Su canal de denuncias puede proteger la empresa... o convertirse en su peor prueba
Figura 1. El canal solo protege cuando recepción, triaje, preservación, investigación y decisión forman un sistema único.
1. El canal no es una plataforma: es un sistema de gobierno y defensa
La primera equivocación empresarial consiste en confundir el canal con el software. La plataforma es únicamente una puerta de entrada. El Sistema interno de información comprende, además, una política aprobada y difundida, un Responsable del Sistema con autonomía, un procedimiento de gestión, un libro-registro, medidas de seguridad, reglas de protección del informante y capacidad real para investigar y corregir.
La propia Autoridad Independiente de Protección del Informante ha reforzado esta idea en su Recomendación 1/2026: el sistema no debe operar como una obligación reactiva, sino como una infraestructura de integridad y aprendizaje organizacional. Esta visión modifica el criterio de éxito. Un canal no es eficaz porque esté visible en la web o porque genere un acuse automático. Es eficaz cuando las personas confían en él, los conflictos se identifican, la evidencia se conserva y la organización puede demostrar por qué investigó, cómo investigó y qué hizo con el resultado.
Desde la defensa penal corporativa, la trazabilidad resulta esencial. El artículo 31 bis del Código Penal exige modelos de organización y gestión ejecutados con eficacia. Un buzón sin respuesta, una investigación dirigida por la persona denunciada o un cierre sin medidas correctoras pueden revelar que el modelo existía formalmente pero no funcionaba en la práctica.
IDEA FUERZA: El canal de denuncias no es una póliza contra el delito. Es el mecanismo que permite conocer antes, reaccionar mejor y acreditar que la organización controla sus riesgos.
2. Qué empresas están obligadas y quién responde por el sistema
En el sector privado están obligadas, con carácter general, las personas físicas o jurídicas que tengan cincuenta o más trabajadores. También lo están determinadas entidades sujetas a normativa europea en materia financiera, prevención del blanqueo, seguridad del transporte o medio ambiente, con independencia de su plantilla; así como partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones cuando reciban o gestionen fondos públicos. Las entidades no obligadas pueden implantar voluntariamente el sistema, pero si lo hacen deben respetar las garantías legales.
La responsabilidad de implantación corresponde al órgano de administración o de gobierno, previa consulta con la representación legal de las personas trabajadoras. No basta delegar el proyecto en recursos humanos, compliance o un proveedor tecnológico. El órgano de administración debe aprobar la política y el procedimiento, designar al Responsable del Sistema, asignar recursos, controlar los conflictos y supervisar que el sistema sea efectivo.
La gestión externa es posible, pero no desplaza la responsabilidad legal. El tercero debe ofrecer independencia, confidencialidad, protección de datos y secreto de las comunicaciones; seguirá siendo el Responsable del Sistema quien responda por la tramitación diligente. Externalizar la recepción puede mejorar la confianza, pero externalizar sin un mapa claro de decisiones crea una zona de nadie: el proveedor recibe, la empresa duda y los plazos corren.
Sujeto o función
Responsabilidad esencial
Órgano de administración
Implantar el sistema, aprobar política y procedimiento, designar al Responsable y aportar recursos.
Responsable del Sistema
Gestionar con independencia, autonomía y diligencia; evitar instrucciones y conflictos de interés.
Proveedor externo
Recibir o apoyar con garantías; no sustituye al Responsable ni absorbe la responsabilidad de la entidad.
Compliance / Servicios jurídicos
Evaluar riesgo, preservar defensa, asesorar sobre remediación, medidas legales y conexión con el modelo penal.
Recursos humanos
Intervenir solo cuando procedan medidas laborales, preservando confidencialidad y necesidad de acceso.
