Mejores prácticas en los canales de denuncias

Best practices in reporting channels

Resumen

El artículo analiza, desde una perspectiva comparada, lo que se consideran las mejores prácticas en la recepción de denuncias internas, por parte de las corporaciones, y el conjunto de actuaciones que desde ese momento tienen que adoptar las empresas para proteger al denunciante, desarrollar con éxito la investigación y, una vez finalizada, tomar las medidas necesarias para que los fallos del sistema no se repitan en el futuro.

Palabras-clave
cumplimiento normativo; denunciante; canales de denuncias; investigaciones internas

Abstract

The article analyzes, from a comparative perspective, what are considered the best practices in reporting channels by corporations, and the set of actions that companies have to adopt from that moment on to protect the complainant, develop with successful internal investigation and, once completed, take the necessary measures so that system failures do not recur in the future.

Keywords
compliance; whistleblower; reporting channels; internal investigations

Contenido: Introducción; 1. Objetivos del canal de denuncias; 2. La gestión del canal de denuncias: interno o externo; 3. El origen de la investigación interna. 3.1. Formulación de una denuncia. 3.2. Auditorías internas; 4. Investigación interna; 4.1. Derechos del denunciado; 4.2. Duración de la investigación; 4.3. Fases de la investigación; 5. Plan de acción para la reparación de las causas subyacentes; Conclusiones; Bibliografía.

Introducción

La importancia de los canales de denuncia y las investigaciones internas en entornos empresariales no arroja dudas² desde un punto de vista estadístico: según el estudio elaborado por la Association of Certified Fraud Examiners, Global Fraud Study, analizando 2.400 casos en 114 países, un 40% de todos los delitos de fraude fue puesto de manifiesto mediante la denuncia de un whistleblower³. Como muestra de la eficacia de los canales de denuncias como medio para la detección de ilícitos, en la UE se ha promulgado la conocida como Directiva Whistleblower⁴, recientemente transpuesta⁵ al ordenamiento español mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción⁶.

Las investigaciones internas, desde una perspectiva ad intra, tienen además la relevancia de que, como señala NIETO MARTÍN⁷, permiten a la persona jurídica construir su mejor versión de los hechos ocurridos en su seno. Son, por lo tanto, parte del derecho de defensa (defensa material) del ente.

Tomando como principal hilo conductor la ya referida Directiva Whistleblower (y, con retazos, la norma española de transposición), se analizará en este trabajo, con referencia a diferentes textos internacionales, los principales hitos procedimentales que se deben cumplir – desde la recepción de la delación hasta la conclusión de la investigación – para maximizar la efectividad de los canales de denuncias.

1. Objetivos del canal de denuncias.

Aunque los fines del canal de denuncias⁸ podrían subdividirse en multitud de aspectos⁹, en la práctica, todos culminan en los tres que a continuación se señalan:

1. Cauce para poner de manifiesto los riesgos e incumplimientos penales detectados.

2. Medio adecuado para apreciar las debilidades y fallas del modelo de prevención penal¹⁰.

3. Instrumento para la generación de un repositorio documental íntegro y ordenado empleable en los procesos penales incoados frente a los sujetos colectivos como acreditación de la eficacia del sistema preventivo¹¹. Esto es, deberá facilitar probar que en anteriores ocasiones, y mediante los propios medios y controles instaurados por la corporación, se ha detectado y reaccionado ante conductas poco éticas o directamente criminales.

2. La gestión del canal de denuncias: interno o externo.

La primera cuestión por esclarecer en la implantación del canal de denuncias es si la gestión le será encomendada a un órgano de la propia persona jurídica o, por el contrario, se externalizará la función.

De hecho, atendiendo a que algunos textos¹² parecen establecer que el destinatario directo de la información sobre los incumplimientos será el organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención (el compliance officer), cabe preguntarse si es posible la externalización.

La Circular 1/2016 de la Fiscalía General del Estado de España habilita e, incluso, recomienda la contratación de profesionales ajenos a la propia estructura del ente. Apunta el Ministerio Fiscal español¹³ que la centralización de las funciones de cumplimiento en el órgano creado al efecto no supone que todas las atribuciones deban ser realizadas por el órgano de compliance y, concretamente respecto al canal de denuncias, señala que su diligenciamiento por personas ajenas a la empresa asegura mayor independencia y confidencialidad. Por su parte, la Directiva Whistleblower estipula en el artículo 8.5 que los canales de denuncia podrán gestionarse internamente por una persona o departamento designados al efecto o externamente por un tercero¹⁴. En el mismo sentido, la NORMA UNE 19601¹⁵ contempla expresamente la posibilidad de externalizar la gestión (Nota 2 del aptdo. 8.7) si bien establece (punto 4º del aptdo. 8.8) que se debe mantener al órgano de cumplimiento oportunamente informado del estado y resultados de cada investigación.

En efecto, la independencia, confidencialidad (incluso, anonimato) y – añado – la objetividad o imparcialidad¹⁶ en la tramitación de las denuncias, son algunos de los argumentos que justifican su atribución a profesionales ajenos a la entidad. En todo caso, el mayor motivo para externalizar es, en opinión del que suscribe, la correcta protección del resultado de las indagaciones internas.

A resultas de la conocida como sentencia Azko¹⁷, se ha consolidado como criterio en la UE que el principio de confidencialidad no se extiende a los soportes y a las comunicaciones mantenidas por los abogados internos (in house) con personal de la propia empresa, por lo que son susceptibles de ser utilizadas en un proceso judicial si llegan a manos de las autoridades por cualquier medio o, incluso, si directamente se compele su aportación a la corporación en el marco de un proceso¹⁸.

Lógicamente, ese riesgo no late con los profesionales externos, respecto a los que no cabe duda de que sí gozan del privilegio de la confidencialidad que preside la relación cliente – abogado, así como por el deber de secreto a cargo de este último. Sobre la base de lo anterior, afirma NIETO MARTÍN que la contratación de letrados ajenos a la organización para la administración del canal puede facilitar “que la empresa se asegure el dominio sobre los hechos que averigua en el transcurso de la investigación y pueda salvaguardar la documentación que la investigación ha generado”¹⁹ lo cual, como apunta el autor, resulta esencial para el correcto desenvolvimiento del derecho de defensa. Esto es más importante, si cabe, atendiendo a que, como se consignará posteriormente, la obligación de contar con un registro de denuncias, preceptuada por la Directiva Whistleblower, provoca que las denuncias, y las investigaciones internas realizadas pueden no estar protegidas por el derecho a no incriminarse de la entidad.

En un sentido similar se pronuncia NEIRA PENA²⁰, quién destaca además la formación específica de los abogados como otra ventaja de la externalización.

No obstante, en línea con lo indicado por PRIETO GONZÁLEZ²¹, la salvaguarda del producto de la investigación bajo el paraguas del secreto profesional y la confidencialidad abogado – cliente, requiere observar una serie de pautas de comportamiento en la gestión de las denuncias, entre las que destaca la autora la inclusión del abogado en todos los correos electrónicos que se intercambien sobre el transcurso de la indagación interna y, además, evitar que el fruto de las pesquisas caiga en manos de terceros que no se encuentren amparados por el secreto profesional. GOENA VIVES, señala como cautelas para su protección el “el uso restringido de documentación escrita, el establecimiento de pautas para la redacción de correos electrónicos en los que haya múltiples destinatarios o la previsión de cláusulas de confidencialidad que no sean genéricas”²².

3. El origen de la investigación interna.

3.1. Formulación de una denuncia.

3.1.1. Información sobre la existencia del canal de denuncias.

El origen más frecuente de los procedimientos de investigación en los entornos empresariales será la recepción de una denuncia interpuesta por un directivo, subordinado, o por alguien cercano al sujeto colectivo (proveedores y clientes, principalmente).

Al objeto de dotar de validez y eficacia al canal de denuncias, es imprescindible que los miembros de la corporación y terceros sean informados acerca de su existencia²³ y del proceso que se incoará tras la recepción de la notitia criminis.

Con la transposición de la Directiva Whistleblower, en España la existencia del canal será no sólo un requisito para lograr la exoneración de la responsabilidad penal de las personas jurídicas sino, en muchas ocasiones²⁴, una obligación legal, con consecuencias sancionadoras en caso de incumplimiento, por lo que la advertencia sobre la existencia del canal irá destinada también a la acreditación del cumplimiento de una norma de carácter imperativo.

La relevancia de informar sobre la existencia del canal, como requisito para su efectividad, es destacada igualmente por el Decreto Nº 11.129, de 11 de julio de 2022 de Brasil (apartado X del artículo 57), la Ley 27.401 de Argentina (artículo 23. III), o la Guidance on the Evaluation of Corporate Compliance Programs (aptdo. I, letra D).

