La implantación generalizada de los sistemas internos de información ha supuesto una transformación sustancial de la cultura de cumplimiento de las organizaciones.
La denuncia interna ha dejado de concebirse como una conducta excepcional, incómoda o potencialmente desleal para convertirse en un mecanismo legítimo de detección temprana de irregularidades, prevención de riesgos, identificación de incumplimientos y protección de la integridad institucional.
Esta evolución responde a una concepción moderna del compliance conforme a la cual la organización debe dotarse de instrumentos que permitan conocer, investigar y reaccionar frente a comportamientos susceptibles de generar responsabilidad penal, administrativa, laboral, civil, regulatoria o reputacional.
Sin embargo, la consolidación de esta cultura de información puede provocar dos desviaciones igualmente incompatibles con un sistema de cumplimiento maduro.
La primera consiste en hostigar, desacreditar, perjudicar o represaliar a quien comunica de manera legítima una posible infracción.
La segunda, situada en el extremo contrario, consiste en atribuir a toda comunicación una presunción material de veracidad, de modo que la condición de informante termine convirtiéndose en una suerte de estatuto de infalibilidad o inmunidad frente a cualquier examen crítico de su actuación.
Ninguna de estas concepciones resulta jurídicamente admisible ni metodológicamente defendible.
La protección del informante no significa que este sea necesariamente veraz, ni que su relato deba considerarse cierto desde el momento mismo en que se formula.
El derecho a informar no comprende un derecho a obtener automáticamente una declaración favorable sobre los hechos comunicados, y tampoco determina que el informante quede sustraído de las reglas ordinarias de responsabilidad laboral, disciplinaria, contractual, administrativa, civil o penal por conductas ajenas al ejercicio legítimo del derecho a informar.
Del mismo modo, la ausencia inicial de una prueba concluyente no autoriza a desatender una comunicación que presente elementos razonables de credibilidad, coherencia o verificabilidad.
La cuestión central consiste, por ello, en distinguir con precisión conceptos que frecuentemente se confunden: protección, credibilidad, veracidad, corroboración, prueba, buena fe, razonabilidad y responsabilidad.
Un sistema interno de información técnicamente solvente debe ser capaz de proteger a quien comunica sin presumir la verdad de lo comunicado; investigar al afectado sin anticipar su culpabilidad; exigir un mínimo de fundamento sin trasladar al informante una carga probatoria imposible; y diferenciar entre una información finalmente no acreditada y una comunicación deliberadamente falsa.
La protección del informante no equivale a inmunidad
La Directiva (UE) 2019/1937 y la Ley 2/2023 construyen un sistema cuyo núcleo esencial es la protección de quienes comunican determinadas infracciones frente a las represalias que pudieran derivarse de su actuación.
La protección tiene, por tanto, una naturaleza fundamentalmente causal, donde lo prohibido es que la persona sufra un perjuicio precisamente por haber formulado una comunicación o revelación amparada por el ordenamiento.
Esta precisión resulta decisiva, en la que la protección frente a represalias no transforma al informante en un sujeto inmune frente a las consecuencias jurídicas de otras conductas.
Un trabajador protegido continúa sometido a sus obligaciones contractuales y disciplinarias; un directivo informante continúa sujeto a sus deberes fiduciarios y profesionales; un proveedor que comunica una irregularidad sigue obligado a cumplir sus compromisos contractuales; y quien hubiera participado en determinados hechos no obtiene, por el mero hecho de comunicarlos, una exoneración general de responsabilidad.
La condición de informante tampoco puede convertirse en un mecanismo que impida a la organización adoptar decisiones legítimas respecto de esa persona, lo que cambia es el estándar de diligencia con el que deberá actuarse.
Cuando una medida desfavorable se adopta respecto de una persona que ha comunicado previamente una irregularidad, la organización debe estar en condiciones de demostrar que existe una causa objetiva, legítima, autónoma y suficientemente documentada que explique la decisión.
La proximidad temporal entre la comunicación y una sanción, despido, modificación de funciones, exclusión profesional, pérdida de oportunidades o cualquier otra medida desfavorable puede constituir un elemento indiciario particularmente relevante, y por esa razón, cuanto mayor sea la conexión temporal o contextual, mayor deberá ser la calidad de la justificación documental.
