TRES RESPUESTAS SOBRE EL SISTEMA DE INFORMACIÓN INTERNO EN EL SECTOR PRIVADO (Segunda parte)
III- ¿Debemos admitir y gestionar cualquier información comprendida en el ámbito normativo del artículo 2?, ¿nos hemos convertido en gestores universales de denuncias?
III. A.- El aparente alcance del art. 2
Esta pregunta se ha generado a raíz del redactado del Art. 2 de la Ley 2/2023 que establece de forma categórica y sin matices que el ámbito material de aplicación comprende “cualesquiera acciones u omisiones que puedan constituir infracciones del derecho de la Unión Europea” (art. 2.1.a) y “acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave” (art. 2.1.b).
No especifica si se trata de infracciones cometidas por el sujeto obligado o también por terceros ni, en este segundo supuesto, nos indica hasta qué grado o alcance deben llegar las comunicaciones sobre infracciones de terceros.
La duda respecto a este alcance se ha visto incrementada cuando el art. 3 considera informantes a los autónomos y a cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores del sujeto obligado.
La ley rompe con el esquema habitual de los canales de denuncia o canales éticos configurados en el marco de los Sistemas de Compliance, que están enfocados a recibir denuncias e informaciones sobre contravenciones normativas que comportan responsabilidades para la Organización.
Parece que esta nueva regulación nos va a obligar a recibir cuantas denuncias puedan trasladarnos las personas establecidas en el art. 3 sobre cualesquiera de las normas que se indican en el art. 2.
Esto abre el Sistema Interno de Información a nuevos supuestos como:
- El fraude interno.
- Las conductas delictivas o fraudulentas de nuestros empleados o directivos para con otros empleados, directivos o terceros que no comportan responsabilidad penal o administrativa para la organización
- Las contravenciones de la ley cometidas por terceros, en especial por nuestros accionistas, socios de negocio, clientes, así como autónomos, contratistas, subcontratistas y proveedores con quienes nos relacionamos.
III. B- Problemas de interpretación en accionistas, clientes, socios de negocio, contratistas y proveedores
En relación con el punto 3 anterior, la ausencia de una limitación expresa puede llevar a la interpretación que los nuevos Sistemas Internos se configuran como colaborades universales de las autoridades administrativas o judiciales, obligados a recoger y tratar todas las informaciones que versen sobre infracciones contempladas en el art. 2 que les haya transmitido cualquier informante contemplado en el art. 3 y tenga un mínimo de veracidad en su contenido.
Creo que no es esa la intención del legislador, quien debería haber concretado de forma más explícita el verdadero alcance material, acotando los supuestos que debemos recoger a través de nuestro Sistema Interno de Información y los canales internos que tengamos habilitados, porque esa interpretación universal no se concilia con la finalidad de la ley, ni de la directiva que transpone.
III C- La ley delimita implícitamente el alcance del art.2
Hubiera sido deseable que este alcance quedara bien definido en el redactado del art. 2 aportando mayor claridad en su aplicación práctica, especialmente porque ya desde su preámbulo la norma apunta en repetidas ocasiones que la organización debe poder investigar, corregir y reparar los daños derivados de las irregularidades que son objeto de información.
Obviamente esto sólo se puede dar si estamos ante irregularidades que se cometen en el marco de la actividad sometida a control y gestión del sujeto obligado y no en aquellas actividades de terceros sobre los que este sujeto obligado carezca de cualquier capacidad de supervisión.
El apartado II del preámbulo indica “que es preferible que la información sobre prácticas irregulares se conozca por la propia organización para corregirlas o reparar lo antes posible los daños”, y en el apartado III leemos que la finalidad es “permitir que tanto los canales internos de información como los externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad…” y que “una actuación diligente y eficaz en el seno de la propia organización podría paralizar las consecuencias perjudiciales de las actuaciones investigadas…”
Queda claro que la intención de nuestro legislador es que el sistema interno trate únicamente las infracciones que el sujeto obligado puede y debe investigar y corregir. De este modo adquiere su verdadero sentido el art 4. cuando establece que el Sistema Interno de Información “es el cauce preferente para informar sobre las acciones u omisiones previstas en el artículo 2, siempre que se pueda tratar de manera efectiva la infracción…” lo que solo puede darse si se refiere a hechos relacionados con las actividades del sujeto obligado o de terceros en el marco de gestión del sujeto obligado.
