La regulación española sobre canales de denuncia interna ha transformado el modo en que las empresas del sector fintech y de servicios financieros gestionan sus riesgos de cumplimiento. Lo que hasta hace pocos años era una práctica voluntaria reservada a grandes grupos financieros es hoy una obligación jurídica cuya inobservancia activa consecuencias concretas: sanciones administrativas, responsabilidad penal de la persona jurídica y, en el entorno regulado de las finanzas, la pérdida de la confianza supervisora. La pregunta no es si la empresa necesita un canal. La pregunta es si el canal que tiene – o que está construyendo – cumple realmente con lo que la norma exige.
El punto de partida es la Directiva europea sobre protección de las personas que informen sobre infracciones del Derecho de la Unión, transpuesta al ordenamiento español mediante la Ley de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta norma no es únicamente «laboral» ni únicamente «anticorrupción». Para una empresa del sector fintech o de servicios financieros, su alcance es notablemente más amplio.
La legislación cubre infracciones en ámbitos que son cotidianos en estas entidades: normativa de mercados financieros, servicios de pago, prevención del blanqueo de capitales, protección de datos y ciberseguridad, entre otros. Dicho de otro modo: el canal de denuncias no es una herramienta de recursos humanos. Es un instrumento de gestión de riesgo regulatorio.
El compliance penal añade una segunda capa de exigencia. La legislación penal española permite que la persona jurídica quede exenta o vea reducida su responsabilidad si dispone de un modelo de organización y gestión eficaz. La existencia de un canal de denuncias operativo es uno de los requisitos que los tribunales y los expertos independientes evalúan al dictaminar sobre la eficacia de ese modelo. En nuestra experiencia asesorando a empresas del sector financiero, la ausencia de canal – o la existencia de uno meramente formal – ha sido el argumento central en varias investigaciones que podían haberse gestionado de otro modo.
El tercer eje normativo es el RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). El canal de denuncias implica tratamiento de datos personales, y ese tratamiento tiene requisitos propios: base jurídica adecuada, minimización, plazos de conservación definidos y una evaluación de impacto en determinados supuestos. La Agencia Española de Protección de Datos (AEPD) ha publicado criterios específicos sobre cómo deben diseñarse los canales para respetar los derechos de los denunciados y los denunciantes.
La norma española establece umbrales de aplicación por plantilla. Las entidades del sector financiero, no obstante, quedan sujetas a obligaciones reforzadas con independencia de su tamaño, por su condición de entidades reguladas. Una fintech con autorización de la Comisión Nacional del Mercado de Valores (CNMV) o supervisada por el Banco de España no puede escudarse en el umbral de plantilla para eludir la obligación.
Este es un punto crítico que con frecuencia pasa desapercibido a las empresas de menor tamaño del sector. Una empresa de pagos con diez empleados que opere bajo licencia de entidad de dinero electrónico está sujeta a las mismas exigencias de canal que un banco de tamaño medio. El criterio no es el tamaño; es la actividad regulada.
Además, la normativa de prevención del blanqueo de capitales impone a los sujetos obligados – categoría en la que se encuadra la mayor parte de las entidades fintech con actividad de pago, cambio o custodia – la existencia de canales internos específicos para comunicar sospechas y posibles infracciones. Este canal de prevención del blanqueo convive con el canal de denuncias general, pero no lo sustituye. La empresa debe articular ambos de forma coherente y sin solapamientos que generen confusión o vacíos de gestión.
Un canal de denuncias que cumpla con la norma no es un buzón de correo electrónico con una dirección genérica. La legislación establece requisitos funcionales, organizativos y de garantías que deben estar documentados y ser verificables.
En primer lugar, el canal debe ser accesible, seguro y confidencial. La identidad del denunciante debe estar protegida de forma activa, no solo declarativa. Esto implica decisiones técnicas: ¿el sistema permite denuncias anónimas? ¿Quién tiene acceso a los datos de identidad? ¿Existe segregación de funciones entre quien recibe la denuncia y quien investiga?
En segundo lugar, la norma establece plazos que la empresa debe gestionar con precisión. El acuse de recibo de la denuncia debe producirse en un plazo máximo de siete días naturales desde su recepción. La resolución o el informe al denunciante sobre las medidas adoptadas debe producirse en un plazo máximo de tres meses, que la norma permite ampliar de forma justificada. Estos plazos no son orientativos; su incumplimiento puede ser objeto de sanción.
En tercer lugar, el responsable del canal debe reunir condiciones de independencia e imparcialidad. En empresas medianas y grandes del sector, la práctica habitual es atribuir la función al responsable de compliance o al responsable jurídico. Sin embargo, cuando la denuncia afecta a miembros del órgano de administración, la cadena de reporte debe estar diseñada de antemano para que la independencia no sea solo nominal.
