La norma ISO 37002 y la Directiva Europea de Protección al Denunciante: ¿una combinación complementaria?

Puesto que la Directiva Europea de Protección al Denunciante (Directiva 2019/1937) entrará en vigor a finales de este año, miles de organizaciones a lo largo y ancho del territorio de la Unión se verán afectadas y estarán obligadas a implementar una solución de denuncias por primera vez.

Desde luego, para todos ellos ha sido una suerte que la Organización Internacional de Normalización (ISO, por sus siglas en inglés) haya decidido publicar una normativa de orientación, de aplicación voluntaria: la ISO 37002 – Sistemas de Gestión de Denuncias. Dicha norma tiene por objetivo proporcionar «una serie de directrices para poder implementar, gestionar, evaluar, mantener y mejorar un sistema de gestión de denuncias robusto y efectivo dentro de cualquier organización». 

Y a partir de aquí surge una pregunta obvia: ¿cómo pueden estas pautas de la nueva norma ISO ayudar a las distintas organizaciones a desarrollar una respuesta adecuada que cumpla con las exigencias de la inminente Directiva Europea de Protección al Denunciante?

¿Cuál es la diferencia entre la norma ISO 37002 y la mencionada directiva europea?

La Directiva Europea de Protección al Denunciante establece unos criterios mínimos para la protección del informante que los estados miembros de la Unión deberán trasladar a su legislación local antes del día 17 de diciembre de 2021. Aquellas organizaciones de cualquier estado miembro con 250 o más trabajadores tendrán que cumplir con las exigencias de esta nueva legislación en esa misma fecha. Las empresas más pequeñas, que tengan en nómina entre 50 y 249 empleados, contarán con dos años más para ponerse al día respecto de la nueva normativa.

La norma ISO 37002 proporciona una serie de pautas de carácter voluntario destinadas a organizaciones que estén tratando de establecer un sistema de gestión de denuncias. Con la implantación de tales sistemas como núcleo de los requisitos de la nueva Directiva, este estándar ofrece un marco reconocido internacionalmente que incorpora prácticas recomendadas a nivel global para el desarrollo e implementación de dichos sistemas.

Cómo comparar la Directiva Europea y la norma ISO 37002

Si miramos con detenimiento los objetivos previstos y los resultados esperados en ambos documentos, queda claro de inmediato que existe una relación de complementariedad entre los dos textos en sus principales ámbitos de interés.

Directiva Europea

• Crear canales seguros de comunicación para los trabajadores (internos y externos)
• Garantizar que los empleados sepan cómo y dónde denunciar posibles irregularidades
• Confirmar la recepción de informes y proporcionar el oportuno feedback
• Proteger la confidencialidad de datos de los denunciantes y de todos aquellos que aparezcan en los informes
• Proteger a los empleados de toda represalia

ISO 37002

• Alentar y facilitar la denuncia de conductas indebidas
• Asegurar que los informes de denuncia se gestionan en tiempo y forma
• Apoyar y proteger a los denunciantes y a otras partes interesadas implicadas
• Mejorar la cultura y el gobierno corporativo
• Reducir los riesgos de conductas indebidas

Conceptos fundamentales como el hecho de facilitar la denuncia, de gestionar los informes que se reciban o de proteger la identidad de las personas involucradas, son comunes a ambos. Se recogen tanto en los requisitos de la Directiva como en las directrices establecidas en la norma ISO.

La directiva europea, por supuesto, se centra en garantizar la protección de los denunciantes. No obstante, todos los requisitos expuestos en la Directiva se tratan también, en mayor o menor medida, en la norma ISO.

Mapeo de los requisitos de la Directiva en la norma ISO

Crear canales seguros de comunicación para los trabajadores

La Sección 8 de la norma ISO proporciona orientación y recomendaciones varias de cara a implementar canales de denuncia seguros. Entre ellas, se incluyen sugerencias con los métodos más habituales de recepción de informes, y lo que es más importante, cómo sacar provecho de dichos métodos para potenciar la accesibilidad, fiabilidad y la eficacia del programa de denuncias. 

Esta sección de la ISO también incorpora una lista muy útil de preguntas tipo que se deben plantear a los denunciantes para evitar que se pierda información esencial.


Garantizar que los empleados sepan cómo y dónde denunciar posibles irregularidades

Este requisito de la directiva se trata en la Sección 7 de la norma ISO, que profundiza en la necesidad de formación y medidas de sensibilización al respecto, además de presentar las mejores prácticas para la comunicación del programa.  

Una capacitación exhaustiva y una toma absoluta de conciencia serán vitales para poder cumplir con las exigencias de la Directiva, de manera que el análisis detallado descrito en la norma debería considerarse como un recurso sumamente valioso a la hora de definir el alcance de la formación.  

