Canal de denuncias o whistleblowing: todo lo que necesitas saber sobre esta directiva en empresas

La Directiva Europea Whistleblowing es de obligado cumplimiento desde el pasado mes de diciembre. Mientras España avanza en su transposición definitiva al ordenamiento jurídico nacional, las dudas se acumulan en las empresas. ¿Qué es un canal de denuncias? ¿Cómo y con qué plazos debe implementarse esta herramienta? ¿Qué pasa si no se cumple la legislación europea o española? A continuación, analizamos todos los detalles de las normativas whistleblowing.

¿Qué es un canal de denuncias o whistleblowing?

Un canal de denuncias es una herramienta específicamente diseñada para cumplir con la directiva whistleblowing, una normativa de la Unión Europea que nace para proteger a los denunciantes de posibles infracciones del derecho y las políticas de la UE. Así, el canal de denuncias es una herramienta que permite, entre otras cosas, garantizar el anonimato de la denuncia y la protección de los datos personales en línea con el Reglamento General de Protección de Datos (RGPD), así como automatizar la gestión de los casos denunciados.

La protección que ofrece el canal de denuncias persigue evitar que el temor a las represalias internas o externas lleve a las personas a renunciar a informar de sus sospechas. En la actualidad, los denunciantes de las infracciones perjudiciales para el interés público (whistleblowers, en inglés) son claves para descubrir conductas irregulares y proteger el buen funcionamiento de la sociedad.

Como consecuencia de la Directiva Whistleblowing, en transposición al ordenamiento jurídico español a través del Anteproyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, el canal de denuncias pasa a ser obligatorio en todas las entidades públicas, como ayuntamientos, así como en todas las empresas de 50 trabajadores o más, aquellas que tengan un volumen de facturación anual superior a los 10 millones de euros y, también, todas las organizaciones del sector financiero.

Por ahora, solo las empresas de más de 250 empleados ya tienen que contar con esta herramienta. En cuanto la ley española esté aprobada de forma definitiva se conocerán los plazos concretos para la implementación de los canales de denuncias para las demás entidades afectadas por la norma, pero es probable que el margen se extienda hasta diciembre de 2023.

La Directiva Whistleblowing y su transposición en España

El pasado 4 de marzo, el Consejo de Ministros aprobó, a propuesta del Ministerio de Justicia, el Anteproyecto de Ley que significará la transposición definitiva de la Directiva Whistleblowing al marco normativo español y regulará, entre otras cosas, la disponibilidad y características de los canales de denuncias. Entre otras cosas, la ley, que todavía debe completar su tramitación parlamentaria, establece:

• La creación de una Autoridad Independiente de Protección del Informante. Esta funcionará de forma similar a la Agencia Española de Protección de Datos en asuntos relacionados con la privacidad de la información. Tendrá capacidad sancionadora y, entre otras cosas, llevará el control de los nombramientos y los ceses de las personas responsables del canal de denuncias en cada empresa.
• Las sanciones para aquellas entidades, públicas o privadas, que infrinjan la ley. Estas infracciones, clasificadas en niveles de gravedad, son, por ejemplo, la toma de represalias contra los informantes o la vulneración de las garantías de confidencialidad y anonimato. La cuantía de las multas va de los 10 000 euros para infracciones leves de personas físicas hasta el millón de euros para personas jurídicas que cometan faltas muy graves.

Además, el Anteproyecto de Ley detalla multitud de otros aspectos que explicaremos de forma más extensa a continuación, como los tipos de canales de denuncias, las entidades que están obligadas a establecerlos o los plazos para su implementación.

Tipos de canales de denuncias

La normativa española de whistleblowing está ideada para proteger a los informantes (de entidades tanto públicas como privadas) que tengan información sobre infracciones laborales o profesionales y quieran comunicarla a las autoridades correspondientes. Para ello, la ley establece la obligatoriedad de dos tipos de canales diferentes: internos y externos.

Canal de denuncias interno

Los canales de denuncias internos deben ser implementados por la propia organización. Deben estar desarrollados y puestos en marcha contemplando el deber de confidencialidad. Es decir, no pueden revelar la identidad del denunciante sin su consentimiento expreso, salvo que constituya una obligación necesaria impuesta por el Derecho de la Unión Europea o del país afectado. Además, deben asegurar el tratamiento correcto de los datos personales y el registro de todas las denuncias recibidas.

Entre otras cosas, los canales de denuncias internos deben permitir la configuración de cuestionarios, la creación de denuncias con documentos adjuntos, el análisis y la gestión de las denuncias o el envío bidireccional de comentarios. De acuerdo con el Anteproyecto de Ley en España, los canales internos son obligatorios para:

• Empresas (personas físicas o jurídicas) con 50 trabajadores o más.
• Personas jurídicas del sector privado que desarrollen su actividad en el sector financiero o que esta tenga que ver de alguna forma con la prevención de blanqueo de capitales, la seguridad del transporte y la protección del medioambiente, entre otros aspectos.
• Partidos políticos, así como sindicatos, patronales y fundaciones que reciban o gestionen fondos públicos.

