Canal de Denuncias: de una obligación legal a una herramienta estratégica para la empresa

En los últimos años, el cumplimiento normativo ha adquirido una importancia creciente dentro de las organizaciones. Las empresas ya no solo deben preocuparse por cumplir con sus obligaciones fiscales, laborales o mercantiles, sino también por establecer mecanismos que permitan prevenir, detectar y gestionar posibles incumplimientos normativos.

Dentro de este contexto, el Canal de Denuncias, o más correctamente el Sistema Interno de Información, se ha convertido en una herramienta fundamental para muchas organizaciones.

Pero…

¿Todas las empresas están obligadas a disponer de uno?

¿Es suficiente con habilitar un correo electrónico para recibir denuncias?

¿Qué requisitos debe cumplir?

¿Y cómo puede la tecnología facilitar su implantación y gestión?

La respuesta a estas preguntas permite entender que un Canal de Denuncias no debe concebirse únicamente como una obligación legal, sino como una herramienta de protección y gestión del riesgo para la empresa.

¿Éstá tu empresa obligada a tener un Canal de Denuncias?

Una de las primeras cuestiones que debe plantearse cualquier organización es determinar si se encuentra dentro del ámbito de aplicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Con carácter general, las empresas del sector privado que cuentan con 50 o más trabajadores están obligadas a disponer de un Sistema Interno de Información.

Sin embargo, el número de trabajadores no es el único criterio.

Están obligados a disponer del sistema interno de información las siguientes entidades:

1. Empresas privadas con 50 o más trabajadores.

2. Empresas privadas de los sectores de servicios, productos y mercados financieros, y prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente con independencia del número de trabajadores con que cuenten:

Bancos y Entidades de crédito, y de cambio de monedas.
Aseguradoras y corredores de seguros del ramo de seguros de vida y seguros relacionados con inversiones.
Promotores inmobiliarios.
Asesores fiscales y contables.
Notarios y registradores de la propiedad.
Abogados y Procuradores que asesoren a los clientes en operaciones de compraventa de inmuebles.
Casinos de juego.
Joyerías.
Galería de arte o antigüedades.
Comercialización de loterías y juegos de azar.

3. Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, con independencia del número de trabajadores que tengan, siempre que reciban o gestionen fondos públicos.

4. Todas las entidades que integran el sector público: Administración General del Estado, Administraciones de las comunidades autónomas, Entidades que integran la Administración Local, Universidades Públicas, corporaciones de derecho público (Colegios profesionales, Cámaras de Comercio, Ayuntamientos, Mancomunidades..), etec..

Al margen del imperativo legal, un canal de denuncias es importante tenerlo porque ayuda a detectar conductas irregulares en el seno de la empresa, dotando a la organización de una cultura de transparencia y cumplimiento.

La normativa: ¿qué exige realmente la Ley 2/2023?

La Ley 2/2023 no se limita a exigir que exista un medio para enviar una denuncia.

Lo que establece es la necesidad de disponer de un Sistema Interno de Información que reúna una serie de garantías y procedimientos.

Entre otros aspectos, el sistema debe permitir:

Presentar comunicaciones por diferentes medios.
Admitir comunicaciones anónimas.
Garantizar la confidencialidad de la identidad del informante.
Proteger al informante frente a posibles represalias.
Garantizar la confidencialidad de la información.
Establecer un procedimiento para gestionar las comunicaciones.
Designar un responsable del sistema.
Mantener un registro de las informaciones recibidas y de las investigaciones realizadas.
Controlar los plazos establecidos legalmente.
Limitar el acceso a la información a las personas autorizadas.

Por tanto, un simple buzón de correo electrónico no equivale necesariamente a disponer de un Sistema Interno de Información conforme a la normativa.

La verdadera obligación consiste en establecer un sistema organizado que permita recibir, gestionar, investigar y documentar las comunicaciones garantizando los derechos de las personas implicadas.

Los errores habituales: tener un buzón no significa tener un sistema

Uno de los errores más frecuentes es considerar que el cumplimiento de la normativa se soluciona creando una dirección de correo electrónico del tipo: denuncias@empresa.es

Aunque éste puede ser uno de los medios de comunicación, por sí solo difícilmente permite gestionar adecuadamente todas las obligaciones asociadas al sistema.

¿Qué ocurre cuando llega una comunicación?
¿Quién puede acceder a ella?
¿Cómo se acredita que se ha recibido?
¿Cómo se controla el plazo de respuesta?
¿Quién decide si se admite o no?
¿Cómo se realiza la investigación?
¿Dónde se documentan las actuaciones?
¿Qué ocurre si la comunicación contiene datos personales de terceros?
¿Cómo se garantiza la confidencialidad?
¿Cómo se acredita posteriormente que la empresa actuó correctamente?

