2.II.2 Condición de sistema satisfactorio de gestión de los registros comerciales y de transporte

El artículo 25, apartado 1, letra a), del AE CAU exige que el solicitante mantenga un sistema de contabilidad «coherente con los principios contables comúnmente aceptados aplicados en el Estado miembro en el que se lleva la contabilidad», que permita «el control aduanero mediante auditorías» y que mantenga un historial de los datos que facilite «una pista de auditoría desde el momento en que los datos se introducen en los archivos»

En contabilidad, se denomina pista de auditoría al proceso o práctica puntual de remitir a la fuente de cada partida contable a fin de facilitar el control de su exactitud. Una pista de auditoría completa permitirá rastrear las actividades de explotación del solicitante a lo largo de todo su ciclo de vida, es decir, en el presente caso, la entrada de envíos, mercancías y productos, la transformación de los mismos y su salida de fábrica. Por motivos de seguridad, muchas empresas y organizaciones exigen que en sus sistemas informáticos se incluya una pista de auditoría. Es importante combinar los controles efectuados en el sistema de la empresa con los realizados por razones de protección y seguridad. En lo que respecta a la protección y la seguridad, es importante que, en su caso, la información consignada en dicho sistema refleje el movimiento físico de los envíos, las mercancías y los productos, y disponer de tal información debe formar parte de la verificación. También es importante que, cuando corresponda, la información incluida en el sistema de la empresa refleje el flujo de envíos, mercancías y productos, así como las medidas adoptadas con vistas a garantizar su protección y seguridad en las diferentes etapas de la cadena de suministro internacional en la que participe el AEO. Las pruebas de las operaciones deben reflejar estas cuestiones cuando se lleven a cabo y han de garantizar además que la empresa sigue en todo momento las rutinas previstas. Mediante la pista de auditoría se mantiene un historial de los datos que permite al usuario rastrear un dato concreto desde su entrada en el sistema hasta su salida del mismo

El artículo 25, apartado 1, letra b), del AE CAU exige que los registros que el solicitante lleve a efectos aduaneros estén «integrados en su sistema de contabilidad» o permitan «la realización de controles cruzados de la información con el sistema contable»..

Algunos operadores económicos utilizan un software de Planificación de los Recursos de la Empresa (PRE) para estructurar sus procesos empresariales fundamentales. Los registros destinados a fines aduaneros se pueden integrar o vincular electrónicamente en este PRE.

No es necesario, especialmente en el caso de las pymes, utilizar un sistema integrado único, sino permitir la realización de comprobaciones cruzadas entre los registros aduaneros y el sistema contable. Ello se puede lograr mediante un vínculo automático, una interfaz o incluso referencias cruzadas en ambos sistemas o documentación.

El artículo 25, apartado 1, letra c), del AE CAU exige que el solicitante permita a la autoridad aduanera «el acceso físico a sus sistemas contables, y, en su caso, a sus registros comerciales y de transporte».

Véase la letra d) a continuación.

El artículo 25, apartado 1, letra d), del AE CAU exige que el solicitante permita a la autoridad aduanera «el acceso electrónico a sus sistemas contables, y, en su caso, a sus registros comerciales y de transporte» cuando tales sistemas o registros se lleven electrónicamente.

El acceso a los registros de la empresa se define como la posibilidad de obtener la información necesaria, independientemente del lugar en que se encuentre almacenada físicamente. La información necesaria abarca los registros de la empresa, así como otros datos pertinentes, necesarios para llevar a cabo la auditoría. Puede accederse a la información de diversas formas:

• En soporte de papel: se facilita una copia impresa de la información solicitada. El soporte de papel es la solución adecuada cuando la cantidad de información requerida es limitada. Esta situación se puede dar, por ejemplo, cuando se comprueban las cuentas anuales.

• Mediante dispositivos portátiles de almacenamiento de datos: se facilita copia de la información solicitada en soporte CD-ROM o en un medio similar. Esta solución es la más recomendable cuando se trata de un volumen de información mayor y es preciso recurrir al procesamiento de datos.

• Mediante acceso en línea: por medio del sistema informático de la empresa en caso de que se visite el sitio, utilizando canales electrónicos para el intercambio de datos, incluido Internet.

Independientemente de la forma en que se facilite la información, las autoridades aduaneras deberán tener la posibilidad de proceder al examen y el análisis de los datos (es decir, poder trabajar con los datos). También es importante que los datos facilitados siempre estén actualizados.

En lo que respecta a esta condición en concreto, deberá tenerse en cuenta la naturaleza de las pymes. Por ejemplo, aunque todos los solicitantes que aspiren a un AEO tengan que demostrar que disponen de un sistema de registro eficaz que facilite los controles aduaneros basados en las auditorías, el modo en que esto se consiga puede variar. En el caso de una empresa solicitante de gran tamaño, puede que sea necesario contar con un sistema de registro electrónico integrado que facilite la auditoría a las autoridades aduaneras, mientras que en el de una pyme, contar únicamente con un sistema de registro simplificado y en soporte de papel puede bastar, si este permite a las aduanas efectuar los controles pertinentes.

