Primer informe de un denunciante: ¿qué hacer?

Ser empleador conlleva una larga lista de obligaciones, muchas de ellas relacionadas con cómo tratas a las personas que trabajan para ti. El momento en que alguien decide informar sobre irregularidades dentro de tu empresa puede ser el más estresante del año. En una única conversación, descubres que algo ha ido mal en el lugar de trabajo que administras, y que una de tus personas ha estado cargando con ese conocimiento el tiempo suficiente para sentirse herida, asustada, o ambas cosas. Antes de hacer nada más, date un momento, y luego piensa cuidadosamente en los pasos que debes seguir a continuación. La ley deja muy poco espacio para la improvisación ahora.

Por qué el primer informe es diferente en 2026 que en 2021

La base europea se establece mediante la Directiva UE 2019/1937 sobre la protección de las personas que denuncian incumplimientos de la legislación de la Unión. El plazo de transposición para los estados miembros era el 17 de diciembre de 2021, pero el cumplimiento fue lento, y en marzo de 2025 el Tribunal de Justicia de la UE ordenó a Alemania, Luxemburgo, Chequia, Estonia e Hungría pagar sanciones financieras por no transponer la directiva. Para 2026, todos los Estados miembros tienen legislación en vigor, aunque la Comisión Europea sigue señalando carencias en alcance y protección.

Corte de Justicia de la Unión Europea, Luxemburgo
©Cédric Puisney (CC BY 2.0)

Polonia fue uno de los que llegaron tarde. La Ustawa o ochronie sygnalistów del 14 de junio de 2024 entró en vigor el 25 de septiembre de 2024, con los canales de denuncia externos en línea desde el 25 de diciembre de 2024. Cualquier entidad legal privada o pública que emplee al menos 50 personas el 1 de enero o el 1 de julio de un año determinado debe ejecutar un procedimiento de denuncia interna por escrito. Las entidades que operan en servicios financieros, lucha contra el blanqueo de capitales, seguridad del transporte y protección ambiental están cubiertas independientemente del número de empleados. Si tu empresa ha cruzado ese umbral y tu procedimiento todavía vive en una carpeta de borrador, ya estás expuesto.

La razón por la que esto importa cuando un único informe llega a tu escritorio es que el informe no llega en el vacío. Llega dentro de un proceso regulado, con plazos que comienzan a contar desde el momento en que tu canal lo registra. Tratar el primero como una conversación de recursos humanos, de la manera en que lo hacían los empleadores hace veinte años, es ahora un error legal.

Quién está autorizado a recibir el informe

Dependiendo del tamaño de la organización, los informes pueden ir al propietario, a un miembro de la junta directiva, a recursos humanos, o a una persona contratada específicamente como contacto para denunciantes . Quienquiera que sea, dos cosas deben ser verdaderas. Deben tener autorización escrita de la entidad legal para recibir informes, tomar medidas de seguimiento y procesar los datos personales implicados, y deben estar en una posición para actuar con imparcialidad, libres de conflictos con las personas o unidades que el informe concierne. Elegir al supervisor directo del equipo denunciado es el ejemplo de manual de cómo no diseñar esto.

ISO 37002:2021, el estándar internacional sobre sistemas de gestión de denuncias, organiza el trabajo alrededor de tres principios, Confianza, Imparcialidad, Protección, y alrededor de un ciclo de vida de cuatro etapas: recibir, evaluar, abordar, concluir. No tienes que certificarte contra el estándar para usar su vocabulario, y el vocabulario es útil precisamente porque te obliga a separar la ingesta (una tarea relacional) de la investigación (una analítica). La misma persona puede hacer ambas, pero no puede hacer ambas al mismo momento.

Los primeros 7 días

Desde el momento en que se registra el informe, la persona autorizada tiene 7 días para confirmar la recepción al denunciante. Esto no es una confirmación de que le creas, ni es un veredicto. Es una señal de que el informe está en el sistema, que un ser humano de verdad lo tiene, y que la ley ha comenzado a contar. Especifica quién está manejando el caso (o qué rol, si se requiere anonimato), qué sucede a continuación en términos generales, y dónde el denunciante puede contactarte con información adicional. Evita promesas de resultado y evita un lenguaje evaluativo. La mayoría de los desastres en esta etapa provienen de confirmaciones que parecen refutaciones.

