El canal de denuncias, una obligación legal para las empresas de más de 50 trabajadores

Las normas de buen gobierno corporativo y compliance van avanzando desde su inicial voluntariedad hacia una progresiva obligatoriedad para las empresas, de lo que es una buena muestra la reciente aprobación de la obligatoriedad de los canales de whisteblowing por parte de la Unión Europea.

El Parlamento europeo y el Consejo han aprobado su Directiva 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión. Los Estados miembros de la Unión tienen un plazo máximo que vence el 17 de diciembre de 2021 para trasponer la directiva a su ordenamiento jurídico interno (el 17 de diciembre de 2023 para el caso de entidades jurídicas del sector privado que tengan de 50 a 249 trabajadores). Transcurrido dicho plazo sin que exista una norma nacional, la Directiva de la UE será directamente aplicable en todos los Estados de la Unión.

Lo más llamativo de la regulación europea es que el art. 8.3 de la Directiva establece la obligatoriedad para todas las entidades jurídicas del sector privado que cuenten con más de 50 trabajadores de disponer de un canal interno de denuncias. Así pues, podríamos decir que es la primera norma de compliance obligatoria para las PYMES. Y que es de prever en el futuro se vaya ampliando a otras obligaciones.

La Directiva exige en su artículo 2 que el canal de denuncias se establezca como cauce para denunciar incumplimientos del derecho de la Unión relativos, entre otras materias, a las siguientes:

• contratación pública,
• servicios, productos y mercados financieros, y prevención del blanqueo de capitales y la financiación del terrorismo,
• seguridad de los productos y conformidad,
• seguridad del transporte,
• protección del medio ambiente,
• protección frente a las radiaciones y seguridad nuclear,
• seguridad de los alimentos y los piensos, sanidad animal y bienestar de los animales,
• salud pública,
• protección de los consumidores,
• protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información;
• infracciones relativas al mercado interior, incluidas las infracciones de las normas de la Unión en materia de competencia y ayudas otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o a prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable del impuesto sobre sociedades.
• Etc.

Cada Estado podrá añadir en su normativa interna otras materias para las que las empresas deben disponer necesariamente de un canal de denuncias.

El canal de denuncias debe permitir a determinados agentes como los trabajadores de la empresa, sus directivos, accionistas o incluso subcontratistas comunicar información sobre infracciones, y la empresa debe garantizar la indemnidad de los denunciantes.

Las principales características del canal de denuncias se establecen en el art. 9 de la Directiva:

• Deben estar diseñados, establecidos y gestionados de una forma segura, que garantice que la confidencialidad de la identidad del denunciante y de cualquier tercero mencionado en la denuncia esté protegida, e impida el acceso a ella al personal no autorizado;
• Se entregará un acuse de recibo de la denuncia al denunciante en un plazo de siete días a partir de la recepción;
• Se designará una persona o departamento imparcial que sea competente para seguir las denuncias, que podrá ser la misma persona o departamento que recibe las denuncias y que mantendrá la comunicación con el denunciante y, en caso necesario, solicitará a este información adicional y le dará respuesta;
• Se exige el seguimiento diligente de la denuncia por la persona o el departamento designados, incluyendo el de las denuncias anónimas;
• La empresa tendrá un plazo razonable para dar respuesta, que no será superior a tres meses a partir del acuse de recibo o, si no se remitió un acuse de recibo al denunciante, a tres meses a partir del vencimiento del plazo de siete días después de hacerse la denuncia
• Se debe proporcionar información clara y fácilmente accesible sobre los procedimientos de denuncia externa ante las autoridades compe­tentes.
• Los canales de denuncias permitirán denunciar por escrito o verbalmente, o de ambos modos.

El art. 19 de la Directiva obliga a los Estados a adoptar las medidas necesarias para prohibir todas las formas de represalias contra las perso­nas que hagan uso del canal de denuncias, incluidas las amenazas de represalias y las tentativas de represalia. La Directiva concreta algunas de ellas, prohibiendo:

• La suspensión, despido, destitución o medidas equivalentes;
• La degradación o denegación de ascensos;
• El cambio de puesto de trabajo, cambio de ubicación del lugar de trabajo, reducción salarial o cambio del horario de trabajo;
• La denegación de formación;
• La evaluación o referencias negativas con respecto a sus resultados laborales;
• La imposición de cualquier medida disciplinaria, amonestación u otra sanción, incluidas las sanciones pecuniarias;
• Las coacciones, intimidaciones, acoso e incluso el “ostracismo”;
• La discriminación, o trato desfavorable o injusto;
• La no conversión de un contrato de trabajo temporal en uno indefinido, en caso de que el trabajador tuviera expectati­vas legítimas de que se le ofrecería un trabajo indefinido;
• La no renovación o terminación anticipada de un contrato de trabajo temporal.
• Los daños, incluidos a su reputación, en especial en los medios sociales, o pérdidas económicas, incluidas la pérdida de negocio y de ingresos;
• La inclusión en lo que la Directiva denomina “listas negras” sobre la base de un acuerdo sectorial, informal o formal, que pueda implicar que en el futuro la persona no vaya a encontrar empleo en dicho sector;
• La terminación anticipada o anulación de contratos de bienes o servicios;
• La anulación de una licencia o permiso;
• Las referencias médicas o psiquiátricas.

El art. 23 de la Directiva establece que los Estados miembros establecerán sanciones efectivas, proporcionadas y disuasorias aplicables a las personas físi­cas o jurídicas que impidan o intenten impedir las denuncias; adopten medidas de represalia contra las personas denunciantes; promuevan procedimientos abusivos contra ellas; o incumplan el deber de mantener la confidencialidad de la identidad de los denunciantes, tal como se contempla en el artículo 16.

También se establece que los Estados miembros establecerán sanciones efectivas, proporcionadas y disuasorias, aplicables respecto de denun­ciantes cuando se establezca que habían comunicado o revelado públicamente información falsa a sabiendas, así como medidas para indemnizar los daños y perjuicios derivados de dichas denuncias o revelaciones públicas de conformidad con el Derecho nacional.

Si bien aún queda algo de tiempo para la entrada en vigor de la Directiva y su transposición al ordenamiento jurídico nacional, vale la pena que las empresas se vayan adaptando a esta novedad regulatoria cuanto antes.

Por otra parte, carece de sentido que una empresa con más de 50 trabajadores disponga del preceptivo canal de denuncias, pero sin embargo no se dote voluntariamente de un sistema de compliance que analice los riesgos de incumplimiento normativo de la empresa, un protocolo para su tratamiento y un código ético de obligado cumplimiento para los trabajadores y directivos de la empresa.

Por tanto, si bien hoy no es obligatorio disponer de un sistema de compliance de acuerdo con la normativa española, cada vez será más difícil encontrar PYMES que no dispongan de él.