La investigación interna corporativa ante un indicio delictivo

Cuando salta una alerta en el canal de denuncias, un auditor detecta un desfase contable o la dirección recibe un requerimiento de la autoridad, la empresa se enfrenta a una decisión delicada: investigar internamente qué ha ocurrido. La investigación interna es hoy una pieza central del compliance penal y, bien ejecutada, la mejor prueba de que el modelo de prevención funciona. Mal ejecutada —vulnerando derechos del trabajador o recabando la prueba sin garantías—, puede volverse en contra de la propia compañía y de sus administradores. Como despacho que dirige investigaciones internas corporativas, explicamos su marco jurídico desde una óptica estrictamente defensiva.

Qué es una investigación interna y cuándo se activa

La investigación interna es el procedimiento, ordenado por la empresa, para esclarecer hechos potencialmente delictivos cometidos en su ámbito de actividad. No es un juicio paralelo ni sustituye a la instrucción judicial: su finalidad es conocer qué ha pasado, valorar el riesgo penal de la organización y decidir las medidas internas y, en su caso, la comunicación a la autoridad. Suele activarse por cuatro vías:

• Una comunicación en el canal de denuncias (sistema interno de información).
• Una alerta de auditoría o de control interno.
• Un hallazgo en una due diligence, típicamente en una adquisición o reestructuración.
• Un requerimiento de una autoridad pública (Fiscalía, juzgado, organismo supervisor).

La decisión de abrir la investigación y su alcance preciso deben documentarse desde el primer momento. El propio Art. 31 bis 5 CP exige que el modelo de prevención imponga la obligación de informar e investigar riesgos e incumplimientos, de modo que la inacción ante indicios razonables compromete directamente la posición de la empresa.

El marco legal: ni desnudez ni inmunidad

No existe en España una ley única que regule la investigación interna de forma cerrada; su régimen se construye a partir de varias fuentes que conviene tener presentes:

• El Código Penal (Art. 31 bis CP), que vincula el funcionamiento del modelo de prevención a la exención o atenuación de la responsabilidad de la persona jurídica.
• La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones, que ordena el canal de denuncias y la tramitación de las comunicaciones.
• La normativa de protección de datos (RGPD y LO 3/2018), que disciplina el tratamiento de la información personal del investigado.
• El Estatuto de los Trabajadores, que delimita las facultades de control empresarial y sus límites.
• Los derechos fundamentales del trabajador (intimidad, secreto de las comunicaciones, protección de datos, derecho a no declarar contra sí mismo), interpretados por la doctrina constitucional consolidada y por la doctrina del Tribunal Europeo de Derechos Humanos.

La consecuencia práctica es nítida: la empresa puede investigar, pero no a cualquier precio. La prueba obtenida con vulneración de derechos fundamentales es nula y arrastra a la prueba derivada, además de exponer a la compañía a responsabilidades laborales y de protección de datos.

Derechos del trabajador investigado

El trabajador sometido a una investigación interna no pierde sus garantías. Una investigación que las pisotea no solo es ilícita: resulta inservible como prueba de descargo. Los derechos esenciales son:

• Intimidad y proporcionalidad: cualquier medida de control (acceso a dispositivos, revisión de registros, videovigilancia) debe superar el triple juicio de idoneidad, necesidad y proporcionalidad. No cabe el registro indiscriminado "por si acaso".
• Protección de datos: el tratamiento de la información personal exige una base de legitimación, una finalidad concreta y el deber de información, salvo las excepciones legalmente previstas para la investigación.
• Información sobre su condición: debe conocer que es objeto de investigación y cuál es su objeto, en la medida en que ello no frustre la finalidad.
• Asistencia letrada, especialmente cuando la entrevista interna pueda proyectarse sobre un proceso penal posterior.
• Derecho a no autoincriminarse: el trabajador no puede ser compelido, bajo amenaza disciplinaria, a confesar un delito. Conviene distinguir el deber laboral de colaboración del derecho a guardar silencio frente a la imputación penal.

