La Ley 2/2023, de 20 de febrero, sobre la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, constituye una de las reformas más significativas en el ámbito del compliance y la transparencia en España. Esta ley, conocida también como la «Ley de protección al denunciante«, se inspira en la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, que busca garantizar que cualquier persona que denuncie actos ilícitos o corruptos no sufra represalias y reciba la protección adecuada.

El objetivo principal de la ley es establecer un marco normativo que permita a los denunciantes informar sobre conductas irregulares de manera segura y confidencial. La normativa exige la creación de canales internos de denuncia y asegura medidas de protección para los denunciantes frente a cualquier tipo de represalia, como el despido injustificado, la discriminación o cualquier forma de perjuicio laboral. Además, se contemplan sanciones para aquellas entidades que no cumplan con los requisitos establecidos por la ley.

¿Cuándo implementar la Ley 2/2023?

La implementación de la Ley 2/2023 debe ser prioritaria para las organizaciones, especialmente considerando los plazos establecidos por la misma. Todas las empresas y entidades públicas deben cumplir con los requisitos de esta ley desde el momento de su entrada en vigor, el 13 de marzo de 2023. Sin embargo, la ley otorga un período de adaptación para aquellas organizaciones que necesiten tiempo para establecer los mecanismos y procesos necesarios para el cumplimiento.

En el caso de las empresas con más de 50 empleados, se espera que los canales de denuncia estén operativos a más tardar el 17 de diciembre de 2023. Las entidades públicas también deben cumplir con estos plazos. No obstante, para las empresas más pequeñas, con entre 50 y 249 empleados, se otorga una prórroga adicional hasta el 17 de diciembre de 2024.

¿A quién le afecta esta legislación?

La Ley 2/2023 afecta a una amplia gama de entidades tanto en el sector público como en el privado. Específicamente, están obligadas a cumplir con esta ley:

• Empresas privadas: Todas las empresas que cuenten con 50 o más empleados deben implementar los canales internos de denuncia y asegurar la protección de los denunciantes.
• Entidades públicas: Todas las administraciones públicas, incluidas las entidades locales, autonómicas y nacionales, están obligadas a cumplir con la normativa.
• Partidos políticos, sindicatos y organizaciones empresariales: Independientemente de su tamaño, estas entidades deben establecer canales de denuncia y garantizar la protección de los denunciantes.
• Fundaciones y asociaciones: Aquellas entidades que reciban fondos públicos o que tengan una estructura significativa también están obligadas a cumplir con los requisitos de la ley.

El objetivo principal de la ley es establecer un marco normativo que permita a los denunciantes informar sobre conductas irregulares de manera segura y confidencial.
Compartir en X

¿Cómo implementarla?

La implementación de la Ley 2/2023 requiere un enfoque estratégico y meticuloso, abarcando varios aspectos clave:

1. Creación de canales de denuncia: Las organizaciones deben establecer canales internos de denuncia que permitan a los empleados y otras partes interesadas informar sobre infracciones de manera segura y confidencial. Estos canales pueden ser digitales o físicos, pero deben garantizar la privacidad del denunciante.
2. Designación de un responsable: Es fundamental nombrar a una persona o equipo responsable de gestionar las denuncias y asegurar el cumplimiento de la ley. Esta persona debe tener la autoridad y los recursos necesarios para llevar a cabo su función de manera efectiva.
3. Protección del denunciante: Las organizaciones deben implementar medidas claras para proteger a los denunciantes contra cualquier forma de represalia. Esto incluye políticas contra el despido injustificado, la discriminación y otras formas de perjuicio.
4. Capacitación y concienciación: Es crucial proporcionar formación adecuada a todos los empleados sobre la importancia de la ley, los canales de denuncia disponibles y las medidas de protección para los denunciantes. Esto asegura que todos los miembros de la organización estén informados y comprometidos con el cumplimiento de la normativa.
5. Monitoreo y evaluación: Las organizaciones deben establecer mecanismos para monitorear y evaluar continuamente la efectividad de los canales de denuncia y las medidas de protección. Esto puede incluir auditorías internas y revisiones periódicas de los procedimientos.

