Un programa de cumplimiento OFAC, EAR e ITAR es el conjunto documentado de políticas, procedimientos y controles que una empresa implanta para no violar las sanciones económicas de Estados Unidos ni sus controles de exportación.
La normativa de EE. UU. es de amplio alcance extraterritorial, por lo cual entidades no estadounidenses requieren procesos internos de garantía para no incumplir.
Un programa de cumplimiento que satisfaga las directrices de los reguladores estadounidenses se apoya en cinco componentes esenciales: compromiso de la dirección, evaluación de riesgos, controles internos, pruebas y auditoría, y formación.
Ese marco de cinco lo define la OFAC; el Departamento de Comercio (BIS) y el Departamento de Estado (DDTC) lo amplían con elementos propios para las exportaciones de doble uso y de defensa.
Ninguna de las tres agencias obliga con carácter general a tener un programa, pero todas lo recomiendan. Y en la práctica es indispensable. Su existencia reduce de forma notable la sanción cuando algo sale mal. Para una empresa fuera de Estados Unidos, este programa marca la diferencia entre detectar un riesgo a tiempo y descubrirlo cuando ya hay una investigación abierta.
Cualquier costo asociado con un programa está mas que justificado cuando se compara con las posibles consecuencias de un incumplimiento: multas millonarias y, en el peor de los casos, designación en lista de personas sancionadas y no poder participar en los mercados estadounidenses o utilizar el dólar americano.
¿Qué es un programa de cumplimiento OFAC, EAR e ITAR?
Un programa de cumplimiento con las sanciones económicas y controles de exportación de EE. UU. es un sistema documentado y basado en riesgo que integra el cumplimiento de las sanciones de la OFAC y de los controles de exportación EAR e ITAR en las operaciones diarias de una empresa. Su función es identificar, interceptar, escalar y registrar cualquier operación potencialmente prohibida antes de que se ejecute.
Tres reguladores distintos vigilan tres terrenos distintos. La OFAC controla las sanciones económicas. El BIS administra el EAR, que cubre los productos y tecnologías de doble uso. El DDTC administra el ITAR, que cubre los artículos de defensa. Una empresa con operaciones relacionadas con EE. UU. o que trabaja con contrapartes internacionales podría posiblemente tocar los tres a la vez, y en tal caso podría convenir un programa único que los cubra de forma coordinada en lugar de tres sistemas aislados.
Un programa único suele ser el mas efectivo en estas circunstancias ya que los elementos esenciales son los mismos y un solo programa integrado evita duplicación o procedimientos contradictorios. Aun así, el programa normalmente incluiría algunos elementos dedicados exclusivamente a OFAC, EAR, o ITAR. En otras circunstancias programas completamente independientes para los diferentes regímenes puede ser lo mas recomendable, por ejemplo si una empresa tiene múltiples unidades de negocio separadas con perfiles de riesgo muy distintos, o si las operaciones sujetas al ITAR son significativas y requieren segregación de funciones.
Si no se manejan artículos de defensa, obviamente la parte del ITAR no sería necesaria. Asimismo, si no se utilizan productos o tecnologías de EE. UU., los controles del EAR tampoco aplicarían y la parte de cumplimiento con ese régimen tampoco sería necesario. Aun así, para llegar a estas conclusiones, es necesario tener procesos establecidos y fiables.
¿Es obligatorio tener un programa de cumplimiento?
No con carácter general. La OFAC y el BIS recomiendan un programa, pero no lo exigen por ley. El ITAR tampoco, aunque se acerca más a hacerlo. La responsabilidad por incumplir, eso sí, es idéntica se tenga programa o no.
En la práctica, tener un programa de cumplimiento es indispensable.
¿Por qué le interesa a una empresa no estadounidense?
Porque las sanciones de la OFAC y los controles EAR e ITAR alcanzan a empresas situadas fuera de Estados Unidos, como detalla la extraterritorialidad de estas normas. Y porque un programa documentado es un factor atenuante reconocido oficialmente. La OFAC lo valora al calcular una sanción y puede reducir la cuantía cuando existe un programa eficaz. Existen múltiples razones prácticas. Contrapartes en operaciones comerciales, de M&A, o financieras inevitablemente realizarán su debida diligencia y exigirán declaraciones y garantías de cumplimiento solidas como condicionantes. Sin programa de cumplimiento es imposible cumplir con estas condiciones.
