Guía canal de denuncias: 10 pasos para cumplir la ley

Una guía canal de denuncias debería servir para algo más que enumerar requisitos legales. Cuando una empresa decide implantar este sistema necesita saber quién va a recibir las comunicaciones, qué ocurrirá después de recibirlas, cómo protegerá al informante y qué herramientas utilizará para que todo el procedimiento pueda seguirse con seguridad.

Desde la entrada en vigor de la Ley 2/2023, determinadas organizaciones están obligadas a contar con un Sistema interno de información. La obligación afecta, con carácter general, a las empresas privadas con 50 o más trabajadores, además de otros sujetos y sectores previstos específicamente por la normativa.

Pero disponer simplemente de un formulario no es suficiente. El canal debe integrarse dentro de un procedimiento que contemple la confidencialidad, la gestión de comunicaciones anónimas, la designación de un Responsable del Sistema, los plazos de tramitación y la protección de las personas implicadas.

Esta guia canal de denuncias reúne diez pasos prácticos para organizar todo el proceso, desde la definición inicial del canal hasta su revisión una vez puesto en marcha.

Guía canal de denuncias: entender primero el marco legal

Antes de configurar una plataforma conviene entender qué exige realmente la normativa. La referencia principal en España es la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informan sobre determinadas infracciones y desarrolla en España la Directiva (UE) 2019/1937.

La ley utiliza el concepto de Sistema interno de información, que es más amplio que el propio canal. El sistema incluye el medio utilizado para recibir las comunicaciones, el Responsable del Sistema y el procedimiento que determinará cómo deben gestionarse.

Entre los aspectos que deben tenerse en cuenta se encuentran:

• La confidencialidad de la identidad del informante y de las personas mencionadas.
• La posibilidad de realizar comunicaciones anónimas.
• El control de los accesos a la información.
• La existencia de un procedimiento de gestión.
• La designación de un Responsable del Sistema.
• El cumplimiento de los plazos establecidos.
• La protección frente a represalias.
• Las obligaciones relacionadas con protección de datos.

Puede ampliar estos aspectos en nuestra guía sobre el canal de denuncias España.

También conviene recordar que los plazos iniciales de adaptación finalizaron en 2023. Por tanto, una organización que actualmente se encuentre dentro de los sujetos obligados ya debería disponer de su sistema.

Paso 1: definir el alcance y los tipos de comunicaciones

Uno de los primeros errores que puede cometer una empresa es poner en marcha el canal sin explicar para qué sirve. Si el usuario no sabe qué situaciones puede comunicar, es fácil que el sistema termine recibiendo desde reclamaciones comerciales hasta peticiones de vacaciones o problemas que deberían gestionarse mediante otros procedimientos internos.

Por eso, el primer paso de esta guia canal de denuncias consiste en definir claramente su alcance. El procedimiento debería explicar qué hechos pueden comunicarse y qué otras vías existen para asuntos que no pertenezcan al ámbito del sistema.

Dependiendo de la organización, pueden aparecer comunicaciones relacionadas con posibles fraudes, corrupción, incumplimientos normativos, determinadas conductas contrarias a las políticas internas u otras situaciones incluidas dentro del ámbito correspondiente.

También resulta útil establecer una clasificación interna. No hace falta mostrar al informante una lista interminable de categorías, pero sí disponer de criterios que posteriormente ayuden a organizar los expedientes y asignarlos a las personas adecuadas.

La pregunta debería ser sencilla: si mañana llega la primera comunicación, ¿sabemos exactamente qué hacer con ella? Si la respuesta no está clara, el procedimiento todavía necesita trabajo.

Paso 2: designar al Responsable del Sistema

La Ley 2/2023 establece la figura del Responsable del Sistema interno de información. Su designación no debería hacerse únicamente para cubrir un requisito formal. Esta persona —o, en su caso, órgano colegiado— tendrá un papel fundamental en el funcionamiento del sistema.

