7 errores frecuentes del canal de denuncias empresarial

Una denuncia mal gestionada puede costar mucho más que la implantación de un sistema correcto. Los errores frecuentes en el canal de denuncias empresarial exponen a la organización a sanciones, conflictos laborales, pérdida de pruebas y, sobre todo, a la desconfianza de empleados, proveedores y clientes. Tener un formulario en la web o una dirección de correo no equivale a cumplir la Ley 2/2023.

El canal interno de información debe permitir comunicar irregularidades con garantías, proteger a la persona informante y asegurar que cada caso se recibe, analiza y resuelve bajo un procedimiento documentado. Estos son los fallos que más se repiten en empresas, asociaciones y entidades, y cómo evitarlos antes de que se conviertan en un problema legal.

1. Pensar que un buzón de correo ya es un canal válido

Muchas empresas crean una cuenta genérica, como denuncias@empresa.es, y entienden que la obligación está resuelta. El problema es que un correo aislado no acredita por sí mismo la confidencialidad, la trazabilidad ni el cumplimiento de los plazos exigidos por la normativa.

Un canal de información debe permitir presentar comunicaciones por escrito y, cuando proceda, verbalmente. También tiene que garantizar que solo acceden a la información las personas autorizadas, registrar cada actuación y conservar evidencias de forma segura. Si cualquier responsable puede entrar en el buzón, reenviar mensajes o borrar información, el sistema carece de control real.

La solución pasa por implantar una herramienta y un procedimiento adaptados a la actividad de la entidad. No se trata de complicar la operativa, sino de poder demostrar qué se recibió, quién lo gestionó y qué decisiones se adoptaron.

2. No designar correctamente al responsable del sistema

La Ley 2/2023 exige designar un Responsable del Sistema Interno de Información. No basta con indicar de forma informal que Recursos Humanos, gerencia o un asesor externo se ocuparán de las denuncias. La designación debe ser formal, contar con facultades suficientes y respetar la independencia necesaria para investigar las comunicaciones.

En negocios pequeños es habitual que el administrador asuma esta función. Puede ser viable, pero no siempre es lo más recomendable. Si la denuncia afecta al propio administrador, a un directivo o a la persona encargada del canal, debe existir una vía alternativa que evite el conflicto de interés.

Además, el responsable necesita conocer el protocolo: cómo acusar recibo, cuándo pedir aclaraciones, cómo preservar la información y cuándo derivar el asunto a las autoridades competentes. Nombrar a alguien sin formación ni instrucciones escritas solo traslada el riesgo de incumplimiento.

3. Incumplir los plazos de respuesta e investigación

Un canal de denuncias no puede quedarse en una bandeja de entrada sin revisar. La persona informante debe recibir acuse de recibo en un plazo máximo de siete días naturales, salvo que ello pueda poner en peligro la confidencialidad de la comunicación. Después, la investigación debe desarrollarse dentro de los plazos legales.

Con carácter general, la respuesta a las actuaciones de investigación no debe superar tres meses desde el acuse de recibo. Si no se remitió acuse, el plazo se cuenta desde que finalicen los siete días posteriores a la presentación. En asuntos especialmente complejos, la normativa permite ampliar el periodo hasta un máximo de seis meses, pero esa ampliación debe estar justificada.

El error habitual no es solo responder tarde. También lo es cerrar expedientes sin documentar el análisis realizado. Cada comunicación debe dejar una huella: recepción, admisión o inadmisión, diligencias efectuadas, conclusiones y medidas aplicadas. Sin expediente, la empresa tendrá dificultades para acreditar que actuó con diligencia.

4. Confundir el canal con un buzón de quejas laborales

El canal interno de información está pensado para comunicar acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, infracciones penales o infracciones administrativas graves o muy graves. No es necesariamente el lugar adecuado para cualquier desacuerdo cotidiano sobre vacaciones, turnos, salario o clima laboral.

Esto no significa que una empresa deba ignorar las quejas internas. Significa que debe ordenarlas. Una reclamación laboral ordinaria puede requerir un circuito de Recursos Humanos, mientras que una posible conducta de acoso, fraude, corrupción, vulneración de protección de datos o incumplimiento grave puede activar el canal de información.