Resulta un contrasentido que el sujeto obligado tuviera que admitir y tramitar la denuncia presentada por un empleado de un subcontratista que versara sobre un delito medioambiental cometido por su empleador en otro país o en unas actividades con las que el sujeto receptor de la denuncia no tuviera relación alguna, o que se debiera dar tratamiento a una denuncia anónima relacionada con un presunto fraude fiscal cometido en su declaración de IRPF por un proveedor del sujeto obligado, por citar dos ejemplos extremos de infracciones previstas en el art. 2 comunicadas por informantes contemplados en el art. 3 y sobre las que el sujeto obligado no tiene la menor capacidad de investigar, y todavia menos capacidad para corregir o reparar.
III D- Respondiendo a la pregunta: alcance real del art. 2.
La única interpretación plausible del alcance del art. 2 parte de que el Sistema Interno de Información sólo puede dar tratamiento a informaciones que versen sobre las contravenciones o irregularidades que el sujeto obligado tenga la capacidad de investigar, de corregir total o parcialmente y, en su caso, de reparar los daños causados.
Esto comporta que debemos admitir y tramitar únicamente comunicaciones sobre:
- Contravenciones administrativas o penales imputables al propio sujeto obligado.
- Contravenciones imputables a los empleados y directivos del sujeto obligado que estos hayan cometido en el desempeño de su actividad profesional o aprovechando su condición de directivos o empleados o utilizando los bienes y equipamientos del sujeto obligado.
- Contravenciones imputables a los accionistas, socios de negocio, clientes, autónomos, contratistas, subcontratistas y proveedores que se hayan producido en el marco de relación que mantienen con el sujeto obligado.
Por lo que respecta al punto 3, la capacidad de investigar de cada sujeto obligado queda limitado por su deber (y capacidad) para:
- Establecer procedimientos de diligencia debida contractual o legal con dicho tercero.
- Establecer controles sobre los procesos operativos o las actividades que compartimos con ellos.
- Establecer controles sobre los intercambios bienes o servicios.
No nos podemos convertir en gestores universales de denuncias porque no podemos admitir informaciones que no tengamos el deber o la capacidad de investigar y de alguna manera, como mínimo, corregir, aunque sea simplemente cesando en la relación con el sujeto informado y en su caso comunicando a las autoridades competentes.
IV- ¿Qué alcance debe tener el procedimiento de investigación al que hace referencia el art. 9 de la Ley 2/2023?
IV.A.- El problema derivado del uso inconcreto del término “investigación”.
Muy conectada con la pregunta anterior, otra de las cuestiones que preocupa a los sujetos obligados es el alcance y contenido que deben tener las investigaciones internas derivadas de la comunicación realizada por un informante y reguladas en el art. 9.
En este punto, las dificultades interpretativas están relacionadas con el apartado 2.d) del artículo 9 que hace mención a “actuaciones de investigación” conectado con el apartado 8º del art. 21 que reconoce el derecho del informante a “conocer el estado de la tramitación de su denuncia y los resultados de la investigación”.
El término investigaciones empleado en los artículos anteriores puede llevar al error de considerar integrados en el Sistema Interno de Información todos los procedimientos de investigación interna que debe desarrollar el sujeto obligado si considera que las informaciones aportadas por el informante son verosímiles. El hecho que en la letra d) del art. 9 se hable de un plazo de tres meses (más tres meses adicionales) para dichas actuaciones de investigación puede abundar en esta interpretación extensiva del Sistema Interno de Investigación.
Nuevamente mi criterio es que el legislador no acierta en la elección de las palabras ya que carece de sentido integrar en el marco normativo del Sistema Interno de Información la totalidad del procedimiento de investigación de irregularidades. De hecho, no estaríamos propiamente ante un procedimiento de investigación, sino ante unas diligencias encaminadas a corroborar si la información que nos ha llegado por el canal es verosímil.
