Cumplimiento en la práctica
El canal es la parte fácil. Lo que sostiene el cumplimiento es la disciplina que lo rodea: quién puede leer una denuncia, con qué rapidez hay que responder, qué hay que conservar y dónde la ley nacional exige más que la directiva.
Última revisión: 1 de noviembre de 2026
Lista de control
Configurados una vez, un auditor, un comité de empresa o la inspección de trabajo ven un proceso que funciona, no un formulario.
Comparte el enlace de denuncia en la intranet, en el código de conducta y en la incorporación. Tu política de denuncias debe nombrar el canal, indicar quién recibe las denuncias y dejar claro que las represalias están prohibidas.
Los administradores de cuenta gestionan la imagen de marca, el equipo y la facturación y no pueden abrir una denuncia. Los gestores de casos leen denuncias y nunca ven una factura. Esa separación es la que hace cierta la promesa: solo el equipo de casos puede leer una denuncia.
Una sola persona es un punto único de fallo: las vacaciones, las bajas y el plazo de 7 días no se negocian. Invita a un segundo compañero, a un asesor externo o a ambos, y mantén la lista de roles al día.
El acuse automático confirma la recepción en el momento en que llega una denuncia. Si lo desactivas, confirma a mano el mismo día. En ambos casos el plazo aparece en el expediente y la persona denunciante tiene un enlace para seguirlo.
El plazo empieza con el acuse de recibo, no con la denuncia. Los cambios de estado y los mensajes del expediente registran lo que se comunicó, y se exportan con el caso.
La conservación se configura por organización: uno, tres o cinco años. Aparece en el aviso de privacidad que lee la persona denunciante. Elige el plazo que exige tu ley nacional en lugar de dejar el valor por defecto.
Roles e independencia
La independencia es una exigencia legal en la mayoría de los Estados miembros, no una cuestión de estilo. De ella se derivan dos decisiones: quién tiene acceso a las denuncias y a quién hay que mantener fuera de un caso. Las dos se toman mejor antes de la primera denuncia que después.
En principio, sí. La normativa europea no prohíbe expresamente que un CEO sea la persona encargada de recibir las denuncias y darles seguimiento. Puede ser una solución práctica, sobre todo en organizaciones pequeñas sin un departamento de cumplimiento normativo propio.
No obstante, la función de denuncia designada debe actuar con imparcialidad e independencia y sin conflictos de interés. La directiva europea de protección del informante reconoce que, en organizaciones pequeñas, la función puede combinarse con otro rol de la empresa, siempre que se mantengan esas garantías.
Por tanto, un CEO puede tramitar denuncias sobre otras cuestiones, siempre que pueda actuar con imparcialidad e independencia. No debe tramitar denuncias sobre su propia conducta ni supuestos en los que sus intereses personales o sus responsabilidades generen un conflicto de interés. En esos casos la denuncia debe tramitarla otra persona imparcial y debidamente cualificada: otro empleado, un miembro de un órgano de supervisión o un asesor externo.
Ashio separa la administración de la cuenta de la gestión de casos. El administrador de la cuenta gestiona la suscripción, la facturación, los miembros del equipo y la configuración de la plataforma sin tener acceso automático a las denuncias confidenciales, y el rol de gestor da acceso a las denuncias y a la gestión de casos sin exigir acceso a la información de facturación. Así el CEO puede ser titular de la suscripción, recibir las facturas y gestionar la cuenta y, a la vez, actuar como gestor de casos cuando proceda.
Nuestra recomendación: aunque el CEO gestione personalmente las denuncias, deje preparada una alternativa antes de que llegue la primera, para que otro empleado o un asesor externo con el rol de gestor pueda asumirla en cuanto surja un conflicto de interés. Eso da flexibilidad a las organizaciones pequeñas y ayuda a mantener la imparcialidad y la credibilidad del proceso.
Una persona directamente implicada en una denuncia no debería ser responsable de evaluarla ni de darle seguimiento. Eso crearía un conflicto de interés y socavaría la imparcialidad del procedimiento.
Si la organización solo tiene un gestor designado, debería establecer una alternativa para estos casos. Según su estructura, puede ser otro empleado debidamente cualificado, un miembro de un órgano de supervisión o un asesor o proveedor externo.
La normativa europea permite que la función de denuncia se apoye en terceros externos, siempre que se mantengan las garantías necesarias de independencia, imparcialidad y confidencialidad.
Ashio mantiene separados los dos roles, y la alternativa se prepara en la lista del equipo: una segunda persona con el rol de gestor, un empleado o un asesor externo, ya está ahí cuando llega la denuncia y puede asumirla si el gestor habitual está implicado. Un rol de gestor concedido después no alcanza a una denuncia ya presentada.
Nuestra recomendación: aunque la organización tenga un único gestor habitual, deje la alternativa preparada antes de que llegue la primera denuncia. Así se puede tramitar cada denuncia con imparcialidad.
En Ashio no, y por eso existen dos roles. Un administrador de cuenta no puede concederse el rol de gestor, así que el acceso a las denuncias siempre necesita a una segunda persona que lo confirme.
Cada cambio de rol queda registrado en el registro de actividad del equipo con la persona que lo hizo. Así se puede responder meses después, sin depender de la memoria, quién dio acceso a las denuncias a quién.
