- ¿Por qué algunas pymes están ahora obligadas a comunicar el responsable del canal de denuncias?
- ¿Dónde deben comunicar las pymes su responsable?
- También afecta a empresas con menos de 50 empleados si tienen canal interno
- ¿Quién puede ser el responsable y qué requisitos debe cumplir?
- Sanciones de hasta un millón de euros por incumplir la norma
- La protección del informante, eje de todo el sistema
Las pymes se encuentran en la recta final para comunicar el responsable de su canal de denuncias. El 1 de noviembre, las empresas con más de 50 trabajadores deberán haber informado ya de quién es la persona designada para esta función. Esta obligación, establecida en la Ley 2/2023, se activó definitivamente tras la puesta en marcha de la Autoridad Independiente de Protección al Informante, el pasado 1 de septiembre.
Aunque la norma se dirige principalmente a las empresas de mayor tamaño, también deben comunicarlo aquellos pequeños negocios que ya cuenten con un canal interno de denuncias; puesto que disponer de este sistema activa de forma automática la aplicación íntegra de la ley. Se trata de un aspecto que muchos empresarios desconocen, advirtió Felipe García, abogado especialista en derecho penal económico y socio-director de Círculo Legal.
El incumplimiento puede acarrear multas de hasta un millón de euros, según la gravedad, y derivar incluso en responsabilidad directa para los administradores que no cumplan con sus deberes de supervisión y diligencia.
La comunicación del responsable debe hacerse por vía telemática. Según explicó Felipe García, esta figura ha de ser un directivo con formación específica que actúe con autonomía y criterio propio. En las microempresas con estructuras más simples, el administrador único puede asumir esta función, siempre que garantice la correcta gestión del canal y la protección a quien presente una denuncia.
¿Por qué algunas pymes están ahora obligadas a comunicar el responsable del canal de denuncias?
El plazo para comunicar el responsable del canal de denuncias no es nuevo, pero ahora sí es exigible. Todo se remonta a la Directiva (UE) 2019/1937, que obligaba a los Estados miembros a aprobar una normativa nacional para proteger a las personas que informen sobre infracciones o casos de corrupción. España fue uno de los países que más se retrasó en su trasposición, lo que incluso le ha supuesto un procedimiento sancionador abierto por parte de la Unión Europea.
Finalmente, la obligación se incorporó a través de la Ley 2/2023, en vigor desde diciembre de 2023, que establecía que todas las empresas de entre 50 y 249 trabajadores debían implantar un sistema interno de información o canal de denuncias. Sin embargo, hasta ahora faltaba un elemento clave: la autoridad encargada de supervisar y sancionar su cumplimiento.
“Desde la puesta en funcionamiento de la Autoridad Independiente de Protección al Informante (A.A.I.) el 1 de septiembre, las pymes disponen de dos meses para comunicar quién es el responsable de su sistema interno de información”, explicó Felipe García, abogado penalista y socio-director de Círculo Legal. Esta fecha se deriva del nombramiento de su presidente, Manuel Villoria, que marcó el inicio oficial de la actividad del organismo.
Según el experto, la entrada en funcionamiento de la AAI supone “el punto de inflexión entre una obligación teórica y una obligación efectiva”. Hasta ahora, muchas empresas habían pospuesto el cumplimiento por la falta de un órgano sancionador activo, pero a partir del 1 de noviembre la comunicación del responsable pasa a ser una exigencia legal en firme.
¿Dónde deben comunicar las pymes quién es el responsable del canal?
La comunicación debe hacerse por vía telemática, a través del portal oficial de la AAI, utilizando certificado digital, Cl@ve PIN o Cl@ve permanente, de forma similar a otros trámites con la Administración.
Además, según recomienda el abogado Felipe García, es aconsejable que las pymes con sede en comunidades que cuentan con su propia autoridad autonómica (Cataluña, Comunidad de Madrid, Galicia, Navarra, Comunidad Valenciana o Andalucía) realicen una doble comunicación: una a nivel estatal y otra ante la autoridad autonómica correspondiente. “No está de más cumplir en ambas instancias; lo importante es dejar constancia de que la empresa ha comunicado correctamente su responsable”, subrayó el experto.
También afecta a empresas con menos de 50 empleados si tienen canal interno
Aunque la obligación de comunicar el responsable del canal de denuncias se dirige principalmente a las empresas con más de 50 trabajadores, también alcanza a aquellas más pequeñas que ya dispongan de un sistema interno de información. Tal y como explicó Felipe García, “si una empresa tiene implantado un canal de denuncias, la ley le aplica de lleno, aunque tenga menos de 50 empleados”.
