Una auditoría de compliance OFAC, EAR e ITAR es una revisión independiente que comprueba si el programa de cumplimiento de una empresa detecta y bloquea de forma efectiva las operaciones prohibidas por las sanciones o controles de exportación de Estados Unidos. No mide intenciones: mide controles reales. Revisa los componentes que las agencias que implementan la normativa consideran esenciales —compromiso de la dirección, evaluación de riesgos, controles internos, testing y auditoría, y formación— y contrasta lo que dicen las políticas con lo que ocurre de verdad en las operaciones del día a día.
¿Resistiría tu programa una revisión de OFAC, BIS o DDTC?
Auditamos tu programa de cumplimiento y te entregamos los hallazgos priorizados por nivel de riesgo, con una recomendación concreta para cada uno.
Para una empresa no estadounidense, esta auditoría es la forma más rápida de saber si está expuesta antes de que lo conozca OFAC,BIS (la Bureau of Industry and Security del Departamento de Comercio), o la DDTC (la Directorate of Defense Trade Controls del Departamento de Estado). En Burke Compliance la planteamos como un examen dirigido a la decisión: qué falla, cuánto riesgo genera y qué se corrige primero. Si quieres ver el alcance completo, puedes consultar nuestro servicio de auditorías y due diligence. Este artículo explica, punto por punto, qué revisa una auditoría de este tipo y qué hallazgos aparecen con más frecuencia.
Qué es una auditoría de compliance de sanciones económicas y controles de exportación de EE. UU.
Una auditoría de compliance con la normativa estadounidense de sanciones económicas y controles de exportación es una evaluación objetiva del programa de cumplimiento de una organización, realizada por personal independiente de las funciones auditadas. Su objetivo es verificar que el programa funciona como está diseñado e identificar debilidades antes de que se conviertan en infracciones. OFAC, BIS, y DDTC la sitúan como un componente fundamental de un programa de cumplimiento de sanciones (SCP) y recomienda que sea comprensiva, independiente y objetiva.
La auditoría no sustituye al programa: lo pone a prueba. Un programa de cumplimiento OFAC, EAR e ITAR bien construido define políticas, screening, formación y escalado; la auditoría comprueba si esas piezas resisten un caso real. Puede ejecutarse sobre un elemento concreto —por ejemplo, solo el cribado de contrapartes— o a escala de toda la empresa. En ambos casos, un hallazgo negativo obliga a actuar de inmediato con controles compensatorios mientras se corrige la causa raíz.
Qué revisa exactamente una auditoría de compliance
Una auditoría de compliance revisa cinco áreas principales: el compromiso de la dirección, la evaluación de riesgos, los controles internos, el propio testing y la formación. Estas áreas coinciden con los componentes esenciales de los marcos publicados por OFAC, BIS, y DDTC. (Veanse Publicaciones de OFAC, BIS, y DDTC en los Documentos 1, 2, y 3.) A cada una se le aplican pruebas concretas sobre casos reales de la empresa, no cuestionarios genéricos.
Compromiso de la dirección
Se comprueba si la alta dirección ha aprobado el programa por escrito, si existe un responsable de compliance designado con autoridad y autonomía reales, y si hay líneas de reporte directas entre compliance y la dirección. El auditor busca evidencia, no declaraciones: actas, presupuesto asignado, un organigrama donde compliance no dependa de la unidad de ventas que debe controlar.
Evaluación de riesgos
Se revisa si la empresa ha mapeado sus puntos de contacto con el exterior: clientes, cadena de suministro, intermediarios, productos, tecnologías, equipos, clasificaciones para controles de exportación, usos y usuarios finales, y ubicaciones geográficas. Una evaluación de riesgos débil es el origen de casi todos los demás fallos. El auditor verifica que el riesgo esté valorado en el onboarding de cada contraparte y que se reevalúe en operaciones sensibles, especialmente en fusiones y adquisiciones, donde las agencias han detectado numerosos problemas.