Una organización de una sola persona tiene que invitar primero a un compañero, porque nadie puede concederse ese rol. Si parece fricción, es la misma fricción que la de una segunda firma en un pago, y consigue lo mismo: nadie puede entrar en silencio.
Sí. La normativa europea permite expresamente que las organizaciones designen a terceros externos para recibir denuncias y darles seguimiento. El considerando 54 de la directiva europea de protección del informante cita expresamente a abogados externos, auditores y proveedores de plataformas de denuncia externas.
En organizaciones pequeñas puede ser una forma práctica de que las denuncias se traten con imparcialidad sin crear un equipo interno de cumplimiento normativo. El asesor externo puede asumir la recepción de denuncias, la comunicación con los informantes y la coordinación del seguimiento.
El proveedor externo debe ofrecer garantías adecuadas de independencia, confidencialidad, protección de datos y secreto profesional.
Ashio hace sencilla la gestión externa. Invita a tu abogado o asesor externo como miembro del equipo con el rol de gestor. Accede a las denuncias correspondientes, a los plazos y al historial de auditoría desde su propia cuenta, y cada acción queda atribuida a él.
Hay dos cosas fáciles de pasar por alto. El asesor necesita un mandato: Ashio aporta el canal de denuncia y la gestión de casos, pero no investiga por su cuenta ni actúa como tu representante legal, así que la organización acuerda el alcance con el asesor. Y el acceso es por organización: un asesor que trabaja para varias entidades debe ser invitado a cada una por separado.
Así la organización puede usar experiencia externa y mantener claramente definida la responsabilidad sobre su sistema de denuncia.
La directiva permite expresamente abogados y asesores externos, pero la ley nacional que la transpone puede añadir condiciones, y nombrar a un asesor no traslada a él las responsabilidades legales de la organización.
Requisitos por país
Estas son algunas de las diferencias nacionales que pueden afectar a cómo configuras y operas tu canal de denuncia.
La oficina interna de denuncias debe actuar con independencia y sin conflictos de interés. Los gestores pueden desempeñar otras funciones siempre que no generen conflictos, y deben tener la cualificación necesaria.
Todas las denuncias deben documentarse y los registros se suprimen por regla general tres años después de concluido el procedimiento, salvo que una conservación más larga sea necesaria y proporcionada conforme a la ley aplicable.
Si existe un comité de empresa, deben valorarse sus derechos de codeterminación, especialmente si el software constituye un sistema técnico destinado a controlar el comportamiento o el rendimiento de los empleados.
Las organizaciones sujetas a las exigencias del procedimiento interno de denuncia deben establecer un procedimiento para recibir y dar seguimiento a las denuncias. Ese procedimiento debe identificar a la persona, departamento o tercero externo competente para tramitarlas.
La CNIL exige fijar plazos de conservación adecuados, basados en la finalidad del tratamiento y en los principios del RGPD. No existe un plazo fijo único aplicable a todos los casos de denuncia.
La loi Waserman amplió la protección del informante y revisó el marco francés para acercarlo a la directiva europea.
La organización debe nombrar a un Responsable del Sistema, la persona responsable del sistema interno de información. La designa el órgano de gobierno y debe ejercer sus funciones con independencia y autonomía, sin recibir instrucciones en ese papel.
La organización debe acusar recibo en 7 días naturales y dar respuesta en 3 meses desde la recepción de la denuncia. En casos de especial complejidad, este plazo puede prorrogarse hasta 3 meses más.
El nombramiento y el cese de la persona responsable también deben comunicarse a la autoridad competente en 10 días hábiles.
El canal interno de denuncia debe confiarse a una persona o departamento autónomo con personal específicamente formado. Según la organización, esta función puede ejercerse interna o externamente.
Las denuncias deben acusarse por regla general en 7 días y tramitarse en 3 meses. La ANAC, la Autoridad Nacional Anticorrupción, es responsable del canal externo y tiene facultades de supervisión y sanción.
Los empleadores sujetos a las exigencias del procedimiento interno de denuncia deben designar a personas independientes para recibir denuncias y garantizar su seguimiento cuidadoso.
El procedimiento debe prever acuse de recibo en 7 días y respuesta en un plazo máximo de 3 meses desde el acuse.
La ley también permite a los empleadores privados de 50 a 249 empleados compartir medios para recibir e investigar denuncias, con las condiciones aplicables.
El procedimiento interno de denuncia debe identificar a la persona o unidad organizativa autorizada para recibir denuncias y a una persona o unidad interna imparcial responsable del seguimiento.
Las denuncias deben acusarse por regla general en 7 días y recibir respuesta en un plazo máximo de 3 meses, con las condiciones legales aplicables.
Antes de establecer el procedimiento interno, la organización debe consultar al sindicato correspondiente o, si no existe, a los representantes de los trabajadores. Estas consultas deben durar entre 5 y 10 días.
La información jurídica debe contrastarse con la legislación nacional vigente antes de su implantación. Este resumen cubre algunos Estados miembros de la UE, no los 27. Los requisitos nacionales pueden cambiar y depender del tamaño, el sector y la estructura de la organización.
Esta página es orientación operativa, no asesoramiento jurídico. La ley, el comité de empresa y tus asesores legales determinan qué se aplica en tu caso. Cada página de país indica su fecha de última revisión.
Abre el canal, invita a un segundo gestor y deja que los plazos se controlen solos. 14 días gratis, sin tarjeta.