Un criterio de gran utilidad práctica consiste en formular un test contrafactual preguntándose si ¿puede la organización acreditar que habría adoptado exactamente la misma decisión si la persona no hubiera formulado nunca la comunicación?
Si la respuesta no puede sostenerse mediante hechos objetivos, antecedentes, comparadores, criterios preexistentes y documentación consistente, el riesgo de represalia será elevado, y si, por el contrario, la decisión responde a procedimientos ordinarios, causas independientes, criterios homogéneos y documentación cronológicamente coherente, la condición de informante no debe traducirse en inmunidad.
Una denuncia no acreditada no es necesariamente falsa
La legislación de protección del informante no exige que quien comunica una irregularidad demuestre definitivamente la existencia de la infracción.
La lógica del sistema es precisamente la contraria, ya que el informante pone en conocimiento de la organización hechos o circunstancias que considera relevantes y corresponde posteriormente al sistema valorar si existen razones para investigarlos y, en su caso, determinar qué ocurrió realmente.
La protección se vincula a la existencia de motivos razonables para considerar que la información era veraz en el momento de su comunicación, no a que la investigación posterior confirme necesariamente todos los hechos denunciados, y esta distinción entre razonabilidad ex ante y acreditación ex post es esencial.
Una denuncia puede resultar finalmente no acreditada por múltiples razones sin que ello permita calificarla como falsa, ya que puede tratarse de hechos ciertos pero insuficientemente probados; hechos parcialmente ciertos; una percepción subjetiva basada en circunstancias objetivas; información incompleta; una interpretación equivocada pero razonable; una comunicación que combine hechos correctos con conclusiones incorrectas; o hechos cuya comprobación se haya visto impedida por la pérdida, ausencia o inaccesibilidad de determinadas evidencias, y por ello, la categoría “no acreditada” no puede confundirse con la categoría “falsa”.
Entre ambas existe una distancia jurídica y metodológica considerable, en la que el hecho de que una investigación no consiga alcanzar un nivel suficiente de corroboración únicamente significa que los elementos disponibles no permiten confirmar la hipótesis, pero no autoriza por sí mismo a atribuir mala fe al informante.
Esta distinción no es meramente conceptual y tiene efectos directos sobre la confianza en el sistema, ya que si cada comunicación que no termina confirmándose se interpreta como falsa o abusiva, se genera un poderoso efecto desaliento que puede disuadir futuras comunicaciones legítimas.
El sistema terminaría protegiendo formalmente al informante, pero castigándolo materialmente por no haber podido anticipar el resultado de una investigación que no le corresponde realizar.
Presunción de inocencia y garantías de la persona denunciada
La protección jurídica del informante tampoco establece una presunción de culpabilidad de la persona afectada, donde este principio debe afirmarse con especial claridad porque uno de los riesgos emergentes de determinados sistemas de whistleblowing consiste en sustituir una antigua cultura de desconfianza hacia el denunciante por otra cultura de credulidad automática hacia la denuncia.
Ambos extremos son incompatibles con una investigación profesional.
La formulación “denuncia igual a hecho probado” es incorrecta.
La formulación adecuada es “denuncia igual a información que debe ser evaluada y, cuando proceda, investigada”.
La diferencia es sustancial, ya que la recepción de una comunicación implica la existencia de una hipótesis potencialmente verificable, no una conclusión.
Por ello, el Responsable del Sistema Interno de Información o el investigador no debería plantearse inicialmente si cree al informante o a la persona afectada.
Esa forma de aproximarse al asunto introduce un elemento subjetivo que puede condicionar todo el procedimiento.
La pregunta metodológicamente correcta es otra: ¿qué hechos pueden verificarse, qué evidencias existen, qué información falta y qué elementos permiten confirmar, descartar o mantener abierta la hipótesis?
El centro de gravedad del procedimiento debe desplazarse desde las personas hacia los hechos y desde la confianza intuitiva hacia la evidencia, siendo esta una de las reglas más importantes de toda investigación interna consistente en no creer ni descreer anticipadamente, sino verificar.
