Cómo implantar el canal de denuncias obligatorio en tu empresa
Si tu empresa tiene 50 o más trabajadores, estás obligada por la Ley 2/2023 a tener un sistema interno de información, lo que todo el mundo llama canal de denuncias, y no basta con poner un correo electrónico en la intranet. La ley exige un procedimiento aprobado por el órgano de administración, un responsable designado, plazos de respuesta concretos y garantías de confidencialidad que hay que poder demostrar.
Quién está obligado y desde cuándo
La Ley 2/2023, de 20 de febrero, que traspone al ordenamiento español la Directiva (UE) 2019/1937, fija estas obligaciones:
- Empresas privadas con 250 o más trabajadores: obligadas desde el 13 de junio de 2023.
- Empresas privadas de 50 a 249 trabajadores: obligadas desde el 1 de diciembre de 2023.
- Todas las entidades del sector público, con independencia de su tamaño.
- Sujetos obligados por normativa específica, como los de prevención del blanqueo de capitales o los de seguridad en el transporte, aunque tengan menos de 50 empleados.
Es decir: los plazos ya vencieron. Si todavía no lo tienes, no estás «preparándote para una novedad», estás incumpliendo una obligación en vigor. Y no, no vale el buzón de sugerencias ni el correo de recursos humanos: la ley pide un sistema con unas características muy determinadas.
Qué tiene que permitir el canal
El sistema interno de información tiene que admitir comunicaciones por escrito, verbalmente o de las dos formas. Verbal incluye la vía telefónica o un sistema de mensajería de voz y, si la persona informante lo pide, una reunión presencial que debe celebrarse en un plazo máximo de siete días.
Además debe permitir comunicaciones anónimas. Este punto sorprende a mucha dirección, pero es así: el canal tiene que poder recibir información sin que el informante se identifique, y aun así permitir que se le pidan aclaraciones. Eso, en la práctica, obliga a una herramienta con buzón seguro y código de seguimiento; con un correo electrónico corriente no se puede hacer.
El canal debe estar accesible también para quien no es empleado: antiguos trabajadores, personas en proceso de selección, autónomos, contratistas, proveedores y sus trabajadores. Por eso lo habitual es publicarlo en la web corporativa, en un lugar visible y de acceso directo.
Los plazos que marca la ley
| Trámite | Plazo legal |
|---|---|
| Acuse de recibo al informante | 7 días naturales desde la recepción |
| Reunión presencial solicitada por el informante | 7 días |
| Respuesta sobre las actuaciones realizadas | 3 meses desde el acuse de recibo |
| Ampliación en casos de especial complejidad | Hasta 3 meses adicionales, comunicándolo al informante |
| Supresión de datos si no procede iniciar actuaciones | 3 meses, salvo constancia anonimizada |
Estos plazos son el motivo por el que un canal improvisado acaba mal. Si las comunicaciones llegan a un buzón que se revisa cuando alguien se acuerda, el acuse de recibo de siete días se incumple sin que nadie se entere. Un sistema decente los cuenta solo y avisa.
El responsable del sistema y la política interna
La ley exige nombrar a un responsable del sistema interno de información, designado por el órgano de administración o de gobierno, que ejerza sus funciones con independencia y no pueda recibir instrucciones sobre cómo tramitar cada caso. Puede ser una persona de la empresa o un tercero externo, y su nombramiento debe notificarse a la Autoridad Independiente de Protección del Informante.
Junto al nombramiento, hace falta una política del sistema interno de información aprobada por el órgano de administración, que explique con claridad cómo se comunica, quién tramita, qué plazos hay, cómo se protege la confidencialidad y qué garantías tiene quien informa. Este documento es lo primero que se pide en una inspección, y es también lo que da credibilidad al canal ante la plantilla.
Añade a la lista un libro-registro de las informaciones recibidas y de las investigaciones internas, confidencial y accesible solo a petición de la autoridad judicial competente.
Confidencialidad y protección de datos, el punto delicado
La identidad del informante es confidencial y no puede comunicarse a la persona afectada ni a nadie ajeno a la tramitación. Eso condiciona el diseño técnico: accesos restringidos al responsable y a quien él designe, registro de quién entra y cuándo, cifrado de la información y separación estricta de estos expedientes respecto del resto de sistemas de la empresa. Si el canal lo gestiona un tercero, hay contrato de encargado de tratamiento con las garantías del RGPD.
La otra cara es la prohibición de represalias. La ley protege al informante frente a suspensión, despido, cambio de funciones, cambio de horario o cualquier trato desfavorable derivado de haber informado, y esa protección alcanza a quien le ayuda y a sus compañeros o familiares en la empresa. Conviene que el procedimiento interno lo diga expresamente.
Herramienta estándar o desarrollo propio
Hay dos vías razonables para montarlo, y la elección depende del tamaño y de la estructura de tu organización.
| Opción | Cuándo encaja | Qué tener en cuenta |
|---|---|---|
| Plataforma estándar en la nube | Empresa de una sola sociedad, volumen bajo de comunicaciones, sin requisitos particulares. | Comprueba el anonimato real, la ubicación de los datos y que te permita exportar el libro-registro. |
| Canal integrado en tu web corporativa a medida | Grupos con varias sociedades o marcas, entidades con canal en varios idiomas, empresas que ya tienen portal propio. | Te permite controlar el diseño, la accesibilidad y la trazabilidad, y mantener los datos donde tú decidas. |
Un grupo con varias sociedades, por ejemplo, puede compartir medios y recursos para la gestión del canal, pero cada entidad obligada debe tener su sistema y su responsable identificados. Si tenéis tres marcas y una sola web, esto se resuelve en el diseño del portal, no a posteriori.
Errores que dejan el canal en papel mojado
- Esconderlo. Si hay que navegar cuatro niveles para encontrarlo, la ley de accesibilidad del canal no se cumple y, sobre todo, nadie lo usa.
- Que lo gestione quien puede ser denunciado. Nombrar responsable al director al que apuntan la mitad de las quejas invalida el sistema.
- No admitir el anonimato. Es un requisito, no una opción.
- No dejar rastro. Sin registro de fechas y actuaciones no puedes demostrar que cumpliste los plazos.
- Olvidar la formación. La plantilla tiene que saber que existe, para qué sirve y que informar no tiene consecuencias.
Lo que hay en juego no es menor: las infracciones muy graves pueden sancionarse con multas de hasta 1.000.000 de euros para personas jurídicas, con tramos de hasta 600.000 euros para las graves y hasta 100.000 para las leves, y hasta 300.000 euros en el caso de personas físicas.
Cómo empezar sin complicarte
En resumen: comprueba si estás obligado, nombra al responsable, aprueba la política, publica el canal en un lugar visible de tu web, garantiza el anonimato y la confidencialidad, y monta el control de plazos. Con eso cumples y, de paso, te enteras de cosas de tu empresa que de otro modo no llegarían nunca a dirección.
En Tangram Consulting desarrollamos webs corporativas y aplicaciones a medida, y el canal de denuncias es una de las piezas que integramos en ellas cuando la empresa quiere tenerlo bajo su propio control y con su propia imagen. Cuéntanos cómo tenéis montado hoy el canal y te decimos qué te falta para cumplir sin montar un proyecto interminable.