Abogados Canal de Denuncias para Empresas (Ley 2/2023)

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspone la Directiva (UE) 2019/1937 y obliga a todas las empresas con más de 50 trabajadores a implantar un canal interno de denuncias (también llamado canal de información o whistleblowing channel).

Han presentado una denuncia interna en su empresa: qué significa y qué pasa ahora

Una comunicación recibida por el canal interno no es todavía un procedimiento penal, pero pone en marcha obligaciones que la empresa debe cumplir con exactitud desde el primer día. El responsable del sistema tiene que acusar recibo al informante, decidir si admite la información a trámite, tramitar las actuaciones de averiguación dentro del plazo legalmente previsto y comunicar el resultado, dejando constancia documentada de cada paso en el libro-registro. La identidad del informante está protegida y no puede revelarse fuera de los supuestos legales, tampoco a la persona afectada por la información, que sin embargo conserva su derecho a ser oída, a la presunción de inocencia y a la protección de sus datos. Cuando los hechos comunicados pudieran ser constitutivos de delito, la información debe remitirse de forma inmediata al Ministerio Fiscal, y a la Fiscalía Europea cuando afecten a los intereses financieros de la Unión.

A partir de esa remisión, o de una denuncia presentada directamente por el informante, la vía penal sigue su propio curso: el juzgado de instrucción abre diligencias y puede dirigirlas contra las personas físicas implicadas y contra la propia sociedad, que comparece mediante un representante especialmente designado y con derechos de defensa propios y distintos de los de sus directivos y empleados. El artículo 31 bis CP hace responder penalmente a la persona jurídica de los delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto por sus representantes legales y por quienes ostentan facultades de organización y control, y también de los cometidos por quienes están sometidos a su autoridad cuando se hayan incumplido gravemente los deberes de supervisión, vigilancia y control. Frente a ello, el propio artículo 31 bis CP prevé la exención cuando existe un modelo de organización y gestión adoptado y ejecutado con eficacia antes de los hechos, entre cuyos requisitos figura precisamente la obligación de informar de riesgos e incumplimientos al órgano encargado de vigilar el modelo: es decir, el canal. Cómo se gestione esta denuncia interna será, llegado el caso, la prueba de si ese modelo funcionaba de verdad o solo sobre el papel.

Qué hacer (y qué no) antes de responder a una denuncia interna

• No convierta la entrevista interna en una declaración improvisada. Una conversación con el responsable del sistema o con un investigador interno no se practica con las garantías del proceso penal. Si los hechos pueden tener trascendencia penal, la persona afectada debe conocer que, en ese ámbito, los artículos 118 y 520 de la Ley de Enjuiciamiento Criminal le reconocen el derecho a ser informada de lo que se le atribuye, a designar abogado de su confianza, a entrevistarse reservadamente con él y a guardar silencio. Obtener un reconocimiento interno al margen de esas garantías perjudica a todos: a quien lo hace y a la propia sociedad.
• No adopte ninguna medida desfavorable contra el informante. La prohibición de represalias es el núcleo de la protección legal y alcanza al despido, a la modificación de funciones o de horario, a la denegación de formación o promoción, a la evaluación negativa y al aislamiento. Cualquier decisión adversa próxima en el tiempo a la comunicación se presumirá conectada con ella, y la empresa tendrá que acreditar que obedeció a motivos ajenos. Además de la sanción administrativa, una represalia destruye la credibilidad del modelo de prevención ante el juzgado penal.
• No destruya ni altere registros y suspenda los borrados automáticos. Correos, contabilidad, contratos, registros de accesos, archivos de los sistemas y copias de seguridad deben conservarse desde el momento en que se recibe la comunicación. Las políticas de eliminación periódica y de rotación de copias tienen que quedar en suspenso respecto del material afectado, con instrucción escrita a los responsables de sistemas. La eliminación de información tras conocerse la denuncia es de las circunstancias que con más fuerza se interpretan en contra de la organización.
• Preserve la confidencialidad y la trazabilidad del canal. El acceso a la identidad del informante y al contenido de la comunicación debe limitarse a quien la ley permite; ni la dirección ni los responsables afectados deben acceder a ellos. Documente el acuse de recibo, el cumplimiento de los plazos, las diligencias practicadas, quién las acordó y con qué motivación, y conserve el registro en las condiciones legalmente exigidas. Un canal cuya trazabilidad no puede reconstruirse equivale, a efectos probatorios, a no tener canal.
• Separe la investigación interna de la defensa penal y decida pronto la estrategia. Quien instruye internamente no debe ser quien asuma después la defensa, y los intereses de la sociedad y los de los directivos afectados pueden divergir, lo que obliga a valorar defensas separadas. Conviene además examinar desde el inicio las circunstancias atenuantes del artículo 31 quater CP: confesar la infracción a las autoridades antes de conocer que el procedimiento se dirige contra la sociedad, colaborar aportando pruebas nuevas y decisivas, reparar o disminuir el daño antes del juicio oral y establecer medidas eficaces de prevención antes del comienzo del juicio oral. Son decisiones con consecuencias irreversibles que no deberían tomarse dentro de la investigación interna sin asesoramiento penal.