Controles internos y screening
Es el núcleo de la auditoría. Se prueba el software de cribado contra las listas de partes restringidas (la lista SDN y otras) y se comprueba que se actualiza cada vez que cambia una designación. Aquí se detecta la due diligence de contrapartes mal aplicada: filtros que no incorporan información completa acerca de entidades bloqueadas, ausencia de la regla del 50 %, o falta de control sobre grafías alternativas de países sancionados —"Habana" por "Havana", "Kuba" por "Cuba"— que dejan pasar coincidencias reales. Se prueban asimismo otros elementos de riesgo, entre otros la presencia de artículos y tecnologías estadounidenses en los productos, el uso de tecnologías de EE. UU., y operaciones en sectores o geografías sensitivas.
Testing, auditoría y registros
El auditor revisa si la empresa se prueba a sí misma con regularidad y si conserva los registros que exigen las normativas de OFAC, BIS, y DDTC. También comprueba que, cuando un test previo detectó una debilidad, se corrigió la causa raíz y no solo el síntoma. Un programa que nunca genera hallazgos propios suele ser un programa que no se está probando.
Formación
Se verifica que el personal relevante recibe formación periódica —como mínimo anual —, adaptada a su función, sector, productos, tecnologías, y a las regiones donde opera la empresa, y que existe un mecanismo para medir que la formación se ha entendido. La formación genérica que nadie recuerda no supera la prueba.
¿Sabes dónde están tus puntos ciegos?
Revisamos los cinco componentes de tu programa y te decimos qué corregir primero.
Los fallos que una auditoría detecta con más frecuencia
Los hallazgos más habituales de una auditoría de compliance coinciden con las causas raíz que, por ejemplo, OFAC ha identificado en sus expedientes sancionadores. Conocerlas de antemano permite enfocar la revisión donde de verdad hay riesgo.
- Ausencia de programa formal. La empresa opera sin un SCP escrito. Las agencias lo tratan como factor agravante en sus sanciones.
- Interpretar mal la aplicabilidad de la norma. Creer que las sanciones o controles de exportación de EE. UU. no aplican porque la empresa no es estadounidense o actúa fuera de EE. UU. Es necesario analizar, entre otros criterios, si existen nexos con EE. UU., si hay bienes, componentes, o tecnologias de origen estadounidense, o si está el sistema financiero de EE. UU. de por medio.
- Participar en operaciones restringidasque involucran a entidades o personas estadounidenses. La participación de entidades o personas estadounidenses en operaciones resulta en un nexo con EE. UU. y somete a todos los participantes, incluso entidades no estadounidenses, a riesgo de incumplimiento con las sanciones primarias si algún aspecto de la operación está restringido por las sanciones.
- Fallos del software de screening. Filtros desactualizados, sin información completa o ciegos a grafías alternativas.
- Presencia o incorporación de artículos o tecnologías de origen estadounidense en operaciones. Tanto bajo las sanciones económicas como bajo los controles de exportación, la presencia de artículos o tecnologías de origen americano pueden someter a las operaciones a las restricciones y posiblemente a requisitos de obtener licencias previas.
- Due diligence incompleta sobre clientes. No verificar la titularidad real ni la localización de la contraparte.
- Compliance descentralizado. Decisiones repartidas entre oficinas sin un proceso de escalado común.
Cada hallazgo se documenta con su nivel de riesgo y una recomendación concreta. El valor de la auditoría no está en la lista de fallos, sino en el orden de corrección: qué expone a la empresa a una infracción de responsabilidad objetiva y, por tanto, se arregla primero.
Cuándo conviene hacer una auditoría de compliance
Una auditoría de compliance debe hacerse de forma periódica y, además, ante determinados eventos que multiplican el riesgo. La periodicidad depende del perfil de riesgo, pero hay cuatro momentos en los que es prácticamente obligada.
- Antes o después de una fusión o adquisición. La empresa hereda el historial de sanciones de lo que compra. La auditoría posterior a la integración es crítica para aflorar riesgos ocultos.
- Al entrar en nuevos mercados o líneas de producto. Cambia el mapa de riesgo y los controles anteriores pueden quedarse cortos.