Canal de denuncias externo

Los canales de denuncias externos no son una responsabilidad directa de las empresas, sino que son los Estados de la Unión Europa los que tienen la obligación de establecer herramientas externas independientes y autónomas que permiten recibir y seguir las denuncias. Además, deben designarse las autoridades competentes para ello, asegurando la dotación adecuada de recursos. Al igual que en el caso anterior, deben contemplar el deber de confidencialidad en todo momento.

En el escenario español, el Anteproyecto de Ley contempla la creación de un canal de denuncias externo  a través de la Autoridad Independiente de Protección del Informante señalada con anterioridad. Este canal deberá estar a disposición de cualquier persona física que podrá hacer un uso directo del mismo o como complemento a la comunicación a través de los canales internos a los que tenga acceso.

Cómo implementar un canal de denuncias

A nivel empresarial, a la hora de implementar un canal de denuncias interno, lo primero es decidir qué vías de comunicación se van a habilitar para las denuncias y si se va a desarrollar una herramienta de forma interna o se va a contar con un proveedor externo. Además, hay que definir la persona o personas de la organización que estarán a cargo del canal, los criterios de admisión de denuncias y la estrategia de información o formación para los empleados.

Contar con un canal de denuncias desarrollado por un proveedor externo experto en materia de compliance asegura la adecuación a las normativas vigentes (como las leyes de prevención de blanqueo de capitales o de protección de datos, así como el código penal). Además, es clave para la prevención y detección de actuaciones irregulares y evitar riesgos penales y reputacionales. Por último, es un indicador de transparencia que revierte directamente en la buena imagen de la organización.

¿Cómo usar un software de canal de denuncias o whistleblowing?

Un software de canal de denuncias es una herramienta digital específicamente diseñada para cumplir con la directiva whistleblowing. Se trata de un canal interno que permite, entre otras cosas, g arantizar el anonimato de la denuncia y la protección de los datos personales bajo el Reglamento General de Protección de Datos (RGPD), así como automatizar la gestión de los casos denunciados.

Además de establecer la figura que será responsable del canal de denuncias interno de la empresa, adquirir un programa informático de canal de denuncias, como el desarrollado por GlobalSuite Solutions y WTW , es la forma más efectiva de dar el primer paso hacia el cumplimiento de la normativa de whistleblowing.

Ventajas de establecer un canal de denuncias digital

Una solución digital  de canal de denuncias presenta multitud de ventajas para la empresa que la implemente, tanto desde el punto de vista práctico como desde el punto de vista de la mitigación de riesgos y el compliance. Así, estos son los principales beneficios de contar con un software de whistleblowing como el de GlobalSuite Solutions y  WTW:

• Trazar las acciones realizadas para la gestión de la comunicación.
• Monitorizar y gestionar el estado de situación de cada requisito.
• Realizar comentarios bidireccionales.
• Visualizar las estadísticas.
• Adaptar el software para la gestión de equipo interno o externo con total independencia y sin presentar conflictos de interés.
• Personalizar el software de acuerdo a la imagen corporativa.

Por otro lado, contar con una herramienta digital que facilite las denuncias confidenciales de conductas potencialmente delictivas dentro de la empresa puede ahorrar muchos quebraderos de cabeza a largo plazo. Uno de los casos de uso más típicos es el del directivo que, de forma no intencionada y como responsable de la empresa, asume los riesgos derivados de una conducta irregular de unos de sus empleados.

Además, un software de canal de denuncias también es una herramienta que aporta certezas y seguridad para toda la plantilla, tanto trabajadores como jefes de equipo. Esta herramienta permite visibilizar las malas prácticas empresariales sin temor a represalias por parte de los afectados.

Los riesgos de no contar con un canal de denuncias: casos prácticos

Además de los riesgos que implica para una empresa no cumplir correctamente con la legislación whistleblowing, no contar con un canal de denuncias pueda causar multitud de daños económicos, reputacionales e, incluso, penales. Los cuatro casos prácticos que hemos preparado y que son detallados  a continuación ilustran hasta qué punto es arriesgado no contar con un canal de denuncias.

El daño de no detectar una fuga de datos

Rodolfo es un empresario de relativo éxito que ha logrado que su empresa de reformas supere los altibajos del sector de la construcción y hoy sea una referencia en el mercado madrileño. Es consciente de la importancia de contar con un canal de denuncias, pero, como la empresa es pequeña y él es el único propietario, Rodolfo considera que un correo electrónico específico para este uso es más que suficiente.

Aunque él no lo sabe, su compañía sí debe cumplir con la obligación de contar con un canal de denuncias según lo establecido por las normativas europea y española. Sin embargo, Rodolfo no tiene esa información porque no tiene a nadie ocupándose en exclusiva de los asuntos legales y del cumplimiento de la normativa. Aun así, el canal del correo electrónico funciona sin problema durante un tiempo.

Un día, una tercera persona logra acceder de forma no autorizada al correo. Se trata de una herramienta que ofrece pocas garantías de seguridad y protección de datos personales y no es confidencial. Tras este incidente, el atacante extrae información confidencial que después acaba haciendo pública. Al investigar el suceso, el organismo competente comprueba que la herramienta de la empresa de Rodolfo no cumple el RGPD ni la normativa whistleblowing, por lo que acaba imponiéndole una multa y obligándole a implementar todas las exigencias de la regulación.

