Introducción

La publicación de la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre (DOUE de 26-XI-2019) abre un período de adaptación normativa y ejecutiva con la finalidad de incorporar sus previsiones que, por lo que afecta al sector público, se deben cumplir como máximo el 17 de diciembre de 2021. Queda mucho trabajo por hacer y, aunque no lo parezca, tampoco demasiado tiempo. Ningún nivel de gobierno ni entidad del sector público puede dormirse en los laureles, menos aún las obligadas en términos de la normativa europea.

En cualquier caso, al margen de lo que haga el legislador estatal o autonómico, o de lo que puedan llevar a cabo las entidades locales, uno de los elementos sustantivos del sistema institucional diseñado para la protección del informador o denunciante, es el establecimiento de canales internos que sean efectivos para la tramitación adecuada de tales denuncias y, asimismo, al objeto de garantizar la confidencialidad del denunciante, poniéndolo a resguardo de cualquier represalia por el desarrollo de esa importante función. Se trata de evitar que el desamparo del denunciante o el funcionamiento deficiente de sus canales internos, conlleve un efecto de desaliento en la aplicación del sistema. Lo que está en juego es mucho: preservar el interés público y evitar, en la medida de lo posible, cualquier perjuicio a las instituciones. La dimensión preventiva del modelo es obvia. La lucha contra la corrupción y las malas práctica es un combate interminable.

Como bien expuso en su día Elisa de La Nuez, la Directiva 2019/1937 es “un suelo” del que hay que partir. Esa idea se expresa de modo diáfano en su considerando 104: “La presente Directiva establece normas mínimas y debe ser posible para los Estados miembros introducir o mantener disposiciones que sean más favorables”. Por tanto, respetando su espíritu y contenido, se pueden levantar edificios muy distintos. Unos formales o pegados a la letra de la Directiva, otros más creativos y operativos, y también los habrá que se construyan con material de derribo o que sean poco consistentes. Las soluciones institucionales serán, sin duda, diferentes en su trazado. Y ello comportará inevitables consecuencias.

Lo que aquí sigue es un breve repaso a las líneas-fuerza de la Directiva en lo que a los canales internos de denuncia respecta, y también unas sucintas propuestas sobre cómo articular un sistema de gestión interno de informaciones/denuncias, que vaya más allá de las limitaciones que, a mi juicio, ofrece la Directiva en este punto, y se inserte en un Sistema de Integridad Institucional o en un Programa de Compliance, en aquellas entidades del sector público que lo tengan implantado.

Los canales internos de denuncia en la Directiva 2019/1937

La Directiva contiene una serie principios y reglas aplicables a los canales internos de denuncia que se pueden sintetizar del siguiente modo, y extraer de ellos algunos apuntes:

