Poner en marcha un canal de denuncias: lo que la mayoría de las empresas pasa por alto

La mayoría de las empresas que ponen en marcha un canal de denuncias resuelven bien la parte visible: hay un formulario o una dirección de correo, y está publicado en algún sitio. Las carencias suelen estar en todo lo que lo rodea. ¿Quién lee lo que llega? ¿Quién más puede verlo? ¿Quién puede usar el canal? ¿Y qué tiene que haber ocurrido antes del día 7 y antes del mes 3? Nadie nota esas carencias hasta que llega una denuncia real, y para entonces ya forman parte del problema.

A continuación, las diez más habituales. Para cada una: lo que suele pasar, por qué no basta y qué hacer en su lugar. Las referencias legales remiten a la Directiva europea de protección de los denunciantes (Directiva (UE) 2019/1937). Las empresas del Reino Unido no están sujetas a ella, pero sigue siendo la descripción más completa de un canal que funciona (véase Reino Unido frente a UE: qué se exige realmente y dónde). Al final encontrará una comprobación para su propio canal, con la forma de verificar cada punto.

1. Nadie en concreto es responsable

Lo que suele pasar: las denuncias llegan a un buzón compartido, o a «RR. HH.» en general, y todos dan por hecho que otra persona se está ocupando.

Por qué no basta: la Directiva exige una persona o departamento imparcial designado para el seguimiento de las denuncias (art. 9(1)(c)). Un buzón no es una persona. Una denuncia que pasa dos semanas sin leer porque tres personas creían, cada una, que otra se había hecho cargo ya ha incumplido el primer plazo.

Qué hacer: designe a la persona antes de publicar el canal en ningún sitio. Mejor aún, designe un pequeño grupo de dos o tres personas, para que las vacaciones y las bajas no dejen denuncias sin atender. Véase Designar quién gestiona las denuncias.

2. Nadie ha comprobado quién más puede ver las denuncias

Lo que suele pasar: la lista de personas que gestionan las denuncias es corta, pero las denuncias llegan igualmente a otros. Un administrador informático puede abrir cualquier buzón. El correo de aviso incluye la denuncia completa. La herramienta de formularios guarda los envíos en un espacio al que puede acceder media empresa.

Por qué no basta: el artículo 9(1)(a) exige que el canal se diseñe y gestione de forma segura, de modo que el personal no autorizado no pueda acceder a las denuncias. El artículo 16 protege la identidad del informante frente a cualquier persona ajena a la gestión de la denuncia. Eso tiene que garantizarlo el propio sistema, no depender de que todos los que tienen acceso sean cuidadosos.

Qué hacer: siga una denuncia de prueba desde su envío hasta su almacenamiento, y anote quién podría acceder a ella en cada paso, incluidos administradores, copias de seguridad y avisos por correo. Véase «¿Sirve un correo electrónico como canal de denuncias según la Ley 2/2023?» y «¿Se puede usar Google Forms como canal de denuncias?».

3. Solo se aceptan denuncias por escrito

Lo que suele pasar: un formulario web o una dirección de correo es todo el canal.

Por qué no basta: la propia Directiva permite recibir denuncias por escrito, verbalmente o de ambas formas (artículo 9(2)), y la Ley 2/2023 también deja elegir (art. 7.2), así que un canal solo escrito no es automáticamente no conforme. Pero otros derechos nacionales exigen más. Los Países Bajos imponen una vía verbal por teléfono o mensajería de voz, y el regulador italiano espera denuncias escritas y verbales. Alemania admite un canal solo escrito, pero exige una reunión presencial si el informante la solicita. Y en la práctica, hay personas que nunca pondrán una preocupación por escrito. La voz, además, plantea su propio problema: una grabación puede identificar a alguien aunque su nombre no figure en la denuncia.

Qué hacer: añada una opción de voz, decida cómo se protegerán las grabaciones e indique en su política cómo solicitar una reunión y quién la llevará a cabo. Véase Denuncias por voz y anonimización, explicadas de forma sencilla.

4. Solo los empleados saben que existe

Lo que suele pasar: el enlace está en la intranet o en el manual del empleado.

Por qué no basta: la protección de la Directiva va mucho más allá de la plantilla: autónomos, personal de proveedores, voluntarios y becarios, accionistas y consejeros no ejecutivos, candidatos a un puesto y antiguos empleados (art. 4). Que cada uno de estos grupos pueda usar su canal interno depende en parte del derecho nacional (art. 8(2)), pero todos pueden acudir directamente a una autoridad. Si no encuentran su canal, denunciarán fuera de la empresa.

Qué hacer: publique el canal en un lugar accesible desde fuera de la empresa, como su sitio web, y decida expresamente a qué grupos está abierto. Véase Quién está protegido en virtud de la Directiva.