3. Independencia real: el conflicto de interés invalida la credibilidad
La independencia no se obtiene mediante una cláusula genérica. Debe poder demostrarse en cada expediente. El Responsable del Sistema no puede recibir instrucciones sobre cómo resolver una comunicación y debe disponer de medios suficientes. Si la denuncia afecta al propio responsable, a su superior, a un miembro del consejo, al director jurídico o a la persona que controla el presupuesto de la investigación, la organización necesita una ruta alternativa de escalado.
El conflicto puede ser directo, jerárquico, económico, personal o reputacional. También puede existir cuando el mismo abogado o equipo pretende defender simultáneamente a la sociedad, a un administrador y a una persona investigada cuyos intereses pueden divergir. La solución no es acumular defensas, sino identificar a tiempo quién es el cliente, cuál es el mandato y qué información puede compartirse.
Una investigación técnicamente impecable pierde valor si quien decide el alcance podía resultar afectado por sus conclusiones. Por eso debe existir una matriz de recusación y sustitución: Responsable suplente, comité ad hoc, consejero independiente o investigador externo. La decisión de activar esa alternativa debe constar por escrito, sin revelar más información de la necesaria.
CRITERIO TÉCNICO: La independencia se acredita con competencia, ausencia de conflicto, acceso directo al órgano adecuado, presupuesto suficiente y libertad para formular conclusiones desfavorables.
4. Recepción, acuse y triaje: decidir qué se investiga sin prejuzgar
El canal debe admitir comunicaciones escritas o verbales y permitir la tramitación anónima. A solicitud del informante, la comunicación puede formularse mediante reunión presencial dentro del plazo máximo de siete días. Las comunicaciones verbales deben documentarse mediante grabación segura o transcripción completa, con las advertencias y consentimientos exigibles.
El acuse de recibo debe enviarse dentro de los siete días naturales siguientes a la recepción, salvo que pueda comprometer la confidencialidad. La respuesta a las actuaciones de investigación no puede superar tres meses, ampliables por especial complejidad hasta un máximo de otros tres. Estos plazos no son una invitación a esperar: el riesgo de borrado de correos, alteración de registros, coordinación de versiones o represalias puede exigir medidas en horas.
El triaje no decide culpabilidad. Clasifica la comunicación: ámbito legal, verosimilitud inicial, gravedad, urgencia, riesgo para personas, riesgo de destrucción de evidencia, posible delito, autoridad competente y conflicto de interés. También separa las informaciones protegidas por la Ley 2/2023 de conflictos interpersonales, consultas, quejas comerciales o incumplimientos del código ético que, aunque puedan tramitarse internamente, no siempre activan la protección legal específica.
Pregunta de triaje
Decisión que debe documentarse
¿Los hechos entran en el ámbito legal o en otra política interna?
Admisión, derivación o archivo motivado; protección aplicable.
¿Existe riesgo inmediato para personas, activos o prueba?
Medidas urgentes, legal hold, limitación de accesos o separación funcional.
¿Quién puede estar implicado?
Comprobación de conflictos y designación de instructor independiente.
¿Podrían existir indicios de delito?
Intervención penal especializada y valoración de remisión al Ministerio Fiscal.
¿Qué datos son realmente necesarios?
Minimización, accesos restringidos, supresión o segregación de información irrelevante.
5. Las primeras 72 horas: proteger antes de interrogar
La reacción intuitiva de muchos directivos es llamar a la persona denunciada y exigir una explicación. Esa actuación puede alertar al presunto responsable, facilitar el borrado de evidencia, permitir la coordinación de testimonios o generar represalias. La regla correcta es inversa: primero se protege la información y a las personas; después se pregunta.
Las medidas iniciales pueden incluir la conservación de correo, mensajería corporativa, registros de acceso, archivos compartidos, cámaras, ERP, documentos contables, dispositivos y copias de seguridad. Debe emitirse una orden de preservación o legal hold dirigida a custodios concretos, suspenderse temporalmente la eliminación automática y documentarse quién adoptó cada medida. No se trata de copiar todo indiscriminadamente, sino de congelar fuentes relevantes de forma proporcional.
