Comienzan a expirar los plazos para implementar las obligaciones impuestas por la nueva Ley Whistleblowing

Las obligaciones y medidas recogidas en la novedosa Ley Whistleblowing no fueron inmediatamente exigibles, sino que el Legislador estableció diferentes plazos máximos para la implementación o, en su caso, adaptación de los sistemas internos ya existentes a la nueva regulación. El primero de estos plazos máximos ya ha expirado, lo que implica que las obligaciones que contiene la Ley Whistleblowing son perfectamente exigibles, en este caso, para aquellas empresas que cuenten con 250 trabajadores o más.

I.  Entrada en vigor de la Ley Whistleblowing y nuevas obligaciones en relación con los canales de denuncias. 

Ya es de sobra conocido –al menos, para los que formamos parte del sector– que el pasado 21 de febrero se publicó en el BOE la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de la lucha contra la corrupción (en adelante, “Ley Whistleblowing” o “Ley”); con la que se pone fin al largo proceso de transposición de la Directiva 2019/1937, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

Esta nueva Ley, que se promulga con la finalidad de otorgar la protección suficiente a aquellas personas que se decidan a informar sobre infracciones e incumplimientos normativos y de fortalecer una cultura de comunicación y denuncia (configurada como uno de los medios más efectivos para la lucha contra la delincuencia corporativa, el fraude y la corrupción), ha supuesto una verdadera revolución para la gestión y organización interna de las empresas, que ahora tienen el reto de implementar las cuantiosas (y novedosas) obligaciones que se derivan de esta reciente regulación.

Y es que, si bien en algunos sectores ya existía la obligación de disponer de canales de denuncias (sirvan como ejemplo las empresas sujetas a la normativa de prevención del blanqueo de capitales, tras la entrada en vigor del Real Decreto Ley 11/2018), puede afirmarse que hasta la entrada en vigor de la Ley Whistleblowing la implementación de estos canales venía teniendo un carácter voluntario para la mayor parte de las compañías, pasando ahora a ser obligatorio cuando se superen determinados umbrales, llevando aparejada la imposición de sanciones en caso de incumplimiento. 

Así, están obligadas a tener un canal de denuncias (sistema interno de información, según los términos de la Ley) las entidades del sector privado que cuenten con más de 50 trabajadores y todas las entidades del sector público. 

A continuación, se relacionan algunos de los aspectos clave de la Ley Whistleblowing, a tener especialmente en cuenta por las entidades del sector privado: 

• La distinción entre dos sistemas de información, un canal interno a implantar por las personas jurídicas del sector privado y un canal externo, de carácter público, gestionado directamente por un organismo público creado a tal efecto: la Autoridad Independiente de Protección del Informante, A.A.I., a quien, además, le corresponde el ejercicio de la potestad sancionadora por incumplimientos de la Ley. 
• La obligación de permitir denuncias anónimas, comunicadas por escrito o verbalmente, así como por medio de una reunión presencial. 
• La necesaria designación de un Responsable del Sistema, nombrado por el órgano de administración de la entidad de que se trate. En caso de que el Responsable del Sistema se configure como un órgano colegiado, éste deberá delegar la gestión en uno de sus miembros (Gestor del Sistema), debiendo ser todos ellos notificados a la Autoridad Independiente.
• La obligación de contar con una política escrita que recoja los principios / aspectos generales del sistema interno de información, que deberá ser debidamente publicitada y, por tanto, conocida por los denunciantes, además de un procedimiento de gestión que regule detalladamente la operativa y otras cuestiones previstas por la Ley.
• La obligación de remitir al Ministerio Fiscal aquellos hechos denunciados que pudieran ser indiciariamente constitutivos de delito. Este requisito resulta un tanto controvertido, pues implica que sean las propias empresas –y no sus empleados– las que pongan en conocimiento de las autoridades competentes los delitos que hubieran podido cometerse dentro de su organización, de los que ellas mismas podrían ser consideradas responsables, lo que podría suponer una suerte de autoincriminación que limitaría significativamente los derechos fundamentales a la defensa, a la presunción de inocencia y a no declarar contra uno mismo, previstos por el artículo 24 de la Constitución Española. 