La falta de transparencia

Ruth es empleada de la dirección general de carreteras de la Generalitat Valenciana , donde es responsable de las licitaciones. La suya es una tarea delicada, ya que sus decisiones implican importantes gastos de dinero público y tienen un impacto directo en las cuentas de resultados de las empresas licitadas. Un día, Ruth descubre una serie de pruebas que parecen señalar algo que ya sospechaba desde hacía tiempo: uno de sus subordinados ha venido incurriendo de forma reiterada en varios delitos de cohecho con la misma constructora.

Las sospechas venían porque la constructora beneficiada parecía tener a veces información privilegiada y sus propuestas siempre eran muy bien puntuadas en el proceso de licitación. Ahora, las pruebas parecen no dejar lugar a dudas. Sin embargo, por la falta de tiempo, Ruth acaba delegando sus funciones y no supervisa de forma adecuada los procesos, confiando por completo en su subordinado a pesar de las sospechas. La situación se mantiene hasta que una investigación acaba destapando el escándalo y deja a Ruth en una situación muy comprometida.

Se trata de un tema muy sensible y que salpica directamente la transparencia del sector público, por lo que recibe especial atención mediática y legal. Como resultado, tanto ella como, evidentemente, la persona autora del delito se acaban viendo involucradas en un proceso legal que acaba en una cuantiosa multa y la inhabilitación durante varios años para cualquier empleo o cargo público.

La falta de supervisión de Ruth no se habría solucionado con un canal de denuncias. Sin embargo, toda la parte interna podría haberse llevado a cabo de forma confidencial, s in que la información saltase fuera de la empresa o fuese filtrada a los medios de comunicación. En un contexto más controlado, Ruth podría haber explicado lo sucedido y asumir su responsabilidad por la falta de control, pero no se habría vista envuelta en la trama delictiva cometida por su subordinado.

El canal de denuncias y la reputación de los directivos

Imaginemos a hora el caso de una empresa de servicios financieros en la que uno de los comerciales lleva años recurriendo a técnicas de venta que incumplen el código de conducta, como el ofrecimiento de regalos o sobornos a cambio de la adjudicación de contratos. A pesar de ser algo conocido por sus compañeros y su círculo más cercano, nadie se había atrevido a denunciarlo porque no existía un canal confidencial para hacerlo.

Aun así, la conducta acaba saliendo a la luz y se procede con su investigación. El director de la compañía, de comportamiento intachable hasta entonces, muestra su condena desde el principio y colabora en todo momento con las autoridades. Sin embargo, el comercial se escuda en la presión de la empresa para alcanzar los objetivos y, al no haber ningún registro que demuestre lo contrario ni existir un canal de denuncias, la investigación concluye que había connivencia entre el empresario y el comercial.

Como consecuencia, el director acaba haciendo frente a las responsabilidades judiciales derivadas de este acto y a una posible condena a prisión por el delito de soborno, que también puede suponer la pérdida de licencias de exportación e importantes multas. Además, supone un duro golpe a la reputación de los directivos y de la marca de la empresa. En este caso, disponer de un canal de denuncias habría supuesto contar con una herramienta para acreditar la inocencia del directivo y salvaguardar la imagen de la empresa.

La responsabilidad interna y el temor a represalias

Para el último de los casos prácticos, imaginemos el caso de un jefe de equipo de IT recién ascendido en una empresa de tamaño medio. Nada más llegar al departamento, el nuevo responsable se da cuenta de que varios ejecutivos incumplen la normativa interna de protección de datos sensibles. Ante la sospecha de que puedan estar usando esta información para el beneficio propio, el nuevo jefe de equipo pone la situación en conocimiento de sus superiores. Y lo hace en persona, ya que no existe un canal de denuncias propio.

Los superiores deciden obviar la denuncia, ya que prefieren evitar conflictos con algunos de los pesos pesados de la compañía. Sin embargo, uno de los ejecutivos señalados por malas prácticas acaba siendo descubierto usando de forma fraudulenta la información sensible para su propio beneficio y, como consecuencia, la empresa abre una investigación interna para depurar responsabilidades.

En el curso de esta investigación, surge el nombre del nuevo jefe de equipo de IT, ya que para mantener esa conducta irregular el ejecutivo necesitó al menos de su colaboración indirecta. Al final, el jefe de equipo es despedido por no haber reforzado los protocolos de seguridad. Sin embargo, todo podría haberse evitado de haber existido un canal de denuncias confidencial en el que tanto el jefe de equipo como sus superiores podrían haber cursado la denuncia sin miedo a represalias.

Disponer de un canal de denuncias es ya obligatorio para las grandes empresas y pronto lo será para todas las de más de 50 empleados. Sin embargo, no se trata solo de un asunto de compliance legal, sino que contar con un canal de denuncias es una buena forma de reforzar las conductas positivas, disuadir comportamientos irregulares y proteger la reputación y la estabilidad laboral de aquellos que decidan señalar las malas prácticas.