Debe desarrollar sus funciones de manera independiente y autónoma respecto del resto de órganos de la organización y disponer de los medios necesarios para ejercerlas. Puede conocer con más detalle sus funciones en nuestra guía sobre el responsable del Sistema de Información.

En determinadas empresas también pueden intervenir departamentos como:

• Compliance.
• Asesoría jurídica.
• Recursos Humanos.
• Auditoría interna.
• Seguridad.
• Protección de datos.

Eso no significa que todas estas áreas deban acceder automáticamente a cada expediente. Precisamente uno de los principios importantes es limitar el acceso a la información a las personas que realmente necesiten conocerla.

También deben preverse los conflictos de interés. Si una comunicación afecta al responsable habitual de gestionarla, la empresa debería saber de antemano quién asumirá el expediente.

Paso 3: establecer canales de comunicación seguros

La siguiente decisión consiste en determinar cómo podrán realizarse las comunicaciones. La Ley 2/2023 contempla comunicaciones por escrito y verbalmente mediante las vías habilitadas por la organización. También establece la posibilidad de realizar una reunión presencial cuando el informante lo solicite dentro de los términos previstos por la norma.

En la práctica, muchas empresas optan por una plataforma digital porque facilita la trazabilidad, la comunicación y la gestión posterior del expediente. Un buen sistema debería resultar sencillo para el informante.

Cuantos más obstáculos tenga que superar una persona antes de comunicar una irregularidad, mayor será la posibilidad de que abandone el proceso. Además, el canal interno debe permitir la presentación y posterior tramitación de comunicaciones anónimas.

Una plataforma especializada también puede permitir mantener una conversación posterior con un informante anónimo mediante un código o acceso seguro, algo especialmente útil cuando la información inicial no es suficiente para continuar con las actuaciones.

Paso 4: garantizar la confidencialidad y la protección de datos

Este probablemente sea uno de los puntos más delicados de cualquier guía canal de denuncias. Una comunicación puede contener información sobre trabajadores, directivos, proveedores, clientes o terceros. En algunos casos, además, puede incluir datos especialmente sensibles.

El sistema debe diseñarse para evitar accesos no autorizados y proteger tanto al informante como a las personas mencionadas. Esto implica revisar cuestiones como:

• Quién tiene acceso a cada expediente.
• Qué permisos tiene cada usuario.
• Cómo se almacenan los documentos.
• Cómo se realizan las comunicaciones con el informante.
• Qué información queda registrada.
• Durante cuánto tiempo debe conservarse.
• Qué sucede cuando termina el expediente.

También debe diferenciarse entre anonimato y confidencialidad. Una comunicación es anónima cuando el informante no facilita su identidad. En cambio, existe confidencialidad cuando la identidad es conocida pero queda protegida frente a personas no autorizadas.

Paso 5: definir la recepción y el registro de las comunicaciones

Cuando llega una comunicación debe empezar un procedimiento conocido de antemano. Improvisar en ese momento aumenta considerablemente el riesgo de cometer errores.

El expediente debería registrar la información necesaria para realizar posteriormente su seguimiento, manteniendo siempre las garantías correspondientes.

Una plataforma puede asignar automáticamente un número o código al caso y registrar aspectos como la fecha de entrada, el estado del expediente y las actuaciones realizadas.

Cuando corresponda, el informante debe recibir un acuse de recibo dentro de los 7 días naturales siguientes a la recepción, salvo que hacerlo pueda poner en peligro la confidencialidad de la comunicación. Este detalle parece pequeño, pero refleja perfectamente por qué resulta útil trabajar con un sistema organizado.

Cuando una empresa empieza a recibir varios expedientes simultáneamente, controlar fechas y actuaciones manualmente se vuelve mucho más complicado.

Puede consultar también nuestra guía sobre Canal de denuncias digital conforme a la ley para profundizar en los requisitos de una solución tecnológica.

Paso 6: Implementar un proceso de investigación y seguimiento

Recibir una comunicación no significa que los hechos denunciados estén demostrados. La empresa necesita analizar la información con imparcialidad y respetar tanto los derechos del informante como los de la persona afectada.