Desde una perspectiva metodológica, la comunicación constituye una hipótesis informativa susceptible de verificación, en la que esta concepción resulta particularmente útil porque obliga a traducir afirmaciones potencialmente acusatorias en cuestiones objetivas que puedan ser comprobadas.
Si una comunicación afirma, por ejemplo, que un directivo ha favorecido a un proveedor con el que mantiene relaciones personales, la investigación no debe comenzar afirmando que el directivo actuó fraudulentamente.
Así, la hipótesis correcta sería determinar si existieron relaciones personales, familiares, económicas o profesionales relevantes; si debían declararse conforme a las políticas internas; si el directivo intervino en el procedimiento de contratación; si existieron desviaciones respecto de los procedimientos ordinarios; y si aquellas relaciones pudieron influir objetivamente en la decisión.
Esta reformulación neutral permite identificar con precisión las fuentes de evidencia necesarias, tales como las declaraciones de conflicto de interés, los expedientes de contratación, las comparativas de ofertas, las autorizaciones, las comunicaciones corporativas, la documentación societaria legítimamente accesible, los registros electrónicos, los testimonios, y cualesquiera otros elementos obtenidos respetando los límites legales aplicables.
La denuncia proporciona una línea de investigación, mientras que la evidencia determina el resultado.
Un sistema interno de información que proteja adecuadamente al denunciante, pero destruya simultáneamente las garantías de la persona afectada, es un sistema defectuoso. La Ley 2/2023 exige, que la gestión de las comunicaciones respete la presunción de inocencia, y el honor de quienes resultan afectados por una información.
La consecuencia práctica es inmediata, ya que una organización no puede presentar internamente como culpable a una persona cuando únicamente existe una comunicación pendiente de comprobación.
La existencia de una denuncia no transforma a la persona señalada en infractor, acosador, defraudador, corrupto o responsable, y estas son conclusiones que solo podrán alcanzarse, en su caso, una vez practicadas las diligencias necesarias y valorada adecuadamente la evidencia.
También el lenguaje empleado en la documentación del expediente debe ser técnicamente neutral.
En este sentido, resulta preferible utilizar expresiones como persona afectada, hechos comunicados, hechos objeto de investigación, indicios, evidencias, elementos de corroboración, hechos acreditados, parcialmente acreditados, no acreditados o refutados.
La utilización anticipada de términos incriminatorios puede producir un doble perjuicio, ya que contamina la neutralidad del procedimiento, y puede ocasionar daños reputacionales o profesionales difíciles de reparar incluso en caso de posterior archivo.
La presunción de inocencia no significa impedir la investigación, ni reducir su intensidad, sino que implica evitar que la hipótesis inicial se convierta prematuramente en una conclusión.
Represalias, responsabilidad y denuncias deliberadamente falsas
Uno de los escenarios más complejos aparece cuando la organización debe adoptar una medida desfavorable respecto de una persona que previamente ha formulado una comunicación.
La respuesta jurídica no puede ser que el informante resulte automáticamente inmune, y tampoco puede ser que la organización actúe como si la denuncia previa careciera de relevancia.
La solución exige separar rigurosamente ambas situaciones.
Si el informante incurre posteriormente en un incumplimiento grave y objetivamente acreditado, la organización puede reaccionar conforme al ordenamiento, pero deberá extremar la diligencia para demostrar que la decisión no responde, directa ni indirectamente, a la comunicación protegida.
Será especialmente relevante la existencia de políticas previas, criterios objetivos, antecedentes comparables, procedimientos ya establecidos, informes independientes y documentación elaborada antes de la decisión, y también deberá evitarse cualquier lenguaje, que vincule la medida a la condición de informante.
El ordenamiento, por tanto, protege frente a la represalia, no frente a la responsabilidad legítimamente exigible.
Especial cautela exige determinar cuándo una comunicación deja de ser simplemente errónea, incompleta o no acreditada y puede considerarse deliberadamente falsa.
La falsedad consciente constituye una categoría cualitativamente distinta, en la que no basta con demostrar que los hechos comunicados no pudieron acreditarse, y en donde tampoco basta con comprobar que existían errores o exageraciones.
