Ley de informantes: fin del plazo, sin autoridad independiente y un grave problema de compliance

Game over. Se acabó el plazo dado a las empresas de 50 a 249 personas trabajadoras para implantar el Canal Ético (o Canal de Denuncias) en cumplimiento de la denominada “Ley de Informantes” que deriva, a su vez, de la Directiva europea de Whistleblowing.

Ahora bien, sobre la mesa lo que tenemos (especialmente en las pymes) es un escenario complejo: un alto incumplimiento de la obligación de tener operativo el sistema interno de información (incluyendo el canal de denuncias o canal ético), un grave problema de compliance, una cuantía exorbitada de las sanciones (hasta un millón de euros), y falta de la creación de la Autoridad Independiente de Protección del Informante que, en teoría, ya debería estar creada y operativa.

Lo primero: empresas obligadas a tener el Canal Ético

En concreto, la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, establece expresamente lo siguiente en su art. 10.1:

«Están obligadas a disponer un Sistema interno de información en los términos previstos en esta ley:

a) Las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores».

Esto es importante señalarlo porque en muchos medios de comunicación, erróneamente, se ha publicado que son las empresas de más de 50 las obligadas, cuando no es así.  Y hay que tener en cuenta que hay determinadas empresas y entidades obligadas a tener canal ético aunque no lleguen a la cifra de 50 personas trabajadoras (por ejemplo, cuando «entre en juego» la normativa de blanqueo de capitales).

En cuanto al plazo, se estableció un calendario que ha culminado con fecha 1 de diciembre de 2023 (Disp. Transitoria Segunda de la Ley 2/2023): “en el caso de las entidades jurídicas del sector privado con doscientos cuarenta y nueve trabajadores o menos (…), el plazo previsto (…) se extenderá hasta el 1 de diciembre de 2023”.

Una cuestión importante es que la Ley establece la posibilidad, en el caso de empresas de 50 a 249 personas trabajadoras, de poder compartir el Sistema interno de información y los recursos destinados a la gestión y tramitación de las comunicaciones, tanto si la gestión se lleva a cabo por cualquiera de ellas como si se ha externalizado.

(Imagen: E&J)

Dos obligaciones (y no solo una)

Las empresas deben tener presente que, aunque se tiende a hablar únicamente del “canal de denuncias”, la Ley impone dos obligaciones:

• Sistema interno de información: la primera obligación es que la empresa tiene que habilitar un sistema interno de información.
• Canal de denuncias: la segunda obligación es que, dentro de ese sistema interno de información, debe integrarse el canal de denuncias.

El canal puede ser interno o externo. Ahora bien, si se hace internamente, la empresa deberá asegurarse de que cuenta con los medios y recursos necesarios y, sobre todo, con una persona y/o departamento con suficientes conocimientos como para gestionar de manera diligente el canal y el sistema interno de información.

A la espera de la AAI

Por un lado, la obligación de las empresas es clara: si tienen una plantilla de 50 o más personas trabajadoras ya tendrían que tener el canal y sistema interno de información. Sin embargo, en la práctica, al no haberse creado la Autoridad Independiente de Protección del Informante (AAI), el cumplimiento de esta obligación queda en gran parte en papel mojado.

Esto es así, puesto que la AAI, tal y como se establece en la Ley (art. 43), tiene entre sus competencias la tramitación de los procedimientos sancionadores e imposición de sanciones por las infracciones que puedan cometerse en torno al cumplimiento de la implantación del Canal Ético.

En este sentido, el Consejo de Ministros será quien deba aprobar mediante Real Decreto, el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I., por el que se desarrollará su estructura, organización y funcionamiento interno, algo que hasta la fecha no se ha producido.

No obstante, hay una excepción. En Cataluña sí se ha creado esta figura. En concreto, la autoridad Independiente de Protección del Informante en Cataluña es la Oficina Antifraude de Cataluña.