Software de GRCTools para saber más sobre la Ley 2/2023

La tecnología juega un papel crucial en el cumplimiento de la Ley 2/2023. El uso de herramientas de software especializadas puede facilitar la implementación y gestión de los requisitos normativos. Una de las soluciones más completas en el mercado es el Software Canal de Denuncias de GRCTools.

GRCTools ofrece una plataforma integral que ayuda a las organizaciones a establecer y gestionar sus canales de denuncia de manera eficiente y segura. Entre sus características destacadas se incluyen:

• Canales de denuncia seguros: Proporciona una interfaz amigable y segura para que los empleados y otras partes interesadas puedan reportar infracciones de manera confidencial.
• Gestión de casos: Facilita la administración de denuncias desde la recepción hasta su resolución, asegurando un seguimiento adecuado y la protección del denunciante.
• Reportes y análisis: Permite generar informes detallados y análisis sobre las denuncias recibidas, ayudando a identificar patrones y áreas de riesgo.
• Cumplimiento normativo: Asegura que todos los procedimientos estén alineados con los requisitos de la Ley 2/2023 y otras normativas relevantes.
• Capacitación y soporte: Ofrece recursos educativos y soporte técnico para ayudar a las organizaciones a implementar y mantener sus sistemas de denuncia.

La entrada ¿Qué es la Ley 2/2023? se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

Los profesionales en el área de cumplimiento deben diseñar una política de denuncia de irregularidades que resulte adecuada para los objetivos propuestos, de acuerdo con la legislación local, nacional y, sobre todo, con la Directiva de la UE.

La disparidad de jurisdicciones indicaría que este tendría que ser un documento único para cada organización, dependiendo de su sector, su país e incluso, su ciudad de domicilio. Esto es en parte cierto. Sin embargo, hay elementos comunes que deben formar parte de la política de denuncia de irregularidades, independientemente de los requisitos legales particulares.

Política de denuncia de irregularidades – ¿Qué es y por qué tener una?

En un contexto muy amplio, la política de denuncia de irregularidades es el documento que utiliza la Alta Dirección de una organización para afirmar su compromiso con la seguridad y protección de los informantes, pero también de que la organización realizará investigaciones ágiles e imparciales de los hechos denunciados.

La política incorpora una serie de procedimientos estandarizados para tratar las denuncias y las investigaciones dentro de la organización, siempre enfocados en la protección del denunciante y en la obtención de resultados definitivos en el menor tiempo posible. Aunque su utilidad resulta evidente, hay otras razones que reafirman la necesidad de contar con una política sobre las denuncias e informes de irregularidades:

1. Cumplimiento

En el ámbito de aplicación de la Directiva de Denuncia de Irregularidades de la UE, las organizaciones de todos los sectores deben diseñar e implementar procedimientos internos para comunicar los protocolos de atención de denuncias, y se solicita específicamente que esta información sea “clara y de fácil acceso” para los trabajadores y para otras partes interesadas.

2. Prevenir infracciones de cumplimiento y delitos

A pesar de que auditorías, inspecciones y revisiones arrojan información valiosa sobre fraudes, actos de corrupción o infracciones de cumplimiento, la mayor parte de este tipo de conductas sigue revelándose a través de canales de denuncia.

Prevenir delitos e infracciones de cumplimiento, antes de que afecten la reputación de la organización, es entonces otro argumento definitivo para redactar y comunicar una política de denuncia de irregularidades.

3. Fomentar una cultura ética y crear un entorno que apoye la legalidad

Los empleados se sentirán seguros denunciando si saben que sus líderes están dispuestos a protegerlos y a apoyarlos. Esto genera la construcción de una cultura ética, en la que lo que está mal es reprobado y denunciado.

¿Qué incluir en una política de denuncia de irregularidades?