Los 5 componentes esenciales de un programa de cumplimiento
El marco de la OFAC, publicado el 2 de mayo de 2019, define cinco componentes esenciales: compromiso de la dirección, evaluación de riesgos, controles internos, pruebas y auditoría, y formación. Estos cinco pilares son la base sobre la que se construyen también los programas para el EAR y el ITAR.
Compromiso de la dirección
El compromiso de la dirección es el respaldo activo de la alta dirección al programa de cumplimiento. Es el factor que más determina su éxito. La dirección revisa y aprueba el programa, dota a la función de cumplimiento de recursos y autonomía, establece líneas de reporte directas y promueve una cultura en la que el personal puede alertar de un problema sin miedo a represalias.
Evaluación de riesgos
La evaluación de riesgos es el análisis sistemático de los puntos de contacto de la empresa con personas, países o sectores sancionados, y con productos o tecnologías sujetas a controles de exportación. Revisa clientes, proveedores, intermediarios y contrapartes, los productos y servicios que ofrece, y las zonas geográficas donde opera. Es especialmente crítica en fusiones y adquisiciones, donde la empresa hereda el riesgo de la entidad que compra.
Controles internos
Los controles internos son las políticas y procedimientos que identifican, interceptan, escalan y registran las operaciones potencialmente prohibidas. Incluyen el cribado (screening) de contrapartes contra la lista SDN y otras listas, y la diligencia debida sobre clientes y proveedores. El cribado del sector financiero exige cuidados específicos por el papel del dólar en los pagos internacionales (artículo en preparación) [3.4 – pendiente de publicar].
La verificación previa de contrapartes —su titularidad real, su ubicación y sus vínculos— es la pieza que más fallos evita. Ese proceso de due diligence de sanciones [3.1] merece su propio procedimiento dentro del programa.
Pruebas y auditoría
Las pruebas y la auditoría comprueban que el programa funciona como se diseñó y detectan sus debilidades. Una función de auditoría útil es independiente de las áreas que revisa y reporta a la dirección. Cuando encuentra un fallo, la empresa aplica controles compensatorios mientras resuelve la causa raíz. El detalle de qué se revisa en una auditoría de cumplimiento [3.2] se trata por separado.
Formación
La formación mantiene al personal al día de sus responsabilidades de cumplimiento y de las señales de alerta. El marco de la OFAC pide que sea periódica, como mínimo anual, y adaptada al puesto: quien trata con pagos, ventas o exportaciones necesita más profundidad que el resto. El programa de formación en cumplimiento [3.3] se desarrolla en su propio artículo.
Cómo difieren OFAC, EAR e ITAR en la práctica
Los tres regímenes comparten la misma espina dorsal de cinco pilares, pero el BIS para el EAR y el DDTC para el ITAR definen ocho elementos cada uno. Las guías del EAR salieron también en español, y las directrices del programa de cumplimiento ITAR del DDTC se publicaron el 5 de diciembre de 2022. Ambos parten del marco de la OFAC y añaden requisitos operativos propios de las exportaciones y las transferencias de tecnología.
| Elemento | OFAC | EAR (BIS) | ITAR (DDTC) |
|---|---|---|---|
| Compromiso de la dirección | Sí | Sí | Sí |
| Evaluación de riesgos | Sí | Sí | Sí |
| Controles internos y procedimientos | Sí | Sí | Sí |
| Pruebas y auditoría | Sí | Sí | Sí |
| Formación | Sí | Sí | Sí |
| Conservación de registros | Dentro de controles | Elemento propio | Elemento propio |
| Manual de cumplimiento escrito | Dentro de controles | Elemento propio | Elemento propio |
| Gestión y divulgación de infracciones | Dentro de controles | Elemento propio | Elemento propio |
| Total de elementos del marco | 5 | 8 | 8 |
Lo que añade el EAR (BIS)
El programa de cumplimiento del EAR suma cuatro elementos operativos al marco de cinco de la OFAC: la autorización de exportación, la conservación de registros, un manual de cumplimiento escrito y un procedimiento para gestionar infracciones y acciones correctivas. El cribado y la clasificación de productos según la Lista de Control de Comercio son el día a día de estos controles, como detalla la guía de controles de exportación.
