RESUMEN:
La Ley 2/2023 constituye el primer marco normativo español que incide de forma directa en la gestión de las investigaciones internas, aunque sin llegar a regularlas de manera completa. El presente trabajo analiza algunos de los principales problemas prácticos que plantea su aplicación, entre ellos la delimitación de su aplicabilidad, la interpretación de los plazos de investigación, la gestión de los conflictos de interés, la protección de la identidad del informante y la posición jurídica de éste durante la investigación. La norma dista de ofrecer una regulación completa de esta materia, por lo que la interpretación de sus disposiciones continuará dependiendo, en buena medida, de su integración con el resto del ordenamiento jurídico y con los criterios que progresivamente vayan consolidándose en la doctrina, en la práctica forense y, sobre todo, en la jurisprudencia.
Palabras clave:
investigaciones internas; Ley 2/2023; responsabilidad penal de las personas jurídicas; compliance penal; Sistemas Internos de Información; protección del informante; garantías procedimentales; conflictos de interés; derecho de defensa.
ABSTRACT:
Law 2/2023 represents the first Spanish legislative framework to expressly address the conduct of internal investigations. However, it does not provide a comprehensive regulation of this field. This article explores some of the main practical challenges arising from its implementation, including the definition of its scope of application, the interpretation of investigation deadlines, the management of conflicts of interest, the protection of whistleblowers’ identities, and the determination of their procedural status throughout the investigative process. Despite these advances, the Act remains far from establishing a complete regulatory regime for internal investigations. Consequently, the interpretation and application of its provisions will continue to depend largely on their integration within the broader legal framework, as well as on the guidance that will progressively emerge from legal scholarship, investigative practice, and, above all, judicial decisions.
Keywords:
internal investigations, Law 2/2023, corporate compliance, internal reporting systems, whistleblower protection, conflicts of interest.
1. INTRODUCCIÓN
La incorporación al ordenamiento jurídico español de la responsabilidad penal de las personas jurídicas mediante la Ley Orgánica 5/2010 de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, supuso un cambio de paradigma en la concepción tradicional del Derecho penal. Por primera vez, las personas jurídicas podían responder penalmente por determinados delitos cometidos en su seno, abriendo paso a un nuevo modelo de prevención y control basado en la capacidad de las organizaciones para detectar, evitar y reaccionar frente a conductas ilícitas desarrolladas en su estructura. En concreto, la regulación primigenia preveía en el apartado 4 d) del artículo 31 bis del Código penal la posibilidad de atenuar la responsabilidad penal de las personas jurídicas en aquellos casos en que se hubieran establecido, antes del comienzo del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica.
Este primer hito normativo fue posteriormente reforzado por la reforma operada en el Código penal por la Ley Orgánica 1/2015, de 30 de marzo, que, por una parte, introdujo una regulación más depurada de los modelos de organización y gestión a los que se refiere el artículo 31 bis del Código Penal; y, por otra, otorgó a dichos modelos la capacidad de excluir la responsabilidad penal de la persona jurídica. A partir de ese momento, el denominado compliance penal dejó de configurarse únicamente como una buena práctica empresarial para convertirse en un elemento central de la estrategia de prevención del delito y, en determinados supuestos, en una circunstancia capaz no sólo de atenuar sino de excluir la responsabilidad penal de la persona jurídica. La detección de irregularidades, la investigación de los incumplimientos y la adopción de medidas correctoras pasaron así a ocupar una posición esencial en la valoración de la eficacia de los programas de cumplimiento.
Sin embargo, pese a la relevancia práctica que las investigaciones internas adquirieron desde ese momento, lo cierto es que el legislador español proporcionó escasas pautas sobre cómo debían desarrollarse. Durante años, las organizaciones, los profesionales del compliance y los investigadores externos nos hemos visto obligados a construir nuestros propios criterios de actuación a partir de una combinación de principios procedentes del derecho laboral, la protección de datos, la experiencia comparada y, muy particularmente, de los principios que imperan en la instrucción de los procedimientos penales. Conceptos como el acceso y análisis a dispositivos y recursos corporativos, la preservación y gestión de evidencias, las entrevistas de investigación o las garantías de las personas afectadas fueron incorporándose progresivamente a la práctica sin que existiera una regulación específica que ordenase de manera sistemática esta actividad.
La aprobación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (la “Ley 2/2023” o la “Ley”), que transpone la Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (la “Directiva”), constituye probablemente el último gran hito en esta evolución normativa. Si bien la finalidad inmediata de la norma radica en la protección de los informantes y en la configuración de los canales de información, su contenido trasciende ese ámbito al establecer garantías y pautas procedimentales relevantes para la tramitación de denuncias. De este modo, la Ley 2/2023 representa el primer acercamiento del legislador español a una materia que, hasta fechas recientes, había permanecido huérfana de regulación específica.
No obstante, la aportación de la Ley 2/2023 es tan relevante como problemática. La norma proporciona algunas pautas útiles para ordenar determinadas fases de la investigación interna, introduce obligaciones procedimentales hasta ahora inexistentes y reconoce derechos tanto al informante como a la persona afectada. Empero, al mismo tiempo plantea numerosos interrogantes interpretativos y deja sin resolver cuestiones esenciales para quienes nos enfrentamos a la tramitación de estas investigaciones en el día a día. La determinación de su aplicabilidad, la gestión de los plazos de investigación, las situaciones de conflicto de interés, el alcance de los derechos de las personas implicadas o la relación entre confidencialidad y derecho de defensa son sólo algunos de los problemas que hemos tenido que afrontar desde su entrada en vigor.
El objetivo del presente trabajo, por tanto, no es realizar un estudio exhaustivo de la Ley 2/2023, sino examinar algunos de los problemas que con mayor frecuencia surgen en la dirección y supervisión de investigaciones internas y para los que la regulación vigente ofrece respuestas incompletas, ambiguas o, en ocasiones, inexistentes —y respecto de los que la jurisprudencia aún no se ha pronunciado—. Si bien no son necesariamente los más complejos desde una perspectiva dogmática, ni aquellos que han recibido una mayor atención doctrinal, responden en gran medida a interrogantes surgidos de la práctica cotidiana de las investigaciones internas y de la aplicación diaria de la Ley 2/2023, respecto de los cuales las organizaciones, los responsables de cumplimiento y los investigadores nos vemos con frecuencia obligados a adoptar decisiones sin contar con criterios normativos claros o soluciones suficientemente consolidadas.
2. APLICABILIDAD DE LA LEY 2/2023 A LAS INVESTIGACIONES INTERNAS
La primera dificultad práctica que plantea la Ley 2/2023 en relación con las investigaciones internas consiste en determinar su aplicabilidad, cuestión que se manifiesta en dos planos diferentes.
En primer lugar, aunque ab initio parece que la norma resulta aplicable a toda investigación interna relacionada con posibles incumplimientos normativos, la práctica revela que dicha conclusión no puede alcanzarse de forma automática. Por el contrario, una de las primeras cuestiones a las que deben enfrentarse quienes dirigen o supervisan una investigación interna consiste, precisamente, en determinar si ésta se encuentra realmente sometida al régimen previsto en la Ley 2/2023. En efecto, una parte significativa de las investigaciones internas no trae causa de una comunicación recibida a través del Sistema Interno de Información, sino de otras fuentes de conocimiento de la organización, tales como auditorías internas, reportes financieros, o comunicaciones informales. Surge así la duda de si las garantías, obligaciones y procedimientos previstos en la Ley 2/2023 resultan igualmente aplicables a investigaciones que nacen al margen de los cauces expresamente contemplados por la norma.
En segundo lugar, la propia configuración normativa de la Ley plantea un interrogante adicional. Mientras que ésta contiene una regulación relativamente detallada del procedimiento aplicable a las comunicaciones tramitadas por la Autoridad Independiente de Protección del Informante, las previsiones relativas a la gestión e investigación de las comunicaciones recibidas a través del SII son considerablemente más escuetas. Esta asimetría regulatoria suscita la cuestión de si determinadas garantías y reglas procedimentales previstas para las actuaciones de la AIPI pueden, o incluso deben, proyectarse sobre las investigaciones internas tramitadas en el ámbito de las organizaciones.
A examinar ambas cuestiones se dedican los epígrafes que siguen.
