Canal de denuncias o whistleblowing: todo lo que necesitas saber sobre esta directiva en empresas

La Directiva Europea Whistleblowing es de obligado cumplimiento desde el pasado mes de diciembre. Mientras España avanza en su transposición definitiva al ordenamiento jurídico nacional, las dudas se acumulan en las empresas. ¿Qué es un canal de denuncias? ¿Cómo y con qué plazos debe implementarse esta herramienta? ¿Qué pasa si no se cumple la legislación europea o española? A continuación, analizamos todos los detalles de las normativas whistleblowing.

¿Qué es un canal de denuncias o whistleblowing?

Como consecuencia de la Directiva Whistleblowing, en transposición al ordenamiento jurídico español a través del Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, el canal de denuncias pasa a ser obligatorio en todas las entidades públicas, como ayuntamientos, así como en todas las empresas de 50 trabajadores o más, aquellas que tengan un volumen de facturación anual superior a los 10 millones de euros y, también, todas las organizaciones del sector financiero.

Hasta ahora, solo las empresas de más de 250 empleados tenían que contar con esta herramienta. En cuanto la ley española esté aprobada de forma definitiva -lo cual se estima a principios de 2023- se conocerán los plazos concretos para la implementación de los canales de denuncias para las demás entidades afectadas por la norma, pero es probable que el margen se extienda hasta mediados de 2023.

La Directiva Whistleblowing y su transposición en España

El pasado 13 de septiembre de 2022, el Consejo de Ministros aprobó el Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción que significará la transposición definitiva de la Directiva Whistleblowing al marco normativo español y regulará, entre otras cosas, la disponibilidad y características de los canales de denuncias.

Proyecto de Ley de Protección del informante

El nuevo proyecto de ley está alineado con los objetivos de la directiva europea tanto en el establecimiento de las normas mínimas de los canales de denuncias como en la protección del informante. 

Tal es así, que se ha cambiado el término usado hasta ahora, denunciante, por el término informante para despenalizar cualquier connotación peyorativa a la colaboración ciudadana ante la presencia de la comisión de un delito.

Entre las novedades más importantes se encuentran:

• El establecimiento de plazos estrictos para la gestión de las denuncias que no podrán superar los tres meses desde su presentación, investigación y resolución.
• La creación de una Autoridad Independiente de Protección del Informante. Esta funcionará de forma similar a la Agencia Española de Protección de Datos en asuntos relacionados con la privacidad de la información. Tendrá capacidad sancionadora y, entre otras cosas, llevará el control de los nombramientos y los ceses de las personas responsables del canal de denuncias en cada empresa.
• Las sanciones para aquellas entidades, públicas o privadas, que infrinjan la ley. Estas infracciones, clasificadas en niveles de gravedad, son, por ejemplo, la toma de represalias contra los informantes o la vulneración de las garantías de confidencialidad y anonimato. La cuantía de las multas va de los 10 000 euros para infracciones leves de personas físicas hasta el millón de euros para personas jurídicas que cometan faltas muy graves.
• La garantía de la adaptación del Canal a la legislación de Protección de Datos, con el consiguiente trabajo adicional para el DPO (Delegado de protección de datos). Esta figura velará por que dentro de la empresa se siga el sistema de gestión establecido. En caso de que se reciba una comunicación por un canal que no sea el competente o por los miembros del personal que no sean responsables de su tratamiento, deberá ser informado para solucionar la brecha que ha provocado esa fuga de información y garantizar que el personal que lo haya recibido no pueda revelar cualquier información que pudiera permitir identificar al informante o a la persona afectada.

Además, el Proyecto de Ley detalla multitud de otros aspectos que explicaremos de forma más extensa a continuación, como los tipos de canales de denuncias, las entidades que están obligadas a establecerlos o los plazos para su implementación.

Tipos de canales de denuncias

La normativa española de whistleblowing está ideada para proteger a los informantes (de entidades tanto públicas como privadas) que tengan información sobre infracciones laborales o profesionales y quieran comunicarla a las autoridades correspondientes. Para ello, la ley establece la obligatoriedad de dos tipos de canales diferentes: internos y externos.

