Dejan Jasnic · Cofundador y responsable de Compliance, Trusty · Más de 20 años en antifraude y compliance · Miembro del consejo de ACFE Swiss Chapter
Sí, un único sistema de denuncias puede cubrir varios países de la UE, siempre que cada entidad jurídica con 50 o más trabajadores tenga su propio canal de denuncias interno y el proceso cumpla con la legislación nacional de cada país. Se permite una plataforma. No se permite una bandeja de entrada indiferenciada para todo el grupo.
El problema es que la UE solo estableció un estándar mínimo. Cada Estado miembro redactó su propia ley, por lo que el mismo grupo puede enfrentarse a diferentes normas sobre anonimato, autoridades externas, conservación de registros y multas en cada país donde tenga empleados. Esta guía explica la regla por entidad, compara las leyes nacionales de Alemania, España, Francia e Italia, y establece un plan de siete pasos para implementar un sistema en varios países.
cada entidad
Una plataforma, un canal de denuncias independiente para cada entidad jurídica. Trusty mantiene separados los informes, los gestores de casos y los derechos de acceso de cada filial, ofrece el formulario de denuncia en varios idiomas y aloja todos los datos en centros de datos con certificación ISO/IEC 27001 en Alemania. Su primer canal estará listo en menos de cinco minutos.
Las empresas con 50 o más empleados pueden configurar el software de denuncias de Trusty en cuestión de minutos, desde 49 € al mes.
¿Por qué las denuncias son más difíciles para los empleadores con presencia en varios países?
Las denuncias son más difíciles para los empleadores con presencia en varios países porque la UE estableció un estándar mínimo y cada uno de los 27 Estados miembros elaboró su propia ley. La Directiva (UE) 2019/1937 fija las obligaciones principales: un canal interno seguro en cada entidad jurídica con 50 o más trabajadores, un acuse de recibo de cada denuncia en un plazo de siete días, respuesta en un plazo de tres meses y protección contra represalias.
Casi todo lo demás se deja a la legislación nacional. Cada país decide si la protección se extiende a las infracciones de la legislación nacional, además de la legislación de la UE, si deben aceptarse las denuncias anónimas, qué autoridad recibe las denuncias externas, cuánto tiempo se conservan los registros y a cuánto ascienden las multas. Varios países transpusieron la directiva tarde, por lo que muchas de estas normas solo entraron en vigor en 2023.
Un grupo con entidades en tres países, por lo tanto, tiene tres conjuntos de normas, tres autoridades externas y, por lo general, tres idiomas que gestionar. Los denunciantes también pueden acudir directamente a una autoridad nacional en lugar de utilizar su canal, por lo que un canal difícil de encontrar o que no parezca seguro envía las denuncias fuera de la empresa.
¿Puede un grupo empresarial utilizar un único canal centralizado de denuncias?
Un grupo puede gestionar un canal centralizado, pero no puede depender únicamente de él. En dos declaraciones de 2 y 29 de junio de 2021, la Comisión Europea afirmó que cada filial debe tener su propio canal diferenciado, y que los denunciantes pueden elegir entre la vía local y la central.
El razonamiento de la Comisión es que la obligación del artículo 8, apartado 3, de la directiva se aplica a cada entidad jurídica, no al grupo en su conjunto, y que una empresa matriz no puede considerarse un tercero externalizado para sus propias filiales. La norma depende entonces del tamaño de cada entidad jurídica:
Tamaño de la entidad | Qué implica la posición de la Comisión |
|---|---|
Menos de 50 trabajadores | Sin obligación general de tener un canal, a menos que las normas sectoriales o la legislación nacional digan lo contrario |
De 50 a 249 trabajadores | Deben tener un canal, pero pueden compartir recursos con otras entidades para recibir e investigar denuncias, siempre que el canal local siga disponible |
250 o más trabajadores | Deben tener su propio sistema de denuncias que funcione de forma independiente de cualquier sistema central |
Para las entidades con 50 a 249 trabajadores, la Comisión estableció tres condiciones para el uso de los recursos de la empresa matriz:
• El canal local permanece abierto. El propio canal de denuncias de la filial debe permanecer en funcionamiento y disponible.
• El denunciante es informado y acepta. El denunciante debe ser informado y dar su consentimiento antes de que cualquier persona a nivel de grupo acceda a la denuncia. Un denunciante que se niegue puede retirar la denuncia y acudir a la autoridad competente.
