Hur förhindrar screening av nekade parter sanktionsrisk?

Ett företag kan följa alla tullregler perfekt och ändå bryta mot lagen genom att helt enkelt sälja till fel köpare. Överträdelser av sanktioner och exportkontrollregler påverkas inte av att övriga dokument är korrekta. Syftet med kontroll av begränsade parter är att upptäcka just denna risk innan en affär slutförs genom att kontrollera vem som faktiskt finns på andra sidan av transaktionen mot myndigheternas listor över parter som omfattas av restriktioner, i stället för att enbart kontrollera vad som skickas.

Vad kontrolleras egentligen vid granskning av begränsade parter?

Screening av nekade parter innebär att namn, adresser och andra identifierande uppgifter om alla som deltar i en transaktion jämförs med myndigheternas listor över parter som enligt lag är begränsade från vissa aktiviteter. Det omfattar köparen, mottagaren, banken, speditören och till och med ett fartyg eller ett flygplan. Ett godkänt resultat innebär att ingen träff hittades på någon av de listor som faktiskt kontrollerades. Det betyder inte att transaktionen automatiskt är fri från andra, orelaterade frågor om regelefterlevnad.

Själva kontrollen går vanligtvis snabbt och tar ofta bara några sekunder med hjälp av ett automatiserat verktyg. The Consolidated Screening List samlar listor över begränsade parter från handelsdepartementet, utrikesdepartementet och finansdepartementet i ett enda sökbart verktyg. Ett företag behöver inte manuellt kontrollera flera separata statliga databaser för varje enskild transaktion.

Anta att en köpare lägger sin första, relativt lilla beställning av industriella fästelement, en produkt som vid första anblicken inte väcker några uppenbara farhågor om dubbla användningsområden. Att söka efter köparens namn i ett kontrollverktyg innan beställningen bekräftas tar några sekunder och kostar ingenting. Att i efterhand upptäcka att köparen redan fanns med på en lista på grund av inblandning i spridning av vapen kostar betydligt mer. Försändelsen, affärsrelationen och potentiellt även en myndighetsåtgärd står nu på spel på grund av en produkt som verkade helt ordinär.

Vilka listor ingår egentligen i en kontroll av begränsade parter?

”Kontroll av begränsade parter” är ett samlingsbegrepp för att samtidigt kontrollera flera listor som faktiskt skiljer sig åt. Att behandla dem som utbytbara är en av de främsta orsakerna till förvirring. De två viktigaste listorna för de flesta exportörer kommer från helt olika departement och finns av olika skäl. Bureau of Industry and Security upprätthåller en egen lista inom exportkontrollområdet. Den bygger på en helt annan rättslig grund än finansdepartementets sanktionslista.

Sanktionsscreening mot OFAC:s lista och exportkontroll mot BIS:s listor överlappar i praktiken, eftersom de flesta kontrollverktyg granskar båda samtidigt. Det rör sig ändå om juridiskt separata frågor med olika konsekvenser. En träff på den ena listan säger ingenting om företagets status på den andra.

En tredje lista som ofta utelämnas i diskussioner om kontroll

Utrikesdepartementet upprätthåller egna listor över begränsade parter enligt International Traffic in Arms Regulations. Dessa omfattar försvarsprodukter och försvarstjänster, snarare än de bredare kommersiella varor som BIS:s listor gäller. Ett företag som hanterar något med en tänkbar försvarstillämpning, även en komponent som verkar ha liten koppling till ett vapensystem, bör kontrollera om denna tredje lista är tillämplig innan det antar att en kontroll av enbart BIS:s och OFAC:s listor ger en fullständig bild.

De flesta kommersiella exportörer hanterar aldrig varor som omfattas av ITAR och kan med fog betrakta OFAC:s och BIS:s listor som kärnan i ett kontrollprogram. Det är produktkategorin, inte enbart destinationslandet, som avgör om denna tredje lista över huvud taget behöver beaktas.

En produkt som verkar helt civil kan ändå ha en klassificering för dubbla användningsområden som gör att den omfattas av exportkontroll, oavsett vem köparen visar sig vara. Att kontrollera produktens egen klassificering separat från kontrollen av köparen är en annan fråga om regelefterlevnad som den här artikeln inte behandlar ingående. Det är ändå värt att uppmärksamma den eftersom dessa två frågor så ofta förväxlas att det i sig kan leda till verkliga problem.