La protección del informante exige evaluar riesgos de despido, degradación, aislamiento, cambios de funciones, retirada de clientes, perjuicio reputacional o presión informal. El plan debe contemplar contacto seguro, instrucciones de no represalia, monitorización y un canal de escalado. También debe protegerse a la persona afectada frente a filtraciones, estigmatización y juicios anticipados.
Figura 2. Las primeras 72 horas deben asegurar confidencialidad, prueba, independencia y control de daños.
6. Mandato y plan de investigación: investigar menos, pero mejor
Toda investigación debería comenzar con un mandato escrito. Debe identificar quién encarga, quién investiga, cuál es el objeto, qué periodo y entidades abarca, qué hipótesis se comprobarán, qué recursos se autorizan, qué reglas de confidencialidad rigen, cómo se reportará y quién decidirá las medidas finales. Sin mandato, el alcance cambia según aparecen intereses y el informe pierde coherencia.
La investigación debe ser proporcional al riesgo. No toda comunicación exige una pericial forense completa; tampoco una acusación de corrupción, fraude contable, acoso grave o revelación de secretos puede resolverse con dos entrevistas informales. El plan combina fuentes documentales, evidencia digital, entrevistas, análisis financiero, pruebas de control y contraste externo. Cada diligencia debe responder a una pregunta y quedar registrada.
Debe definirse el estándar de conclusión. Una investigación interna no es un proceso penal y no declara culpabilidad. Puede concluir que los hechos están acreditados, parcialmente acreditados, no acreditados o que no existe información suficiente. La categoría “no acreditado” no equivale a “falso”; esta distinción protege al informante de buena fe y evita sancionar por el simple fracaso probatorio.
Elemento del mandato
Contenido mínimo
Objeto
Hechos, normas o controles a comprobar; exclusiones expresas.
Equipo
Instructor, apoyo jurídico, forense, laboral o financiero y reglas de sustitución.
Fuentes
Sistemas, custodios, periodo, dispositivos y autorizaciones de acceso.
Garantías
Confidencialidad, minimización, audiencia, no represalia, registro de decisiones.
Producto final
Informe, destinatarios, anexos, clasificación y reglas de conservación.
7. Evidencia digital y cadena de custodia: la verdad debe ser reproducible
Capturas de pantalla, correos reenviados y archivos descargados sin control pueden orientar, pero no siempre permiten acreditar origen, integridad, fecha o contexto. La evidencia digital debe obtenerse mediante un procedimiento reproducible: identificación de la fuente, autorización, adquisición, cálculo de huellas digitales cuando proceda, copia de trabajo, control de accesos y registro de cada transferencia.
La cadena de custodia interna no convierte automáticamente la prueba en judicialmente válida, pero reduce las objeciones y facilita una eventual pericial. Debe preservar metadatos, conversaciones completas y relaciones entre sistemas. Extraer solo el mensaje incriminatorio puede ocultar respuestas, fechas, adjuntos o participantes relevantes. La selección debe hacerse después de la adquisición, no antes.
La empresa debe coordinar la investigación con sus políticas de uso de dispositivos digitales, información previa a trabajadores, medidas de seguridad y normativa laboral. La facultad de control empresarial no autoriza accesos indiscriminados. La legitimidad depende de la finalidad, necesidad, proporcionalidad, expectativas razonables de privacidad y reglas previamente comunicadas.
PROTECCIÓN PROBATORIA: No modifique el original para hacerlo legible. Conserve la fuente, trabaje sobre copia, documente el método y permita que un tercero pueda reconstruir lo realizado.
8. Entrevistas: obtener información sin fabricar una versión
La entrevista no debe comenzar con una conclusión. El entrevistador prepara una cronología provisional, identifica documentos, formula preguntas abiertas y reserva el contraste de contradicciones para una fase posterior. Preguntas sugestivas, acusaciones tempranas o promesas de confidencialidad absoluta deterioran la fiabilidad y pueden generar expectativas imposibles de cumplir.
