Natalia Folgar, Responsable del Departamento Compliance y PBC · Grupo Adaptalia
Tener un canal de denuncias ya no es lo difícil. Desde que entró en vigor la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, la mayoría de las empresas obligadas han puesto en marcha algún tipo de buzón, formulario o plataforma. Lo difícil es que ese canal funcione: que la plantilla confíe en él, que las comunicaciones se tramiten en plazo y que, llegado el caso, la empresa pueda demostrar ante un juez o ante la autoridad competente que su sistema es algo más que un trámite.
Quién está obligado y qué exige la ley
La norma obliga a implantar un Sistema Interno de Información a todas las empresas con 50 o más trabajadores, a todo el sector público y, con independencia de su tamaño, a las entidades sujetas a la normativa europea de servicios financieros, prevención del blanqueo de capitales o seguridad del transporte, entre otras. También alcanza a partidos políticos, sindicatos, organizaciones empresariales y a las fundaciones creadas por ellos, siempre que reciban o gestionen fondos públicos.
El canal es solo una pieza del sistema. La ley exige, además:
- Designar un Responsable del Sistema y comunicar su nombramiento a la autoridad competente en los diez días hábiles siguientes.
- Aprobar una política o estrategia que recoja los principios del sistema y darle publicidad adecuada.
- Contar con un procedimiento de gestión que garantice el acuse de recibo en siete días naturales y una respuesta en un plazo máximo de tres meses, ampliable otros tres en casos complejos.
- Admitir comunicaciones anónimas y permitir que el informante pueda comunicar por escrito, verbalmente o en una reunión presencial.
- Llevar un libro-registro de las informaciones recibidas y de las investigaciones internas.
El incumplimiento no es menor: las infracciones muy graves pueden suponer multas de hasta un millón de euros para las personas jurídicas. A ello se suma el plano penal, porque el artículo 31 bis del Código Penal exige que los modelos de prevención de delitos incluyan la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar su funcionamiento.
Los errores que seguimos viendo
En la revisión de sistemas internos de información se repiten, con pocas variaciones, los mismos fallos:
- Confundir el canal con un correo electrónico. Una dirección genérica gestionada por Recursos Humanos no garantiza la confidencialidad ni el anonimato, y deja trazas que permiten identificar al informante.
- Un Responsable del Sistema sin independencia. Si quien investiga depende jerárquicamente de la persona denunciada, o acumula funciones incompatibles, el sistema pierde credibilidad desde el primer día.
- Plazos que no se cumplen. El acuse de recibo en siete días y la respuesta en tres meses son obligaciones legales, no orientaciones. Sin un procedimiento escrito y una herramienta que avise de los vencimientos, es habitual incumplirlos.
- Protección de datos olvidada. Las comunicaciones contienen datos personales, a menudo sensibles. La ley fija reglas específicas de conservación y supresión que muchas organizaciones no aplican.
- Falta de formación y comunicación. Un canal que la plantilla desconoce, o en el que no confía, no recibe comunicaciones. Y un canal sin actividad no demuestra que no haya incumplimientos, sino que nadie se atreve a contarlos.
- Medidas frente a represalias inexistentes. La ley prohíbe expresamente las represalias contra el informante. Sin un protocolo para detectarlas y evitarlas, la empresa queda expuesta.
¿Gestión interna o externa?
La Ley 2/2023 permite que la gestión del sistema se encomiende a un tercero externo, siempre que ofrezca garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones. La responsabilidad sigue siendo de la empresa, pero la recepción y la tramitación pueden quedar en manos de especialistas.
Para muchas pymes y organizaciones medianas, esta es la opción más sensata. Contratar un servicio de canal de denuncias compliance aporta tres ventajas claras: un tercero ajeno a la estructura jerárquica refuerza la confianza del informante; los plazos, el libro-registro y las reglas de protección de datos se gestionan con un procedimiento ya probado; y la empresa dispone de documentación que acredita la eficacia del sistema si un día tiene que defenderlo.
En Grupo Adaptalia lo vemos a diario. Las organizaciones que externalizan la gestión no solo reducen su riesgo sancionador, sino que reciben comunicaciones de más calidad, porque el informante percibe que alguien independiente va a escucharle.
Cuando se opta por la gestión interna, conviene al menos revisar el sistema periódicamente con un asesor externo, formar al Responsable del Sistema y documentar cada fase de la tramitación.
Un sistema que funcione, no solo que exista
Más de tres años después de la aprobación de la ley, la pregunta ya no es si la empresa tiene canal de denuncias, sino si ese canal resistiría una inspección o un procedimiento judicial. Un sistema bien diseñado protege al informante, pero también a la organización: permite detectar a tiempo irregularidades que, de otro modo, acabarían en los tribunales o en los medios.
Revisar hoy el canal, con criterios jurídicos y no solo tecnológicos, es la forma más eficaz de evitar que el cumplimiento normativo se quede en el papel.