Al igual que en la pregunta anterior, primero formularé mi tesis interpretativa y después la razonaré detalladamente.
IV.B.- El objeto del procedimiento de investigación regulado en el art. 9 debe limitarse a:
- Realizar las diligencias necesarias para adquirir certeza sobre la verosimilitud o inverosimilitud de la información entregada y su admisibilidad en el Sistema Interno de Información, adoptando una de las siguientes decisiones:
a) Si la consideramos verosímil y admisible, reconocer al informador la condición de “informante” otorgándole la protección establecida en la ley y dar a la información el tratamiento que corresponda.
b) Si no la consideramos verosímil o bien no se adecua a los requisitos de admisión establecidos en la ley, inadmitir la comunicación y destruir la información.
- Si consideramos dicha información verosímil remitirla de modo que no se identifique al informante a:
a) Los órganos internos competentes para su investigación dependiendo del contenido de la información: comisión de acoso/igualdad, auditoría interna, comités de cumplimiento penal, area de recursos humanos, asesoría juridica, OCI, etc. Estaríamos ante un supuesto de admisión de la comunicación.
b) Las autoridades u organismos externos que correspondan si se trata de hecho que no podemos investigar internamente. (por ejemplo, si el resultado de la investigación preliminar arroja indicios razonables de que un transportista con quien trabajamos puede estar cometiendo un delito contra la salud pública o de trata de personas aprovechando nuestros fletes). Estaremos ante un supuesto de archivo de la comunicación.
IV. C- Fundamentos para sostener la anterior interpretación de la norma:
IV.1.- La importancia del principio establecido en el art.1 de la Ley 2/2023: La ley 2/2023 tiene por finalidad otorgar una protección adecuada frente a las represalias que puedan sufrir las personas físicas que informen sobre alguna de las acciones u omisiones a que se refiere el artículo 2, a través de los procedimientos previstos en la misma.
Todo el resto del articulado de la ley debe interpretarse conforme a este principio recogido en el art. 1 y es en este marco donde el canal interno y el procedimiento del art. 9 adquieren sentido como una puerta segura de entrada de la información y un procedimiento de instrucción preliminar para asegurar que la información sea veraz y admisible.
En ningún momento la ley muestra la pretensión de regular de forma universal todos los procedimientos que debe implantar una organización para descubrir irregularidades ni para investigarlas, sancionarlas y corregirlas, sino ante un sistema pensado para recibir informaciones de ciertas personas (informantes), esclarecer si son verosímiles y protegerlas de cualquier represalia.
IV.2.- La regulación del procedimiento establecida para el canal externo: Como apunta en su preámbulo, la ley tiene como finalidad permitir que tanto los canales internos de información como los externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad. La finalidad de ambos canales es común.
En su artículo 19.1, relativo al Canal Externo, establece que “la instrucción comprenderá todas aquellas actuaciones encaminadas a comprobar la verosimilitud de los hechos relatados”.
En el art. 20.1 abunda en que el procedimiento terminará con la emisión de un informe donde se recogerán las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos y las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los indicios que las sustentan.
Sigue ese mismo precepto estableciendo que el expediente terminará archivándose (art. 20.2.a), remitiéndolo al Ministerio Fiscal (art. 20.2.b) o trasladando todo los actuado a la autoridad competente (art. 20.2.c) que será quien proceda a la instrucción del procedimiento de investigación y sanción correspondiente (agencia tributaria, CNMC, CNMV, Aduanas, etc.).
Como vemos claramente en el procedimiento del canal Externo, la finalidad es establecer el grado de credibilidad de la información para remitirlo al organismo competente para su investigación y sanción, ya en extramuros del canal externo.
En la misma línea debe interpretarse el art. 9 de la ley para el SII. Dentro del sistema debe verificarse la verosimilitud de la información y el resultado de esta comprobación debe remitirse al órgano interno o la autoridad competente.