La coordinación con el delegado de protección de datos (DPO) es otro elemento que la empresa debe estructurar. El tratamiento de datos en el marco del canal de denuncias exige, en muchos casos, una evaluación de impacto relativa a la protección de datos (EIPD). La AEPD ha señalado en sus criterios que el diseño del canal debe someterse a un análisis de riesgos desde la óptica de los derechos del denunciado – que también es interesado en los términos del RGPD – y del denunciante. Para más detalles sobre el papel del DPO en entidades financieras y tecnológicas, puede consultar nuestra página sobre el delegado de protección de datos (DPO).
En cuarto lugar, la empresa debe establecer un protocolo documentado de investigación interna. El canal no termina en la recepción de la denuncia. Define el inicio de un proceso que debe estar gobernado por principios de proporcionalidad, presunción de inocencia y confidencialidad. La ausencia de ese protocolo es, en sí misma, una deficiencia del modelo que los supervisores identifican con facilidad.
En nuestra práctica, uno de los errores más frecuentes en empresas del sector es delegar completamente el canal de denuncias en el proveedor tecnológico. La plataforma de gestión de denuncias es un instrumento, no el canal. La responsabilidad jurídica de su correcto funcionamiento recae sobre la entidad y, de forma específica, sobre el órgano de administración.
La dirección debe tomar al menos cuatro decisiones que no pueden subcontratarse:
Esta última obligación – la revisión periódica – es con frecuencia la primera que se omite. Un canal que se implanta en el año de entrada en vigor de la norma y que no se revisa durante tres ejercicios consecutivos es, a efectos de una investigación supervisora o penal, prácticamente equivalente a no tenerlo. Los supervisores no evalúan el diseño inicial; evalúan la operativa real.
¿Puede el consejo de administración ser considerado responsable si el canal falla? La respuesta que emerge de la legislación de compliance penal es afirmativa. La figura del «controlador» del modelo de cumplimiento tiene alcance orgánico, y la inactividad ante señales de disfunción del canal puede ser considerada falta del deber de supervisión.
Las empresas fintech y de servicios financieros tienen un perfil de riesgo en materia de datos que no es comparable al de otros sectores. Tratan datos de naturaleza financiera que pueden conectarse con el paradero, los hábitos y la situación personal de miles o millones de usuarios. Un canal de denuncias que no esté bien diseñado desde la óptica del RGPD puede convertirse, paradójicamente, en un vector de brecha de seguridad.
La notificación de brechas de seguridad a la AEPD en un plazo máximo de 72 horas desde que la entidad tenga conocimiento de la brecha es una obligación que no admite excepciones. Si la brecha se produce precisamente en el sistema que gestiona el canal de denuncias – un escenario que hemos visto materializarse en entidades con plataformas mal configuradas – la empresa se enfrenta simultáneamente a una infracción de la normativa de canales y a una brecha de datos. La doble exposición multiplica el riesgo sancionador.
Los datos de denunciantes y denunciados deben conservarse únicamente durante el tiempo necesario para la investigación y, como máximo, durante el período que fijen las normas aplicables. Una vez concluida la investigación sin que se hayan adoptado medidas disciplinarias o se hayan iniciado procedimientos legales, los datos deben bloquearse y, en su momento, suprimirse. Este ciclo de vida del dato no se gestiona solo: requiere un procedimiento documentado que el responsable del tratamiento debe poder acreditar ante la AEPD si es inspeccionado.
La AEPD ha señalado que la denuncia anónima plantea tensiones específicas con el principio de exactitud y con el ejercicio de derechos por el denunciado. La entidad debe anticipar este conflicto en su diseño: ¿cómo responde ante la solicitud de acceso del denunciado sin revelar la identidad del denunciante? ¿Qué sucede si el denunciante retira su denuncia antes de que concluya la investigación? Estos escenarios deben estar previstos en el protocolo, no resueltos caso por caso.
Para un análisis más amplio sobre el programa de protección de datos y compliance aplicable a entidades del sector financiero y tecnológico, puede consultar el área de práctica correspondiente de nuestra firma.
La CNMV, el Banco de España y el Banco Central Europeo prestan atención creciente a la cultura de cumplimiento como factor de evaluación supervisora. Un canal de denuncias operativo y correctamente documentado es una señal positiva en cualquier inspección o proceso de solicitud de autorización. Su ausencia, en cambio, activa preguntas que la entidad deberá responder de forma satisfactoria.
En operaciones de adquisición y en procesos de diligencia debida (due diligence) para la entrada de inversores en empresas fintech, la ausencia de canal o un canal deficiente es hoy un hallazgo de primer orden. Hemos asistido a negociaciones en las que la carencia de un programa de compliance integrado – que incluya el canal de denuncias – ha generado ajustes de valoración o condiciones suspensivas que el vendedor no había anticipado. El coste de no haberlo implantado antes supera, con creces, el coste de haberlo hecho a tiempo.