Estas garantías no debilitan la investigación: la blindan. Un hallazgo obtenido respetando los derechos del investigado es mucho más sólido ante un tribunal que una confesión arrancada en una entrevista sin garantías.

Validez de la prueba digital: correo y dispositivos

El punto más conflictivo es el acceso al correo corporativo y a los dispositivos de la empresa que utiliza el trabajador. La regla general que decanta la doctrina puede resumirse así:

• Debe existir una política previa, clara y conocida sobre el uso de los medios de la empresa y sobre la posibilidad de control. Sin expectativa de privacidad razonablemente acotada, el control se complica.
• El acceso debe responder a una finalidad legítima (investigar un indicio concreto) y ser proporcionado: acotado a lo necesario en cuanto a personas, periodo y palabras clave.
• Las comunicaciones manifiestamente privadas y las cuentas estrictamente personales del trabajador gozan de una tutela reforzada; su intervención exige especial cautela. La doctrina del Tribunal Europeo de Derechos Humanos sobre el control empresarial de las comunicaciones del trabajador fijó criterios firmes sobre el control de las comunicaciones del empleado.
• La cadena de custodia forense de la evidencia digital (adquisición, conservación, integridad mediante hash) es decisiva: una prueba alterada o sin trazabilidad pierde valor.

Por eso recomendamos que la recolección la dirija un perito informático bajo supervisión letrada, separando lo que es evidencia material —correos, contratos, asientos contables, aprehensibles judicialmente por vías independientes— del producto del trabajo del abogado, amparado por el secreto profesional.

El canal de denuncias y la Ley 2/2023

La Ley 2/2023 obliga a numerosas empresas a disponer de un sistema interno de información (canal de denuncias) y a tramitar las comunicaciones con garantías. Sus claves para la investigación interna son:

• Confidencialidad de la identidad del informante y de las personas afectadas, y posibilidad de comunicación anónima.
• Prohibición de represalias contra quien informe de buena fe.
• Responsable del sistema independiente y procedimiento de gestión con plazos tasados de respuesta.
• Respeto a la presunción de inocencia y a los derechos de defensa de la persona señalada, que también está protegida por la norma.

Un canal operativo y bien gestionado no es un trámite: es la puerta de entrada ordenada a la investigación interna y una prueba tangible de que el modelo de prevención vive más allá del papel.

Valor para la exención del Art. 31 bis CP

Aquí está el verdadero retorno de hacer las cosas bien. El Art. 31 bis 2 CP permite que la persona jurídica quede exenta de responsabilidad penal si acredita que, antes del delito, tenía adoptado y ejecutado con eficacia un modelo de organización y gestión idóneo, supervisado por un órgano con poderes autónomos, y que el autor individual lo eludió de forma fraudulenta sin que hubiera omisión de supervisión. La investigación interna es la prueba que da vida a esos requisitos: demuestra que el modelo detecta, reacciona y depura.

Cuando la exención plena no procede, la colaboración posterior —confesar antes de conocer que el procedimiento se dirige contra la empresa, aportar pruebas nuevas y decisivas, reparar el daño e implantar medidas eficaces— opera como atenuante muy cualificada (Art. 31 quater CP), con posible rebaja de uno o dos grados de la pena de la persona jurídica. La entrega de hallazgos a la Fiscalía no es, por tanto, una rendición: bien diseñada, es una herramienta de defensa. Decidir qué se comunica, cuándo y en qué formato es la decisión estratégica más delicada de todo el proceso.

Errores que arruinan una investigación interna

• Volcar todo el correo del empleado sin acotar finalidad, periodo ni alcance: prueba nula y riesgo de sanción en protección de datos.
• Entrevistas "de pasillo" sin acta, sin información de su condición y sin posibilidad de asistencia letrada.
• Despedir antes de concluir: un despido prematuro o sin garantías puede generar nulidad laboral y restar credibilidad a toda la investigación.
• Confundir auditoría y abogacía: si quien dirige la investigación no actúa como abogado, se pierde el secreto profesional sobre su trabajo.
• No documentar el mandato inicial, la cadena de custodia ni las decisiones: lo que no consta, no existe ante un tribunal.