2.1. Aplicabilidad ad intra
La Ley 2/2023 establece en su artículo 4.1 que los sujetos obligados deberán disponer de un Sistema Interno de Información. El SII, que constituye el cauce preferente para informar sobre las infracciones a que se refiere el artículo 2 de la Ley, ha de integrar, a su vez, el canal interno de información. A través de los canales internos —o canales de denuncias—, se posibilita la presentación de comunicaciones referidas a tales infracciones. Junto a este cauce, el artículo 16 de la Ley reconoce la posibilidad de que toda persona comunique a la AIPI la comisión de cualesquiera de las infracciones referidas, reporte que podrá hacerse bien directamente, bien previa comunicación a través del canal interno, evidenciando la naturaleza complementaria de ambos canales. A este canal externo se refiere también el artículo 7.2 de la Ley, cuando establece que a quienes hayan realizado una comunicación a través del canal interno se les informará sobre los canales externos de información.
En relación con ambos canales, la Ley 2/2023 contiene una regulación considerablemente más detallada del procedimiento aplicable a las comunicaciones tramitadas por la AIPI que de las investigaciones derivadas de comunicaciones recibidas a través del SII. Mientras que los artículos 17 a 24 de la Ley establecen con precisión las fases del procedimiento ante la AIPI, las causas de inadmisión, las facultades instructoras, el contenido del informe final y las posibles formas de terminación, el artículo 9 se limita a establecer un conjunto de garantías y obligaciones mínimas para la gestión interna de las comunicaciones.
Esta diferencia de tratamiento plantea la cuestión práctica que ya ha quedado apuntada, esto es, determinar si las previsiones establecidas para la actuación de la AIPI pueden utilizarse como criterio interpretativo para integrar las lagunas que presenta la regulación de las investigaciones internas.
El problema se manifiesta especialmente en relación con cuestiones tales como la posibilidad de inadmitir comunicaciones, el contenido mínimo de las conclusiones de la investigación o las distintas formas de terminación del procedimiento. Se trata de materias expresamente reguladas para la AIPI, pero respecto de las cuales la Ley guarda silencio o se expresa de forma mucho más escueta cuando la investigación es desarrollada por la propia organización.
En este contexto, hemos de plantearnos una eventual aplicación analógica de los artículos 17 a 24 de la Ley 2/2023 a las investigaciones internas iniciadas como consecuencia de una comunicación ante el SII. Sin embargo, esta solución presenta algunas dificultades. La analogía presupone la existencia de una identidad de razón suficiente entre el supuesto regulado y el no regulado, circunstancia que no concurre plenamente en este caso. El procedimiento seguido ante la AIPI constituye una actividad administrativa desarrollada por una autoridad pública independiente en ejercicio de potestades legalmente atribuidas, mientras que la investigación interna responde al ejercicio por una organización de sus facultades de control, supervisión y cumplimiento normativo. La distinta naturaleza jurídica de ambos mecanismos no avala la traslación automática al segundo de todas las previsiones diseñadas para el primero.
Ahora bien, lo anterior no implica ignorar el valor hermenéutico de dichos preceptos. Más bien al contrario, la propia sistemática de la Ley permite afirmar que los artículos 17 a 24 contienen una serie de principios procedimentales que reflejan el modelo de investigación considerado adecuado por el legislador para la gestión de las informaciones comprendidas en su ámbito de aplicación. En consecuencia, aun cuando tales disposiciones no resulten directamente aplicables a las investigaciones internas derivadas del canal interno, sí pueden desempeñar una relevante función integradora en aquellos aspectos en los que el legislador no ha proporcionado una regulación específica.
Así sucede, por ejemplo, con las causas de inadmisión de las comunicaciones. Aunque la Ley no establece expresamente que las entidades privadas puedan inadmitir denuncias por los mismos motivos previstos para la AIPI, difícilmente puede sostenerse que una organización esté obligada a investigar comunicaciones manifiestamente infundadas, carentes de contenido, referidas a hechos ajenos al ámbito material de la norma o que reproduzcan denuncias previamente investigadas sin aportar elementos nuevos. Del mismo modo, las previsiones relativas al contenido de las conclusiones de la investigación o a las distintas modalidades de terminación del procedimiento constituyen referencias particularmente útiles para la elaboración de protocolos internos dotados de un estándar mínimo de racionalidad, coherencia y seguridad jurídica.
Una lógica semejante puede proyectarse sobre el estatuto de la persona afectada. Aunque las investigaciones internas no constituyen procedimientos administrativos ni procedimientos sancionadores en sentido estricto, ello no significa que queden al margen de las exigencias derivadas del respeto de los derechos fundamentales. Antes al contrario, determinadas garantías reconocidas por la Ley encuentran su fundamento en principios cuya eficacia no desaparece por el mero hecho de que la investigación se desarrolle en el ámbito de una organización privada.
La propia sistemática de la Ley refuerza esta conclusión. Si bien algunas de estas garantías aparecen ya anticipadas en la regulación del SII contenida en el artículo 9 de la Ley, y se desarrollan posteriormente en el marco de las actuaciones ante la AIPI previstas en los artículos 17 a 24 de la Ley, el legislador ha optado por recogerlas de forma expresa y transversal en el artículo 39 de la Ley 2/2023. La ubicación de este precepto, en un título autónomo y con vocación de aplicarse tanto a las comunicaciones tramitadas a través de canales internos como a las gestionadas por la AIPI, evidencia la existencia de un núcleo común de protección de la persona afectada que trasciende las particularidades de cada cauce procedimental.
En este sentido, la presunción de inocencia, el derecho de defensa, el acceso al expediente en los términos legalmente previstos, la protección de la identidad y la garantía de confidencialidad no pueden entenderse como meras reglas procedimentales vinculadas a una determinada modalidad de tramitación. Se trata, más bien, de manifestaciones específicas de principios y derechos de inequívoca relevancia constitucional que deben informar cualquier investigación interna susceptible de incidir de manera significativa en la posición jurídica de la persona afectada.
Desde esta perspectiva, la asimetría regulatoria que caracteriza a la Ley 2/2023 no obsta a que las previsiones diseñadas para la AIPI puedan servir como referencia para la configuración y desarrollo de las investigaciones internas derivadas del SII. Antes al contrario, dicha asimetría pone de manifiesto la necesidad de que las entidades elaboren protocolos de investigación propios, tomando como referencia tres fuentes complementarias: las reglas expresamente previstas para el funcionamiento del SII, las garantías sustantivas que la Ley reconoce a los sujetos implicados en la comunicación y, en fin, aquellos principios procedimentales establecidos para la actuación de la AIPI que puedan proyectarse razonablemente sobre las investigaciones internas de las entidades privadas.
Así, las organizaciones deben contar con protocolos de investigación interna que articulen de forma coherente estos elementos y los conviertan en reglas de actuación claras y previsibles. La existencia de un marco procedimental propio no solo favorece la eficacia de las investigaciones y refuerza la seguridad jurídica de todos los implicados, sino que también evita el riesgo de recurrir de forma selectiva a las previsiones aplicables a la AIPI, invocándolas cuando amplían o refuerzan determinadas facultades investigadoras, pero prescindiendo de ellas cuando imponen garantías, límites o exigencias adicionales. Un protocolo bien diseñado permite superar esta aproximación fragmentaria y asegurar que las investigaciones se desarrollen conforme a criterios estables, consistentes y respetuosos con los derechos e intereses de todas las personas afectadas.
2.2. Aplicabilidad ad extra
Aunque con frecuencia se dé por supuesto, una de las primeras cuestiones que debería plantearse toda organización antes de iniciar una investigación interna consiste en determinar en qué medida resulta aplicable la Ley 2/2023 cuando los hechos objeto de investigación han llegado a su conocimiento por una vía distinta del SII.
La pregunta no es baladí. La práctica demuestra que una parte significativa de las investigaciones internas no tiene su origen en una comunicación formal cursada a través del canal interno, sino en mecanismos alternativos de detección de irregularidades. Así sucede, por ejemplo, cuando los hechos son descubiertos en el marco de una auditoría interna, a través de controles financieros o de cumplimiento normativo, mediante requerimientos formulados por autoridades administrativas o judiciales o incluso a raíz de informaciones publicadas en medios de comunicación.
En tales supuestos surge una duda recurrente: si la información que origina la investigación no ha sido comunicada a través de los cauces específicamente previstos en la Ley 2/2023, ¿debe la organización tramitar la investigación con arreglo a las disposiciones de dicha norma?
La cuestión exige distinguir entre dos planos que en ocasiones aparecen confundidos en la práctica. Por un lado, el deber de investigar los indicios de irregularidad de los que tenga conocimiento la organización. Por otro, la aplicabilidad del régimen jurídico diseñado por la Ley 2/2023 para la gestión de informaciones y la protección de los informantes.
