Designar quién gestiona las denuncias

Un canal no basta por sí solo — la ley exige una persona

Es posible montar un formulario de envío y aun así no tener un canal conforme, porque la Directiva no solo exige un lugar donde puedan llegar las denuncias — exige a alguien responsable de lo que ocurre después. El art. 9(1)(c) exige "la designación de una persona o departamento imparcial que sea competente para seguir las denuncias... que mantendrá la comunicación con el informante y, en caso necesario, solicitará a este información adicional y le dará respuesta." Un formulario sin nadie claramente responsable de él satisface la letra de "tenemos un canal" mientras pasa por alto para qué sirve realmente ese canal.

La misma persona o departamento puede tanto recibir denuncias como hacer su seguimiento — la Directiva no exige dos funciones separadas —, pero quien sea tiene que estar designado por su nombre, ser imparcial y contar realmente con los recursos para hacer el trabajo de seguimiento, no solo estar asignado de forma nominal.

Interno o externalizado — ambos están explícitamente permitidos

Esta es una decisión genuinamente abierta, no algo hacia lo que la Directiva le empuje en una dirección concreta. El art. 8(5) es explícito: los canales de denuncia "podrán gestionarse internamente por una persona o departamento designados al efecto o podrán ser proporcionados externamente por un tercero." Ambas son opciones legítimas:

• Interno. Alguien dentro de la empresa — a menudo RR. HH., el departamento legal, o un responsable de cumplimiento — gestiona las denuncias directamente. Ya conoce el contexto de la organización, a sus personas y su historia, lo que hace el seguimiento más rápido y mejor informado. La contrapartida es la independencia: cuanto más pequeña es la empresa, más difícil es encontrar a alguien sin ninguna cercanía con quien pueda acabar siendo denunciado.
• Externalizado. Un defensor del pueblo externo, un despacho de abogados o un proveedor especializado gestiona las denuncias (o al menos su triaje inicial) en lugar del personal interno. Esto compra una distancia genuina respecto a la política interna y a las líneas jerárquicas, al coste de que alguien menos familiarizado con el contexto propio de la organización tenga que ponerse al día en cada caso.

Ninguna de las dos opciones tiene que ver con el software que use para gestionar el canal — una empresa puede usar una plataforma específicamente diseñada para ello y aun así gestionar cada caso internamente, o usar la misma plataforma y derivar los casos a un gestor externo. La herramienta y la decisión de gestión son cosas separadas.

Qué descarta "imparcial" en la práctica

"Imparcial" es la palabra clave del art. 9(1)(c), y tiene una implicación práctica que conviene pensar antes de que una denuncia real la ponga a prueba: quien se designe no debería ser alguien que acabara investigando su propia conducta, o la de su superior directo. En una empresa que acaba de superar el umbral de 50 empleados, esto suele ser genuinamente difícil — un equipo directivo pequeño significa un grupo limitado de personas sin ningún conflicto de interés plausible. Ese es frecuentemente el momento exacto en el que las empresas deciden traer a un gestor externo, al menos para los casos donde es probable un conflicto interno, aunque la mayoría de las denuncias se sigan gestionando internamente.

Cuántas personas deberían tener acceso realmente

Hay un segundo equilibrio que encontrar, distinto de la imparcialidad: el tamaño del grupo designado. Cuanto más pequeño, generalmente mejor para la confidencialidad — la exigencia del art. 9(1)(a) de que un canal "impida el acceso a ella al personal no autorizado" es más fácil de garantizar de verdad cuantas menos personas estén en la lista. Pero un único gestor designado es un punto único de fallo: una enfermedad, una baja, un conflicto de interés en un caso concreto, o simplemente estar desbordado pueden dejar denuncias genuinamente desatendidas. Un grupo designado de dos o tres personas, con una cobertura de respaldo clara, es un mínimo más realista que una sola persona para la mayoría de las empresas que cruzan el umbral.

Cómo encaja Provoxis en esta decisión

Provoxis no toma esta decisión por usted — quiénes son sus gestores es una decisión organizativa que la empresa tiene que tomar independientemente de la plataforma que tenga debajo, ya recaiga en una persona, un pequeño equipo interno, o un proveedor externo añadido como gestor en la plataforma. Lo que Provoxis hace es reforzar el límite una vez tomada esa decisión: solo el personal que una empresa ha añadido explícitamente como gestores o administradores puede ver los datos de un informante identificado, el registro de auditoría anota cada vez que alguno de ellos abre una denuncia, y el acceso no es algo que pueda persistir silenciosamente a través de una contraseña compartida o una regla de reenvío olvidada, como sí puede ocurrir con un buzón compartido.

Fundamento jurídico

• Art. 9(1)(c), Directiva (UE) 2019/1937 — la exigencia de designar una persona o departamento imparcial competente para el seguimiento de las denuncias.
• Art. 8(5) — los canales de denuncia interna pueden gestionarse internamente por una persona o departamento designados, o proporcionarse externamente por un tercero.
• Art. 9(1)(a) — la exigencia de que los canales estén diseñados y operados para impedir el acceso del personal no autorizado, la base para mantener deliberadamente reducido el grupo designado.