Canal de denuncias interno

De acuerdo con el nuevo Proyecto de Ley de Protección del informante, en España, los canales internos son obligatorios para:

Sector privado:

• Empresas (personas físicas o jurídicas) con 50 trabajadores o más.
• Personas jurídicas del sector privado que desarrollen su actividad en el sector financiero o que esta tenga que ver de alguna forma con la prevención de blanqueo de capitales, la seguridad del transporte y la protección del medioambiente, entre otros aspectos.
• Partidos políticos, así como sindicatos, patronales y fundaciones que reciban o gestionen fondos públicos.

Sector público:

• La Administración General del Estado, las Administraciones de las comunidades autónomas y Ciudades con Estatuto de Autonomía y las Entidades que integran la Administración Local. En el caso de municipios con menos de 10 000 habitantes se contempla la posibilidad de compartir medios en lo referente a los sistemas internos de información y a los recursos destinados a las investigaciones y tramitaciones para que puedan cumplir con la ley.
• Los Organismos y Entidades públicas vinculadas o dependientes de alguna Administración pública, así como aquellas otras asociaciones y corporaciones en las que participen Administraciones y organismos públicos.
• Las Autoridades Administrativas Independientes y las Entidades gestoras y Servicios comunes de la Seguridad Social.
• Las Universidades públicas.
• Las Corporaciones de Derecho público.
• Las fundaciones del sector público.

Canal de denuncias externo

Los canales de denuncias externos no son una responsabilidad directa de las empresas, sino que son los Estados de la Unión Europa los que tienen la obligación de establecer herramientas externas independientes y autónomas que permiten recibir y seguir las denuncias. Además, deben designarse las autoridades competentes para ello, asegurando la dotación adecuada de recursos. Al igual que en el caso anterior, deben contemplar el deber de confidencialidad en todo momento.

En el escenario español, el Anteproyecto de Ley contempla la creación de un canal de denuncias externo  a través de la Autoridad Independiente de Protección del Informante señalada con anterioridad. Este canal deberá estar a disposición de cualquier persona física que podrá hacer un uso directo del mismo o como complemento a la comunicación a través de los canales internos a los que tenga acceso.

Cómo implementar un canal de denuncias

A nivel empresarial, a la hora de implementar un canal de denuncias interno, lo primero es decidir qué vías de comunicación se van a habilitar para las denuncias y si se va a desarrollar una herramienta de forma interna o se va a contar con un proveedor externo. Además, hay que definir la persona o personas de la organización que estarán a cargo del canal, los criterios de admisión de denuncias y la estrategia de información o formación para los empleados.

Contar con un canal de denuncias desarrollado por un proveedor externo experto en materia de compliance asegura la adecuación a las normativas vigentes (como las leyes de prevención de blanqueo de capitales o de protección de datos, así como el código penal). Además, es clave para la prevención y detección de actuaciones irregulares y evitar riesgos penales y reputacionales. Por último, es un indicador de transparencia que revierte directamente en la buena imagen de la organización.

¿Cómo usar un software de canal de denuncias o whistleblowing?

Un software de canal de denuncias es una herramienta digital específicamente diseñada para cumplir con la directiva whistleblowing. Se trata de un canal interno que permite, entre otras cosas, g arantizar el anonimato de la denuncia y la protección de los datos personales bajo el Reglamento General de Protección de Datos (RGPD), así como automatizar la gestión de los casos denunciados.

Además de establecer la figura que será responsable del canal de denuncias interno de la empresa, adquirir un programa informático de canal de denuncias, como el desarrollado por GlobalSuite Solutions y WTW , es la forma más efectiva de dar el primer paso hacia el cumplimiento de la normativa de whistleblowing.

