Canal interno de información: empresas obligadas y gestión de las investigaciones

Del buzón al sistema interno de información

La Ley 2/2023 no se limita a exigir una dirección de correo o una aplicación para recibir denuncias. Regula un Sistema interno de información integrado por el canal, un responsable, una política general y un procedimiento de gestión. El objetivo es que la organización pueda conocer y tratar de forma diligente determinadas infracciones sin desproteger a quien informa.

Un canal técnicamente sofisticado puede ser ineficaz si nadie sabe quién debe recibir la comunicación, cómo preservar la confidencialidad o qué pasos siguen a su admisión. La arquitectura jurídica y organizativa es tan importante como la herramienta.

Quiénes están obligados

En el sector privado están obligadas, con carácter general, las personas físicas o jurídicas que tengan contratadas cincuenta o más personas trabajadoras. También quedan incluidas determinadas entidades de sectores sometidos a normativa europea específica, con independencia de su plantilla, y organizaciones como partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones cuando reciban o gestionen fondos públicos.

Las entidades no obligadas pueden establecer voluntariamente un sistema. Si lo hacen bajo la Ley 2/2023, deben respetar sus requisitos y garantías. Los grupos de sociedades pueden compartir determinados recursos, aunque la gobernanza debe dejar claras las responsabilidades y la autonomía que corresponda a cada entidad.

Cómo pueden presentarse las comunicaciones

El canal de denuncias debe admitir comunicaciones escritas o verbales y permitir comunicaciones anónimas. A solicitud del informante, también debe posibilitar una reunión presencial dentro del plazo legal. Cuando una comunicación verbal se documenta mediante grabación o transcripción, deben respetarse las garantías de información y comprobación previstas en la ley.

La confidencialidad alcanza la identidad del informante, las personas mencionadas y las actuaciones de tramitación. También debe existir un circuito para las comunicaciones que lleguen por una vía incorrecta, evitando que circulen por personas no autorizadas.

La investigación interna

Recibir una información no equivale a dar por ciertos los hechos. La organización debe realizar una valoración inicial, delimitar el objeto, preservar documentos y entrevistar a las personas necesarias respetando los derechos de todas ellas. La persona afectada conserva su presunción de inocencia, su derecho de defensa y la protección de su identidad mientras se desarrolla la investigación.

El procedimiento debe prever el acuse de recibo, la comunicación con el informante, los plazos, los criterios de archivo y la remisión a las autoridades cuando existan indicios que lo justifiquen. La investigación no puede convertirse en una pesquisa ilimitada ni en un mecanismo para resolver conflictos laborales ajenos a su ámbito.

Protección de datos y conservación

El sistema trata información potencialmente muy sensible. Debe limitar los accesos, registrar las actuaciones, aplicar plazos de conservación proporcionados y suprimir los datos que no sean necesarios. La ley contempla un libro-registro de las informaciones y de las investigaciones, de carácter reservado.

Externalizar la gestión no traslada automáticamente toda la responsabilidad. El tercero actúa como encargado del tratamiento y debe existir un marco contractual y de seguridad conforme a la normativa de protección de datos.

Confianza y cultura organizativa

La prohibición de represalias es el eje del sistema. Si quienes trabajan con la organización creen que informar conducirá al aislamiento o al perjuicio profesional, el canal existirá sólo formalmente. También es necesario evitar su utilización abusiva y garantizar un examen objetivo de las comunicaciones.

Dentro de un sistema de compliance, la ausencia absoluta de comunicaciones puede reflejar falta de incidencias, pero también desconocimiento o desconfianza. La madurez se aprecia en la calidad del procedimiento, la proporcionalidad de las respuestas y la capacidad de aprender de los problemas detectados.