La regulación de los sistemas de información internos en las empresas: idoneidad de las investigaciones
La nueva Ley 2/2023, de 20 de febrero, de protección a las personas que informen sobre infracciones normativas y de lucha contra la corrupción entró en vigor ayer lunes 13 de marzo, y voces de la judicatura, nada menos que la del presidente de la Sala Segunda del Tribunal Supremo, Ilmo. D. Manuel Marchena, ya se han pronunciado sobre una de las cuestiones nucleares que la nueva norma sitúa sobre la mesa, pero no regula de forma exhaustiva: las investigaciones internas.
Esta Ley ofrece cobertura legal a las entidades de derecho privado para llevar a cabo investigaciones internas ante comunicaciones de posibles infracciones normativas, en un plazo general de tres meses, y la preocupación del magistrado versa sobre la posible nulidad de estas actuaciones de comprobación, previas y ajenas a cualquier control judicial.
Los errores cometidos en esta embrionaria fase de investigación podrían llegar a contaminar, o malograr incluso, los procedimientos judiciales que procediese iniciar a razón de la conducta infractora comunicada.
Los posibles focos de nulidad principalmente se sitúan en (i) la vulneración de derechos fundamentales, por ejemplo, mediante el acceso ilegítimo a comunicaciones o la invasión de la esfera de intimidad de la persona investigada, que determinarían la eventual nulidad de las evidencias o pruebas obtenidas a causa de dichas infracciones (ex art. 11.1 de la Ley Orgánica del Poder Judicial); y, (ii) la infracción de normas procedimentales en el desarrollo de la investigación.
Así, es evidente la pertinencia de contar con un asesoramiento especializado tanto en el diseño y actualización del procedimiento para la gestión e investigación de las comunicaciones que se reciban en la empresa, como asistirse en el transcurso de las investigaciones de terceros especialistas para asegurar su correcto desarrollo, la calificación y tratamiento adecuado de las conductas comunicadas.
La Ley de protección a los informantes admite esta posibilidad de externalización, como no podría ser de otro modo, dada la escueta determinación de pautas a seguir para llevar a cabo las investigaciones internas de forma acorde con la legislación vigente.
Empresas y consultorías tecnológicas ofrecen ya soluciones técnicas que permiten el cumplimiento de los aspectos formales de confidencialidad que exige la norma, pero este cumplimiento por sí solo no basta.
Una vez recibida la comunicación se inicia el proceso más complicado: evaluar su contenido e implicaciones y trazar un plan de investigación ágil y riguroso mediante el que la empresa pueda obtener lícita y válidamente la mayor información posible en aras a determinar la estrategia y actuación más adecuadas en el caso concreto.
Este año 2023 se espera la publicación del estándar ISO 37008, una fuente normativa de soft law de referencia para los profesionales del sector de compliance, en la cual se incluirán recomendaciones específicas en la materia.
La complejidad y sofisticación de las investigaciones internas es evidente, y qué duda cabe su vital importancia para la adopción de sanciones válidas en el ámbito laboral frente a los infractores, como en relación con la protección de los bienes jurídicos frente a los que atenten las conductas denunciadas, especialmente en sede penal.
En el siempre difícil equilibrio que debe respetarse entre los derechos de las partes involucradas y sus propios y legítimos intereses, la figura de un externo independiente, podría resultar clave. Y ello, no solamente por la preparación técnico-jurídica, sino también por el privilegio del secreto profesional.
Un aspecto que no debe perderse de vista ante la actuación, muchas veces extra límites, de organismos reguladores, y ante las potenciales y serias implicaciones que podría tener la comisión de infracciones administrativas o penales en el seno de la empresa.