Su designación, tanto en lo referente al sector público como para el privado, la establece la disposición adicional séptima (Protección de las personas que alertan de infracciones normativas) de la Ley 3/2023, de 16 de marzo, de medidas fiscales, financieras, administrativas y del sector público para 2023 (DOGC núm. 8877, de 17.03.2023), con el siguiente contenido:

“Hasta que no se despliegue una normativa en materia de protección de las personas, que alerten de infracciones normativas en el ámbito del sector público de Cataluña, se asignan a la Oficina Antifraude de Catalunya las funciones que, de acuerdo con la Ley del Estado 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, corresponden a las instituciones u órganos competentes de las comunidades autónomas”.

Sanciones: multas de hasta 1 millón de euros

La comisión de infracciones previstas en la Ley de informantes conllevará la imposición de multas cuya cuantía puede llegar al millón de euros lo que, en muchas pymes, podría incluso llevar a hacer peligrar seriamente su viabilidad. En concreto, las personas jurídicas serán multadas con:

• Infracciones leves: multa de hasta 100.000 euros.
• Infracciones graves: multa de entre 100.001 y 600.000 euros
• Infracciones muy graves: multa de entre 600.001 y 1.000.000 de euros

Adicionalmente, en el caso de infracciones muy graves (en este sentido, no contar con el Canal Ético en empresas obligadas a tenerlo se tipifica como infracción muy grave), la AAI, cuando se cree, podrá acordar:

• Amonestación pública.
• Prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años.
• Prohibición de contratar con el sector público durante un plazo máximo de tres años.

A esto se suma que las sanciones por infracciones muy graves de cuantía igual o superior a 600.001 euros impuestas a entidades jurídicas, podrán ser publicadas en el BOE tras la firmeza de la resolución en vía administrativa.

La publicación deberá contener, al menos, información sobre el tipo y naturaleza de la infracción y, en su caso, la identidad de las personas responsables de las mismas de acuerdo con la normativa en materia de protección de datos.

Una visión desde el compliance

Las empresas deberían tener presente que el hecho de contar con un Canal Ético bien implantado y gestionado, además de por una cuestión de compliance (cumplimiento normativo), conlleva una serie de ventajas para las compañías:

• Es una herramienta que permite tanto a las personas trabajadoras como a proveedores, clientes, terceros relacionados con la organización… sobre malas conductas, mala praxis o infracciones, así como aquellas conductas sospechosas de serlo.
• Si el canal está bien implantado y gestionado, no solo es útil para actuar en caso de que haya una denuncia, sino que es fundamental para poder anticiparse. Permite prevenir incumplimientos y promueve unas conductas adecuadas y una buena praxis.
• Protege eficazmente a los informantes de posibles represalias.
• Fomenta una cultura ética en el seno de la organización.
• Es una herramienta de reputación corporativa interna y externa.
• El canal debe llevar también a hacer una reflexión profunda de los distintos procesos operativos, políticas, códigos éticos y/o códigos de conducta para ver si es necesario mejorarlos, adaptarlos o modificarlos.

En todo caso, a la espera de la creación de Autoridad Independiente, la implantación y gestión adecuada del Canal Ético supone un reto enorme en materia de compliance para las compañías (en especial, para las pymes) y abre, además, un escenario complejo en cuanto a la tramitación de las posibles denuncias que lleguen a través del canal. No solo por el amplio espectro de personas que pueden denunciar (personas trabajadoras, candidatos a un proceso de selección, ex trabajadores, becarios, autónomos, accionistas, proveedores…), sino también por las dudas que plantea en la práctica, tanto la tramitación como la gestión de todas las denuncias que puedan llegar.

Si no está bien definido el alcance, podría suceder (especialmente en las pymes) que se encuentren con un elevado número de denuncias de todo tipo a las que hay que dar respuesta, aunque sea para comunicar, si fuera el caso, que no es el cauce adecuado y/o que está fuera del ámbito de aplicación del canal, en el plazo establecido.

(Imagen: E&J)

Normativa aplicable

• Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (DOUE 26 de noviembre de 2019).
• Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE de 21 de febrero de 2023)
• Cataluña: La Autoridad Independiente de Protección del Informante en Cataluña es la Oficina Antifraude de Cataluña (Disposición adicional Séptima de la Ley 3/2023, de medidas fiscales, financieras, administrativas y del sector público para 2023, BOE de 29 de abril de 2023).