Esto significa que cualquier negocio que haya puesto en marcha su propio canal, ya sea por iniciativa propia, por exigencia de clientes o por mantener contratos con la Administración, debe igualmente comunicar quién es su responsable ante la AAI. No hacerlo puede considerarse un incumplimiento formal y conllevar sanciones.
¿Quién puede ser el responsable y qué requisitos debe cumplir?
El responsable del canal de denuncias no puede ser cualquier trabajador. La ley exige que esta figura sea un directivo con independencia y formación específica, capaz de garantizar la confidencialidad de las comunicaciones y la correcta tramitación de las denuncias. Debe reportar directamente al consejo de administración o al órgano de gobierno equivalente, y actuar con autonomía y criterio propio, sin recibir presiones internas.
Según explicó Felipe García, “el responsable tiene que ser un directivo que conozca la norma, el objeto y las obligaciones del sistema interno de información”. Además, añadió que este perfil debe tener la capacidad de “controlar la gestión y el correcto uso del canal para asegurar que se tramitan las denuncias conforme a la ley y se protege al informante”.
En el caso de microempresas o sociedades unipersonales, la propia ley permite que el administrador único asuma el papel de responsable del sistema interno de información. Eso sí, debe ser consciente de que asume la responsabilidad última ante la autoridad y de que su nombre figurará en la comunicación oficial a la AAI como responsable designado.
Se puede delegar la gestión, pero no la responsabilidad
Las pymes pueden externalizar la recepción, tramitación o investigación de las denuncias a despachos de abogados o empresas especializadas. “Se puede delegar la gestión, pero no la responsabilidad”, recordó Felipe García.
Sanciones de hasta un millón de euros por incumplir la norma
Las pymes pueden externalizar la recepción, tramitación o investigación de las denuncias a despachos de abogados o empresas especializadas, pero la responsabilidad última recae siempre en el responsable comunicado a la AAI. “Se puede delegar la gestión, pero no la responsabilidad”, recordó Felipe García, quien subrayó que la empresa debe garantizar en todo momento la correcta gestión del sistema y la protección del informante.
El incumplimiento de la Ley 2/2023 puede acarrear sanciones que van desde los 100.000 euros hasta un millón, según la gravedad. Las faltas leves se sancionan con hasta 100.000 euros; las graves, entre 100.000 y 600.000 euros; y las muy graves, entre 600.000 y 1.000.000 euros. No garantizar la confidencialidad del informante o no hacer una correcta gestión de la denuncia puede considerarse infracción grave o muy grave.
Sin embargo, todavía no se sabe cómo se aplicarán las sanciones por no comunicar el responsable del canal de denuncias, ya que la AAI acaba de iniciar su actividad y no dispone aún de personal para instruir expedientes.
Según el abogado penalista Felipe García, “a pesar del plazo que tienen las pymes, ahora mismo la virtualidad de que se puedan promover expedientes sancionadores es muy baja, porque la autoridad solo cuenta con un presidente y el personal adscrito aún no está”. Aun así, advirtió que “el que quiere cumplir, cumple, y no debería esperar a que lleguen las primeras sanciones”.
El letrado subrayó que la represalia contra un informante, ya sea mediante despido, degradación o perjuicios a su entorno, “es uno de los supuestos más severamente castigados y puede suponer sanciones de hasta un millón de euros”. Además, recordó que estos incumplimientos pueden implicar responsabilidad personal para los administradores, si se demuestra falta de supervisión o encubrimiento.
La protección del informante, eje de todo el sistema
La finalidad principal de la Ley 2/2023 no es sancionar, sino proteger a quienes informan de irregularidades o posibles casos de corrupción, tanto en el sector privado como en el público. Tal y como señaló el abogado penalista Felipe García, esta normativa “pretende ser un mecanismo más en la lucha contra la corrupción y la protección de los alertadores, mal llamados denunciantes”. Por eso, los canales de denuncias deben garantizar la confidencialidad, el anonimato y la ausencia de represalias para el informante y su entorno.
El experto recordó además que esta obligación puede afectar a pymes que mantengan contratos con la Administración pública, ya que también las administraciones deben disponer de sus propios sistemas internos de información.
“Si una empresa detecta amaños o adjudicaciones a dedo en un contrato público, puede comunicarlo a través de los canales de denuncia que deben tener las propias administraciones”, añadió García. De esta forma, la ley busca crear una red conjunta de prevención y control frente a la corrupción en todos los niveles.
