Cómo un software de denuncias protege a los empleados

Un denunciante es la persona que te avisa de lo que está saliendo mal antes de que termine en los tribunales, en la prensa o en el escritorio del regulador. La promesa de cualquier canal interno es lo inverso: si tu organización hace que sea seguro plantear la preocupación, la preocupación llega a ti primero. Esa promesa es lo que los empleados realmente asumen cuando pasan por el cartel "Speak Up" en la cocina, y es lo que la mayoría de los buzones de denuncias siguen sin cumplir.

El propósito de este post es el lado del empleado de ese acuerdo. Hay mucho escrito sobre por qué una plataforma de denuncias protege a las empresas de multas, fraudes y daños a la reputación. Hay mucho menos sobre las cosas específicas que gana un empleado cuando el sistema por encima de él se construye sobre algo más sólido que una dirección de correo publicada. Hace cinco años esa pregunta era en gran medida cultural. Hoy también es legal: la Directiva de la UE sobre Denunciantes, el estándar ISO 37002 y una jurisprudencia cada vez más consolidada sobre represalias han reescrito la línea entre "tenemos un buzón" y "la gente lo utiliza".

El mínimo legal: Directiva UE 2019/1937

La Directiva (UE) 2019/1937 ahora está en vigor en los 27 Estados miembros de la UE. Obliga a todas las organizaciones de los sectores privado y público con 50 o más empleados a operar un canal de notificación interna que acepte informes escritos u orales, dé seguimiento dentro de tres meses y proteja al denunciante de represalias. La lista de incumplimientos que debe cubrir el canal es amplia: servicios financieros, lucha contra el lavado de dinero, contratación pública, protección del medio ambiente, seguridad de productos, seguridad alimentaria, salud pública, protección al consumidor, protección de datos y ciberseguridad.

El plazo de transposición fue 17 de diciembre de 2021. El cumplimiento fue desigual, y la Comisión Europea no lo ignoró. El 25 de abril de 2024, el Tribunal de Justicia multó a Polonia por transposición tardía. El 6 de marzo de 2025, el Tribunal falló en contra de Alemania, República Checa, Hungría, Estonia y Luxemburgo en un grupo de casos relacionados. Solo Alemania fue sancionada con 34 millones de euros; República Checa 2,3 millones, Hungría 1,75 millones, Luxemburgo 375.000, y Estonia 500.000 más una multa diaria de 1.500 euros hasta que la ley fue aprobada.

"Un Estado miembro no puede alegar disposiciones, prácticas o situaciones que prevalecen en su orden jurídico interno para justificar el incumplimiento de las obligaciones derivadas del derecho de la UE, como el incumplimiento de la transposición de una directiva."
Tribunal de Justicia de la Unión Europea, sentencia de 6 de marzo de 2025

La sentencia es importante para un empleado en Hamburgo o Tallin por una razón más práctica que el titular: coloca todas las leyes nacionales sobre denunciantes de cada Estado miembro en el mismo plano jurídico. La Directiva establece un suelo, no un techo, por lo que los países individuales pueden ser más estrictos, pero no pueden ser menos exigentes. Combinado con la consulta abierta de la Comisión Europea sobre el próximo Plan de Acción sobre Protección de Denunciantes, la protección legal que un empleado tiene al plantear una preocupación va en aumento en lugar de disminuir. Para una perspectiva país por país de cómo la Directiva se implementa en la ley nacional, consulta nuestro resumen de leyes de denunciantes en Europa.

Tribunal de Justicia de la Unión Europea, Luxemburgo
© Cédric Puisney (CC BY 2.0)

De buzón de cumplimiento a cultura de denuncia

Un buzón por sí solo hace muy poco. El Informe Global de Integridad de EY 2024 encontró que el 93% de las organizaciones ahora gestiona un buzón de denuncias, frente al 86% de hace dos años. Esa es la casilla marcada. Pero en la misma encuesta, el 54% de las personas que realmente reportaron mala conducta dijeron que habían sentido presión para no hacerlo; el 40% de los miembros de la junta dijeron que personalmente habían visto represalias contra un denunciante; y solo el 25% de los empleados dijeron que sabían qué protecciones para denunciantes tenían a su disposición. El buzón existe; las condiciones para que alguien lo use sin temer las consecuencias en gran medida no.

Esa es la diferencia entre un buzón de cumplimiento y una cultura de denuncia. Un buzón de cumplimiento es un número al que nadie llama. Una cultura de denuncia es un lugar de trabajo donde el canal es una de varias opciones normales y donde cada nivel de gestión, mando intermedio, recursos humanos, responsable de ética, herramientas anónimas, trata un reporte como información útil en lugar de un problema de personal que gestionar. La encuesta internacional de 2024 del Instituto de Ética Empresarial encontró que la disposición a reportar a un mando intermedio realmente ha disminuido desde 2020, de 46% a 40%. El andamiaje legal ha mejorado; el andamiaje de confianza no se ha mantenido al ritmo.

La implicación para los empleadores es que el trabajo no está terminado cuando el sistema se adquiere. El trabajo está terminado cuando las personas que usarían el sistema saben que existe, saben qué cubre y confían en que usarlo no les costará su carrera. Eso también es donde el buen software de denuncia de irregularidades deja de parecer una casilla de verificación y comienza a parecer bueno para el negocio: cada preocupación presentada internamente es una menos que sale del edificio hacia un regulador o un periodista.

"Las organizaciones deben comunicar regularmente, potencialmente hasta el punto de comunicar en exceso, la importancia de alzar la voz."
Jonathan Feig, EY Forensic & Integrity Services

El estándar de confianza: ISO 37002

El mismo año en que este post fue escrito por primera vez, la Organización Internacional de Normalización publicó ISO 37002:2021, Sistemas de gestión de denuncias: Directrices. El estándar es voluntario y no certificable, pero rápidamente se ha convertido en el punto de referencia que los marcos de cumplimiento, reguladores del sector y equipos de adquisiciones de grandes compradores señalan cuando quieren definir qué se ve bien.