La persona afectada tiene derecho a ser informada de las acciones u omisiones que se le atribuyen y a ser oída en el momento y forma adecuados para no comprometer el buen fin de la investigación. No existe derecho a conocer la identidad del informante. La comunicación debe describir hechos suficientes para permitir respuesta, evitando revelar datos, fuentes o estrategias de comprobación innecesarias.
Las actas deben reflejar participantes, fecha, advertencias, documentos exhibidos, contenido sustancial y observaciones. Cuando se grabe, debe existir base, información y consentimiento cuando proceda. El entrevistado debería poder revisar una transcripción o acta, formular correcciones y dejar constancia de su posición. Negarse a firmar no invalida automáticamente la entrevista, pero debe documentarse.
En asuntos con riesgo penal, laboral grave o conflicto con la dirección, conviene valorar asistencia letrada separada y advertir con claridad quién representa al abogado de la empresa. El secreto profesional protege la función de defensa, pero no debe utilizarse como etiqueta automática para ocultar hechos, alterar registros o impedir requerimientos legítimos.
9. Confidencialidad y anonimato no significan lo mismo
Una comunicación anónima no incorpora la identidad del informante. Una comunicación confidencial sí la conoce el sistema, pero debe restringirla y protegerla. Prometer “anonimato” a quien se identifica es jurídicamente incorrecto y genera una expectativa que puede quebrarse si la identidad debe comunicarse a la autoridad judicial, al Ministerio Fiscal o a una autoridad administrativa competente dentro de una investigación.
La confidencialidad alcanza la identidad, los hechos, las actuaciones, las personas afectadas y terceros mencionados. Deben aplicarse accesos por funciones, registro de consultas, carpetas separadas, cifrado, nombres de expediente neutrales y reglas para reuniones y comunicaciones. La filtración informal suele producirse fuera de la plataforma: correos copiados a demasiadas personas, agendas visibles, documentos impresos o comentarios en comités amplios.
El libro-registro no es un repositorio de libre consulta. Debe asegurar acceso restringido y conservación durante el periodo necesario y proporcionado. En el sistema, los datos solo pueden mantenerse el tiempo imprescindible para decidir si procede investigar; si no se inicia actuación en tres meses, la comunicación debe suprimirse, salvo evidencia anonimizada del funcionamiento. Cuando se abre investigación, la documentación necesaria debe trasladarse a un expediente seguro con su propia política de conservación.
ADVERTENCIA: La confidencialidad no consiste en guardar silencio frente a todo el mundo. Consiste en revelar únicamente a quien necesita conocer, para una finalidad legítima, con registro y control.
10. Protección de datos y derechos laborales: investigar sin sobrepasar el mandato
El tratamiento de datos vinculado al sistema tiene base legal, pero no es ilimitado. Rigen los principios de finalidad, minimización, exactitud, limitación de conservación, seguridad y responsabilidad proactiva. Deben excluirse datos manifiestamente irrelevantes, restringirse las categorías especiales y definir quién accede: Responsable del Sistema, gestor directo, recursos humanos cuando procedan medidas disciplinarias, servicios jurídicos si se contemplan acciones legales, encargados y delegado de protección de datos dentro de sus funciones.
La investigación puede requerir analizar correo corporativo, dispositivos, videovigilancia, geolocalización o archivos. El artículo 20.3 del Estatuto de los Trabajadores reconoce facultades de vigilancia y control, pero exige respeto a la dignidad. La Ley Orgánica 3/2018 añade garantías sobre uso de dispositivos, videovigilancia y geolocalización. Una búsqueda masiva, sin criterios ni política previa, puede convertir una sospecha legítima en una prueba cuestionable y una vulneración de derechos fundamentales.