• Las obligaciones clave permanecen a nivel local. La confidencialidad, la respuesta al denunciante y cualquier medida correctiva o sanción siguen siendo responsabilidad de la filial.
¿Cómo han aplicado las leyes nacionales la postura de la Comisión?
Las declaraciones de la Comisión no son jurídicamente vinculantes, y las leyes nacionales adoptaron diferentes enfoques:
• España permite que la empresa matriz apruebe una política general para todo el grupo, y el sistema interno de información puede ser único para todas las empresas del grupo (artículo 11 de la Ley 2/2023).
• Alemania permite que otra empresa del grupo actúe como tercero independiente que recibe las denuncias de sus filiales, según la exposición de motivos de la HinSchG. Cada filial sigue siendo responsable de poner fin a la infracción.
• Francia permite que las empresas de un mismo grupo compartan un procedimiento de denuncia, pero solo tras una decisión concordante del órgano competente de cada empresa. Algunos profesionales interpretan que el decreto lo limita a empresas con menos de 250 empleados.
• Italia permite que las entidades de hasta 249 trabajadores compartan un canal interno, incluidas las empresas vinculadas del grupo, pero no establece normas específicas para los grupos multinacionales.
• Irlanda suele interpretarse en línea con la Comisión, por lo que un canal central del grupo por sí solo no basta.
¿Qué significa esto en la práctica?
En la práctica, utilice una plataforma y asigne a cada entidad jurídica su propia página de denuncias, gestores de casos y derechos de acceso. Este diseño satisface tanto la interpretación estricta como la flexible, por lo que no tendrá que rediseñarlo cuando cambie una norma nacional o un regulador adopte la opinión de la Comisión.
El cumplimiento del grupo sigue teniendo un papel. Puede ser propietario de la política, formar a los gestores de casos y apoyar investigaciones complejas, siempre que una denuncia llegue al nivel del grupo solo con el consentimiento del denunciante y la filial mantenga la responsabilidad de la respuesta y el seguimiento.
¿En qué se diferencian las leyes de denuncias de la UE por país?
Las leyes de denuncias de la UE difieren principalmente en cinco puntos: qué se puede denunciar, si deben aceptarse las denuncias anónimas, qué autoridad recibe las denuncias externas, cuánto tiempo se conservan los registros y a cuánto ascienden las multas. Las normas sobre los canales a nivel de grupo y sobre la participación de los representantes de los trabajadores también varían.
Aspecto | Alemania | España | Francia | Italia |
|---|---|---|---|---|
Ley | Hinweisgeberschutzgesetz (HinSchG) | Ley 2/2023 | Sapin II, modificada por la Ley Waserman | Decreto Legislativo 24/2023 |
Se aplica desde el | 2 de julio de 2023 (17 de diciembre de 2023 para empresas de 50 a 249 trabajadores) | 13 de marzo de 2023 (canales previstos para el 13 de junio de 2023, o el 1 de diciembre de 2023 para empresas de 50 a 249 trabajadores) | 1 de septiembre de 2022 | 15 de julio de 2023 (17 de diciembre de 2023 para empresas de 50 a 249 trabajadores) |
Ámbito de aplicación más allá de la legislación de la UE | Infracciones penales y determinadas infracciones administrativas | Infracciones penales y administrativas graves y muy graves | Delitos, faltas y amenazas o perjuicios al interés general | Para empresas con un Modelo 231, infracciones pertinentes según el Decreto 231/2001 |
Denuncias anónimas | Deben tramitarse; no hay obligación de ofrecer un canal anónimo | Deben aceptarse | Pueden aceptarse; no hay obligación general | Pueden gestionarse; la protección se aplica si el denunciante es identificado posteriormente |
Autoridad externa | Oficina Federal de Justicia, además de la BaFin y la Oficina Federal de Cárteles en sus ámbitos | Autoridad Independiente de Protección del Informante (A.A.I.) y autoridades regionales | Autoridades sectoriales enumeradas por decreto, o el Défenseur des droits | ANAC |
Conservación de registros | 3 años después del cierre del caso | No más de 10 años | Solo el tiempo estrictamente necesario | No más de 5 años tras el resultado final |
Canal para todo el grupo | Otra empresa del grupo puede actuar como tercero | Se permite un sistema único para el grupo | Procedimiento compartido con el acuerdo de cada empresa | Se permite compartir para entidades de hasta 249 trabajadores |
Representantes de los trabajadores | Pueden aplicarse los derechos de codecisión del comité de empresa | Consulte a los representantes de los trabajadores | Consulta al CSE | Consulta a los sindicatos |
Multas máximas | 50.000 €, o hasta 500.000 € para empresas | 1.000.000 € para empresas | 15.000 € y 1 año de prisión por obstruir una denuncia | 50.000 € (multas administrativas de la ANAC) |
Las multas a empresas en Alemania alcanzan los 500.000 € porque la HinSchG aplica el multiplicador de diez veces del artículo 30 de la Ley de Infracciones Administrativas. En Italia, los incumplimientos también pueden exponer a una empresa a responsabilidad en virtud del Decreto 231/2001.
