La entrada en vigor de la Ley 2/2023 obligó a miles de empresas españolas a establecer canales internos de información en un plazo muy ajustado. La implementación correcta no es solo una cuestión de cumplimiento: un canal bien diseñado puede ser una herramienta de gobernanza valiosa para detectar irregularidades antes de que causen un daño mayor.
Paso 1: Evaluación del Ámbito de Aplicación
El primer paso es determinar si la empresa está sujeta a la ley. Las empresas con 50 o más empleados —contabilizando tanto los trabajadores a jornada completa como a jornada parcial— están sujetas a la obligación. En los grupos de empresas, el umbral se evalúa empresa por empresa, aunque la ley permite el uso compartido del canal entre entidades del mismo grupo.
Más allá del criterio numérico, la Ley 2/2023 exige el canal con independencia del tamaño de la plantilla para las entidades del sector financiero (bancos, aseguradoras, gestoras de fondos), los partidos políticos que reciben financiación pública, los sindicatos y las organizaciones empresariales con financiación pública, y las fundaciones del sector público.
El ámbito material del canal es también más amplio de lo que muchas empresas asumen: no se limita a las infracciones penales. Abarca también las infracciones del Derecho de la Unión Europea en ámbitos tan variados como la competencia, la fiscalidad, la protección medioambiental, la seguridad de los productos, la protección de datos, el blanqueo de capitales y la seguridad alimentaria. En España, la ley extendió el ámbito a cubrir también las infracciones del Derecho español en general.
Paso 2: Diseño del Canal
El canal puede ser interno (gestionado por la propia empresa, por ejemplo a través del departamento de cumplimiento o de auditoría interna) o externo (externalizado a un proveedor especializado). La ley permite a las empresas de entre 50 y 249 empleados compartir el canal con entidades del grupo o utilizar proveedores externos certificados.
El canal debe admitir comunicaciones escritas, orales y, si el informante así lo solicita, presenciales. Debe garantizar la confidencialidad y el anonimato cuando el informante lo requiera.
Requisitos técnicos para los sistemas digitales: Si el canal se implementa mediante una plataforma digital —la solución más habitual—, debe garantizar el cifrado de extremo a extremo, el almacenamiento seguro de los datos del informante, la separación de accesos entre el gestor del canal y la alta dirección, y la posibilidad de comunicación bidireccional anónima con el informante para solicitar información adicional.
Tratamiento de las denuncias anónimas: La ley exige que se tramiten las comunicaciones anónimas, pero no impone una obligación de investigar de forma incondicional. La política interna debe establecer criterios claros para decidir cuándo investigar una denuncia anónima y cómo documentar esa decisión.
Paso 3: Política Interna y Formación
Es imprescindible aprobar una política de gestión de informaciones que regule los plazos, el proceso de investigación, la protección del informante y el régimen de represalias prohibidas. La formación de los gestores del canal y de la alta dirección es clave para evitar errores que puedan dar lugar a sanciones.
Plazos legales a observar: La ley establece obligaciones temporales específicas que deben quedar reflejadas en la política interna. El responsable del canal debe acusar recibo de la comunicación en un plazo máximo de siete días hábiles desde su recepción. En el plazo de tres meses desde ese acuse, debe informarse al informante de las actuaciones previstas o adoptadas y de los motivos de las mismas.
Protecciones al informante: La ley prohíbe expresamente las represalias contra quien denuncie de buena fe, aunque la información comunicada resulte ser incorrecta. Las represalias prohibidas incluyen no solo el despido o la sanción disciplinaria, sino también cualquier medida perjudicial como cambios en las condiciones de trabajo, evaluaciones de rendimiento negativas, exclusión de ascensos o presión psicológica. Las empresas deben establecer mecanismos internos para detectar y remediar las posibles represalias.
Paso 4: Revisión Periódica y Auditoría
El canal debe revisarse al menos anualmente para verificar su funcionamiento efectivo. Las auditorías internas o externas pueden ayudar a detectar deficiencias antes de que se conviertan en incumplimientos sancionables.
Indicadores de eficacia: Una auditoría periódica del canal debe evaluar el número de comunicaciones recibidas, el tiempo medio de tramitación, el porcentaje de comunicaciones cerradas con investigación formal, los tipos de irregularidades denunciadas y si se han adoptado medidas correctoras como resultado de las mismas. Un canal que no recibe comunicaciones durante años no es necesariamente un indicador positivo: puede reflejar desconfianza en su eficacia o falta de conocimiento de su existencia entre los empleados.
Revisión de la política: La política debe actualizarse cuando cambien las actividades de la empresa o la estructura del grupo, o cuando se produzcan cambios normativos relevantes. La incorporación de nuevas actividades reguladas puede ampliar el ámbito material del canal.
El Canal de Denuncias como Parte del Programa de Cumplimiento
En las empresas con un programa de cumplimiento integral, el canal de denuncias es un componente de un sistema más amplio que incluye el código ético, el mapa de riesgos, los procedimientos de control interno y la matriz de responsabilidades. Un canal bien diseñado refuerza una cultura de integridad y es tenido en consideración por los tribunales penales como prueba de la diligencia de la persona jurídica en la prevención de delitos en virtud del artículo 31 bis del Código Penal.
En BMC ayudamos a nuestros clientes a diseñar, implementar y auditar sus canales de denuncias. Conozca nuestros servicios de compliance.