La organización debe realizar una evaluación específica cuando el tratamiento presente alto riesgo, especialmente en investigaciones extensas, uso de herramientas automatizadas, monitorización sistemática o cruce de bases de datos. El delegado de protección de datos asesora, pero no debería asumir la instrucción si ello compromete su función independiente de supervisión.
Riesgo de privacidad
Control recomendado
Acceso excesivo
Matriz de roles, mínimo privilegio y registro de accesos.
Búsqueda indiscriminada
Palabras clave, periodo, custodios y finalidad previamente aprobados.
Datos sensibles irrelevantes
Filtrado, supresión o segregación inmediata.
Conservación indefinida
Calendario por fase: canal, expediente, acciones legales y cierre.
Transferencias internacionales
Análisis de proveedor, ubicación, garantías y contratos de tratamiento.
11. El informe final: separar hechos, indicios, inferencias y decisiones
El informe debe permitir que un decisor que no participó en la investigación comprenda qué se denunció, qué se hizo, qué evidencia existe, qué limitaciones hubo y por qué se alcanzó cada conclusión. La estructura recomendada incluye mandato, alcance, metodología, cronología, hechos acreditados, hechos no acreditados, análisis de controles, valoración jurídica separada, conclusiones y recomendaciones.
Debe evitarse el lenguaje penal concluyente. La empresa no declara que una persona “cometió un delito”; identifica hechos e indicios y valora riesgos. Tampoco debe confundir incumplimiento de política con ilícito penal. Las conclusiones deben vincular cada afirmación a evidencia concreta, describir versiones incompatibles y reconocer lagunas. Un informe que oculta incertidumbre es más vulnerable que uno que la explica.
No todos los destinatarios necesitan el informe completo. El órgano de administración puede recibir una versión ejecutiva y el comité disciplinario los hechos relevantes para su decisión. La identidad del informante y anexos sensibles deben segregarse. La distribución debe constar y cada copia estar clasificada. El informe no es un documento de marketing: puede llegar a una autoridad, un juzgado, un auditor, un inversor o una aseguradora.
Figura 3. La investigación defendible combina independencia, mandato, evidencia, derechos, informe y remediación.
12. Cuando aparecen indicios de delito: investigar, preservar y no autoincriminarse
El procedimiento debe prever la remisión inmediata al Ministerio Fiscal cuando los hechos puedan ser indiciariamente constitutivos de delito. Esta obligación exige criterio especializado: no toda irregularidad es delito, pero una empresa tampoco puede utilizar la investigación para ocultar, destruir o retrasar la comunicación legalmente procedente. La decisión debe basarse en hechos, tipicidad provisional, competencia y urgencia, y quedar documentada.
Al mismo tiempo, la empresa tiene derecho de defensa. Debe separar la función de instrucción del asesoramiento penal cuando exista riesgo de responsabilidad de la persona jurídica o de administradores. La colaboración, aportación de pruebas y adopción de medidas eficaces pueden resultar relevantes para la atenuación del artículo 31 quater del Código Penal; pero una entrega desordenada puede revelar información irrelevante, afectar a terceros o destruir la estrategia de defensa.
La respuesta debe coordinar cuatro planos: preservación de evidencia; cese o contención de la conducta; protección de personas; y decisión de comunicación a Fiscalía, autoridad administrativa, aseguradora, cliente, socio financiero u órgano supervisor. Cada comunicación tiene un destinatario, fundamento y nivel de detalle diferente. La transparencia no equivale a difusión indiscriminada.
DECISIÓN CRÍTICA: La investigación interna no sustituye a la investigación penal. Debe detectar, preservar y remediar sin interferir en la actuación de la autoridad ni renunciar a una defensa corporativa técnicamente organizada.
13. Represalias: el riesgo continúa después del cierre
La Ley 2/2023 prohíbe represalias, amenazas y tentativas. El concepto abarca despido, suspensión, sanción, degradación, denegación de ascenso, cambios desfavorables, daños reputacionales, inclusión en listas, pérdida de contratos, intimidación o aislamiento. No toda decisión adversa posterior es represalia, pero la empresa debe poder demostrar que responde a hechos acreditados, ajenos a la comunicación y tramitados con garantías.