Consulte el texto actual de cada ley, o pregunte a un asesor jurídico local, antes de finalizar la configuración. Las normas nacionales aún están siendo modificadas.
con sello de tiempo y registro
Aplica la norma nacional más estricta en todo el grupo. Trusty acepta denuncias escritas anónimas y mensajes de voz distorsionados, con una bandeja de entrada bidireccional para el seguimiento. Cada denuncia recibe un sello de tiempo eIDAS cualificado y un registro de auditoría a prueba de manipulaciones, y se incluyen políticas ya preparadas y formación para los empleados. O reserva una demostración.
¿Qué debe hacer un sistema de denuncias multinacional?
Un sistema de denuncias multinacional debe mantener las entidades separadas, hablar cada idioma local y aplicar la norma más estricta a la que se enfrente. Siete capacidades son importantes:
• Separación de entidades. Cada entidad jurídica tiene su propia página de denuncias y su propio equipo de gestión de casos, y los gestores de una entidad no pueden ver los casos de otra.
• Idiomas locales. El formulario, la política y las respuestas están disponibles en el idioma de cada plantilla, con traducciones revisadas de los términos jurídicos.
• Denuncias escritas y orales. La directiva permite denunciar por escrito o verbalmente y exige una reunión presencial a petición del denunciante. Alemania exige ambas opciones, escrita y oral, así que ofrézcalas en todas partes.
• Denuncias anónimas con seguimiento. España obliga a aceptar denuncias anónimas, así que admítalas en todas partes y mantenga una vía para responder sin revelar la identidad del denunciante.
• Seguimiento de plazos. Cada denuncia requiere un acuse de recibo en un plazo de siete días y una respuesta en un plazo de tres meses, en todas las entidades.
• Información local. Cada página de denuncias indica la autoridad nacional competente para las denuncias externas.
• Una única pista de auditoría. El área de cumplimiento del grupo puede comprobar que se cumplen los plazos en todas las entidades sin abrir casos individuales.
La conservación de registros también requiere planificación, ya que los límites varían de tres años en Alemania a hasta diez en España. Establezca un calendario de eliminación por entidad en su política.
La ubicación de los datos también es importante. Las denuncias a menudo contienen datos personales sensibles, por lo que alojarlos dentro de la UE o el EEE evita preguntas sobre transferencias internacionales de datos bajo el RGPD para cada entidad.
¿Cómo se implementa un sistema de denuncias en varios países?
Se implementa un sistema de denuncias en varios países en siete pasos, comenzando con un mapa de sus entidades jurídicas y terminando con una revisión anual.
1. Mapee sus entidades. Enumere cada entidad jurídica de la UE, su país y su número de empleados, y marque aquellas con 50 o más trabajadores. Cuenta por entidad jurídica, no por grupo, y verifica las normas sectoriales, ya que las entidades en áreas como los servicios financieros están cubiertas independientemente de su tamaño.
2. Fije un estándar común. Tome el requisito más estricto en cada punto y aplíquelo a todo el grupo. Por ejemplo, acepte denuncias anónimas en todas partes porque España lo exige, y ofrezca denuncias orales porque Alemania lo exige.
3. Redacta una política central con anexos por país. Mantenga el proceso idéntico y coloque el alcance local, la autoridad y el período de conservación en un anexo breve para cada país.
4. Nombre gestores de casos por entidad. Designe a una persona o equipo imparcial para cada entidad, libre de conflictos de intereses y con tiempo para cumplir los plazos. Decida qué entidades con 50 a 249 trabajadores compartirán recursos.
5. Consulte a los representantes de los trabajadores. Involucre a los comités de empresa, el CSE o los sindicatos donde la legislación nacional lo exija, antes de la puesta en marcha.
6. Configure y traduzca el canal. Cree una página de denuncias para cada entidad en su idioma local, con los detalles de la autoridad correcta.
7. Forme, lance y revise. Informe a todos los empleados cómo denunciar, forme a los gestores de casos y luego verifique los plazos y el volumen de casos cada año.