5. Los plazos dependen de que alguien se acuerde

Lo que suele pasar: las fechas del acuse de recibo y de la retroalimentación se apuntan en la agenda de alguien, o en ninguna parte.

Por qué no basta: la Directiva fija dos plazos. La recepción debe acusarse en un plazo de 7 días (art. 9(1)(b)). La retroalimentación debe llegar en un plazo razonable, y como máximo 3 meses después del acuse de recibo (art. 9(1)(f)). Además, la retroalimentación tiene un significado concreto: informar al informante de las medidas adoptadas o previstas, y de sus motivos (art. 5(13)). «Lo estamos revisando» no cuenta.

Qué hacer: automatice el acuse de recibo, deje que el sistema controle la fecha de los 3 meses y le avise antes de que llegue, y prepare una retroalimentación que diga lo que realmente está pasando. Véase El plazo de 7 días / 3 meses para dar retroalimentación, explicado.

6. No se puede volver a contactar con un informante anónimo

Lo que suele pasar: el canal recibe una denuncia anónima, pero nada vuelve en sentido contrario. Un formulario web no tiene función de respuesta, y una cuenta de correo anónima suele abandonarse después de un solo mensaje.

Por qué no basta: los plazos de la Directiva dan por hecho una conversación. Se acusa recibo en 7 días (art. 9(1)(b)), el seguimiento es diligente (art. 9(1)(d)), lo que normalmente supone hacer preguntas al informante, y la respuesta llega en 3 meses (art. 9(1)(f)). Estas obligaciones se aplican a las denuncias anónimas que acepte igual que a las identificadas, y en España aceptarlas es obligatorio (art. 7.3 de la Ley 2/2023). Un canal que solo puede llegar al informante a través de sus datos de contacto le obliga a elegir entre el anonimato y la respuesta, y muchos optarán por no denunciar.

Qué hacer: dé a cada informante una forma de volver a su caso que no dependa de sus datos de contacto, como una referencia del caso con la que lea los mensajes y responda. Si su canal no lo permite, dígalo con claridad donde se denuncia y ofrezca una vía de contacto opcional. Véase Denuncia anónima o identificada.

7. No se informa a los informantes de cómo acudir a las autoridades

Lo que suele pasar: la política explica cómo denunciar internamente y ahí se queda.

Por qué no basta: el artículo 9(1)(g) exige información clara y fácilmente accesible sobre los procedimientos de denuncia externa ante las autoridades competentes. Las empresas suelen omitirla porque les parece que están mandando a la gente a otro sitio. Pero es una parte obligatoria del procedimiento, y un informante que confía en su canal normalmente lo usará primero de todos modos.

Qué hacer: indique las autoridades competentes de cada país en el que opera, e incluya esa información en su política y junto al canal. Véase Denuncia interna, externa y pública, explicada.

8. No hay plan para una denuncia sobre quien gestiona las denuncias

Lo que suele pasar: todas las denuncias van a la misma persona, incluida una denuncia sobre esa persona, su responsable o su propio equipo.

Por qué no basta: el artículo 9(1)(c) exige que quien haga el seguimiento sea imparcial. Nadie es imparcial ante una denuncia sobre sí mismo, por buenas que sean sus intenciones.

Qué hacer: designe en su política un contacto alternativo, como un miembro de la dirección, la presidencia del consejo de administración o un asesor externo, e indique a los informantes que acudan directamente a él si su denuncia afecta a quien gestiona las denuncias. Decídalo ahora. Si espera a que llegue una denuncia así, esa persona ya la habrá visto.

9. No se consultó a la representación de los trabajadores (UE)

Lo que suele pasar: la dirección elige el canal y lo pone en marcha sin contar con nadie más.

Por qué no basta: el artículo 8(1) establece que los canales internos se crean previa consulta a los interlocutores sociales y, cuando así lo prevea el derecho nacional, de acuerdo con ellos. En España, la Ley 2/2023 exige consultar previamente a la representación legal de las personas trabajadoras. En Alemania, el comité de empresa tiene derechos de cogestión sobre el funcionamiento del canal, y en Francia debe consultarse al CSE antes de aprobar el procedimiento. Saltarse este paso puede dejar el canal expuesto a impugnaciones, aunque todo lo demás esté bien.

Qué hacer: compruebe qué exige la ley de su país antes del lanzamiento, y reserve tiempo para ello. Véase La Ley 2/2023 española, explicada, así como los casos de Alemania y Francia.

10. No hay ninguna regla sobre cuánto tiempo se conservan los registros

Lo que suele pasar: las denuncias y los expedientes se conservan indefinidamente, o se borran cuando alguien decide hacer limpieza.

Por qué no basta: el artículo 18 exige llevar un registro de todas las denuncias, conservado solo durante el tiempo necesario y proporcionado. El artículo 17 añade la normativa de protección de datos: no deben conservarse los datos personales que no sean necesarios. Guardarlo todo para siempre y borrar demasiado pronto son dos fallos. También necesita una forma de detener el borrado cuando un caso puede acabar en los tribunales.