La protección no depende de que la denuncia resulte finalmente probada. Basta que la persona tuviera motivos razonables para pensar que la información era veraz y estaba comprendida en el ámbito legal. Una denuncia no acreditada no puede transformarse automáticamente en una acusación falsa. Solo la comunicación realizada a sabiendas de su falsedad queda fuera de la buena fe y puede generar responsabilidad.
El plan antirrepresalias debe continuar tras el informe. Conviene revisar durante un periodo definido las evaluaciones, promociones, cambios de puesto, expedientes disciplinarios, terminaciones contractuales y relaciones con proveedores vinculados al informante. El control no implica privilegio laboral; crea trazabilidad para distinguir una decisión legítima de una reacción prohibida.
Momento
Control antirrepresalias
Recepción
Evaluación inicial de exposición, contacto seguro y advertencia de no represalia.
Investigación
Necesidad de medidas laborales, cambios temporales y registro de interacciones.
Decisión
Revisión jurídica independiente de sanciones o medidas que afecten al informante.
Postcierre
Seguimiento de decisiones adversas, clima, acceso a proyectos y relaciones contractuales.
14. Sanciones y daño empresarial: el coste no termina en la multa
El incumplimiento de la obligación de disponer del sistema, las represalias, la obstaculización, la vulneración de confidencialidad o anonimato y la revelación de la identidad pueden constituir infracciones muy graves. Para personas jurídicas, las multas pueden alcanzar 1.000.000 de euros. Además, pueden imponerse amonestación pública, prohibición de obtener subvenciones o beneficios fiscales y prohibición de contratar con el sector público.
La exposición económica directa es solo una parte. Un canal ineficaz puede producir nulidad de despidos, indemnizaciones por derechos fundamentales, sanciones de protección de datos, pérdida de contratos, exclusión de licitaciones, incumplimientos de financiación y daño reputacional. También puede agravar la posición penal de la sociedad si demuestra que los controles existían sobre el papel pero no reaccionaban ante alertas.
La Autoridad Independiente de Protección del Informante se encuentra operativa y ha comenzado a desarrollar recomendaciones, sede electrónica y estructura de supervisión. La gestión del sistema ha dejado de ser una obligación sin autoridad visible. El consejo debe recibir indicadores periódicos: tiempos de acuse, admisión, cierre, conflictos, categorías, medidas correctoras, reincidencias, represalias y eficacia del control, siempre en forma agregada y respetando la confidencialidad.
Figura 4. La madurez del sistema se mide por confianza, trazabilidad, protección y aprendizaje, no por la plataforma contratada.
15. Diez errores que convierten el canal en papel mojado
1. Contratar una plataforma y no aprobar política, procedimiento ni rutas de decisión.
2. Designar como Responsable a quien depende jerárquicamente de las personas que debe investigar.
3. Prometer anonimato cuando solo puede garantizarse confidencialidad.
4. Avisar al denunciado antes de preservar correo, registros, documentos y dispositivos.
5. Permitir que recursos humanos, dirección o consejo accedan al expediente completo sin necesidad.
6. Investigar hechos penales con entrevistas informales y capturas de pantalla sin cadena de custodia.
7. Confundir una denuncia no acreditada con una denuncia falsa y adoptar represalias.
8. Cerrar el expediente por vencimiento o cansancio sin explicar diligencias, límites y conclusión.
9. Sancionar laboralmente sin coordinar la investigación con convenio, procedimiento y derechos fundamentales.
10. Archivar el caso sin revisar controles, responsables, formación, riesgos y seguimiento posterior.
LECCIÓN: La mayor contingencia no es recibir una denuncia grave. Es demostrar después que la empresa supo de ella y eligió no investigar, investigó sin independencia o reaccionó contra quien informó.