Una política de denuncia debe promover un compromiso con el comportamiento ético y fomentar una cultura en la que lo que no es aceptable se informe de manera segura y antes de que cause daño.

En este sentido, es importante considerar lo que es admisible en términos éticos y legales en cada país. No obstante, en cualquier lugar del mundo, el contenido mínimo que se espera encontrar en una política de denuncia es:

1. ¿Quién es un denunciante?

La política debe explicar con claridad a quién considera un denunciante. En el caso de la Unión Europea, la política debe proteger a empleados y exempleados, becarios, autónomos, empleados de un proveedor, socios comerciales e, incluso, terceros relacionados con las organizaciones o personas denunciadas. La protección tendrá alcance sobre estos denunciantes, pero también sobre sus familias.

2. ¿Qué se debe denunciar?

Es muy importante que la política declare con certeza total el tipo de asuntos que pueden y deben ser reportados, y lo que no es objeto de denuncia y debe ser tratado en otro tipo de escenarios.

En términos generales, los ámbitos de denuncia típicos son:

• Fraude contable.
• Malas prácticas financieras.
• Soborno y cualquier otra forma de corrupción.
• Evasión de impuestos.
• Lavado de dinero.
• Robo.
• Financiación de actividades criminales.
• Acciones que causen daño ambiental.
• Incumplimiento de normas de salud y seguridad laboral.
• Infracciones a las normas de seguridad y salud pública.

Los informes sobre quejas personales, acoso o intimidación, a pesar de la gravedad de este tipo de conductas, no son cubiertas por la política de denuncias y la organización implementará otro tipo de canales para reportar estos hechos.

3. ¿Qué tipo de canales tiene a disposición el denunciante?

Las organizaciones deben disponer y promover canales internos seguros y protegidos, para que las personas denuncien las conductas mencionadas, verificando que:

• Exista la posibilidad de ofrecer informes de manera confidencial.
• Existan diferentes tipos de canales seguros para los denunciantes que decidan hacerlo de forma personal, verbal o por escrito.
• Los canales disponibles sean accesibles dentro y fuera de las instalaciones de la organización.
• Se implementen los protocolos para que, una vez presentada la denuncia, se proteja al denunciante y se eviten las represalias.
• El denunciante obtenga acuse de recibo de la denuncia en un término no mayor a siete días.

4. ¿Qué trámite seguirán las denuncias?

Es importante que el denunciante sepa qué sucederá después de presentar un informe, y a qué se compromete la organización. La Directiva de la Unión Europea solicita que la organización designe personas y áreas apropiadas para recibir, investigar y ofrecer resultados. Y esto debe aparecer en el contenido de la política de denuncia.

5. ¿Cómo se tratarán las represalias?

Una de las razones para que exista un Directiva de la Unión Europea y, en consecuencia, una política de denuncia de irregularidades, es proteger al denunciante de las represalias, que pueden ir desde el acoso, la intimidación y el despido, hasta las agresiones físicas que atenten contra su integridad o la de su familia.

La política, aunque intenta limitar esta posibilidad, debe contemplar acciones a seguir en caso de que se presenten represalias. El denunciante debe saber qué hacer y cómo protegerse en un caso extremo.

Software ISO 37001 de ISOTools

La entrada en vigor de la Nueva Directiva de la Unión Europea marca un camino de obligatorio cumplimiento para las organizaciones que superan los 50 empleados. Dentro de las muchas acciones que tendrán que poner en marcha, está la implementación de canales de denuncia y procesos de gestión de denuncia conformes con la Directiva.

Garantizar el anonimato de la denuncia de irregularidades así como hacer una adecuada gestión de riesgos de corrupción y seguimiento de los procesos relacionados requiere contar con las herramientas adecuadas. El software ISOTools ISO 37001 es la solución tecnológica líder para un control eficaz y gestión ágil de programas de cumplimiento y lucha contra el soborno.

Este es el mejor momento para contar con el apoyo de esta avanzada herramienta. Reciba ahora más información sobre el software ISOTools ISO 37001.