En primer lugar, la obligación de la persona jurídica de investigar posibles irregularidades no se puede identificar con la existencia de una denuncia formulada a través del canal interno. Las investigaciones internas no nacen en nuestro ordenamiento con la Ley 2/2023. Con anterioridad a su promulgación ya constituían una herramienta esencial de los modelos de organización y gestión previstos en el artículo 31 bis del Código Penal, en la medida en que la detección, verificación y reacción frente a posibles incumplimientos forman parte inherente de cualquier sistema eficaz de compliance.
En consecuencia, la verdadera cuestión no es si los hechos deben ser investigados, pues la existencia de indicios razonables de una irregularidad obliga a la organización a reaccionar con independencia de cuál haya sido la vía por la que haya tenido conocimiento de los mismos. El problema reside, más bien, en determinar cuáles son las reglas que deben regir esa investigación cuando ésta no trae causa de una comunicación formal recibida a través del SII.
En mi opinión, la solución más adecuada consiste en que las organizaciones articulen un protocolo específico de investigaciones internas aplicable a toda investigación corporativa, con independencia de que su origen se encuentre en una comunicación recibida a través del SII, en una auditoría interna, en controles de cumplimiento, o en cualquier otra fuente legítima de conocimiento. Dicho protocolo debería incorporar, en cuanto a la gestión de la investigación, las exigencias mínimas previstas en el artículo 9 de la Ley 2/2023 y, en cuanto al estatuto de los intervinientes, las garantías y derechos que la norma reconoce tanto a la persona informante como a la persona afectada.
De este modo, se evita la coexistencia de distintos modelos investigadores dentro de una misma organización, sometidos a estándares de actuación y protección divergentes según el origen de la información o la naturaleza de la actuación investigadora. Además de generar inseguridad jurídica para los intervinientes, una solución de esta naturaleza podría comprometer la consistencia y la eficacia del propio sistema de cumplimiento.
Esta solución resulta, además, coherente con la interpretación defendida en el epígrafe anterior. El objetivo no es extender automáticamente la totalidad de las previsiones de la Ley 2/2023 a cualquier investigación interna, ni excluirlas por completo cuando los hechos hayan llegado a conocimiento de la organización por cauces distintos del SII. Lo verdaderamente relevante es que la entidad disponga de un marco investigador único, coherente y suficientemente garantista, que asegure la aplicación homogénea de los principios y derechos esenciales con independencia del origen de la información. Y ello no sólo por una cuestión de seguridad jurídica o de protección de derechos, sino de la propia credibilidad y eficacia del programa de cumplimiento: una organización difícilmente podrá sostener la idoneidad de su modelo de prevención si la investigación de las irregularidades queda sujeta a estándares distintos en función de cómo haya tenido conocimiento de los hechos.
3. LOS PLAZOS DE LA INVESTIGACIÓN INTERNA: ¿LÍMITE TEMPORAL REAL O GARANTÍA DE SEGUIMIENTO DE LA COMUNICACIÓN?
La regulación de los plazos constituye uno de los aspectos más problemáticos del régimen de investigaciones internas previsto en la Ley 2/2023. El artículo 9.2.d) de la Ley exige que el procedimiento de gestión de informaciones cuente con un plazo máximo para dar respuesta a las actuaciones de investigación que no podrá superar los tres meses desde la recepción de la comunicación, admitiendo únicamente una ampliación adicional de hasta tres meses en supuestos de especial complejidad.
Esta previsión plantea dos cuestiones estrechamente relacionadas. La primera consiste en determinar cómo debe gestionarse una investigación cuando, conforme a la que parece la interpretación más natural del precepto, se asume que dicho plazo constituye un auténtico límite temporal para su conclusión. La segunda, más radical, obliga a preguntarse si el legislador quiso realmente imponer un plazo máximo de investigación o si, por el contrario, el objetivo de la norma es garantizar que el informante reciba información sobre el tratamiento dado a su comunicación dentro de un plazo razonable.
3.1. El plazo de tres meses como plazo máximo de investigación
Una interpretación literal del artículo 9 de la Ley conduce a entender que ésta impone que la investigación interna quede sustancialmente concluida en el plazo de tres meses desde la recepción de la comunicación. Bajo esta lectura, las actuaciones dirigidas a comprobar los hechos denunciados, recabar evidencias, entrevistar a las personas relevantes y formular conclusiones deberían desarrollarse dentro de dicho período.
El problema de esta interpretación es que, como bien sabemos todos aquellos que llevamos a cabo investigaciones internas, resulta difícilmente conciliable con la realidad de éstas. Si bien determinadas denuncias pueden ser resueltas en pocas semanas, las investigaciones de una mínima complejidad suelen requerir actuaciones incompatibles con semejante límite temporal. La revisión de documentación extensa, el análisis de correos electrónicos, la recuperación de evidencias digitales, la realización de numerosas entrevistas o la intervención de expertos externos son circunstancias habituales en investigaciones sobre fraude, corrupción, conflictos de interés o irregularidades contables, entre otros.
Es cierto que el legislador admite una ampliación de hasta tres meses adicionales cuando concurran supuestos de especial complejidad, pero eso resulta claramente insuficiente y, de nuevo, incompatible con la realidad de las investigaciones internas. Además, la Ley no define qué debe entenderse por “especial complejidad”, ni establece criterios que permitan apreciar cuándo procede la ampliación. Esta ausencia de regulación obliga a efectuar una valoración casuística.
A mi juicio, debería entenderse que concurre especial complejidad, entre otros supuestos, cuando (i) la investigación afecta a una pluralidad significativa de personas; (ii) resulta necesario analizar un elevado volumen de documentación o datos electrónicos; (iii) intervienen filiales o entidades situadas en distintos países; (iv) es precisa la participación de peritos o expertos externos; (v) están involucrados como afectados altos cargos de la organización; (vi) existen procedimientos judiciales o administrativos relacionados con los hechos investigados.
Además, la ampliación del plazo debería acordarse de forma expresa y documentada antes de la expiración del plazo inicial. A tal efecto, constituye una buena práctica que el responsable de la investigación emita una decisión formal en la que se identifiquen las circunstancias concretas que justifican la complejidad del asunto, las actuaciones pendientes de realizar y el tiempo estimado necesario para completarlas. Ello no sólo facilita la trazabilidad de la investigación, sino que proporciona una justificación objetiva frente a eventuales cuestionamientos posteriores.
Ahora bien, incluso la ampliación legal puede resultar insuficiente en determinados supuestos. Ello conduce a una cuestión que la Ley no regula, pero que comienza a ponerse en práctica: la posible suspensión del plazo.
No son infrecuentes los casos en los que la investigación queda temporalmente paralizada por circunstancias ajenas a quien la dirige. Así ocurre cuando la organización demora la entrega de documentación requerida por el investigador externo, cuando determinadas personas obstaculizan la práctica de entrevistas u otras diligencias de investigación, o cuando resulta necesario esperar la obtención de información procedente de terceros. La Ley contempla la ampliación del plazo con base en esa “especial complejidad”, pero nada dice acerca de las situaciones de imposibilidad material de continuar investigando.
Desde una perspectiva práctica, resulta razonable entender que aquellos períodos en los que la investigación permanezca paralizada por circunstancias ajenas al equipo investigador no deben computarse a efectos del plazo máximo de duración de la investigación. En tales supuestos, el cómputo del plazo debería quedar suspendido mientras subsista la causa que impide el avance de las actuaciones y reanudarse una vez desaparecida esta. No obstante, la procedencia de esta suspensión exige que sus motivos se encuentren adecuadamente documentados, que se justifique la imposibilidad de continuar las actuaciones y que quede constancia del período exacto durante el cual la investigación permaneció suspendida. De este modo, la entidad podrá acreditar tanto la razonabilidad de la suspensión como la diligencia observada en el desarrollo de la investigación.
Finalmente, debemos plantearnos qué consecuencias produce el incumplimiento del plazo legal. La Ley 2/2023 no contempla la caducidad de la investigación, ni establece la nulidad de las actuaciones realizadas fuera de plazo, ni impone el archivo automático de la comunicación. El incumplimiento puede constituir un indicador de funcionamiento deficiente del sistema o incluso ser considerado por la autoridad competente en el ejercicio de sus facultades supervisoras, pero difícilmente puede sostenerse que determine por sí solo la invalidez de la investigación o de las conclusiones alcanzadas. Una interpretación distinta conduciría a resultados difícilmente compatibles con la finalidad de esclarecimiento de los hechos perseguida por la propia norma.
