Escalado de denuncias internas: cómo asignar cada caso según su riesgo

No todas las denuncias requieren la misma urgencia, el mismo nivel de confidencialidad ni el mismo equipo. Un buen sistema de escalado de denuncias internas permite actuar rápido sin exponer al denunciante ni perder de vista las evidencias.

Índice

Puntos clave
¿Qué criterios usar para escalar una denuncia interna?
Matriz de prioridad: criticidad, impacto y exposición
¿Cómo asignar el caso y registrar el escalado?
Relación entre prioridad, acuse de siete días y seguimiento
Plantilla de escalado y responsables
Errores que debilitan la trazabilidad del proceso
Preguntas frecuentes
Fuentes

Puntos clave

La prioridad se determina combinando gravedad, inmediatez, exposición al riesgo y alcance potencial.
El escalado debe asignar un responsable concreto, un nivel de prioridad y un plazo de actuación, no solo una etiqueta.
En Ashio, los plazos de acuse y seguimiento permanecen visibles e incluyen recordatorios automáticos para ayudar al equipo a gestionarlos.
El expediente debe conservar el estado, el responsable, las notas y las decisiones relevantes para mantener la trazabilidad.
Las decisiones sobre casos sensibles deben validarse con criterios previamente definidos, evitando que la urgencia dependa del criterio de quien recibe la denuncia.

¿Qué criterios usar para escalar una denuncia interna?

El escalado de una denuncia interna debe basarse en criterios objetivos y verificables que permitan decidir quién investiga, con qué prioridad y en qué plazo. Como punto de partida, clasifique cada caso según la gravedad del hecho, la inmediatez del riesgo, la exposición de la organización y el alcance potencial de la investigación.

Una matriz de escalado de denuncias puede ayudar al equipo a ordenar la atención sin tratar todos los asuntos como urgentes. Los criterios principales son:

Gravedad: posible infringimiento legal, conducta ética indebida, fraude, discriminación, conflicto de intereses o vulneración de políticas internas.
Inmediatez: existencia de un daño occurring o inminente, riesgo para la integridad física, continuidad operativa o protección de datos.
Exposición: si el caso puede afectar a varias personas, clientes, empleados o incluso al sector en el que opera la organización.
Confidencialidad: sensibilidad de la información, riesgo de identificación del denunciante y necesidad de restringir el acceso al expediente.
Independencia: posible conflicto de intereses del receptor inicial o de las personas invitadas a tomar la decisión.
Verificabilidad: disponibilidad de información, documentos o testigos que permitan avanzar en la investigación.

La clasificación de riesgo de una denuncia debe documentarse mediante una escala sencilla, por ejemplo de criticidad baja, media, alta o crítica. Lo importante no es el nombre de cada nivel, sino que existan definiciones claras y que dos evaluadores puedan aplicar los criterios de forma similar.

También conviene establecer umbrales de actuación inmediata. Por ejemplo, una alerta sobre riesgo de represalias, daño grave o actividad ilegal inminente debe revisarse de inmediato, sin esperar al siguiente comité.

Matriz de prioridad: criticidad, impacto y exposición

Matriz de prioridad: criticidad, impacto y exposición La matriz de prioridad combina criticidad, impacto y exposición para convertir una clasificación inicial en una prioridad de investigación interna accionable. La criticidad mide la gravedad del hecho; el impacto, sus consecuencias; y la exposición, la amplitud y probabilidad de extensión del riesgo.

Una forma práctica de ordenar los casos es utilizar cuatro dimensiones:

Criticidad: gravedad inherente de la conducta comunicada.
Impacto: consecuencia probable sobre personas, activos, reputación, operaciones o cumplimiento normativo.
Exposición: número de personas o áreas potencialmente afectadas y posibilidad de que el problema se extienda.
Urgencia: tiempo razonable antes de que el riesgo pueda materializarse o agravarse.

Por ejemplo, un supuesto caso de trato discriminatorio puede ser grave aunque todavía no exista una decisión administrativa. La combinación de una posible vulneración de derechos, la experiencia de varias personas y la necesidad de preservar testimonios justificaría una prioridad alta. En cambio, un proceso de facturación irregular sin indicios de extensión a otras personas ni daño inminente podría revisarse con prioridad media.