La supervisión por entidades europeas añade otra dimensión. Para entidades sujetas a supervisión directa o indirecta del mecanismo único de supervisión bancaria, los estándares de governance, incluyendo los mecanismos de reporte interno, forman parte del proceso de revisión y evaluación supervisora (SREP). El canal de denuncias no es un elemento accesorio de ese estándar.
La experiencia práctica revela un patrón recurrente de errores que no son exclusivos de pequeñas entidades. Los hemos observado también en empresas medianas con equipos jurídicos internos.
El primero es el error de confundir canal con política. Muchas entidades redactan una política de denuncias impecable en su forma, pero no articulan el canal técnico y organizativo que la hace operativa. La política sin el canal es papel. El canal sin la política carece del marco de garantías que la norma exige.
El segundo es la omisión de la formación. La norma exige que los empleados conozcan la existencia del canal, sus garantías y las prohibiciones de represalia. Una entidad que implanta el canal pero no forma a su plantilla – ni deja constancia documental de haberlo hecho – tiene una brecha de cumplimiento difícil de justificar ante un inspector.
El tercero es la falta de coordinación entre el canal de denuncias general y los mecanismos específicos sectoriales. En el sector financiero, esto es especialmente relevante en materia de prevención del blanqueo de capitales. La comunicación interna de operaciones sospechosas tiene su propio régimen, sus propios plazos y su propia cadena de reporte hacia el responsable de prevención y hacia el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC). Si el empleado que detecta una operación sospechosa no sabe si debe usar el canal de denuncias general o el canal de blanqueo, el riesgo de infra-reporte o de reporte tardío es alto.
El cuarto error, y quizá el más costoso, es no revisar el canal tras cambios organizativos relevantes: fusiones, adquisiciones, nuevas líneas de negocio o cambios en la dirección ejecutiva. Un canal diseñado para una estructura organizativa que ya no existe es tan ineficaz como no tener canal.
El canal de denuncias no es una inversión puntual. Es un proceso de gobernanza que requiere mantenimiento. La diferencia entre una entidad que lo implanta con el apoyo de asesoramiento jurídico especializado desde el inicio y una que lo improvisa reside, en la práctica, en tres variables: el coste de la puesta en marcha, el nivel de exposición durante el período de transición y la solidez del modelo ante una inspección o una contingencia.
En nuestra experiencia, el asesoramiento temprano permite anticipar los puntos de tensión normativos antes de que se materialicen. ¿Está el canal externalizado en un proveedor establecido fuera del Espacio Económico Europeo? ¿Se han firmado los contratos de encargado del tratamiento necesarios? ¿Ha sido notificado el tratamiento al DPO para su evaluación? ¿Están alineadas la política de retención de datos del canal y la política general de retención de la entidad? Estas preguntas tienen respuestas técnicas concretas, pero solo pueden responderse bien si alguien las formula antes de que el sistema esté desplegado.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. La conclusión que emerge de esa experiencia es consistente: las entidades que abordan el canal de denuncias como parte de un programa de compliance integrado – y no como una obligación aislada – obtienen un modelo más robusto, más fácil de mantener y más eficaz ante una situación de crisis.
El compliance empresa eficaz no se construye por acumulación de políticas. Se construye sobre decisiones organizativas coherentes, respaldadas por asesoramiento que entiende tanto la regulación financiera como la normativa de protección de datos. La adaptación al RGPD y la implantación del canal de denuncias son, en el sector fintech, dos caras del mismo programa.
Antes de cerrar este análisis, ofrecemos una lista de verificación que los órganos de administración y los responsables de compliance de entidades fintech y de servicios financieros pueden usar como punto de partida para evaluar su situación actual.
Si la respuesta a alguno de estos puntos es negativa o incierta, conviene verificar con la normativa vigente y obtener un análisis específico de la situación de la entidad. El calendario regulatorio no espera, y los supervisores financieros incrementan su escrutinio sobre los mecanismos de gobernanza interna de las entidades que autorizan y supervisan.
El canal de denuncias es un elemento central del programa de compliance penal y de protección de datos, pero no opera de forma aislada. La implantación eficaz requiere coordinación con el modelo de prevención penal corporativo, con los controles de privacidad del ciclo de vida del dato y, en entidades con actividad transfronteriza, con las exigencias de los supervisores de otras jurisdicciones del Espacio Económico Europeo. En Velarde & Vidal abordamos estos elementos de forma integrada, desde la fase de diseño hasta la revisión y mantenimiento del programa.
Si su empresa opera en el sector de las energías renovables y necesita orientación sobre la adaptación de sus programas de compliance a un marco regulatorio igualmente exigente, puede consultar también nuestra guía sobre adaptación del compliance en el sector de la energía y las renovables.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.