Zorg dat uw bedrijf klaar is voor supply chain compliance-alarmen

Iedereen heeft een plan totdat hij in het gezicht geslagen wordt. Het is een wijze leerstuk (van zwaargewichtsbokslegende Mike Tyson) waar bedrijven goed aan doen te luisteren wanneer het om internationale compliancerisico's gaat.

Terwijl veel grotere bedrijven goede plannen hebben, behandelen middelgrote bedrijven compliancerisico's vaak als "vinkje-aan-het-vinkje" oefeningen. Misschien denken ze gedekt te zijn omdat ze nauwlettend een database monitoren die binnenkomende sanctie-aankondigingen van het Amerikaanse Office of Foreign Assets Control (OFAC) of andere instanties screent. Dat werkt totdat er een alarm flitst over nieuwe OFAC-sancties op een van de derde-partij leveranciers van het bedrijf. Op dat moment heeft het bedrijf veel meer nodig dan een database om een situatie te vermijden die snel duur en disruptief kan worden.

De kans dat uw bedrijf geconfronteerd wordt met een compliance-alarm stijgt naarmate het geopolitieke plaatje complexer wordt. De Biden-administratie heeft al een strengere houding ingenomen ten opzichte van veel buitenlandse actoren dan zijn voorganger, met nieuwe sancties op China en Russia. Tot nu toe dit jaar heeft OFAC ongeveer $14 miljoen aan civiele boetes opgelegd. De Duitse softwaregigant SAP werd in april getroffen met meer dan $8 miljoen aan gecombineerde Amerikaanse boetes voor het verkopen van producten aan Iran in strijd met Amerikaanse sancties.

Elk bedrijf dat een oproep krijgt van een regulator – of een ping van zijn compliancesoftware – zit in de problemen als het niet al vast procedures heeft. Stel u de gevolgen voor als uw bedrijf bijvoorbeeld een agent in Saoedi-Arabië gebruikt die blijkt gelieerd te zijn aan het binnenbrengen van producten in Iran of op enigerlei wijze verbonden met terrorismefinanciering. Boetes kunnen variëren van miljoenen dollars tot strafrechtelijke vervolging.

De sleutels: documenteren, onderzoeken, handelen, herstellen

De sleutels om een alarm hoofd te bieden, zelfs als het een false alarm is, zijn documentatie, onderzoek, actie en herstel.

Documenteer, documenteer, documenteer

Wanneer handhavingsinstanties wind krijgen van een mogelijke compliance-fout, willen ze niet alleen weten "Wat is er misgegaan?" maar ook "Wat hebben jullie gedaan om het te voorkomen?"

Het is de moeite waard om nu al een antwoord op die tweede vraag te hebben, vóór een compliance-alarm. Documentatie is uw vriend. Regulators zullen geneigder zijn om mildheid te betrachten en constructief samen te werken met bedrijven die uitgebreide documentatie hebben van hun communicatie en processen rond derde-partij entiteiten, of de relaties nu risicovol waren of niet. Ga ervan uit dat u blootgesteld bent aan gesanctioneerde partners en handel dienovereenkomstig.

Goed onderzoek naar de derde partijen van uw bedrijf is fundamenteel. Elke database heeft zijn beperkingen, zelfs OFAC's "uitgebreide" lijst met sanctieprogramma's. Het is vitaal om toegang te hebben tot supplementaire directories of informatie, samen met processen om de data te analyseren. Zodra een leverancier is gevlagd, moeten bedrijven in staat zijn om snel interne en externe middelen te mobiliseren om initieel te bepalen of de informatie correct is.

Soms zal het onderzoek aantonen dat er geen reden voor zorgen is – misschien gebeurde de alarm omdat een ongerelateerde partner in Taiwan een vergelijkbare bedrijfsnaam heeft als een in vast Chinees vasteland die voor sancties was gemarkeerd. In dit geval heeft u geld bespaard en onnodige stress vermeden. De informatie was beschikbaar, en uw team hoefde geen externe raad in te huuren.

Heb een actieplan

Als onderzoek daarentegen aantoont dat de partner inderdaad de gevlagde en gesanctioneerde entiteit is, is uw team gewapend om actie te ondernemen. Met de informatie op de hand weet uw complianceteam al de diepgang van de relatie en de potentiële blootstelling van het bedrijf. De volgende stappen kunnen het inhuren van juridische raad of andere externe adviseurs zijn.

De laatste stap van een goed compliance-alarmplan is herstel. Dit kan betekenen samenwerken met een ervaren advocatenkantoor of het vinden van experts die de lokale taal spreken en uw bedrijf kunnen adviseren over de blootstelling en alternatieven.

Soms is de oplossing zo simpel als alle banden met de partner te kappen. Als de relatie cruciaal of onvermijdelijk is, is het misschien niet zo makkelijk. In de luchtvaartbranche kan het bijvoorbeeld praktisch onmogelijk zijn om te vermijden met luchthavenservicebedrijven te werken die corruptelinks met regeringen kunnen hebben. Hier kan het de moeite waard zijn om te zoeken naar samenwerking met regulators om de situatie uit te leggen en een compromisoplossing te vinden. Maar ook hier bereikt u veel betere resultaten als het bedrijf kan tonen dat het de juiste processen heeft gevolgd en een audittrail heeft die dit documenteert.

Een veelgemaakte fout die te vermijden is: de gesanctioneerde entiteit zelf benaderen om vragen te stellen. De OFAC-lijst bevat enkele van de meest onwelwillende actoren ter wereld, wat het onwaarschijnlijk maakt dat ze een eerlijk verhaal zullen geven.

Systemen op orde hebben, in plaats van ad-hoc reacties, maakt het bedrijf kogelvrij zodat het niet afhankelijk is voor compliance van één enkel faalpunt, zoals een general counsel die op een dag besluit op te stappen. Met documentatie, onderzoek, vooraf geplande actie en herstel heeft uw bedrijf de beste verdediging voor die "punch-in-the-mouth" moment.

Allan Matheson is CEO van Blue Umbrella, een Vancouver-gebaseerd compliancetechnologiebedrijf.