El procedimiento interno puede establecer qué cambia en cada nivel:

Baja: revisión inicial, responsable designado y seguimiento ordinario.
Media: revisión reforzada, plazo de análisis definido y coordinación con las áreas implicadas.
Alta: valoración inmediata, medidas de preservación de evidencia y dirección del caso.
Crítica: activación del protocolo de urgencia, con responsables predeterminados y comunicación interna controlada.

No todas las categorías necesitan una duración fija. En su lugar, cada nivel puede asociarse a un plazo máximo para la primera valoración, una revisión periódica y un criterio de cierre o reescalado. Si un caso cambia de categoría, el motivo de la decisión debe quedar anotado en el expediente.

¿Qué debe incluir una clasificación de riesgo?

Una clasificación de riesgo equilibrada debe incluir una descripción clara de los hechos, los criterios aplicados, la posible asistencia jurídica o de cumplimiento, el nivel de prioridad, el responsable de la investigación y las fechas de los próximos pasos. También debe registrar si el caso requiere preservar información, restringir el acceso o poner en marcha medidas de protección frente a represalias.

Las etiquetas como “riesgo alto” no bastan. Para que la trazabilidad sea útil, la explicación debe conectar el hecho con la decisión: qué se sabe, qué se desconoce, por qué se elige esa prioridad y qué debe ocurrir después.

¿Cómo se evita que la urgencia dependa de la persona que recibe la denuncia?

Para evitar decisiones subjetivas, el procedimiento de escalado debe establecer quién hace la primera clasificación, quién la revisa y qué documentos son necesarios para elevarla. También puede exigir que todo caso de prioridad alta o crítica sea validado por una segunda persona autorizada.

La consistencia no significa que todas las denuncias sean idénticas. Significa que las diferencias respondan a hechos documentados. Si una organización modifica la urgencia de una denuncia, debe conservar la clasificación anterior, la nueva, la fecha, el motivo y la persona responsable.

¿Cómo asignar el caso y registrar el escalado?

La asignación de casos consiste en asignar a cada expediente un responsable identificable, un nivel de prioridad, un plazo y un alcance de actuación, dejando constancia de la decisión. La primera persona que recibe la denuncia debe realizar una evaluación preliminar, pero no necesariamente investigar todos los asuntos.

El procedimiento puede empezar con estas acciones:

Registrar la recepción: fecha, canal, categoría preliminar y necesidad de medidas inmediatas.
Preservar la información: impedir la modificación o pérdida de documentos, mensajes y archivos relevantes.
Evaluar los criterios: gravedad, impacto, exposición, urgencia, confidencialidad e independencia.
Asignar el responsable: una persona concreta o un equipo con competencia, capacidad y ausencia de conflicto de intereses.
Definir el plan: primera revisión, puntos de control, entregables y fecha de actualización.
Comunicar internamente: informar a las personas estrictamente necesarias y documentar quién ha sido informado.

Para responsabilidades de cumplimiento, la guía para responsables de cumplimiento puede ayudar a ordenar la separación entre recepción, evaluación, investigación y seguimiento. En organizaciones con una dimensión relevante de recursos humanos, la perspectiva de directores de recursos humanos puede complementar la coordinación de los casos de trato laboral, sin sustituir la revisión de independencia.

El registro debe conservar, como mínimo, la información necesaria para la gestión interna. En Ashio, cada denuncia se organiza en un expediente con estado, responsable y notas, complemented by the organization's own criteria for documenting the assignment rationale, next steps, actions, and relevant decisions.

¿Qué datos personales deben incluirse en el expediente?

El expediente debe incluir únicamente la información necesaria para gestionar la denuncia y su investigación. La identidad del denunciante no debe incorporarse al registro si la queja se recibe de forma anónima. El principio de minimización reduce el riesgo de exposición innecesaria y facilita que el equipo se concentre en los hechos.

Si el denunciante opta por mantener el anonimato, el seguimiento debe preservar esa condición durante todo el procedimiento. Cuando la denuncia se recibe de forma anónima, Ashio permite mantener el anonimato durante el seguimiento mediante un enlace privado para las comunicaciones.