La entrada Política de denuncia de irregularidades: qué incluir y cómo crearla se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.

En este punto, a tres meses de la entrada en vigor de la Directiva de Protección del Denunciante de la UE, en las organizaciones aparece una duda común y apenas entendible: ¿la Directiva aplica a nuestra organización?

Es esta una de las preguntas que hoy resolvemos. Pero también hablamos de cómo alcanzar la conformidad con la Directiva de Protección del Denunciante de la UE y de las acciones clave para incorporarla al Sistema de Gestión Anticorrupción de la organización.

Directiva de Protección del Denunciante de la UE – ¿Aplica a nuestra organización?

La Directiva aplica, en primera instancia, para las organizaciones que operan en cualquier estado miembro de la UE, y tienen 50 o más empleados, ya sea que pertenezca al sector público o al sector privado.

Pero los Estados se reservan la facultad de extender el alcance de la Directiva, a organizaciones con un menor número de trabajadores, o a todas aquellas que desarrollen cierto tipo de actividades altamente reguladas o que presenten riesgos significativos para la salud pública o el medio ambiente.

Directiva de Protección del Denunciante de la UE – ¿Cómo alcanzar la conformidad?

La publicación y aprobación de la Directiva es la respuesta a eventos que en su momento protagonizaron los telediarios, y que implicaron a importantes organizaciones. Los Papeles de Panamá, es un incidente especialmente relevante para el tema que hoy nos ocupa, sobre todo porque en este “escándalo” se evidenció la falta de protección para los denunciantes.

De ahí que el objetivo principal de la Directiva de Protección del Denunciante de la UE sea conducir a las organizaciones, desde medianas hasta grandes corporaciones, a implementar medidas que garanticen la seguridad de los denunciantes.

Para lograr este objetivo, la Directiva plantea tomar las siguientes acciones clave:

1. Crear canales de denuncia y procesos de investigación seguros y efectivos

Un punto esencial considerado por la nueva directiva, aunque ya planteado en los programas anticorrupción basados en el estándar ISO 37001, es la implementación de canales de denuncia y procesos de investigación efectivos, ágiles, transparentes y, sobre todo, seguros.

Una novedad importante en este punto es que la obligación es, además de las organizaciones comprendidas ya mencionadas, para los municipios que cuenten con más de 10.000 habitantes.

Por supuesto, para efectos judiciales, los Estados tendrán que perfeccionar normativas para aclarar la procedencia o no de denuncias anónimas y, en general, sobre los mecanismos de denuncia que dispongan las organizaciones, que bien pueden ser electrónicos, presenciales, o a través de informes escritos en papel.

Esto puede requerir capacitación y formación para gerentes de área o directores de Recursos Humanos, o del área específica de cumplimiento y gestión anticorrupción. En estos programas, el tema de la confidencialidad en favor del denunciante, tendrá un lugar predominante.

2. Conocer los niveles de jerarquía de la divulgación sobre actos de corrupción

La Directiva pone en orden un tema que ha generado conflicto en los programas anticorrupción implementados con base en ISO 37001. Tanto el estándar como la Directiva solicitan a las organizaciones proporcionar información clara, accesible, comprensible y transparente, a todos los empleados y partes interesadas, sobre el uso de los diferentes canales de denuncia.

El objetivo es alentar y promover la denuncia. Pero la Directiva va más allá al plantear tres niveles de notificación:

• Primer nivel, que alienta a los empleados a denunciar al interior de la organización, haciendo uso de los canales dispuestos para ello, y concediendo un término de tres meses para que la organización responda, garantizando durante este periodo de tiempo la confidencialidad.
• Segundo nivel, que permite a los denunciantes acudir directamente a autoridades externas, bien sea estatales o a nivel de la UE. Estos casos deben resolverse igualmente en un periodo de tres meses, que, eventualmente, puede ir hasta los seis meses.
• Tercer nivel, que plantea la posibilidad de presentar quejas y denuncias en medios de comunicación, especialmente cuando la información tenga relevancia para el público en general, un alto riesgo de represalias para el denunciante, o una manifiesta desatención por parte de la organización y del Estado.

