7 errores comunes en un canal de denuncias

Un canal de denuncias no se cumple por el simple hecho de instalar un formulario en una web o habilitar una dirección de correo electrónico. Los errores comunes en canal denuncias aparecen precisamente cuando la empresa confunde una herramienta con un sistema legal completo. El resultado puede ser grave: denuncias mal gestionadas, pérdida de confianza de la plantilla, filtraciones de datos y sanciones por incumplir la Ley 2/2023 y la normativa de protección de datos.

Para las empresas obligadas, especialmente las que cuentan con 50 o más trabajadores, el Sistema Interno de Información no es una opción decorativa. Debe funcionar de verdad, contar con responsables definidos y ofrecer garantías reales a quien informa. También existen organizaciones obligadas por su actividad, con independencia de su tamaño. A continuación se detallan los fallos que más costes y problemas generan y cómo evitarlos.

1. Creer que un correo electrónico ya es un canal válido

Un buzón genérico como administracion@empresa.es no equivale, por sí mismo, a un canal interno de información conforme a la Ley 2/2023. Puede facilitar la recepción de comunicaciones, pero normalmente no acredita cuestiones esenciales: la confidencialidad, la posibilidad de presentar denuncias anónimas, el control de accesos, la trazabilidad del expediente o el cumplimiento de los plazos legales.

El canal debe permitir informar por escrito y, si la persona informante lo solicita, también mediante una reunión presencial dentro del plazo legal. Además, debe ser accesible, comprensible y estar integrado en un procedimiento de gestión aprobado por la organización.

La solución no consiste en añadir una cuenta de correo más. Consiste en implantar un sistema que deje constancia de cada actuación sin exponer la identidad del informante ni comprometer la investigación.

2. No nombrar a un responsable del sistema

Otro de los errores comunes en un canal de denuncias es no designar formalmente a la persona física u órgano colegiado responsable del Sistema Interno de Información. Sin esta figura, nadie tiene claramente asignada la obligación de recibir comunicaciones, coordinar la investigación, controlar los plazos y preservar la documentación.

En una microempresa, puede parecer suficiente que lo gestione el gerente. Sin embargo, esa decisión debe formalizarse y debe analizarse si existe un conflicto de interés. Si la comunicación afecta al propio administrador, a un directivo o a la persona que recibe las denuncias, el sistema debe prever una alternativa segura e independiente.

La designación también exige medios. Nombrar a alguien sin formación, sin protocolo y sin capacidad para tratar información sensible desplaza el problema, pero no lo resuelve. Externalizar la gestión puede ser una opción eficaz para negocios que buscan imparcialidad y no disponen de estructura interna especializada.

3. Olvidar la confidencialidad y el anonimato

Una denuncia pierde valor desde el momento en que puede verla cualquier persona de recursos humanos, administración o dirección. El acceso debe limitarse estrictamente a quienes intervengan en la gestión y solo en la medida necesaria. La curiosidad interna no es una razón válida para consultar un expediente.

La Ley 2/2023 exige preservar la confidencialidad de la identidad del informante, de la persona afectada y de terceros mencionados. Además, el sistema debe admitir comunicaciones anónimas. Obligar a identificarse es un error que reduce drásticamente el uso del canal y puede incumplir las exigencias legales.

También hay un problema práctico: muchas empresas anuncian que su canal es confidencial, pero usan formularios sin control de permisos o reciben mensajes en bandejas compartidas. La confidencialidad debe existir en la tecnología, en el procedimiento y en la conducta de las personas que gestionan el caso.

4. No disponer de un procedimiento de gestión por escrito

Un canal sin procedimiento es una puerta sin plano del edificio. La empresa puede recibir una información relevante, pero no sabrá quién acusa recibo, cómo se analiza la verosimilitud, cuándo debe darse audiencia a la persona afectada o cuándo corresponde archivar el asunto.

El procedimiento debe definir, como mínimo, la recepción y registro de comunicaciones, el acuse de recibo, la investigación, las medidas de protección, el tratamiento de conflictos de interés y el cierre del expediente. También debe contemplar cómo se informa al denunciante sobre el estado de la comunicación, sin revelar datos que puedan perjudicar la investigación o los derechos de otras personas.