Del mismo modo, tener claro no solo cómo y dónde comunicarse, sino también con quién hacerlo y de quién debe proceder la información, puede desempeñar un papel primordial en la creación de conciencia o sensibilización y, lo que es más importante, quizá también en la generación y mantenimiento de confianza en el programa de denuncias.


Confirmar la recepción de informes y proporcionar el oportuno feedback

Dentro de la Sección 8 de la norma, podrás encontrar recomendaciones sobre cómo proporcionar feedback en cada etapa del proceso de denuncia.  

La construcción de circuitos de retroalimentación en torno a las distintas etapas operacionales, tal y como se describe en esta sección, sin duda te ayudará a estructurar las comunicaciones y a gestionar las expectativas. Aquí, además, se incluye una guía sobre cómo hacer acuse de recibo de los informes, cuáles son los plazos razonables o el nivel de detalle que debes proporcionar en tu feedback.


Proteger la confidencialidad de datos de los denunciantes y de todos aquellos que aparezcan en los informes

Dentro de su Sección 7, la norma ISO estipula la importancia de mantener la confidencialidad de datos de todas las partes implicadas en un caso. En concreto, en esta parte del texto, cabe destacar los ejemplos enumerados a los que se debe prestar especial atención durante la etapa de planificación, pues se mencionan algunas formas menos obvias en las que las personas involucradas pueden ser potencialmente identificadas.  

Como parte de los planes para garantizar la confidencialidad de datos, también resulta importante definir claramente los procedimientos a seguir para abordar los incumplimientos de esta obligación o posibles intentos por identificar a las partes involucradas. Otras secciones de la norma (relativas a la protección de datos y al control de la información documentada) también contribuyen a cumplir con este requisito.


Proteger a los empleados de toda represalia

Con la protección al denunciante como motor de la Directiva, existen varias partes de la norma ISO que nos ayudarán a definir procesos que nos aseguren que este requisito se cumple.  

La Sección 8 proporciona asesoramiento para evaluar y prevenir riesgos de conductas indebidas en una etapa temprana del proceso de denuncia. La identificación de riesgos potenciales en esta etapa nos ayudará enormemente cuando tengamos que evaluar o investigar los informes de denuncia. Esta sección también incluye una guía sobre la protección al denunciante, los posibles asuntos de los informes, además de otros tantos temas de interés. En caso de haber represalias, se ofrece igualmente una guía sobre cómo encarar ejemplos de conductas nocivas.

Otras áreas de interés

Existen muchas otras secciones de la norma ISO que profundizan en los ámbitos de mejora de la cultura y el gobierno corporativo, aspectos que siempre conviene recordar cuando estamos planificando la implantación de nuestro programa de denuncias.  

Uno de los principales desafíos a los que se enfrentan normalmente las organizaciones es conseguir la plena participación y aceptación del sistema por parte de los empleados. Sin embargo, en la norma ISO podemos encontrar numerosas partes que contienen consejos prácticos y sugerencias que te ayudarán a solventar esta cuestión.  

Para obtener más información sobre cómo la norma ISO pretende aportar transparencia, generar confianza y fomentar una cultura corporativa ética mediante los sistemas de denuncia, recomendamos la lectura de esta entrevista con el coordinador ISO para la norma 37002, el Dr. Wim Vandekerckhove. 

Una norma con relevancia a nivel mundial

Dado que la norma ISO trata al detalle la mayoría de los retos que afrontan las empresas a la hora de configurar y gestionar un programa de denuncias, esta guía no solo es apropiada para aquellas organizaciones afectadas por la entrada en vigor de la Directiva Europea de Protección al Denunciante, sino que también resulta relevante en todo el mundo.

Con el avance legislativo global experimentado en este campo, la ISO 37002 puede ayudar a cumplir con los requisitos de otros reglamentos y normativas como, por ejemplo, la Treasury Laws Amendment de 2019 (que refuerza la Ley del Protección al Denunciante en Australia) o la Ley de Protección a los Denunciantes japonesa.

Al fomentar mejores prácticas reconocidas internacionalmente como esta, no solo garantizamos a las organizaciones que cumplirán con las obligaciones correspondientes, sino que además las ayudaremos a sacar el mayor partido posible de estos programas y a asegurarse de que, de verdad, marcan la diferencia en lugar de simplemente limitarse a hacer lo justo para estar al corriente con la legislación vigente.

El sistema WhistleB permite a las empresas implementar sus programas de denuncia en estrecha consonancia con la norma ISO 37002. Haz clic aquí para reservar tu demo gratuita.

Jan Tadeusz Stappers, Máster en Derecho
Director ejecutivo sénior, P. Colaboración
jan.stappers@navexglobal.com