Tenir un canal de denúncies o, en la terminologia de la normativa, un sistema intern d’informació, és només el primer pas. El veritable repte per a una empresa comença quan rep una comunicació que alerta d’una possible irregularitat.

A Espanya, la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informin sobre infraccions normatives i de lluita contra la corrupció, estableix el marc dels sistemes interns d’informació i la protecció de les persones informants.

En l’àmbit privat, aquesta normativa afecta, amb caràcter general, les empreses que tinguin 50 treballadors o més, així com altres entitats sotmeses a règims específics amb independència del nombre de treballadors.

Què és un canal de denúncies?

El canal de denúncies és el mecanisme que permet a determinades persones comunicar, dins de l’organització, possibles infraccions o irregularitats de les quals hagin tingut coneixement en un context laboral o professional.

Des d’un punt de vista jurídic, però, el canal forma part d’un sistema intern d’informació més ampli.

La normativa estableix, entre altres garanties, que el sistema ha de preservar la confidencialitat de la identitat de la persona informant.

Per tant, una simple adreça de correu electrònic de Recursos Humans no constitueix necessàriament un sistema intern d’informació adequat.

‍

Què ha de fer una empresa quan rep una denúncia interna?

‍

Imaginem el cas següent:

Un dilluns al matí, una empresa rep, a través del seu canal intern, una comunicació en què un treballador informa que un directiu hauria manipulat determinades despeses de l’empresa i hauria pressionat altres empleats perquè no comuniquessin els fets.

En aquest moment, l’empresa encara no sap si els fets són certs.

Però sí que té una obligació essencial: gestionar correctament la informació rebuda.

El procediment hauria de començar, com a mínim, amb les fases següents.

1. Registrar la comunicació i acusar-ne recepció

La primera actuació consisteix a deixar constància de la recepció de la informació i activar el procediment intern corresponent.

La Llei 2/2023 estableix terminis específics per a la gestió de les informacions rebudes. Entre altres obligacions, l’empresa ha de comunicar a la persona informant la recepció de la comunicació dins del termini establert legalment i gestionar posteriorment l’anàlisi dels fets.

Aquesta primera fase és important perquè evita que una denúncia quedi simplement en una bústia de correu o en mans d’un responsable que no tingui instruccions clares sobre com actuar.

Una denúncia no s’ha d’improvisar.

L’empresa ha de disposar prèviament d’un protocol que determini què passa des del moment en què arriba la comunicació.

2. Garantir la confidencialitat de la persona informant

La confidencialitat és un dels elements centrals del sistema.

La identitat de la persona informant i la informació relacionada amb la comunicació no poden quedar exposades indiscriminadament dins de l’organització.

Això és especialment important en empreses petites i mitjanes, on les estructures organitzatives són més reduïdes i és habitual que diverses funcions estiguin concentrades en poques persones.

Una filtració pot tenir conseqüències importants.

3. Fer una anàlisi preliminar

No tota comunicació rebuda a través del canal intern ha de desencadenar automàticament una investigació complexa.

Cal fer una anàlisi preliminar per determinar:

• > Quins fets s’han comunicat.
• > Si entren dins de l’àmbit del sistema intern d’informació.
• > Si existeixen indicis suficients per continuar actuant.
• > Quines persones estan potencialment implicades.
• Si existeix algun conflicte d’interès.
• > Si cal adoptar mesures urgents.
• > Si els fets podrien tenir conseqüències penals, administratives, laborals o mercantils.

Aquest filtre és fonamental.

‍

4. Qui ha d’investigar una denúncia interna?

‍

Aquesta és probablement una de les decisions més delicades.

La persona que investiga ha de disposar de la independència necessària i no tenir cap conflicte d’interès.

Si la denúncia afecta el director de Recursos Humans, no seria prudent que aquest mateix departament gestionés unilateralment tota la investigació.

Si afecta un administrador, la qüestió encara és més sensible.

L’empresa ha de determinar prèviament qui és responsable del sistema i quin és el circuit d’escalat segons la naturalesa i la gravetat dels fets.

La Llei 2/2023 permet, en determinades condicions, la gestió del sistema per part d’un tercer extern, que actuarà com a encarregat del tractament a efectes de protecció de dades.

5. Com s’ha de fer una investigació interna?

‍

Una investigació interna no consisteix simplement a preguntar a les persones implicades què ha passat.

‍

Cal establir una metodologia adequada al cas concret.

Segons les circumstàncies, pot ser necessari:

• - Revisar documentació comptable.
• - Analitzar contractes, factures i altres documents.
• - Revisar correus corporatius o altres evidències digitals, sempre dins dels límits legals.
• - Entrevistar la persona informant.
• - Entrevistar testimonis.
• - Escoltar la persona afectada.
• - Contrastar les diferents versions dels fets.
• - Documentar les actuacions realitzades.
• - Elaborar les conclusions.
• - Proposar mesures correctores.

Aquí apareix una qüestió especialment important: l’empresa ha de respectar els drets de totes les persones implicades.

El sistema no pot convertir-se en una eina per presumir culpabilitats abans d’haver analitzat els fets.

‍

6. Protecció de dades: una part crítica

‍

Un canal intern d’informació implica necessàriament el tractament de dades personals.