La norma establece un acuse de recibo en un plazo máximo de siete días naturales, salvo que pueda comprometer la confidencialidad. La respuesta a las actuaciones de investigación debe producirse, con carácter general, en tres meses desde ese acuse, aunque en asuntos complejos puede requerirse una ampliación justificada. Ignorar estos plazos convierte un canal aparentemente operativo en una fuente de riesgo.

5. Investigar de forma improvisada o sancionar sin garantías

Recibir una denuncia no permite adoptar decisiones precipitadas. Una investigación mal dirigida puede vulnerar la presunción de inocencia, el derecho de defensa, la intimidad o la normativa laboral. Por ejemplo, no es correcto comunicar detalles innecesarios de la denuncia a toda la dirección ni tomar una decisión disciplinaria basada únicamente en rumores.

La persona afectada debe ser informada de los hechos que se le atribuyen en el momento y forma adecuados, y debe tener oportunidad de formular alegaciones. Al mismo tiempo, esa audiencia debe organizarse sin revelar automáticamente la identidad del informante ni destruir la eficacia de la investigación.

Aquí no existe una receta idéntica para todos los casos. Una comunicación sobre acoso, fraude, protección de datos o seguridad laboral exige medidas y evidencias distintas. Lo que sí debe mantenerse siempre es la proporcionalidad, la imparcialidad y una documentación suficiente de las decisiones adoptadas.

6. Descuidar la protección de datos personales

El canal de denuncias trata datos especialmente delicados: identidades, hechos laborales, posibles infracciones, declaraciones y documentos probatorios. Por eso, implantarlo sin revisar el RGPD y la LOPDGDD es un error frecuente y costoso.

La empresa debe informar adecuadamente a las personas usuarias del canal sobre el tratamiento de sus datos, limitar los accesos, aplicar medidas de seguridad y regular la conservación de la información. Los datos no pueden almacenarse indefinidamente por comodidad. La Ley 2/2023 fija reglas específicas de supresión y conservación vinculadas a la necesidad de investigar y, en su caso, dejar evidencia del funcionamiento del sistema.

Tampoco conviene utilizar plataformas o proveedores sin analizar dónde se alojan los datos, qué medidas aplican y qué papel desempeñan en el tratamiento. Un canal barato que expone información sensible puede acabar siendo mucho más caro que una implantación correcta desde el inicio.

7. Implantarlo y no comunicarlo a la plantilla

Un canal desconocido es un canal inútil. No basta con incluir una mención escondida en un manual interno o publicar un aviso que nadie lee. Trabajadores, directivos, colaboradores y, cuando proceda, terceros vinculados a la empresa deben saber que existe, qué asuntos pueden comunicar y cómo utilizarlo.

La comunicación debe ser clara: el canal sirve para informar sobre acciones u omisiones comprendidas en la Ley 2/2023 y en la normativa aplicable, no para sustituir cualquier queja ordinaria sobre vacaciones o desacuerdos personales. Explicar este límite evita que el sistema se colapse y ayuda a dirigir cada asunto al cauce adecuado.

La formación es igual de necesaria para las personas que gestionan las comunicaciones. Una respuesta desafortunada, una filtración informal o una represalia contra quien informa puede generar responsabilidades incluso cuando la herramienta técnica sea correcta.

El coste de improvisar supera al de cumplir

La falta de un Sistema Interno de Información, cuando existe obligación legal, puede dar lugar a sanciones relevantes. Pero el riesgo no termina ahí. Una denuncia gestionada sin confidencialidad puede derivar en reclamaciones laborales, daños reputacionales y conflictos internos difíciles de reparar.

Para autónomos, pymes y entidades con recursos ajustados, el objetivo no debe ser crear una estructura burocrática innecesaria. Debe ser implantar un canal proporcionado, seguro y fácil de gestionar, con reglas claras desde el primer día. Revisar ahora el sistema, el responsable, el procedimiento y la información de protección de datos puede evitar que la primera denuncia llegue antes que la solución.