- Tras un cambio normativo relevante. Nuevas designaciones, órdenes ejecutivas, o actualizaciones de las De Minimis Rules o Foreign Direct Product Rules de los controles de exportación que afecten al sector.
- Antes de una autodenuncia voluntaria. Si se sospecha una infracción, la auditoría dimensiona el alcance antes de acudir a la agencia, y la agencia lo requiere como parte del proceso de evaluación
Auditoría interna frente a auditoría externa
La diferencia clave entre una auditoría interna y una externa es la independencia. Las agencias exigen que la función de testing sea independiente de las actividades auditadas y tenga autoridad suficiente. Una auditoría interna es útil para el control continuo, pero pierde objetividad cuando quien revisa depende de quien ejecuta las operaciones. Una auditoría externa aporta una mirada independiente, experiencia comparada con otros casos y un informe que sirve como evidencia de diligencia ante la propia agencia.
Para la mayoría de empresas no estadounidenses, el modelo más eficaz combina ambas: control interno frecuente y una revisión externa periódica que valide el conjunto. Ese equilibrio es el que planteamos en el servicio de auditorías y due diligence de Burke Compliance.
En la práctica
Un fabricante europeo de componentes industriales solicita una auditoría tras comprar una filial en Oriente Medio. En el papel, ambas tienen política de sanciones. En la prueba real, el filtro de la filial no incorpora las últimas designaciones de la lista SDN y no aplica la regla del 50 %: dejaba pasar a una empresa participada mayoritariamente por una parte bloqueada.
El hallazgo no resulta en infracción todavía hasta que se realice una operación con la parte prohibida, era una exposición. Se implanta un control compensatorio inmediato —bloqueo manual y recribado de la cartera heredada— mientras se unifica el software de ambas entidades. La lección se repite: el riesgo casi nunca está en la política, está en la distancia entre la política y lo que hace el sistema cada mañana.
Preguntas frecuentes
¿Es obligatoria una auditoría de compliance OFAC, EAR, o ITAR?
La normativa en general no obliga a tener un programa formal ni a auditarlo, excepto en determinadas circunstancias como una autodenuncia voluntaria de infracción. Sin embargo, las agencias valoran favorablemente la existencia de un programa efectivo y auditado como factor atenuante de una sanción, y tratan su ausencia como agravante. En la práctica, para cualquier empresa con operaciones internacionales, la auditoría es una medida de gestión de riesgo, no un trámite opcional.
¿Cada cuánto debe repetirse?
No hay un plazo legal único. Se recomienda una revisión con frecuencia acorde al perfil de riesgo —anual en perfiles medios y altos— y siempre ante fusiones, entrada en nuevos mercados o cambios normativos relevantes que afecten al sector.
¿Qué diferencia una auditoría de un due diligence de contrapartes?
La auditoría evalúa el programa completo de la empresa; el due diligence de contrapartes verifica a un cliente, proveedor o socio concreto. El due diligence es uno de los controles que la auditoría comprueba que funcionan.
¿Sirve una auditoría como defensa ante OFAC, BIS, o DDTC?
Un programa efectivo, probado y con hallazgos remediados es un factor atenuante que las agencias tienen en cuenta al determinar la respuesta a una infracción. La auditoría, documentada, es la evidencia de que ese programa existe y funciona.
Descarga gratuita: Checklist de compliance OFAC, EAR e ITAR
La lista de verificación que usamos para auditar los componentes de un programa de cumplimiento. Detecta tus puntos ciegos antes de que lo haga la agencia.
¿Quieres saber si tu programa resistiría una revisión de OFAC, BIS, o DDTC? Solicita una auditoría de compliance con Burke Compliance o escríbenos a través de la página de contacto.
Enlaces a documentos referenciados
- A Framework for OFAC Compliance Commitments: https://ofac.treasury.gov/media/16331/download?inline
- BIS Elements of an Effective Compliance Program: https://www.bis.gov/learn-support/export-compliance-programs#the-eight-elements-of-an-effective-export-compliance-program
- DDTC Compliance Program Guidelines: https://www.pmddtc.state.gov/ddtc_public?id=ddtc_kb_article_page&sys_id=KB0010123