3. Comprender quién necesita y debe ser protegido

La Directiva de Protección del Denunciante de la UE amplía el requerimiento de protección para alcanzar a un mayor número de personas que tienen la posibilidad de denunciar información sobre infracciones. Además de empleados, la Directiva incluye a voluntarios, becarios, ejecutivos y no ejecutivos, accionistas, y cualquier persona que trabaje en el sector público o privado y que pueda ofrecer información relevante para la investigación.

La protección también se aplica a las personas que, en el momento de la denuncia, aún no han establecido una relación laboral, o que ya la han concluido. Se refiere específicamente a personas que se encuentran en un proceso de selección de personal, o a trabajadores que han renunciado o han sido despedidos. La Directiva también considera objetivo de la protección, a familiares, facilitadores, colegas o cualquier tercero que facilite la denuncia o tenga alguna participación en los hechos investigados.

4. Tener en cuenta la ampliación del alcance

Además de ampliar el espectro para los beneficiarios de la protección, y el rango de organizaciones a las que aplica la Directiva, esta también tiene ahora un alcance sobre conductas punibles: corrupción en la contratación pública, en los servicios financieros, blanqueo de capitales, financiación del terrorismo, salud pública, protección y privacidad de datos, seguridad de los productos, seguridad de la información, y, básicamente, cualquier hecho que represente una infracción a la legislación de la Unión Europea.

5. Implementar medidas de protección efectivas

Acciones que tradicionalmente se han ejercido como represalias, como el despido, el acoso, la suspensión, degradación, intimidación, negar el acceso a servicios o contraprestaciones establecidas, o calificar como deficiente el trabajo, están ahora bajo el foco de la Directiva de Protección del Denunciante de la UE.

Pero la Directiva no solo obliga a las organizaciones a implementar garantías para prevenir estas acciones. Es preciso comunicar ampliamente la existencia de esas garantías, en todos los niveles y en todas las ubicaciones cuando este sea el caso.

6. Implementar procesos efectivos para la investigación y respuesta de las denuncias

Con tan poco tiempo para proceder y entregar resultados, las organizaciones tendrán que afinar sus procesos para gestionar con celeridad, transparencia y efectividad las denuncias presentadas. Es necesario que los denunciantes sepan con antelación cuál será el proceso que seguirá la denuncia, quiénes se encargarán de la investigación y quién tendrá la autoridad para tomar una decisión antes del vencimiento del término establecido por la Directiva de Protección del Denunciante de la UE.

Las organizaciones que ya han implementado un programa anticorrupción basado en la norma ISO 37001 tendrán poco trabajo que hacer para alcanzar la conformidad con la Directiva de Protección del Denunciante de la UE. Las que no lo han hecho, encontrarán grandes beneficios en la implementación del estándar.

Software ISO 37001 de ISOTools

Esta es una avanzada solución tecnológica que aporta las funcionalidades requeridas para automatizar la gestión de un Sistema de Gestión Anticorrupción, basado en el estándar internacional ISO 37001, en cualquier tipo de organización.

ISO 37001 es el estándar internacional diseñado para que las organizaciones puedan luchar contra el fraude, el soborno y otras manifestaciones de corrupción. El Software ISO 37001 de ISOTools, que asegura a las organizaciones alcanzar la conformidad con los requisitos de la norma, y ahora, con lo solicitado por la Directiva de Protección del Denunciante de la UE.

Las organizaciones encuentran hoy una gran oportunidad para llevar sus programas de gestión anticorrupción a un nivel de excelencia. El primer paso es este.

La entrada 6 Acciones clave para preparar el cumplimiento de la Directiva de Protección del Denunciante de la UE se publicó primero en Normas Compliance Antisoborno ISO 37001, ISO 37301 e ISO 19600.