Ventajas de establecer un canal de denuncias digital

Una solución digital  de canal de denuncias presenta multitud de ventajas para la empresa que la implemente, tanto desde el punto de vista práctico como desde el punto de vista de la mitigación de riesgos y el compliance. Así, estos son los principales beneficios de contar con un software de whistleblowing como el de GlobalSuite Solutions y  WTW:

• Trazar las acciones realizadas para la gestión de la comunicación.
• Monitorizar y gestionar el estado de situación de cada requisito.
• Realizar comentarios bidireccionales.
• Visualizar las estadísticas.
• Adaptar el software para la gestión de equipo interno o externo con total independencia y sin presentar conflictos de interés.
• Personalizar el software de acuerdo a la imagen corporativa.

Por otro lado, contar con una herramienta digital que facilite las denuncias confidenciales de conductas potencialmente delictivas dentro de la empresa puede ahorrar muchos quebraderos de cabeza a largo plazo. Uno de los casos de uso más típicos es el del directivo que, de forma no intencionada y como responsable de la empresa, asume los riesgos derivados de una conducta irregular de unos de sus empleados.

Además, un software de canal de denuncias también es una herramienta que aporta certezas y seguridad para toda la plantilla, tanto trabajadores como jefes de equipo. Esta herramienta permite visibilizar las malas prácticas empresariales sin temor a represalias por parte de los afectados.

Los riesgos de no contar con un canal de denuncias: casos prácticos

Además de los riesgos que implica para una empresa no cumplir correctamente con la legislación whistleblowing, no contar con un canal de denuncias pueda causar multitud de daños económicos, reputacionales e, incluso, penales. Los cuatro casos prácticos que hemos preparado y que son detallados  a continuación ilustran hasta qué punto es arriesgado no contar con un canal de denuncias.

El daño de no detectar una fuga de datos

Rodolfo es un empresario de relativo éxito que ha logrado que su empresa de reformas supere los altibajos del sector de la construcción y hoy sea una referencia en el mercado madrileño. Es consciente de la importancia de contar con un canal de denuncias, pero, como la empresa es pequeña y él es el único propietario, Rodolfo considera que un correo electrónico específico para este uso es más que suficiente.

Aunque él no lo sabe, su compañía sí debe cumplir con la obligación de contar con un canal de denuncias según lo establecido por las normativas europea y española. Sin embargo, Rodolfo no tiene esa información porque no tiene a nadie ocupándose en exclusiva de los asuntos legales y del cumplimiento de la normativa. Aun así, el canal del correo electrónico funciona sin problema durante un tiempo.

Un día, una tercera persona logra acceder de forma no autorizada al correo. Se trata de una herramienta que ofrece pocas garantías de seguridad y protección de datos personales y no es confidencial. Tras este incidente, el atacante extrae información confidencial que después acaba haciendo pública. Al investigar el suceso, el organismo competente comprueba que la herramienta de la empresa de Rodolfo no cumple el RGPD ni la normativa whistleblowing, por lo que acaba imponiéndole una multa y obligándole a implementar todas las exigencias de la regulación.

La falta de transparencia

Ruth es empleada de la dirección general de carreteras de la Generalitat Valenciana , donde es responsable de las licitaciones. La suya es una tarea delicada, ya que sus decisiones implican importantes gastos de dinero público y tienen un impacto directo en las cuentas de resultados de las empresas licitadas. Un día, Ruth descubre una serie de pruebas que parecen señalar algo que ya sospechaba desde hacía tiempo: uno de sus subordinados ha venido incurriendo de forma reiterada en varios delitos de cohecho con la misma constructora.

Las sospechas venían porque la constructora beneficiada parecía tener a veces información privilegiada y sus propuestas siempre eran muy bien puntuadas en el proceso de licitación. Ahora, las pruebas parecen no dejar lugar a dudas. Sin embargo, por la falta de tiempo, Ruth acaba delegando sus funciones y no supervisa de forma adecuada los procesos, confiando por completo en su subordinado a pesar de las sospechas. La situación se mantiene hasta que una investigación acaba destapando el escándalo y deja a Ruth en una situación muy comprometida.