3.1.2. Anonimato o confidencialidad.

Parece ya superado el debate de si cabe que las denuncias se formulen anónimamente [asumen esa posibilidad, entre otras, la Directiva Whistleblower (artículo 6.2); la Ley 2/2023 de España (artículo 7.3); el Reglamento N° 30424 de Perú (artículo 39.2.c); el Decreto Ejecutivo 42399 de Costa Rica (el artículo 13.a); el capítulo 8 de la FCPA, o la Guidance on the Evaluation of Corporate Compliance Programs (aptdo. I.D)]. No obstante, la entidad debe decidir si acepta este tipo de denuncias.

La Sentencia del Tribunal Supremo español núm. 35/2020 de 6 de febrero²⁵ ha destacado la relevancia en la prevención de ilícitos del canal de denuncias, y la necesaria tolerancia hacia su articulación de forma anónima²⁶. En todo caso, como pone de relieve el Alto Tribunal español, la principal razón por la que personas que tienen conocimiento de prácticas delictivas en su empresa no denuncian es, fundamentalmente, porque no se sienten suficientemente protegidas contra posibles represalias.

Aunque la permisividad ante denuncias anónimas puede ser el caldo de cultivo perfecto para un empleo espurio del canal²⁷, no puede obviarse que las posibilidades de recabar información relevante sobre el funcionamiento del sistema de compliance aumentan exponencialmente si se elimina o minora la contingencia de que el denunciante sufra represalias. Por lo tanto, exigir la identificación del denunciante, aunque luego se le “asegure”²⁸ confidencialidad, supone auto-mutilar la utilidad del canal de denuncias y, con ello, aumentar la posibilidad de que se cometan delitos bajo la cobertura de la entidad.

Lo antedicho no es incompatible con que la empresa debe tener la capacidad de fomentar el empleo del canal mediante denuncias confidenciales, asegurando que el denunciante no sufra represalias. Ello redunda en beneficio de la prosperabilidad de la investigación, ya que la información a obtener de un denunciante identificado, al que además se podrá interrogar durante la investigación y pedir aclaraciones o ampliaciones de su denuncia, es mayor que la extraíble de una denuncia anónima.

En todo caso, las brechas en la gestión del canal que pongan en riesgo la salvaguarda de la identidad del denunciante que ha pedido confidencialidad, no son el único peligro que sobrevuela en la pretendida confidencialidad. Como indican BACHMAIER WINTER y MARTÍNEZ SANTOS²⁹, concurre la ventura de que, si tras la denuncia interna se pone el asunto en conocimiento de las autoridades, incoándose el correspondiente proceso penal, los investigadores públicos pidan se identifique al denunciante para que preste declaración como testigo. En esta casuística, la persona jurídica se vería compelida a identificarle. La Directiva Whistleblower asume³⁰ (artículo 16.2) que puede ser preciso que la entidad receptora de la denuncia identifique al delator cuando ello sea necesario para salvaguardar el derecho de defensa de los denunciados. Por transparencia, sería recomendable que, cuando se informe de la existencia del canal de denuncias, y los medios para la formulación de delaciones, se advierta de esta posibilidad que, desde luego, haría decaer la confidencialidad.

3.1.3. Prioridad del canal de denuncias interno.

Sentada la obligación de denunciar – así lo deberá recoger en el programa de cumplimiento normativo implantado – surge la cuestión de si resulta exigible que el denunciante emplee los cauces internos de la corporación, o puede directamente acudir a las autoridades.

La Directiva Whistleblower establece en el considerando 33 que la tendencia de los denunciantes es el uso de canales internos, sin perjuicio de lo cual se debe permitir que utilicen el medio que consideren más adecuado. En consonancia, aunque sin llegar a obligar al empleo de los canales propios de la entidad, el artículo 7.1 de la Directiva les otorga preferencia³¹.

3.1.4. Medios para la formulación de denuncias. Necesario acuse de recibo.

El modelo de prevención penal debe establecer el medio habitual para la formulación de denuncias – normalmente será el correo electrónico – aunque dejando abierta la posibilidad de hacerla llegar a la empresa de la forma que el denunciante considere. La Directiva Whistleblower apunta al respecto (artículo 9.2) que la denuncia se podrá formular “por escrito o verbalmente, o de ambos modos. La denuncia verbal será posible por vía telefónica o a través de otros sistemas de mensajería de voz y, previa solicitud del denunciante, por medio de una reunión presencial dentro de un plazo razonable”. El Reglamento N° 30424 de Perú (artículo 39.2.c) señala que los canales que pueden consistir en líneas telefónicas, buzones de correo electrónico exclusivos, sistemas de denuncia en línea, reportes presenciales u otros que la organización considere idóneos.

Cuando el whistleblower no haya empleado un medio anónimo, se le deberá acusar recibo³² como respuesta a la denuncia, exigencia contemplada por la Directiva Whistleblower³³ tanto para las denuncias internas (artículo 9.1.b) como para las externas (artículo 11.2.b) estableciéndose, en ambos supuestos, el plazo de siete días³⁴ desde la recepción.

3.1.5. Obligaciones surgidas a cargo de la empresa por la recepción de la denuncia.

1. Necesario inicio de una investigación interna, o justificación suficiente en caso contrario.

   La primera consecuencia ineludible de la recepción de una denuncia es la iniciación del procedimiento de investigación previsto en las normas internas de la persona jurídica. Ello no quiere decir que todas las denuncias recibidas tengan que provocar una profusa indagación pues, con carácter previo, se tendrá que efectuar un examen sobre la verosimilitud de los hechos³⁵. Como pautas de admisión, puede seguirse lo preceptuado por el artículo 269 de la Ley de Enjuiciamiento Criminal de España, es decir, se inadmitirán a trámite las denuncias que resulten manifiestamente falsas o aquellas que, aun de ser ciertas, no constituirían un incumplimiento. En ambos supuestos, será necesario que se motiven exhaustivamente las causas de la inadmisión para así poder justificar ex post por qué no se inició la investigación.

   La especial justificación si se rechaza y, además, cierta tendencia a que ante la mínima duda se inicie la averiguación interna, derivan de que como establece la NORMA UNE 19601, es imperativo³⁶ que se investiguen todas las comunicaciones recibidas a lo que se une que, si llega a oídos del juzgado que la empresa no investigó denuncias por hechos similares a los que son objeto del proceso, el programa de cumplimiento normativo penal será automáticamente calificado como ineficaz.

2. Protección al denunciante.

   La segunda obligación que surge de forma inmediata con la denuncia es la de proteger al denunciante, particularmente cuando la delación se haya realizado de forma confidencial. Se trata de una exigencia señalada como imprescindible por las principales normas y recomendaciones: punto 4 del aptdo. 8.7 de la NORMA UNE 19601; Convención de las Naciones Unidas contra la Corrupción (artículo 33); Reglas para Combatir la Corrupción de la Comisión de Responsabilidad Corporativa de la Cámara de Comercio Internacional (artículo 8); o el Decreto Nº 11.129, de 11 de julio de 2022 de Brasil (artículo 42, apartado X), entre otras.

   La Directiva Whistleblower establece cuatro grandes grupos de medidas de protección:

   • En el artículo 19³⁷, denominado “prohibición de represalias”, se recoge un largo catálogo de actos proscritos, siendo los más destacados la suspensión o despido; degradaciones profesionales; actos discriminatorios o desfavorables; y daños reputacionales.

   • El artículo 20³⁸ compila lo que llama “medidas de apoyo”, concretadas en el asesoramiento a los denunciantes; asistencia efectiva de las autoridades; asistencia jurídica gratuita de conformidad con la Directiva (UE) 2016/1919 y la Directiva 2008/52/CE del Parlamento Europeo y del Consejo; asistencia financiera; y asistencia psicológica.

   • El artículo 21³⁹ detalla las “medidas de protección frente a represalias”, que suponen que el denunciante no incurrirá en vulneración de secretos con la formulación de la denuncia o las revelaciones públicas; no tendrá responsabilidad respecto el acceso a la información, siempre que dicha adquisición o acceso no constituya de por sí un delito; dispondrá de la presunción en los procedimiento seguidos por el denunciante contra su empresa de que las medidas negativas sufridas son una represalia por la denuncia; tendrá acceso a medidas correctoras frente a represalias; en los procesos judiciales relativos a difamación, violación de derechos de autor, vulneración de secreto, infracción de las normas de protección de datos, revelación de secretos comerciales, o a solicitudes de indemnización basadas en el Derecho laboral, los denunciantes no incurrirán en responsabilidad de ningún tipo como consecuencia de denuncias o de revelaciones públicas en virtud de la presente Directiva; y se les conferirá a los delatores vías para reclamar los daños y perjuicios sufridos como consecuencia de las represalias.

