La obligación de implantar un canal de denuncias en la empresa ha dejado de ser una opción reservada a grandes corporaciones. Tras la transposición de la Directiva europea de protección de los denunciantes al ordenamiento jurídico español, cualquier organización que supere los umbrales legales o que opere en sectores regulados debe disponer de un mecanismo funcional, documentado y sometido a auditoría periódica. La pregunta que hoy se plantea la dirección no es si implantar el canal, sino cuál de los dos modelos – interno o externo – se adapta mejor a su estructura, a su exposición de riesgo y a su programa de cumplimiento penal.
La norma de referencia en España es la ley que transpone la Directiva (UE) de protección de personas que informen sobre infracciones del Derecho de la Unión – conocida coloquialmente como Directiva Whistleblowing. La transposición española establece un sistema de tres niveles: canales internos de la entidad, canales externos ante la Autoridad Independiente de Protección al Informante (AIPI) y, como último recurso, la denuncia pública.
El marco sitúa la prioridad en los canales internos. El legislador parte de la premisa de que la empresa con buenos mecanismos propios resuelve más rápido y con menor daño reputacional. Sin embargo, la ley reconoce al denunciante el derecho a acudir directamente al canal externo cuando tenga motivos razonables para dudar de la eficacia del canal interno, cuando tema represalias o cuando la infracción afecte directamente al máximo órgano de gobierno.
Desde la perspectiva del compliance penal, la existencia de un canal operativo es uno de los elementos que los juzgados de lo mercantil y los tribunales penales examinan al valorar si el programa de cumplimiento de la empresa es eficaz o meramente cosmético. En nuestra práctica hemos observado que la diferencia entre un canal documentado y activo frente a uno que existe solo en el papel es, en muchos casos, determinante para la posición defensiva de la organización.
¿Qué organizaciones quedan obligadas? La ley española fija umbrales por número de trabajadores y extiende la obligación, con independencia del tamaño, a entidades del sector financiero, a las sujetas a normativa de prevención del blanqueo de capitales y a determinadas administraciones. Conviene verificar con la normativa vigente el umbral exacto aplicable a cada estructura societaria, especialmente en grupos con sociedades filiales.
Ambos modelos comparten el objetivo – recibir, gestionar e investigar comunicaciones sobre posibles infracciones – pero difieren en titularidad, gestión, percepción de independencia y coste operativo.
El canal interno es propiedad de la empresa. Puede gestionarlo un responsable de cumplimiento interno, un comité de ética o, como solución intermedia cada vez más extendida, un proveedor tecnológico que aloja la plataforma pero delega la instrucción del expediente en un órgano interno. Las ventajas son claras: la empresa controla los tiempos, accede directamente a la información y puede articular una respuesta correctora inmediata. El inconveniente es igualmente evidente: si el denunciante percibe que el órgano instructor depende jerárquicamente de quienes investiga, la credibilidad del canal se erosiona.
El canal externo – ya sea la AIPI o un proveedor externo independiente contratado por la empresa para ejercer como receptor e instructor – ofrece la neutralidad que el canal puramente interno no siempre puede garantizar. La percepción de independencia favorece el uso del canal: los estudios comparados en el ámbito europeo muestran que los empleados son significativamente más propensos a denunciar cuando confían en que el receptor no tiene relación orgánica con la dirección.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la variable más determinante para el éxito del canal no fue la tecnología empleada, sino la percepción de independencia del órgano instructor.
| Criterio | Canal interno | Canal externo / independiente |
|---|---|---|
| Titularidad | La empresa | Proveedor externo o AIPI |
| Independencia percibida | Baja-media (depende de la estructura) | Alta |
| Velocidad de respuesta | Alta (control directo) | Media (depende del SLA con el proveedor) |
| Coste relativo | Bajo-medio (infraestructura interna) | Medio-alto (honorarios del proveedor) |
| Confidencialidad | Media (riesgo de filtración interna) | Alta (separación orgánica real) |
| Idoneidad según tamaño | Empresas con departamento legal/compliance consolidado | Pymes, empresas sin función compliance, sectores de alto riesgo |
| Exposición en caso de represalia | Mayor (menor distancia entre denunciado y gestor) | Menor (el gestor es ajeno a la jerarquía) |
| Reversibilidad | Alta (se puede externalizar posteriormente) | Alta (se puede internalizar con madurez de la función) |
La tabla refleja tendencias generales. En la práctica, la elección óptima combina elementos de ambos modelos: muchas organizaciones implantan una plataforma tecnológica neutral – gestionada por un proveedor externo para la recepción y el acuse de recibo – y atribuyen la instrucción interna a un comité de ética con participación de consejeros independientes o de un asesor jurídico externo.
La implantación de un canal de denuncias no es un proyecto de un solo disparo. Exige decisiones de gobierno corporativo que afectan a la estructura orgánica, a la política de tratamiento de datos y al programa de compliance penal de la empresa.