¿Quién está obligado?

Deben disponer de un canal interno de información: todas las empresas privadas con 50 o más trabajadores, todas las entidades del sector público, partidos políticos, sindicatos, organizaciones empresariales, fundaciones que reciban fondos públicos, y cualquier empresa que entre en el ámbito de aplicación de la normativa de prevención del blanqueo (Ley 10/2010). Las empresas de 50 a 249 trabajadores tuvieron plazo hasta el 1 de diciembre de 2023; las de 250 o más debieron implantarlo antes del 13 de junio de 2023.

Requisitos legales del canal

El canal debe cumplir: confidencialidad de la identidad del informante y del investigado, anonimato (debe permitir comunicaciones anónimas), gestión por un responsable del sistema independiente, registro de informaciones con plazo de conservación de 10 años, acuse de recibo en 7 días naturales, plazo máximo de investigación de 3 meses, y prohibición de represalias contra el informante (despido, degradación, acoso, etc.).

Régimen sancionador

El incumplimiento de la obligación de implantar el canal conlleva sanciones de hasta 1.000.000€ para personas jurídicas (infracción muy grave). Las infracciones graves se sancionan con multas de 100.001 a 600.000€. Las represalias contra informantes son infracción muy grave. Las personas físicas responsables pueden ser sancionadas con hasta 300.000€.

Nuestro servicio de implantación

En Alonso Sala ofrecemos un servicio integral de implantación del canal de denuncias: auditoría de cumplimiento (análisis de la situación actual), diseño del canal (plataforma tecnológica, protocolo de gestión, designación del responsable), formación al personal sobre el uso del canal, elaboración del protocolo de investigación interna, y seguimiento y actualización periódica para garantizar el cumplimiento continuado.

Los seis requisitos del modelo de organización y gestión idóneo (Art. 31 bis 5 CP)

Un canal de denuncias no exime por sí solo de responsabilidad: es una pieza dentro de un modelo de organización y gestión que el Art. 31 bis 5 CP exige que cumpla seis requisitos acumulativos. El modelo debe identificar las actividades en cuyo ámbito puedan cometerse los delitos que han de prevenirse (mapa de riesgos penales); establecer protocolos que concreten cómo se forma la voluntad de la empresa, cómo se adoptan las decisiones y cómo se ejecutan; y disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de esos delitos. Un canal sin estos elementos es ornamental, no eficaz.

Los tres requisitos restantes son igualmente exigibles. El modelo debe imponer la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar su funcionamiento; establecer un sistema disciplinario que sancione adecuadamente las infracciones de las medidas; y prever la verificación periódica del propio modelo y su modificación cuando se pongan de manifiesto infracciones relevantes o se produzcan cambios en la organización, la estructura de control o la actividad desarrollada. Diseñamos, revisamos y documentamos cada uno de estos seis elementos, porque ante el juez la idoneidad se prueba con evidencia, no con la mera existencia formal de un manual.