3.2. El plazo de tres meses como garantía de seguimiento ante el informante
Las dificultades expuestas conducen a valorar una interpretación alternativa del artículo 9 de la Ley. En concreto, si el plazo de tres meses no estaría concebido principalmente como un límite máximo de duración de la investigación, sino como una garantía de seguimiento y respuesta frente al informante.
Esta interpretación encuentra apoyo en el artículo 9.1 f) de la Directiva, relativo a los canales internos de información, que no exige la conclusión de la investigación en el plazo de tres meses, sino la comunicación al informante de las medidas de seguimiento adoptadas o previstas respecto de la información remitida. Desde esta perspectiva, el elemento central no es la finalización de todas las actuaciones investigadoras dentro de un plazo predeterminado, sino garantizar que la comunicación reciba un tratamiento efectivo y que el informante sea informado de ello, evitando así situaciones de inactividad o abandono de la investigación.
Bajo esta lectura, el plazo de tres meses funcionaría como plazo para la comunicación al informante del seguimiento dado a la información recibida. La organización debería ofrecer una respuesta sobre el tratamiento de la comunicación y las actuaciones emprendidas o previstas como consecuencia de ella, sin que resulte necesario que la investigación haya quedado completamente concluida dentro de dicho plazo.
Esta interpretación presenta importantes ventajas prácticas. Permite compatibilizar la finalidad protectora de la Ley con la realidad de investigaciones que, por su complejidad, requieren períodos superiores a los contemplados legalmente. Asimismo, evita que la presión derivada del cumplimiento formal de los plazos comprometa la calidad de las actuaciones investigadoras o conduzca a conclusiones prematuras.
No obstante, tampoco esta tesis está exenta de dificultades. La literalidad del artículo 9 de la Ley 2/2023, a diferencia de la Directiva, vincula de forma principal el plazo a las actuaciones de investigación. Además, la propia Ley contempla expresamente una ampliación por especial complejidad, previsión que, en mi opinión, debería tener un alcance más reducido si el plazo se refiriera únicamente a la obligación de informar.
Probablemente la solución más equilibrada consista en entender que el plazo, aun operando como una exigencia de diligencia en la tramitación de la investigación, cumple a su vez una función predominantemente garantista respecto del informante. Desde esta perspectiva, la organización debería procurar concluir las actuaciones dentro del plazo legal siempre que ello sea razonablemente posible, pero la eventual necesidad de prolongar investigaciones complejas no debería considerarse incompatible con la finalidad de la norma cuando exista una adecuada justificación de las razones que motivan dicha prolongación y el informante esté oportunamente informado sobre el estado de tramitación de su comunicación.
Desde una perspectiva de lege ferenda, resultaría aconsejable una reforma del artículo 9 de la Ley que, en primer lugar, abandonara la actual configuración rígida del plazo y adoptara un modelo más flexible, inspirado en sistemas ya conocidos por nuestro ordenamiento procesal. En este sentido, podría valorarse una regulación similar a la prevista en el artículo 324 de la Ley de Enjuiciamiento Criminal, articulando un plazo inicial más amplio y permitiendo sucesivas prórrogas —quizá con un máximo— acordadas de forma motivada cuando la complejidad de la investigación así lo justificara.
En todo caso, una flexibilización de los plazos no debe traducirse en situaciones de incertidumbre prolongada para el informante ni en la ausencia de una respuesta dentro de un tiempo razonable. Por el contrario, cualquier ampliación temporal debería ir acompañada de mecanismos que garanticen que la comunicación continúa siendo objeto de seguimiento efectivo y que el informante recibe, en los términos previstos legalmente, información suficiente sobre el curso dado a su comunicación y sobre su resultado, sin que ello implique, no obstante, reconocerle facultades de participación o acceso al contenido de la investigación, cuestión a la que me referiré más adelante en el presente trabajo.
En segundo lugar, una futura reforma debería precisar qué supuestos integran la “especial complejidad” que permite acordar la prórroga, proporcionando criterios objetivos que eliminen la incertidumbre actualmente existente. Del mismo modo, sería conveniente prever expresamente un régimen de suspensión de la investigación para aquellos supuestos en los que ésta no pueda avanzar por causas ajenas a la voluntad de la organización, tales como la pendencia de actuaciones judiciales o administrativas, la imposibilidad temporal de acceder a información relevante u otro tipo de situaciones equiparables.
En definitiva, si la finalidad de la Ley 2/2023 es garantizar investigaciones eficaces y respetuosas con los derechos de todas las personas afectadas, el legislador debería abandonar una concepción excesivamente rígida de los plazos y sustituirla por un sistema que combine flexibilidad investigadora, control de la duración y adecuada información al denunciante. Sólo así podrá alcanzarse un equilibrio razonable entre la necesidad de evitar investigaciones indefinidas y la exigencia de que éstas se desarrollen con el rigor que demandan los asuntos de mayor complejidad.
4. INVESTIGACIONES INTERNAS Y SITUACIONES DE CONFLICTO DE INTERÉS
La Ley 2/2023 configura la figura del Responsable del Sistema dotando a dicha figura de las condiciones de imparcialidad y objetividad necesarias para el ejercicio de sus funciones. El artículo 8 de la Ley exige en su apartado 4 que el Responsable del Sistema ejerza sus funciones con plena autonomía e independencia respecto de los restantes órganos de la entidad, sin recibir instrucciones de ningún tipo y debiendo disponer de todos los medios personales y materiales para llevar a cabo su función.
A los efectos de la presente discusión, particular atención merece el apartado 5 del artículo citado, conforme al cual, en el ámbito privado, el Responsable del Sistema debe ser un directivo que desempeñe su cargo con independencia del propio órgano de administración o de gobierno, añadiendo además el precepto que se tratará en todo caso de evitar posibles situaciones de conflicto de interés.
Sin embargo, la norma no contiene reglas específicas sobre abstención, sustitución o reasignación de competencias para los supuestos en que esa independencia, por unas u otras razones, no llegue a producirse en la práctica. Esta ausencia resulta particularmente llamativa si se tiene en cuenta que las investigaciones sobre directivos, administradores o responsables de cumplimiento constituyen precisamente algunos de los escenarios de mayor riesgo y complejidad. Baste pensar en una denuncia dirigida contra el CEO o contra miembros del órgano de administración cuando el Responsable del Sistema mantiene con ellos una relación de dependencia jerárquica directa; en el escenario, más grave aún, en que existen indicios de participación o connivencia del propio Responsable en los hechos denunciados; o, en fin, en el supuesto igualmente problemático en que son los propios miembros del SII quienes resultan denunciados, sin que conste implicación alguna de la dirección de la entidad.
Concurre, en estos casos, una auténtica captura o usurpación de la función de control, entendida como aquella situación en la que las estructuras diseñadas para garantizar la imparcialidad de la investigación resultan, a su vez, afectadas por el conflicto que deben gestionar. No se trata simplemente de la existencia de una persona afectada por un conflicto de interés, sino de una situación en la que los propios mecanismos llamados a gestionarlo se encuentran igualmente comprometidos.
La Ley 2/2023 no contempla expresamente esta hipótesis. De ahí que surja una cuestión particularmente relevante desde una perspectiva práctica: cuando el Responsable del Sistema y los órganos de compliance no pueden garantizar una investigación independiente, ¿quién conserva la competencia para adoptar las decisiones necesarias para asegurar una investigación objetiva, incluida la eventual externalización de esta?
4.1. La competencia residual del órgano de administración y las exigencias derivadas del modelo de compliance penal
La respuesta a esta cuestión debe construirse mediante una interpretación sistemática que integre las disposiciones de la Ley 2/2023, las reglas del derecho de sociedades y los principios que inspiran el modelo de responsabilidad penal de las personas jurídicas previsto en el artículo 31 bis del Código Penal.
La atribución de funciones al Responsable del Sistema o a los órganos de compliance no puede interpretarse como una transferencia plena y absoluta de las responsabilidades de supervisión que corresponden al órgano de administración, exenta de excepción alguna. Se trata, más bien, de una delegación funcional destinada a facilitar la gestión ordinaria del sistema de cumplimiento, sin que ello altere la responsabilidad última de los administradores respecto de su adecuado funcionamiento. Ahora bien, la intensidad con que esta responsabilidad última debe activarse no es uniforme, sino que depende de la posición que ocupe, respecto de los hechos investigados, el propio órgano de compliance.