   • El artículo 22⁴⁰ recoge lo que califica de “medidas para la protección de las personas afectadas”, con un conjunto de derechos de carácter procesal, como la tutela judicial efectiva y a un juez imparcial, a la presunción de inocencia y al derecho de defensa, incluido el derecho a ser oídos y el derecho a acceder al expediente.

3. Obligaciones del denunciante.

   La posición del alertador no está exenta de obligaciones y, por qué no decirlo, de peligros intrínsecos a esa condición.

   La interposición de una denuncia, por muchas medidas de protección que se tomen, genera la posibilidad de represalias, aspecto que inevitablemente afectará al ánimo del denunciante antes de realizar la comunicación.

   Además, el delator está obligado a formular denuncias de buena fe⁴¹, por lo que es relevante consignar en el modelo de prevención penal que queda prohibido emplear el canal con conocimiento de la falsedad de los hechos imputados o temerario desprecio hacia la verdad. De hecho, según se desprende del considerando 32 de la Directiva Whistleblower, la protección que brinda el texto comunitario se extiende a los denunciantes que tengan “motivos razonables⁴² para creer, a la luz de las circunstancias y de la información de que dispongan en el momento de la denuncia, que los hechos que denuncian son ciertos.”. La norma establece incluso consecuencias sancionadoras (artículo 23.2), para los alertadores que revelen información falsa a sabiendas. En esta línea, el Decreto Nº 11.129, de 11 de julio de 2022 de Brasil (apartado X del artículo 57), refiere que la protección de los denunciantes se extiende a los que lo sean de buena fe. Por su parte, el Decreto Ejecutivo 42399 de Costa Rica (artículo 10, letra d) exige, entre las herramientas que deben componer la política de prevención, el compromiso de que el contenido de la denuncia se reporta con la creencia de probabilidades de certeza, incluyendo las consecuencias de incumplir dicho compromiso. El Reglamento N° 30424 de Perú (artículo 39.2.c) alude igualmente a que la protección se extiende a los denunciantes de buena fe.

   Cabe recordar que, desde la perspectiva del denunciante, la formulación de la denuncia, fuera de los cauces internos de la corporación, puede suponer la infracción de un deber de secreto o confidencialidad que tenga asumido legal o contractualmente. En ese supuesto, podría incluso contraer responsabilidades penales por la denuncia, si bien podríamos encontrarnos una situación de estado de necesidad⁴³ (artículo 20.5 del Código Penal español) que justificaría su denuncia o incluso una actuación en cumplimiento de un deber⁴⁴ (artículo 20.7 del Código Penal español). En este sentido, la Directiva Whistleblower (considerando 91) descarta que el denunciante pueda sufrir represalias, en forma de acciones civiles, penales, administrativas o laborales cuando infrinja un deber de confidencialidad o secreto. De hecho, el considerando 93, en relación con el artículo 21.7 de la Directiva, preceptúa que cuando el delator cometa un delito para la formulación de la denuncia, o en el acopio de documentos necesarios para su sustento (véase, acceso a correos electrónicos de compañeros) no incurrirán en responsabilidad de ningún tipo como consecuencia de denuncias o de revelaciones públicas, incluso cuando la denuncia incluya secretos comerciales.

4. Registro de denuncias.

   Cada corporación debe tener instaurado un registro detallado de las denuncias recibidas, y de la consiguiente reacción corporativa ante las mismas, que permita acreditar la eficacia del canal implantado.

   Se trata de un requisito imperativo de la Directiva⁴⁵ (artículo 8), siendo el fin de ese repositorio (considerando 86) que “puedan ser consultadas y que la información facilitada en ellas pueda utilizarse como prueba si se procede a medidas de ejecución”. En un sentido similar, la NORMA UNE 19601 incluye el canal de denuncias entre los elementos del sistema de gestión de compliance que debe constar como información documentada⁴⁶.

   La importancia del repositorio de denuncias, en palabras de NIETO MARTÍN, reside en que “será uno de los indicadores que habrá de examinarse en el proceso penal como prueba de la eficacia de la actividad preventiva de la empresa”⁴⁷. Las United States Federal Sentencing Guidelines (Sección 8A1.2) señalan entre los factores para la determinación de la culpabilidad del ente la historia anterior de la organización en cuanto a infracciones similares. Igualmente, la Guía Práctica Buenas Prácticas de Investigación Responsabilidad Penal de las Personas Jurídicas, elaborada por la fiscalía de Chile en diciembre de 2014, enumera dentro de las medidas reactivas de la empresa a considerar para la determinación de la eficacia del programa de cumplimiento implantado (aptdo. 6.3.6) los registros de las investigaciones que se hayan llevado a cabo en el pasado, y sus resultados.

   Dada la especial sensibilidad de la información compilada, además de los necesarios principios de confidencialidad y secreto⁴⁸, deben atenderse las exigencias de la normativa de protección de datos. De este modo, solo podrán acceder a las denuncias recibidas las personas que desarrollen funciones de control interno y de cumplimiento; los encargados del tratamiento que eventualmente se designen a tal efecto o; excepcionalmente, y cuando sea necesario para la ejecución de las medidas disciplinarias, se podrán comunicar a terceros o a la autoridad judicial⁴⁹.

   La regulación del canal de denuncias debe tener preestablecido el tratamiento de los datos recabados, en particular, cuanto tiempo pueden ser conservados. Transcurridos tres meses⁵⁰, solo podrán ser conservados a los efectos de acreditar el correcto funcionamiento del modelo de prevención penal (artículo 32.4 Ley 2/2023 de España); sin embargo, las denuncias a las que no se haya dado curso tienen que mantenerse de forma anonimizada.

   En el mismo sentido, los Lineamientos de la Superintendencia del Mercado de Valores de Perú (aptdo. 5.3), destacan la importancia de mantener un registro de las investigaciones internas realizadas y de las medidas disciplinarias y/o correctivas adoptadas a la luz de los hallazgos detectados.

   No obstante, no se puede dejar pasar la oportunidad de poner de manifiesto, como en anteriores ocasiones⁵¹, que la obligación de contar con un registro de denuncias internas y, más particularmente, su accesibilidad a los tribunales puede afectar gravemente el derecho a no incriminarse de las personas jurídicas. Según la jurisprudencia del Tribunal Europeo de Derechos Humanos (por todas, Sentencia de 17 de diciembre de 1996, Saunders c. Reino Unido⁵²), el derecho a la no colaboración activa no se extiende a la utilización en los procesos penales de material que pueda obtenerse del acusado mediante el uso de poderes obligatorios, pero que tenga una existencia independiente de la voluntad del sospechoso, como, entre otros, documentos adquiridos en virtud de una orden judicial.

   De este modo, el investigado estaría obligado a entregar aquellos documentos que vengan exigidos por un mandato legal, lo que afecta, por ejemplo, a la contabilidad o, en relación concreta al tema aquí tratado, provocará la obligación de facilitar la información compilada en el registro de comunicaciones. Partiendo de lo antedicho, y desde el punto de vista de la eficacia del modelo de prevención penal de las personas jurídicas, tanto el contenido de las denuncias recibidas, como el producto de las investigaciones internas resulta esencial para la acreditación de la eficacia del compliance program. De esta forma, si se atestigua que el canal de denuncias ha posibilitado la reacción corporativa frente a incumplimientos detectados, en el concreto delito investigado o en situaciones anteriores, la entidad dispondrá de un indicio palpable de la cultura de cumplimiento⁵³ instaurada en su seno. Por el contrario, si con ocasión de un proceso penal se pone de manifiesto que la corporación no ha respondido ante denuncias por ilícitos de naturaleza similar a los que son objeto del procedimiento, en la práctica, se imposibilitará la exoneración de responsabilidad de la persona jurídica. En resumen, la accesibilidad a las autoridades del registro de comunicaciones de la entidad puede terminar siendo la mejor evidencia para acreditar la vulnerabilidad del modelo de prevención penal instaurado, de ahí el grave peligro que puede generar, desde la perspectiva de la defensa corporativa, la obligación derivada de la Directiva Whistleblower.

3.2. Auditorías internas.

El segundo medio habitual que provocará la iniciación de los procedimientos internos de investigación será la detección de incumplimientos por la propia persona jurídica, en el marco de los procesos de verificación periódica que tenga preestablecidos. Siguiendo la NORMA UNE 19601⁵⁴, las auditorias tendrán como objetivo detectar (i) la materialización de riesgos penales; (ii) incumplimientos de la política de compliance; (iii) fallos en el cumplimiento que puedan desembocar en riesgos penales y; (iv) las posibilidades de mejora del sistema instaurado.

Por lo tanto, si en el marco de una auditoria se descubre un incumplimiento deberá incoarse la correspondiente indagación⁵⁵.