16. Protocolo de implantación y revisión en 90 días
Fase
Actuaciones
Resultado
Días 1-15 · Diagnóstico
Mapa de entidades obligadas, canales existentes, flujos, proveedores, conflictos y normativa sectorial.
Informe de brechas y plan priorizado.
Días 16-30 · Gobierno
Política, designación y suplencia del Responsable, comunicación a autoridad, recursos y reporting al consejo.
Arquitectura de responsabilidades.
Días 31-45 · Procedimiento
Admisión, plazos, protección, investigación, remisión, cierre, archivo y libro-registro.
Procedimiento único y ejecutable.
Días 46-60 · Investigación
Plantillas de mandato, legal hold, entrevistas, evidencia digital, informe y remediación.
Kit de investigación defendible.
Días 61-75 · Tecnología y datos
Accesos, cifrado, logs, retención, encargados, evaluación de riesgos y pruebas de seguridad.
Canal seguro y trazable.
Días 76-90 · Formación y prueba
Simulación de caso, formación por roles, indicadores, auditoría y plan anual de mejora.
Sistema probado, no solo documentado.
RESULTADO ESPERADO: Una carpeta jurídica y operativa única con política, procedimiento, nombramientos, contratos, matriz de conflictos, legal hold, entrevistas, informe, remediación, formación y evidencias de prueba.
17. Checklist ejecutivo para administradores y alta dirección
- ¿El órgano de administración aprobó formalmente la política y el procedimiento?
- ¿El Responsable del Sistema tiene independencia, presupuesto, suplencia y acceso directo al órgano adecuado?
- ¿El canal permite comunicaciones escritas, verbales, anónimas y reunión presencial?
- ¿Existe acuse en siete días y control automático del plazo de tres meses?
- ¿La entidad distingue confidencialidad, anonimato y secreto profesional?
- ¿Hay un protocolo de legal hold y preservación de correo, mensajería, ERP, cámaras y dispositivos?
- ¿Los conflictos de interés activan un instructor o comité alternativo?
- ¿Las entrevistas, actas, evidencias y decisiones quedan trazadas?
- ¿La investigación respeta intimidad, protección de datos, presunción de inocencia y honor?
- ¿La empresa monitoriza represalias y puede justificar decisiones adversas posteriores?
- ¿El informe separa hechos, indicios, análisis jurídico y recomendaciones?
- ¿Cada cierre produce medidas correctoras, revisión de riesgos y aprendizaje del sistema?
18. Preguntas frecuentes
¿Es lo mismo un canal de denuncias que un Sistema interno de información?
No. El canal es la vía de recepción. El sistema incluye gobierno, política, Responsable, procedimiento, investigación, protección, registro, seguridad y medidas correctoras.
¿Puede externalizarse la gestión?
Sí, con garantías de independencia, confidencialidad, datos y secreto. La externalización no transfiere la responsabilidad del órgano de administración ni del Responsable del Sistema.
¿Debe admitirse una denuncia anónima?
Sí. El canal debe permitir la presentación y tramitación anónima. Si el informante se identifica, su identidad debe quedar reservada y no puede comunicarse a la persona afectada.
¿Cuándo debe informarse a la persona investigada?
Debe ser informada de las acciones u omisiones atribuidas y oída en el momento y forma adecuados para garantizar el buen fin de la investigación. No tiene derecho a conocer la identidad del informante.
¿Puede la empresa revisar el correo corporativo?
Puede adoptar medidas de control dentro del marco laboral y de protección de datos, pero el acceso debe ser necesario, proporcional, vinculado a una finalidad legítima y coherente con las políticas e información previas.
¿Una denuncia no acreditada es una denuncia falsa?
No. La protección alcanza a quien tenía motivos razonables para considerar veraz la información, aunque no aporte prueba concluyente. La falsedad exige conocimiento de que la información no era cierta.
¿Cuánto puede durar la investigación?
