el cliente, canalizar las posibles coincidencias mediante revisiones y casos controlados, conservar las evidencias y el historial de decisiones y admitir flujos por CSV o API, además de monitorización continua configurada.

El cliente conserva la responsabilidad de definir el ámbito, obtener y mantener información adecuada sobre terceros y titularidad, interpretar el derecho aplicable, autorizar las decisiones finales y realizar las comunicaciones exigidas. Checklynx no debe tratarse como un servicio de consulta de registros o de identificación de titulares reales, un sistema autónomo de decisión jurídica ni una garantía de que se hayan identificado todos los riesgos de sanciones.

Utilice la lista de comprobación del control de sanciones para proveedores para trasladar la política aprobada a los controles de compras. Descubra el control de sanciones de Checklynx, la gestión de casos, la trazabilidad y las evidencias y la monitorización continua como soporte del flujo.