• La obligación de disponer de un canal interno de denuncias es aplicable a todas las entidades del sector público. Pero el margen de configuración de cada Estado miembro es amplio, puesto que cabe eximir a los municipios de menos de 10.000 habitantes o con menos de 50 empleados, así como a aquellas entidades públicas que no alcancen esa cifra de trabajadores. En estos casos, los riesgos son evidentes, pues si se quieren combatir determinadas prácticas irregulares (por ejemplo, en la contratación pública), dejar fuera de esa obligación a las empresas o entidades públicas en esos casos (o incluso a un altísimo número de ayuntamientos) no parece lo más adecuado. El legislador o el correspondiente nivel de gobierno tendrá la última palabra.
• En general, la Directiva apuesta por priorizar el canal interno de denuncias frente a aquellos otros de naturaleza externa (autoridades, organismos o entidades), salvo en los casos citados antes (excepciones) donde el modelo pivotaría exclusivamente por el “control externo”. El argumento es un tanto singular, pues se considera que “los denunciantes se sienten más cómodos denunciando por canales internos”; pero añade: “a menos que tengan motivos para denunciar por canales externos”. No cierra, por tanto, la vía a los “canales externos” (en algunos casos será la única transitable, como se ha visto), pero los caracteriza con una naturaleza subsidiaria o
• La preferencia de la Directiva por los canales internos es clara, siempre que existan garantías de que la denuncia se tratará de manera efectiva. Así, se anima “a los denunciantes a utilizar en primer lugar los canales de denuncia interna e informar a su empleador, si dichos canales están a su disposición y (si) puede esperarse razonablemente que funcionen”. La prioridad de los canales internos se supedita, por consiguiente, a que ofrezcan garantías. En caso contrario, los “canales externos” se convierten en la red que salvará el modelo y protegerá de verdad a los denunciantes.
• Por tanto, la premisa de disponer de un sistema que garantice la efectividad de tales denuncias es clara y contundente: “Las entidades jurídicas de los sectores privado y público deben establecer procedimientos internos adecuados para la recepción y el seguimiento de denuncias”. El énfasis de la Directiva por un modelo procedimental y no institucional, parece aquí obvio. Quizás se ha descuidado el diseño institucional, algo que deberá atender el legislador o la entidad correspondiente. Si se cree de verdad en este modelo. Las trampas en el solitario pueden ser numerosas.
• Pero lo más importante es que tales canales internos de denuncia deberían tener como función principal aportar valor institucional y generar infraestructuras éticas o cultura de integridad en la respectiva entidad pública. Desde el punto de vista preventivo, no puede funcionar un sistema de denuncias (buzón, registro, seguimiento, etc.) si previamente no se inserta en un sistema de integridad y se articula junto a unos valores y normas de conducta (códigos), aplicados por órganos de garantía dotados de autonomía funcional o, incluso, independencia orgánica (y este será el gran reto). Articular un “buzón ético de denuncias”, cuando no hay previamente definidos unos valores y normas de conducta, es una apuesta incompleta y centrada en la sanción. Se debe contribuir “a fomentar una cultura de buena comunicación y responsabilidad social empresarial en las organizaciones, en virtud de la cual se considere que los denunciantes contribuyen de manera significativa a la autocorrección y la excelencia dentro de la organización”. El papel positivo de la figura del denunciante debe enmarcarse, por tanto, en el reforzamiento de esa cultura de integridad, como una pieza más de la política de compliance o de integridad de la institución. Y, si no existe, hay que crearla. Este es el reto.
• Un ámbito típico del sector público (que no es ni mucho menos el único) donde se debe proyectar un sistema de canales internos de denuncia es en la contratación pública, a efectos, tal como reconoce la Directiva, de que se respeten las normas de contratación pública y se eviten afectaciones a la integridad, transparencia, igualdad de trato o prácticas colusorias en materia de libre competencia. Pero esto requiere un tratamiento monográfico, que en otro momento se hará.
• Los procedimientos de denuncia interna, deben incluir una serie de exigencias (artículo 9), entre ellas destacan a aquellas que “sean establecidos y gestionados de una forma segura”, garantizando la confidencialidad de la identidad del denunciante, y que se impida el acceso a esa información o a esos datos por parte de “personal no autorizado”. Se requiere, además, la designación de un departamento o persona imparcial y competente para el ejercicio de tales funciones, lo que nos conduce derechamente a un estatuto singular de tal órgano o de tales personas (a imagen y semejanza de la figura del delegado de protección de datos; esperemos que con mejores resultados en cuanto a su autonomía funcional).
• Es, asimismo, muy importante la referencia que la Directiva lleva a cabo sobre la posibilidad de que los canales de denuncias sean gestionados, tras la autorización correspondiente, “por terceros”, una expresión que engloba muchas y diferentes realidades. Y puede representar algunos problemas añadidos. Tales “terceros” deben cumplir las exigencias establecidas para los órganos o personas que gestionen canales internos, pero a su vez se exige que “ofrezcan garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto”.
• Los canales internos de denuncia deben asimismo articularse sobre una serie de ejes:
  • Llevar a cabo un seguimiento de las denuncias que genere “confianza en la eficacia del sistema de protección del denunciante”.
  • Informar al denunciante en un plazo razonable, que no será superior a tres meses
  • Proveer de información clara y fácilmente accesible sobre los procedimientos de denuncia externa.
  • Se deben ofertar cursos y seminarios de formación sobre ética e integridad (algo infrecuente aún en buena parte de las entidades públicas).

A modo de conclusión

En consecuencia, la Directiva supone un paso adelante. Su enfoque central es, obviamente, de protección del denunciante, pero para que el sistema sea efectivo requiere no solo procedimientos y garantías, sino también establecer un modelo institucional de canal interno de denuncias que salvaguarde la independencia del órgano que asuma tales funciones, garantice la confidencialidad, la protección de datos y el secreto en sus actuaciones. La protección efectiva del denunciante requerirá que tales canales internos de denuncia se inserten adecuadamente y de modo efectivo en Sistemas de Integridad Institucional (o Programas de Compliance) de la respectiva entidad, así como que se articulen como sistemas de gestión dotados de independencia funcional y garanticen la acusada profesionalidad de quienes ejerzan tales tareas, con patrones morales y éticos estrictos.

En caso contrario, si falla la primera línea de defensa (canales internos), se abandonará (por inútil o no garantista) esa vía y proliferará el recurso a los canales externos ejercidos por las autoridades competentes (autoridades judiciales, organismos de regulación y supervisión, así como, en su caso, agencias de lucha contra la corrupción). Y, en ese caso, al menos cuando la cuestión está en manos de los tribunales o de los organismos de control, la batalla de la prevención se habrá perdido por completo, haciendo, así, girar el modelo hacia un sistema de sanción (administrativa o penal), en cuyo caso las consecuencias finales serán obvias: una vez adoptada la resolución correspondiente, la confianza de la ciudadanía en la institución ya se habrá roto. Por tanto, si el sector público quiere avanzar decididamente en la lucha por la integridad institucional no tiene otra salida que construir un sistema de denuncias internas dotado de esos principios y rasgos expuestos anteriormente. No hay otro camino. Lo demás es engañarse.