4. Investigación interna.

4.1. Derechos del denunciado.

El aseguramiento de los derechos del denunciado⁵⁶ es un objetivo en sí mismo de la investigación. Así lo establecen, por ejemplo, la Ley 27.401 de Argentina (artículo 23. V), la NORMA UNE-ISO 37002 (aptdo. 7.3.3 m), o los Lineamientos de la Superintendencia del Mercado de Valores de Perú (aptdo. 5.3).

Cualquier vulneración de carácter grave podría invalidar el resultado averiguado, y con ello, provocar la ineficacia misma del canal. Para NIETO MARTÍN⁵⁷, y se suscribe su opinión, la doctrina de la prueba prohibida se debe extender a las investigaciones internas, al suponer estas, según el autor, la “privatización del proceso penal”, de tal forma que la transgresión de los derechos fundamentales de los investigados deberá causar la calificación de la prueba como contraria al ordenamiento, y con ello carente de virtualidad procesal. Aunque por limitaciones espacio – temporales no tiene sitio en este trabajo el análisis de los posibles derechos más afectados, sí que se debe dejar apuntado que la investigación interna debe, en todo caso, respetar el derecho al secreto de las comunicaciones del denunciado (artículo 18.3 de la Constitución Española); el derecho a la intimidad (artículo 18.1 de la Constitución Española); y el derecho al entorno digital (artículo 18.4 de la Constitución Española)⁵⁸. Es imperativo observar igualmente los denominados derechos fundamentales procesales: presunción de inocencia, y derecho de defensa⁵⁹. En relación con el derecho de defensa y la presunción de inocencia del sujeto pasivo del proceso, llama la atención que tanto la Directiva Whistleblower, como la norma de transposición española, se refieren a ambos de forma muy tangencial, sin el menor desarrollo, convirtiendo, parece, en “secundarios” dos derechos que deben ser básicos en las investigaciones privadas.

4.2. Duración de la investigación.

La proscripción de dilaciones indebidas es extensible a las averiguaciones internas.

Según el artículo 9 de la Directiva Whistleblower⁶⁰, el plazo máximo no puede superar los tres meses, pudiendo extenderse a seis en casos justificados. En esta línea, el Decreto Ejecutivo 42399 de Costa Rica (artículo 13, letra g) habla de seis meses de duración máxima de la investigación.

4.3. Fases de la investigación⁶¹.

4.3.1. Fase preliminar.

1. Decisión sobre la admisión a trámite de la investigación.

   Se enmarcaría en este primer momento la admisión o no a trámite de la denuncia, y el acuse de recibo al denunciante cuando no haya utilizado el anonimato⁶².

   El Decreto Ejecutivo 42399 de Costa Rica (artículo 13) establece que al recibir la denuncia debe procederse a su valoración, considerando aspectos como prioridad, exhaustividad y relevancia de la información. También, señala el meritado precepto del Reglamento de Costa Rica, es en este momento cuando debe determinarse la protección requerida por el denunciante.

2. Medidas para evitar represalias al denunciante.

   Se deben establecer las medidas que resulten necesarias para la salvaguarda del alertador. Aunque se haya efectuado confidencialmente, como se ha indicado, en determinadas ocasiones, atendiendo los hechos que le han sido puestos de manifiesto al sujeto colectivo, es posible que el denunciado pueda intuir qué persona ha formulado la delación, por lo que se tendrán que tomar en este momento inicial las cautelas pertinentes para evitar represalias.

3. Constitución del equipo encargado de la investigación.

   Se deberá formar el equipo encargado de la investigación. Aunque en los supuestos menos graves la encomienda se efectuará únicamente a las personas a las que se haya asignado la gestión del canal, en aquellos casos en que la investigación tenga cierta complejidad, puede ser necesario la utilización de otros recursos, como, por ejemplo, personal informático que pueda facilitar la recopilación y organización de los vestigios extraídos de dispositivos electrónicos. La exigencia de un equipo investigador establecido al efecto, además de una exigencia doctrinal⁶³, es destacada también por diversos textos. La Directiva Whistleblower señala en el artículo 9.1.a)⁶⁴ que no puede acceder a la denuncia el personal no autorizado. Abundando en esto, el artículo 9.1.c) determina, entre los elementos del canal de denuncias, la designación de una persona o departamento imparcial que sea competente para seguir las denuncias, que podrá ser la misma persona o departamento que recibe las denuncias, y que mantendrá la comunicación con el denunciante. Por su parte, el artículo 5.3 de los Lineamientos de la Superintendencia del Mercado de Valores de Perú, preceptúa que se debe designar a la persona o equipo de personas encargadas de la realización de investigaciones internas, pudiendo tercerizarse la administración e investigación de las denuncias.

   La correcta capacitación de las personas encargadas de las investigaciones es destacada también por las principales normas. Los Lineamientos de la Superintendencia del Mercado de Valores de Perú instan (aptdo. 5.2) que su revisión sea encargada a personas que posean conocimientos jurídicos suficientes para discriminar aquellas informaciones que pudieran ser relevantes desde la perspectiva jurídico-penal, de aquellas carentes de interés legal, debiendo además poseer capacidad suficiente para instar el inicio de una investigación interna, en tanto la denuncia recibida lo amerite, por lo que se recomienda que se trate de personas con acceso directo a los órganos de control y de gobierno de la sociedad. Las normas peruanas destacan también la debida imparcialidad de los sujetos encargados de la indagación. Al respecto, la Guidance on the Evaluation of Corporate Compliance Programs recoge, en la letra D del apartado I, como elemento a considerar para determinar la efectividad del compliance program instaurado, si las investigaciones son independientes y objetivas.

4. Fijación de la estrategia y planning de la investigación.

   El equipo investigador debe preestablecer la estrategia más adecuada para determinar el alcance del posible incumplimiento objeto de la indagación, fijando la planificación que resulte más eficaz para su comprobación.

   Sin perjuicio de otras cuestiones, se deben consignar necesariamente los siguientes aspectos:

   • Normativa de aplicación que pudiera haber resultado incumplida, y consecuencias hipotéticas para la empresa.

   • Documentación que pudiera resultar oportuno recabar, y cautelas a seguir en el caso de que pudiera estar almacenada en dispositivos electrónicos que tengan un usuario asignado.

   • Fijación de las personas de la organización cuyo testimonio pudiera resultar pertinente para aclarar lo ocurrido.

5. Medidas cautelares.

   En ocasiones, con la finalidad de asegurar el buen fin de las pesquisas⁶⁵ o evitar la reiteración en el incumplimiento, se pueden tomar medidas cautelares respecto al denunciado. Para que sean admisibles, es preciso que la denuncia recibida aporte el suficiente acervo probatorio como para que permita considerar la apariencia de veracidad de lo denunciado.

   Las medidas, principalmente, serán el cambio de puesto de trabajo o de tareas asignadas al denunciado y, en los supuestos más graves, suspensión de empleo.

4.3.2. Fase intermedia o de desarrollo de la investigación.

Es durante esta etapa cuando se efectúan verdaderamente las labores de indagación que podrían permitir determinar lo ocurrido. En el grueso de ocasiones, se realizarán tres diligencias, principalmente:

1. Entrevista al denunciado.

   Aunque indudablemente se le debe dar oportunidad al denunciado para ser oído, la entrevista no necesariamente tiene que materializarse al inicio de la investigación, pudiendo posponerse hasta un momento ulterior para, entre tanto, lograr el aseguramiento de los medios de prueba que corran el riesgo de ser destruidos.

   Con la debida antelación a la entrevista, se debe informar al denunciado de los derechos que le asisten – en particular, para que pueda acudir asistido de letrado –, exponiéndole los hechos que se le atribuyen, y facilitándole copia del expediente. Si la denuncia es confidencial se deben eliminar los datos identificativos del delator.

   La entrevista podrá ser grabada en soporte digital o compilar las afirmaciones que realice en un acta, que deberá ser firmada por todos los presentes. La Directiva Whistleblower, aunque referida al testimonio del denunciante realizado mediante una entrevista, señala en el artículo 18.4 que se elaborará “un acta pormenorizada de la reunión preparada por el personal responsable de tratar la denuncia. Las entidades jurídicas de los sectores privado y público y las autoridades competentes ofrecerán al denunciante la oportunidad de comprobar, rectificar y aceptar mediante su firma el acta de la reunión”.

2. Entrevista a testigos.

   Durante esta fase se recabará el testimonio de posibles testigos del incumplimiento. Aunque el método más eficaz es la realización de entrevistas personales, en aquellos supuestos en que sea necesario obtener la testifical de muchos sujetos diferentes una alternativa habitual será la realización de cuestionarios. La Directiva Whistleblower⁶⁶, si bien en su articulado parece centrar solo su protección en los denunciantes, señala en el considerando 76 que “Los Estados miembros deben velar por que las autoridades competentes dispongan de procedimientos de protección adecuados para el tratamiento de las denuncias y para la protección de los datos personales de quienes sean mencionados en la denuncia. Dichos procedimientos deben garantizar la protección de la identidad de cada denunciante, cada persona afectada y cada tercero que se mencione en la denuncia, por ejemplo, testigos o compañeros de trabajo, en todas las fases del procedimiento”.

