El pasado 26 de noviembre Fide celebró la sesión «Las investigaciones internas tras una denuncia al amparo de la Ley de protección de informantes (ley 2/2023, de 20 de frebrero).
La sesión abordó los problemas existentes en torno a una investigación interna que garantice los derechos de todas las partes, exponiendo la experiencia práctica de investigaciones realizadas desde la entrada en vigor de la Ley.
Las intervenciones iniciales de la sesión estuvieron a cargo de María Ferrero, Head of Compliance Spain, BNP Paribas Group y Manuel Villoria, Presidente de la Autoridad Independiente de Protección del Informante. Moderó la sesión Gonzalo Sánchez del Cura, Abogado.
La aplicación de la Ley 2/2023, de protección de las personas que informen sobre infracciones normativas se encuentra en una fase de incipiente consolidación en la que convergen relevantes déficits estructurales, interpretativos y operativos. Uno de los aspectos más relevantes a este respecto es el papel de la Autoridad Independiente de Protección del Informante (AIPI) y los retos que plantea su puesta en marcha, destacándose la necesidad de dotarla de recursos suficientes y de criterios interpretativos claros para garantizar la efectividad del sistema.
La AIPI, constituida como autoridad administrativa independiente ex lege y dotada de un estatuto reforzado de autonomía —particularmente por la inamovilidad de su Presidencia y por su desvinculación orgánica del Ejecutivo— inicia su actividad en un contexto de insuficiencia presupuestaria derivado de la prórroga de cuentas públicas, lo que compromete temporalmente el ejercicio pleno de sus potestades y la efectividad del canal externo.
Este canal presenta un ámbito objetivo que desborda el perímetro ordinario del derecho administrativo sancionador, al comprender tanto infracciones del Derecho de la Unión como infracciones graves y muy graves del ordenamiento interno, con la limitación material contenida en el artículo 2 de la Ley y la amplitud se refuerza por un ámbito subjetivo extraordinariamente extenso. El régimen procedimental impone a la AIPI un juicio preliminar de verosimilitud y tipicidad en un plazo de diez días, lo que constituye un estándar exigente si se toma en consideración la necesidad de determinar, desde un inicio, la autoridad administrativa materialmente competente para la eventual instrucción del expediente. Además, existen otras instituciones como la CNMC (SEPBLAC, CNMV, Banco de España, CNMC, AEAT u otros entes con potestad sancionadora sectorial), que están creando estos canales exertos, lo cual está generando bastante confusión.
La AIPI puede optar entre remitir la comunicación al órgano competente —que constituye la vía ordinaria— o asumir la instrucción, lo cual requiere una interpretación rigurosa del principio de competencia y del principio de proporcionalidad en el ejercicio de potestades administrativas. Cuando la Autoridad ejerce la instrucción, debe garantizar la concurrencia del bloque de garantías procedimentales propio del administrado: derecho a conocer los hechos, derecho de audiencia, acceso limitado al expediente y tutela de la presunción de inocencia, así como el respeto al principio de contradicción.
El momento de la comunicación al investigado debe modularse atendiendo al riesgo de destrucción de pruebas, en aplicación del principio de eficacia administrativa y del deber de preservar la integridad de la investigación. La entidad sometida a examen queda sujeta a un deber de cooperación ex lege, cuya inobservancia puede ser subsumida en infracción administrativa sancionable, activándose entonces el ius puniendi de la AIPI en su vertiente disciplinaria.
La protección del informante, pese a constituir la ratio legis del sistema, genera notables incertidumbres. La concesión del estatuto protector requiere verificar cumulativamente la existencia de un hecho subsumible en el artículo 2 de la Ley, la concurrencia de una relación laboral o profesional con el sujeto denunciado y la utilización del canal procedimentalmente idóneo (interno o externo). La jurisprudencia es inexistente y la doctrina administrativa incipiente, pero la literalidad de la norma parece excluir del régimen de protección las denuncias formuladas directamente ante el Ministerio Fiscal cuando el informante ha obviado los canales legalmente previstos, salvo en el supuesto singular de la Fiscalía Europea. La Autoridad, además, puede denegar la protección cuando la comunicación encubre conflictos interpersonales sin relevancia normativa, o cuando concurren indicios suficientes de temeridad o falsedad, lo que obliga a realizar un análisis de buena fe en términos jurídicos y no meramente subjetivos.
A continuación, se ofreció una visión práctica desde la experiencia corporativa. En este sentido, se expusieron diversos supuestos concretos, explicando cómo proceden en la entidad ante comunicaciones internas y externas, destacando la importancia de protocolos claros, trazabilidad documental y coordinación entre áreas jurídicas y de cumplimiento. Se subrayó que, en la práctica, la gestión de estos casos exige un equilibrio entre la protección del informante y la salvaguarda de los derechos del denunciado, así como una respuesta ágil para evitar riesgos reputacionales y regulatorios.
