La nueva Ley aprobada 2/2023, de 20 de febrero, de protección de los alertadores contra la corrupción y demás infracciones muy graves y graves, tanto penales como administrativas, demuestra que se ha pasado del voluntarismo a la obligatoriedad en el análisis del cumplimiento normativo. Esto supone una muestra evidente de que la exigencia de contar con sistemas internos de información a modo de canales de denuncia anónima se introduce como una necesidad, tanto en empresas como en la Administración Pública. Además, se hace constar que la omisión de su implementación llevará consigo la imposición de sanciones elevadas de hasta un millón de euros.
En consecuencia, vemos que ya no se trata de que se transmita a empresas, organizaciones y Administración el convencimiento de que la mejora en la protección interna, tanto de la empresa como de la Administración pública, es una mejora también en la prestación del servicio que se da a los ciudadanos por medio del auto control interno de la misma, sino que no hay opción posible de negarse a aceptar que es lo mejor para las empresas, las organizaciones y la Administración Pública. No se trata ya de una opción, sino de una obligación.
El enfoque de los denominados «sistemas internos de información» viene a constituir, en esencia, lo que se ha denominado por el Tribunal Supremo el compliance ad intra, dirigido a evitar el fraude interno y a extremar la vigilancia de directivos y empleados en la empresa y de quienes trabajan en la Administración Pública. Y es que la medida va dirigida a aquellas personas que quieran formular denuncias con respecto a los hechos que se fijan en la Ley en su ámbito de aplicación, en el art. 2, lo que evidencia que la implantación de estos temas supone una necesidad, una obligación y una exigencia para tenerlo instalado antes del 20 de junio del presente año, o del 1 de diciembre según se trate.
Se explica en la Exposición de Motivos, como fundamento de salida, la necesaria «colaboración ciudadana» en la persecución de los hechos que recoge la nueva normativa. Y ello, por la sencilla razón de que es más sencillo para detectar el fraude el posicionamiento ad intra de quienes están dentro de la organización que hacerlo desde fuera, o por una investigación que solo partiría por una denuncia formal con identificación del denunciante cuando éste fuera un perjudicado por la actuación del autor de la infracción.
No se trata, pues, de que existan perjudicados por estos hechos, sino de que los «alertadores» ad intra están mejor posicionados para conocer las infracciones que se cometan por sus autores. Pero es que, a su vez, estos canales de denuncias internos potencian la idea de la prevención ante la infracción al tener conocimiento el posible infractor de que se ha extremado la «vigilancia» ad intra, al punto de que cualquier compañero/a de trabajo puede ser un denunciante con estos sistemas de auto control, lo que introduce un mecanismo preventivo de primera magnitud a la hora de evitar la infracción.
Se recoge en el art. 2.1 b) que el ámbito de aplicación lo es a las «acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. En todo caso, se entenderán comprendidas todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social.»
La cuestión es que la propia Exposición de Motivos apunta el carácter limitado «a las infracciones penales y a las administrativas graves o muy graves para permitir que tanto los canales internos de información como los externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad.» (art. 2)
Quizás deberían haberse incluido también las infracciones menos graves, ya que si el concepto de «infracción» se refiere al de «delitos» existirán delitos castigados con penas de hasta cinco años de prisión que no serán objeto de este canal de denuncias.
El objetivo de estos canales no debería ser solo la «gran delincuencia», sino la delincuencia en sí misma, a fin de darles la debida operatividad.
La utilización del término «infracción» para referirse a la penal y, asociado a ello, la calificación de grave y muy grave, plantea dudas acerca de los hechos a que se refiere con esta selección y exclusión de las que no entren en este concepto que es ajeno al ámbito del Derecho penal y, quizás, más propio del ámbito administrativo.
Se potencia en el art. 6 la figura del «tercero externo» para poner en marcha estos «canales de denuncias», o «sistemas internos de información», lo que va a suponer una evidente oferta de trabajo para los expertos en cumplimiento normativo, a los que se van a recabar sus servicios para poner en marcha, como externos, muchos de estos sistemas en empresas obligadas a ello que prefieran externalizar este servicio. De suyo, el art. 6 de la Ley señala que «La gestión del Sistema interno de información se podrá llevar a cabo dentro de la propia entidad u organismo o acudiendo a un tercero externo, en los términos previstos en esta ley. A estos efectos, se considera gestión del Sistema la recepción de informaciones. 2. La gestión del sistema por un tercero externo exigirá en todo caso que este ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto de las comunicaciones»
Esta viabilidad del «tercero externo» en la puesta en marcha de estos sistemas internos de información se llevará a cabo respetando los principios antes señalados, pero resulta evidente que entre los sujetos obligados de los arts. 10 y 11 del texto legal referidos a las entidades obligadas en el sector privado y público podrían optar por el «tercero externo»
El ámbito de esta importante figura se amplía en el art. 15 al referir que la «gestión del Sistema interno de información por un tercero externo en el ámbito de la Administración General del Estado, las Administraciones autonómicas y ciudades con Estatuto de Autonomía y las Entidades que integran la Administración Local solo podrá acordarse en aquellos casos en que se acredite insuficiencia de medios propios».
