El canal de denuncias ya no es cosa de grandes empresas (y la multa tampoco)

Hay leyes que llegan con años de titulares y otras que se cuelan por la puerta de atrás. La Ley 2/2023, la que obliga a las empresas a disponer de un canal interno de denuncias, pertenece a la segunda categoría.

Tres años después de su entrada en vigor, sigo encontrándome cada semana con gerentes de pymes que descubren, casi siempre por casualidad, que llevan desde 2023 incumpliendo una norma cuyas sanciones pueden llegar a los 600.000 euros. Y no exagero: la cifra está en el artículo 65 de la ley.

¿Quién está obligado?

Probablemente, usted, si tiene 50 empleados. La regla general es sencilla: toda empresa con 50 o más trabajadores debe contar con un Sistema Interno de Información, el nombre técnico del canal de denuncias.

Los plazos, además, ya vencieron hace tiempo: las empresas de más de 249 empleados debían tenerlo en junio de 2023 y las de entre 50 y 249, el 1 de diciembre de ese mismo año. No hay moratoria ni periodo de gracia. Quien no lo tiene, está en falta desde entonces.

La letra pequeña

Pero la letra pequeña alcanza a muchas organizaciones que se creen fuera del radar, porque para varios sectores el umbral de los 50 empleados sencillamente no existe.

El primer bloque

El primero es el financiero en sentido amplio: bancos, aseguradoras, corredurías, empresas de servicios de inversión, gestoras de fondos o entidades de pago están obligadas por su normativa sectorial con independencia de su plantilla. Una correduría de cinco personas está tan obligada como un banco.

El segundo bloque

El segundo bloque, y el que más sorpresas da, es el de los sujetos obligados por la normativa de prevención del blanqueo de capitales.

La lista de la Ley 10/2010 es larga y muy transversal: asesorías fiscales y contables, gestorías, auditores, abogados y notarios en determinadas operaciones, inmobiliarias y promotoras, joyerías, galerías de arte, casas de compraventa de oro.

Todas ellas deben disponer de canal sea cual sea su tamaño. El resultado es una paradoja que descoloca a cualquiera: un despacho de tres personas puede estar obligado mientras que un taller de 40 no lo está.

El tercer bloque

El tercer frente es el de la seguridad del transporte y la protección del medio ambiente, los otros dos ámbitos donde la Directiva europea eliminó el umbral: operadores vinculados a la seguridad aérea, marítima o al transporte de mercancías peligrosas por carretera, así como actividades con riesgo medioambiental regulado.

El cuarto bloque

Y el cuarto es el sector público, que juega con sus propias reglas: todos los ayuntamientos de municipios de más de 10.000 habitantes, organismos y empresas públicas, universidades públicas, y también partidos políticos, sindicatos, organizaciones empresariales y las fundaciones que gestionen fondos públicos, sin umbral de plantilla alguno.

El matiz de las sociedades

Hay, por último, un matiz que afecta a los grupos de sociedades y que genera más consultas de las que parece: la obligación se mide sociedad a sociedad, no a nivel de grupo.

Cada empresa del grupo que alcance los 50 empleados necesita su propio sistema; las de entre 50 y 249 pueden compartir medios y recursos con otras del grupo, pero la responsabilidad ante una sanción no se comparte: es de cada una.

Y el de los autónomos

¿Y el autónomo sin empleados? Como norma general, no está obligado. Pero le conviene conocer la ley por dos motivos: primero, porque puede ser informante –la norma protege también a autónomos, proveedores y contratistas que denuncien irregularidades en empresas para las que trabajan–.

Y segundo, porque cada vez más licitaciones públicas y clientes grandes exigen a sus proveedores acreditar cumplimiento normativo. El canal empieza a aparecer en los pliegos igual que en su día apareció la protección de datos.

Las sanciones

No tenerlo es caro; tenerlo mal, carísimo. No disponer del canal es una infracción grave, sancionable con hasta 600.000 euros.

Pero la ley reserva el tramo más duro, hasta un millón de euros, para las infracciones muy graves: vulnerar la confidencialidad o el anonimato del denunciante, o tomar represalias contra él.

Este matiz es fundamental y casi nadie repara en él: montar un canal de cualquier manera –un correo electrónico que lee el jefe de recursos humanos, un formulario que guarda los datos sin cifrar– puede exponer a la empresa a una sanción mayor que no tener nada. La ley no pide un buzón; pide un sistema que proteja de verdad a quien informa.

Cómo implantarlo sin complicarse la vida

La buena noticia es que cumplir bien no exige ni un gran presupuesto ni un departamento jurídico. Exige, eso sí, fijarse en cuatro cosas concretas a la hora de elegir la herramienta.

Primera herramienta

La primera es la confidencialidad técnica, no solo prometida. Las comunicaciones deben viajar y almacenarse cifradas de extremo a extremo con estándares serios (en nuestro caso optamos por AES-256-GCM, el mismo nivel que la banca), de modo que ni siquiera el proveedor del canal pueda leer una denuncia que no le corresponde.

Segunda herramienta

La segunda es la integridad demostrable. Si un caso acaba en los tribunales, la empresa debe poder acreditar que la denuncia no se alteró ni se borró.

Los sistemas más rigurosos generan una huella criptográfica de cada comunicación que cualquiera puede verificar públicamente; en EticAlert lo resolvimos con hashes SHA-256 verificables desde la propia web, porque la confianza no se declara, se demuestra.

Tercera herramienta

La tercera es la independencia del canal respecto a los sistemas de la empresa. Un canal alojado dentro del software de recursos humanos, o en el servidor corporativo, genera una desconfianza razonable: el denunciante no puede saber quién tiene acceso.

La arquitectura debe estar aislada, de forma que la dirección de la empresa vea solo lo que la ley le permite ver.

Cuarta herramienta

Quizá la más práctica para una pyme: que la herramienta no permita equivocarse. La ley exige designar un responsable del sistema, aprobar una política, acusar recibo en siete días y resolver en tres meses.

Un buen software debe guiar todo ese recorrido y, directamente, impedir que el canal se publique si falta algún requisito legal. Nosotros lo llamamos internamente puerta de cumplimiento: si algo no está en regla, el canal no sale a producción. Es la diferencia entre comprar una herramienta y comprar tranquilidad.

¿Y el coste?

El coste, por cierto, ha dejado de ser excusa: hoy una pyme puede tener un canal de denuncias plenamente conforme por menos de lo que cuesta un café al día.

Lo que sí sigue siendo caro –muy caro–es esperar a que llame la Autoridad Independiente de Protección del Informante.

La Ley 2/2023 no vino a complicar la vida a las pymes; vino a proteger a quien se atreve a señalar lo que está mal. Cumplirla bien es más fácil, y más barato, de lo que parece. Incumplirla, desde luego, no lo es.