Primera decisión: el modelo de instrucción. ¿Quién instruye el expediente? La ley exige que el responsable del canal goce de independencia funcional. Si se opta por el canal interno, el órgano instructor debe quedar aislado del sujeto investigado. Para empresas de tamaño mediano sin función de compliance consolidada, la solución más segura es designar a un asesor jurídico externo como responsable del canal – figura que actúa con autonomía real y que puede acreditar esa autonomía ante cualquier autoridad supervisora.
Segunda decisión: el tratamiento de datos del denunciante. Aquí entra de lleno la normativa de protección de datos. El canal es, en sí mismo, un tratamiento de datos personales que debe estar documentado en el registro de actividades de tratamiento, acompañado de una evaluación de impacto cuando exista alto riesgo para los derechos del denunciante o del investigado. La Agencia Española de Protección de Datos (AEPD) ha emitido criterios específicos sobre el tratamiento de datos en sistemas de denuncias internos: la identidad del denunciante solo puede comunicarse a quienes instruyen directamente el expediente y, en todo caso, con el consentimiento del informante o cuando sea necesario para salvaguardar sus derechos.
En este punto conviene desmontar un mito frecuente entre directivos: una cláusula de privacidad en la web de la empresa no equivale a cumplir con el Reglamento General de Protección de Datos (RGPD) ni con las obligaciones específicas del canal de denuncias. El tratamiento de datos en un sistema de denuncias requiere una base jurídica autónoma, una política de retención de datos diferenciada y un protocolo de gestión de brechas de seguridad propio.
Plazos que la dirección no puede ignorar: la normativa española establece que el gestor del canal debe acusar recibo de la comunicación en un plazo de siete días desde su recepción. La investigación interna debe concluirse y el denunciante debe recibir respuesta en un plazo máximo de tres meses, prorrogable en casos de complejidad justificada. Estos plazos no son orientativos: su incumplimiento habitual constituye una infracción autónoma sancionable por la AIPI.
¿Está su empresa en condiciones de cumplir esos plazos con los recursos actuales? La respuesta a esa pregunta determina en muchos casos si el canal interno es viable o si la externalización resulta imprescindible.
El diseño del canal de denuncias intersecta directamente con la normativa de protección de datos. Toda empresa que trate datos personales en el contexto de un sistema de denuncias activa sus obligaciones bajo el RGPD y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD).
Los aspectos críticos desde la perspectiva de la adaptación al RGPD son cuatro. Primero, la licitud del tratamiento: el canal debe poder justificar la base jurídica que habilita el tratamiento de los datos del denunciante, del investigado y de cualquier tercero mencionado en la comunicación. Segundo, el principio de minimización: solo deben recogerse los datos estrictamente necesarios para la instrucción del expediente. Tercero, los derechos del interesado: el investigado tiene derecho de acceso, rectificación y supresión, pero esos derechos pueden limitarse temporalmente cuando su ejercicio comprometería la investigación. La AEPD ha fijado criterios sobre cómo gestionar esta tensión. Cuarto, el protocolo de brechas de seguridad: si la plataforma del canal sufre un incidente de seguridad, la empresa debe notificarlo a la AEPD en el plazo de setenta y dos horas desde que tenga conocimiento de la brecha.
En nuestra experiencia asesorando a empresas en España, la brecha de seguridad que más frecuentemente se produce en entornos de canal de denuncias no es técnica, sino organizativa: el expediente de denuncia circula por correo electrónico ordinario, queda archivado en carpetas compartidas accesibles a personas no autorizadas o se conserva más tiempo del necesario sin procedimiento de borrado. Estos fallos no requieren un ataque externo para materializarse y, sin embargo, pueden desencadenar un procedimiento sancionador ante la AEPD.
La gobernanza del dato en entornos tecnológicos es una cuestión que abordamos en detalle en nuestro análisis específico sobre el sector. La intersección entre el canal de denuncias y la gestión del dato cobra especial relevancia cuando la empresa opera plataformas digitales o procesa datos a escala.
El compliance penal de la empresa no es un ámbito separado del canal de denuncias: son las dos caras de la misma estrategia de gestión del riesgo legal.
La responsabilidad penal de la persona jurídica en España exige, para prosperar, que la empresa haya omitido o incumplido gravemente los deberes de supervisión, vigilancia y control sobre sus administradores y empleados. Un canal de denuncias operativo y documentado es precisamente la evidencia de que la empresa ejerció ese control. No basta con tenerlo en papel: los tribunales examinan si el canal fue efectivamente utilizado, si las denuncias recibidas se investigaron, si se adoptaron medidas correctoras y si el responsable del canal actuó con independencia real.
En la práctica de nuestra firma, el argumento que con mayor frecuencia debilita la defensa de la persona jurídica en procedimientos penales es la ausencia de trazabilidad del canal: la empresa afirma que el canal existía, pero no puede acreditar ni una sola denuncia gestionada, ni una sola investigación documentada, ni una sola medida correctora adoptada. Ese vacío probatorio es difícilmente subsanable a posteriori.