La respuesta no debe superar tres meses desde la recepción, ampliables hasta otros tres en casos de especial complejidad. Las medidas urgentes de preservación y protección deben adoptarse desde el inicio.
¿Debe remitirse siempre el informe al Ministerio Fiscal?
El procedimiento debe prever remisión inmediata cuando los hechos pudieran ser indiciariamente delictivos. La calificación debe realizarse con criterio penal especializado y sin confundir incumplimientos internos con delitos.
Conclusión: la confianza se diseña y la defensa se documenta
El canal de denuncias representa una oportunidad excepcional: permite que la empresa conozca una irregularidad antes que un juzgado, un regulador, un cliente o los medios. Pero esa ventaja solo existe durante un breve periodo. Si la organización filtra, improvisa, destruye prueba, protege a la jerarquía o castiga al informante, el canal deja de ser una herramienta de prevención y se convierte en evidencia de un fallo de gobierno.
La investigación interna debe ser suficientemente rápida para controlar el riesgo y suficientemente rigurosa para sostener una decisión. Debe proteger al informante sin prejuzgar a la persona afectada; preservar la prueba sin invadir indiscriminadamente la intimidad; colaborar con las autoridades sin renunciar a la defensa; y corregir el sistema sin convertir cada caso en una crisis pública.
La pregunta decisiva para el consejo no es si la empresa tiene un enlace llamado “canal ético”. Es si podría demostrar, ante una autoridad o un tribunal, que recibió la alerta, protegió a las personas, conservó la evidencia, investigó con independencia, decidió con fundamento y corrigió el riesgo. Esa es la diferencia entre cumplimiento formal y verdadera continuidad empresarial.
CIERRE: Las empresas que investigan bien no prometen que nunca ocurrirá una irregularidad. Demuestran que, cuando ocurre, saben detectarla, contenerla, esclarecerla y evitar que se repita.
Fuentes jurídicas y técnicas
Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas: arts. 1-12, 26, 29-33, 35-41 y 60-68 - Fuente oficial BOE.
Real Decreto 1101/2024, de 29 de octubre, por el que se aprueba el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I. - Fuente oficial BOE.
Autoridad Independiente de Protección del Informante, Recomendación 1/2026 (v2) para el diseño e implementación de un Sistema Interno de Información - Fuente oficial AIPI.
Ley Orgánica 10/1995, de 23 de noviembre, Código Penal: arts. 31 bis y 31 quater - Fuente oficial BOE.
Fiscalía General del Estado, Circular 1/2016, sobre la responsabilidad penal de las personas jurídicas - Fuente oficial.
Reglamento (UE) 2016/679 y Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales - Fuentes oficiales.
Real Decreto Legislativo 2/2015, Estatuto de los Trabajadores: art. 20.3 - Fuente oficial BOE.
Agencia Española de Protección de Datos, Guía “La protección de datos en las relaciones laborales” - Fuente oficial AEPD.
UNE-ISO 37002:2021, Sistemas de gestión de la denuncia de irregularidades. Directrices; ISO/TS 37008:2023, Internal investigations of organizations - Referencias técnicas.
Ficha de publicación web
Elemento
Contenido recomendado
Título SEO
Canal de denuncias e investigaciones internas: cómo evitar una crisis penal
URL
/canal-denuncias-investigaciones-internas-empresa/
Metadescripción
Cómo gestionar el canal de denuncias e investigar con independencia, confidencialidad y prueba válida para proteger a la empresa.
Intención de búsqueda
Empresas que necesitan implantar, auditar o gestionar un canal; investigar fraude, acoso, corrupción o filtraciones; evitar sanciones y crisis penales.
CTA
Auditoría del Sistema interno de información, investigación interna independiente, legal hold y defensa penal corporativa.
PROTECCIÓN JURÍDICA CORPORATIVA: Diseñamos y auditamos Sistemas internos de información, dirigimos investigaciones internas y coordinamos su impacto penal, laboral, societario, reputacional y de protección de datos.
