Requisitos de un canal de denuncias efectivo

Una comunicación ignorada, filtrada o resuelta fuera de plazo puede convertir una incidencia interna en un problema legal, laboral y reputacional. Por eso, cumplir los requisitos de un canal de denuncias efectivo no consiste en habilitar un correo electrónico o instalar un formulario: exige crear un sistema que permita informar con seguridad, investigar con criterio y actuar dentro de los plazos previstos por la Ley 2/2023.

Para muchas pymes, asociaciones y entidades, el error empieza al pensar que el canal es solo una obligación documental. No lo es. Es un procedimiento operativo que debe funcionar cuando aparece una alerta sobre fraude, acoso, protección de datos, prevención de riesgos laborales, conflictos de interés u otros incumplimientos. Si nadie sabe quién recibe la comunicación, cómo se protege al informante o cuándo debe contestarse, el sistema no cumple su función.

¿Quién debe disponer de un canal interno?

La Ley 2/2023 obliga, con carácter general, a implantar un Sistema Interno de Información a las empresas con 50 o más trabajadores. También deben disponer de él determinadas entidades públicas, partidos políticos, sindicatos, organizaciones empresariales, fundaciones vinculadas a ellos y entidades privadas que operen en ámbitos expresamente regulados, con independencia de su plantilla en algunos supuestos.

Las entidades de entre 50 y 249 trabajadores pueden compartir medios para gestionar las comunicaciones, siempre que se mantengan las garantías legales de independencia, confidencialidad y tratamiento adecuado de cada caso. Esta posibilidad puede reducir costes, pero no permite diluir responsabilidades ni dejar las denuncias sin una gestión identificable.

Aunque una microempresa no esté obligada por número de trabajadores, implantar un canal puede ser una decisión conveniente. Un mecanismo ordenado para comunicar irregularidades ayuda a detectar problemas antes de que lleguen a inspecciones, conflictos judiciales o denuncias externas. Ahora bien, si se implanta voluntariamente, también debe hacerse correctamente: un canal aparente genera expectativas y riesgos que la organización debe poder atender.

Requisitos de un canal de denuncias efectivo según la Ley 2/2023

El punto de partida es contar con un Sistema Interno de Información aprobado formalmente por el órgano de administración u órgano de gobierno. No basta con que una persona de recursos humanos reciba mensajes de forma informal. Debe existir una decisión organizativa, una política o estrategia que defina el sistema y un procedimiento de gestión accesible para las personas que puedan utilizarlo.

Un responsable con autonomía real

La entidad debe designar a un Responsable del Sistema. Puede ser una persona física o un órgano colegiado, pero debe desarrollar sus funciones con independencia y contar con los medios necesarios. En una empresa pequeña, una misma persona puede asumir varias funciones, siempre que no exista un conflicto de interés que comprometa la investigación.

La designación no debe ser meramente nominal. El responsable necesita saber qué comunicaciones recibe, poder solicitar información, coordinar actuaciones y proponer medidas. Si la dirección interviene en todos los casos sin ningún control, especialmente cuando la comunicación afecta a mandos o administradores, se pone en duda la imparcialidad del sistema.

La gestión puede externalizarse. Esta alternativa resulta especialmente útil para organizaciones que no tienen estructura jurídica o de cumplimiento propia. Sin embargo, externalizar la recepción o la tramitación no elimina la responsabilidad de la entidad obligada: la empresa debe conservar el control del sistema y designar a su Responsable del Sistema.

Canales accesibles, confidenciales y seguros

Un canal efectivo debe permitir comunicaciones por escrito y, si el informante lo solicita, también de forma verbal o mediante reunión presencial dentro del plazo legal. Puede articularse a través de una plataforma, correo habilitado, buzón u otros medios, pero debe garantizar que la información llegue exclusivamente a las personas autorizadas.

La confidencialidad es una exigencia central. Debe protegerse la identidad del informante, de las personas afectadas y de terceros mencionados en la comunicación. El acceso indiscriminado de administración, mandos intermedios o personal no autorizado es uno de los fallos más frecuentes y más peligrosos.

El sistema debe admitir comunicaciones anónimas. Una denuncia anónima no equivale a una denuncia sin valor. Puede contener datos verificables, documentos, fechas, nombres o hechos concretos que permitan iniciar comprobaciones. La organización debe analizar su contenido con objetividad, sin exigir al informante que revele su identidad para ser escuchado.

Procedimiento escrito y plazos que se cumplan

El procedimiento de gestión debe explicar, de forma clara, cómo se recibe, registra, analiza e investiga una comunicación. También debe prever cómo se informa al comunicante y cómo se protege el derecho de defensa de la persona afectada.

Tras recibir una comunicación, debe enviarse acuse de recibo en un plazo máximo de siete días naturales, salvo que ello pudiera comprometer la confidencialidad. La respuesta o resolución debe producirse, con carácter general, en un máximo de tres meses desde el acuse de recibo. En casos de especial complejidad, el plazo puede ampliarse hasta un máximo de seis meses.

