Caso práctico de canal de denuncias en empresa

Una empresa de 62 trabajadores recibe una comunicación interna: una persona denuncia posibles facturas falseadas por parte de un responsable de compras. Este caso práctico canal denuncias empresa muestra lo que ocurre cuando el sistema no se limita a un formulario, sino que está preparado para proteger a la organización, investigar con garantías y evitar errores que pueden derivar en sanciones o conflictos laborales.

La Ley 2/2023 obliga a muchas entidades a disponer de un Sistema interno de información. Sin embargo, cumplir no significa únicamente habilitar un correo electrónico. La empresa debe contar con una política aprobada, un responsable del sistema, un procedimiento de gestión, medidas de confidencialidad y una respuesta documentada ante cada comunicación recibida.

El punto de partida: una obligación que no admite improvisación

La sociedad del ejemplo supera los 50 trabajadores, por lo que debe implantar un canal interno de información conforme a la Ley 2/2023. También tienen esta obligación determinadas entidades públicas, partidos políticos, sindicatos, organizaciones empresariales y entidades que gestionan o reciben fondos públicos, aunque tengan menos plantilla.

Su dirección había creado meses antes una cuenta de correo genérica para que los empleados remitieran incidencias. No había una política interna, no se había nombrado responsable del sistema y varias personas podían acceder al buzón. En la práctica, aquello no era un canal de denuncias válido ni ofrecía garantías suficientes para quien informaba.

El problema se agravó cuando la denuncia llegó. El administrador quiso reenviarla de inmediato al responsable señalado para pedirle explicaciones. Esa reacción, aunque frecuente, puede comprometer la confidencialidad, alertar a la persona investigada y poner en riesgo las pruebas. También puede interpretarse como una gestión deficiente del expediente.

Caso práctico: canal de denuncias en empresa paso a paso

La primera decisión correcta fue detener la difusión interna del mensaje. La comunicación se registró con una referencia única y solo accedieron a ella las personas estrictamente autorizadas. El objetivo inicial no era determinar culpabilidades, sino preservar la información, valorar si los hechos entraban en el ámbito de la Ley 2/2023 y definir las actuaciones necesarias.

La denuncia indicaba que el responsable de compras podía estar aprobando pedidos a un proveedor vinculado personalmente con él, con precios superiores a los del mercado. Aportaba fechas, números de factura y el nombre de dos posibles testigos. La información era concreta y permitía abrir una investigación preliminar.

1. Acuse de recibo y protección de la persona informante

La empresa debía enviar un acuse de recibo en el plazo máximo de siete días naturales, salvo que ello pudiera comprometer la confidencialidad de la persona informante. En este caso se confirmó la recepción mediante el propio canal, sin pedir datos personales adicionales.

La persona denunciante había optado por no identificarse. Esto no impide tramitar la comunicación. Un canal bien implantado debe permitir denuncias anónimas y mantener una vía segura de contacto para solicitar aclaraciones o trasladar el resultado, sin obligar a revelar la identidad.

También se recordó internamente una cuestión esencial: están prohibidas las represalias contra quien informa de buena fe. Cambios injustificados de puesto, presiones, despidos, reducción de funciones o trato desfavorable pueden generar responsabilidades para la empresa. La protección no autoriza denuncias deliberadamente falsas, pero tampoco exige que todos los hechos comunicados terminen acreditándose.

2. Análisis inicial y conservación de evidencias

El responsable del sistema revisó la denuncia junto con asesoramiento jurídico y de protección de datos. Se acordó conservar copias de las facturas, pedidos, correos corporativos relacionados y registros de aprobación. Las evidencias debían preservarse sin realizar una revisión indiscriminada de información personal ajena al caso.

Aquí aparece una de las dificultades habituales. Investigar no permite acceder sin límite a los correos, dispositivos o datos de los trabajadores. La empresa debe actuar con necesidad, proporcionalidad y respeto a la normativa de protección de datos. Si existen protocolos internos sobre el uso de medios digitales, la investigación tendrá una base operativa más clara, pero cada actuación debe justificarse.

La investigación preliminar detectó que el proveedor había sido dado de alta poco antes de varias compras urgentes y que sus precios eran notablemente superiores a otras ofertas. No era prueba definitiva de fraude, pero sí un indicio suficiente para continuar.

3. Audiencia de la persona afectada

La empresa informó al responsable de compras de que existía una investigación sobre posibles irregularidades en determinados procesos de contratación. No se le entregó de forma automática la denuncia completa ni se reveló la identidad de la persona informante.

