Guía protocolo informante interno para empresas

Un protocolo mal definido puede convertir el canal interno de información en una fuente de riesgos: filtraciones de datos, represalias, investigaciones sin criterio y posibles sanciones. Esta guía protocolo informante interno explica qué debe hacer una empresa para operar conforme a la Ley 2/2023, con un sistema que sea útil en la práctica y defendible ante una inspección.

No basta con habilitar un correo electrónico ni con publicar un formulario en la web. La norma exige un Sistema interno de información con responsables, reglas de uso, plazos concretos y garantías para quien comunica una irregularidad. Si su empresa está obligada, retrasar la implantación no elimina la obligación y sí mantiene abierto el riesgo de incumplimiento.

¿Qué es el protocolo de informante interno?

El protocolo de informante interno es el documento operativo que establece cómo recibe, registra, analiza, investiga y resuelve una organización las comunicaciones sobre posibles incumplimientos. Forma parte del Sistema interno de información exigido por la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Su función no es solo atender denuncias. Debe ofrecer una vía segura para comunicar hechos que puedan constituir infracciones del Derecho de la Unión Europea, delitos o infracciones administrativas graves o muy graves. También debe proteger a la persona informante frente a represalias cuando actúe con motivos razonables para pensar que la información es veraz.

La empresa debe aprobar este sistema tras consultar, cuando proceda, con la representación legal de las personas trabajadoras. Además, debe designar a un Responsable del Sistema interno de información, que podrá ser una persona física u órgano colegiado con autonomía suficiente para desarrollar sus funciones.

Qué empresas deben implantarlo obligatoriamente

La obligación alcanza, con carácter general, a las empresas privadas que tengan 50 o más trabajadores. El cálculo debe hacerse con rigor, especialmente en grupos empresariales, negocios con plantilla variable y empresas que recurren a contrataciones temporales.

Hay entidades obligadas aunque no alcancen ese umbral. Es el caso de organizaciones sujetas a normativa de prevención del blanqueo de capitales, así como determinados partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciben o gestionan fondos públicos en los supuestos previstos legalmente.

Las empresas de menos de 50 trabajadores no obligadas por su actividad pueden implantar un canal voluntario. En muchos casos es una decisión recomendable: permite detectar conflictos o incumplimientos antes de que escalen, ordenar la respuesta interna y acreditar diligencia. Ahora bien, un canal voluntario también debe gestionarse con confidencialidad, protección de datos y criterios claros. Crear un buzón sin procedimiento no es una solución segura.

Guía de protocolo de informante interno: contenido mínimo

El protocolo debe responder a una pregunta sencilla: ¿qué ocurre desde que una persona comunica un hecho hasta que la empresa adopta una decisión? Si no existe una respuesta documentada para cada fase, el sistema quedará expuesto a errores.

1. Canales accesibles y comunicaciones confidenciales

La organización debe habilitar medios que permitan presentar comunicaciones por escrito, verbalmente o de ambas formas. Puede incluir una plataforma digital, correo postal, reunión presencial solicitada por la persona informante o línea telefónica, siempre que se respeten las garantías exigidas.

La posibilidad de informar de forma anónima debe estar disponible. Confidencialidad y anonimato no son lo mismo: en una comunicación confidencial la empresa conoce la identidad, pero debe limitar el acceso; en una anónima, la identidad no se facilita. El protocolo debe prever ambas situaciones y evitar que los datos se divulguen fuera de las personas autorizadas.

2. Registro, acuse de recibo y análisis inicial

Cada comunicación debe incorporarse a un registro seguro, con acceso restringido. El sistema ha de enviar acuse de recibo en un plazo máximo de siete días naturales, salvo que ello pueda poner en peligro la confidencialidad de la comunicación.

Después procede una valoración inicial. No toda queja laboral, desacuerdo comercial o conflicto interpersonal entra dentro del ámbito de la Ley 2/2023. El protocolo debe permitir inadmitir comunicaciones sin fundamento, duplicadas o ajenas a su objeto, pero esa decisión debe estar motivada y documentada. Rechazar un aviso incómodo sin analizarlo puede generar un problema mayor que el propio hecho comunicado.

3. Investigación objetiva y derecho de defensa

Cuando existan indicios, la empresa debe abrir una investigación proporcionada. El responsable no debe investigar asuntos en los que tenga un conflicto de interés, ni recibir instrucciones que comprometan su independencia. En empresas pequeñas, esta exigencia suele hacer aconsejable externalizar la gestión o contar con apoyo especializado.