Para sostener que se ha producido una comunicación deliberadamente falsa deben existir elementos suficientemente sólidos que permitan afirmar que el informante conocía la falsedad de lo comunicado o manipuló conscientemente hechos con la finalidad de presentar como verdadera una realidad que sabía inexistente.
Es esencial distinguir entre error, percepción subjetiva, información parcial, interpretación equivocada, sospecha razonable, exageración, contradicción, ausencia de corroboración y falsedad consciente.
Esta taxonomía protege simultáneamente dos intereses, ya que por un lado, permite reaccionar frente a la utilización maliciosa del sistema interno, y por otro, evita que cualquier error termine siendo sancionado y genere un efecto inhibidor sobre futuras comunicaciones.
La persecución de la denuncia falsa debe ser rigurosa, pero también excepcional y probatoriamente exigente.
El investigador interno no puede actuar como abogado del informante ni como defensor de la persona investigada, ya que su función consiste en garantizar la legalidad, objetividad, proporcionalidad y trazabilidad del procedimiento.
Ello exige trabajar no solo con hipótesis confirmatorias, sino también con hipótesis alternativas, ya que si se comunica que un empleado manipuló deliberadamente determinada información financiera, no basta con buscar documentos que permitan sostener la manipulación, y en donde deben analizarse también otras posibles explicaciones, entre las que se encuentran el error material, el defecto del sistema, el criterio contable discutible, las instrucciones superiores, la insuficiencia de formación, la intervención de terceros, o cualquier otra hipótesis razonablemente compatible con los hechos.
Esta metodología reduce el riesgo de sesgo de confirmación.
El investigador que comienza convencido de que la denuncia es verdadera tenderá a seleccionar información incriminatoria y minimizar los elementos exculpatorios.
Quien parte de la convicción contraria tenderá a desacreditar al informante y a interpretar toda evidencia de manera defensiva, y ambas posiciones son metodológicamente incorrectas.
La neutralidad no significa que todas las hipótesis deban recibir el mismo peso cuando la evidencia no lo justifique, sino que ello lleva consigo que ninguna debe ser descartada o asumida antes de haber sido razonablemente contrastada.
La evidencia y la trazabilidad como fundamentos de la investigación
Una investigación interna no es un proceso penal ni una investigación policial, pero tampoco puede reducirse a una actuación informal basada en intuiciones o impresiones personales.
La organización debe disponer de una metodología que permita valorar la evidencia y explicar de forma racional cómo se ha alcanzado la conclusión final.
Toda investigación debería permitir reconstruir, al menos, cinco elementos esenciales: qué se comunicó, qué se investigó, qué diligencias se practicaron, qué evidencias respaldan o contradicen la hipótesis y por qué el conjunto de elementos conduce a una determinada conclusión.
No resulta suficiente afirmar que “no se ha podido demostrar la denuncia”. Debe precisarse qué se hizo para comprobarla y qué resultados se obtuvieron.
Tampoco basta señalar que “los hechos han quedado acreditados”. Deben identificarse los elementos concretos que permiten sostener esa afirmación.
La calidad de una investigación no depende únicamente de su resultado, sino de la trazabilidad del razonamiento que conduce a él, en donde una decisión que no puede ser reconstruida ni explicada difícilmente puede ser considerada robusta, auditable o jurídicamente defendible.
Desde una perspectiva de gobernanza resulta especialmente útil disponer de una clasificación que permita evitar la simplificación binaria entre denuncia verdadera y denuncia falsa.
Pueden distinguirse, entre otras, las siguientes categorías:
a). Acreditada: existe evidencia suficiente que corrobora sustancialmente los hechos esenciales comunicados.
b). Parcialmente acreditada: algunos hechos relevantes han sido confirmados y otros no.
c). No acreditada: la evidencia disponible no permite confirmar suficientemente los hechos.
d). Refutada: existen elementos suficientes que contradicen la hipótesis investigada.
e). Inconcluyente: existen indicios relevantes, pero no suficientes para alcanzar una conclusión sólida.
f). Manifiestamente infundada: la comunicación carece objetivamente de contenido verificable o de un fundamento mínimo.
g). Deliberadamente falsa: existen evidencias suficientes de que se comunicaron conscientemente hechos falsos.