3. Recopilación de documentos y otros vestigios.

   El grueso del material obtenido durante esta fase tendrá carácter documental. De hecho, el éxito de la investigación depende en buena medida de la correcta recopilación y organización de la documentación interna generada por la corporación.

   Los Lineamientos de la Superintendencia del Mercado de Valores de Perú, destacan (aptdo. 5.3) la importancia de documentar debidamente las actuaciones que se lleven a cabo, preservando la integridad de la evidencia recolectada a través de procedimientos de cadena de custodia, a fin de que eventualmente pueda utilizarse en una investigación oficial conducida por las autoridades encargadas de la persecución penal.

   Por este motivo, como señala NIETO MARTÍN⁶⁷, pueden resultar muy útiles las empresas dedicadas al forensic⁶⁸, que, entre otras cuestiones, emplean herramientas de software mediante los que analizar miles de documentos rastreándolos con métodos de búsqueda precisos.

4.3.3. Informe final.

La investigación concluirá con la elaboración de un informe por el equipo investigador que recoja con carácter exhaustivo las conclusiones alcanzadas, los medios de prueba que las sustentan, y la propuesta infractora que se realiza frente a los sujetos que se hayan determinado como incumplidores.

A resultas de la investigación, pueden alcanzarse dos grupos de conclusiones:

• Archivo del procedimiento, si los hechos investigados no son constitutivos de delito; no se ha acreditado su comisión; o no puede detectarse qué concreta persona de la organización los ha cometido. En este último supuesto, será necesario tomar medidas internas destinadas a su futura evitación y a establecer los mecanismos necesarios para la identificación de los responsables si se dan nuevos incumplimientos.

• En el caso de que se determine que se ha producido una infracción, el informe tendrá que recoger los sujetos que han intervenido; naturaleza de los hechos; fecha, lugar y las circunstancias en que sucedieron; normativa infringida y las posibles consecuencias del incumplimiento. El equipo investigador debe señalar las medidas a implantar para su evitación, detección o reacción temprana, y las sanciones propuestas para los autores.

El informe final con la propuesta se deberá trasladar al órgano de compliance penal.

4.3.4. Sanción.

El encargado del cumplimiento normativo de la empresa será quien, sobre la base del informe final, y manteniendo informado al órgano de gobierno de la empresa⁶⁹, deberá establecer las sanciones a imponer al incumplidor, y las medidas que se deben adoptar. El compliance officer no está obligado a seguir las conclusiones alcanzadas por el equipo investigador, si bien deberá motivar las causas que le han llevado a separarse de la propuesta de resolución recibida.

Para asegurar la debida imparcialidad, es relevante que los sujetos que deban decidir sobre la sanción a imponer no hayan participado en la investigación.

4.3.5. Protección del resultado de la investigación.

La correcta protección del resultado de la investigación, excluyéndolo de miradas ajenas no toleradas expresamente por la persona jurídica, resulta vital para la defensa corporativa. En línea con lo indicado por NIETO MARTÍN⁷⁰, el control de la información emanada del canal de denuncias reporta a la empresa principalmente tres ventajas: diseñar la estrategia defensiva más acorde a las concretas circunstancias; facilitar el fin de la indagación, evitando o reduciendo los costes reputaciones; e impedir algunas diligencias de investigación (como la entrada y registro), que podrían afectar al resultado de la investigación.

Por ello, afirma NIETO MARTÍN: “La importancia que en la prevención de la criminalidad económica tienen los canales de denuncia y, en general, los programas de cumplimiento hacen necesario que se establezca algún tipo de garantía que proteja la información que generan frente a jueces, fiscales y autoridades administrativas”⁷¹.

Señala el autor dos prerrogativas, de escaso arraigo en el derecho continental: el self auditing privilege, en virtud del cual resultarían inaccesibles a las autoridades los documentos generados con el objetivo de mejorar el modelo de prevención; y el ombudsman privilege, que dota de carácter confidencial a las comunicaciones recibidas por la persona de la empresa designada para la recepción de denuncias o prestar asesoramiento respecto a cuestiones legales⁷².

Dado que no existe expreso reconocimiento del work product privilege⁷³, la única forma de proteger realmente ese material sensible es empleando letrados externos de inicio a fin de la investigación.

5. Plan de acción para la reparación de las causas subyacentes.

Resultando incontrovertido que el objetivo del modelo de prevención penal es prevenir, detectar y reaccionar ante los ilícitos, el establecimiento de un plan de acción para mitigar el riesgo de reiteración de las conductas criminales detectadas es por lo tanto un elemento ineludible de los compliance program.

Al respecto, la Guidance on the Evaluation of Corporate Compliance Programs señala entre los factores a considerar (letra D del apartado III) para la evaluación de la eficacia del sistema preventivo, si el ente ha realizado análisis detallados de las causas de fondo de las malas prácticas, y ha adoptado las medidas correctivas asumidas para que se reproduzcan en el futuro. Según la NORMA UNE – ISO 37002 (aptado. 8.5), cuando se detecten irregularidades, la organización, además de sancionar y remitir, en su caso, el asunto a las autoridades, debe tomar las medidas adecuadas para resolver las irregularidades y supervisar continuamente la eficacia de esas medidas implantadas.

Se trata, en definitiva, de acreditar lo que el Decreto Ejecutivo 42399 de Costa Rica (artículo 13) denomina aprendizaje organizacional.

Conclusiones

1. Al objeto de asegurar la efectividad de las investigaciones internas, como método principal para descubrir ilícitos corporativos, es preciso que los sistemas internos de información instaurados por las entidades sigan un conjunto de hitos: faciliten la formulación de denuncias, incluso de forma anónima; justifiquen adecuadamente la toma de decisión de la corporación sobre si incoar, en virtud de las delaciones o de auditorías internas, la correspondiente indagación; seleccionen los sujetos encargados de la averiguación, determinando las diligencias a practicar que faciliten el esclarecimiento de los hechos; adopten, una vez finalizadas las comprobaciones, las decisiones oportunas respecto al sujeto denunciado, entre las que puede estar el despido del responsable del ilícito y; por último, en virtud de lo descubierto, acojan las medidas internas oportunas para prevenir y evitar conductas similares en el futuro.

2. Atendiendo a los intereses afectados por las investigaciones internas, son exigibles unos especiales deberes de cuidado a cargo de la entidad investigadora, debiendo asegurar escrupulosamente tanto los derechos del denunciante (principalmente, su protección frente a represalias) como los del denunciado. En particular, aunque la mayoría de los textos analizados parecen pasar de largo, las pesquisas privadas tienen que ser respetuosas con el derecho a la intimidad, el secreto de las comunicaciones y, en general, el derecho de defensa del investigado.

3. El producto de las investigaciones internas resulta esencial para la acreditación de la eficacia del programa de compliance implantado. Por ello, es imprescindible su correcta recopilación y salvaguarda frente a miradas de terceros (inclusive, autoridades) no autorizados por la corporación. De este modo, si atendiendo a lo averiguado mediante el canal de denuncias se pone de manifiesto un defecto organizativo, la entidad debe tener a su alcance las herramientas oportunas para evitar que, precisamente, esa indagación interna, contribuya a su propia incriminación en un hipotético procedimiento penal o administrativo – sancionador en que aparezca como sujeto pasivo.