Nos enfrentamos, por tanto, a dos escenarios problemáticos. Por una parte, aquellos supuestos en los que el Responsable del Sistema o el órgano de compliance se encuentran en una posición de dependencia jerárquica respecto del denunciado —sin que conste su implicación personal en los hechos—. En estos casos el problema no reside en la conducta del Responsable, sino en un defecto estructural de diseño que compromete, al menos en apariencia, la independencia exigida por el artículo 8.5 de la Ley 2/2023.
Por otra parte, podemos encontrarnos con situaciones en las que el órgano de compliance o el Responsable del Sistema no solo carezcan de independencia jerárquica, sino que se encuentren personalmente implicados en los hechos investigados —hasta el punto de poder llegar a ostentar la condición de afectado bien la persona física que ejerza la función de Responsable, en caso de tratarse de un órgano unipersonal, bien quienes integren dicho órgano si se trata de un órgano colegiado—. En tales casos, el problema deja de situarse en el plano de las garantías de independencia y pasa a afectar a la propia legitimidad del órgano investigador para intervenir en el procedimiento, circunstancia que exige la adopción de medidas organizativas excepcionales destinadas a preservar la objetividad y credibilidad de la investigación.
En ambos escenarios adquiere particular relevancia el régimen societario sobre conflictos de interés de los administradores. En particular, cuando la denuncia afecte a uno o varios miembros del órgano de administración, los artículos 228 e) y 229 de la Ley de Sociedades de Capital obligan a aquéllos a abstenerse de intervenir en deliberaciones o decisiones respecto de las cuales mantengan un interés personal directo o indirecto. En consecuencia, dichos administradores deberán quedar al margen de cualquier decisión relacionada con la investigación.
Ahora bien, la existencia de un conflicto de interés en alguno de los administradores no ha de implicar, necesariamente, la anulación de las facultades del Responsable del Sistema ni el desplazamiento íntegro de la instrucción hacia el órgano de administración. En aquellos supuestos en los que el problema se limite a una insuficiente independencia estructural del Responsable del Sistema o del órgano de compliance respecto del denunciado, puede bastar con reforzar los mecanismos de supervisión de la investigación, ya sea mediante la validación de sus conclusiones por la comisión de auditoría, ya mediante la incorporación de un tercero independiente que acompañe el proceso investigador, siempre que ello resulte suficiente para disipar cualquier duda razonable sobre su objetividad.
Distinta es la situación cuando el propio Responsable del Sistema o los integrantes del órgano de compliance se encuentran afectados por el conflicto investigado. En tal caso, la lógica de abstención propia del régimen societario debe proyectarse también sobre ellos. En consecuencia, tanto los miembros del órgano de administración afectados por la denuncia como el propio Responsable del Sistema implicado deberán abstenerse de intervenir en cualquier decisión relacionada con la investigación, que pasará a ser asumida por los administradores no afectados por el conflicto y, en su caso, por la comisión de auditoría u otro órgano independiente de supervisión previsto en la estructura de gobierno de la entidad, siempre que respecto de este último no concurra, a su vez, una situación de conflicto equiparable.
El órgano de administración conserva así una función de garantía, de carácter residual y extraordinaria destinada a asegurar la continuidad y objetividad de la investigación cuando el régimen ordinario de funcionamiento del SII previsto por la Ley 2/2023 no puede operar adecuadamente por encontrarse comprometido el propio órgano encargado de su gestión. No se trata de sustituir dicho régimen, sino de preservar su efectividad precisamente en aquellos supuestos en los que resulte materialmente inaplicable.
Esta conclusión adquiere una importancia aún mayor desde la perspectiva del compliance penal. La independencia de la investigación interna no constituye únicamente una exigencia de buena práctica corporativa ni una mera garantía procedimental vinculada al correcto funcionamiento del SII. Se trata, además, de una condición estrechamente relacionada con los presupuestos de eficacia del modelo organizativo contemplado en el artículo 31 bis del Código Penal.
En efecto, desde el momento en que el legislador condiciona la exención o atenuación de responsabilidad penal a la existencia y eficaz funcionamiento de modelos de organización y gestión adecuados para prevenir y detectar delitos, la investigación interna se convierte en uno de los instrumentos esenciales para acreditar la efectividad real del programa de cumplimiento. No basta con disponer formalmente de un canal de información o de una política interna de investigaciones. Resulta imprescindible que la organización sea capaz de activar esos mecanismos de manera objetiva e independiente cuando surjan indicios de irregularidad, y de reaccionar de forma proporcionada según el grado de compromiso que afecte a sus propios órganos de control.
Esta idea aparece claramente reflejada en la Circular 1/2016 de la Fiscalía General del Estado, que identifica la autonomía y la independencia de los órganos encargados de la supervisión y control del modelo como elementos determinantes para valorar la eficacia de un programa de compliance. La Fiscalía advierte expresamente que la mera existencia formal de protocolos y procedimientos resulta insuficiente si los mecanismos de control carecen de capacidad real para actuar frente a infracciones cometidas dentro de la organización, especialmente cuando éstas afectan a personas con poder de dirección o decisión. En la misma línea, la jurisprudencia del Tribunal Supremo ha insistido en que la valoración de los programas de cumplimiento no puede realizarse desde una perspectiva meramente documental o formalista, sino atendiendo a su funcionamiento efectivo.
Desde esta perspectiva, la capacidad de la organización para investigar de manera objetiva e imparcial constituye un indicador esencial de la autenticidad de la cultura de cumplimiento implantada en la empresa. Un sistema que tolera, sin corrección, una dependencia jerárquica como la descrita, revela ya una debilidad de diseño que conviene subsanar; pero un sistema que, además, permite la interferencia de los propios sujetos investigados —o de un órgano de control implicado en los hechos— en el desarrollo de la investigación, difícilmente podría considerarse como un modelo idóneo para la prevención y detección de delitos. En tales supuestos, la ausencia de independencia no compromete únicamente la validez y credibilidad de la investigación concreta, sino que puede proyectar dudas sobre la eficacia global del modelo de cumplimiento y, en última instancia, sobre la capacidad de la persona jurídica para invocar las consecuencias eximentes o atenuadoras previstas en el artículo 31 bis del Código Penal.
4.2. La paradoja del artículo 9.2.g): los límites de la regla de reenvío
Los problemas descritos se manifiestan con especial claridad en la aplicación del artículo 9.2.g) de la Ley 2/2023. El precepto establece que toda comunicación recibida por canales distintos de los formalmente previstos o por personas no responsables de su gestión deberá remitirse inmediatamente al Responsable del Sistema.
La finalidad de esta previsión es evidente. La norma persigue centralizar la gestión de las comunicaciones, preservar su confidencialidad y garantizar que las denuncias sean tratadas por la instancia específicamente designada para ello. Sin embargo, una aplicación estrictamente literal del precepto puede producir resultados incompatibles con los propios fines que la ley pretende alcanzar.
En efecto, cuando existan motivos razonables para considerar que el Responsable del Sistema está afectado por un conflicto de interés relevante o incluso implicado en los hechos denunciados, la remisión automática de la comunicación a dicho responsable deja de operar como una garantía de confidencialidad para convertirse en un factor de riesgo para ésta. La consecuencia sería paradójica: el mecanismo concebido para proteger la integridad del procedimiento obligaría a devolver la denuncia precisamente a la persona cuya imparcialidad ha sido puesta en cuestión.
Por ello, la obligación de reenvío prevista en el artículo 9.2.g) no puede interpretarse de manera aislada, sino en conexión con el artículo 8 de la propia Ley 2/2023. La remisión al Responsable del Sistema presupone necesariamente que este reúna las condiciones de independencia y autonomía exigidas por la normativa. Cuando tales condiciones no concurren, la interpretación teleológica del precepto conduce a entender que la comunicación debe dirigirse a la instancia que pueda asumir legítimamente la función de garantía atribuida al Responsable del Sistema.
La misma conclusión se alcanza desde la perspectiva societaria. Los consejeros no afectados por el conflicto se encuentran sujetos al deber de diligencia consagrado en el artículo 225 de la Ley de Sociedades de Capital. Si disponen de elementos objetivos que permiten cuestionar la independencia del destinatario ordinario de la comunicación, difícilmente podría considerarse diligente entregar información particularmente sensible a quien presenta un riesgo evidente de parcialidad.