¿Quién debe investigar cada tipo de caso?

La asignación de la investigación debe depender de la materia y de los riesgos, no del cargo de quien recibe el primer aviso. Los casos con posible conflicto de intereses, sensibilidad legal elevada o impacto institucional pueden requerir dirección externa o apoyo especializado.

En este punto, Ashio puede servir como herramienta de gestión para organizaciones que necesitan recibir, documentar y comunicar casos mediante un canal europeo con comunicación bidireccional, plazos y registros; no sustituye la revisión jurídica, la investigación profesional ni las decisiones éticas de la organización. Puedes consultar la página de acceso si el proceso todavía no está definido.

Relación entre prioridad, acuse de siete días y seguimiento

La prioridad de investigación interna y los plazos regulatorios cumplen funciones distintas: la primera ordena la urgencia interna y los segundos garantizan que la organización cumpla sus obligaciones de respuesta. Un caso de criticidad crítica no necesita esperar al acuse formal para activar medidas de protección adecuadas.

La Directiva (UE) 2019/1937 establece el acuse de recibo en un plazo de siete días y la información de seguimiento al denunciante en un plazo de tres meses, según la interpretación operativa que aplique cada organización. Ashio expone ambos plazos en pantalla e incorpora recordatorios automáticos para reducir el riesgo de vencimientos.

La relación práctica puede expresarse así:

El acuse confirma que la denuncia ha sido recibida; no significa que la investigación haya concluido.
La clasificación de prioridad determina la velocidad de la primera evaluación y la asignación de recursos.
El seguimiento informa al denunciante sobre el estado y las etapas relevantes de la investigación.
El cierre documenta el resultado, las acciones adoptadas y el fundamento de la decisión.

¿Una denuncia de prioridad alta recibe un tratamiento diferente en el plazo de acuse?

Sí, internamente puede recibir una revisión inmediata, pero el plazo de siete días para acusar recibo sigue siendo el referencia regulatorio. La prioridad puede acelerar la evaluación y la protección del denunciante, pero no debe sustituir el acuse formal ni alterar el plazo de tres meses para el seguimiento.

¿Cómo se controlan los plazos y las fechas de cierre?

El control de plazos debe exigir cuatro controles: vencimiento próximo, vencimiento superado, revisión de estado y solicitud justificada de延期. Un recordatorio no sustituye la actuación; por eso conviene que el responsable registre la decisión tomada cuando recibe el aviso.

Una tabla de seguimiento puede contener:

Control	Campo que debe registrarse
Acuse de recibo	Fecha de envío y confirmación
Primera evaluación	Fecha y responsable
Seguimiento al denunciante	Fecha prevista y fecha efectiva
Revisión del caso	Fecha, resultado y próximo hito
Cierre	Decisión, fundamento y fecha

Plantilla de escalado y responsables

Una plantilla de escalado debe traducir cada denuncia en un expediente con criterios explícitos, responsable, prioridad, plazos y evidencias. El documento no sustituye la investigación, pero evita que la urgencia, la confidencialidad o el seguimiento dependan de la memoria individual.

¿Qué campos debería contener una plantilla de escalado?

Los campos mínimos de una plantilla de escalado que puede utilizarse con Ashio son:

Fecha y hora de recepción.
Resumen factual de la denuncia.
Categoría preliminar.
Criterios de gravedad, impacto, exposición y urgencia.
Nivel de prioridad y justificación.
Riesgo de represalias o daño inminente.
Necesidad de medidas provisionales.
Responsable principal y responsable de la revisión.
Personas que deben conocer el caso.
Próxima fecha de revisión.
Estado del acuse y del seguimiento.
Registro de cambios y cierre.

La plantilla también puede incluir un apartado de “conflicto de intereses”. Antes de asignar el caso, debe comprobarse si el responsable propuesto tiene relación con las personas, áreas o entidades involucradas. Si existe conflicto, la asignación debe revisarse y documentarse.

¿Cómo se distribuyen las responsabilidades?