La mayor parte del tiempo se dedica a los pasos 4 y 5. Con el software adecuado, la configuración técnica del paso 6 lleva minutos.
¿Qué sistema de denuncias funciona para empleadores multinacionales?
Trusty es un software de denuncias diseñado en torno a la Directiva europea de protección del denunciante, y gestiona varias entidades e idiomas en una única plataforma. Un canal interno está listo en menos de cinco minutos.
Necesidad multinacional | Cómo lo cubre Trusty |
|---|---|
Un canal distinto para cada entidad jurídica | La separación de entidades y el acceso basado en roles están integrados en la plataforma |
Idiomas locales | Formulario de denuncia e interfaz en varios idiomas |
Denuncias anónimas con seguimiento | Bandeja de entrada anónima bidireccional abierta con un código de acceso |
Denuncias orales sin centro de llamadas | Mensajes de voz en el navegador con distorsión de voz; se puede añadir una línea telefónica directa |
Pruebas para cada autoridad | Sello de tiempo eIDAS cualificado en cada denuncia y un registro de auditoría a prueba de manipulaciones |
Residencia de datos en la UE | Alojamiento en centros de datos con certificación ISO/IEC 27001 en Alemania |
Implementación más rápida | Políticas de cumplimiento ya preparadas y formación para empleados incluida |
Prueba Trusty gratis durante 7 días en trusty.report, o reserve una breve demostración para ver una configuración multientidad.
Preguntas frecuentes sobre las denuncias internacionales
Sí. Una sola plataforma puede dar servicio a todo un grupo, siempre que cada entidad jurídica con 50 o más trabajadores tenga su propio canal de denuncias dentro de ella y el proceso cumpla con la legislación nacional de cada país.
Sí, si tiene 50 o más trabajadores. La posición de la Comisión Europea es que cada una de esas filiales necesita un canal distinto. Las filiales con entre 50 y 249 trabajadores pueden compartir recursos para recibir e investigar denuncias, pero su propio canal debe permanecer disponible.
Se cuenta por entidad jurídica. Un grupo con 300 trabajadores repartidos en entidades de menos de 50 cada una puede no tener una obligación general, mientras que una sola entidad con 50 trabajadores sí la tiene. Las normas sectoriales pueden aplicarse por debajo de ese umbral, por ejemplo en los servicios financieros.
Sí. Una entidad jurídica de la UE con 50 o más trabajadores debe cumplir con la ley de su país, independientemente de dónde se encuentre la sede de la empresa matriz.
Según la directiva, cada entidad debe acusar recibo de una denuncia en un plazo de siete días y dar respuesta al denunciante en un plazo de tres meses a partir del acuse de recibo. Estos plazos se aplican en todos los países, sea cual sea la estructura del grupo.
Depende del aspecto. España es la más estricta en cuanto a anonimato y multas, con la aceptación obligatoria de denuncias anónimas y multas de hasta 1.000.000 € para las empresas. Francia tiene uno de los ámbitos de aplicación más amplios, y Alemania exige opciones de denuncia tanto escritas como orales.
La directiva exige información clara y fácilmente accesible, por lo que debe ofrecer el canal y la política en un idioma que cada plantilla comprenda. En la práctica, eso significa el idioma local de cada país donde tenga una entidad.
Puede ayudar, pero el canal propio de la filial debe seguir disponible. Según la Comisión, se debe informar al denunciante y este debe estar de acuerdo antes de que la denuncia se traslade al nivel de grupo. Si se niega, puede retirar la denuncia y acudir a la autoridad competente.
Fuentes
• Directiva (UE) 2019/1937, EUR-Lex
• Hinweisgeberschutzgesetz (HinSchG), Ministerio Federal de Justicia de Alemania
• Ley 2/2023, Boletín Oficial del Estado
• Lo que la Directiva de denuncias significa para los canales de denuncia en grupos empresariales, Osborne Clarke
• Sistema de denuncias a nivel de grupo: no es suficiente para la Comisión de la UE, Oppenhoff
• Pas de lanceur d’alerte dans les groupes, KPMG Avocats
• Protección de denunciantes y canales de denuncia en Italia, CMS
• Disposiciones clave del nuevo régimen de denuncias, Matheson
• Trusty, información del producto
Este artículo es información general, no asesoramiento jurídico.
con la Directiva de la UE y el RGPD
Software de denuncias sencillo, creado por expertos en cumplimiento normativo.