La Ley 2/2023, de 20 de febrero, de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, pretende fortalecer y fomentar la cultura de la información. Esta nueva norma configura un Sistema Interno de Información, “Canal de Denuncias”, como eje que articula toda la protección del informante.

El Canal de Denuncias es la herramienta interna dentro de la empresa que permite a las personas (trabajadores, colaboradores, proveedores, socios, aspirantes en procesos de selección que aún no son trabajadores, compañeros de trabajo o familiares del informante) informar, sin que sufran represalias por ello, sobre malas conductas en su empresa (ilegalidades, fraudes, acoso, etc.).

Para detectar y prevenir mejor estas prácticas, quedan obligadas a implementar dicho canal, entre otras entidades, las empresas o autónomos que tengan contratados a 50 o más trabajadores. Por tanto, antes del 1 de diciembre del 2023 las empresas con 50 o más trabajadores deberán disponer de un Canal de Denuncias. Las empresas de más de 250 trabajadores deben disponer de un canal de denuncias operativo antes del 13 de junio de 2023.

Los obligados deberán establecer un Sistema de Información (por ejemplo, un buzón físico o electrónico) con las siguientes características:

• Debe permitir la presentación de la denuncia por escrito o verbalmente (grabando o transcribiendo íntegramente la conversación), o ambas. También debe permitir la presentación de denuncias anónimas.
• Debe asegurar la confidencialidad de las comunicaciones y proveer un acuse de recibo en el plazo máximo de siete días. A estos efectos, deberán adoptarse medidas de seguridad como las que ya se utilizan en materia de protección de datos.
• Una vez recibida la denuncia, es preciso realizar actuaciones de investigación, mantener en un archivo privado los datos recibidos y los estudios realizados y dar una respuesta en un plazo máximo de tres meses prorrogables por otros tres, según la complejidad. Si se demuestra que los hechos podrían ser delitos, éstos deben ser denunciados ante los órganos competentes.

En cuanto a la organización de dicho sistema de información, la ley permite la recepción de información y la realización de las actuaciones de investigación mediante un canal interno (en cuyo caso se deberá nombrar a un responsable del sistema) o bien externalizando este servicio (por ejemplo, contratando los servicios de un especialista). En ambos casos, el responsable debe realizar estas tareas de forma independiente y sin consultar órdenes, y su nombramiento deberá notificarse a la Autoridad Independiente de Protección del Informante, que tiene una doble función:

• Determinar si el hecho denunciado supone una infracción y requiere proteger al informante.
• Y ser un sistema alternativo y externo al que se puede remitir la información (directamente o de forma complementaria al canal de denuncias de la empresa).

La norma ISO 37002 fija una serie de pautas para establecer un sistema de gestión de denuncias en una organización y puede resultar útil como modelo a la hora de implementar el sistema en la empresa.

La ley obliga a las organizaciones a difundir la existencia del canal y prohíbe tomar represalias contra el informante (despidos, degradación, medidas disciplinarias, daños en su reputación). Asimismo, es conveniente disponer de identificación del canal o canales internos en página web de inicio. En caso de represalias:

• El informante podrá recibir asesoramiento y asistencia jurídica para defenderse, e incluso ayuda financiera.
• Se establecen sanciones con multas de entre 1.000 euros y 300.000 euros (si el infractor es persona física) o de hasta un millón de euros (si es persona jurídica).

 El órgano de administración de la sociedad es el responsable de la implantación del Sistema interno de información y deberá nombrar y cesar al responsable del sistema de información. Dicho nombramiento deberá comunicarse a la Oficina Antifraude. No requiere acuerdo con la representación legal de los trabajadores, pero si consulta previa.

En los grupos de entidades, la sociedad dominante aprobará una política general relativa al sistema interno de información y aplicará los principios a todas las entidades sin perjuicio de la autonomía de cada ellas. El responsable del Sistema y el propio Sistema podrá ser uno para todo el grupo o bien uno para cada sociedad integrante del mismo o subgrupo de sociedades.

El canal de denuncias deberá estar operativo en plazo, y se prevén sanciones por incumplimiento. Podrán ser multadas con una cuantía:

• Hasta 100.000 €, las infracciones leves.
• Entre 100.001 € y 600.000 €, las infracciones graves.
• Entre 600.001 € y 1.000.000 €, las infracciones muy graves (entre las cuales está la no disponibilidad del canal).

Más la posibilidad de:

• Amonestación pública.
• Prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de 4 años.
• Prohibición de contratar con el sector público durante un plazo máximo de 3 años.
• Publicación en el BOE.