Lo que añade el ITAR (DDTC)
El programa de cumplimiento del ITAR exige, además, un control específico de la clasificación de artículos en la Lista de Municiones de Estados Unidos (USML). Suma también la detección, el reporte y la divulgación de infracciones y un manual ITAR propio. Es el régimen más estricto de los tres porque afecta a material de defensa.
Cómo implementar un programa de cumplimiento paso a paso
Implantar un programa de cumplimiento sigue una secuencia lógica: evaluar el riesgo, diseñar controles proporcionales, documentarlos, formar al personal y auditar el resultado. Una empresa pequeña no necesita la misma estructura que una multinacional, pero sí los mismos pilares.
- Designa un responsable de cumplimiento y consigue el respaldo expreso de la dirección.
- Evalúa tu exposición real: clientes, proveedores, productos, tecnología y geografías.
- Diseña los controles: cribado de contrapartes, diligencia debida y clasificación de productos.
- Documenta políticas y procedimientos en un manual claro y aplicable.
- Forma al personal de las áreas de mayor riesgo.
- Audita de forma periódica y corrige las debilidades que detectes.
Si tu prioridad son las sanciones, el programa de cumplimiento específico de OFAC [1.6] desarrolla los cinco componentes aplicados solo a ese régimen.
Ejemplo práctico: una empresa sin programa frente a una con programa
Un programa de cumplimiento cambia el desenlace de una investigación y tranquiliza a contrapartes en operaciones de M&A, comerciales, o financieras. Imagina dos distribuidoras europeas de componentes electrónicos.
La primera, Empresa A, no tiene programa. Recibe un pedido atractivo de un intermediario en un tercer país que, en realidad, reexporta el material a una jurisdicción sancionada. Nadie verifica al cliente final. Cuando la operación pasa por un banco con nexo estadounidense, la transacción activa una alerta y, meses después, llega una investigación. Al no haber controles, la conducta se considera descuidada y agrava la respuesta.
La segunda, Empresa B, sí tiene programa. Su cribado detecta que el intermediario aparece vinculado a operaciones de riesgo. El responsable de cumplimiento bloquea el pedido y documenta la decisión. La empresa evita la violación y, además, conserva la prueba de que sus controles funcionan. Ante una eventual revisión, ese expediente es su mejor defensa.
Preguntas frecuentes
¿Sirve el mismo programa para OFAC, EAR e ITAR?
Parcialmente. Los cinco pilares son comunes a los tres regímenes, así que un único programa puede cubrirlos si incorpora los elementos adicionales del EAR y del ITAR: conservación de registros, clasificación de productos, y manual escrito.
¿Tener un programa de cumplimiento reduce las multas?
Sí. La OFAC reconoce el programa como factor atenuante. Un programa eficaz puede reducir la cuantía de una sanción civil y, en algunos casos, influir en si un caso se clasifica como grave. Sin programa, una conducta descuidada se convierte en un factor agravante.
¿Es obligatorio para una empresa fuera de Estados Unidos?
No. Serecomienda el programa sin exigirlo por ley. Pero la responsabilidad por una violación es la misma con o sin programa, así que no tenerlo solo aumenta el riesgo.
Y en la practica es indispensable.
¿Por dónde empiezo si nunca he tenido uno?
Por la evaluación de riesgos. Identificar dónde toca tu empresa a personas, países sancionados o tecnología controlada define qué controles necesitas. Así inviertes en lo que de verdad aplica a tu negocio y no en un programa genérico.
Descarga gratuita: Checklist de los 5 componentes de un programa de cumplimiento OFAC/EAR/ITAR
Una lista de verificación práctica para evaluar, pilar por pilar, si tu empresa tiene cubiertos los cinco componentes esenciales y los elementos adicionales del EAR y el ITAR.
¿Necesitas montar o revisar tu programa de cumplimiento? Habla con Burke Compliance y evalúa tu exposición con un especialista.