• 2
  Sorprendentemente, la Ley 27.401 de Argentina, dentro de lo que denomina “programas de integridad”, regulados en sus artículos 22 y 23, señala los canales de denuncia como parte de los contenidos opcionales.
• 3
  (https://www.acfe.com/-/media/files/acfe/pdfs/2016-report-to-the-nations.ashx).
• 4
  Sobre la Directiva, el contexto en que surgió, y los incentivos a los alertadores vid. GARCÍA MORENO, B., Del whistleblower al alertador: la regulación europea de los canales de denuncia, Valencia: Tirant lo Blanch, 2020.
• 5
  En relación con el estado de la transposición de la norma comunitaria en los distintos países de la UE, vid. EuroWhistle – Interactive Plattform on Implementation of EU Directive on Whistleblower Protection.
• 6
  La norma española (en consonancia con la europea, aunque con un ámbito material más ambicioso), tiene el objetivo de proteger a los ciudadanos que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves, o que, en su caso, afecten al Derecho de la UE, y las comuniquen mediante los cauces contemplados en el texto. Los mecanismos que contempla la Ley 2/2023 de España, como la Directiva Whistleblower, son los canales internos, gestionados por la propia organización; canal externo, supervisado por la denominada Autoridad Independiente de Protección del informante (o entidades análogas creadas en las diferentes autonomías de España); o revelaciones públicas, definidas como la puesta a disposición del público de información sobre acciones u omisiones que constituyan la infracción del ámbito material contemplado en la Ley 2/2023 de España.
• 7
  NIETO MARTÍN, A., “Investigaciones internas, whistleblowing y cooperación: la lucha por la información en el proceso penal”, Diario La Ley, nº. 8120, Sección Doctrina, 5 de Julio de 2013, Año XXXIV, Ref. D-247, pág. 9. Igualmente, para RODRÍGUEZ GARCÍA, N., GABRIEL ORSI, O., “Las investigaciones defensivas en el compliance penal corporativo”, en RODRÍGUEZ GARCÍA, N., RODRÍGUEZ LÓPEZ, F., (Eds.), “Compliance” y responsabilidad de las personas jurídicas, Valencia: Tirant lo Blanch, 2021, págs. 293-389, pág. 312, en las investigaciones internas “el derecho preeminente es el de defensa frente a una amenaza punitiva”.
• 8
  Sobre los objetivos de los canales de denuncias, y el procedimiento de investigación, RODRÍGUEZ GARCÍA, N., GABRIEL ORSI, O., “Las investigaciones defensivas… ob. cit. págs. 293-389.
• 9
  Por referir otra división, señala NIETO MARTÍN, A., “Reforma del proceso penal y regulación de las investigaciones internas” [Reforma del proceso penal y regulación de las investigaciones internas - Almacén de Derecho (almacendederecho.org) abril de 2020, última visita 17/03/2023] que las investigaciones internas tienen los siguientes objetivos: “Investigaciones internas cuya finalidad es la imposición de sanciones disciplinarias, por infracción por ejemplo del código ético. A estas asimilaríamos aquellas cuya finalidad es descubrir el comportamiento del empleado o directivo que perjudicó a la empresa, en cuanto que lo más normal es que esta investigación acabe con su despido disciplinario. Investigaciones internas cuya finalidad es cooperar con la administración de justicia o con una autoridad administrativa, con el fin de beneficiarse de una rebaja en la sanción u obtener un acuerdo judicial (allí donde existan). Investigaciones preventivas destinadas a mejorar el sistema de cumplimiento normativo. Investigaciones que tienen como finalidad preparar la defensa jurídica de la entidad o sus directivos.”
• 10
  Sobre este objetivo incide el primer punto del aptdo. 8.7 de la NORMA UNE 19601. Viene previsto igualmente como requisito 6º del aptdo. 5 del artículo 31 bis del Código Penal español.
• 11
  La NORMA UNE-ISO 37002 asume entre sus objetivos “demostrar la aplicación de prácticas de gobernanza sólidas y éticas a la sociedad, a los mercados, los reguladores, los propietarios y otras partes interesadas”.
• 12
  Por ejemplo, el requisito 4 del aptdo. 5 del artículo 31 bis del Código Penal español, o el Decreto Ejecutivo 42399 de Costa Rica, en su artículo 12, letra h.
• 13
  Párrafo 5º del aptdo. 5.5.
• 14
  En esta línea se refiere igualmente el artículo 8 de la Ley 2/2023 de España. En todo caso, como señala la NORMA UNE – ISO 37002 (aptdo. 5.3.1) es preciso que la persona designada dentro de la organización con responsabilidad en la gestión del canal de denuncias tenga autoridad sobre los externos.
• 15
  Sobre la importancia de las normas UNE – ISO en la implantación de los canales de denuncia, señala BALLESTEROS SÁNCHEZ, J., “Pautas y recomendaciones técnico-jurídicas para la configuración de un canal de denuncias eficaz en organizaciones públicas y privadas. La perspectiva española”, Derecho PUCP. núm. 85, 2020, págs. 41-78, pág. 71, “la norma UNE-ISO 19600, Sistemas de Gestión de Compliance, y la norma UNE 19601, sobre Sistemas de gestión de compliance penal, ofrecen los más altos estándares técnicos para diseñar, implementar y revisar programas de cumplimiento idóneos y efectivos. En consecuencia, las pautas y recomendaciones que ofrecen dichas normas sobre los canales de denuncia son imprescindibles para cualquier organización que pretenda disponer de un canal de denuncias eficaz.”
• 16
  La NORMA UNE – ISO 37002 se refiere a la imparcialidad como uno de los principios básicos de los canales de denuncias; el Decreto Ejecutivo 42399 de Costa Rica (artículo 13, letra e) destaca la importancia de la imparcialidad en la gestión de las denuncias; igualmente, la Guía canal de denuncias PNUD México (pág. 9), destaca la imparcialidad en la gestión de las denuncias como elemento necesario.
• 17
  STJUE de 14 de septiembre de 2010, Akzo Nobel Chemicals Ltd y Akcros Chemicals Ltd c. Comisión Europea, Asunto C-550/07 P, ECLI:EU:C:2010:512.
• 18
  GOENA VIVES, B., “El secreto profesional del abogado in-house en la encrucijada: tendencias y retos en la era del compliance”, Revista Electrónica de Ciencia Penal y Criminología, 2019, núm. 21-19, págs. 1-26, pág. 3, señala que “el riesgo de que su labor carezca de expectativas de confidencialidad mina las probabilidades de que el abogado in- house favorezca las obligaciones de compliance de la empresa. ¿Qué abogado interno se atrevería a promover una investigación interna si la información recopilada — que puede ser incautada en una entrada y registro en la persona jurídica — no estuviera amparada por el secreto profesional?”. Por ello, la autora (pág. 19), recomienda que la gestión del canal resida en un abogado externo.
• 19
  NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 239.
• 20
  NEIRA PENA, A. M., La instrucción de los procesos penales frente a las personas jurídicas, Valencia: Tirant lo Blanch, 2017, pág. 336.
• 21
  PRIETO GONZÁLEZ, H.M., “Las investigaciones internas: el Attorney Privilege y el Work Product Privilege” en ALCOLEA CANTOS, J.M., PARDO PARDO, J.M (Coords.), Defensa Corporativa y Compliance, Cizur Menor (Navarra): Aranzadi, 2019, págs. 251-265, págs. 262-263.
• 22
  GOENA VIVES, B., “El secreto profesional del abogado… ob. cit. pág. 19.
• 23
  Así lo requería el inciso final del aptdo. 1 del artículo 24 Ley Orgánica de Protección de Datos, antes de ser modificado por la Ley 2/2023 de España. Ahora esa previsión se contempla en el artículo 25 de la Ley 2/2023 de España.
• 24
  Para las empresas con cincuenta o más trabajadores.
• 25
  F.D. 2º.
• 26
  Constan no obstante resoluciones del Tribunal Supremo Español, como la Sentencia núm. 181/2014 de 11 de marzo de 2014 que advierten (F.D.3º) que las denuncias anónimas deben aceptarse como fuente de investigación, pero con matices, esto es, no de forma generalizada: “la llamada anónima solo permite el inicio de la investigación policial, y eso es lo que ocurrió aquí, en base al resultado de la encuesta policial, de los seguimientos y demás datos obtenidos es cuando se pide la intervención telefónica y esta se concedió, pero no por la llamada anónima, sino por los resultados de la investigación policial desencadenada por ésta. SSTS 1945/2005; 551/2006; 1354/2009 ó 318/2013. Todas ellas refieren que la mera y sola denuncia anónima no puede justificar un sacrificio de derechos fundamentales, sólo la investigación policial encaminada a verificar en términos razonables la verosimilitud de lo denunciado anónimamente, puede justificar la intervención. La razón de que no sirva la sola y mera denuncia anónima, la encontramos en el viejo brocardo “Quien oculta el rostro para acusar, también es capaz de ocultar la verdad en lo que se acusa” ”.
• 27
  MASCHMANN, F., “Compliance y derechos del trabajador” en KUHLEN, L., MONTIEL, J.P., ORTIZ DE URBINA, I., (Eds.), Compliance y teoría del Derecho Penal, Madrid: Marcial Pons, 2013, págs. 147-167, pág. 163. El riesgo de empleo torticero de los canales de denuncias se ve agravado en los sistemas (como el de Estados Unidos) en que los denunciantes tienen incentivos económicos por denunciar, tal y como pone de manifiesto GIMENO BEVÍA, J., “De falciani a birkenfeld: la evolución del delator en un cazarrecompensas. Aspectos procesales e incidencia frente a las personas jurídicas (whistleblower vs bounty hunter)”, Diario La Ley, Nº 9139, Sección Tribuna, 14 de febrero de 2018, pág. 2.
• 28
  La NORMA UNE-ISO 37002, en el aptdo. referido a la confidencialidad (7.5.5) asume que, pese a que se establezca la confidencialidad, puede haber una serie de características en la denuncia o en la investigación posterior que permitan inadvertidamente la identificación del denunciante.
• 29
  BACHMAIER WINTER, L., MARTÍNEZ SANTOS, A., “El régimen jurídico-procesal del whistleblower. La influencia del Derecho europeo” en GÓMEZ COLOMER, J.L. (Dir.), MADRID BOQUÍN, C.M. (Coord.), Tratado sobre compliance penal. Responsabilidad penal de las personas jurídicas y modelos de organización y gestión, Valencia: Tirant lo Blanch, 2019, págs. 503-549, págs. 533-534.
• 30
  Correlativo artículo 33 de la Ley 2/2023 de España.
• 31
  En la misma línea, artículo 4.1 de la Ley 2/2023 de España.
• 32
  En este sentido se pronuncia PUYOL MONTERO, F.J., El funcionamiento práctico del canal del compliance “whistleblowing”, Valencia: Tirant lo Blanch, 2017, pág. 151. En cuanto al contenido del acuse, dice el autor que “A los efectos de la mayor transparencia y seguridad jurídica, sería conveniente que el reporte que a tal efecto se librara fuera comprensivo del escrito de denuncia en su integridad, de modo y manera que el denunciante tuviera suficiente constancia del alcance y contenido de la comunicación realizada”.