Pero, sea como fuere, la realidad es que esta figura externa del tercero da fuerza y entidad a todos aquellos profesionales que han trabajado desde hace muchos años en el mundo del cumplimiento normativo, y que están absolutamente especializados en la materia de la que trata la Ley 2/2023, de 20 de febrero (LA LEY 1840/2023), habida cuenta de que han seguido cursos de formación especializada o están suscritos a revistas del mundo del cumplimiento normativo como esta de Compliance penal.
Cierto y verdad es que en este punto deberíamos volver a la exigencia del Registro de expertos en compliance, porque si ya una Ley como la 2/2023, de 20 de febrero, crea figuras de «terceros expertos» para poner en marcha sistemas internos de información, ello debe venir acompañado de una específica cualificación y formación acreditada que solo quedaría objetivada por la inscripción de los expertos en el citado Registro, el cual venimos demandando, desde hace años, que se constituya e implante en el Ministerio de Justicia al modo y manera del Registro de mediadores, por ejemplo.
No olvidemos que si estamos validando en una Ley, en sus arts. 6 y 15, que terceros expertos sean quienes gestionen estos canales de denuncias, debemos recordar que ello exige una adecuada formación por afectar esta norma a multitud de aspectos relacionados, entre otros, con la protección de datos, o pureza procedimental a la hora de recibir una denuncia anónima y tramitarla debidamente, porque afectará a alguien a quien se denuncia por unos hechos que el denunciante anónimo entiende que revisten el carácter de infracciones penales o administrativas graves o muy graves.
De esta manera, la objetivación de quién puede ser «tercero externo» debe llevarse a cabo mediante la creación del Registro de expertos donde se deberían inscribir quienes reunieran los requisitos establecidos en el Real Decreto que cree y regule el mismo, a fin de que se pueda acudir al mismo por entidades del sector privado y público para designar al «tercero externo» que lleve a cabo la gestión del sistema interno de información.
Otro tema de interés que surge en cuanto a la Ley 2/2023, de 20 de febrero (LA LEY 1840/2023), es que en el art. 20.3 se fija que «El plazo para finalizar las actuaciones y dar respuesta al informante, en su caso, no podrá ser superior a tres meses desde la entrada en registro de la información.» Es decir, que la investigación ante una denuncia que puede ser anónima frente a una determinada persona puede extenderse hasta tres meses, y, además, a ello se añade que en el art. 20.2 b) consta la vía de terminación del expediente por «remisión al Ministerio Fiscal si, pese a no apreciar inicialmente indicios de que los hechos pudieran revestir el carácter de delito, así resultase del curso de la instrucción. Si el delito afectase a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea».
En este sentido, nos encontramos con que hechos que puedan ser delictivos se estarán tramitando en un sistema interno de información con el trámite previsto en esta Ley y que, luego, puede dar lugar al archivo por remisión al Ministerio Fiscal que podría incoar diligencias de investigación que analiza con detalle la Circular 2/2022, de 20 de diciembre, de la Fiscalía General del Estado, sobre la actividad extraprocesal del Ministerio Fiscal en el ámbito de la investigación penal, donde expresamente consta que estas diligencias de investigación pre-procesal no interrumpen la prescripción del delito, ni tampoco lo hace, obviamente, la tramitación del sistema interno de información ante el traslado de una denuncia anónima, por lo que sería importante una agilización notable del trámite, porque a tenor del art. 132.2 CP (LA LEY 3996/1995) solo la vía judicial de incoación de diligencias frente a una determinada persona provoca la interrupción de la prescripción, de manera que mientras que la investigación se lleva a cabo en este canal interno de denuncias, o el Ministerio Fiscal, el tiempo sigue corriendo en materia de prescripción del delito.
En cualquier caso, el análisis y proyección de estas nuevas normas que supone aplicar el Derecho de la UE debe tener respaldo y valoración positiva por desarrollar y trasladar a nuestro ordenamiento jurídico la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (LA LEY 17913/2019).