El incumplimiento de las obligaciones recogidas en la Ley Whistleblowing podría implicar la imposición de sanciones de hasta 300.000 euros en el caso de personas físicas y 1.000.000 euros en el caso de personas jurídicas. 

II Expiración de los plazos máximos previstos en la Ley Whistleblowing para la implementación / adaptación de los canales de denuncia.  

Aunque la publicación en el BOE de la Ley Whistleblowing se produjera el pasado 21 de febrero y su entrada en vigor tuviera lugar veinte días después de dicha publicación (el pasado 13 de marzo), los requisitos contenidos en la nueva Ley no fueron inmediatamente exigibles, sino que se establecieron diferentes plazos máximos para la implementación de las nuevas medidas y el establecimiento / adaptación de los canales de denuncias internos, en función del número de trabajadores con el que contara cada empresa. 

En el caso de las entidades jurídicas del sector privado, como regla general, se estableció un plazo de tres meses desde la entrada en vigor de la Ley para la implementación / adaptación de los sistemas internos de información, salvo que éstas cuenten con 249 trabajadores o menos, en cuyo caso su plazo se ampliará hasta el 1 de diciembre de 2023.

Esto quiere decir que para aquellas empresas del sector privado que tengan 250 trabajadores o más, el plazo para cumplir con las obligaciones impuestas por la Ley Whistleblowing expiró el pasado 13 de junio. 

Así, la mayoría de grandes empresas han venido trabajando intensamente durante los últimos meses en la adaptación de sus sistemas y procedimientos internos para ajustarlos a los nuevos requerimientos. 

Como primeros pasos, las empresas que aún no lo hayan hecho deberán necesariamente habilitar un canal de denuncias en su organización, que deberá estar disponible para la recepción de denuncias hechas por terceros (proveedores, exempleados…) y cuyo acceso, por tanto, deberá estar en un lugar público (habitualmente, en la página web corporativa, en línea con lo establecido por la nueva Ley). 

Además, deberán nombrar un Responsable del Sistema, que, por lo general, deberá ser un directivo de la entidad y ejercer su cargo con total autonomía, y que deberá designarse a pesar de que la gestión del canal (entendida como la recepción de informaciones) se encomiende a un tercero. Aquellas empresas que ya cuenten con un canal de denuncias implementado en el marco de un programa de prevención de delitos, en los términos previstos por el artículo 31 bis del Código Penal, podrán designar como Responsable del Sistema a quien tenga asignadas las funciones de Compliance Officer o Responsable de Cumplimiento. 

La implementación del canal deberá venir acompañada de la redacción de la normativa interna correspondiente, que sirva de guía para el funcionamiento del canal de denuncias y que recoja, entre otros, el procedimiento a seguir para denunciar, el desarrollo de la eventual investigación interna o las medidas adoptadas para prevenir la indeseada adopción de  represalias frente al denunciante de buena fe.   

Como ya se ha mencionado, la Ley Whistleblowing contiene un régimen sancionador severo, por lo que las consecuencias del incumplimiento de las obligaciones contenidas en dicho texto legal pueden ser muy gravosas para las organizaciones infractoras. A modo de ejemplo, el incumplimiento de la obligación de disponer de un sistema interno de información está considerado como una infracción muy grave, con multas de 30.001 a 300.000 euros para personas físicas y de 600.001 a 1.000.000 para personas jurídicas. 

Con el primer plazo ya concluido –el aplicable a organizaciones de 250 o más empleados– es importante no olvidar la importancia de implementar todas estas medidas y el resto de las contenidas en la Ley Whistleblowing. Y aunque dicha Ley atribuye el ejercicio de la potestad sancionadora a la Autoridad Independiente, organismo público dependiente del Ministerio de Justicia que aún no ha sido creado, circunstancia que a priori dejaría en una especie de “limbo” la imposición de sanciones, ello no permite excluir que, una vez sea creada dicha Autoridad, ésta incoe procedimientos sancionadores frente a empresas por infracciones que fueran anteriores al momento de constitución de este nuevo regulador, lo que abriría un "nuevo frente” sobre la legitimidad de tal actuación.