Compliance y Sistema Interno de Información: Mecanismos para la gestión de riesgos en organizaciones públicas y privadas

La abogada de LKS Next LEGAL, Carmen Urtasun, explica en esta colaboración la importancia del Sistema Interno de Información (SII), una herramienta legal destinada a proteger a quienes denuncian infracciones en el ámbito laboral. Aunque es obligatorio desde la Ley 2/2023, muchas entidades aún no lo han implantado correctamente. Urtasun subraya que el SII no solo previene la corrupción, sino que impulsa la transparencia y la confianza en empresas y administraciones. En su opinión, estamos ante una oportunidad para transformar la cultura organizativa, más allá del simple cumplimiento de la norma

El Sistema Interno de Información (en adelante “SII”) es el conjunto de mecanismos legalmente obligatorios dirigidos a proteger a las personas físicas que informen sobre infracciones penales y administrativas graves y muy graves, así como sobre cualquier acción u omisión que pueda constituir una infracción del Derecho de la Unión Europea, de las que tengan conocimiento en un contexto laboral o profesional.

Este mecanismo, impulsado por la Directiva Whistleblowing, se transpuso mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informan sobre infracciones normativas y de lucha contra la corrupción (en adelante, “LPI”).

Sin embargo, la entrada en vigor de la LPI no ha supuesto todavía un cambio significativo en la gestión de procesos en las entidades públicas y privadas. Además, debido a algunos elementos mejorables en la redacción y aplicación práctica de la norma, aún es muy necesario que las entidades tomen conciencia de las tendencias europeas de cumplimiento normativo y profundicen en nuevas formas de gestión.

¿Qué es y cómo funciona el Sistema Interno de Información?

El SII es un paso más en los mecanismos de Compliance, que pivota sobre tres pilares fundamentales: (i) el canal, entendido como buzón o cauce para recepción de la información; (ii) el Responsable del Sistema; y (iii) el procedimiento de gestión de comunicaciones.

Esta norma complementa los sistemas de Compliance, ya que no entra en aspectos como el análisis de riesgos, las declaraciones de ausencia de conflictos de intereses, los códigos éticos y de buena conducta. El SII se centra en la gestión de las denuncias. Los elementos del SII se integran en el ciclo antifraude en el apartado de control de la corrupción. La referencia al ciclo antifraude, de hecho, no es casual. Como podíamos observar en el ANEXO III.C de la Orden HFP/1030/2021, de 29 de septiembre, por la que se configura el sistema de gestión del Plan de Recuperación, Transformación y Resiliencia (en adelante “PRTR”) el control del ciclo antifraude lo componen múltiples elementos en sus fases de (i) prevención; (ii) Detección; (iii) Corrección; y, (iv) Persecución. Los elementos del SII se observan dentro de estas fases de los procesos que las administraciones deben aprobar para la gestión de los fondos provenientes del PRTR.

La aprobación de estos planes antifraude era limitada y muchas entidades han optado solo por aprobar análisis, planes, y procedimientos de control de conflictos de interés en los procedimientos cuyos fondos venían del PRTR, pero la LPI va más allá en cuanto a su ámbito subjetivo de aplicación. Esto es así porque su ámbito de aplicación comprende:

Empresas de más de 50 personas trabajadoras:

• Las empresas con más de 250 personas trabajadoras debían tenerlo implantado ya para el 13 de junio de 2023.
• Las empresas con más de 50 y menos de 249 personas trabajadoras debían tenerlo implantado para el 1 de diciembre de 2023.

Todas las administraciones públicas:

• En general, se debía tener implementado para el 13 de junio de 2023.
• Para los municipios de menos de 10.000 habitantes, el 1 de diciembre de 2023.

Aunque algunas entidades han implantado el SII, muchas otras no lo han hecho o han implementado sistemas que no cumplen los exigentes requisitos legales.

¿Por qué es importante para su organización?

El SII representa un importante impulso de los sistemas de cumplimiento normativo en organizaciones públicas y privadas, funcionando como una herramienta para fomentar mecanismos eficaces de control de la corrupción (entre otras comunicaciones ligadas a la gestión pública) y de buenas prácticas, y a su vez un mecanismo de protección de la responsabilidad de administradores y cargos directivos.

¿Qué requisitos debe cumplir el sistema?

El sistema interno de información debe reunir requisitos específicos:

• Permitir a las personas físicas protegidas por la Ley comunicar infracciones penales y administrativas graves y muy graves, así como aquellas acciones u omisiones que infrinjan el Derecho de la Unión Europea.
• Diseñado, establecido y gestionado de una forma segura. Debe garantizarse la confidencialidad, así como la protección de datos.
• Permitir las denuncias anónimas y facilitar un medio de contacto para comunicaciones.
• Permitir comunicaciones por escrito o verbalmente, o de ambos modos. El canal verbal deberá cumplir condiciones específicas.
• Integrar los distintos canales internos de información.
• Designar un responsable del sistema.
• Aprobar y publicitar una política o estrategia específica.
• Establecer un procedimiento de gestión concreto, con unos plazos estrictos de acuse de recibo, investigación y resolución, debiéndose respetar los derechos del informante, así como la persona afectada por la comunicación.
• Un tratamiento y conservación de datos personales derivados de las comunicaciones que en todo momento sea conforme a lo exigido por la normativa de protección de datos.
• Respetar en todo momento los derechos de la persona denunciante y la persona denunciada, como son la prohibición de represalias, el honor y el derecho a la defensa.

¿Qué necesita su organización para implementarlo?

Estamos ante un momento exigente y clave en los procesos de muchas entidades también desde un plano tecnológico puesto que el sistema requiere, además de una normativa interna robusta, de una plataforma tecnológica capaz de gestionar las denuncias, valorando certificaciones, accesibilidad, anonimato y usabilidad.

El éxito del sistema requiere asesoramiento específico, seguimiento exhaustivo y formación continua. Es fundamental contar con un órgano de cumplimiento o responsable específico que gestione el SII y vele por el correcto desarrollo de las investigaciones internas bajo criterios de independencia y confidencialidad.

Debe existir coordinación entre el Compliance y las obligaciones del SII, abordando ambos sistemas simultáneamente para evitar duplicidades en protocolos y documentos internos, y creando a su vez procedimientos más eficientes para la recepción y gestión de denuncias. En entidades públicas, es fundamental adaptar la cultura de la integridad a la realidad administrativa, fomentando la transparencia con un sistema que se adapte a su realidad y a sus protocolos de investigación y la comunicación con órganos internos (como la intervención o las unidades de control interno) que puedan verse afectadas.

Conclusión

La implementación del SII representa una oportunidad única para transformar la cultura organizacional tanto en el sector público como privado, además de una obligación por imperativo legal. Su éxito no depende únicamente del cumplimiento formal de los requisitos legales, sino de la capacidad de integrar estos mecanismos en una estrategia integral de Compliance que fomente la transparencia, la integridad y la confianza. Solo a través de un compromiso real con estos valores y una implementación rigurosa y bien planificada, el SII podrá cumplir su verdadero propósito: convertirse en una herramienta eficaz para la prevención y detección de irregularidades, contribuyendo así a la construcción de organizaciones más éticas y responsables, protegiendo a su vez a los administradores y cargos directivos.

Carmen Urtasun
Abogada de LKS Next LEGAL