La entrada en vigor de la Ley 2/2023 obligó a miles de empresas españolas a establecer canales de denuncia internos en un plazo muy ajustado. La implementación correcta no es solo una cuestión de cumplimiento normativo: un canal bien diseñado puede ser una herramienta de gobernanza valiosa para detectar irregularidades antes de que generen daños mayores.
Paso 1: evaluación del alcance
Lo primero es determinar si la empresa queda obligada por la ley. Las empresas con 50 o más trabajadores en plantilla —contando tanto empleados a tiempo completo como parcial— están sujetas a la obligación. En grupos empresariales, el umbral se evalúa empresa por empresa, aunque la norma permite el uso compartido del canal entre entidades del mismo grupo.
Además del criterio de plantilla, la Ley 2/2023 exige el canal con independencia del número de trabajadores a las entidades del sector financiero (bancos, aseguradoras, gestoras de fondos), a los partidos políticos con financiación pública, a los sindicatos y las organizaciones empresariales con financiación pública y a las fundaciones del sector público.
El ámbito material del canal es también más amplio de lo que muchas empresas asumen: no se limita a infracciones penales. Cubre también incumplimientos del derecho de la Unión Europea en materias tan variadas como competencia, fiscalidad, medio ambiente, seguridad de los productos, protección de datos, blanqueo de capitales o seguridad alimentaria. En España, la ley amplió el ámbito a las infracciones del ordenamiento jurídico español en general.
Paso 2: diseño del canal
El canal puede ser interno (gestionado por la propia empresa, por ejemplo a través del departamento de cumplimiento o auditoría interna) o externo (externalizado a un proveedor especializado). La ley permite que las empresas de entre 50 y 249 empleados compartan el canal con entidades del mismo grupo o recurran a proveedores externos certificados.
El canal debe admitir comunicaciones escritas, orales y, si el informante lo solicita, presenciales. Debe garantizar la confidencialidad y el anonimato cuando el informante lo requiera.
Requisitos técnicos del sistema digital: Si el canal se implementa mediante una plataforma digital —que es la solución más habitual—, debe garantizar cifrado de extremo a extremo, almacenamiento seguro de los datos del informante, separación de accesos entre el gestor del canal y la dirección, y posibilidad de comunicación bidireccional anónima con el informante para solicitar información adicional.
Gestión de comunicaciones anónimas: La ley exige que las comunicaciones anónimas sean tratadas, aunque no impone su investigación obligatoria. La política interna debe establecer criterios claros para decidir cuándo investigar una comunicación anónima y cómo documentar esa decisión.
Paso 3: política interna y formación
Es imprescindible aprobar una política de gestión de denuncias que regule los plazos, el proceso de investigación, la protección del informante y el régimen de represalias prohibidas. La formación de los responsables del canal y de la dirección es clave para evitar errores que puedan acarrear sanciones.
Plazos legales que deben respetarse: La ley establece obligaciones concretas de plazo que deben reflejarse en la política interna. El gestor del canal debe acusar recibo de la comunicación en el plazo máximo de siete días hábiles desde su recepción. En el plazo máximo de tres meses desde ese acuse de recibo, debe informar al informante de las actuaciones previstas o realizadas y de los motivos.
Protecciones para el informante: La ley prohíbe expresamente las represalias contra quien informe de buena fe, aunque la información comunicada resulte no ser correcta. Las represalias prohibidas incluyen no solo el despido o la sanción, sino también cualquier medida perjudicial como la modificación de condiciones de trabajo, la evaluación negativa, la exclusión de ascensos o la presión psicológica. Las empresas deben establecer mecanismos internos para detectar y remediar posibles represalias.
Paso 4: revisión y auditoría periódica
El canal debe revisarse al menos anualmente para verificar su efectivo funcionamiento. Las auditorías internas o externas pueden ayudar a detectar deficiencias antes de que se conviertan en incumplimientos sancionables.
Indicadores de eficacia: Una auditoría periódica del canal debe evaluar el número de comunicaciones recibidas, el tiempo medio de gestión, el porcentaje de comunicaciones cerradas con investigación formal, el tipo de irregularidades comunicadas y si se han adoptado medidas correctoras como resultado. Un canal que no recibe comunicaciones durante años no es necesariamente un buen indicador: puede reflejar desconfianza en su efectividad o desconocimiento de su existencia entre los empleados.
Revisión de la política de uso aceptable: La política debe actualizarse cuando cambien las actividades de la empresa, la estructura del grupo o cuando se produzcan modificaciones normativas relevantes. La incorporación de nuevas actividades reguladas puede ampliar el ámbito material del canal.
El canal de denuncias como elemento del programa de compliance
En las empresas que cuentan con un programa integral de compliance, el canal de denuncias es una pieza más de un sistema más amplio que incluye el código ético, el mapa de riesgos, los procedimientos de control interno y la matriz de responsabilidades. Un canal bien diseñado refuerza la cultura de integridad y es tomado en consideración por los tribunales penales como evidencia de la diligencia de la persona jurídica en la prevención de delitos.
En BMC ayudamos a nuestros clientes a diseñar, implementar y auditar su canal de denuncias. Consulte nuestros servicios de compliance.