El órgano de supervisión autónomo y la carga de la prueba de la exención

El Art. 31 bis 2 CP condiciona la exención de la persona jurídica a que la supervisión del funcionamiento y observancia del modelo se haya confiado a un órgano con poderes autónomos de iniciativa y de control (la figura comúnmente denominada compliance officer u órgano de cumplimiento). Esa autonomía no puede ser nominal: requiere independencia funcional, recursos suficientes, acceso directo al órgano de administración y capacidad real para investigar y para impulsar el sistema disciplinario. En las personas jurídicas de pequeñas dimensiones, el Art. 31 bis 3 CP permite que esas funciones las asuma el propio órgano de administración, lo que no relaja la exigencia de eficacia.

La carga de la prueba marca la diferencia. En el juicio de la persona jurídica no basta con alegar que existía un programa: corresponde a la empresa acreditar que el modelo era idóneo, que se adoptó y ejecutó eficazmente antes de la comisión del delito y que el autor lo eludió fraudulentamente eludiendo los controles. Por eso trabajamos la trazabilidad documental del modelo (actas del órgano de cumplimiento, informes de riesgo, formación, expedientes disciplinarios, verificaciones periódicas), que es el material probatorio con el que se sostiene la exención o, en su defecto, la atenuación prevista en el Art. 31 quater CP.

La Ley 2/2023 y el Sistema Interno de Información

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva (UE) 2019/1937 y obliga a las entidades del sector privado con 50 o más trabajadores a implantar un Sistema Interno de Información. No se trata solo de habilitar un buzón: la ley exige un canal accesible que admita comunicaciones escritas, verbales o ambas, la designación de un Responsable del Sistema, una política y un procedimiento de gestión aprobados por el órgano de administración, y garantías reforzadas de confidencialidad sobre la identidad del informante y de cualquier tercero mencionado.

El procedimiento tiene plazos y reglas propias: acuse de recibo en un plazo breve, instrucción diligente del expediente, posibilidad de comunicación anónima y resolución dentro del plazo legal, con tratamiento de datos conforme a su normativa específica. La ley protege la indemnidad del informante prohibiendo las represalias y articula además un canal externo ante la Autoridad Independiente de Protección del Informante. Integramos este sistema con el modelo del Art. 31 bis CP, de modo que el canal de denuncias cumpla a la vez la obligación de la Ley 2/2023 y el requisito de información interna del Art. 31 bis 5 CP, evitando duplicidades y contradicciones procedimentales.

La empresa investigada: estatuto propio, sucesión en operaciones societarias y penas del Art. 33.7 CP

La responsabilidad penal de la persona jurídica es autónoma de la de la persona física: el Art. 31 ter CP permite condenar a la empresa aunque la persona física concreta no haya sido identificada o no haya podido dirigirse el procedimiento contra ella. Cuando la sociedad es investigada adquiere un estatuto procesal propio, con derecho de defensa y representación específica, y puede prestar conformidad de forma diferenciada respecto de los administradores. La defensa de la empresa exige además vigilar la licitud de la prueba obtenida en las investigaciones internas, donde han de respetarse los derechos de los empleados afectados para que sus resultados sean utilizables en el proceso.

El Art. 130.2 CP impide que la responsabilidad penal se extinga por la transformación, fusión, absorción o escisión de la sociedad: la responsabilidad se traslada a la entidad resultante o beneficiaria, lo que hace imprescindible la due diligence penal en operaciones de M&A. Las penas aplicables a la persona jurídica se recogen en el Art. 33.7 CP e incluyen la multa, la disolución, la suspensión de actividades, la clausura de locales y establecimientos, la prohibición de realizar determinadas actividades, la inhabilitación para obtener subvenciones, ayudas públicas, contratar o gozar de beneficios e incentivos fiscales, y la intervención judicial. Asesoramos en todo el ciclo: prevención, respuesta interna ante un incidente y defensa de la entidad si llega a ser investigada.