Se trata de un tema muy sensible y que salpica directamente la transparencia del sector público, por lo que recibe especial atención mediática y legal. Como resultado, tanto ella como, evidentemente, la persona autora del delito se acaban viendo involucradas en un proceso legal que acaba en una cuantiosa multa y la inhabilitación durante varios años para cualquier empleo o cargo público.

La falta de supervisión de Ruth no se habría solucionado con un canal de denuncias. Sin embargo, toda la parte interna podría haberse llevado a cabo de forma confidencial, s in que la información saltase fuera de la empresa o fuese filtrada a los medios de comunicación. En un contexto más controlado, Ruth podría haber explicado lo sucedido y asumir su responsabilidad por la falta de control, pero no se habría vista envuelta en la trama delictiva cometida por su subordinado.

El canal de denuncias y la reputación de los directivos

Imaginemos a hora el caso de una empresa de servicios financieros en la que uno de los comerciales lleva años recurriendo a técnicas de venta que incumplen el código de conducta, como el ofrecimiento de regalos o sobornos a cambio de la adjudicación de contratos. A pesar de ser algo conocido por sus compañeros y su círculo más cercano, nadie se había atrevido a denunciarlo porque no existía un canal confidencial para hacerlo.

Aun así, la conducta acaba saliendo a la luz y se procede con su investigación. El director de la compañía, de comportamiento intachable hasta entonces, muestra su condena desde el principio y colabora en todo momento con las autoridades. Sin embargo, el comercial se escuda en la presión de la empresa para alcanzar los objetivos y, al no haber ningún registro que demuestre lo contrario ni existir un canal de denuncias, la investigación concluye que había connivencia entre el empresario y el comercial.

Como consecuencia, el director acaba haciendo frente a las responsabilidades judiciales derivadas de este acto y a una posible condena a prisión por el delito de soborno, que también puede suponer la pérdida de licencias de exportación e importantes multas. Además, supone un duro golpe a la reputación de los directivos y de la marca de la empresa. En este caso, disponer de un canal de denuncias habría supuesto contar con una herramienta para acreditar la inocencia del directivo y salvaguardar la imagen de la empresa.

La responsabilidad interna y el temor a represalias

Para el último de los casos prácticos, imaginemos el caso de un jefe de equipo de IT recién ascendido en una empresa de tamaño medio. Nada más llegar al departamento, el nuevo responsable se da cuenta de que varios ejecutivos incumplen la normativa interna de protección de datos sensibles. Ante la sospecha de que puedan estar usando esta información para el beneficio propio, el nuevo jefe de equipo pone la situación en conocimiento de sus superiores. Y lo hace en persona, ya que no existe un canal de denuncias propio.

Los superiores deciden obviar la denuncia, ya que prefieren evitar conflictos con algunos de los pesos pesados de la compañía. Sin embargo, uno de los ejecutivos señalados por malas prácticas acaba siendo descubierto usando de forma fraudulenta la información sensible para su propio beneficio y, como consecuencia, la empresa abre una investigación interna para depurar responsabilidades.

En el curso de esta investigación, surge el nombre del nuevo jefe de equipo de IT, ya que para mantener esa conducta irregular el ejecutivo necesitó al menos de su colaboración indirecta. Al final, el jefe de equipo es despedido por no haber reforzado los protocolos de seguridad. Sin embargo, todo podría haberse evitado de haber existido un canal de denuncias confidencial en el que tanto el jefe de equipo como sus superiores podrían haber cursado la denuncia sin miedo a represalias.

Disponer de un canal de denuncias es ya obligatorio para las grandes empresas y pronto lo será para todas las de más de 50 empleados. Sin embargo, no se trata solo de un asunto de compliance legal, sino que contar con un canal de denuncias es una buena forma de reforzar las conductas positivas, disuadir comportamientos irregulares y proteger la reputación y la estabilidad laboral de aquellos que decidan señalar las malas prácticas.