Protección de los informantes y regulación de los sistemas de información
La tramitación parlamentaria del Proyecto de Ley Reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción parece que finalmente toma impulso. El pasado 6 de febrero de 2023 fue publicado en el Boletín Oficial de las Cortes Generales (BOCG) el Informe de la Ponencia de la Comisión de Justicia del Senado aprobando el texto remitido por el Congreso -incorporando algunas enmiendas y propuestas de modificación-. Asimismo, el pasado día 9 de febrero se votó en el Pleno para su posterior aprobación definitiva en el Congreso. Luego, parece claro que a lo largo de este año 2023 tendremos una norma que afecta al compliance de modo transversal.
El texto opta por referirse a “informantes” en lugar de a “denunciantes” y define como “sistemas de información” lo que comúnmente venía denominándose “canales de denuncia”. En cualquier caso, lo relevante es que establece obligaciones acerca de la configuración de estos sistemas o canales y el modo de investigación y tratamiento de las comunicaciones. Precisamente, uno de los elementos esenciales de cualquier programa de compliance es contar con un sistema que permita la comunicación de infracciones. La detección de los posibles incumplimientos de la normativa interna de las empresas (códigos, políticas, normativas y protocolos) así como de cualquier norma legal vigente, y la reacción ante tales incumplimientos, representa un aspecto esencial de la función de cumplimiento.
Anticipando su próxima aprobación, seguidamente se abordan algunas de las cuestiones más relevantes de la Ley para las entidades privadas, una norma que, con algo más de un año de retraso y no exenta de críticas, traspone al ordenamiento interno español la normativa europea conocida como Directiva Whistleblowing:
1.- Aspectos fundamentales:
a.- Las empresas o entidades privadas de más de 50 trabajadores deberán obligatoriamente contar con un Sistema interno de información.
b.- Se establecen plazos que afectan a la tramitación de las comunicaciones, relativos al acuse de recibo -siete días- y a la duración de la investigación en el lapso de tres meses, prorrogables hasta otros tres en determinadas circunstancias.
c.- La nueva Autoridad Independiente de Protección del Informante (A.A.I.), se crea como un organismo administrativo, vinculado al Ministerio de Justicia, que contará con potestad sancionadora. La A.A.I. podrá imponer multas de entre 1.001 euros, por la comisión de faltas leves, hasta de un millón de euros, para las consideradas muy graves.
d.- Las sanciones que prevé la ley por el incumplimiento muy grave de sus disposiciones incluyen la amonestación pública, la prohibición de obtener subvenciones u otros beneficios fiscales durante un máximo de cuatro años, el veto a contratar con el sector público hasta en tres años e incluso, la publicación en el B.O.E. de la sanción económica superior a 600.001 euros incluyendo la identidad de las personas responsables y la naturaleza de la infracción.
e.- Las denuncias anónimas deberán tramitarse e investigarse, sin perjuicio de la preferencia que pueda establecerse para comunicaciones en las que el informante se identifique y que se reciban por las vías de comunicación implantadas por la empresa.
f.- Deberá contarse con un libro-registro de las comunicaciones y de investigaciones que podrá únicamente ser examinado con el debido control judicial.
g.- El sistema deberá integrar las distintas vías de comunicación o canales que existan en la organización, así como establecer medidas que garanticen la confidencialidad de las informaciones recibidas y la identidad de las personas intervinientes, en particular del denunciante.
h.- Se admite la posibilidad de externalización del canal siempre que se respeten las garantías debidas y la normativa de Protección de Datos.
2.- Consecuencias prácticas:
Previsiblemente, en los meses próximos a verano de 2023 la norma estará plenamente en vigor y funcionamiento, por lo que es aconsejable la revisión del funcionamiento de los canales de denuncia y programas de compliance para dar cumplimiento a la misma. Las empresas con 250 trabajadores o más contarán con tres meses para implantar o adaptar sus canales y aquellas de menos de 50 trabajadores tendrán como plazo límite el 1 de diciembre de 2023. Ello supone reevaluar el diseño del propio sistema de compliance, establecer medidas de gestión de las comunicaciones y definir todos los aspectos relativos al tratamiento de las comunicaciones de forma clara y pautada.