El artículo 25, apartado 1, letra e), del AE CAU exige que el solicitante disponga de un sistema logístico que identifique «las mercancías como mercancías de la Unión o no pertenecientes a la Unión» e indique, en su caso, «su localización».

Debe evaluarse el modo en que las mercancías que no son de la Unión o que están sujetas a control aduanero pueden distinguirse de las mercancías de la Unión. De conformidad con el artículo 25, apartado 2, del AE CAU, los AEOS no están supeditados a esta condición. El motivo es que las disposiciones en materia de protección y seguridad no diferencian entre unas y otras. Tales requisitos se aplican a todas las mercancías que entran en el territorio aduanero de la Unión o lo abandonan, con independencia de su condición.

Por lo que se refiere a las pymes, el cumplimiento de esta condición puede considerarse satisfactorio si es posible distinguir entre mercancías de la Unión y mercancías que no son de la Unión mediante un sencillo archivo electrónico o registros en papel, siempre que estos se gestionen y protejan de un modo seguro.

El artículo 25, apartado 1, letra f), del AE CAU exige que el solicitante tenga «una organización administrativa» que corresponda «al tipo y al tamaño de la empresa» y que sea «adecuada para la gestión del flujo de mercancías», y aplique controles internos que permitan «prevenir, detectar y corregir los errores y prevenir y detectar las transacciones ilegales o irregulares».

Debe tenerse en cuenta que no existe una «norma estándar» para la organización administrativa. Lo más importante que debe demostrar el solicitante es que la organización administrativa que aplica es adecuada, teniendo en cuenta su modelo empresarial, para la gestión del flujo de mercancías, y que existe un sistema apropiado para el control interno. Por tanto, la utilización de «umbrales cuantitativos», como el número mínimo miembros de la plantilla, u otros, no es adecuada.

No obstante lo anterior, se espera que se establezcan procedimientos por escrito e instrucciones de trabajo con descripciones claras de los procesos, las competencias y la sustitución en caso de ausencia, y que se apliquen correctamente. En el caso de las pequeñas empresas y las microempresas, estas expectativas se pueden cumplir también mediante otras medidas apropiadas que se han de demostrar a la AAE.

Los procedimientos de control interno no solo repercuten en el funcionamiento cotidiano del departamento responsable de las operaciones cubiertas por la legislación aduanera, sino también en todos los servicios que intervienen en la gestión de las actividades relacionadas con la cadena internacional de suministro en la que participa el solicitante. Existen diversos ejemplos de control interno, desde una simple «regla de las dos personas» hasta complejas comprobaciones electrónicas de verosimilitud.

Cualquier irregularidad en la administración que incluya infracciones aduaneras puede ser un indicador de inefectividad del sistema de control interno. Desde esta perspectiva, cualquier infracción aduanera siempre se ha de analizar también en relación con esta condición, con el fin de adoptar medidas para mejorar el sistema de control interno y, de esta manera, evitar que la infracción se repita.

El artículo 25, apartado 1, letra g), del AE CAU exige que el solicitante haya establecido, en su caso, «procedimientos satisfactorios para la gestión de las licencias y autorizaciones concedidas con arreglo a medidas de política comercial o relacionadas con el comercio de productos agrícolas».

Sobre la base de la información facilitada en el CAE y de cualquier otra información a disposición de las autoridades aduaneras, es importante determinar con antelación si el solicitante opera con mercancías sujetas a licencias comerciales (p. ej., en el sector textil). Si este es el caso, deberían existir rutinas y procedimientos apropiados para la gestión de licencias relacionadas con la importación y/o exportación de mercancías. En caso necesario, la aplicación práctica de estas rutinas y procedimientos ha de verificarse sobre el terreno.

En el caso del comercio con mercancías específicas sujetas a licencias emitidas por otras autoridades competentes, es aconsejable que las autoridades aduaneras consulten con aquellas y recaben de las mismas información de referencia sobre el solicitante.

En el artículo 25, apartado 1, letra h), del AE CAU se exige que el solicitante disponga de «procedimientos adecuados de archivo de la documentación e información de la empresa y de protección contra la pérdida de datos».

Los procedimientos para el archivo y la recuperación de los registros y la información del solicitante deben someterse a una evaluación que incluirá la determinación del tipo de medios y del formato de software en los que se almacenan los datos, y de si estos se comprimen o no, y en qué etapa. Si se recurre a un tercero, el régimen de este servicio deberá ser inequívoco, en particular respecto de la frecuencia y la ubicación de las copias de seguridad y la información archivada. Un aspecto importante de esta condición está relacionado con la posible destrucción o pérdida de la información pertinente. En este sentido, debe comprobarse si existe un plan de seguridad que incluya la descripción de las medidas que deberán adoptarse en caso de incidentes y si tal plan se actualiza periódicamente. Deberán comprobarse asimismo las rutinas de creación de copias de seguridad en caso de que los sistemas informáticos dejen de funcionar.