La integración del canal de denuncias en el programa general de compliance penal requiere, al menos, que el modelo de organización y gestión de la empresa prevea expresamente el canal como mecanismo de vigilancia, que el responsable del canal reporte periódicamente al órgano de administración y que los resultados de las investigaciones internas retroalimenten la matriz de riesgos de la empresa. Estos tres elementos, documentados y auditados, constituyen la arquitectura defensiva más sólida disponible.
No todas las empresas tienen la madurez organizativa ni los recursos internos para gestionar un canal de denuncias con las garantías que exige la ley. El canal externo independiente – confiado a un asesor jurídico externo o a un proveedor especializado – es la solución adecuada en, al menos, cuatro escenarios.
Primero, cuando la empresa carece de una función de compliance consolidada. Una empresa de tamaño mediano sin director jurídico a tiempo completo difícilmente puede garantizar la instrucción independiente de un expediente de denuncia que afecte a un directivo de primer nivel. La externalización resuelve ese problema estructural.
Segundo, cuando la cultura organizativa genera desconfianza en el canal interno. Si la empresa tiene un historial de represalias – percibidas o reales – contra informantes anteriores, ningún diseño tecnológico del canal interno recuperará la confianza perdida. Solo la separación física y orgánica del receptor puede restituirla.
Tercero, cuando el riesgo regulatorio de la empresa es elevado. Entidades financieras, empresas farmacéuticas, operadores de infraestructuras críticas y proveedores de servicios digitales sujetos a regulación sectorial tienen una exposición que justifica la inversión en un modelo externo con capacidad de acreditar su independencia ante supervisores.
Cuarto, cuando el grupo empresarial opera en varias jurisdicciones y necesita un canal unificado que satisfaga simultáneamente las exigencias de la normativa española y las de otros países de la Unión Europea. En estos casos, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para garantizar la coherencia del modelo en cada territorio.
Para empresas que operan en entornos de cadena de suministro compleja, la documentación del canal de denuncias se integra habitualmente con otras obligaciones de diligencia debida. Nuestro análisis sobre cómo documentar la diligencia debida en logística y transporte ofrece un marco aplicable a este tipo de organizaciones.
La experiencia comparada en la implantación de canales de denuncias muestra un patrón consistente: el coste de diseñar y documentar el canal correctamente desde el inicio es sustancialmente menor que el coste de corregirlo tras un incidente, una denuncia ante la AIPI o un procedimiento sancionador de la AEPD.
¿Por qué la intervención temprana marca la diferencia? Porque el canal de denuncias no es un producto que se instala: es un proceso que se integra en la organización. Su eficacia depende de que los empleados conozcan su existencia, confíen en él y entiendan qué tipo de conductas son denunciables. Esa cultura no se construye en unas semanas y no puede improvisarse cuando ya existe un expediente abierto.
El asesoramiento en la fase de diseño permite, además, articular el canal con el resto del programa de compliance de la empresa – el mapa de riesgos penales, la política anticorrupción, el protocolo de conflictos de interés, la política de retención de datos – de modo que todos los elementos se refuercen mutuamente. Una empresa que afronta una investigación externa con todos esos elementos documentados y coherentes parte de una posición radicalmente distinta a la de una empresa que los improvisa.
El registro de tratamientos, el protocolo de gestión de brechas y el modelo de compliance integrado reducen tanto la probabilidad de sanción como la cuantía de la misma cuando la infracción ya se ha producido. Este es el argumento central que trasladamos a los comités de dirección que evalúan la inversión en compliance: no es un gasto, es un seguro cuyo coste actuarial es predecible y cuyo impacto en caso de siniestro es medible.
Una empresa de servicios tecnológicos con la que trabajamos durante el primer semestre del año pasado detectó, precisamente a través de su canal externo de denuncias, un conflicto de interés no declarado en el área de compras. La investigación se documentó con arreglo al protocolo establecido, se adoptaron medidas correctoras y la empresa pudo acreditar ante su cliente institucional más importante que la incidencia había sido gestionada con todas las garantías. Sin el canal, el conflicto habría continuado sin detección. Con el canal, se convirtió en una demostración práctica de la eficacia del programa de compliance.
Antes de optar por un canal interno, externo o híbrido, la dirección debería poder responder afirmativamente a cada uno de los siguientes puntos. Si alguno queda sin respuesta satisfactoria, el riesgo de incumplimiento es real.
Nuestra área de protección de datos y compliance ofrece el asesoramiento integral necesario para estructurar, documentar y auditar el canal de denuncias de su empresa, cualquiera que sea el modelo elegido.
La decisión sobre el canal de denuncias rara vez se toma de forma aislada. En nuestra práctica, se articula habitualmente con el diseño del programa completo de compliance penal de la empresa y con la revisión del mapa de tratamientos de datos personales. Si su organización está afrontando simultáneamente obligaciones en materia de protección de datos, gobierno corporativo o responsabilidad penal de la persona jurídica, podemos abordar todas esas dimensiones de forma coordinada, evitando duplicidades y asegurando la coherencia del conjunto.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.