Una separación clara evita que recepción e investigación se concentren en la misma persona sin control. El procedimiento puede distribuir las funciones de modo explícito: la recepción realiza el triaje; el responsable del caso coordina su análisis; cumplimiento supervisa el procedimiento; RRHH participa cuando el caso afecta a relaciones laborales; y la dirección interviene cuando procede una respuesta institucional.

La plantilla debe ofrecer una distribución concreta y flexible. Por ejemplo:

Elemento	Responsable habitual	Aportación
Recepción y triaje	Compliance o persona designada	Registra, clasifica y escala
Investigación	Equipo competente e independiente	Verifica hechos y conserva evidencias
Seguimiento	Responsable del caso	Mantiene comunicación y actualiza el expediente
Validación	Dirección o comité competente	Aprueba medidas de mayor impacto
Revisión periódica	Compliance	Comprueba plazos, estado y trazabilidad

Para un canal interno, la guía sobre canal de denuncias internas puede servir de referencia al definir responsabilidades y contenidos mínimos. La plantilla debe accommodate además riesgos específicos: menores, harassment, privacidad, competencia, finanzas o seguridad, entre otros.

Errores que debilitan la trazabilidad del proceso

Los principales errores de trazabilidad aparecen cuando el caso se clasifica sin justificar, la prioridad cambia sin motivo o los intercambios con el denunciante quedan fuera del expediente. También dañan el proceso la asignación colectiva sin responsable identificable, la pérdida de plazos y la conservación insuficiente de las decisiones y evidencias.

Una revisión periódica debería comprobar:

Que cada caso abierto tiene responsable, estado y próxima fecha.
Que los plazos de siete días y tres meses se controlan según corresponda.
Que las evidencias están protegidas y vinculadas al expediente.
Que las decisiones de escalado conservan fecha, motivo y autor.
Que el acceso al caso está restringido a las personas necesarias.
Que los casos críticos tienen medidas de protección o seguimiento definidas.
Que no existen informes paralelos sin conciliación con el canal principal.

Otro error frecuente consiste en confundir prioridad interna con resultado. Una prioridad crítica no significa que la conducta se haya acreditado; significa que el riesgo exige una actuación rápida, prudente y documentada. La investigación debe confirmar o descartar los hechos sin prejuzgar.

Finalmente, el proceso debe revisarse cuando se detecta un incumplimiento, una denuncia no investigada correctamente o un incidente de confidencialidad. La revisión no debe centrarse en atribuir culpa, sino en corregir los puntos del procedimiento que hayan permitido la exposición innecesaria o el incumplimiento de plazos.

Preguntas frecuentes

¿Cómo se clasifica una denuncia interna por riesgo?

La clasificación se basa en la gravedad, el impacto, la exposición y la urgencia del hecho, junto con la necesidad de proteger a las personas o preservar evidencias. Cada categoría debe tener una definición operativa y establecer claramente el responsable y el plazo de actuación.

¿Quién debe decidir el escalado de una denuncia?

Debe decidirlo la persona o el comité designado por el procedimiento, después de revisar los criterios y los posibles conflictos de intereses. La decisión debe quedar documentada y, cuando el nivel sea alto o crítico, conviene validarla mediante una revisión independiente.

¿Puede cambiarse la prioridad de una denuncia durante la investigación?

Sí, la prioridad puede ajustarse si aparecen nuevos hechos o cambia la evaluación del riesgo. El cambio debe quedar documentado en el expediente, incluyendo la categoría anterior, la nueva, la fecha, el motivo y la persona responsable, sin eliminar la información previa.

¿Cómo se evita que el escalado vulnere la confidencialidad?

El expediente debe contener solo la información necesaria y su acceso debe limitarse a quienes participan en la gestión o necesitan conocerla. La identidad del denunciante no debe añadirse al registro cuando la denuncia se recibe de forma anónima.

¿Qué plazos deben controlarse en una investigación interna?

Como mínimo, deben controlarse el acuse de recibo en siete días y la información de seguimiento en tres meses, además de los plazos internos de evaluación, revisión y cierre. Los recordatorios automáticos son útiles, pero cada responsable debe registrar la actuación realizada.