Canales de denuncia interna: diseño efectivo para detectar

Un canal de denuncia interna suele presentarse como una herramienta de cumplimiento: una línea telefónica, un correo electrónico, una plataforma digital o un buzón mediante el cual empleados y terceros pueden comunicar conductas irregulares. Esta descripción es correcta, pero incompleta. El verdadero problema no consiste en habilitar un medio para recibir información, sino en construir un sistema confiable para que información sensible pueda atravesar la estructura de poder sin ser detenida, manipulada o utilizada contra quien la proporciona. Una dirección de correo electrónico puede crearse en minutos; una arquitectura institucional capaz de generar confianza requiere políticas, responsables, independencia, protocolos y supervisión.

La diferencia adquiere relevancia porque algunas de las irregularidades más graves son conocidas primero por personas que ocupan posiciones relativamente bajas dentro de la organización. Quien procesa pagos puede detectar facturas inusuales; un empleado de compras puede advertir relaciones indebidas con proveedores; contabilidad puede encontrar registros inconsistentes; recursos humanos puede conocer conductas de hostigamiento; un distribuidor puede descubrir exigencias improcedentes de un ejecutivo. El consejo difícilmente tendrá acceso directo a esas señales si no existe una vía que permita escalarlas. El canal de denuncia funciona, por tanto, como un mecanismo de información del gobierno corporativo y no solamente como instrumento administrativo de recursos humanos o cumplimiento.

La legislación societaria no impone un modelo único de canal

La Ley General de Sociedades Mercantiles (LGSM) no establece, con carácter general para toda sociedad anónima, la obligación de contar con una línea ética o canal de denuncia bajo un formato específico. Pretender encontrar en la LGSM una exigencia universal de plataforma, anonimato o comité de ética significaría atribuirle obligaciones que no contiene. Su relevancia para este tema surge indirectamente del régimen de administración, vigilancia y responsabilidades societarias, dentro del cual la calidad de la información que llega a los órganos constituye un elemento indispensable para que puedan desempeñar adecuadamente sus funciones.

El artículo 164 de la LGSM dispone que la vigilancia de la sociedad anónima estará a cargo de uno o varios comisarios, mientras que el artículo 166 les atribuye facultades y obligaciones de vigilancia, incluyendo realizar un examen de las operaciones, documentación, registros y demás evidencias comprobatorias en el grado y extensión necesarios para efectuar la vigilancia encomendada. El canal de denuncia no sustituye al comisario ni constituye una derivación automática de estas disposiciones; puede, sin embargo, convertirse en una fuente relevante para identificar asuntos que posteriormente requieran investigación, vigilancia o conocimiento del órgano de administración.

La distinción es importante porque una empresa privada puede adoptar voluntariamente un sistema sofisticado aun cuando su tipo societario no le imponga un mecanismo específico. En ese caso debe presentarlo como parte de su arquitectura de control, ética y mejores prácticas, y no inventar un fundamento legal inexistente. El valor de una práctica corporativa no disminuye porque sea voluntaria; disminuye cuando se justifica mediante una obligación jurídica incorrecta.

El marco anticorrupción introduce una razón adicional para institucionalizar

La Ley General de Responsabilidades Administrativas (LGRA) adquiere particular importancia cuando se analiza la integridad de las personas morales. Su artículo 25 establece elementos que deben considerarse para determinar si una persona moral cuenta con una política de integridad. Entre ellos se encuentran un manual de organización y procedimientos claro; un código de conducta debidamente publicado y socializado; sistemas adecuados y eficaces de control, vigilancia y auditoría; sistemas adecuados de denuncia tanto al interior de la organización como hacia las autoridades competentes, además de procesos disciplinarios y consecuencias concretas respecto de quienes actúen de forma contraria a las normas internas o a la legislación.

Este fundamento debe utilizarse con precisión. La LGRA no convierte automáticamente cualquier defecto del canal interno de una sociedad en una infracción societaria autónoma. Lo que hace es incorporar los sistemas de denuncia dentro de los elementos de una política de integridad para los efectos previstos por el propio régimen. La relevancia práctica es considerable: la organización que afirma contar con una política de integridad no debería limitarse a exhibir un código de ética si carece de mecanismos razonables para detectar e investigar incumplimientos.

La relación entre gobierno corporativo e integridad aparece aquí con claridad. Un consejo puede aprobar políticas excelentes y recibir durante años reportes impecables de cumplimiento; pero si los empleados consideran inútil o peligroso denunciar, esa tranquilidad puede ser producto de ausencia de información y no de ausencia de problemas. El silencio organizacional es un dato ambiguo: puede significar integridad, miedo o falta absoluta de confianza en el sistema.

