El sistema de gestión de denuncias de la Norma ISO 37002 y la Directiva (UE) 2019/1937

Casi paralelamente a los desarrollos legislativos en la Unión Europea en materia de Whistleblowing, la Organización Internacional de Normalización (ISO) publicó en 2021 una normativa de aplicación voluntaria: la ISO 37002 – Sistemas de Gestión de Denuncias. 

El objetivo de dicha norma es de proporcionar "una serie de directrices para poder implementar, gestionar, evaluar, mantener y mejorar un sistema de gestión de denuncias robusto y efectivo dentro de cualquier organización". La pregunta que nos hacemos entonces: ¿La norma ISO 37002 podría cumplir con las exigencias de la Directiva Europea de Protección al Denunciante y la Ley 2/2023? Veamos. 

La Norma ISO 37002 sobre Sistemas de Gestión de la denuncia de irregularidades (Whistleblowing Management Systems) tiene como objetivo guiar a las entidades en el establecimiento, implementación, mantenimiento y mejora de sus sistemas internos de denuncia de infracciones. Asimismo, se presenta como una guía basada en los principios de confianza, imparcialidad y protección para crear el sistema de denuncia interna para una entidad (empresa o institución pública).

Hasta su publicación en en año 2021, el canal de denuncias solo se había mencionado en dos normas; la Norma ISO 37001 sobre Sistemas de Gestión Antisoborno y la Norma ISO 37301 sobre Sistemas de Gestión de Compliance. Existía entonces un vacío que la norma ISO 37002 ha venido a colmar en el momento en que los países miembros de la Unión Europea, han debido transponer la Directiva (UE) 2019/1937 en su legislación nacional. Precisamente, esta Directiva obliga a las entidades, tanto privadas como públicas y de determinados sectores de actividad, a instaurar un canal de denuncias interno, cuyos lineamientos en España se explicitan a través de la Ley 2/2023, Ley de protección de denunciantes de corrupción. Algunos puntos a tomar de consideración.

1. La Directiva (UE) 2019/1937 de Protección al Denunciante establece que aquellas entidades con 250 o más trabajadores deban cumplir con las exigencias de esta nueva legislación, mientras que las empresas que tengan en nómina entre 50 y 249 empleados, contarán con dos años más para ponerse al día respecto de la nueva normativa (diciembre 2023).
2. La norma ISO 37002, al proporcionar una serie de pautas de carácter voluntario para establecer un sistema de gestión interno de denuncias, ofrece un marco que incorpora prácticas reconocidas a nivel global para la implementación de dichos sistemas.
3. La Norma ISO 37002 apunta la necesidad de proteger al informante, pero también, extiende la protección a otras personas igualmente susceptibles de ser víctimas de represalias (familiares, testigos, colegas, etc.).
4. Al interior de la entidad, la Norma ISO 37002 señala como competencias personales de quienes gestionan denuncias, la generación de confianza, inteligencia emocional y diplomacia. La razón es que se va a tratar con personas que vendrán con sus inquietudes y miedos, en momentos álgidos como decidir dar el paso y denunciar. Sin duda, una gestión poco empática solo vendrá a alejar al candidato a informante. Es importante entonces que estas competencias se reflejen en el trato hacia el informante tanto como sobre él o los denunciados. Asimismo, el nombre del responsable del sistema interno de información para el control y gestión de su sistema deberá ser comunicado a la Autoridad Independiente de Protección al Informante (AIPI), en el plazo de 10 días desde su nombramiento.
5. El Capítulo 7 de la Norma ISO 37002 menciona en sus rasgos generales la protección de datos personales. La razón es que, los estándares ISO saldrían de la esfera de sus competencias al intentar fijar plazos o regulaciones, tarea que corresponde a los legisladores de cada uno de los países de la Unión. En consecuencia, se deberá tener presente el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, para la asimilación de sus principios a los canales de denuncia de las entidades.
6. La buena fe del informante tiene que ver con la íntima convicción que la información que sustenta la denuncia es cierta. El conocimiento de los hechos, debido a su proximidad en el lugar de trabajo, hace que pueda tener pruebas o indicios razonables que confinan a la certeza. En su defecto, la denuncia será archivada sin que el denunciante pueda obtener el estatus de whistleblower.

Carlos Jaico

Autor de:"Whistleblowing" (2014)

"La Protección del Denunciante de Actos Ilícitos - Whistleblowing" (2023)