Cómo implementar un canal de denuncias: checklist antes de activarlo

Poner en marcha un canal interno no debería reducirse a publicar un formulario y esperar a que llegue la primera comunicación. La parte visible es relativamente sencilla; lo importante empieza detrás: quién recibe las denuncias, qué ocurre si afectan a una persona con acceso al sistema, qué plazos se controlan, cómo se protege la información y qué recorrido seguirá cada expediente.

Por eso, entender cómo implementar un canal de denuncias implica pensar en el proceso completo antes de comunicar que ya está disponible. La Ley 2/2023 establece el marco de protección de las personas informantes, pero cada organización necesita convertir esas obligaciones en una operativa concreta que pueda aplicarse cuando llegue un caso real.

Un sistema puede estar técnicamente bien configurado y, aun así, funcionar mal si nadie sabe qué hacer cuando entra una comunicación compleja un viernes por la tarde, si el responsable habitual está de vacaciones o si la denuncia afecta precisamente a una persona de dirección. La mejor forma de evitarlo es sencilla: probar el procedimiento antes de necesitarlo.

Cómo implementar un canal de denuncias: define quién toma las decisiones

El primer paso es bastante menos tecnológico de lo que parece. La organización tiene que saber quién será responsable del Sistema interno de información y qué personas podrán intervenir en la gestión de los expedientes. También conviene dejar previsto qué ocurrirá cuando exista un conflicto de interés.

Si una denuncia afecta precisamente a la persona que normalmente debería gestionarla, el procedimiento necesita una alternativa clara.

Antes de activar el canal deberían poder responderse preguntas como:

• ¿Quién recibe la comunicación?
• ¿Quién realiza la valoración inicial?
• ¿Quién puede solicitar información adicional?
• ¿Quién decide si procede abrir una investigación?
• ¿Quién participa en ella?
• ¿Quién puede validar el cierre?
• ¿Quién sustituye al responsable habitual si existe un conflicto?

No todas las organizaciones necesitan un equipo grande. Una pyme puede trabajar con una estructura mucho más sencilla que una compañía con miles de empleados. Lo importante es que la cadena de responsabilidades esté clara.

Los accesos deben responder a una necesidad concreta

Uno de los errores más fáciles de cometer es dar acceso a demasiadas personas “por si acaso”. Recursos Humanos, compliance, asesoría jurídica, dirección o especialistas externos pueden intervenir en determinadas investigaciones, pero eso no significa que todos necesiten consultar todos los expedientes.

Al plantearse cómo implementar un canal de denuncias, conviene trabajar con un criterio de necesidad de conocimiento. Una persona debería acceder únicamente a la información que necesita para realizar su función.

Por ejemplo, un especialista externo puede necesitar revisar documentación técnica sin conocer necesariamente toda la información relacionada con el informante. Del mismo modo, una persona entrevistada dentro de una investigación no necesita recibir las declaraciones completas de otros participantes.

Este criterio resulta especialmente importante cuando existen denuncias anónimas, porque determinados detalles aparentemente secundarios pueden terminar dando pistas sobre quién realizó la comunicación.

Antes del lanzamiento también merece la pena revisar:

• perfiles de usuario;
• permisos de consulta;
• capacidad de descargar documentos;
• opciones de exportación;
• recuperación de credenciales;
• registro de accesos.

No basta con saber quién tiene usuario. Hay que saber qué puede hacer cada usuario.

El formulario debe ayudar a contar lo ocurrido

Un formulario demasiado largo puede generar abandono. Uno excesivamente corto puede obligar a mantener muchos intercambios posteriores para entender qué ha sucedido.

La solución no consiste en pedir toda la información imaginable. Conviene centrarse en aquello que pueda ayudar a comprender los hechos:

• descripción de lo ocurrido;
• fechas aproximadas;
• personas implicadas;
• lugar;
• posibles testigos;
• documentación disponible.

También debería existir suficiente espacio para que el informante explique circunstancias que no encajen perfectamente en las opciones previstas en cómo implementar un canal de denuncias. Esto es especialmente importante porque muchas situaciones no llegan perfectamente clasificadas.

La persona que comunica los hechos puede no saber si está ante un incumplimiento concreto o qué categoría debería seleccionar. El sistema debe facilitar la comunicación, no obligar al usuario a realizar una valoración jurídica antes de enviar el formulario.

