Canal de denuncias para empresas

Desde el 1 de diciembre de 2023, las empresas con cincuenta o más trabajadores están obligadas a disponer de un canal interno de información (canal de denuncias) conforme a la Ley 2/2023, de 20 de febrero. El incumplimiento expone a la empresa a sanciones económicas significativas. Asesoramos en el diseño, implantación y gestión de canales que cumplen la ley y protegen realmente a la organización.

La Ley 2/2023 y su ámbito de aplicación

La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspone la Directiva europea 2019/1937 (Directiva Whistleblowing). Establece la obligación de contar con un canal interno de información para las siguientes entidades:

• Empresas del sector privado con cincuenta o más trabajadores.
• Personas jurídicas del sector privado, con independencia de su número de trabajadores, que entren en el ámbito de los actos de la Unión Europea sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
• Partidos políticos, sindicatos y organizaciones empresariales con financiación pública.
• Fundaciones vinculadas a los anteriores.
• Entidades del sector público, con independencia de su tamaño.

Las empresas de entre cincuenta y doscientos cuarenta y nueve trabajadores pueden compartir entre sí el Sistema interno de información y los recursos destinados a su gestión, pertenezcan o no al mismo grupo, respetando en todo caso las garantías de la ley (art. 12). En los grupos de sociedades, el Sistema puede ser único para todo el grupo, con independencia del tamaño de cada sociedad (art. 11).

Qué debe incluir el canal de denuncias

La ley no solo exige que exista el canal, sino que este sea efectivo. Los requisitos mínimos son:

• Recepción de denuncias por escrito, oralmente o en ambas formas.
• Posibilidad de presentar denuncias anónimas.
• Acuse de recibo en un plazo máximo de siete días.
• Investigación diligente e imparcial de cada denuncia.
• Respuesta al informante en un plazo máximo de tres meses (ampliable en casos complejos).
• Confidencialidad de la identidad del informante y de los datos de la persona investigada.
• Prohibición absoluta de represalias contra el informante.

El canal debe estar gestionado por una persona o unidad con autonomía funcional suficiente, y puede externalizarse a un tercero especializado, siempre que se garantice la independencia y la reserva de los datos.

Protección del informante: el núcleo de la ley

El gran avance de la Ley 2/2023 es la protección reforzada que otorga a quien denuncia. Cualquier medida de represalia adoptada contra un informante (despido, degradación, cambio de condiciones laborales, presión psicológica, exclusión de procesos de selección) es contraria a la ley y puede dar lugar a responsabilidad de la empresa. La carga de la prueba se invierte: si el informante sufre una consecuencia negativa tras denunciar, corresponde a la empresa demostrar que no hay relación causal.

La protección alcanza también a los colaboradores y familiares del informante, a las personas jurídicas controladas por él y a quienes ayudaron en el proceso de denuncia. Las cláusulas contractuales de confidencialidad no impiden informar: quien comunica una infracción conforme a la ley no se considera que haya infringido ninguna restricción de revelación de información (art. 38.1), y limitar estos derechos mediante contratos o acuerdos es infracción muy grave (art. 63.1.a).

Régimen sancionador

El incumplimiento de las obligaciones de la Ley 2/2023 puede acarrear multas de hasta 300.000 euros para las personas físicas y de hasta 1.000.000 de euros para las personas jurídicas, dependiendo de la gravedad de la infracción. Las infracciones más graves incluyen la ausencia total del canal, la adopción de represalias contra informantes y la revelación de la identidad del denunciante.

La supervisión y sanción corresponde a la Autoridad Independiente de Protección del Informante (AIPI), cuya creación y estructura también regula la ley.

Integración con el programa de compliance

El canal de denuncias no debe implantarse de forma aislada. Es un componente más del sistema de gestión de riesgos e integridad de la empresa, estrechamente vinculado al programa de compliance penal y a las políticas de conducta interna. Un canal que no está conectado con procedimientos de investigación, con políticas de no represalias y con la formación de los empleados no cumple su función ni, en la práctica, el espíritu de la ley.

Para más información sobre el marco societario y de gobierno corporativo, puede consultar el área de derecho societario.

Preguntas frecuentes

¿Mi empresa de 60 trabajadores tiene ya la obligación de tener canal de denuncias?

Sí. Para las empresas del sector privado de entre cincuenta y doscientos cuarenta y nueve trabajadores, el plazo para implantar el sistema venció el 1 de diciembre de 2023 (para las de doscientos cincuenta o más trabajadores, el 13 de junio de 2023). Si su empresa no dispone todavía de un canal que cumpla los requisitos de la Ley 2/2023, está incumpliendo una obligación legal y expuesta al régimen sancionador de la autoridad competente.

¿Puede un trabajador denunciar directamente a las autoridades sin usar el canal interno?

La ley no obliga al informante a usar el canal interno. Puede acudir directamente a las autoridades (AIPI, organismos sectoriales o el Ministerio Fiscal en caso de delitos) o incluso realizar una divulgación pública en determinadas circunstancias. No obstante, la ley configura el sistema interno como cauce preferente, siempre que la infracción pueda tratarse de manera efectiva y el informante considere que no hay riesgo de represalia (art. 4.1), y la protección del informante no depende del canal elegido.

¿Quién debe gestionar el canal dentro de la empresa?

El órgano de administración debe designar un Responsable del Sistema (una persona física o un órgano colegiado que delegue en uno de sus miembros), que en el sector privado ha de ser, como regla, un directivo de la entidad y puede ser el propio compliance officer (art. 8); la recepción de las comunicaciones puede encomendarse a un tercero externo especializado, sin que ello traslade la responsabilidad del Responsable del Sistema (art. 6). Lo esencial es que la persona o entidad gestora tenga autonomía funcional real, formación específica y acceso directo al órgano de administración para reportar los casos que así lo requieran. La externalización es una opción válida y, en muchos casos, la más recomendable para garantizar la imparcialidad.

¿Las denuncias anónimas son válidas y deben investigarse?

Sí. La Ley 2/2023 exige que el canal permita la presentación de denuncias anónimas y que estas sean investigadas. El anonimato no es óbice para la investigación, aunque puede dificultar la obtención de información complementaria. La empresa no puede ignorar una denuncia anónima ni tratar su tramitación de forma diferenciada respecto a las firmadas.

Si necesita implantar o revisar el canal de denuncias de su empresa, puede ponerse en contacto con nosotros a través de la página de contacto.