IV.3.- Las prescripciones sobre tratamiento de datos establecidas en el art. 32: A pesar de algunos aspectos de su redactado poco claros, el art. 32 confirma que la instrucción a que se refiere el art. 9 se limita al juicio de veracidad de la comunicación:
3.1.- En su apartado 3 se establece que “los datos que sean objeto de tratamiento podrán conservarse en el sistema de informaciones únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos informados”.
3.2.- Mas adelante apunta a que “si se acreditara que la información facilitada o parte de ella no es veraz, deberá procederse a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia”.
3.3.- En el apartado 2, se legitima la comunicación de los datos fuera del SII de conformidad con nuestra interpretación del art. 9: “será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas correctoras en la entidad o la tramitación de los procedimientos sancionadores o penales (…) En ningún caso serán objeto de tratamiento los datos personales que no sean necesarios para el conocimiento e investigación de las acciones u omisiones a las que se refiere el artículo 2, procediéndose, en su caso, a su inmediata supresión”.
IV.4.- La inexistencia de sanciones por no investigar las comunicaciones: La lectura del art. 63 nos permite constatar que no se tipifica como infracción que la organización no investigue la información verosímil que se haya recibido a través del canal interno o que no corrija o repare el daño causado por la infracción que se haya descubierto o se pudiera descubrir a través del informante.
Las infracciones tipificadas sancionan conductas que afecten a la salvaguarda de la confidencialidad y los derechos de los informantes (incluyendo la inexistencia de un Sistema Interno que lo proteja) o que comporten falta de colaboración con las Autoridades Administrativas Independientes.
Si los procedimientos de investigación, sanción y corrección de la infracción estuvieran comprendidos dentro del Sistema Interno de Información seria coherente que se sancionara el incumplimiento de dicha obligación, sin embargo, no es así.
IV.5.- La interpretación de la norma frente a situaciones extremas: La interpretación de la norma que se propugna en este artículo es la única que da respuesta a un conjunto de situaciones reales que desbordan el marco regulatorio de la Ley 2/2023.
5.1.- ¿Qué ocurre cuando las infracciones se conocen a través de otros conductos como pueden ser el requerimiento de un regulador, la inspección de supervisores o autoridades, o a través de la prensa o de procedimientos de control interno, red flags, monitoreo de los responsables de cumplimiento o auditoría interna o procedimientos de evaluación o auditoría externa?
En estos casos no existe ningún informante y seria del todo absurdo que se investigaran a través del procedimiento establecido en el art. 9 de la ley. Es obvio que los procedimientos de investigación y sanción deben estar completamente fuera del SII para que puedan dar respuesta a la investigación de todas las irregularidades que descubra la organización, y que el procedimiento del art. 9 solo tiene sentido si se centra en comprobar la verosimilitud de las noticias que aportan los informantes.
5.2.- ¿Qué ocurre si el informante reporta sobre la conducta de una persona determinada, pero en los hechos están implicadas mas personas físicas o jurídicas que no han sido informadas?
Carece de todo sentido que se investigue a través del procedimiento previsto en el art. 9 a personas que no han sido objeto de la información y cuya identidad y participación en los hechos puede descubrirse en una fase mas avanzada que en la de comunicación inicial.
IV.6.- La correcta interpretación del plazo de tres meses (mas tres excepcionales) previsto en el art. 9.2.d)
No debemos olvidar que esta ley aplica tanto a empresas de 50 trabajadores como a corporaciones multinacionales con decenas o cientos de miles de trabajadores repartidos por todo el mundo. Es obvio que tres meses es un plazo excesivo para la instrucción que deberá hacer una pequeña compañía y sin embargo puede resultar un plazo muy corto para la instrucción que deberá hacer una gran multinacional a la que le llegue por el canal interno información sobre un agente comercial que opera con una filial de Centroamérica o del Sudeste asiático.
De ahí que la ley exige a cada organización la “determinación” del plazo, indicando que no podrá ser superior a tres meses. La ley exige que sea el plazo más breve posible dentro de ese límite, porque la instrucción es clave para determinar la condición de informante de la persona que nos ha hecho llegar la información.
IV.7.- La ley no exige que se le comunique al informante el resultado de los procedimientos de investigación y sanción.