Estas preguntas ponen de manifiesto que el verdadero reto no es recibir una denuncia, sino gestionar correctamente todo el proceso posterior.

No cualquier conflicto interno o reclamación debe tramitarse necesariamente mediante este sistema. El procedimiento debe establecer claramente qué tipo de informaciones pueden comunicarse y cómo deben gestionarse.

La solución: una plataforma de Canal de Denuncias

La tecnología permite transformar todos estos requisitos jurídicos y organizativos en un sistema mucho más sencillo de gestionar.

Una plataforma específica de Canal de Denuncias permite centralizar en un único entorno la gestión de las comunicaciones y de las actuaciones asociadas a cada expediente.

De esta manera, la empresa puede disponer de un sistema estructurado para:

Recepcionar

→ analizar

→ gestionar

→ investigar

→ documentar

→ cerrar.

La plataforma puede facilitar, entre otras funcionalidades:

Recepción de comunicaciones.
Gestión de comunicaciones anónimas y confidenciales.
Creación y seguimiento de expedientes.
Control de plazos.
Gestión de responsables y permisos.
Registro de actuaciones.
Gestión documental.
Trazabilidad de las actuaciones.
Seguimiento del estado de cada comunicación.
Generación de evidencias.
Control de accesos.
Archivo y conservación de la información conforme a los criterios establecidos.

De esta manera, la empresa deja de depender de correos electrónicos, documentos dispersos o hojas de cálculo para gestionar una materia especialmente sensible.

¿Por qué gestionar el Canal de Denuncias mediante una plataforma?

Porque el cumplimiento normativo no debería convertirse en una carga administrativa.

Una solución tecnológica adecuada puede ayudar a la empresa a:

Identificar sus obligaciones.
Implantar su Sistema Interno de Información.
Centralizar las comunicaciones.
Gestionar comunicaciones anónimas y confidenciales.
Automatizar tareas y avisos.
Controlar los plazos.
Mantener la trazabilidad.
Gestionar la documentación.
Limitar y controlar los accesos.
Generar evidencias de las actuaciones.
Contar con supervisión profesional cuando sea necesaria.

Todo ello desde un entorno diseñado específicamente para facilitar la gestión del cumplimiento.

¿Qué infracciones están cubiertas por la Ley 2/2023?

INFRACCIONES EN MATERIA LABORAL: a título de ejemplo:

Acoso laboral.
Acoso sexual
Discriminación y trato de favor
Violencia ocupacional o laboral: el personal de un centro de trabajo sufre abusos o amenazas en desarrollo de su actividad laboral que pone en peligro su seguridad o salud tanto física como psíquica.

INFRACCIONES PENALES O ADMINISTRATIVAS GRAVES O MUY GRAVES, EN ESPECIAL LAS QUE IMPLIQUEN QUEBRANTO ECONÓMICO PARA LA AGENCIA TRIBUTARIA Y LA SEGURIDAD SOCIAL: a título de ejemplo:

Infracciones tributarias por deja de ingresar deuda tributaria utilizando facturas o documentos falsos.
Infracción tributaria por obtener indebidamente devoluciones.
Infracciones tributarias por solicitar indebidamente devoluciones o beneficios fiscales.
Infracciones tributarias por incumplir obligaciones contables y de facturación.

INFRACCIONES QUE PUEDEN CONSTITUIR UN DELITO: a título de ejemplo:

Descubrimiento y revelación de secretos.
Daños informáticos.
Revelación de secretos de empresas.
Publicidad engañosa.
Alteración de precios en concursos y subastas públicas.
Blanqueo de capitales y financiación del terrorismo.

MATERIAS QUE ESTÁN EXCLUIDAS: hechos que no se pueden denunciar a través del canal de denuncias:

Las que afectan a la información clasificada.
Las que afectan al secreto profesional de los profesionales de la medicina y la abogacía.
Las que afectan al deber de confidencialidad de las Fuerzas y Cuerpos de Seguridad.

¿Quién puede informar y quién está protegido?

Una de las características más importantes de la Ley 2/2023 es que la protección no se limita a los trabajadores que actualmente forman parte de la empresa.

La norma protege a las personas físicas que obtengan información sobre posibles infracciones en un contexto laboral o profesional, tanto en el sector privado como en el sector público.

Entre otras personas, pueden informar:

Trabajadores por cuenta ajena y empleados públicos.
Trabajadores autónomos.
Accionistas y partícipes de sociedades.
Miembros del órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos.
Personas que trabajen para contratistas, subcontratistas y proveedores, o que estén bajo su supervisión o dirección.

Personas cuya relación laboral o profesional ya haya finalizado, cuando obtuvieron la información durante dicha relación.
Becarios y trabajadores en periodo de formación, con independencia de que reciban o no remuneración.
Personas cuya relación laboral todavía no haya comenzado, cuando la información se haya obtenido durante un proceso de selección o una negociación precontractual

La Ley prohíbe expresamente las represalias, así como las amenazas o tentativas de represalia,
contra quienes presenten una comunicación conforme a la normativa.