El canal en sí también importa. Un informe oral (una llamada telefónica, una línea grabada, una reunión cara a cara) te obliga a producir un registro escrito fiel y dar al denunciante la oportunidad de verificarlo. Un informe por correo electrónico nunca debe responderse con responder a todos. Un informe presentado a través de una plataforma digital de denuncia debe permanecer en esa plataforma, no duplicarse en un sistema de tickets corporativo que las partes denunciadas pueden leer.

La ventana de retroalimentación de 3 meses

Dentro de 3 meses de reconocer el informe (seis meses en casos justificados), debes al denunciante una retroalimentación sustancial sobre la acción contemplada o ya tomada, y las razones para ello. El reloj está en la entidad legal, no en el investigador. Si la investigación es genuinamente compleja, se debe informar al denunciante de eso, y explicar por qué, antes de que el plazo se agote, no después.

Lo primero que el receptor tiene que evaluar es si el informe describe una violación dentro del alcance. La ley polaca cubre una lista larga pero finita: corrupción, contratación pública, reglas de servicios financieros, lucha contra el blanqueo de capitales, seguridad de productos, seguridad del transporte, protección ambiental, salud pública, protección del consumidor, privacidad y protección de datos personales, e incumplimientos de la Constitución. Las disputas estrictas de derecho laboral entre un empleado y la empresa fueron excluidas del texto final, lo que significa que una queja de recursos humanos no es automáticamente un informe protegido; la evaluación tiene que analizar el fondo, no qué tan furiosa sea el correo electrónico.

La animosidad personal, el ajuste de cuentas, o informes reciclados de una disputa conocida son parte de la evaluación también, pero son una razón para investigar cuidadosamente, no para desestimar. El Artículo 57 de la ley polaca solo criminaliza informes hechos a sabiendas para comunicar una falsedad, con penas de hasta 2 años de cárcel; los errores honestos del denunciante permanecen protegidos, y tratar un informe incómodo como malicioso es una de las formas más rápidas para que un empleador se meta en una demanda por represalias.

Sejm de la República de Polonia, Varsovia, donde la Ley de Protección de Denunciantes fue adoptada el 14 de junio de 2024
©Sandra Cohen-Rose and Colin Rose (CC BY-SA 2.0)

Conservación de registros y confidencialidad

Cada informe va a un registro de informes internos. El registro registra la fecha de recepción, el asunto del informe, las acciones tomadas, y el resultado; debe mantenerse de una manera que no revele la identidad del denunciante a nadie que no esté autorizado a saberlo. La ley polaca requiere retención durante 3 años después de que el caso se cierra.

El estándar de confidencialidad es alto, y más estricto que las vagas promesas de «nadie lo descubrirá» que las políticas internas antiguas tienden a hacer. La identidad del denunciante está protegida, y solo puede divulgarse cuando la divulgación es estrictamente necesaria y legal, por ejemplo a fiscales o a una orden judicial. Cualquiera con acceso al caso debe firmar compromisos de confidencialidad, y el registro en sí es dato GDPR, con todos los deberes de control de acceso y minimización que sigan.

Este es también el lugar donde los empleadores que operan internacionalmente necesitan examinar sus plantillas. En septiembre de 2024, la Comisión de Valores y Bolsa de EE.UU. llegó a un acuerdo con siete empresas públicas por más de USD 3 millones combinados por acuerdos de empleo y separación que contenían un lenguaje que la SEC interpretó como desalentador del denuncianteismo, y con una firma separada de planificación financiera por USD 240.000 por cláusulas de confidencialidad sin carve-out regulatorio. Los acuerdos de confidencialidad, acuerdos de indemnización, y entrevistas de salida redactados hace años para un propósito completamente diferente pueden ser interpretados por un regulador como evidencia de que la empresa impide la denuncia. Un barrido de esas plantillas cuesta muy poco; descubrirlo de la manera difícil cuesta mucho.