Hur stora är de faktiska riskerna när kontrollen uteblir?

Uppgifter om myndigheternas tillsynsåtgärder är offentliga, och variationerna mellan åren visar hur oförutsägbara de ekonomiska konsekvenserna kan vara. OFAC:s egna uppgifter om tillsynsåtgärder visar att det totala beloppet för indrivna civilrättsliga sanktionsavgifter ökade från cirka 20,9 miljoner dollar 2021 till 42,7 miljoner dollar 2022 och därefter till anmärkningsvärda 1,54 miljarder dollar 2023, innan det återgick till cirka 48,8 miljoner dollar 2024.

Den kraftiga ökningen 2023 var inte typisk för tillsynsverksamheten. Ett litet antal mycket stora förlikningar, snarare än en bred våg av nya överträdelser, drev upp totalsumman långt över nivån för alla andra år som visas. Mönstret visar ändå den viktiga poängen: risken för sanktionsavgifter ökar inte på ett jämnt eller förutsägbart sätt. Ett företag kan inte utgå från att dess egen risk är liten bara för att ett genomsnittligt år verkar innebära måttliga belopp.

Dessa totalsummor omfattar inte de övriga kostnader som följer med en tillsynsåtgärd, såsom juridiska avgifter, den interna arbetstid som läggs på en utredning och ryktesskadorna av att bli ett offentligt tillsynsärende i stället för ett privat, orapporterat misstag. En enda missad träff är sällan den enda orsaken till en tillsynsåtgärd. Vanligtvis är den en del av ett mönster som en utredning senare kartlägger i sin helhet.

Beräkningen av sanktionsavgifter påverkas också ofta av hur länge en överträdelse förblev oupptäckt, inte bara av värdet på en enskild försändelse. Ett företag som upptäcker och självmant rapporterar ett misstag efter en enda transaktion befinner sig i en väsentligt annorlunda situation än ett företag som fortsätter med ett oupptäckt mönster av överträdelser i dussintals beställningar under flera år. Bristen i kontrollen spelar roll, men det gör även hur snabbt den upptäcks och åtgärdas när den väl har uppstått.

När i beställningsprocessen bör kontrollen faktiskt genomföras?

Kontroll redan vid den första kontakten, innan någon offert ens skickas, gör det möjligt att upptäcka de tydligaste fallen till låg kostnad. Om en köpare förekommer på en lista över begränsade parter redan när förfrågan kommer in kostar det ingenting att tacka nej. Att upptäcka samma sak efter att varorna har skickats innebär ett helt annat och betydligt dyrare problem.

En andra kontroll omedelbart före leveransen är lika viktig som den första. Det är också det steg som företag oftast hoppar över när en affärsrelation väl känns etablerad. Listorna förändras ständigt. En köpare som inte gav någon träff vid kontrollen för sex månader sedan, när relationen inleddes, är inte garanterad att få samma resultat i dag. Att behandla den första kontrollen som ett permanent godkännande är en av de vanligaste bristerna som senare upptäcks vid en tillsynsgranskning. Att känna en affärspartner väl är inte detsamma som att ha kontrollerat att samarbetet är tillåtet, oavsett hur länge relationen har fungerat utan problem.

Genom att kontrollera alla parter i kedjan, inte bara den angivna köparen, täpps en lucka till som en kontroll av enbart köparen lämnar vidöppen. En mottagare, en mellanliggande bank, en speditör eller till och med fartyget som transporterar varorna kan omfattas av en begränsning oberoende av om köparen själv är helt utan anmärkningar.

Anta att en köpare klarar kontrollen utan anmärkning, men att speditören som hanterar leveransen har lagts till på en lista över begränsade parter under månaderna sedan samarbetet med speditören inleddes. En kontrollprocess som endast granskar köparen vid beställningstillfället skulle helt missa denna förändring, trots att leveransen nu hanteras av en part som exportören enligt lag inte får samarbeta med. Genom att inkludera speditören, banken och mottagaren i samma kontrollsteg som köparen kan företaget täppa till just denna lucka innan den blir ett verkligt problem.

Vad händer när kontrollen faktiskt ger en träff?