Dependiendo del caso, la investigación puede requerir:

• Revisar documentación.
• Solicitar información adicional.
• Realizar entrevistas.
• Analizar registros internos.
• Consultar a departamentos especializados.
• Recopilar otras evidencias relevantes.

También debe quedar documentado qué actuaciones se realizan y por qué. El procedimiento interno debe establecer el plazo máximo para dar respuesta a las actuaciones de investigación. Con carácter general, este plazo no puede superar tres meses desde la recepción en los términos previstos por la Ley 2/2023.

Cuando el asunto presente una especial complejidad puede ampliarse hasta otros tres meses adicionales. Esto no significa que todas las investigaciones deban durar tres meses. Si un expediente puede resolverse antes, no existe ninguna razón para retrasarlo artificialmente.

Paso 7: cerrar el expediente y comunicar correctamente

Una investigación no debería terminar simplemente cambiando el estado del expediente a “cerrado”. Antes deben documentarse las conclusiones y las medidas adoptadas cuando corresponda ya que el cierre puede variar enormemente dependiendo de lo ocurrido.

Una comunicación puede resultar infundada, requerir una modificación de determinados procedimientos internos o revelar hechos que deban trasladarse a las autoridades competentes.

Si los hechos pudieran ser indiciariamente constitutivos de delito, la Ley 2/2023 contempla la remisión de la información al Ministerio Fiscal en los términos establecidos por la norma. La comunicación con el informante también debe manejarse con cuidado.

Debe proporcionarse la información que corresponda sin revelar datos que puedan vulnerar la confidencialidad, los derechos de terceras personas o el buen desarrollo de las actuaciones.

La transparencia no significa compartir todo el expediente. Significa que el procedimiento resulte comprensible y que las personas implicadas conozcan la información que legalmente les corresponda.

Paso 8: formar a los empleados y explicar el canal

Un canal que nadie conoce tiene poca utilidad. La implantación debería acompañarse de una comunicación interna sencilla que responda, como mínimo, a estas preguntas: ¿Dónde está el canal? ¿Quién puede utilizarlo? ¿Para qué sirve? ¿Puedo realizar una comunicación anónima? ¿Qué ocurrirá después?

No hace falta convertir cada comunicación interna en una clase de Derecho. De hecho, cuanto más sencillo resulte entender el sistema, mejor.

Deben conocer el procedimiento, las obligaciones de confidencialidad, los plazos, los posibles conflictos de interés y las reglas relativas al tratamiento de la información. También resulta importante el mensaje transmitido por la dirección.

Si la empresa presenta el canal como una obligación incómoda que ha tenido que implantar por ley, difícilmente generará confianza.

Si, por el contrario, deja claro que comunicar una irregularidad es una forma legítima de proteger a la propia organización, la percepción cambia considerablemente.

Paso 9: revisar periódicamente el funcionamiento del canal

Implantar el sistema no significa que vaya a funcionar correctamente para siempre. La organización cambia y se incorporan trabajadores, cambian responsables, aparecen nuevas herramientas y se modifican procedimientos.

Por eso resulta recomendable revisar periódicamente cuestiones como:

• Accesos y permisos.
• Personas responsables.
• Tiempos de tramitación.
• Incidencias detectadas.
• Funcionamiento de la plataforma.
• Procedimientos internos.
• Formación.
• Información publicada sobre el canal.

También puede resultar útil analizar determinados indicadores. Por ejemplo, cuánto se tarda en realizar el análisis inicial de un expediente o cuántos casos requieren información adicional.

El objetivo no debería ser conseguir “cero denuncias”. Una ausencia total de comunicaciones no significa necesariamente que no existan problemas. También podría indicar que los trabajadores desconocen el canal o que no confían en él.

Paso 10: documentar y conservar la información correctamente

La documentación es necesaria para mantener la trazabilidad del sistema, pero eso no significa que todos los datos deban conservarse indefinidamente. La Ley 2/2023 establece reglas específicas sobre el tratamiento y conservación de los datos personales.

