Un denunciante es la persona que te avisa de lo que está saliendo mal antes de que termine en los tribunales, en la prensa o en el escritorio del regulador. La promesa de cualquier canal interno es lo inverso: si tu organización hace que sea seguro plantear la preocupación, la preocupación llega a ti primero. Esa promesa es lo que los empleados realmente creen cuando pasan por el cartel "Speak Up" en la cocina, y es lo que la mayoría de los buzones de denuncias siguen sin cumplir.
El propósito de este post es el lado del empleado de ese acuerdo. Hay mucho escrito sobre por qué un sistema de denuncia de irregularidades protege a las empresas de multas, fraudes y daños a la reputación. Hay mucho menos sobre las cosas específicas que gana un empleado cuando el sistema por encima de él se construye sobre algo más sólido que una dirección de correo publicada. Hace cinco años esa pregunta era en gran medida cultural. Hoy también es legal: la Directiva de la UE sobre Denunciantes, el estándar ISO 37002 y una jurisprudencia cada vez más consolidada sobre represalias han reescrito la línea entre "tenemos un buzón" y "la gente lo utiliza".
El piso legal: Directiva UE 2019/1937
La Directiva (UE) 2019/1937 ahora está en vigor en los 27 Estados miembros de la UE. Obliga a todas las organizaciones de los sectores privado y público con 50 o más empleados a operar un canal de notificación interna que acepte informes escritos u orales, dé seguimiento dentro de tres meses y proteja al denunciante de represalias. La lista de incumplimientos que debe cubrir el canal es amplia: servicios financieros, lucha contra el lavado de dinero, contratación pública, protección del medio ambiente, seguridad de productos, seguridad alimentaria, salud pública, protección al consumidor, protección de datos y ciberseguridad.
El plazo de transposición fue 17 de diciembre de 2021. El cumplimiento fue desigual, y la Comisión Europea no lo ignoró. El 25 de abril de 2024, la Corte de Justicia multó a Polonia por transposición tardía. El 6 de marzo de 2025, la Corte falló en contra de Alemania, República Checa, Hungría, Estonia y Luxemburgo en un grupo de casos relacionados. Solo Alemania fue sancionada con 34 millones de euros; República Checa 2,3 millones, Hungría 1,75 millones, Luxemburgo 375.000, y Estonia 500.000 más una multa diaria de 1.500 euros hasta que la ley fue aprobada.
"Un Estado miembro no puede alegar disposiciones, prácticas o situaciones que prevalecen en su orden jurídico interno para justificar el incumplimiento de las obligaciones derivadas del derecho de la UE, como el incumplimiento de la transposición de una directiva."
Corte de Justicia de la Unión Europea, sentencia de 6 de marzo de 2025
La sentencia es importante para un empleado en Hamburgo o Tallin por una razón más práctica que el titular: coloca todas las leyes nacionales sobre denunciantes de cada Estado miembro en el mismo footing legal. La Directiva establece un piso, no un techo, por lo que los países individuales pueden ser más estrictos, pero no pueden ser menos exigentes. Combinado con la consulta abierta de la Comisión Europea sobre el próximo Plan de Acción sobre Protección de Denunciantes, la protección legal que un empleado tiene al plantear una preocupación va en aumento en lugar de disminuir. Para una perspectiva país por país de cómo la Directiva se implementa en la ley nacional, consulta nuestro resumen de leyes de denunciantes en Europa.
Corte de Justicia de la Unión Europea, Luxemburgo
© Cédric Puisney (CC BY 2.0)
De buzón de cumplimiento a cultura de denuncia
Un buzón por sí solo hace muy poco. El Informe Global de Integridad de EY 2024 encontró que 93% de las organizaciones ahora ejecutan un buzón de denuncias, arriba del 86% hace dos años. Esa es la casilla marcada. Pero en la misma encuesta, 54% de las personas que realmente reportaron mala conducta dijeron que habían sentido presión para no reportar; 40% de los miembros de la junta dijeron que personalmente habían visto represalias contra un denunciante; y solo 25% de los empleados dijeron que sabían qué protecciones de denunciantes estaban disponibles para ellos. El buzón existe; las condiciones para que alguien lo use sin temer las consecuencias en gran medida no.
Esa es la diferencia entre un buzón de cumplimiento y una cultura de denuncia. Un buzón de cumplimiento es un número al que nadie llama. Una cultura de denuncia es un lugar de trabajo donde el canal es una de varias opciones normales y donde cada nivel de gestión, gerente de línea, recursos humanos, oficial de ética, herramientas anónimas, trata un reporte como información útil en lugar de un problema de personal para gestionar. La encuesta internacional de 2024 del Instituto de Ética Empresarial encontró que la disposición a reportar a un gerente de línea realmente ha disminuido desde 2020, de 46% a 40%. El andamiaje legal ha mejorado; el andamiaje de confianza no se ha mantenido al ritmo.
La implicación para los empleadores es que el trabajo no está terminado cuando el sistema se adquiere. El trabajo está terminado cuando las personas que usarían el sistema saben que existe, saben qué cubre y confían en que usarlo no les costará su carrera. Eso también es donde el buen software de denuncia de irregularidades deja de parecer una casilla de verificación y comienza a parecer bueno para el negocio: cada preocupación presentada internamente es una menos que sale del edificio hacia un regulador o un periodista.
"Las organizaciones deben comunicar regularmente, potencialmente hasta el punto de sobre-comunicar, la importancia de hablar."
