La necesidad de contar con un canal de denuncia o SII no es algo nuevo para las empresas. Todas aquellas que cuenten con un programa de cumplimiento normativo o con un plan de prevención de riesgos penales, también conocido como Compliance Penal, ya conocen que esta resulta una herramienta esencial para garantizar la eficacia del sistema y garantiza que el mismo cumple con los requisitos que establece el Código Penal y con los designios de la Fiscalía.
No obstante, para que estos modelos sean eficaces, y los canales de denuncia cumplan su finalidad, es necesario que abarquen a toda la organización y permitan demostrar el compromiso corporativo de cumplimiento de las leyes, requisitos regulatorios, y normas de buen gobierno y mejores prácticas.
Por lo que incorporar un modelo de compliance o cumplimiento normativo en el comportamiento de las personas que trabajan para una organización depende, sobre todo, de sus líderes, en todos los niveles, y de que existan unos valores claros en la organización, así como de la aceptación e implementación de medidas que promuevan una conducta de cumplimiento.
En desarrollo de esta conducta de cumplimiento y con la aprobación de esta norma, las empresas españolas que cuenten con más de 50 trabajadores en plantilla deberán tener implantado este nuevo sistema interno de información antes de finalizar el año y deberán cumplir con unos requisitos muy exhaustivos para acreditar el cumplimiento de la ley y así garantizar la protección del informante y de paso la eficacia de los modelos de prevención de riesgos penales.
Aspectos más relevantes de la norma
¿Qué es el Sistema Interno de Información (SII)?
Primero de todo, el SII es el comúnmente llamado Canal de Denuncias Interno y se trata de un cauce preferente de comunicación de infracciones que deben de tener implantado las organizaciones para permitir informar sobre las infracciones previstas en el artículo 2 de la nueva Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. La finalidad de esta nueva Ley es, proteger frente a represalias a las personas físicas y las jurídicas que informen sobre infracciones, fomentando la cultura de la información.
Entidades del sector privado obligadas
La Ley prevé que deberá debe ser implantado por todas aquellas personas físicas o jurídicas del sector privado que tengan contratados 50 o más personas trabajadoras. También estarán obligadas aquellas entidades del ámbito de aplicación de los actos de la UE en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente (Directiva 2019/1937) y los partidos políticos, sindicados y organización empresariales.
Plazos de implantación
De conformidad con la Disposición Transitoria Segunda de la Ley, el SII ha debido quedar establecido en el plazo máximo de tres meses desde la entrada en vigor de la Ley, esto es, el pasado 13 de junio de 2023.
Ahora bien, para el caso de entidades del sector privado de 249 o menos y hasta 50 personas trabajadoras, el plazo se extiende hasta el 1 de diciembre de 2023.
Infracciones que tienen que ser informadas a través del SII:
Si bien, el resto de los canales existentes en la empresa deberán ser integrados en el SII como puede ser el caso de oportuno canal ético, o el canal de acoso, la Ley 2/2023 establece las infracciones que podrán ser informadas a través del canal y que supondrán desplegar los oportunos mecanismos de protección de la persona informante de estas infracciones, que son las siguientes:
- Infracciones del Derecho de la UE.
- Infracciones administrativas o penales de tipo grave o muy grave.
- Infracciones del derecho laboral que afecten a materia de seguridad y salud en el trabajo.
Características del SII:
- Confidencialidad del proceso y de la identidad del informante.
- Debe integrar los distintos canales internos de información, cómo el canal ético o el canal de denuncias de acoso sexual o laboral.
- Permitir la opción de anonimato al informar o denunciar las infracciones.
- Las comunicaciones pueden ser realizadas de forma escrita, verbal o ambas.
- Debe nombrarse un responsable del sistema por el órgano de gobierno o administración.
- Disponer de una política con los principios generales del SII.
- Procedimiento de gestión de las comunicaciones.
- Garantizar el tratamiento efectivo de las comunicaciones.
- Establecer garantías para la protección de los informantes.
- Informar sobre los canales externo de información.
Implementación:
Para la implementación del SII se deberá elaborar una política o estrategia que enuncie los principios generales del sistema y que deberá ser publicitada en el seno de la entidad u organismo.
Asimismo, deberá darse formación a la plantilla sobre el SII, sensibilizando a todas las personas trabajadoras y facilitando formación específica a mando intermedios y responsables del sistema.
La configuración del SII por medio de una herramienta digital será el método más efectivo para dar cumplimiento a todas las previsiones de la nueva Ley, como son: garantizar la independencia, el anonimato de los informantes, la confidencialidad de la información en todo el proceso y la trazabilidad de la información.
Externalización de la gestión del SII:
La Ley permite externalizar la gestión del SII, lo que mejorará la reputación externa al acreditar la independencia respecto de la gestión de éste.
El tercero externo que gestione el SII tendrá la consideración de encargado del tratamiento a efectos de la legislación sobre protección de datos personales y éste tratamientos se regirá por el acto o contrato al que se refiere el artículo 28.3 del Reglamento (UE) 2016/679.
Hecho un repaso sobre la norma, merece recordar, como hemos avanzado en otras ocasiones, que, para garantizar la eficacia de nuestro plan de prevención de riesgos penales, es siempre necesario contar con un sistema interno de información, con independencia del número de persona trabajadoras en plantilla.
Del mismo modo que esta eficacia y por tanto pleno rendimiento de los planes de prevención, pasan por su debida y continúa actualización y monitorización.
La norma penal exige una verificación periódica del plan y eventuales modificaciones, por ello la actualización y monitorización del modelo de prevención se vuelve obligatoria cuando se ponen de manifiesto infracciones relevantes de sus disposiciones, cuando se producen cambios en la organización, bien en la estructura de control como en la actividad desarrollada que los hagan, y también cuando se producen modificaciones legislativas, que incluyen o eliminan tipos delictivos cuya comisión puede darse en el seno de la organización o como en el presente, se modifica la configuración de los sistemas de información implantados.