Confidencialidad y anonimato no son exactamente lo mismo

Uno de los primeros asuntos que debe resolver el diseño es si permitirá denuncias anónimas y cómo protegerá la confidencialidad de quienes decidan identificarse. Los conceptos no son equivalentes. En una denuncia anónima, el receptor desconoce —o está estructurado para no conocer— la identidad del informante. En una denuncia confidencial, determinadas personas pueden conocerla, pero existe un deber de restringir su divulgación a quienes realmente necesitan esa información.

El canal de denuncia no debe medirse por el número reducido de reportes que recibe, sino por la confianza que inspira para comunicar irregularidades y por la capacidad institucional para investigarlas correctamente.

Permitir anonimato puede reducir la barrera de entrada cuando existe temor a represalias, especialmente si la denuncia involucra superiores jerárquicos. También genera dificultades: puede impedir solicitar aclaraciones, valorar contexto o distinguir una denuncia genuina de una acusación maliciosa. La tecnología ha permitido mitigar parcialmente ese problema mediante buzones que conservan anonimato y posibilitan comunicación posterior con el denunciante.

La política debería explicar claramente qué puede prometer la organización. No conviene ofrecer una “confidencialidad absoluta” si una investigación, procedimiento laboral o requerimiento de autoridad puede exigir determinada revelación. Es preferible comprometerse a limitar el conocimiento de la identidad bajo criterios de necesidad y conforme al marco aplicable, evitando promesas imposibles de cumplir.

Sin protección contra represalias no existe un canal confiable

La principal razón por la que muchas personas no denuncian no es la falta de un teléfono. Es el temor a perder empleo, oportunidades, bonos, ascensos o relaciones laborales. Las represalias tampoco son siempre evidentes. Un despido inmediato después de una denuncia sería fácilmente identificable; resulta más difícil detectar exclusión de proyectos, evaluaciones injustificadamente negativas, cambios de funciones, aislamiento o bloqueo de desarrollo profesional.

La política necesita prohibir expresamente represalias contra quienes presenten de buena fe una preocupación o colaboren en una investigación. También debe establecer un mecanismo para reportar represalias posteriores. De lo contrario, la protección queda en una declaración aspiracional.

La buena fe merece una precisión adicional. No significa que toda denuncia deba resultar comprobada. Una persona puede comunicar razonablemente hechos que posteriormente no se acrediten. Eso es distinto de fabricar deliberadamente una acusación falsa. Castigar a quien denuncia porque la investigación no confirmó sus sospechas destruiría rápidamente la confianza del sistema. Las consecuencias deberían reservarse para conductas maliciosas demostrables, no para errores honestos de apreciación.

La independencia se prueba con el nombre del denunciado

El diseño de la ruta de escalamiento constituye probablemente la decisión más importante. Un canal administrado exclusivamente por recursos humanos puede funcionar adecuadamente para numerosos asuntos, pero presenta un problema si la denuncia involucra al propio director de recursos humanos. Lo mismo ocurre con cumplimiento, jurídico o auditoría interna. Ninguna función puede ser la única puerta de entrada cuando existe posibilidad de que su responsable sea objeto del reporte.

Por ello, el protocolo debe contener rutas alternativas. Una denuncia ordinaria puede asignarse al área competente; una que involucre a un directivo relevante, al director general, a un consejero o a quien administra el propio sistema necesita llegar a un órgano con suficiente independencia. Dependiendo de la estructura, puede ser el comité de auditoría, un comité de ética, el presidente del consejo o determinados consejeros independientes.

La regla debe establecerse antes de que aparezca el caso. Diseñar la ruta de escalamiento cuando la denuncia ya involucra a la persona más poderosa de la organización expone el procedimiento a presiones inevitables. El sistema es verdaderamente independiente cuando sabe de antemano qué hacer con una acusación dirigida contra quienes normalmente autorizan investigaciones.

Recibir no es investigar

Otro error consiste en confundir administración del canal con investigación. El proveedor tecnológico puede recibir reportes y clasificarlos, pero eso no significa que deba determinar responsabilidades. Recursos humanos puede coordinar determinados casos, pero una acusación financiera compleja quizá requiera auditoría forense. Jurídico puede participar para preservar derechos y analizar consecuencias, aunque no siempre será conveniente que controle cada aspecto del proceso.

La investigación debe asignarse según naturaleza, materialidad y personas involucradas. Fraude contable puede requerir perfiles financieros; hostigamiento, especialistas laborales; corrupción, experiencia en cumplimiento y revisión documental; ciberseguridad, capacidades técnicas específicas. En casos sensibles puede ser necesario contratar asesores externos para reforzar independencia y experiencia.

El protocolo debe establecer criterios mínimos: preservación de evidencia, entrevistas, revisión documental, confidencialidad, ausencia de conflictos del investigador, documentación de conclusiones y aprobación de medidas. No todas las investigaciones requieren idéntica formalidad, pero toda acusación relevante necesita un proceso que permita explicar posteriormente qué se revisó y por qué se alcanzó determinada conclusión.

