El pasado 13 de marzo de 2023 ha entrado en vigor la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Responde a la transposición de la Directiva 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, conocida como “Directiva Whistleblowing”.
El espíritu de la “Directiva Whistleblowing” es el de proteger a los informantes (personas que trabajan para una organización pública o privada, o están en contacto con ella en el contexto de sus actividades laborales) para que denuncien, sin miedo a represalias, infracciones del Derecho de la Unión susceptibles de producirse en ese contexto. Establecía un plazo de dos años a los estados miembros para su trasposición, y les insta a incluir en las leyes nacionales de transposición, adicionalmente a las del derecho de la Unión, las infracciones del derecho de cada estado que se pudieran producir en el contexto laboral.
En España, la transposición ha sido efectiva con la Ley 2/2023, norma que está siendo muy criticada, entre otras cosas, por llegar dos años tarde, y por entrar en vigor sin que se haya creado la Autoridad Independiente de Protección del Informante (en adelante la Autoridad), entidad encargada de la función sancionadora, gestión del Canal Externo de comunicaciones y de interpretar el texto legal, entre otras. Pero nos gustaría reconocerle la virtud de ser la primera Ley que, en España, empieza a materializar conceptos de Compliance que antes sólo estaban enunciados en “soft law”, a través de los requisitos de los diferentes estándares, como la UNE 19601 (Compliance Penal) y la ISO 37301 (Requisitos de gestión de un sistema de Compliance). La nueva Ley, complementa estos requisitos y se alinea con las buenas prácticas establecidas en la ISO 37002 (Sistemas de Gestión de Canales de Denuncias), convirtiéndolas en obligación legal.
Antes de profundizar en las obligaciones que impone a las empresas esta Ley, nos gustaría resaltar la importancia de que se oficialice en lo que ya muchas entidades llevaban años trabajando, la implantación de un Canal Ético, como parte de un sistema de cumplimiento normativo y de tolerancia cero a la corrupción en el seno de las mismas.
Los beneficios que reporta a cualquier organización contar con una cultura de cumplimiento efectiva, en la que todos sus integrantes estén implicados, son muy elevados. Se consigue, no sólo reducir el riesgo de la comisión, en su seno, de cualquier ilícito penal o infracción administrativa grave o muy grave, con sus correspondientes sanciones económicas y de otro tipo, sino, sobre todo, evitar el daño reputacional, muy difícilmente recuperable.
Este cumplimiento sólo se consigue a través del establecimiento de una serie de políticas internas, revisadas y actualizadas regularmente, que guíen la actuación de la organización, con formación continua a los empleados y con el ejemplo de una actuación impecable desde la Dirección de la entidad, “Tone from the Top”.
La aplicación de la nueva Ley constituye una excelente ocasión para que las entidades obligadas, aparte de cumplir con la implantación de un Sistema Interno de Información (en adelante el Sistema), sienten las bases para conseguir esta cultura de cumplimiento.
Nos parece también muy acertada la terminología que emplea la Ley, “Canal Interno de Información”, “Informante”, “Comunicaciones”, porque invita a la positividad y a considerar a instalación del Canal como un reto para mejorar la honestidad y buenas prácticas en el seno de las organizaciones, corrigiendo y reparando lo que no esté en esa línea. Vemos, a continuación, las implicaciones más relevantes que la Ley 2/2023 tiene para las empresas, y damos algunas pinceladas de cómo cumplir con la misma.
Lo primero que tiene que determinar una empresa es si está o no obligada. Se consideran sujetos obligados a implantar el Sistema, todas las entidades que integran el sector público, y las entidades del sector privado que tengan contratados a 50 o más trabajadores, así como aquellas que, aunque no lleguen a 50 trabajadores, entren en el ámbito de aplicación del Derecho comunitario en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales y de la financiación del terrorismo (atentas las fundaciones, asociaciones, abogados, gestorías, etc), seguridad del transporte y protección del medio ambiente. Y, además, los partidos políticos, sindicatos, patronales y fundaciones creadas por ellos siempre que reciban o gestionen fondos públicos.
El plazo de implantación cumple el 13 de junio de 2023, salvo para las entidades con menos de 250 empleados y municipios de menos de 10.000 habitantes, que se extiende hasta el 1 de diciembre de 2023.
Si siendo sujeto obligado, no se implanta el Sistema en los términos exigidos en la Ley, se considera que constituye una infracción muy grave, y se prevén penas de hasta 1.000.000 de euros de multa para las personas jurídicas.
Añadir que la Ley permite que los grupos de sociedades compartan el mismo Sistema, y que también permite a las empresas de entre 50 y 250 trabajadores compartir dichos recursos.
Para implantar el Sistema se deben seguir una serie de pasos que detallamos a continuación.
El órgano de gobierno de cada entidad obligada es el responsable de la implantación del Sistema interno y deberá aprobar el Procedimiento de Gestión de las Informaciones, así como decidir si la gestión del Sistema se va a llevar de manera interna en la entidad, o se va a externalizar a un tercero experto externo. Además, deberá nombrar a un Responsable del Sistema, interno, que puede ser una persona individual, o un órgano colegiado, directivo/os de la entidad, pero independientes del órgano de gobierno.