Esta clasificación impide convertir todas las investigaciones que no terminan en sanción en supuestos de falsedad y permite adaptar de forma proporcionada la respuesta de la organización a la realidad probatoria del expediente.
Otro error frecuente consiste en investigar prioritariamente la personalidad o motivaciones del informante en lugar de investigar los hechos.
Que una persona tenga conflictos laborales, enemistad con la persona afectada, intereses personales o antecedentes disciplinarios puede ser relevante en determinados contextos, pero no permite descartar automáticamente la información aportada.
Una persona motivada por animadversión puede comunicar hechos completamente ciertos, y del mismo modo, una persona aparentemente objetiva puede aportar información incorrecta.
Así debe distinguirse entre motivación del informante y veracidad de los hechos.
La valoración debería centrarse prioritariamente en la consistencia interna del relato, su corroboración externa, la existencia de evidencia documental, digital o testifical, su plausibilidad contextual y la presencia de contradicciones relevantes.
La personalidad del informante puede constituir un elemento contextual, pero nunca sustituir el análisis probatorio.
En sentido contrario, tampoco resulta admisible exigir al informante un nivel probatorio equivalente al que correspondería a un órgano investigador.
Si únicamente fueran admitidas o investigadas comunicaciones acompañadas de pruebas concluyentes, gran parte de la finalidad preventiva del sistema quedaría frustrada, de este modo muchas conductas relevantes -corrupción, fraude, acoso, conflictos de interés, prácticas anticompetitivas o manipulación contable- se producen precisamente en contextos de opacidad en los que quien informa dispone únicamente de una parte de la información.
La función del informante consiste en poner hechos o circunstancias relevantes en conocimiento del sistema, mientras que la función de investigarlos corresponde a la organización.
Una comunicación aparentemente débil puede terminar siendo plenamente corroborada mediante elementos que el informante desconocía y a los que únicamente la organización podía acceder.
El sistema debe evitar, por tanto, tanto la credulidad automática como el formalismo probatorio excesivo.
Confidencialidad, prueba digital y calidad del sistema
Una denuncia puede generar daños reputacionales mucho antes de que termine la investigación, así los rumores internos, las filtraciones, las suspensiones precipitadas, la exclusión de reuniones, los cambios injustificados de funciones, o los comentarios informales pueden convertir una comunicación en una condena anticipada.
La confidencialidad no protege exclusivamente al informante, y también protege a la persona afectada y, en términos más amplios, la integridad del procedimiento.
La regla debe ser estrictamente need-to-know, dodne únicamente deben conocer la existencia y contenido de la investigación quienes necesiten acceder a esa información para desarrollar legítimamente sus funciones.
Las medidas cautelares, cuando resulten imprescindibles, deberán responder a criterios de necesidad, idoneidad, proporcionalidad, temporalidad y mínima afectación, y no pueden utilizarse como una forma encubierta de sanción antes de que se hayan esclarecido los hechos.
Un sistema que proclama formalmente la presunción de inocencia pero permite en la práctica la circulación de rumores o filtraciones vulnera materialmente las garantías que dice proteger.
En las investigaciones internas contemporáneas, una parte creciente de la evidencia procede de correos electrónicos, plataformas de mensajería, ERP, CRM, registros de acceso, logs, dispositivos, documentación electrónica y otros activos digitales.
Su valoración exige especial cautela, y no basta con localizar una captura de pantalla o un correo aparentemente incriminatorio, y cuando resulte necesario y proporcionado, deberán analizarse su origen, contexto, integridad, autenticidad, cronología y relación con el resto de evidencias.
También debe atenderse a la licitud de su obtención, los principios de protección de datos, las expectativas razonables de privacidad, las políticas internas de uso de dispositivos y las garantías aplicables al acceso a comunicaciones corporativas.
La pregunta no es únicamente qué evidencia existe, sino también cómo fue obtenida, quién tuvo acceso a ella, cómo fue preservada, si puede ser alterada, si se conserva su contexto y hasta qué punto resulta fiable.