El artículo 25, apartado 1, letra i), del AE CAU exige que el solicitante garantice que «los empleados pertinentes hayan recibido la orden de informar a las autoridades aduaneras si se descubren dificultades de cumplimiento» y «establece procedimientos para informar a dichas autoridades de tales dificultades».

En caso de que se planteen dificultades de cumplimiento en el terreno aduanero, el solicitante debe aplicar procedimientos de notificación a las aduanas y ha de disponer de una persona de contacto designada y encargada de tal notificación a las autoridades aduaneras. Deberán formularse instrucciones formales dirigidas a los empleados que intervengan en la cadena de suministro, con el fin de evitar posibles dificultades de cumplimiento de los requisitos aduaneros. Todas las dificultades detectadas se comunicarán a la persona o personas responsables designadas o a sus sustitutos.

A este fin, conviene que los detalles de contacto de la persona designada sean claramente visibles para el personal a cargo de las mercancías, así como para el personal a cargo de la información correspondiente (p. ej. en un tablón o junto al teléfono).

Para determinar qué información ha de aportar el operador económico, en el anexo 4 de las presentes Orientaciones se incluye una lista de ejemplos.

El artículo 25, apartado 1, letra j), del AE CAU exige que el solicitante haya establecido «medidas apropiadas de seguridad para proteger su sistema informático de cualquier intrusión no autorizada y para asegurar su documentación».

Deberán existir procedimientos para proteger el sistema informático de la intrusión no autorizada y asegurar los datos disponibles. Puede incluirse en este apartado el modo en que el solicitante controla el acceso a los sistemas informáticos mediante el uso de contraseñas, se protege frente a la intrusión no autorizada, por ejemplo, mediante el empleo de cortafuegos y protección contra virus, y archiva y garantiza el almacenamiento seguro de la documentación. Esas medidas de seguridad no deben cubrir únicamente el hardware que se encuentra en los locales de la empresa del solicitante, sino también los dispositivos móviles que permiten acceder a los datos del solicitante (p. ej., discos duros cifrados de los ordenadores portátiles, contraseñas de los teléfonos inteligentes).

Los ordenadores personales se deben bloquear automáticamente tras un breve período de inactividad. Por otra parte, el antivirus de los ordenadores se debe actualizar con regularidad y se ha de instalar un cortafuegos. La configuración del ordenador se debe administrar de manera centralizada.

Los servidores se situarán en salas cerradas con llave de acceso controlado y limitado al personal pertinente.

El artículo 25, apartado 1, letra k), del AE CAU exige que el solicitante haya establecido, en su caso, «procedimientos satisfactorios para la gestión de los certificados de importación y exportación vinculados a prohibiciones y restricciones, incluidas medidas destinadas a distinguir las mercancías sujetas a prohibiciones o restricciones de otras mercancías y medidas para garantizar el cumplimiento de tales prohibiciones y restricciones».

La gestión de las licencias de importación y exportación en relación con las prohibiciones y restricciones se incluía anteriormente en el criterio sobre protección y seguridad, y por tanto se limitaba al estatuto de AEOS para impedir el uso indebido y la entrega ilegal de mercancías sensibles desde el punto de vista de la protección y la seguridad.
Ello se ha de considerar en estrecha relación con el artículo 25, apartado 1, letra g), del AE CAU.

Los procedimientos considerados pueden:

• distinguir las mercancías sujetas a requisitos de carácter no fiscal de las demás mercancías;

• controlar si las operaciones se desarrollan con arreglo a la legislación vigente (distinta de la fiscal);

• estar relacionados con la manipulación de mercancías sujetas a embargo;

• estar relacionados con la tramitación de licencias;

• estar relacionados con otras mercancías sujetas a restricciones;

• o estar destinados a identificar posibles mercancías de doble uso y procedimientos relacionados con su manipulación.

Respecto de esta condición, resulta crucial que el personal sea consciente de la importancia de los requisitos que no revisten carácter fiscal, la correcta clasificación de las mercancías y la actualización de los datos clave. Las empresas que trabajan con las mercancías mencionadas tienen la obligación de seguir formación con regularidad o estudiar su propia legislación en desarrollo.

Por otra parte, en caso de que surjan dudas en una fase temprana, es esencial que el operador económico se ponga en contacto con las autoridades nacionales competentes en relación con los requisitos de índole no fiscal. Esto afecta especialmente a las empresas de reciente creación y a los operadores económicos que están ampliando su cartera.

Al evaluar esta condición, las aduanas deben consultar a otras autoridades competentes implicadas a fin de obtener el máximo de información posible acerca de los procesos de los operadores económicos.