Prueba el recorrido de una denuncia anónima

Una buena manera de saber cómo implementar un canal de denuncias correctamente es utilizarlo como lo haría una persona real. Primero haz una prueba anónima, envía una comunicación ficticia y comprueba todo el recorrido.

• ¿Puede el informante volver a consultar su caso?
• ¿Recibe algún código?
• ¿Existe una vía para mantener una conversación?
• ¿Puede aportar documentación posteriormente?
• ¿El gestor puede solicitar una aclaración sin conocer la identidad de esa persona?

La anonimidad no elimina la necesidad de comunicación. Una primera denuncia puede explicar suficientemente el contexto, pero carecer de una fecha, un documento o algún detalle importante. Si el sistema permite mantener un intercambio seguro, será mucho más sencillo obtener esa información.

Por eso el flujo anónimo debería probarse de principio a fin antes de publicar el canal.

Los plazos deben funcionar sin depender de la memoria

Un procedimiento que depende de que alguien recuerde revisar una hoja de cálculo cada lunes es un procedimiento frágil. Antes de activar el sistema conviene introducir un caso ficticio y observar:

• qué notificaciones aparecen;
• cuándo se generan;
• qué plazos quedan registrados;
• quién recibe cada aviso;
• qué ocurre cuando una tarea está próxima a vencer.

Los plazos no son únicamente una cuestión formal. También evitan comunicaciones sin respuesta, expedientes olvidados y cierres que se eternizan porque nadie tiene claro cuál es el siguiente paso.

Una herramienta de canal de denuncias para empresas puede facilitar esta trazabilidad, pero la organización debe definir previamente quién es responsable de actuar cuando aparece una alerta.

También hay que pensar en situaciones normales: vacaciones, bajas o ausencias. Si toda la gestión depende de una única persona y nadie puede sustituirla, el procedimiento tiene un punto débil bastante evidente.

Una clasificación sencilla suele funcionar mejor

Cuando se diseña el canal existe la tentación de crear muchas categorías.

• Fraude.
• Acoso.
• Conflictos laborales.
• Corrupción.
• Protección de datos.
• Incumplimientos financieros.
• Seguridad.
• Y una larga lista de subcategorías.

Puede parecer organizado, pero demasiadas opciones también pueden confundir. Una clasificación inicial debería servir para orientar la gestión, no para condicionar prematuramente la investigación.

Un expediente puede empezar pareciendo un problema laboral y revelar posteriormente otra cuestión. Por eso es útil que la categoría pueda modificarse y que esos cambios queden registrados.

La estructura debería acompañar la información disponible, no obligar a encajar una situación compleja en una etiqueta definitiva desde el primer minuto.

También hay que prever las denuncias relacionadas

Dos comunicaciones llegan con pocos días de diferencia. Mencionan a las mismas personas, hablan del mismo departamento y los hechos parecen similares.

• ¿Se fusionan?
• ¿Se investigan por separado?
• ¿Se relacionan dentro del sistema?

Esta situación debería estar contemplada antes de que ocurra. Agrupar demasiado pronto puede mezclar hechos diferentes. Mantener dos investigaciones totalmente separadas puede terminar duplicando entrevistas, solicitudes de documentación y decisiones.

La herramienta debería permitir vincular expedientes sin perder el origen de cada comunicación. Y, sobre todo, debería poder documentarse por qué se tomó una decisión. Ese pequeño detalle resulta muy importante cuando meses después alguien necesita reconstruir qué ocurrió.

El correo electrónico no debería convertirse en el sistema real

Este es uno de los problemas más habituales. La empresa instala un canal seguro, recibe correctamente una denuncia y, a partir de ahí, toda la investigación se gestiona por correo electrónico.

• Se descarga un PDF.
• Se reenvía a tres personas.
• Una persona guarda una copia en su ordenador.
• Otra crea una carpeta compartida.

En pocas horas, la información ha abandonado el entorno donde estaban definidos los permisos y la trazabilidad. Al estudiar cómo implementar un canal de denuncias, conviene pensar también en qué ocurre después de recibir el formulario.

Siempre que sea posible, la documentación debería permanecer dentro del sistema o en espacios con controles equivalentes. Si resulta necesario compartir información fuera de él, debería existir un criterio claro sobre destinatarios, protección y eliminación posterior de copias.

En la guía sobre errores en el canal de denuncias interno se aprecia precisamente que muchos problemas aparecen después de recibir la comunicación, no en el formulario inicial.