Jonathan Feig, EY Forensic & Integrity Services
El estándar de confianza: ISO 37002
El mismo año en que este post fue escrito por primera vez, la Organización Internacional de Normalización publicó ISO 37002:2021, Sistemas de gestión de denuncias: Directrices. El estándar es voluntario y no certificable, pero rápidamente se ha convertido en el punto de referencia que los marcos de cumplimiento, reguladores del sector y equipos de adquisiciones de grandes compradores señalan cuando quieren definir qué se ve bien.
La elección estructural que hizo ISO es importante para el lector de este post. ISO 37002 se construye sobre tres principios: confianza, imparcialidad y protección del denunciante. La velocidad de investigación, la defensa del cumplimiento y la eficiencia de la gestión de casos son todos derivados de esos tres; fallan sin ellos y siguen una vez que la parte de confianza está en su lugar. Un empleado que no confía en el canal no presenta un reporte en él, y una organización sin reportes no detecta mala conducta lo suficientemente temprano para tratar con ella.
El cambio en comparación con un buzón de ética de la era 2010 es que el sistema ahora está diseñado desde el denunciante hacia afuera. El anonimato se preserva por defecto, no como una excepción. El denunciante recibe retroalimentación obligatoria dentro de la ventana legal de tres meses. Las investigaciones deben ser imparciales de la línea de negocio en la que ocurrió la conducta alegada. El denunciante tiene que ser protegido contra represalias que pueden tomar formas mucho más sutiles que un despido: reasignación, congelación de promociones, no renovación de contrato, retención de capacitación. ISO 37002 nombra todos esos explícitamente.
La brecha de represalias
Las represalias son la razón singular más grande de que los buenos sistemas sigan teniendo un rendimiento insuficiente. La Encuesta Global de Ética Empresarial de 2023 de la Iniciativa de Ética y Cumplimiento es el dato más riguroso que tenemos al respecto. Encontró que 65% de los empleados observaron mala conducta en el trabajo en el período de encuesta, arriba del 60% en 2020. De aquellos que lo observaron, 72% lo reportaron interna o externamente: la tasa de reportes es realmente alta. Pero de aquellos que reportaron, 46% luego experimentó represalias. El número se ha mantenido aproximadamente estable en las encuestas: aproximadamente la mitad de las personas que hacen lo correcto son castigadas por ello.
El hallazgo estructural más grande de la ECI es que solo 13% de los empleados trabajan en lo que la encuesta define como una cultura ética sólida. El otro 87% se sientan en lugares de trabajo donde las señales éticas del liderazgo son mixtas, débiles o activamente contradichas por lo que se recompensa. El hallazgo de EY que 64% de los miembros de la junta sentían presión para ignorar mala conducta viene del mismo lugar: la presión fluye de arriba hacia abajo, y un buzón en el fondo de una organización que está presionando a sus directores para que miren hacia otro lado no es un buzón que se llama.
Lo que un sistema eficaz hace es reducir la brecha entre el 72% que reportaría y el 46% que se lastima por ello. Eso sucede a través de opciones de anonimato real para reportes sensibles, seguimiento obligatorio del trato post-reporte del denunciante, una ruta de investigación independiente para casos donde el gerente de línea es el sujeto, y cumplimiento visible cuando se encuentra represalia. La pregunta de seguimiento natural del lector, ¿es seguro ser un denunciante, tiene una respuesta diferente dependiendo de si el sistema por encima de ellos es uno de estos o simplemente un formulario de contacto.
Lo que los empleados realmente ganan
Cuando el piso legal y la infraestructura cultural ambos se sostienen, las protecciones con las que el empleado se va son concretas y vale la pena nombrar.
Un canal protegido que no tuvieron que inventar. Bajo la Directiva, cada organización cubierta tiene que proporcionar uno. El denunciante no tiene que encontrar un periodista amable o un regulador simpático por su cuenta; el primer paso es interno y se requiere que sea confidencial. El anonimato está disponible como una opción predeterminada, no como un favor otorgado en apelación. Los sistemas modernos implementan reportes encriptados e identidad-ciegos de extremo a extremo. El denunciante puede ser contactado para preguntas de seguimiento a través del mismo hilo de caso anónimo sin nunca ser desenmascarado, y el buen software de denuncias les da la garantía criptográfica por escrito en lugar de la promesa del equipo legal.
La regla de seguimiento de tres meses de la Directiva no es un acuerdo de nivel de servicio, es una obligación legal. El denunciante no puede quedarse en silencio; tiene que ser informado sobre qué está sucediendo con su reporte. Junto a la línea de tiempo se sienta la cobertura legal contra represalias: la mayoría de las transposiciones nacionales implementan inversión de la carga de la prueba, por lo que si el denunciante es despedido, degradado o sancionado dentro de una ventana definida después de un reporte, el empleador tiene que probar que la acción fue no relacionada. Ese es un cambio significativo desde la posición de la era 2010 donde el denunciante tenía que probar la causalidad por sí mismo.
Más allá de la mecánica legal, la política en sí envía una señal. El punto de una política de denuncias no es el documento; es lo que el documento les dice a los empleados sobre cuya voz lleva peso dentro de la organización. Un empleado que ha usado el sistema una vez, lo vio funcionar, y vio el problema abordado se convierte en un tipo diferente de empleado dentro de la organización: más comprometido, no menos. Voz y salida son las únicas dos formas en que una persona puede responder a un problema en el trabajo; un sistema que hace que la voz funcione hace que la salida sea innecesaria.
Un canal de denuncias construido sobre los principios que la Directiva e ISO 37002 establecen es un pedazo de infraestructura del lugar de trabajo que reconfigura quién puede hablar con quién, en qué términos, con qué protección. La organización obtiene mejor información y el denunciante obtiene cobertura, lo que resulta ser el mismo proyecto en lugar de dos competidores.