La persona afectada debe ser informada de los hechos que se le atribuyen en el momento adecuado, sin frustrar las actuaciones necesarias. También tiene derecho a formular alegaciones y a preservar su honor y presunción de inocencia. El protocolo no puede convertirse en un mecanismo de acusaciones automáticas ni en una investigación informal sin garantías.

La instrucción debe recoger evidencias lícitas, entrevistas, conclusiones y medidas propuestas. Si aparecen indicios de delito, la organización deberá valorar la remisión inmediata al Ministerio Fiscal o, cuando los hechos afecten a intereses financieros de la Unión Europea, a la Fiscalía Europea.

4. Plazo de respuesta y cierre documentado

El plazo máximo para responder a las actuaciones de investigación es de tres meses desde el acuse de recibo. Si no se remitió acuse, el cómputo empieza a los siete días de presentar la comunicación. En casos de especial complejidad, el plazo puede ampliarse hasta otros tres meses, pero no debe utilizarse como una prórroga automática.

El cierre puede implicar el archivo, la adopción de medidas disciplinarias, la corrección de procesos internos, la recuperación de fondos o la comunicación a autoridades competentes. Lo relevante es que exista una resolución razonada y una trazabilidad completa de las actuaciones realizadas.

5. Protección frente a represalias y tratamiento de datos

Despedir, degradar, amenazar, modificar condiciones laborales o perjudicar profesionalmente a una persona por informar puede constituir una represalia. El protocolo debe prohibir expresamente estas conductas, establecer un cauce para detectarlas y prever medidas de protección. La ley protege también, en determinados casos, a facilitadores, familiares y compañeros vinculados a la persona informante.

La protección no cubre comunicaciones realizadas de mala fe o con conocimiento de su falsedad. Aun así, la empresa debe distinguir entre un aviso que finalmente no se confirma y una denuncia deliberadamente falsa. Exigir pruebas definitivas al informante antes de admitir una comunicación vaciaría de contenido el sistema.

Desde la perspectiva del RGPD y la LOPDGDD, solo deben tratarse los datos personales necesarios para investigar. El acceso debe limitarse al responsable del sistema y a quienes intervengan de forma imprescindible. Los datos que no sean necesarios deben suprimirse sin demora y, con carácter general, las comunicaciones solo pueden conservarse en el sistema durante tres meses, salvo que sea necesario mantenerlas para acreditar el funcionamiento del modelo de prevención o por la apertura de actuaciones posteriores.

Errores que dejan el canal expuesto

El primer error es pensar que una herramienta tecnológica equivale al cumplimiento legal. La plataforma es útil, pero no sustituye la política, el procedimiento de gestión, el nombramiento del responsable ni la formación del personal autorizado.

También es frecuente que la empresa publique un canal sin informar sobre el canal externo de la Autoridad Independiente de Protección del Informante o de las autoridades autonómicas competentes. La Ley 2/2023 exige que las personas puedan conocer estas vías externas.

Otro fallo habitual es asignar la investigación a recursos humanos, dirección o administración sin evaluar conflictos de interés. Si la comunicación afecta a una persona de dirección, el protocolo debe contemplar una alternativa real para garantizar imparcialidad. En una pyme, improvisar esta respuesta cuando el caso ya ha estallado suele ser más caro y más difícil que definirla desde el inicio.

Implantar el protocolo con seguridad jurídica

La implantación debe partir de la realidad de cada organización: estructura societaria, número de trabajadores, sectores regulados, centros de trabajo, personal externo y procesos internos. Un modelo genérico puede servir como base, pero no resuelve por sí solo quién recibe los avisos, cómo se actúa ante un conflicto de interés o qué medidas se toman cuando la comunicación afecta a datos sensibles.

Una consultoría especializada puede estructurar el Sistema interno de información, redactar la política y el procedimiento, configurar un canal seguro, designar o asistir al responsable y coordinar su encaje con la normativa de protección de datos. El objetivo es reducir carga administrativa sin renunciar al control de un asunto que puede afectar a la reputación y a la continuidad del negocio.

En Consultoría Rosario Polo trabajamos para que el cumplimiento no quede en un documento archivado. Un protocolo claro permite actuar con rapidez, proteger a las personas implicadas y demostrar que la empresa ha respondido con criterio ante una posible irregularidad. Esperar a recibir la primera comunicación para organizar el sistema es dejar una decisión crítica en manos de la improvisación.