La política escrita tiene que coincidir con la realidad

Un procedimiento puede estar impecablemente redactado y ser imposible de aplicar. Antes del lanzamiento merece la pena sentar a las personas que realmente van a gestionar el canal y recorrer un caso de principio a fin.

Por ejemplo:

“Entra una denuncia anónima contra un directivo el viernes a las 18:00.”

A partir de ahí:

• ¿Quién recibe la alerta?
• ¿Quién puede verla?
• ¿Quién decide si existe conflicto de interés?
• ¿Quién puede acceder durante el fin de semana?
• ¿Se necesita asesoramiento externo?
• ¿Quién registra la decisión?

Este tipo de simulaciones descubre problemas que una política leída sobre el papel puede ocultar. La documentación debería describir la organización que existe realmente, no una estructura ideal que luego nadie puede seguir.

Prepara también los mensajes al informante

La comunicación forma parte de la experiencia del canal. No debería improvisarse cada vez.

Conviene tener preparados modelos básicos para:

• acuse de recibo;
• solicitud de información adicional;
• aviso sobre documentación;
• comunicación de seguimiento;
• cierre.

Eso no significa enviar respuestas idénticas en todos los casos. Los modelos sirven como punto de partida y ayudan a evitar mensajes ambiguos o excesivamente informales cuando la persona encargada está bajo presión. También permiten revisar previamente qué información puede comunicarse y cuál debería permanecer dentro del expediente.

Revisa qué datos conservarás

La implantación también debe contemplar protección de datos y conservación en cómo implementar un canal de denuncias. Una denuncia puede incluir documentación irrelevante, información personal de terceros o archivos con muchos más datos de los necesarios.

El procedimiento debería explicar qué hacer con esa información y durante cuánto tiempo se conserva aquello que realmente forma parte del expediente.

No se trata de eliminar datos de forma precipitada, sino de evitar que el canal se convierta en un archivo permanente de información que nadie vuelve a revisar.Este criterio debería estar definido antes del lanzamiento, no cuando ya existen cientos de expedientes.

La comunicación interna importa más de lo que parece

Un canal que existe pero nadie conoce sirve de poco. Una vez preparado, debe comunicarse internamente de forma sencilla.

Las personas deberían saber:

• dónde está;
• para qué sirve;
• qué tipo de situaciones pueden comunicar;
• si permite anonimato;
• qué ocurre después de enviar una comunicación.

No hace falta utilizar lenguaje jurídico complejo. De hecho, cuanto más comprensible sea la explicación, mejor.

También conviene que la información permanezca accesible posteriormente y no dependa de un único correo enviado el día del lanzamiento.

Checklist de cómo implementar un canal de denuncias

Antes de considerar terminada la implantación, conviene revisar:

• Responsable del Sistema definido.
• Sustitución prevista ante ausencia o conflicto de interés.
• Usuarios y permisos revisados.
• Formulario probado desde ordenador y móvil.
• Flujo anónimo probado de principio a fin.
• Sistema de comunicación con el informante operativo.
• Avisos y plazos configurados.
• Criterio de clasificación inicial establecido.
• Procedimiento para relacionar expedientes.
• Política sobre exportaciones y copias externas.
• Modelos de comunicación preparados.
• Conservación y revisión de datos definidas.
• Canal incorporado correctamente a la web.
• Comunicación interna preparada.
• Caso ficticio completado desde recepción hasta cierre.

La lista puede adaptarse según el tamaño y estructura de cada empresa. Lo importante es que todos estos puntos tengan una respuesta antes de que aparezca el primer caso real.

Implementar bien significa poder gestionar un caso de principio a fin

La implantación no termina cuando aparece un nuevo enlace en la web. Un canal está realmente operativo cuando una comunicación puede recibirse, analizarse, asignarse, investigarse y cerrarse manteniendo confidencialidad y trazabilidad.

La tecnología facilita gran parte del trabajo, pero no sustituye las decisiones organizativas. Por eso, cuando una empresa se pregunta cómo implementar un canal de denuncias, probablemente la pregunta más útil no sea únicamente qué software contratar.

La pregunta es:

¿Qué ocurriría mañana si recibimos nuestra primera denuncia?

Si responsables, permisos, plazos, comunicaciones y criterios están claros, el sistema está preparado para funcionar. Si la respuesta depende de varias improvisaciones, todavía queda trabajo antes del lanzamiento.

Preguntas frecuentes