Desde la perspectiva de los sujetos obligados, las dificultades operativas son significativas. El plazo de tres meses, excepcionalmente prorrogable, para la resolución de las investigaciones internas, resulta escaso en expedientes complejos o en aquellos en los que concurre imposibilidad material de práctica de diligencias (bajas laborales, ausencia de testigos esenciales, necesidad de pericias externas). La suspensión del cómputo del plazo, si bien no prevista expresamente con carácter general, se ha convertido en una herramienta pragmática para evitar la vulneración del principio de celeridad y al mismo tiempo garantizar la eficacia de la instrucción interna.
La amplitud del catálogo de hechos denunciables exige a las entidades contar con equipos dotados de conocimientos multidisciplinares en materias tan diversas como derecho societario, financiero, laboral, de protección de datos o incluso penal económico. En ausencia de tales recursos, resulta necesario acudir a expertos externos bajo acuerdos de confidencialidad reforzada, respetando estrictamente el principio de minimización de datos y el deber de secreto regulado en la normativa de protección de datos.
En este contexto, surge una cuestión relevante: ¿cómo pueden cumplir estas exigencias las empresas de menor tamaño, por ejemplo, aquellas con 51 empleados, que están obligadas a implantar un sistema de denuncias y a comunicar a la AIPI, pero carecen de medios suficientes para garantizar el nivel de especialización requerido? En organizaciones tan pequeñas, la instrucción adecuada de las comunicaciones puede resultar compleja, y además se añade la dificultad de preservar la confidencialidad en entornos donde todos se conocen. Esto plantea la necesidad de buscar soluciones específicas para estas empresas, que les permitan cumplir con la normativa sin comprometer la eficacia del sistema ni la protección de los denunciantes.
En este contexto se inserta también la tensión entre el derecho del informante al anonimato —pilar fundamental del sistema— y los derechos del denunciado a la defensa, al honor y a la presunción de inocencia. La Ley no define con precisión el contenido mínimo que debe ser facilitado al investigado para asegurar el ejercicio efectivo de su derecho de defensa sin comprometer la identidad del informante, lo que aboca a interpretaciones casuísticas con potencial impacto en la validez del procedimiento.
La cuestión del acceso a dispositivos y comunicaciones corporativas del investigado merece particular atención. El tratamiento de correos electrónicos, teléfonos corporativos y comunicaciones electrónicas debe fundamentarse en la conjunción de las facultades de control empresarial, la normativa de protección de datos y los principios de necesidad, idoneidad y proporcionalidad. La práctica expuesta evidencia que dicho acceso es jurídicamente viable siempre que el trabajador haya sido previamente informado y que el análisis se restrinja estrictamente al ámbito temporal y objetivo de los hechos investigados, quedando vedado cualquier acceso indiscriminado o exploratorio. La actuación debe documentarse de manera exhaustiva a fin de acreditar el cumplimiento de los principios del artículo 5 del RGPD y de las exigencias de la Ley 2/2023.
El cuadro general revela un sistema jurídico en fase de maduración, carente aún de criterios jurisprudenciales, doctrina administrativa consolidada y soft law interpretativo. Las futuras guías de la AIPI podrán aportar estándares mínimos de actuación, pero hasta entonces subsiste un elevado nivel de incertidumbre que obliga a las entidades a extremar la prudencia jurídica, reforzar la trazabilidad documental de sus actuaciones, someter sus canales a auditorías periódicas y proporcionar formación específica en técnicas de entrevista, gestión de expedientes y tratamiento de información sensible. En consecuencia, aunque el modelo instaurado por la Ley 2/2023 constituye un avance normativo relevante en materia de investigaciones internas, su eficacia real dependerá de la consolidación futura de criterios interpretativos uniformes, de la progresiva construcción doctrinal y de la estabilización de la práctica.
En el debate se destacaron puntos clave para la gestión de canales internos de denuncia:
- Sanciones: los incumplimientos graves en la gestión de canales internos deben sancionarse.
- Coordinación de canales: es necesario definir cómo comunicar casos entre canal interno y externo, dando prioridad al externo en ciertos supuestos.
- Procedimientos penales: debe suspenderse la investigación interna si hay actuaciones penales, aplicando un criterio de intervención mínima.
- Protección del informante: ha de sancionarse cualquier represalia o discriminación.
- Investigación interna: debe tener una estructura clara:
- En primer lugar, análisis de la documentación previa y preparación de entrevistas estructuradas.
- El orden de comparecencia de los intervinientes ha de ser el siguiente: primero, los testigos relevantes, a continuación, los secundarios y, por último, el denunciado.
- Es relevante destacar el derecho a poder contar con un abogado y de acceder a un resumen del expediente.
- Formación: es imprescindible para todos los implicados.
- Soft law: resulta recomendable elaborar guías internas complementarias.
- Acceso a correos: está permitido el análisis forense en los casos graves.
- Auditorías y certificación: se destacó la importancia de auditar los canales de denuncia y de certificar el procedimiento utilizando los estándares UNE/ISO.
Ana Luengo García
Junior Associate de ECIJA
Lucía Martínez-Arrieta
Junior Associate de ECIJA