El consejo no necesita conocer cada denuncia, pero sí las correctas

Enviar al consejo todos los reportes puede saturarlo e invadir asuntos operativos. Ocultarle completamente el sistema resulta igualmente problemático. Debe existir un criterio de materialidad y escalamiento. El órgano puede recibir información periódica agregada: número de denuncias, categorías, tiempos de investigación, asuntos comprobados, medidas disciplinarias, casos pendientes y tendencias.

Determinadas denuncias, sin embargo, deberían escalarse inmediatamente por su naturaleza y no por su monto. Las que involucren al director general, consejeros, fraude financiero material, corrupción significativa, represalias graves o conductas capaces de generar una crisis reputacional pueden justificar conocimiento oportuno del órgano correspondiente. Una denuncia aparentemente pequeña también puede revelar una debilidad sistémica si se repite en distintas áreas.

El consejo debe prestar atención a los patrones. Diez denuncias sobre una misma unidad pueden ser más relevantes que un solo caso económicamente superior. Un incremento abrupto después de una adquisición puede revelar problemas de integración cultural; la ausencia completa de denuncias en una organización de miles de personas puede justificar preguntar si el canal realmente es conocido y confiable.

El CPMPGC 2025 coloca la denuncia dentro del sistema de control

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (CPMPGC), edición 2025, del Consejo Coordinador Empresarial (CCE) incorpora la integridad, los mecanismos de denuncia, el control, la gestión de riesgos y la supervisión dentro de una concepción más amplia del gobierno corporativo. En particular, la edición 2025 refuerza materias de ética, cumplimiento, riesgos y responsabilidad del consejo, proporcionando una referencia para organizaciones que buscan desarrollar estructuras de prevención y detección más allá del mínimo legal.

La denuncia que compromete a un alto directivo no puede recorrer exactamente la misma cadena jerárquica que ese directivo controla; la independencia del sistema se demuestra cuando la acusación alcanza a quienes tienen mayor poder.

El Código debe identificarse como mejor práctica cuando sus recomendaciones no correspondan a una obligación jurídica específica. Su utilidad consiste en mostrar que el canal de denuncia no debería operar aislado del consejo, de los órganos intermedios, del control interno y de los procesos de cumplimiento. Una denuncia relevante puede ser simultáneamente un asunto ético, un indicador de riesgo, una falla de control y una posible contingencia jurídica.

La supervisión debe, por tanto, cerrar el circuito. Si varias denuncias revelan el mismo problema de autorizaciones, no basta sancionar individualmente a quienes participaron: debe corregirse el control. Si aparecen reiteradamente quejas sobre un mismo directivo, el consejo debe preguntarse si existe un problema de liderazgo. La denuncia es información; el gobierno corporativo comienza cuando esa información modifica decisiones, controles o conductas.

Protección de datos y manejo del expediente

Un sistema de denuncias inevitablemente trata información personal, y con frecuencia información especialmente delicada: nombres, acusaciones, relaciones laborales, comunicaciones, evidencia y conclusiones sobre conductas. Por ello debe considerarse también la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su marco aplicable cuando la sociedad sea responsable del tratamiento.

La organización necesita definir finalidades, medidas de seguridad, acceso, conservación y transferencias de información conforme corresponda. El expediente no debería circular indiscriminadamente por correo electrónico ni almacenarse en carpetas accesibles para personas ajenas a la investigación. Tampoco resulta prudente conservar indefinidamente toda información sin analizar los plazos y finalidades aplicables.

Esta dimensión suele recibir poca atención porque el foco se encuentra en investigar. Sin embargo, un sistema diseñado para detectar incumplimientos no debería producir, por su propia operación, un manejo negligente de información personal. Jurídico, cumplimiento, recursos humanos y seguridad de información necesitan coordinarse desde el diseño y no únicamente después de un incidente.

El proveedor externo no resuelve por sí mismo la independencia

Contratar una plataforma externa puede aportar disponibilidad permanente, anonimato, trazabilidad y confianza. Pero la tercerización de la recepción no significa tercerizar la responsabilidad del sistema. La empresa sigue necesitando decidir quién recibe cada caso, quién investiga, quién supervisa, qué plazos existen y cuándo se escala.

También debe evaluarse al proveedor: seguridad de información, mecanismos de acceso, continuidad, confidencialidad, capacidad de atención y claridad de reportes. Una plataforma tecnológicamente sofisticada conectada a un proceso interno deficiente simplemente entrega las denuncias con mayor eficiencia a una organización que no sabe qué hacer con ellas.