En consecuencia, el consejo de administración o los consejeros no afectados por el conflicto que deciden activar mecanismos extraordinarios de supervisión en lugar de remitir automáticamente la denuncia al Responsable del Sistema no estarían infringiendo el artículo 9.2.g). Por el contrario, estarían adoptando las medidas necesarias para preservar la independencia, la confidencialidad y la integridad de la investigación cuando concurren circunstancias que comprometen el funcionamiento ordinario del Sistema.
Cabría sostener, incluso, la lectura inversa: remitir la comunicación a una persona cuya independencia se encuentra seriamente comprometida puede poner en riesgo precisamente la confidencialidad que el artículo 9.2.g) de la Ley pretende proteger. En tales casos, una aplicación puramente formal de la regla competencial acabaría produciendo un resultado contrario a la finalidad de la norma.
4.3. La necesidad de prever ex ante los escenarios de captura institucional
Como hemos visto, los problemas más complejos surgen cuando el conflicto de interés alcanza a quienes deberían dirigir o supervisar la investigación. En esos casos, las lagunas de la Ley 2/2023 se hacen especialmente evidentes, pues resulta necesario identificar qué órgano o persona conserva la independencia necesaria para asumir la conducción de las actuaciones.
Por ello, resulta aconsejable que las políticas reguladoras del SII incorporen mecanismos específicos para los supuestos en los que la propia función de control pueda verse comprometida. La prevención de estas situaciones forma parte de la propia obligación de diseñar un sistema eficaz, capaz de reaccionar precisamente en aquellos escenarios en los que las estructuras ordinarias de supervisión resultan insuficientes.
En mi opinión, toda política reguladora del SII debería contemplar, como mínimo, tres cuestiones. En primer lugar, mecanismos ordinarios de abstención y sustitución para los conflictos de interés habituales. En segundo lugar, reglas específicas para aquellos supuestos en los que el conflicto alcance a la alta dirección, al Responsable del Sistema o a la función de compliance, atribuyendo expresamente la supervisión de la investigación a la comisión de auditoría o a los consejeros no afectados. Y, finalmente, alguna cláusula de salvaguarda que impida que las normas ordinarias de competencia puedan ser utilizadas por las propias personas afectadas para mantener el control de una investigación que les concierne.
En este contexto, la externalización de la investigación adquiere una relevancia especial. Cuando existen dudas razonables sobre la independencia del Responsable del Sistema, del compliance officer o de cualquier otro órgano interno llamado a dirigir las actuaciones, la designación de un investigador externo no constituye solamente una alternativa organizativa entre otras posibles. Es, de hecho, la única vía capaz de preservar la credibilidad de la investigación y de evitar cuestionamientos posteriores sobre la objetividad de sus conclusiones.
La capacidad de una organización para investigar de forma independiente aquellas conductas que afectan a sus máximos responsables constituye un indicador especialmente significativo de la eficacia real de su modelo de cumplimiento. En este sentido, la independencia de la investigación no es una cuestión accesoria ni una mera formalidad procedimental: forma parte de los propios presupuestos que permiten valorar si el sistema de compliance funciona de manera efectiva.
En consecuencia, resulta imprescindible anticipar las situaciones susceptibles de comprometer la imparcialidad del sistema de investigación. La eficacia de las reglas sobre conflictos de interés no depende únicamente de su capacidad para gestionar situaciones ordinarias, sino de que contemplen mecanismos alternativos para aquellos casos en los que el órgano llamado a controlar e investigar se encuentre, a su vez, afectado por el conflicto investigado.
5. CONFIDENCIALIDAD E IDENTIFICACIÓN DEL INFORMANTE EN LAS INVESTIGACIONES INTERNAS
Uno de los pilares fundamentales del sistema de protección del informante es la garantía de confidencialidad de su identidad, admitiéndose, de hecho, la denuncia anónima. Tanto la Directiva como la Ley 2/2023 parten de la premisa de que la eficacia de los canales internos de información depende, en gran medida, de la confianza de los potenciales informantes en que su colaboración no les expondrá a represalias ni a consecuencias adversas dentro de la organización.
A este respecto, hay dos cuestiones que suscitan constantes problemas en la práctica de las investigaciones internas. Por un lado, aquellos supuestos en los que el relato de los hechos favorece la averiguación de la identidad del informante; por otro lado, la necesidad de buscar un adecuado equilibrio entre el deber de confidencialidad de la identidad del informante y el derecho de defensa del afectado. A estas cuestiones me referiré a continuación.
5.1. La identificación del denunciante por el contexto de los hechos
En relación con la primera cuestión apuntada, la práctica de las investigaciones internas demuestra que la efectividad de esta garantía encuentra límites evidentes con independencia de la diligencia desplegada por la organización. No son infrecuentes los supuestos en los que, aun observando los más elevados estándares de diligencia, la identidad del informante puede llegar a ser deducida por la persona afectada, así como por otros terceros con conocimiento indirecto del expediente, a partir de las propias circunstancias del caso. La dificultad se aprecia con especial intensidad en situaciones de acoso, abuso de autoridad o conflictos jerárquicos en las que el informante mantiene una relación directa de dependencia respecto de la persona denunciada, o cuando los hechos comunicados se refieren a conversaciones privadas, reuniones restringidas o episodios presenciados exclusivamente por un número muy reducido de personas.
Esta circunstancia obliga a diferenciar entre la obligación de confidencialidad impuesta a la organización y la posibilidad real de impedir la identificación del informante. La Ley exige que la identidad del informante no sea revelada a terceros no autorizados. Cuestión distinta es que pueda garantizarse en todo caso que dicha identidad no llegue a ser deducida a partir de las características del asunto investigado.
Desde esta perspectiva, la obligación empresarial de proteger la identidad del informante debe ser entendida como una obligación de medios reforzada y no como una obligación de resultado. Lo que, en mi opinión, la Ley exige a la organización, es la adopción de todas las medidas razonablemente disponibles para preservar la confidencialidad de la información y minimizar el riesgo de identificación —limitación de acceso al expediente, anonimización de documentos, restricción de la circulación de información sensible, entre otros—, no la garantía de un resultado que, en determinados supuestos, escapa a su control.
En consecuencia, cuando la identificación se produce pese a haberse observado estas medidas, no debería apreciarse, por ese solo hecho, un incumplimiento del deber legal de confidencialidad. Sólo cuando la identificación sea consecuencia de una gestión negligente del expediente, de la difusión indebida de información o de la ausencia de medidas adecuadas de protección, procedería la concurrencia de tal incumplimiento.
5.2. La tensión entre la obligación de confidencialidad y el derecho de defensa del afectado
La cuestión adquiere una complejidad distinta, y mucho más aguda, cuando la fuente del riesgo de identificación deriva del correcto cumplimiento de otra obligación legal: la de garantizar el derecho de defensa de la persona afectada. El afectado debe conocer los hechos que se le atribuyen y disponer de una oportunidad real para formular alegaciones y aportar los elementos de descargo que estime oportunos. Una investigación desarrollada al margen de estas exigencias correría el riesgo de convertirse en un procedimiento incompatible con los estándares mínimos de contradicción y defensa también exigibles en el ámbito de las investigaciones corporativas.
Ahora bien, el derecho de defensa no comprende ni puede avalar un derecho a conocer la identidad de quien formuló la comunicación. El conocimiento de los hechos imputados y el acceso a los elementos esenciales de la acusación constituyen presupuestos del derecho de defensa, pero la identidad de quien puso inicialmente los hechos en conocimiento de la organización no forma parte del contenido esencial de ese derecho.
La dificultad práctica reside en que ambos planos no siempre resultan fácilmente separables. Cuanto más concreta y detallada deba ser la información suministrada al investigado para garantizar una defensa efectiva, mayor será el riesgo de que pueda deducir quién ha proporcionado la información. Nos encontramos así ante una tensión estructural entre dos intereses jurídicos igualmente legítimos, que exige a la organización sustentar las conclusiones de la investigación en un soporte probatorio suficiente —sea documental o testifical—, evitar referencias personales innecesarias en el trámite de audiencia, generalizar fechas y circunstancias siempre que ello sea compatible con el ejercicio efectivo de la defensa, y limitar la divulgación a lo estrictamente imprescindible.
Cuando, pese a la aplicación de estas cautelas, la identificación del informante llega a producirse como efecto colateral del cumplimiento del derecho de defensa, no procede afirmar sin más una vulneración del deber de confidencialidad.