La finalidad es evitar que una persona sufra consecuencias desfavorables por el hecho de haber comunicado una posible infracción protegida por la Ley.

¿Quién debe ser el Responsable del Sistema Interno de Información?

La Ley 2/2023 exige que las entidades obligadas dispongan de un Responsable del Sistema Interno de Información, encargado de gestionar el sistema y de garantizar que las comunicaciones recibidas se tramiten de acuerdo con el procedimiento establecido.

¿Quién lo designa?

La designación corresponde al órgano de administración u órgano de gobierno de la empresa, que también es competente para su destitución o cese.

El nombramiento y, en su caso, el cese debe comunicarse a la Autoridad Independiente de Protección del Informante (A.A.I.) o al órgano competente de la comunidad autónoma, según corresponda, dentro del plazo de 10 días hábiles. En caso de cese, debe indicarse además la razón que lo justifica.

¿Qué requisitos debe cumplir el Responsable del Sistema?

Una de las cuestiones más importantes es su independencia.

El Responsable del Sistema debe desarrollar sus funciones:

de forma independiente y autónoma;
sin recibir instrucciones de ningún tipo en el ejercicio de sus funciones;
disponiendo de los medios personales y materiales necesarios;
garantizando la correcta tramitación de las informaciones recibidas;
respetando la confidencialidad y las obligaciones de protección de datos.

El órgano de administración aprueba el procedimiento de gestión de las informaciones, mientras que el Responsable del Sistema responde de su tramitación diligente.

¿Puede ser una persona externa a la empresa?

En el sector privado, la regla general es que el Responsable del Sistema sea un directivo de la entidad, que debe ejercer sus funciones con independencia del órgano de administración o gobierno.

Cuando por la naturaleza o dimensión de la empresa no esté justificada o no sea posible contar con un directivo específicamente dedicado a esta función, la Ley permite que las funciones del Responsable del Sistema se compatibilicen con las propias del puesto o cargo que ya desempeñe, procurando evitar situaciones de conflicto de interés.

Además, si la empresa ya cuenta con una persona responsable de cumplimiento normativo o políticas de integridad, esta puede ser designada Responsable del Sistema siempre que cumpla los requisitos establecidos por la Ley.

¿Puede una consultora o plataforma externa ser el Responsable del Sistema?

Aquí existe una diferencia importante.

La empresa puede encargar a un tercero externo la gestión del Sistema, incluida la recepción de informaciones, siempre que dicho tercero ofrezca garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones.

Sin embargo, la contratación de un tercero no traslada automáticamente la responsabilidad del Sistema a ese tercero. La Ley establece expresamente que la gestión externa no puede suponer una atribución de la responsabilidad en una persona distinta del Responsable del Sistema previsto en el artículo 8.

Infracciones y Sanciones por incumplimiento

El incumplimiento de la obligación de disponer de un Sistema Interno de Información está tipificado como infracción muy grave. También existen infracciones relacionadas con represalias, vulneración de confidencialidad, anonimato, secreto y otras obligaciones.

Las multas para personas jurídicas pueden alcanzar:

LEVES

Hasta 100.000 € para infracciones leves;

GRAVES

Entre 100.001 y 600.000 € para graves

MUY GRAVES

Entre 600.001 y 1.000.000 € para muy graves.

En infracciones muy graves pueden añadirse otras consecuencias, como determinadas prohibiciones para obtener subvenciones o contratar con el sector público, en los términos de la Ley.

¿Tu empresa tiene un Canal de Denuncias o realmente dispone de un Sistema Interno de Información?

Esta es probablemente la pregunta que debería hacerse cualquier organización obligada por la Ley 2/2023.

Disponer de un correo electrónico o de un formulario en la página web puede ser sencillo.

Lo realmente importante es contar con un sistema completo, seguro, trazable y adaptado a las necesidades de la organización.

Nuestra plataforma de Canal de Denuncias nace precisamente con este objetivo: facilitar a las empresas la implantación y gestión de su Sistema Interno de Información mediante una combinación de tecnología, automatización y supervisión profesional.

Porque cumplir no debería ser complicado.

La tecnología debe encargarse de simplificar el cumplimiento para que la empresa pueda centrarse en lo realmente importante: gestionar su negocio con seguridad y confianza.

¿Quieres saber si tu empresa está obligada a disponer de un Sistema Interno de Información?

Desde la Consultoría de Protección de datos de Grupo System te ayudamos a analizar la situación de tu empresa y a determinar qué obligaciones le resultan aplicables y cómo puede gestionarlas de forma sencilla mediante nuestra plataforma.

Solicita información

TAMBIÉN LE PUEDE INTERESAR…