• 33
  Lo mismo se exige por la Ley 2/2023 de España, en sus artículos 9 y 17.
• 34
  La NORMA UNE-ISO 37002 establece el plazo de tres días.
• 35
  La NORME UNE-ISO 37002 define en su aptdo. 3.2 el concepto “evaluación de las denuncias iniciales (triaje)”, que identifica con la “evaluación inicial de las denuncias de irregularidades para los propósitos de categorización, adopción de medidas preliminares, priorización y asignación para su manejo”.
• 36
  Primer punto del aptdo. 8.8.
• 37
  Articulo 36 de la Ley 2/2023 de España.
• 38
  Artículo 37 de la Ley 2/2023 de España.
• 39
  Artículo 38 de la Ley 2/2023 de España.
• 40
  Artículo 39 de la Ley 2/2023 de España.
• 41
  Destaca este aspecto PUYOL MONTERO, F.J., “El funcionamiento práctico del canal… ob. cit. págs. 166-167, poniendo como ejemplo el Reglamento del Canal de Denuncia de la CRUZ ROJA, según el cual tendrán la consideración de denuncias de buena fe (artículo 4): “a) se considera que el denunciante actúa de buena fe cuando su denuncia se realice conforme a lo dispuesto en este Reglamento, y esté basada en hechos o indicios de los que razonable mente pueda desprenderse la realización de un comportamiento irregular, ilícito o delictivo. b) se considera que la denuncia es de buena fe cuando, además, la misma se realiza sin ánimo de venganza, de acosar moralmente, de causar un perjuicio laboral o profesional, o de lesionar el honor de la persona denunciada o de un tercero. c) se considera que el denunciante no actúa de buena fe cuando el autor de la denuncia consciente de la falsedad de los hechos, o actúa con manifiesto desprecio de la verdad, o con intención de venganza, o de perjudicar a la empresa, o de acosar la persona denunciada, o de lesionar su honor, o de perjudicarle laboral, profesional o personalmente”.
• 42
  La NORMA UNE-ISO 37002 refiere el concepto “creencia razonable”, que define (aptdo. 3.9) como “creencia sostenida por un individuo basada en la observación, experiencia o información conocida por ese individuo, que también sería sostenida por otra persona en las mismas circunstancias.”
• 43
  RAGUÉS I VALLÈS, R., “¿Héroes o traidores? La protección de los informantes internos (whistleblowers) como estrategia político-criminal”, Indret 3/2006, pág. 13.
• 44
  BACHMAIER WINTER, L., y MARTÍNEZ SANTOS, A. “El régimen jurídico-procesal… ob. cit. pág. 531, nota 61.
• 45
  En el mismo sentido, el artículo 26 de la Ley 2/2023 de España establece que los sujetos obligados deben contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar.
• 46
  ANEXO C, letras l) y ñ).
• 47
  NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 237.
• 48
  PUYOL MONTERO, F.J., “El funcionamiento práctico del canal… ob. cit. pág. 150.
• 49
  Artículo 32 de la Ley 2/2023 de España.
• 50
  Al respecto, la Agencia Española de Protección de Datos, tras la consulta planteada por ASCOM, aclaró en fecha 22 de diciembre de 2021 que ese plazo de tres meses no implica que en el caso de que la denuncia pueda considerarse fundada y dé lugar a una concreta investigación, los datos deban suprimirse de los sistemas de la entidad en el plazo que indicaba el artículo 24 LOPD, sino que únicamente procederá su supresión del concreto sistema de la información de denuncias internas, pasando a integrarse en los sistemas propios del órgano de cumplimiento o, en su caso, del que se tenga a su cargo la gestión de recursos humanos [CONTESTACION-DE-LA-AEPD-22-11-21.pdf (asociacioncompliance.com) última visita 17/03/2023].
• 51
  PASCUAL SUAÑA, O., “Implicaciones en el derecho a no incriminarse de las personas jurídicas del proyecto de ley Whistleblower”, Revista de la asociación de profesores de derecho procesal de las universidades españolas, Nº. 6, 2022, págs. 71-111.
• 52
  ECLI:CE:ECHR:1996:1217JUD001918791.
• 53
  Como señala RODRÍGUEZ GARCIA N., “El sistema penal español en tiempos de compliance: ¿de dónde venimos? ¿a dónde vamos?”, La Ley Penal, Nº 160, Sección Legislación aplicada a la práctica, Enero-Febrero, 2023, pág. 5, la cultura organizacional (cultura de cumplimiento) “es el ecosistema dentro del cual se traza un parámetro estandarizado de acciones que se encuentran previamente estipuladas y difundidas entre todos los miembros de la organización, que no se circunscriben exclusivamente a conductas delictivas y orientan el comportamiento colectivo e individual en la actividad —estructura, gestión y operación— de la empresa en todas sus dimensiones y ámbitos.”
• 54
  Aptdo. 9.2.
• 55
  La NORMA UNE-ISO 37002 define la investigación como “proceso sistemático, independiente y documentado para establecer los hechos y evaluarlos objetivamente para determinar si hubo irregularidades, están ocurriendo o es probable que ocurran y su alcance.”
• 56
  Como señalan VILLEGAS GARCÍA, M.A., ENCINAR DEL POZO, M.A., “Los derechos de la organización y de los investigados en las investigaciones internas. Cuestiones para el debate”, La Ley compliance penal, Nº 8, Sección Estudios, Primer trimestre de 2022, pág. 3 “Lo contrario sería tanto como permitir que las investigaciones internas se conviertan en una «puerta falsa», que permita validar en un proceso penal pruebas obtenidas con vulneración de derechos fundamentales.”
• 57
  NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 270.
• 58
  En este sentido se pronuncia NIETO MARTÍN, A., “Investigaciones internas”, en NIETO MARTÍN, A., (Dir.), Manual de cumplimiento penal en la empresa, Valencia: Tirant lo Blanch, 2015, págs. 231-270, pág. 242, indicando: “Las investigaciones internas constituyen una espada de doble filo. La empresa las realiza para atenuar o evitar la responsabilidad penal, pero atentar indebidamente al derecho a la intimidad o al secreto de las comunicaciones de las personas investigadas, puede constituir un delito contra la intimidad.” Con idéntico tenor, BACIGALUPO, E., “Problemas penales del control de ordenadores del personal de una empresa”, Diario La Ley, nº 8031, Sección Doctrina, 26 de febrero de 2013, Año XXXIV, Ref. D-79, pág. 2. Una muestra plausible sería la STS núm. 328/2021 de 22 de abril, que confirmaba la condena de un empresario, por un delito de revelación de secretos, al haber accedido en reiteradas ocasiones al correo electrónico particular de un trabajador con el objetivo de recopilar elementos de prueba para fundamentar su despido.
• 59
  Considerando 100 de la Directiva Whistlleblower. El aptdo. 8.4.1. de la NORMA UNE-ISO 37002 refiere el respeto al debido proceso. También alude el debido proceso el Decreto Ejecutivo 42399 de Costa Rica (artículo 13, letra f).
• 60
  Artículo 9 de la Ley 2/2023 de España.
• 61
  Como señala GARCÍA – PANASCO MORALES, G., “La nueva Ley del informante: cuando las buenas intenciones se pueden convertir en un problema.”, Diario La Ley, Nº 10264, Sección Tribuna, 11 de abril de 2023, pág. 7, tanto la Directiva, como la norma de transposición española, adolecen de una absoluta falta de regulación sobre el contenido de las investigaciones a realizar tras la recepción de la denuncia.
• 62
  La NORMA UNE-ISO 37002 señala (Nota del aptdo. 8.3.1) que, al evaluar las denuncias, se pueden considerar los siguientes aspectos: ¿Está la irregularidad incluida dentro del alcance de la política de denuncia de irregularidades? Si no es así, ¿necesitaría tratarse de acuerdo con otro procedimiento o abordarse de otra manera?; ¿Es la irregularidad un delito penal? ¿Es necesario remitir la irregularidad a las autoridades policiales o reguladoras?; ¿Cuándo sucedió la irregularidad o está a punto de suceder?;¿Existe una necesidad inmediata de detener o suspender las actividades del negocio?; ¿Existe un riesgo inmediato para la salud y la seguridad?; ¿Existe un riesgo inmediato para los derechos humanos o el medio ambiente?; ¿Existe una necesidad inmediata de asegurar y proteger las pruebas antes de eliminarlas o destruirlas?; ¿Existe algún riesgo para las funciones, los servicios y/o la reputación de la organización?; ¿La continuidad del negocio se verá afectada por la denuncia que se está investigando?; ¿Podría haber interés de los medios de comunicación en la denuncia de irregularidades?; ¿Cómo se puede gestionar este proceso de evaluación, asegurando al mismo tiempo la confianza, la protección y la imparcialidad?; ¿Hay disponible más información que la corrobore?; ¿Cuál es la naturaleza de la irregularidad (es decir, tipo, frecuencia, prevalencia, función y antigüedad de los sujetos de la denuncia)?; ¿Existe la posibilidad de que se denuncie la irregularidad fuera de la organización?; ¿Se ha denunciado previamente la irregularidad?; ¿Cómo obtuvo el denunciante la información: la información es de primera mano o proviene de rumores?.
• 63
  PUYOL MONTERO, F.J., “El funcionamiento práctico del canal… ob. cit. págs. 216-218 o NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 239.
• 64
  Artículo 32.1.d) de la Ley 2/2023 de España.
• 65
  NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 257 apunta como ejemplo la evitación de la destrucción de pruebas que pudiera guardar el denunciado en su ordenador.
• 66
  Artículo 5.2.b) de la Ley 2/2023 de España.
• 67
  NIETO MARTÍN, A., “Investigaciones internas… ob. cit. pág. 251.
• 68
  El informe forensic, elaborado por la consultora PWC, está teniendo un peso importante en el proceso penal seguido frente al BBVA por el conocido como “caso Villarejo” (https://www.elconfidencial.com/empresas/2019-12-24/audiencia-nacional-bbva-informe-forensic-pwc_2389159/ última visita 17/03/2023) De hecho, según algunas informaciones (https://cincodias.elpais.com/cincodias/2020/02/16/companias/1581877046_300923.html última visita 17/03/2023), el forensic llegó a la conclusión de que el BBVA se saltó sus normas de compra y su propio código de conducta.
• 69
  Obligación establecida en la letra d) del aptdo. 5.1.2 de la NORMA UNE 19601.
• 70
  NIETO MARTÍN, A., “Investigaciones internas, whistleblowing … ob. cit. pág. 3.
• 71
  NIETO MARTÍN, A., “Investigaciones internas, whistleblowing … ob. cit. pág. 7.
• 72
  NIETO MARTÍN, A., “Investigaciones internas, whistleblowing … ob. cit. pág. 6.
• 73
  Por ejemplo, el aptdo. 9-28.710 de los Principles of Federal Prosecution of Business Organizations sí que hace referencia a este principio como componente esencial del sistema legal estadounidense.

