Canal ético en un programa de compliance penal

¿Dónde se regula?

Esta figura tiene su origen en la administración pública norteamericana (Lloyd–La Follete Act de 1912, Whistleblower Protection Act de 1989). Y, para las empresas estadounidenses cotizadas y sus filiales en Europa, en la Sarbanes–Oxley Act de 2002.

Nuestro Código Penal, tras la reforma operada por LO 1/2015, dentro de los requisitos que deben cumplir los modelos de organización y gestión con que deben contar las personas jurídicas (planes o programas de compliance), exige en el art. 31 bis 5 4º CP que impongan «la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención».

Además, el artículo 31 bis 1 b) CP establece «los deberes de supervisión, vigilancia y control» de la actividad de los subordinados por parte de quienes tienen funciones ejecutivas o de organización y control de la compañía. Y la adopción de un canal de denuncias cumple con estos deberes, de manera que favorece la implantación de una cultura de cumplimiento de la organización, como preconiza la jurisprudencia del TS (STS 154/2016, de 29 de febrero, rec. 10011/2015 y STS 221/2016, de 16 de marzo, rec. 1535/2015)

La Circular 1/2016 de la FGEº, por su parte, especifica que la existencia de unos canales de denuncia de incumplimientos internos o de actividades ilícitas de la empresa es uno de los elementos clave de los modelos de prevención.

A nivel europeo se aprobó la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, que se ha transpuesto a nuestro derecho interno a través de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta norma sustituye el término "canal de denuncias" por el de "sistema interno de información" y el de "denunciante" por el de "informante".

En cuanto a los estándares internacionales la norma ISO 19600–2014 «Sistemas de gestión de Compliance – Directrices», considera los canales de denuncia o delación como una herramienta efectiva de comunicación, sin perjuicio de la existencia de otras.

Su cláusula 9.1.3 «Fuentes de opinión sobre el desempeño de Compliance», establece que la organización debe contar con procedimientos para recabar opiniones y percepciones de sus empleados en lo relativo al Compliance, a través de diversas fuentes, tales como los empleados mediante canales de denuncia, sugerencias y buzones de opinión.

Y en la cláusula 10.1.2 «Escalado de información», dispone que un sistema de Compliance eficaz ha de incluir un mecanismo para que los empleados de la organización y otras personas informen sobre las malas prácticas reales o sospechosas, o sobre violaciones de las obligaciones de Compliance, de forma confidencial y sin temor a represalias (derecho a la indemnidad).

En España, la UNE 19601 es el estándar nacional actual certificable de Sistemas de gestión de Compliance y regula en su cláusula 8.7 la comunicación de incumplimientos o irregularidades y en la 8.8 la investigación de esos incumplimientos.

Concretamente para la gestión de los canales internos de denuncia en las organizaciones existe un estándar internacional qye es la ISO 37302:2021 sobre «Sistemas de gestión de canales de denuncias», aprobada en julio de 2021.

¿Qué finalidad tiene?

Su finalidad principal es prevenir incumplimientos normativos y corregir los ya detectados.

Los objetivos concretos de la implantación de un canal ético son los siguientes:

• • Detección anticipada e identificación de las actividades donde pueden cometerse las infracciones que se pretenden evitar, previniendo el delito.
• • Cumplir la obligación legal que recoge el art. 31 bis 5 4º del CP de que los programas de compliance cuenten con dicho canal de denuncias, contribuyendo a que la empresa pueda demostrar que ha implementada una verdadera cultura de cumplimiento y que emplea medidas efectivas de diligencia debida en su modelo de prevención penal que le exima de responsabilidad penal en caso de comisión de un delito.
• • Dotar a la persona jurídica de una medida de control sobre su propia actividad.
• • Posibilitar la imposición de sanciones a los autores de las conductas denunciadas, cuando así proceda, cumpliendo otro de los requisitos del plan de prevención de riesgos penales recogido en el art. 31 bis 5. 5º del Código Penal, sin perjuicio de las posibles responsabilidades penales que deban depurarse.
• • Colaborar con la investigación judicial, aportando pruebas o reparando o disminuyendo el daño, en cualquier momento del procedimiento penal, con anterioridad a la celebración del juicio oral, con la consiguiente atenuación de la responsabilidad como prevé el art. 31 quater CP.
• • Contribuir a la eficacia de funcionamiento de la empresa con la mejora continua de los procesos internos para la gestión y control de conductas ilegales o contrarias a la cultura ética de la empresa.

¿Cómo es el canal ético en el ámbito de la prevención del blanqueo de capitales?

