Cómo implantar canal de denuncias sin errores

Una comunicación mal gestionada puede convertirse en una sanción, un conflicto laboral o un problema reputacional difícil de reparar. Saber cómo implantar canal de denuncias no consiste simplemente en habilitar un correo electrónico o comprar una aplicación: exige crear un Sistema interno de información que cumpla la Ley 2/2023, proteja a las personas informantes y permita investigar con garantías.

Para una pyme, una asociación, una fundación o una comunidad obligada, el objetivo debe ser claro: cumplir la norma sin añadir una carga administrativa innecesaria. La implantación debe ser jurídica, práctica y proporcional al tamaño y actividad de la organización.

¿Qué empresas deben implantar un canal de denuncias?

La Ley 2/2023 obliga, con carácter general, a disponer de un Sistema interno de información a las entidades privadas que tengan 50 o más personas trabajadoras. El cálculo debe hacerse con rigor, ya que no basta con revisar la plantilla de un momento concreto: debe atenderse al promedio de trabajadores conforme a los criterios laborales aplicables.

También existen entidades obligadas aunque no alcancen ese umbral. Es el caso de determinados sujetos vinculados a la prevención del blanqueo de capitales, así como de partidos políticos, organizaciones sindicales y empresariales, y fundaciones que reciban o gestionen fondos públicos en los supuestos previstos legalmente.

No obstante, una empresa de menos de 50 trabajadores puede decidir implantarlo de forma voluntaria. Es una decisión especialmente recomendable cuando existen riesgos de fraude, contratación pública, subvenciones, tratamiento intensivo de datos personales, relaciones con proveedores o una plantilla con varios centros de trabajo. Tener un cauce ordenado para comunicar irregularidades permite detectar problemas antes de que lleguen a una inspección, a un juzgado o a la opinión pública.

Cómo implantar canal de denuncias paso a paso

La Ley 2/2023 no exige solo un buzón. Exige un sistema completo, con responsables, normas de uso, plazos, confidencialidad y capacidad real de investigación. Estos son los pasos que deben abordarse.

1. Analizar si existe obligación y qué riesgos deben cubrirse

El primer paso es determinar si la entidad está obligada y qué tipo de informaciones pueden recibirse. El canal está previsto para comunicar acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, infracciones penales o infracciones administrativas graves o muy graves.

No debe presentarse como un canal genérico para cualquier queja cotidiana. Un desacuerdo sobre vacaciones, salario o la organización del trabajo puede requerir una vía interna diferente, salvo que los hechos revelen una infracción incluida en el ámbito de la Ley. Definir bien el alcance evita frustración en la plantilla y actuaciones improcedentes.

2. Aprobar una política interna clara

El órgano de administración u órgano de gobierno debe aprobar una política o procedimiento que explique cómo funciona el Sistema interno de información. Este documento debe ser comprensible y accesible para trabajadores, directivos, proveedores, colaboradores y otras personas que puedan conocer una irregularidad en el contexto profesional.

La política debe indicar qué hechos pueden comunicarse, qué medios están disponibles, cómo se protege la identidad del informante, cómo se investigarán los hechos y qué derechos tienen las personas afectadas. Antes de implantar o modificar el sistema, debe realizarse la consulta con la representación legal de las personas trabajadoras cuando exista.

Copiar un protocolo estándar sin adaptarlo a la empresa es un error frecuente. Una organización pequeña no necesita el mismo circuito de investigación que una entidad con varios departamentos, pero ambas deben garantizar independencia, trazabilidad y respeto a los plazos legales.

3. Designar al responsable del Sistema interno de información

La entidad debe nombrar a una persona física u órgano colegiado responsable del sistema. Esta figura no puede ser meramente decorativa: debe tener autonomía e independencia para recibir comunicaciones, impulsar la investigación y proponer medidas.

En empresas de menor dimensión, puede ser razonable externalizar la gestión operativa o contar con apoyo especializado. La designación sigue siendo responsabilidad de la organización, pero una gestión externa bien configurada ayuda a evitar conflictos de interés, especialmente cuando la denuncia se dirige contra un directivo, el responsable de recursos humanos o una persona con capacidad de decisión.

El nombramiento, cese o sustitución de la persona responsable debe comunicarse a la Autoridad Independiente de Protección del Informante o, cuando corresponda, al organismo autonómico competente.