• Declaration of originality: the author assured that the text here published has not been previously published in any other resource and that future republication will only take place with the express indication of the reference of this original publication; she also attests that there is no third party plagiarism or self-plagiarism.

How to cite (ABNT Brazil):

• PASCUAL SUAÑA, Oliver. Mejores prácticas en los canales de denuncias y en las investigaciones internas. Revista Brasileira de Direito Processual Penal, vol. 9, n. 2, p. 1-33, mai./ago. 2023. https://doi.org/10.22197/rbdpp.v9i2.823

Bibliografía

• BACHMAIER WINTER, L., MARTÍNEZ SANTOS, A., “El régimen jurídico-procesal del whistleblower. La influencia del Derecho europeo” en GÓMEZ COLOMER, J.L. (Dir.), MADRID BOQUÍN, C.M. (Coord.), Tratado sobre compliance penal. Responsabilidad penal de las personas jurídicas y modelos de organización y gestión, Valencia: Tirant lo Blanch, 2019, págs. 503-549.
• BACIGALUPO, E., “Problemas penales del control de ordenadores del personal de una empresa”, Diario La Ley, nº 8031, Sección Doctrina, 26 de febrero de 2013, Año XXXIV, Ref. D-79.
• BALLESTEROS SÁNCHEZ, J., “Pautas y recomendaciones técnico-jurídicas para la configuración de un canal de denuncias eficaz en organizaciones públicas y privadas. La perspectiva española”, Derecho PUCP núm. 85, 2020, págs. 41-78.
• GARCÍA MORENO, B., Del whistleblower al alertador: la regulación europea de los canales de denuncia, Valencia: Tirant lo Blanch, 2020.
• GARCÍA – PANASCO MORALES, G., “La nueva Ley del informante: cuando las buenas intenciones se pueden convertir en un problema.”, Diario La Ley, Nº 10264, Sección Tribuna, 11 de abril de 2023.
• GIMENO BEVÍA, J., “De falciani a birkenfeld: la evolución del delator en un cazarrecompensas. Aspectos procesales e incidencia frente a las personas jurídicas (whistleblower vs bounty hunter)”, Diario La Ley, Nº 9139, Sección Tribuna, 14 de Febrero de 2018.
• GOENA VIVES, B., “El secreto profesional del abogado in-house en la encrucijada: tendencias y retos en la era del compliance”, Revista Electrónica de Ciencia Penal y Criminología, 2019, núm. 21-19, págs. 1-26.
• MASCHMANN, F., “Compliance y derechos del trabajador” en KUHLEN, L., MONTIEL, J.P., ORTIZ DE URBINA, I., (Eds.), Compliance y teoría del Derecho Penal, Madrid: Marcial Pons, 2013, págs. 147-167.
• NEIRA PENA, A. M., La instrucción de los procesos penales frente a las personas jurídicas, Valencia: Tirant lo Blanch, 2017.
• NIETO MARTÍN, A., “Investigaciones internas, whistleblowing y cooperación: la lucha por la información en el proceso penal.” Diario La Ley, nº 8120, Sección Doctrina, 5 de Julio de 2013, Año XXXIV, Ref. D-247.
• PASCUAL SUAÑA, O., “Implicaciones en el derecho a no incriminarse de las personas jurídicas del proyecto de ley Whistleblower”, Revista de la asociación de profesores de derecho procesal de las universidades españolas, Nº. 6, 2022, págs. 71-111.
• PRIETO GONZÁLEZ, H.M., “Las investigaciones internas: el Attorney Privilege y el Work Product Privilege” en ALCOLEA CANTOS, J.M., PARDO PARDO, J.M (Coords.), Defensa Corporativa y Compliance, Cizur Menor (Navarra): Aranzadi, 2019, págs. 251-265.
• PUYOL MONTERO, F.J., El funcionamiento práctico del canal del compliance “whistleblowing”, Valencia: Tirant lo Blanch, 2017.
• RAGUÉS I VALLÈS, R., “¿Héroes o traidores? La protección de los informantes internos (whistleblowers) como estrategia político-criminal”, Indret 3/2006.
• RODRÍGUEZ GARCÍA, N., GABRIEL ORSI, O., “Las investigaciones defensivas en el compliance penal corporativo”, en RODRÍGUEZ GARCÍA, N., RODRÍGUEZ LÓPEZ, F., (Eds.), “Compliance” y responsabilidad de las personas jurídicas, Valencia: Tirant lo Blanch, 2021, págs. 293-389.
• RODRÍGUEZ GARCÍA N., “El sistema penal español en tiempos de compliance: ¿de dónde venimos? ¿a dónde vamos?”, La Ley Penal, Nº 160, Sección Legislación aplicada a la práctica, Enero-Febrero, 2023.
• VILLEGAS GARCÍA, M.A., ENCINAR DEL POZO, M.A., “Los derechos de la organización y de los investigados en las investigaciones internas. Cuestiones para el debate”, La Ley compliance penal, Nº 8, Sección Estudios, Primer trimestre de 2022.

Editado por

Editorial team

• Editor-in-chief: 1 (VGV)

• Associated-editor: 1 (AMNP)

• Reviewers: 3

Fechas de Publicación

• Publicación en esta colección
  04 Ago 2023
• Fecha del número
  May-Aug 2023

Histórico

• Recibido
  18 Mar 2023
• Revisado
  30 Mar 2023
• Revisado
  18 Abr 2023
• Revisado
  27 Abr 2023
• Revisado
  29 Abr 2023
• Revisado
  24 Mayo 2023
• Revisado
  06 Jun 2023
• Acepto
  15 Jun 2023