Cuidar al denunciante

A menudo, el trabajo de la persona que recibe un informe implica hacer preguntas difíciles, a veces indiscretas. Los denunciantes tienen que aportar evidencia, y tienes que evaluarla sin adular ni culpar. La manera en que preguntas importa tanto como qué preguntas. La práctica de ingesta informada por el trauma, ahora orientación estándar en investigaciones de lugar de trabajo, se reduce a algunos hábitos útiles: hacer preguntas abiertas, dejar que el denunciante use sus propias palabras, darle cierto control sobre el formato y el momento en que la ley lo permite, y permitirle traer una persona de apoyo si quiere una. Los investigadores que llegan con «¿realmente viste eso, estás seguro?» no obtienen menos informes falsos, obtienen menos informes de cualquier tipo, y el canal se vuelve silencioso.

A lo largo de la evaluación y resolución, debe ser seguro para el denunciante seguir trabajando. A través del canal de comunicación externo que usó para contactarte, comprueba periódicamente. Confirma que su posición está siendo protegida, explica en términos honestos qué pasos se han tomado, y pregunta, claramente, cómo está. La señal más común de que un denunciante está a punto de escalar a un regulador es el silencio de tu parte, no la ira.

Cuándo traer ayuda externa

No todos los informes pueden resolverse internamente. Una consulta con abogados externos es a menudo el movimiento correcto, especialmente cuando los hechos denunciados tocan derecho penal, pérdida financiera significativa, industrias reguladas, o miembros de la junta. Los investigadores externos son útiles donde la imparcialidad no puede ser garantizada creíblemente internamente, e ISO 37002 explícitamente recomienda un investigador externo en casos donde la jerarquía de gestión está demasiado cerca de la conducta.

El denunciante también tiene derecho a sacar el caso de tus muros. En Polonia, el canal externo central es el Defensor del Pueblo (RPO), apoyado por organismos públicos específicos del sector. La divulgación pública (ir a la prensa, por ejemplo) solo está protegida después de que los canales internos y externos han fallado o han sido eludidos por razones estrechas establecidas en la ley. La gestión interna que toma el informe en serio generalmente mantiene el caso internamente; la gestión interna descuidada tiende a darle al denunciante tanto un derecho claro como un motivo fuerte para sacarlo por la puerta.

Oficina del Defensor del Pueblo polaco (RPO), Aleja Solidarności 77, Varsovia
©Adrian Grycuk (CC BY-SA 3.0 PL)

Qué cuesta equivocarse en esto

La ley polaca trata la represalia, la obstrucción de un informe, y el desenmascaramiento de un denunciante como delitos, punibles con multas de hasta PLN 1.080.000, restricción de libertad, o encarcelamiento de hasta 3 años. No poner un procedimiento en su lugar en una organización cubierta desencadena responsabilidad administrativa separada. En un caso de represalias, la carga de la prueba se invierte: el empleador tiene que probar que una acción adversa contra el denunciante no estaba conectada al informe. Un denunciante cuyos derechos son violados tiene derecho a una compensación de al menos el salario mensual nacional promedio, sin límite de daños donde el daño es mayor.

La aritmética es despiadada. Un primer informe manejado limpiamente te cuesta el tiempo de un receptor entrenado y algunas semanas de investigación cuidadosa. El mismo informe manejado mal cuesta el procedimiento, las personas, la atención del regulador, y, frecuentemente, el denunciante, que va directamente a RPO, el fiscal, o la prensa.

La versión honesta de la conclusión

Recibir un primer informe es, en casi todos los casos, un momento estresante para el empleador. No tiene que ser uno caótico. El marco legal alrededor del rol del receptor es ahora tanto detallado como humanitario, y los básicos procedimentales («reconocer dentro de 7 días, dar retroalimentación sustancial dentro de 3 meses, escribir todo, tratar al denunciante como una persona, nunca solo») coinciden con lo que los buenos investigadores ya estaban haciendo antes de que la ley se pusiera al día. Si la ley y el instinto humano apuntan en la misma dirección, lo único que queda por hacer es construir la memoria muscular y usarla la primera vez, no la tercera.