Una interpretación inadecuada de la ley lleva a concluir que se deben comunicar la informante los resultados de la investigación y las medidas definitivamente adoptadas por el sujeto obligado, cuando en los Capítulos I, II y III de la norma, nada se dice al respecto. En ningún apartado de la ley se establece obligación de trasladar al informante el resultado de las investigaciones internas o los procedimientos sancionadores que se incoen a raíz de su comunicación.
Las menciones que encontramos en la ley tienen un alcance mucho más limitado:
7.1. El art. 13.4 establece que cuando un organismo público que tiene funciones de comprobación o investigación de incumplimientos sujetos a esta norma recibe una información debe resolver si procede o no iniciar una comprobación o investigación del sujeto afectado dando traslado de ello al informante.
7.2. El art. 20.3 (relativo al Canal Externo) establece que el plazo para finalizar las actuaciones y dar respuesta al informante, en su caso, no podrá ser superior a tres meses desde la entrada en registro de la información. Cualquiera que sea la decisión, se comunicará al informante, salvo que haya renunciado a ello o que la comunicación sea anónima.
7.3. El art. 21. 8ª establece que el informante tiene derecho a que la AAI le informe sobre el estado de la tramitación de su denuncia y los resultados de la investigación, que como ya hemos visto mas arriba, es una instrucción limitada a dar verosimilitud a la información con los fines que ya hemos explicado.
7.4. La exposición de motivos aleja también al informante del conocimiento del resultado final de las investigaciones que se lleven a cabo cuando incide en que las investigaciones que lleve a cabo tanto en el marco del Sistema interno de información del sector público como en el marco del procedimiento que desarrolla la Autoridad Independiente de Protección del Informante, A.A.I. se inician siempre de oficio y de conformidad con el procedimiento establecido en la LPAC.
Como comprobamos, ningún artículo de la ley exige que los canales internos o externos trasladen al informante el resultado final de las investigaciones que se hayan derivado de su comunicación, sino tan solo el resultado de la instrucción o investigación preliminar llevada a cabo en el marco del articulo 9, con la finalidad de comunicarle su condición de informante y, en ese caso, que tenga noticia del traslado de los indicios al órgano competente.
Sin embargo, nada impide que cada sujeto obligado voluntariamente pueda mejorar el contenido de la comunicación, especialmente con la intención de mostrar al informante que la comunicación que ha presentado va a ser tratada de manera efectiva y que van a tratar de esclarecer la posible irregularidad y darle la respuesta más adecuada.
V.- CONCLUSIONES
- El Sistema Interno de Información establecido normativamente por la ley 2/2023 tiene como finalidad principal facilitar que personas relacionadas laboralmente con nuestra organización que disponen de cierta información relevante que la organización desconoce la puedan comunicar en un entorno de seguridad y ausencia de represalias.
- Con esta única finalidad, habilita unas puertas de entrada de la información especificas (Canal Interno) a través de las cuales el informante deposita en condiciones de seguridad la información en un sistema especifico (el SII) regulado en esta ley, que tiene como finalidad validar dicha información y protegerlo.
- Una vez la información entra a través del canal interno, el Responsable del Sistema (o el órgano interno o externo en quien haya delegado esta función de instrucción o investigación preliminar) debe realizar las gestiones esenciales encaminadas a evaluar si la información aportada por el informante está en el rango de las que puede investigar y es verosímil.
- Por lo que respecta al tipo de información, además de estar comprendida en el art. 2, el sujeto obligado debe tener la posibilidad de investigarla, corregir la información y, en su caso, reparar el daño causado.
- Si la información es verosímil se remitirá -debidamente anonimizada por lo que respecta al informante- al Órgano interno o externo competente para su investigación, esclarecimiento y adopción de medidas sancionadoras, correctoras y/o reparadoras, actividades todas estas propias del Sistema de Cumplimiento u otros sistemas de la organización, pero ya ajenas al marco de gestion del SII.
- Finalizada esta fase de instrucción y reconocida la condición del informante, el SII concentra todos sus esfuerzos y actividades en la protección de dicho informante frente a las represalias, amenazas de represalia o tentativas de represalia.