Por ello, antes de seleccionar tecnología conviene diseñar el flujo. ¿Quién recibe una denuncia de fraude? ¿Quién recibe una contra cumplimiento? ¿Qué sucede si involucra al director general? ¿Quién puede cerrar el expediente? ¿Quién revisa que las investigaciones no lleven seis meses detenidas? Sólo después tiene sentido determinar qué herramienta facilita mejor esas decisiones.

La comunicación del canal debe ser permanente

Un canal desconocido es funcionalmente inexistente. La política debe comunicarse durante inducción, capacitación y actualizaciones periódicas, pero también puede ser accesible a proveedores, clientes u otros terceros cuando la naturaleza de la empresa lo justifique. Contratos, portales o códigos de conducta para proveedores pueden señalar mecanismos disponibles.

La comunicación debe ser sencilla. Los empleados necesitan saber qué asuntos pueden reportar, cómo hacerlo, si existe anonimato, qué sucede después y cómo se protege frente a represalias. Un documento de veinte páginas redactado exclusivamente en lenguaje jurídico puede cumplir formalmente una política y fracasar completamente como herramienta de comunicación.

También conviene informar que el canal no sustituye todos los mecanismos normales de gestión. Muchos problemas pueden resolverse con un superior o recursos humanos; el canal ofrece una alternativa especialmente importante cuando esas vías no son adecuadas o cuando la persona no se siente segura utilizándolas.

Los indicadores deben medir confianza y respuesta, no perseguir cero denuncias

Un objetivo de “cero denuncias” genera incentivos equivocados. La organización puede alcanzarlo simplemente desalentando reportes. Tampoco debe premiarse indiscriminadamente un mayor número, porque el volumen depende de tamaño, actividad y cultura. Los indicadores deben enfocarse en funcionamiento.

Tiempo de recepción a asignación, duración de investigaciones, porcentaje de asuntos pendientes, reincidencias, represalias reportadas, categorías, origen y acciones correctivas pueden proporcionar una visión más útil. También puede medirse conocimiento del canal mediante encuestas y capacitación.

El consejo debe interpretar estos datos con cautela. Un aumento de denuncias después de una campaña de comunicación puede ser señal positiva de confianza y no deterioro ético. Del mismo modo, una reducción abrupta puede reflejar mejoras o pérdida de credibilidad. Los números necesitan contexto; el gobierno no debe convertir el canal en una competencia por producir indicadores visualmente favorables.

La investigación debe terminar en una consecuencia institucional

Cerrar un expediente no debería significar únicamente marcarlo como “fundado” o “no fundado”. Cuando se acredita una conducta, debe determinarse la consecuencia correspondiente bajo las políticas y el marco laboral o contractual aplicable. Pero además conviene identificar la causa que permitió que ocurriera.

Si hubo pagos indebidos, ¿fallaron autorizaciones? Si existió fraude de compras, ¿había concentración de funciones? Si un directivo pudo hostigar durante años, ¿qué señales fueron ignoradas? Si se manipuló información financiera, ¿qué control no funcionó? Esta revisión transforma la denuncia en aprendizaje.

El artículo 25 de la LGRA es particularmente ilustrativo al vincular sistemas de denuncia con procesos disciplinarios y consecuencias concretas dentro de los elementos de una política de integridad. Un sistema que investiga correctamente pero nunca produce consecuencias creíbles terminará perdiendo legitimidad.

El verdadero examen ocurre cuando la denuncia apunta hacia arriba

Cualquier organización puede operar razonablemente un canal cuando la denuncia involucra a un empleado sin poder. La prueba comienza cuando señala al mejor vendedor, a un miembro de la familia controladora, al director general o a un consejero. En ese momento aparecen presiones económicas, personales y reputacionales que pueden modificar el proceso.

Por eso las reglas deben existir con anticipación. La independencia no puede improvisarse. Debe quedar establecido quién recibe el caso, quién autoriza una investigación externa, quién puede acceder a información y quién decide las consecuencias. Cuando el sistema depende de obtener permiso precisamente de la persona denunciada, el canal existe sólo mientras las acusaciones permanezcan en los niveles inferiores.

Un canal de denuncia eficaz no es aquel que promete que nunca ocurrirá una irregularidad. Es aquel que permite que la organización conozca una señal suficientemente temprano para investigarla sin importar la jerarquía de la persona involucrada. Su mayor contribución al gobierno corporativo consiste en reducir una de las asimetrías más peligrosas para cualquier consejo: creer que conoce la organización porque conoce aquello que la administración decidió reportarle.

La institución que escucha únicamente por conductos jerárquicos termina escuchando aquello que la jerarquía permite. El canal rompe esa dependencia, pero sólo cuando existe confianza, confidencialidad, protección contra represalias, investigación competente y acceso real a los órganos capaces de actuar. Recibir la denuncia es apenas el principio; gobernarla significa convertir una voz que podría haber permanecido silenciosa en información verificable, una decisión responsable y, cuando corresponda, una corrección institucional.