Este Procedimiento comprenderá la implementación del Canal Interno, la elaboración de la Política del Canal, el Protocolo deGestión del Canal, la creación de un Libro Registro de las comunicaciones recibidas y de las Investigaciones realizadas, la Comunicación a los representantes de los trabajadores de la implantación del Canal Ético, la Comunicación a los empleados de la implantación del Canal, la Comunicación a los Socios de Negocio de la Implantación del Canal, y un programa de formación a los empleados para que conozcan cómo utilizar el Canal. Además, si la empresa tiene página web, la publicidad del Canal deberá constar en la página de inicio, en sección separada y fácilmente identificable.
Las empresas que ya cuenten con algún tipo de Canal lo tienen que adaptar a la nueva norma, y si tienen varios, los deben integrar en uno único. Al igual que las que lo implanten por primera vez, deben hacerlo atractivo para recibir las comunicaciones a través del mismo, y evitar así que los informantes acudan al Canal Externo de la Autoridad que comentábamos antes, una vez que esta se constituya, perdiendo la posibilidad de dar una solución a la reclamación internamente.
A la hora de instalar el Canal, se debe delimitar el alcance, tanto de quién puede realizar comunicaciones, cómo los hechos susceptibles de ser comunicados a través del mismo.
Son objeto de comunicación, a tenor de la Ley: 1. Las acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea; 2. Las acciones u omisiones que puedan ser constitutivas de delito; 3. Las Acciones que puedan ser constitutivas de infracción administrativa grave o muy grave; 4. Infracciones del Derecho laboral en materia de Seguridad y salud en el trabajo. Además, en orden a establecer una cultura de cumplimiento en la organización, deberían ser susceptibles de comunicación, también, todas las infracciones a la normativa o políticas internas de cada empresa (políticas de regalos, de medidas de seguridad, etc), así como lo establecido en sus Códigos de Conducta y Convenios Colectivos de aplicación.
En cuanto a quienes pueden presentar una comunicación, la Ley informa de los siguientes colectivos: 1. Personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena; 2. Autónomos; 3. Accionistas, partícipes y miembros de los órganos de administración, dirección o supervisión; 4. Contratistas, subcontratistas y proveedores. 4. Voluntarios; 5. Becarios; 6. Trabajadores en periodos de formación, así como aquellos cuya relación laboral todavía no hubiera comenzado. Entendemos que se debe añadir también a los clientes, dentro de la relación profesional que les una con la entidad, como posibles espectadores o afectados por un incumplimiento de los señalados.
Además, el Canal que se implante, debe permitir la posibilidad de presentar comunicaciones anónimas, garantizar la confidencialidad de la identidad del informante y evitar que se produzcan represalias contra éste, dar la posibilidad de presentar comunicaciones verbales, escritas o presenciales, y garantizar la transparencia, obligando a los sujetos obligados a facilitar instrucciones claras y accesibles sobre el funcionamiento del Canal, como ya comentábamos antes.
Todas las comunicaciones se deben grabar, transcribir o documentar, y, en todos los casos, el informante podrá indicar un lugar seguro para notificaciones o renunciar a recibir cualquier comunicación, y tendrá derecho a ratificar, mediante su firma, la transcripción del mensaje. Una vez presentada la información, se registrará en el Sistema de Gestión de la Información habilitado, y se le asignará un código de identificación, para su seguimiento. Registrada la comunicación, se habilitará un plazo de 5 días para inadmitir, o iniciar la instrucción, estimándose en 3 meses el plazo para finalizar las actuaciones e informar del resultado al informante, plazo ampliable a otros 3 meses adicionales para aquellas comunicaciones que presenten motivada complejidad.
Durante el proceso, se debe respetar tanto la confidencialidad del informante, como el derecho a la presunción de inocencia de la persona investigada, al que habrá que citar en el momento adecuado para no poner en peligro la investigación. Asimismo, se deberá establecer un duro sistema de sanciones, incluido el despido, para los que informen con mala fe.
Se exigirá un tratamiento exquisito de los datos personales recabados y tratados, cumpliendo con el deber de información a los informantes, respetando los plazos de conservación que marca la ley, y limitando las personas que puedan acceder a los mismos, fundamentalmente, el Responsable del Sistema, el Delegado de Protección de Datos, cuando lo haya, y el Gestor externo, cuando se haya externalizado la gestión del Canal. Además, si en el curso de la investigación se detectara que los hechos pudieran ser indiciariamente constitutivos de delito, se remitirá la información, con carácter inmediato, al Ministerio Fiscal.
Debido a la complejidad del proceso y para promover que los informantes hagan uso del Sistema recomendamos, fehacientemente, a las empresas que no dispongan de un departamento de Compliance, la externalización del servicio a una empresa especializada.