Los sujetos obligados deben contar con un libro-registro de las informaciones recibidas y de las investigaciones internas que se hayan iniciado, respetando siempre la confidencialidad. Los datos personales deben conservarse únicamente durante el periodo necesario y proporcionado.

Además, si transcurren tres meses desde la recepción de una comunicación sin que se hayan iniciado actuaciones de investigación, la normativa establece la supresión de los datos personales del sistema, salvo los supuestos previstos para dejar evidencia de su funcionamiento.

Por tanto, no conviene utilizar reglas genéricas como “guardar todas las denuncias durante cinco años”. La política de conservación debe adaptarse a la normativa y distinguir entre los diferentes tipos de información.

Ejemplos prácticos de aplicación en empresas

Los pasos anteriores se entienden mejor cuando se trasladan a situaciones habituales. Por ejemplo, imagine que una empresa recibe una comunicación anónima sobre posibles irregularidades en determinadas facturas.

• El sistema registra automáticamente el expediente y permite al informante conservar un código para consultar posteriormente las respuestas.
• El Responsable del Sistema realiza un primer análisis y descubre que una de las personas que normalmente participaría en la investigación pertenece precisamente al departamento mencionado en la comunicación.
• El protocolo de conflictos de interés permite sustituirla por otra persona sin improvisar la decisión.
• Durante la investigación se necesita aclarar una fecha. Como la plataforma permite comunicación bidireccional anónima, puede preguntarse al informante sin conocer su identidad.
• Todas las actuaciones quedan registradas hasta el cierre del expediente.

En otro caso, una comunicación puede referirse a una situación que no pertenece al ámbito del canal. Un procedimiento correctamente diseñado permite identificarlo desde el principio y derivar la cuestión a la vía correspondiente sin convertir innecesariamente cualquier problema laboral o administrativo en una investigación de canal de denuncias compliance.

Estos ejemplos muestran algo importante: la calidad del sistema no depende únicamente del software.

Checklist final de esta guía canal de denuncias

Antes de considerar terminado el proceso conviene comprobar que la organización puede responder afirmativamente a estas cuestiones:

1. ¿Está claro quién puede utilizar el canal y qué puede comunicar?
2. ¿Existe un Responsable del Sistema correctamente designado?
3. ¿El canal permite realizar las comunicaciones necesarias de forma segura?
4. ¿Pueden tramitarse comunicaciones anónimas?
5. ¿Los accesos a los expedientes están limitados?
6. ¿Existe un procedimiento escrito de gestión?
7. ¿Se controlan los plazos establecidos?
8. ¿Los empleados saben dónde encontrar el canal?
9. ¿Se revisa periódicamente su funcionamiento?
10. ¿Existe una política adecuada de conservación y protección de datos?

Si alguna respuesta genera dudas, probablemente exista un punto que conviene revisar.

Conclusión: una guía canal de denuncias debe terminar en un sistema que funcione

Implantar un canal no debería consistir únicamente en cumplir una obligación y olvidarse de él. El verdadero reto empieza cuando llega la primera comunicación.

En ese momento deben funcionar la tecnología, los responsables, los permisos, los plazos y el procedimiento de investigación. Seguir los diez pasos de esta guia canal de denuncias permite organizar el proceso desde el principio y reducir muchos de los problemas que aparecen cuando el sistema se improvisa.

Además, una buena implantación ofrece algo que va más allá del cumplimiento normativo: una vía para conocer posibles irregularidades que quizá nunca llegarían a través de los mecanismos habituales de la empresa.

En Canal de Denuncias Seguro ofrecemos una solución orientada a facilitar la recepción, gestión y seguimiento de las comunicaciones dentro de un entorno centralizado.

Una plataforma adecuada facilita mucho el trabajo. Pero son la combinación de tecnología, procedimiento y confianza las que consiguen que un canal de denuncias funcione realmente.