Ya tenemos un canal de denuncias, ¿y ahora qué?

Transcurridos con exceso los plazos concedidos por la Ley 2/2023 de 20 de febrero, de Protección al Informante para implementar un Sistema interno de información, o Canal de denuncias – bajo la amenaza de elevadísimas multas – es de suponer que la mayoría de las empresas legalmente obligadas a ello ya lo han hecho.

Algunas han contratado sistemas muy sofisticados de gestión del Canal de denuncias, mientras que otras han optado por soluciones más simples y adecuadas a su tamaño. Recordemos que la Ley 2/2023 (art. 7) tan solo exige que las comunicaciones han de poder realizarse por escrito o verbalmente, o de las dos formas. Y en caso de ser comunicaciones verbales, incluidas las realizadas a través de reunión presencial, telefónicamente o mediante sistema de mensajería de voz, deberán documentarse de alguna de las maneras siguientes, previo consentimiento del informante, mediante una grabación de la conversación en un formato seguro, duradero y accesible o a través de una transcripción completa y exacta de la conversación realizada por el personal responsable de tratarla.

Otras empresas han optado simplemente por adaptar el Canal de denuncias de que ya disponían anteriormente, al haber establecido un Plan de Compliance adecuado.

Por lo tanto, podemos decir que las empresas ya cuentan con un canal de denuncias tal y como la Ley exige. Pero, ¿realmente es esto suficiente? ¿La mera implementación del Canal de denuncias supone cumplir con todas las exigencias que impone la Ley 2/2023?

Y la respuesta a esta pregunta ha de ser forzosamente negativa, pues las obligaciones que la Ley 2/2023 impone a la empresa no terminan ni mucho menos con el hecho puntual de haber implementado un Canal de denuncias, sino que son muchas otras y de carácter permanente.

En efecto, unas pinceladas sobre el contenido de la citada ley sirven para revelar la dificultad de su correcto cumplimiento y la necesidad de un elevado grado de preparación por parte del responsable del Canal de denuncias para poder llevarlo a cabo:

Para empezar – siempre refiriéndonos a empresas del sector privado – el responsable del citado Canal ha de ser un “directivo de la entidad” (art. 8.5), que ejercerá su cargo “con independencia del órgano de administración o de gobierno de la misma”. Y como regla general, este “directivo” deberá dedicarse con exclusividad a este cometido “salvo que la naturaleza o la dimensión de las actividades de la entidad no justifiquen o permitan la existencia de un directivo Responsable del Sistema”.

Además, hay que comunicar el nombramiento o el cese del responsable del Canal a la Autoridad Independiente de Protección al Denunciante (que a fecha de hoy aún no ha sido nombrada) o al órgano competente en esta materia de la comunidad autónoma correspondiente (si lo hubiere). Art. 8.3 de la Ley.

Por otro lado, conviene especificar que el Canal de Denuncias no es un buzón de quejas, por lo que el responsable debe depurar previamente las informaciones que reciba por esta vía. En este sentido, los informantes solo gozan de la protección que dispensa la Ley 20/2023 siempre y cuando informen sobre acciones u omisiones que puedan constituir infracciones del Derecho de la Competencia (cárteles) o fraudes a la UE en materia fiscal o de ayudas concedidas, o sobre acciones u omisiones que puedan ser constitutivas de delitos o de infracciones administrativas graves o muy graves, con atención especial a posibles fraudes para la Hacienda Pública o para la Seguridad Social. Pero no tendrán derecho a dicha protección cuando informen sobre cuestiones diferentes a las indicadas. Se exige, pues, al responsable unos conocimientos jurídicos nada desdeñables.

La Empresa, además, ha de contar con un procedimiento de gestión de informaciones con los 10 requisitos que establece el art. 9 de la Ley, incluyendo en estos la insólita obligación de remitir la información obtenida a través del Canal al Ministerio Fiscal o a la Fiscalía Europea con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito (art. 9.2, j). Lo que, en otras palabras, supone para la Empresa la teórica obligación de autoincriminarse bajo pena de multa (arts. 63 y 65) a pesar de su constitucional derecho a no declarar contra sí misma, y a no confesarse culpable (art. 24.2 CE). Dilema de muy difícil solución para la Empresa que, sin duda, y atendiendo a cada caso, requerirá de un asesoramiento experto.

Asimismo, la empresa ha de contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, confidencial, y al que solo podrá dar acceso a terceros mediante auto del Juzgado competente y en el marco de un procedimiento judicial (art.26). Siendo este libro-registro, a todos los efectos legales, una información confidencial.

Además, los datos contenidos en el Canal de denuncias solo podrán conservarse durante el tiempo imprescindible para decidir si se abre o no una investigación sobre los hechos informados. Pero si se acredita que la información facilitada o parte de ella no es veraz, “deberá procederse a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.” (art. 32.3) Se descarga nuevamente sobre la empresa y los responsables del Canal no solo la tarea de decidir si la información recibida es veraz o no o si merece o no la apertura de una investigación, sino, incluso, la difícil misión de calificar jurídicamente tales hechos a la luz del Código Penal.

Estas son solo algunas de las múltiples obligaciones que impone la ley 2/2023. Y no olvidemos que su incumplimiento total o parcial se ve, además, sometido a un muy gravoso sistema de infracciones y sanciones económicas, que en el caso de las personas jurídicas puede suponer multas de hasta 1.000.000 €.

En resumen, se ha impuesto una nueva y compleja fuente de obligaciones para las empresas, que excede con mucho de la implementación de un mero programa informático – siempre útil – para la recepción y gestión de las denuncias. Será necesario contar con personal especializado, ya sea interno o externo, y con formación jurídica suficiente para afrontar estos nuevos retos e incógnitas que el Canal de denuncias va a suponer para todos. Tendrán amplia ventaja en este sentido aquellas empresas que ya dispongan de un Programa de Compliance adecuado y de un Compliance Officer diligente que pueda asumir estas tareas.