La elección estructural que hizo ISO es importante para el lector de este post. ISO 37002 se construye sobre tres principios: confianza, imparcialidad y protección del denunciante. La velocidad de investigación, la defensa del cumplimiento y la eficiencia de la gestión de casos son todos derivados de esos tres; fallan sin ellos y se materializan una vez que la confianza está establecida. Un empleado que no confía en el canal no presenta un reporte en él, y una organización sin reportes no detecta la mala conducta lo suficientemente pronto como para abordarla.

El cambio en comparación con un buzón de ética de la era 2010 es que el sistema ahora está diseñado desde el denunciante hacia afuera. El anonimato se preserva por defecto, no como una excepción. El denunciante recibe retroalimentación obligatoria dentro de la ventana legal de tres meses. Las investigaciones deben ser imparciales respecto a la línea de negocio en la que ocurrió la conducta denunciada. El denunciante tiene que ser protegido contra represalias que pueden tomar formas mucho más sutiles que un despido: reasignación, congelación de promociones, no renovación de contrato, retención de capacitación. ISO 37002 nombra todos esos explícitamente.

La brecha de represalias

Las represalias son la razón singular más grande de que los buenos sistemas sigan teniendo un rendimiento insuficiente. La Encuesta Global de Ética Empresarial de 2023 de la Iniciativa de Ética y Cumplimiento es el dato más riguroso que tenemos al respecto. Encontró que el 65% de los empleados observó mala conducta en el trabajo durante el período de la encuesta, frente al 60% en 2020. De quienes lo observaron, el 72% lo reportó interna o externamente: la tasa de reportes es realmente alta. Pero de quienes lo reportaron, el 46% sufrió después represalias. El número se ha mantenido aproximadamente estable en las encuestas: aproximadamente la mitad de las personas que hacen lo correcto son castigadas por ello.

El hallazgo estructural más importante de la ECI es que solo el 13% de los empleados trabaja en lo que la encuesta define como una cultura ética sólida. El otro 87% se encuentra en lugares de trabajo donde las señales éticas del liderazgo son contradictorias, débiles o activamente desmentidas por aquello que se recompensa. El hallazgo de EY de que el 64% de los miembros de la junta sentía presión para ignorar la mala conducta procede del mismo lugar: la presión fluye de arriba hacia abajo, y un buzón en el fondo de una organización que está presionando a sus directores para que miren hacia otro lado no es un buzón que se llama.

Lo que un sistema eficaz hace es reducir la brecha entre el 72% que reportaría y el 46% que sufre las consecuencias por ello. Eso sucede a través de opciones de anonimato real para reportes sensibles, seguimiento obligatorio del trato post-reporte del denunciante, una ruta de investigación independiente para casos donde el mando intermedio es el implicado, y aplicación visible de medidas cuando se detectan represalias. La pregunta de seguimiento natural del lector, ¿es seguro ser un denunciante, tiene una respuesta diferente dependiendo de si el sistema por encima de ellos es uno de estos o simplemente un formulario de contacto.

Lo que los empleados realmente ganan

Cuando el suelo legal y la infraestructura cultural se sostienen ambos, las protecciones con las que el empleado se va son concretas y vale la pena nombrarlas.

Un canal protegido que no tuvieron que inventar. Bajo la Directiva, cada organización cubierta tiene que proporcionar uno. El denunciante no tiene que buscar por su cuenta a un periodista dispuesto a ayudarle o a un regulador receptivo; el primer paso es interno y se requiere que sea confidencial. El anonimato está disponible como una opción predeterminada, no como un favor otorgado en apelación. Los sistemas modernos implementan reportes cifrados de extremo a extremo que ocultan la identidad. El denunciante puede ser contactado para preguntas de seguimiento a través del mismo hilo de caso anónimo sin nunca ser desenmascarado, y el buen software de denuncias les da la garantía criptográfica por escrito en lugar de la promesa del equipo legal.

La regla de seguimiento de tres meses de la Directiva no es un acuerdo de nivel de servicio, es una obligación legal. No se puede dejar al denunciante sin respuesta; tiene que ser informado de qué está sucediendo con su reporte. Junto al plazo se sitúa la cobertura legal contra represalias: la mayoría de las transposiciones nacionales implementan la inversión de la carga de la prueba, por lo que si el denunciante es despedido, degradado o sancionado dentro de un plazo definido después de un reporte, el empleador tiene que probar que la acción no guardaba relación con el reporte. Ese es un cambio significativo desde la posición de la era 2010 donde el denunciante tenía que probar la causalidad por sí mismo.

Más allá de la mecánica legal, la política en sí envía una señal. El punto de una política de denuncias no es el documento; es lo que el documento les dice a los empleados sobre qué voz tiene peso dentro de la organización. Un empleado que ha usado el sistema una vez, lo ha visto funcionar y ha visto que el problema se aborda se convierte en un tipo diferente de empleado dentro de la organización: más comprometido, no menos. Voz y salida son las únicas dos formas en que una persona puede responder a un problema en el trabajo; un sistema que hace que la voz funcione hace que la salida sea innecesaria.

Un canal de denuncias construido sobre los principios que la Directiva e ISO 37002 establecen es un elemento de la infraestructura del lugar de trabajo que reconfigura quién puede hablar con quién, en qué términos y con qué protección. La organización obtiene mejor información y el denunciante obtiene cobertura, lo que resulta ser el mismo proyecto en lugar de dos proyectos enfrentados.