La cadena de custodia lógica y documental adquiere, en este ámbito, una importancia creciente.
El éxito del Responsable del Sistema Interno de Información no debe medirse por el número de denuncias que terminan en sanción, y tampoco por la cantidad de expedientes archivados.
Cualquiera de ambos indicadores, considerado aisladamente, puede generar incentivos perversos, ya que si el éxito se vincula al número de sanciones, la acreditación de infracciones puede convertirse implícitamente en una medida de eficacia, y si se vincula al archivo, se incentivará la minimización del riesgo.
La verdadera calidad del sistema debe evaluarse por su capacidad para generar decisiones objetivas, motivadas, consistentes, trazables, proporcionadas y jurídicamente defendibles.
Una investigación que termina en archivo después de una comprobación rigurosa puede constituir una manifestación del correcto funcionamiento del sistema, mientras que una investigación que concluye mediante la imposición de una sanción mediante un procedimiento sesgado, puede constituir un grave fracaso de compliance.
La función del RSII consiste en garantizar la integridad del procedimiento, no en fabricar culpables ni en producir estadísticas determinadas.
La verdadera dificultad de gestionar un sistema interno de información consiste en mantener simultáneamente garantías que, en apariencia, pueden resultar contrapuestas.
Debe protegerse al informante sin convertirlo en intocable; investigarse a la persona afectada sin presumir su culpabilidad; exigirse evidencia sin imponer una carga probatoria imposible; reaccionarse frente a comunicaciones deliberadamente falsas sin generar temor a informar; preservarse la confidencialidad sin impedir el derecho de defensa; y adoptarse medidas cautelares cuando sean necesarias sin transformarlas en sanciones anticipadas.
Ese equilibrio constituye una de las principales pruebas de madurez de cualquier sistema de compliance.
La calidad del sistema no se mide por su inclinación a favor del informante o de la persona afectada, sino por la capacidad de mantener un procedimiento neutral que permita proteger derechos, verificar hechos y adoptar decisiones fundamentadas, donde en último término, buena parte de los problemas desaparecen cuando se abandona una concepción personalista de la denuncia.
La función del sistema interno de información no consiste en decidir inicialmente a quién creer, sino en determinar qué puede comprobarse, es decir, no se cree al informante simplemente porque sea informante; tampoco se desconfía de él por haber comunicado hechos potencialmente irregulares.
No se presume culpable a la persona afectada porque alguien la haya señalado; tampoco se presume falsa la comunicación porque finalmente no resulte acreditada, y entre ambos extremos se encuentra el verdadero sistema de integridad.
La inmunidad frente a la denuncia no existe, pero tampoco existe la obligación de creerla sin evidencia, y esta afirmación sintetiza una concepción equilibrada y jurídicamente madura del whistleblowing, donde el informante debe ser protegido porque una organización que castiga a quien comunica irregularidades destruye sus propios mecanismos de detección y fomenta una cultura de silencio, pero proteger no significa santificar, es decir, el informante puede equivocarse, interpretar incorrectamente determinadas circunstancias, disponer de información parcial o, excepcionalmente, utilizar abusivamente el sistema.
La persona afectada, por su parte, no tiene derecho a impedir que se investiguen hechos razonablemente comunicados, pero sí a que la organización no transforme una acusación en una condena anticipada, y de este modo debe tenerse presente que la denuncia abre una pregunta; no proporciona necesariamente la respuesta.
De ahí que la regla de oro de cualquier investigación interna pueda formularse en estos términos: ni la represalia contra quien informa, ni la presunción automática de verdad de lo informado; ni la inmunidad general del informante, ni la presunción de culpabilidad de la persona afectada; la protección para las personas, la neutralidad para el procedimiento, el rigor para la investigación, y la evidencia para las conclusiones.
Solo cuando una organización interioriza realmente estos principios el canal deja de ser un simple buzón de denuncias y se convierte en un auténtico sistema institucional de detección, verificación, decisión y respuesta basado en legalidad, objetividad, proporcionalidad y garantías.