Cumplir estos plazos requiere organización previa. No sirve establecerlos en un documento si no hay responsables, criterios de clasificación, protocolos de investigación y vías para solicitar aclaraciones. La plataforma o el canal elegido debe facilitar una comunicación segura con el informante, incluso cuando este haya decidido mantenerse en el anonimato.

Prohibición de represalias y protección efectiva

El canal debe incluir medidas claras contra las represalias. Despidos, sanciones, cambios injustificados de funciones, reducción salarial, trato desfavorable, amenazas o daños reputacionales pueden constituir represalias cuando se relacionan con una comunicación realizada de buena fe y dentro del ámbito de la ley.

La protección no es absoluta para cualquier mensaje. La Ley 2/2023 protege a quien comunica información sobre infracciones obtenida en un contexto laboral o profesional y tiene motivos razonables para pensar que esa información era veraz. Las comunicaciones deliberadamente falsas no quedan amparadas. Aun así, la empresa no puede utilizar esta excepción como excusa para desacreditar automáticamente una alerta incómoda.

También deben protegerse las personas afectadas. Antes de adoptar una medida disciplinaria o formular conclusiones, es necesario respetar la presunción de inocencia, permitir alegaciones y evitar difundir acusaciones no comprobadas. Un canal bien gestionado protege tanto a quien informa como a quien puede verse injustamente señalado.

Protección de datos desde el diseño

Las comunicaciones internas suelen contener datos personales especialmente sensibles: identificaciones, hechos laborales, documentos, testimonios e incluso información sobre salud o conductas potencialmente delictivas. Por ello, el canal debe ajustarse al RGPD, a la LOPDGDD y a las previsiones específicas de la Ley 2/2023.

La información debe conservarse solo durante el tiempo necesario. Como regla general, los datos personales deben eliminarse del sistema de información transcurridos tres meses desde la recepción de la comunicación, salvo que su conservación sea necesaria para dejar evidencia del funcionamiento del sistema. Si se abre una investigación, los datos podrán tratarse fuera del canal en el expediente correspondiente, aplicando las medidas y plazos que procedan.

Es imprescindible limitar accesos, registrar actuaciones, informar correctamente a las personas interesadas y formalizar las garantías necesarias cuando intervengan proveedores externos. Utilizar cuentas de correo compartidas, hojas de cálculo sin control de permisos o aplicaciones de mensajería personal es una práctica difícil de defender ante una inspección o una reclamación.

Errores que convierten el canal en un riesgo

El primer error es confundir un buzón de sugerencias con un canal interno de información. Un correo genérico sin procedimiento, sin responsable y sin medidas de seguridad no acredita el cumplimiento de la Ley 2/2023.

El segundo es aprobar una política y no comunicarla. Trabajadores, candidatos, autónomos, proveedores, exempleados y otras personas vinculadas profesionalmente con la entidad deben poder conocer la existencia del canal y cómo utilizarlo. La información debe ser visible, comprensible y estar disponible de forma permanente.

El tercero es investigar sin método. Una denuncia no se resuelve preguntando informalmente a la persona afectada o compartiendo capturas en un grupo interno. Hay que preservar evidencias, documentar decisiones, restringir accesos y valorar los hechos con proporcionalidad. En asuntos de acoso, fraude o protección de datos, una actuación improvisada puede agravar el daño y dificultar cualquier defensa posterior.

Por último, muchas organizaciones olvidan que la autoridad competente puede exigir pruebas de que el sistema existe y funciona. La falta de canal cuando es obligatorio, la vulneración de la confidencialidad o la adopción de represalias pueden dar lugar a sanciones relevantes. Para personas jurídicas, las infracciones muy graves pueden alcanzar hasta un millón de euros, además de otras consecuencias administrativas y reputacionales.

Cómo implantar el sistema sin añadir carga innecesaria

La implantación debe adaptarse al tamaño, actividad y estructura de cada entidad. Una pyme no necesita reproducir el modelo burocrático de una gran corporación, pero sí debe cumplir las garantías esenciales. El proceso comienza revisando si existe obligación legal, quiénes pueden comunicar, qué riesgos son más habituales y qué persona u órgano puede asumir la responsabilidad con independencia.

A continuación, conviene aprobar la política del sistema, designar formalmente al Responsable del Sistema, habilitar un canal seguro y redactar el procedimiento de gestión. Después hay que informar a la plantilla y a los demás potenciales informantes, formar a quienes intervengan en la tramitación y revisar periódicamente que los plazos y controles se cumplen.

Una solución externalizada puede aportar confidencialidad, trazabilidad y apoyo técnico sin obligar a la empresa a crear un departamento propio. Consultoría Rosario Polo acompaña este proceso con una visión práctica: implantar lo exigido por la norma, documentarlo correctamente y evitar que el canal se convierta en otra tarea administrativa que nadie sabe gestionar.

El mejor momento para ordenar un canal de denuncias no es cuando llega una comunicación grave. Es antes, cuando la empresa todavía puede definir responsables, proteger datos y establecer un procedimiento que responda con seguridad cuando realmente haga falta.