La persona afectada tiene derecho a conocer los hechos que se le atribuyen y a formular alegaciones. También debe respetarse su presunción de inocencia y su derecho de defensa. Proteger al informante no significa investigar sin garantías para la persona investigada.

En su declaración, el responsable reconoció una relación familiar indirecta con el proveedor, aunque negó haber recibido beneficio alguno. La empresa solicitó documentación adicional y entrevistó a los testigos identificados. Las entrevistas se documentaron de forma ordenada, limitada a los hechos relevantes y con acceso restringido.

4. Resolución dentro de plazo y medidas proporcionadas

El plazo máximo para dar respuesta a las actuaciones de investigación es de tres meses desde el acuse de recibo, ampliable hasta otros tres meses en casos de especial complejidad. Este plazo no aconseja cerrar expedientes con precipitación, pero tampoco permite dejarlos abiertos indefinidamente por falta de organización.

En el supuesto analizado, la investigación concluyó que no se acreditaba un pago ilícito, pero sí un incumplimiento grave de la política interna de conflictos de interés. El responsable había omitido declarar su vinculación con el proveedor y había intervenido en decisiones que debían haberse delegado.

La empresa adoptó una medida disciplinaria proporcionada conforme a su normativa laboral aplicable, revisó los contratos afectados y estableció un doble control para la aprobación de proveedores. Además, comunicó al informante, a través del canal, que el expediente se había gestionado y cerrado, sin facilitar datos personales ni detalles confidenciales sobre la sanción aplicada.

Qué falló antes de implantar correctamente el canal

Este ejemplo no se resuelve solo porque exista una denuncia. Se resuelve porque la empresa transforma un aviso sensible en un procedimiento controlado. Antes de regularizar su sistema, cometía errores frecuentes: un buzón sin control de accesos, ausencia de responsable designado, falta de información a la plantilla y ninguna pauta sobre conservación de datos.

Un canal interno de información debe estar integrado en la organización, no escondido en una carpeta compartida ni depender de la disponibilidad del administrador. La política debe explicar quién puede informar, qué hechos pueden comunicarse, cómo se protege la confidencialidad, qué derechos tienen las personas implicadas y cómo se tramitarán las investigaciones.

Además, el sistema debe ser accesible. No basta con informar a la plantilla mediante una circular única el día de su creación. Debe facilitarse el acceso desde la web corporativa cuando proceda, en la intranet o mediante los canales definidos para empleados y colaboradores. Las personas que puedan utilizarlo deben saber que existe y cómo funciona.

Las consecuencias de gestionar mal una denuncia

Ignorar una comunicación, revelar datos del informante o tolerar represalias puede tener un coste muy superior al de implantar el sistema correctamente. La Ley 2/2023 prevé sanciones relevantes. En infracciones muy graves, las personas jurídicas pueden enfrentarse a multas de hasta 1.000.000 de euros, junto con otras consecuencias como la prohibición de contratar con el sector público o la pérdida de beneficios fiscales, cuando proceda.

A esto se suma el riesgo laboral, reputacional y de protección de datos. Si una denuncia con información personal circula por correos sin control, la empresa puede exponerse a una incidencia de confidencialidad. Si sanciona a un trabajador sin una investigación mínimamente sólida, puede afrontar una impugnación. Y si no actúa ante indicios serios, el daño económico puede continuar durante meses.

No todos los casos exigen la misma profundidad. Una queja genérica sin hechos verificables puede archivarse de forma motivada. Una comunicación que apunte a fraude, acoso, corrupción, vulneraciones de seguridad o incumplimientos normativos requerirá actuaciones más estructuradas. Lo relevante es que la decisión quede documentada y sea defendible.

Cómo preparar su empresa antes de recibir la primera alerta

La mejor gestión de una denuncia empieza antes de que llegue. La empresa necesita aprobar su política, designar al responsable del sistema, implantar un canal confidencial que admita comunicaciones escritas y, cuando corresponda, verbales, y establecer un procedimiento de investigación realista para su tamaño.

También debe informar a trabajadores, directivos y posibles usuarios del sistema, limitar los accesos y coordinar el canal con sus obligaciones de protección de datos. Externalizar la gestión puede ser una alternativa eficaz para pymes que no disponen de estructura interna suficiente, siempre que mantengan el control de sus obligaciones y cuenten con un servicio especializado.

Un canal de denuncias bien diseñado no sirve para crear burocracia. Sirve para detectar problemas antes de que se conviertan en una sanción, un conflicto laboral o una pérdida económica difícil de reparar. Si su empresa está obligada o quiere implantar un sistema fiable, el momento adecuado para ordenarlo es antes de recibir una comunicación que no pueda permitirse gestionar mal.