13 Procedimientos de alerta interna

Las entidades deberían establecer y mantener políticas y procedimientos de alerta interna adecuados para que el personal informe, a través de un canal específico, independiente y autónomo, sobre infracciones potenciales o reales de requisitos regulatorios o internos, incluidos, entre otros, los del Reglamento (UE) n.º 575/2013 y las disposiciones nacionales que transponen la Directiva 2013/36/UE, o de los sistemas de gobierno interno. No debería ser necesario que el personal que informe disponga de pruebas de una infracción, aunque debería tener un nivel de certeza que proporcione razones suficientes para iniciar una investigación. Las entidades deberían implementar asimismo sistemas y procedimientos adecuados que aseguren el cumplimiento de sus obligaciones derivadas de la transposición a la legislación nacional de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

Con el fin de evitar conflictos de interés, debería brindarse al personal la posibilidad de denunciar infracciones sin seguir los canales de comunicación ordinarios (p. ej., a través de la función de cumplimiento o de auditoría interna, o mediante un procedimiento de denuncia interno independiente). Los procedimientos de alerta deberían garantizar la protección de los datos personales, tanto de la persona que denuncie la infracción como de la persona física presuntamente responsable de la infracción, de conformidad con el Reglamento (UE) 2016/679³⁶ (RGPD).

³⁶ Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Los procedimientos de alerta deberían ponerse a disposición de todo el personal de la entidad.

La información proporcionada por el personal mediante los procedimientos de alerta debería ponerse a disposición, si corresponde, del órgano de dirección y de otras funciones responsables establecidas en la política de alerta interna. Cuando el empleado que denuncie una infracción lo solicite, se debería facilitar la información al órgano de dirección y a otras funciones responsables de forma anónima. Las entidades también podrán establecer un procedimiento de comunicación de infracciones que permita que la información se presente de forma anónima.

Las entidades deberían velar por que la persona que denuncie la infracción esté debidamente protegida de cualquier efecto negativo, como represalias, discriminación u otros tipos de trato injusto. La entidad debería asegurarse de que ninguna persona bajo control de la entidad victimice a una persona que haya denunciado una infracción y tomar las medidas apropiadas contra los responsables de dicha victimización.

Las entidades también deberían proteger a las personas a quienes se haya denunciado de cualquier efecto negativo en caso de que en la investigación no se encuentren pruebas que justifiquen la adopción de medidas contra ellas. Si se toman medidas, la entidad debería adoptarlas con el objetivo de proteger a la persona afectada de efectos negativos no deseados que vayan más allá del objetivo de la medida adoptada.

En particular, los procedimientos de alerta interna deberían:

• a. estar documentados (p. ej., manuales para el personal);
• b. establecer normas claras que garanticen que la información sobre los denunciantes y los denunciados y la infracción se traten de forma confidencial, de conformidad con el Reglamento (UE) 2016/679, a menos que se exija su divulgación en virtud de la legislación nacional en el contexto de nuevas investigaciones o procedimientos judiciales posteriores;
• c. proteger al personal que eleva su preocupación de ser victimizado por haber revelado infracciones susceptibles de ser comunicadas;
• d. asegurarse de que las infracciones potenciales o reales denunciadas se analizan y se elevan, incluyendo, según sea el caso, a la autoridad competente o a las fuerzas y cuerpos de seguridad;
• e. en la medida de lo posible, asegurar que el personal que haya denunciado infracciones potenciales o reales reciba una confirmación de que la información ha sido recibida;
• f. garantizar el seguimiento del resultado de una investigación sobre una infracción denunciada, y
• g. asegurar que se llevan los registros apropiados.