A diferencia de lo que sucede en el supuesto examinado en el apartado anterior, donde el riesgo de identificación deriva de las propias circunstancias fácticas del asunto investigado, la eventual identificación encuentra aquí su origen en la necesidad de facilitar al afectado información suficiente para ejercer adecuadamente su defensa. Por ello, la actuación empresarial debería reputarse conforme al deber de confidencialidad siempre que la información facilitada al investigado haya sido estrictamente necesaria para permitir el ejercicio efectivo de su derecho de defensa y la organización haya evitado toda revelación adicional que no resultara indispensable a tal fin. La clave no reside, por tanto, en determinar si el afectado terminó identificando al informante, sino en comprobar si dicha identificación fue consecuencia de una revelación evitable de información o de la comunicación de aquellos extremos imprescindibles para hacer efectivo su derecho de defensa.
6. EL INFORMANTE Y LOS LÍMITES DE SU PARTICIPACIÓN EN LA INVESTIGACIÓN
La posición jurídica del informante constituye una de las cuestiones más delicadas que plantea el régimen instaurado por la Ley 2/2023. La norma persigue incentivar la comunicación de irregularidades mediante un amplio sistema de protección frente a represalias y mediante el reconocimiento de determinados derechos de información y seguimiento. Sin embargo, la atribución de tales garantías no permite responder automáticamente a una cuestión distinta: cuál es el lugar que ocupa el informante dentro de la investigación interna una vez presentada la comunicación.
La respuesta reviste una importancia práctica evidente. De ella dependen aspectos tan relevantes como el acceso a la información generada durante la investigación, el conocimiento de las actuaciones practicadas o el grado de control que puede ejercerse sobre las decisiones adoptadas por la organización. En este contexto, existe el riesgo de identificar protección del informante con participación en la investigación, cuando ambas cuestiones responden a finalidades distintas y no necesariamente coincidentes.
6.1. La ausencia en el informante de la condición de interesado
La pregunta acerca de si el informante ostenta la condición de interesado no es meramente terminológica. En realidad, obliga a determinar si quien comunica una posible infracción adquiere una posición jurídica semejante a la reconocida a las partes en los procedimientos administrativos o judiciales. A mi juicio, la respuesta debe ser negativa.
La Ley 2/2023 reconoce al informante un conjunto relevante de derechos destinados a garantizar la efectividad de los sistemas internos de información y a proteger a quienes colaboran en la detección de irregularidades. Sin embargo, ninguno de dichos derechos permite afirmar que el denunciante pase a convertirse, por ese solo hecho, en titular de una posición equiparable a la del interesado en un procedimiento administrativo.
La diferencia responde a la propia naturaleza de la investigación interna. Mientras que la figura del interesado se construye tradicionalmente sobre la existencia de un derecho o interés legítimo susceptible de verse afectado por la decisión final, la investigación interna persigue una finalidad distinta. Su objeto no consiste en resolver una controversia jurídica entre partes ni en reconocer o negar pretensiones individuales, sino en esclarecer unos hechos potencialmente irregulares y permitir que la organización adopte las medidas que resulten procedentes.
Desde esta perspectiva, el informante actúa fundamentalmente como una fuente de conocimiento de los hechos investigados. Puede aportar documentación, facilitar explicaciones complementarias o colaborar activamente con quienes desarrollan la investigación. Sin embargo, dicha colaboración no altera la naturaleza de su posición jurídica ni lo convierte en titular de facultades de dirección, supervisión o control sobre las actuaciones investigadoras.
La investigación se desarrolla en interés de la organización y del correcto funcionamiento del sistema de cumplimiento, no en interés particular del informante. Precisamente por ello, la decisión acerca de las actuaciones a practicar, la valoración de las evidencias obtenidas y las conclusiones alcanzadas corresponde exclusivamente a quienes tienen atribuida la función investigadora.
6.2. El alcance de los derechos de información del informante
La ausencia de la condición de interesado tiene una consecuencia inmediata: delimita el alcance de los deberes de información que incumben a la organización.
La Ley 2/2023 garantiza que el informante sea informado de determinados hitos esenciales de la tramitación. Entre ellos se encuentran la recepción de la comunicación, la admisión o inadmisión de ésta, el seguimiento dispensado a la información recibida y el resultado final de las actuaciones, ya sea mediante el archivo de la comunicación, la adopción de medidas internas o la remisión de los hechos a las autoridades competentes.
Ahora bien, el reconocimiento de estos derechos no equivale a la atribución de un derecho general de acceso al contenido de la investigación.
Precisamente porque el informante no constituye una parte dentro del procedimiento investigador, carece de un derecho a conocer el detalle de las diligencias practicadas, las declaraciones obtenidas, los documentos incorporados al expediente, las hipótesis manejadas por los investigadores o las medidas eventualmente adoptadas respecto de terceras personas. La comunicación de esta información podría entrar en conflicto con exigencias fundamentales de confidencialidad, con la protección de datos personales y con la propia salvaguarda de los derechos de defensa y de la presunción de inocencia de las personas afectadas.
A ello se añade una consideración práctica de indudable relevancia. Una vez comunicada determinada información al informante, ésta escapa por completo al control de la organización. Las filtraciones a terceros, la difusión pública de datos sensibles o la utilización estratégica de la información obtenida constituyen riesgos que no pueden considerarse meramente hipotéticos.
Por ello, la solución más equilibrada consiste en entender que el deber de información debe satisfacerse mediante la comunicación de los principales hitos procedimentales y del resultado de la investigación, sin que ello implique proporcionar un conocimiento detallado de su desarrollo interno. El informante debe saber que su comunicación ha sido recibida, que está siendo tramitada y cuál ha sido la respuesta finalmente adoptada por la organización. Fuera de esos límites, prevalecen las exigencias derivadas de la confidencialidad de la investigación y de la protección de los derechos e intereses concurrentes.
6.3. Los riesgos de una concepción cuasi procesal del informante
Las consideraciones anteriores permiten dar un paso adicional. La negativa a reconocer al informante la condición de interesado no constituye únicamente una consecuencia interpretativa derivada del silencio de la Ley 2/2023. Responde también a una razón funcional estrechamente vinculada a la naturaleza de las investigaciones internas.
En ocasiones puede defenderse que una protección efectiva del informante exigiría reconocerle facultades más amplias de participación, acceso al expediente o seguimiento de las actuaciones. Sin embargo, una solución de esta naturaleza no está exenta de riesgos.
En primer lugar, podría comprometer la confidencialidad de la propia investigación y dificultar la protección de los datos personales de quienes intervienen en ella. En segundo lugar, incrementaría las tensiones con los derechos de defensa de las personas afectadas. Pero, sobre todo, introduciría el riesgo de transformar la investigación interna en un procedimiento articulado alrededor de los intereses particulares del denunciante, desdibujando la finalidad que justifica su existencia.
Debe recordarse que la Ley 2/2023 no pretende crear un mecanismo de satisfacción de pretensiones individuales, sino favorecer la detección temprana de infracciones y reforzar la capacidad de reacción de las organizaciones frente a conductas irregulares. La protección del informante constituye un instrumento para alcanzar ese objetivo, no un fin autónomo ni una vía para atribuirle una posición privilegiada dentro de la investigación.
Desde esta perspectiva, la posición jurídica del informante podría definirse como la de un sujeto especialmente protegido, pero no como la de una parte de la investigación. La garantía frente a represalias, la preservación de la confidencialidad de su identidad y el derecho a recibir información sobre el tratamiento dispensado a la comunicación constituyen mecanismos destinados a favorecer la colaboración con el sistema de cumplimiento, no facultades dirigidas a controlar o condicionar el desarrollo de la actividad investigadora.
Mantener esta distinción resulta esencial para preservar el equilibrio sobre el que descansa todo el modelo diseñado por la Ley 2/2023. La eficacia de las investigaciones internas depende de la capacidad de compatibilizar la protección del informante, la independencia de quienes investigan y el respeto de los derechos de las personas afectadas. Atribuir al informante una posición equiparable a la de una parte podría alterar significativamente ese equilibrio y terminar comprometiendo tanto la eficacia de la investigación como la propia finalidad protectora que inspira la norma.
7. CONCLUSIONES
La Ley 2/2023 ha supuesto, sin duda, un avance importante para las investigaciones internas. Por primera vez, el legislador ha incorporado a nuestro ordenamiento un conjunto de reglas, garantías y obligaciones directamente relacionadas con la gestión de comunicaciones sobre irregularidades y con las investigaciones que pueden derivarse de ellas. Sin embargo, la norma dista mucho de ofrecer una regulación completa de esta materia. Su aplicación plantea todavía numerosas dudas interpretativas y obliga a acudir a otros sectores del ordenamiento para encontrar respuestas a problemas que la propia ley no resuelve.