Mezclar ambos procedimientos genera dos problemas: se saturan los recursos del canal y se pueden tratar datos sensibles sin una base organizativa adecuada. Un protocolo claro debe explicar qué asuntos se tramitan, cómo se derivan los que no correspondan y qué garantías recibe cada persona implicada.

5. No proteger la confidencialidad ni los datos personales

Una denuncia puede contener datos identificativos, información laboral, documentos internos e incluso datos especialmente sensibles. Por eso, uno de los errores frecuentes del canal de denuncias empresarial es tratar la información como si fuera una consulta administrativa más.

La identidad de la persona informante, de la persona afectada y de los terceros mencionados debe quedar protegida. El acceso debe limitarse a quienes intervengan de forma imprescindible en la gestión del caso. Comentar una denuncia con mandos no autorizados, enviarla por correo sin medidas de seguridad o guardarla en carpetas compartidas puede vulnerar la normativa de protección de datos.

También hay que informar correctamente sobre el tratamiento de los datos. La empresa debe definir quién es responsable, con qué finalidad se tratan los datos, cuánto tiempo se conservan y cómo pueden ejercerse los derechos correspondientes. Como regla general, los datos personales deben suprimirse del sistema de información a los tres meses, salvo que sea necesario conservarlos para dejar evidencia del funcionamiento del modelo de prevención de delitos. Si procede abrir una investigación, los datos podrán tratarse en el entorno que corresponda.

El anonimato merece una mención aparte. La Ley 2/2023 exige que el canal admita comunicaciones anónimas. Obligar a identificarse puede disuadir denuncias legítimas y alejar el sistema de las garantías previstas legalmente.

6. No informar a la plantilla ni a las personas que se relacionan con la entidad

Un canal oculto no previene irregularidades. Si trabajadores, colaboradores, proveedores o clientes no saben que existe, cómo utilizarlo y qué protección ofrece, difícilmente lo emplearán cuando detecten una conducta relevante.

La información sobre el canal debe ser clara, visible y comprensible. No sirve incluir una cláusula técnica de varias páginas en un manual que nadie consulta. Debe indicarse dónde se presenta la comunicación, quién la gestiona, qué hechos pueden comunicarse, cómo se protege la confidencialidad y cuál es el enlace o la referencia al canal externo de información.

La formación también marca la diferencia. Una sesión breve para responsables y plantilla puede evitar filtraciones, represalias o respuestas improcedentes. No todas las organizaciones necesitan el mismo nivel de formación, pero ninguna debería implantar el canal sin explicar su funcionamiento básico.

7. Creer que implantarlo una vez es suficiente

El canal de denuncias no es un documento estático. Cambian las personas responsables, los procesos internos, los proveedores tecnológicos y los riesgos de la organización. Si el sistema no se revisa, puede dejar de funcionar justo cuando más se necesita.

Conviene comprobar periódicamente si las comunicaciones llegan correctamente, si los permisos de acceso siguen actualizados, si el protocolo responde a la estructura actual de la empresa y si el registro de actuaciones se mantiene completo. Esta revisión resulta especialmente necesaria tras una reestructuración, un cambio de administrador o la aparición de un incidente relevante.

Las entidades obligadas deben contar con un Sistema Interno de Información conforme a la Ley 2/2023. Con carácter general, la obligación alcanza a las empresas con 50 o más trabajadores, además de determinadas organizaciones sujetas a normativa sectorial. Aun cuando una empresa no esté obligada, disponer de un mecanismo interno bien diseñado puede ayudar a detectar riesgos antes de que escalen a una inspección, una reclamación judicial o un daño reputacional.

Cumplir sin añadir una carga innecesaria

La implantación correcta exige análisis previo, herramienta adecuada, responsable designado, protocolo de gestión, información de protección de datos y formación mínima. Intentar resolverlo con modelos descargados o soluciones improvisadas suele salir caro cuando surge la primera comunicación delicada.

En Consultoría Rosario Polo ayudamos a implantar y gestionar canales internos de información adaptados a cada organización, con una visión práctica: cumplir la Ley 2/2023, reducir carga administrativa y evitar errores que puedan derivar en sanciones. Un canal bien configurado no sirve solo para cumplir una obligación; permite actuar a tiempo, con orden y con seguridad jurídica cuando aparece un riesgo real.