En materia de canal de denuncias, muchas empresas fallan menos en el diseño jurídico que en la ejecución diaria. Tienen una política aprobada, quizá incluso una buena plataforma, pero los plazos se escapan, la investigación se improvisa y la trazabilidad documental es insuficiente.
El resultado es peligroso: el sistema existe formalmente, pero no funciona como exige la ley. Y precisamente ahí es donde aparecen los riesgos más incómodos, porque una incidencia operativa puede comprometer la confidencialidad, debilitar la defensa de la empresa y convertir una herramienta de compliance en un problema adicional.
Los plazos que la empresa no puede perder de vista
La ley obliga a que el procedimiento de gestión de informaciones incluya un acuse de recibo y una contestación inicial en el plazo de siete días naturales desde la recepción de la denúncia. También exige fijar un plazo máximo para responder a las actuaciones de investigación, que no podrá ser superior a tres meses, contados desde la recepción de la denúncia o, si no se envió acuse, desde el vencimiento del plazo de siete días.
Solo en casos de especial complejidad cabe ampliar ese plazo hasta un máximo de otros tres meses adicionales.
Además, cuando la persona informante solicita una reunión presencial, el canal debe permitirla dentro del plazo máximo de siete días.
Estos plazos parecen sencillos, pero en la práctica generan mucha fricción. El acuse puede olvidarse cuando el canal no está bien monitorizado; la respuesta en tres meses se vuelve inviable si la empresa no clasifica bien los asuntos o si no dispone de un circuito de investigación claro; y la reunión presencial puede quedar mal documentada si no existe procedimiento específico. La ley, por tanto, no solo impone fechas: obliga implícitamente a un modelo organizativo capaz de cumplirlas.
La investigación no puede improvisarse
El artículo 9 de la Ley 2/2023 exige un procedimiento diligente y también protege a la persona afectada, que tiene derecho a ser informada de las acciones u omisiones que se le atribuyen y a ser oída en cualquier momento, en el tiempo y forma que se consideren adecuados para garantizar el buen fin de la investigación. La misma norma exige respeto a la presunción de inocencia, al honor de las personas afectadas y a las reglas de protección de datos.
Eso significa que investigar no equivale a abrir un expediente informal y pedir versiones por correo. Una investigación interna razonable debería incluir, desde el principio, una fase de admisión o clasificación, una delimitación del objeto, una preservación de evidencias, una definición de las personas que intervendrán y una previsión de cómo se documentará la audiencia de la persona afectada sin comprometer la confidencialidad ni el resultado de la instrucción. La AEPD, en sus principios y en su procedimiento, insiste en objetividad, imparcialidad, evitación de conflictos de intereses y respeto a la buena fe y al derecho de defensa. Es importante informar a toda la plantilla del sistema elegido y de las vías de comunicación que lo forman.
Qué errores operativos se repiten más
- El primero es no clasificar. No todas las comunicaciones exigen una investigación completa. Sin un filtro inicial, el equipo responsable acaba mezclando incidencias menores, conflictos laborales no incluidos en el ámbito de la ley y verdaderas alertas de infracciones graves o muy graves.
- El segundo error es gestionar demasiadas personas al expediente, lo que multiplica el riesgo de filtraciones.
- El tercero es investigar sin un hilo documental único, de manera que las actuaciones quedan repartidas entre correos, carpetas, notas sueltas y versiones contradictorias.
- El cuarto es agotar el plazo de tres meses sin una decisión clara, porque nadie ha asumido el liderazgo operativo del caso.
- Y el quinto es olvidar el tratamiento de las comunicaciones que llegan por fuera del canal: la ley exige garantizar la confidencialidad en esos supuestos, formar al personal y obligar al receptor a remitir inmediatamente la comunicación al Responsable del Sistema.
En la práctica, estos errores no suelen aparecer por mala fe, sino por ausencia de procedimiento real. La empresa tiene canal, pero no “método”. Y sin método, el expediente se vuelve vulnerable.
Por qué la trazabilidad es tan importante
La trazabilidad cumple tres funciones.
- La primera es organizativa: permite saber qué ha pasado, cuándo y por decisión de quién.
- La segunda es jurídica: ayuda a demostrar que el sistema funciona con diligencia y respeto a las garantías.
- La tercera es probatoria: si hay una inspección, un litigio o una impugnación interna, la empresa necesita poder reconstruir el camino completo de la comunicación. La AEPD, al describir su sistema, pone el foco precisamente en la llevanza, registro y conservación de las actuaciones, y en el almacenamiento duradero de la información.
Una buena trazabilidad no exige burocracia excesiva, pero sí un mínimo orden. Cada expediente debería reflejar recepción, clasificación inicial, acuse, actuaciones realizadas, peticiones de información, decisiones intermedias, audiencia de la persona afectada cuando proceda, conclusión y cierre. Si alguna actuación se hace fuera del sistema o no se documenta, el expediente pierde coherencia.
Un pequeño checklist operativo
Conviene revisar periódicamente si el sistema interno responde bien a estas preguntas:
- ¿Quién controla el plazo de siete días para el acuse?
- ¿Quién vigila el plazo máximo de tres meses?
- ¿Cómo se documentan las reuniones y comunicaciones verbales?
- ¿Qué ocurre si la comunicación llega a un directivo o a RR. HH. fuera del canal?
- ¿Quién decide la admisión o inadmisión inicial?
- ¿Qué plantillas de diligencias o hitos usa la empresa?
- ¿Cómo se archiva y protege el expediente?
- ¿Quién valida el cierre?
Cuando estas respuestas no están claras, normalmente el problema no es tecnológico, sino de gobernanza.
Conclusión
Los errores operativos en un canal de denuncias rara vez nacen de una sola gran decisión equivocada. Suelen aparecer en pequeños fallos de plazo, de investigación o de documentación que, acumulados, vacían de eficacia el sistema.
Preguntas frecuentes sobre plazos, investigación y trazabilidad en un canal de denuncias
¿Cuánto tiempo tiene la empresa para acusar recibo?
El procedimiento debe prever un acuse de recibo en siete días naturales desde la recepción, salvo que ello ponga en riesgo la confidencialidad.
¿Cuál es el plazo máximo de investigación?
La respuesta a las actuaciones de investigación no puede superar tres meses, ampliables hasta otros tres en casos de especial complejidad.
¿Qué pasa si la denuncia llega fuera del canal?
La ley exige garantizar la confidencialidad, formar al personal sobre esta materia y establecer la obligación de remitir inmediatamente la comunicación al Responsable del Sistema. Es importante que la plantilla sepa dónde debe dirigirse y cómo funciona el sistema.
¿La persona afectada tiene derecho a ser oída?
Sí. La ley reconoce su derecho a ser informada de los hechos que se le atribuyen y a ser oída en cualquier momento, en la forma adecuada para no perjudicar la investigación.
¿Por qué es tan importante la trazabilidad?
Porque permite acreditar diligencia, reconstruir el expediente, defender la actuación de la empresa y demostrar que el sistema ha funcionado con garantías. Esta es una conclusión práctica directamente conectada con las exigencias legales de procedimiento y conservación.
Artículo revisado por Gemma Fayos Casas, abogada especialista en Derecho Laboral