Una de las primeras dificultades aparece al delimitar cuándo y en qué medida resulta aplicable la Ley 2/2023. La práctica demuestra que muchas investigaciones internas no nacen de una comunicación recibida a través del SII, sino de auditorías, controles internos o cualquier otra fuente legítima de conocimiento. Del mismo modo, la regulación de las actuaciones desarrolladas por la AIPI es mucho más detallada que la prevista para las investigaciones realizadas por las propias organizaciones. Ninguna de estas circunstancias justifica, a mi juicio, que unas investigaciones se desarrollen con mayores garantías que otras. Precisamente por ello, parece recomendable que las organizaciones dispongan de protocolos homogéneos capaces de asegurar un tratamiento coherente de todas las investigaciones, con independencia de cuál haya sido su origen.
También la regulación de los plazos revela algunas de las limitaciones de la norma. La experiencia demuestra que muchas investigaciones de cierta complejidad no pueden concluirse razonablemente dentro de los tres meses previstos por la ley. Una alternativa es entender que este plazo cumple una función predominantemente garantista respecto del informante, orientada a asegurar el seguimiento efectivo de la comunicación y la información sobre las actuaciones realizadas, sin dejar de operar al mismo tiempo como una exigencia de diligencia en la tramitación de la investigación. Ello no significa que ésta pueda prolongarse indefinidamente, pero sí que la preocupación principal del legislador parece haber sido evitar que las comunicaciones queden sin tratamiento efectivo. En cualquier caso, la regulación actual sería probablemente más satisfactoria si incorporara mecanismos de prórroga y suspensión más flexibles y mejor definidos.
Las situaciones de conflicto de interés constituyen otro de los ámbitos en los que las lagunas de la Ley 2/2023 se hacen especialmente visibles. La norma parece partir de la idea de que las personas llamadas a gestionar la investigación conservarán siempre la independencia necesaria para hacerlo. Sin embargo, la realidad demuestra que los problemas más delicados aparecen precisamente cuando la denuncia afecta bien a los altos cargos de la organización, bien a quienes normalmente deberían dirigir o supervisar la investigación. En esos casos, la eficacia del sistema depende de la existencia de mecanismos que permitan desplazar la investigación hacia instancias verdaderamente independientes, incluida, cuando resulte necesario, su externalización. La capacidad de una organización para investigar a sus propios responsables constituye, probablemente, una de las mejores pruebas de la autenticidad de su cultura de cumplimiento.
Del mismo modo, la protección de la identidad del informante no puede entenderse como una obligación de resultado, sino como una obligación de medios especialmente cualificada. La realidad de determinadas investigaciones demuestra que existen supuestos en los que la propia naturaleza de los hechos denunciados permite inferir indirectamente la identidad de quien los puso en conocimiento de la organización. En tales casos, la valoración jurídica de la actuación empresarial debe centrarse en la diligencia desplegada para preservar la confidencialidad.
Junto a ello, las investigaciones internas obligan a gestionar una tensión permanente entre la confidencialidad de la identidad del informante y el derecho de defensa de la persona afectada. La Ley 2/2023 no reconoce un derecho a conocer la identidad del denunciante, pero exige que el investigado disponga de información suficiente para defenderse. La clave reside, por tanto, en proporcionar únicamente aquella información que resulte necesaria para garantizar una defensa efectiva, aplicando el mayor celo y diligencia en la preservación de la confidencialidad.
Finalmente, la posición jurídica del informante exige distinguir cuidadosamente entre protección y participación. La Ley 2/2023 opta decididamente por reforzar la primera, pero sin reconocer la segunda en términos equiparables a los propios de una parte interesada. Esta opción no responde a una simple deficiencia regulatoria, sino a una lógica coherente con la naturaleza de las investigaciones internas. La atribución al informante de facultades amplias de intervención o acceso al expediente podría comprometer la confidencialidad de las actuaciones, afectar a los derechos de las personas investigadas y desnaturalizar la función institucional de los SII. La credibilidad del sistema exige, por tanto, proteger al informante frente a represalias y garantizarle información suficiente sobre el tratamiento de su comunicación, pero sin convertirlo en un sujeto con capacidad para controlar o condicionar el desarrollo de la investigación.
La Ley 2/2023 es una norma llamada a desempeñar un papel relevante en las investigaciones internas, pero que todavía deja abiertas muchas de las cuestiones más importantes que plantea la práctica. Por ello, su aplicación no puede descansar únicamente en una lectura literal de sus preceptos. Será necesario seguir integrando sus disposiciones con el derecho societario, el derecho penal, la normativa de protección de datos y las exigencias derivadas del derecho de defensa. En este proceso, la jurisprudencia tendrá previsiblemente un papel decisivo.
8. BIBLIOGRAFÍA
Miguel BAJO FERNÁNDEZ et al., Tratado de responsabilidad penal de las personas jurídicas, Thomson Reuters, 2.ª ed., Navarra 2016.
Jacobo BARJA DE QUIROGA (coord.); La imputación y la defensa de la persona jurídica, Aranzadi, 1.ª ed., Madrid 2025.
Jordi GIMENO BEVIÁ; “Aspectos procesales de la Ley 2/2023 de protección al informante: algunas cuestiones sin resolver tras un año de su entrada en vigor”, en Lex Criminalis, núm. 5, marzo 2024, pp. 27–46.
Carlos GÓMEZ-JARA DÍEZ; “La culpabilidad de la persona jurídica” en Miguel BAJO FERNÁNDEZ et al., Tratado de responsabilidad penal de las personas jurídicas, Thomson Reuters, 2.ª ed., Navarra 2016, pp. 143–219.
María GUTIÉRREZ RODRÍGUEZ; “Los derechos de los denunciados en las investigaciones internas de empresas” en Diario La Ley, núm. 10618.
José LEÓN ALAPONT; “Retos jurídicos en el marco de las investigaciones internas corporativas: a propósito de los compliances” en Revista Electrónica de Ciencia Penal y Criminología, 22–04, 2020, pp. 1–34
Javier MIRANZO DÍAZ; “Problemas conceptuales del ámbito objetivo y subjetivo de la Ley de Protección del Informante” en Revista de Derecho UNED, núm. 37, 2026, pp. 127–171.
Iñigo ORTIZ DE URBINA GIMENO; “De la autopoiesis al pragmatismo: el silencioso periplo de la responsabilidad penal de las personas jurídicas en el Tribunal Supremo”, en La Ley Compliance Penal, núm. 25, 2026.
Ramón RAGUÉS I VALLÈS; “La Ley 2/2023 de protección de informantes: una primera valoración crítica” en La Ley Compliance Penal, núm. 13, abril 2023, pp. 1–22.
Nicolás RODRÍGUEZ-GARCÍA en “Las investigaciones internas como elemento esencial de los “criminal compliance programs”: haciendo de la necesidad virtud”; en Revista Penal, núm. 52, julio 2023.
Bernardo DEL ROSAL BLASCO, “El objetivo de los planes de prevención del delito”, en Jacobo BARJA DE QUIROGA (coord.) La imputación y defensa de la persona jurídica, 1.ª ed., Aranzadi La Ley, Madrid 2025, pp. 169–211.
Carmen SÁEZ LARA; “El estatus jurídico del informante tras la Ley 2/2023 de protección de las personas informantes y de lucha contra la corrupción” en Labos, vol. 4, núm. 3, pp. 46–69.
María de los Ángeles VILLEGAS GARCÍA y Miguel Ángel ENCINAR DEL POZO; “Los derechos de la organización y de los investigados en las investigaciones internas. Cuestiones para el debate”, en La Ley Compliance Penal, núm. 8, 2022, pp. 1–34.
María de los Ángeles VILLEGAS GARCÍA y Miguel Ángel ENCINAR DEL POZO en “Las investigaciones internas. Estado actual de la cuestión”, en Jacobo BARJA DE QUIROGA (coord.) La imputación y defensa de la persona jurídica, 1.ª ed., Aranzadi La Ley, Madrid 2025, pp. 261–288.
Carlos ZABALA y Sonia TRENDAFILOVA Manual de investigaciones internas, Thomson Reuters Aranzadi, 1.ª ed., Navarra 2020.