Qué hacer: fije plazos de conservación según cómo termine cada caso, borre automáticamente cuando venzan y prevea una forma de bloquear un caso. Véase Elegir una política de conservación.

Compruebe su propio canal

En cada pregunta, la segunda línea indica cómo averiguarlo. Si no puede responder a alguna, cuéntela como un «no».

1. ¿Puede nombrar a la persona que leerá la próxima denuncia, y a quién la sustituye?

   Pregunte quién abrió la última denuncia, y quién lo habría hecho si hubiera estado de vacaciones.

2. ¿Ha enumerado a todas las personas que pueden ver técnicamente una denuncia?

   Envíe una denuncia de prueba y sígala: buzón o formulario, notificaciones, hojas de cálculo, administradores que pueden restablecer contraseñas o buscar en el correo, copias de seguridad.

3. ¿Se puede denunciar verbalmente y pedir una reunión presencial?

   Lea su política como alguien que no quiere escribir nada. ¿Hay un número al que llamar, y una persona designada para las reuniones?

4. ¿Puede un autónomo, un proveedor o un antiguo empleado encontrar el canal?

   Búsquelo en su web pública sin haber iniciado sesión.

5. ¿Se controlan los plazos de 7 días y 3 meses, con un aviso antes de que venza alguno?

   Para su última denuncia, localice la fecha del acuse de recibo y el vencimiento de la respuesta.

6. ¿Puede volver a contactar con un informante anónimo?

   Envíe una denuncia de prueba sin datos de contacto e intente hacerle una pregunta.

7. ¿Indica su política cómo acudir a las autoridades?

   Compruebe que nombra a la autoridad competente de cada país en el que opera, como la A.A.I. en España.

8. ¿Indica su política adónde debe ir una denuncia sobre quien gestiona las denuncias?

   Compruebe que el contacto alternativo está nombrado y es accesible sin pasar por esa persona.

9. ¿Se consultó a la representación de los trabajadores, donde su país lo exige?

   Localice el acta o el documento de la consulta.

10. ¿Tiene períodos de conservación para los casos cerrados, y una forma de suspender uno?

    Localice el caso cerrado más antiguo que conserva, y la regla que justifica que siga ahí.

Cada «no» es una carencia que conviene cerrar antes de la próxima denuncia, no después.

¿Usa una dirección de correo o un formulario? Ahí empiezan la mayoría de estas carencias. Repase las comprobaciones específicas de su canal en «¿Sirve un correo electrónico como canal de denuncias según la Ley 2/2023?» o «¿Se puede usar Google Forms como canal de denuncias?», con una solución para cada carencia que encuentre.

Cuándo hacerlo

Si está en la UE y tiene 50 o más trabajadores, el canal ya es una obligación legal (véase El umbral de 50 empleados, explicado). Por debajo de ese umbral, o en el Reino Unido, no hay una fecha fija. El momento de estar preparado es antes de la primera denuncia seria, porque un canal montado deprisa después de que una preocupación haya salido a la luz de manera informal suele tener la mayoría de las carencias anteriores.

Cómo cierra Provoxis estas carencias

Tres de estos puntos son decisiones que solo usted puede tomar: quién gestiona las denuncias (1), adónde va una denuncia sobre quien las gestiona (8) y a quién consulta (9). Provoxis cierra el resto:

Cada actuación en un caso queda anotada en el registro de auditoría, y las denuncias se alojan en la UE (o en el Reino Unido para clientes de allí), cifradas en reposo y en tránsito. La puesta en marcha es autónoma con una lista de comprobación guiada, el precio es una cuota mensual fija (véase precios) y hay una prueba gratuita de 30 días.

Fundamento jurídico

Todas las referencias remiten a la Directiva (UE) 2019/1937.

• Art. 4: a quién protege la Directiva, incluidas personas ajenas a la plantilla del empleador.
• Art. 5(13): qué significa «retroalimentación».
• Art. 6(2): la obligación de admitir denuncias anónimas se deja a cada Estado miembro.
• Art. 8(1): la creación de canales internos previa consulta a los interlocutores sociales, cuando así lo prevea el derecho nacional.
• Art. 8(2): a quién deben, y pueden, estar abiertos los canales internos.
• Art. 9(1)(a)–(g): diseño seguro, acuse de recibo en 7 días, una persona o departamento imparcial designado, seguimiento diligente, retroalimentación en 3 meses e información sobre la denuncia externa.
• Art. 9(2): denuncias por escrito, verbales o de ambas formas; la verbal por teléfono o mensajería de voz, y una reunión presencial a petición del informante.
• Art. 16: confidencialidad de la identidad del informante.
• Art. 17 y 18: tratamiento de datos personales y registro de las denuncias.