Per això, compliance i protecció de dades han d’anar coordinats.

L’empresa ha de determinar, entre altres aspectes:

• - Quines dades es recullen.
• - Amb quina base jurídica es tracten.
• - Qui hi pot accedir.
• - Durant quant de temps es conserven.
• - Com es protegeixen.
• - En quines circumstàncies poden comunicar-se a tercers.
• - Com es documenten els accessos.
• - Com s’apliquen els principis de minimització i confidencialitat.

Per això, implantar simplement una plataforma tecnològica de canal de denúncies no resol, per si sola, els riscos jurídics.

‍

7. Què passa si la denúncia és certa?

‍

Si la investigació confirma l’existència d’una irregularitat, l’empresa haurà de determinar quines mesures corresponen en funció de la naturalesa dels fets.

Segons el cas, aquestes mesures poden incloure:

• > Mesures disciplinàries.
• > Modificacions dels procediments interns.
• > Implantació de controls addicionals.
• > Recuperació o correcció de perjudicis econòmics.
• > Comunicació als òrgans de govern de l’empresa.
• > Revisió del model de compliance.
• > Comunicació als organismes o autoritats competents quan legalment correspongui.
• > Adopció de mesures per evitar que la conducta es torni a produir.

Aquest últim punt és essencial.

Una investigació interna no hauria d’acabar simplement amb “hem comprovat els fets”.

Un sistema de compliance madur ha d’utilitzar les incidències per identificar les causes que han permès que la irregularitat es produeixi.

La pregunta posterior hauria de ser:

Què hem de modificar perquè aquesta situació no torni a produir-se?

‍

8. I si la denúncia és falsa?

‍

També és una qüestió que les empreses han de gestionar amb prudència.

Que una denúncia no quedi acreditada no significa automàticament que sigui una denúncia falsa.

Pot existir una comunicació realitzada de bona fe que, malgrat això, no pugui ser demostrada per manca de proves suficients.

Per tant, cal diferenciar entre una denúncia no acreditada i una comunicació deliberadament falsa o maliciosa.

La resposta de l’empresa ha d’estar fonamentada en els fets i en les garanties del procediment.

‍

9. El risc de les represàlies

‍

Un dels objectius essencials de la Llei 2/2023 és protegir les persones informants davant de possibles represàlies.

Això té una conseqüència pràctica molt important per a la direcció:

El problema no acaba quan l’empresa resol la denúncia.

També cal prestar atenció al que succeeix posteriorment amb la persona que ha informat.

Per això, un sistema intern d’informació ben dissenyat ha de contemplar també les mesures de protecció davant de possibles represàlies.

‍

10. Cinc senyals que indiquen que el canal de denúncies no funciona.

‍

Una empresa pot tenir un canal intern perfectament operatiu des del punt de vista tecnològic i, tanmateix, disposar d’un sistema de compliance deficient.

Aquestes són cinc senyals d’alerta:

1. Ningú sap exactament qui gestiona les denúncies

Si una comunicació pot quedar rebotant entre Recursos Humans, Compliance i Direcció sense un responsable clar, existeix un problema de governança.

2. No existeix un protocol d’investigació

Tenir una bústia però no saber què fer quan arriba una denúncia és una situació de risc.

3. La persona que investiga té un conflicte d’interès

Si la persona responsable de la investigació està directament implicada en els fets o depèn jeràrquicament de la persona denunciada, cal replantejar el circuit.

4. Les dades poden ser accessibles per massa persones

La confidencialitat no és només una declaració escrita en una política. Ha d’estar garantida també en la pràctica.

5. L’empresa no documenta què ha fet

En matèria de compliance, no n’hi ha prou amb actuar correctament.

També és important poder acreditar que s’ha actuat correctament.

‍

‍

El veritable valor del canal intern és estar preparat abans que arribi la primera denúncia

‍

Un canal de denúncies és útil quan funciona abans, durant i després d’una comunicació.

Abans, perquè l’empresa ha de disposar de polítiques, responsables i procediments clars.

Durant, perquè ha de ser capaç de gestionar la informació amb confidencialitat, independència, diligència i respecte pels drets de totes les persones implicades.

I després, perquè ha de saber aplicar les conclusions de la investigació, adoptar mesures correctores i prevenir possibles represàlies o noves irregularitats.

Checklist ràpid per a la direcció:

Abans de donar per tancat el sistema intern d’informació de la vostra empresa, convé poder respondre afirmativament a aquestes preguntes:

• - Tenim un sistema intern d’informació adequat a la nostra empresa?
• - Tenim identificada la persona responsable?
• - El canal permet comunicacions escrites i verbals?
• - Existeix un procediment documentat per gestionar les denúncies?
• - Sabem qui pot accedir a la informació?
• - Tenim protocols per evitar conflictes d’interès?
• - Sabem com investigar una denúncia que afecti un directiu?
• - Tenim garanties de confidencialitat i protecció de dades?
• - Tenim mesures contra possibles represàlies?
• - Podem acreditar documentalment com hem gestionat una investigació?

Si alguna resposta és “no” o “no ho sabem”, probablement existeix una oportunitat de millora del sistema de compliance de l’empresa.

‍