En träff är inte automatiskt ett bevis på ett problem, och att behandla varje träff som en bekräftad överträdelse skapar egna kostsamma hinder. Falska positiva resultat är vanliga för personer med vanliga namn, särskilt när det gäller privatpersoner snarare än företag. Förhastade slutsatser åt något håll, att ignorera en verklig träff eller få panik över en falsk träff, kan orsaka egna skador.

För att bekräfta en träff krävs mer än att bara kontrollera namnet. Man behöver även granska födelsedatum, adress, nationalitet och alla andra identifierande uppgifter som själva listan innehåller. Om träffen fortfarande stämmer efter en närmare granskning måste transaktionen stoppas omedelbart. Beroende på vilken lista som gav träffen kan ärendet också behöva rapporteras till den berörda myndigheten, i stället för att transaktionen bara avböjs utan vidare.

Att eskalera ärendet internt, i stället för att låta en enskild anställd själv avgöra hur en bekräftad träff ska hanteras, minskar risken för en inkonsekvent eller felaktig reaktion. En säljare som pressas att slutföra en affär är sällan rätt person att fatta det slutliga beslutet i en sanktionsfråga. En person med särskilt ansvar för regelefterlevnad bör delta i bedömningen, även på ett företag som är för litet för att ha en egen särskild complianceavdelning.

Att dokumentera själva kontrollprocessen, oavsett om en träff hittas eller inte, är nästan lika viktigt som kontrollresultatet. Ett företag som kan visa att det kontrollerade varje transaktion mot den aktuella listan på ett visst datum med ett visst verktyg befinner sig i en helt annan situation vid en senare granskning än ett företag som bara allmänt hävdar att det brukar göra sådana kontroller.

En skriftlig rutin som beskriver vem som utför kontrollerna, när de utförs och vilka listor som används gör en informell vana till en process som en utredare eller revisor faktiskt kan verifiera. Utan sådan dokumentation kan ett företag som helt förlitar sig på en anställds minne av att ”vi alltid kontrollerar” inte bevisa påståendet. Bristen blir särskilt tydlig när den anställde har slutat eller helt enkelt inte kan minnas en viss transaktion från två år tidigare.

Räcker det att kontrollera en gång för hela affärsrelationen?

Nej. Att anta något annat är den vanligaste bristen i ett i övrigt rimligt program för regelefterlevnad. Listor över Exportkontroller ändras löpande, med tillägg och borttagningar under hela året. De följer inte något fast årligt schema som ett företag kan planera efter.

En köparrelation som inleddes utan anmärkningar för två år sedan behöver kontrolleras på nytt med jämna mellanrum, inte bara en gång vid registreringen. Många företag genomför automatiska omkontroller i månadsvisa eller kvartalsvisa omgångar, utöver att kontrollera varje enskild transaktion när den sker. Syftet är särskilt att upptäcka om en köpare förs upp på en lista någon gång efter att relationen inleddes. Batchkontrollen och kontrollen vid varje beställning fyller olika funktioner, och båda är viktiga.

Att bygga in återkommande kontroller i en befintlig kalender, i stället för att behandla dem som en engångsåtgärd vid registreringen, är det som faktiskt håller ett kontrollprogram effektivt under flera år av en affärsrelation och inte bara i början.

Mindre företag utan ett särskilt compliance-team kan också hantera detta utan särskilt stor arbetsbörda. Genom att koppla den återkommande omkontrollen till en befintlig rutin, till exempel en årlig kundkontogranskning eller en förnyelse av betalningsvillkor, minskar risken att kontrollen glöms bort. Det kräver inte heller en separat process som konkurrerar om uppmärksamheten med allt annat som ett litet team behöver hantera. Målet är konsekvens, inte komplexitet.

Kontroll av begränsade parter är en liten och snabb kontroll som är särskilt avsedd att upptäcka en risk som tullberäkningar och kvalitetsinspektioner inte kan identifiera: vem som faktiskt finns på andra sidan av en transaktion. Kostnaden för att genomföra kontrollen mäts i sekunder. Som tillsynssiffrorna ovan visar kan kostnaden för att hoppa över den uppgå till hundratals miljoner dollar. Den här artikeln innehåller allmän information och utgör inte juridisk rådgivning. Bekräfta aktuella krav och rutiner för kontroll med berörd myndighet eller en kvalificerad jurist med inriktning på handelsrelaterad regelefterlevnad innan du förlitar dig på en kontrollprocess för en faktisk transaktion.