El Real Decreto-ley 11/2018, de 31 de agosto (en vigor desde el 4 de septiembre de 2018, y por el que se transpone, entre otras, la Cuarta Directiva en materia de Prevención de Blanqueo de Capitales) introduce un nuevo artículo 26 bis en la Ley 10/2010 de 28 de abril de prevención del blanqueo de capitales y de la financiación del terrorismo, que exige ya expresamente que los sujetos obligados establezcan procedimientos internos para que sus empleados, directivos o agentes puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos en relación a lo dispuesto por la Ley 10/2010 de 28 de abril de prevención del blanqueo de capitales y de la financiación del terrorismo, su normativa de desarrollo o las políticas internas implementadas para su cumplimiento a nivel corporativo.

Estas son algunas de las características de estos procedimientos internos específicamente previstos en el ámbito de la prevención del blanqueo de capitales:

• • Podrán integrarse en los sistemas que hubiera podido establecer el sujeto obligado para la comunicación de informaciones relativas a la comisión de actos o conductas contrarias a la restante normativa general o sectorial que les fuera aplicable. Es decir, se prevé su integración en los canales de denuncia o whistleblowing implementados en materia de cumplimiento normativo y prevención de delitos.
• • Esta obligación de implementación del sistema de comunicaciones o denuncias internas no sustituye la necesaria existencia de mecanismos específicos e independientes de comunicación interna de operaciones sospechosas (conforme al vigente sistema de comunicación por indicio previsto por el art. 18 de la Ley 10/2010 de 28 de abril).
• • Estos sistemas de comunicación deben cumplir con la normativa de protección de datos.
• • Los sujetos obligados adoptarán medidas para garantizar que los empleados, directivos o agentes que informen de las infracciones cometidas en la entidad sean protegidos frente a represalias, discriminaciones y cualquier otro tipo de trato injusto.
• • La normativa prevé que, reglamentariamente, se puedan determinar excepciones (para determinados sujetos obligados) respecto del cumplimiento de esta obligación.
• • Se trata de un sistema de comunicación interno, a nivel corporativo, complementario con la existencia de sistemas de comunicaciones públicos (previstos por el nuevo artículo 63 de la Ley 10/2010 de 28 de abril, referente a la comunicación de infracciones) que prevé, a su vez, también la protección de los denunciantes.
• • Sujetos obligados: los enumerados en el art. 2.1 de la L 10/2010, de 28 de abril.

  Extiende la obligación de crear canales de denuncia a las Administraciones Públicas para que puedan recibir denuncias sobre potenciales incumplimientos por los sujetos obligados sobre las exigencias de la normativa de prevención del blanqueo.

  La normativa extiende también el tratamiento de las medidas de diligencia reforzada a todas las personas con responsabilidad pública, tanto nacionales como extranjeras. Hasta ahora, solo las personas con responsabilidad pública extranjeras eran objeto de aplicación de automática de estas medidas.

• • La no implementación del canal de denuncias sería considerada como una infracción leve de la Ley y sancionado con hasta 60.000 € (art. 53 L 10/2010, de 28 de abril).

No obstante, la Directiva (UE) 2024/1640, de 31 de mayo , relativa a los mecanismos que deben establecer los Estados miembros a efectos de la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, viene a derogar la Directiva (UE) 2015/849 que se transpuso por Real Decreto-ley 11/2018, de 31 de agosto . Los Estados miembros tienen hasta el 10 de julio de 2027 para la transposición de esta nueva directiva, que recoge en el art. 60 Directiva (UE) 2024/1640 cómo será la denuncia de infracciones en esta materia y la protección de los denunciantes.

En esa misma fecha entrará en vigor el Reglamento (UE) 2024/1624, de 31 de mayo, relativo a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, excepto para las entidades obligadas del artículo 3.3 n) a o) para quienes será aplicable desde el 10 de julio de 2029.

Además, el Reglamento (UE) 2024/1620, de 31 de mayo, aplicable a partir del 1 de julio de 2025, crea la Autoridad Europea de Lucha contra el Blanqueo de Capitales y Financiación del Terrorismo. Tendrá competencias de supervisión directas e indirectas sobre las entidades obligadas de alto riesgo en el sector financiero, incluidos los proveedores de servicios de criptoactivos, coordinará las unidades de inteligencia financiera y podrá imponer sanciones económicas a las entidades en caso de incumplimiento grave, sistemático o reiterado.

La Autoridad dispondrá de canales de notificación específicos para la recepción y el tratamiento de la información facilitada por personas denunciantes que comuniquen infracciones, reales o potenciales del Reglamento (UE) 2024/1624 en la medida en que se refieran a los requisitos aplicables a las entidades de crédito y las entidades financieras, del Reglamento (UE) 2023/1113 y de la Directiva (UE) 2024/1640 en la medida en que se refieran a los requisitos aplicables a las autoridades de supervisión, los organismos de autorregulación en el ejercicio de funciones de supervisión y a los UIF. Las personas que denuncien a través de esos cauces y las personas afectadas gozarán, si procede, de la protección de la Directiva (UE) 2019/1937.