4. Habilitar un canal seguro y accesible

El canal debe permitir comunicaciones por escrito y, si el informante lo solicita, también mediante reunión presencial dentro del plazo legal. Puede configurarse mediante plataforma digital, formulario web, correo habilitado específicamente u otros medios, siempre que se cumplan las garantías exigidas.

La solución elegida debe preservar la confidencialidad de la identidad del informante, de las personas afectadas y de cualquier tercero mencionado. Además, debe permitir comunicaciones anónimas. Un simple correo corporativo compartido por varias personas suele ser insuficiente: dificulta limitar accesos, acreditar actuaciones y asegurar una custodia adecuada de la información.

También debe publicarse de forma visible la información sobre los canales externos disponibles ante las autoridades competentes. El canal interno es preferente cuando permite tratar la incidencia eficazmente, pero no puede impedir que una persona acuda a la vía externa si considera que es necesario.

5. Establecer plazos y un procedimiento de investigación

Tras recibir la comunicación, debe enviarse acuse de recibo en un plazo máximo de siete días naturales, salvo que hacerlo pueda comprometer la confidencialidad. Después, la entidad debe investigar de forma objetiva, solicitar información adicional si procede y documentar las decisiones adoptadas.

El plazo máximo para responder no puede superar tres meses desde el acuse de recibo. Si no se envió acuse, el cómputo parte del vencimiento de los siete días. En casos de especial complejidad, el plazo puede ampliarse hasta un máximo de otros tres meses, siempre que exista una justificación real.

No toda denuncia termina en una sanción disciplinaria. Puede archivarse por falta de indicios, derivarse al área competente, requerir medidas correctoras, dar lugar a una investigación más amplia o implicar comunicación a las autoridades. Lo relevante es que cada decisión esté motivada y se haya respetado el derecho de defensa de la persona afectada.

Protección de datos: el punto que no debe dejarse para después

Un canal de denuncias trata datos especialmente sensibles desde el punto de vista organizativo. Por eso, su implantación debe coordinarse con el cumplimiento del RGPD y de la LOPDGDD.

La empresa debe informar adecuadamente sobre el tratamiento de datos, restringir el acceso a las personas imprescindibles y aplicar medidas técnicas y organizativas acordes al riesgo. No deben acceder al expediente quienes estén afectados por los hechos o puedan tener un conflicto de interés.

La información personal debe conservarse solo durante el tiempo necesario. Como regla general, los datos contenidos en la comunicación deben suprimirse transcurridos tres meses, salvo que sea necesario conservarlos para dejar evidencia del funcionamiento del sistema. Si los hechos requieren una investigación posterior por otra vía, el tratamiento deberá mantenerse conforme a la normativa aplicable, sin convertir el canal en un archivo indefinido de información laboral.

Errores que pueden dejar el sistema sin valor

Implantar una herramienta sin política interna, nombrar a un responsable sin autonomía o no informar a la plantilla son fallos habituales. También lo es pensar que la confidencialidad equivale a prometer anonimato absoluto en cualquier circunstancia. La empresa debe proteger la identidad, pero puede existir obligación de revelar información ante una autoridad judicial o administrativa competente.

Otro error es utilizar el canal para investigar de forma improvisada. Las pesquisas internas requieren método: registrar la recepción, valorar la admisión, preservar pruebas, escuchar a las personas implicadas y cerrar el expediente con una decisión razonada. Actuar sin protocolo aumenta el riesgo de vulnerar derechos laborales, protección de datos o garantías procesales.

Las sanciones por incumplir la Ley 2/2023 pueden ser relevantes. Para personas jurídicas, las infracciones muy graves pueden alcanzar hasta 1.000.000 de euros. Más allá de la cuantía, una deficiente gestión de una denuncia puede exponer a la empresa a reclamaciones, pérdida de confianza y mayor escrutinio por parte de clientes o administraciones.

Implantar bien reduce riesgos y carga de gestión

Un canal correctamente diseñado no debe verse como un trámite impuesto. Es una herramienta de prevención que permite actuar antes, ordenar decisiones y demostrar que la entidad dispone de mecanismos reales de cumplimiento. El coste de hacerlo bien suele ser mucho menor que el de gestionar una denuncia filtrada, una inspección o una sanción.

En Consultoría Rosario Polo ayudamos a implantar el Sistema interno de información con una solución adaptada a cada entidad, incluyendo procedimiento, política, canal y orientación en protección de datos. Si su empresa está obligada o quiere reforzar su cumplimiento, conviene revisar su situación antes de que una incidencia obligue a hacerlo con prisas.