¿Por qué una fundación debe contar con un sistema interno de información?
Ley 2/2023: mucho más que un canal de denuncias.
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha supuesto un importante cambio en materia de cumplimiento normativo y buen gobierno.
Para las Fundaciones, disponer de un Sistema Interno de Información (SII) no debe entenderse únicamente como el cumplimiento de una obligación legal. Es, además, una herramienta esencial para detectar irregularidades, proteger a las personas informantes y reforzar la transparencia, la integridad y la confianza en la organización.
¿Está obligada mi Fundación?
La respuesta dependerá de la naturaleza y características de la Fundación.
En el ámbito privado, la Ley 2/2023 establece la obligación de disponer de un Sistema Interno de Información, entre otros supuestos, para las personas jurídicas que tengan 50 o más trabajadores, así como para determinadas entidades sometidas a normativa específica en sectores como los servicios financieros, la prevención del blanqueo de capitales, la seguridad del transporte o la protección del medio ambiente.
Asimismo, la Ley establece expresamente esta obligación para las fundaciones creadas por partidos políticos, sindicatos y organizaciones empresariales cuando reciban o gestionen fondos públicos.
Por su parte, las fundaciones del sector público están expresamente incluidas entre las entidades del sector público obligadas a disponer de un Sistema Interno de Información.
Por tanto, no todas las Fundaciones se encuentran necesariamente en la misma situación, siendo necesario analizar individualmente su naturaleza, actividad, financiación, número de trabajadores y vinculación con el sector público.
¿Qué es realmente un Sistema Interno de Información?
No se trata simplemente de habilitar una dirección de correo electrónico o un formulario denominado “canal de denuncias”.
La Ley exige un sistema estructurado que permita recibir y gestionar comunicaciones sobre determinadas infracciones, garantizando la confidencialidad, la protección del informante y la correcta tramitación de las comunicaciones.
Entre otros aspectos, el Sistema debe contar con:
- Un canal interno de información adecuado y accesible.
- Un Responsable del Sistema.
- Una política o estrategia que establezca los principios generales del sistema y de protección del informante.
- Un procedimiento de gestión de las informaciones recibidas.
- Garantías de confidencialidad.
- Medidas de protección frente a posibles represalias.
- Un tratamiento adecuado de los datos personales.
- Un sistema que permita, en los términos establecidos legalmente, la presentación de comunicaciones por escrito o verbalmente, incluidas las comunicaciones anónimas.
La propia Ley establece que el Sistema Interno de Información constituye el cauce preferente para comunicar las infracciones comprendidas en su ámbito de aplicación, siempre que la infracción pueda tratarse eficazmente dentro de la organización y no exista riesgo de represalias.
¿Qué ventajas tiene para una Fundación?
- Detectar irregularidades antes de que se conviertan en un problema mayor
Un sistema correctamente implantado permite que determinadas conductas puedan ser conocidas internamente antes de generar daños económicos, reputacionales o legales de mayor alcance.
- Proteger a las personas que informan
La Ley 2/2023 presta especial atención a la protección del informante frente a las represalias.
Esta protección alcanza, en determinados supuestos, no solo a trabajadores, sino también a otras personas que mantienen una relación profesional con la organización, incluidos voluntarios, personas en prácticas o en procesos de selección, entre otros.
- Reforzar el buen gobierno de la Fundación
El SII se integra dentro de una cultura de integridad, transparencia y cumplimiento normativo, especialmente relevante en entidades cuya actividad persigue fines de interés general y que, en muchos casos, gestionan fondos públicos o privados destinados a fines sociales.
- Mejorar la gestión de riesgos
Las comunicaciones recibidas pueden permitir identificar deficiencias en los procedimientos internos, conflictos de interés, posibles incumplimientos normativos o conductas contrarias a las políticas de la Fundación.
- Proteger la reputación de la entidad
Una Fundación no solo debe actuar correctamente: también debe poder acreditar que dispone de mecanismos adecuados para prevenir, detectar y gestionar posibles irregularidades.
Un canal de denuncias no es suficiente
Uno de los errores más frecuentes consiste en crear un buzón de denuncias y considerar que con ello se ha cumplido la Ley.
La Ley 2/2023 exige un verdadero Sistema Interno de Información, que debe estar diseñado y gestionado de forma segura y garantizar, entre otras cuestiones, la confidencialidad de la identidad del informante y de las personas afectadas.
Además, el órgano de gobierno de la entidad es responsable de la implantación del sistema y debe establecer las condiciones necesarias para garantizar su funcionamiento efectivo.
¿Quién puede gestionar el Sistema?
La Fundación puede gestionar el Sistema internamente o recurrir a un tercero externo, siempre que se respeten las exigencias establecidas por la Ley.
Esta posibilidad puede resultar especialmente interesante para Fundaciones que no cuentan con una estructura interna suficiente para garantizar la independencia, confidencialidad y correcta gestión de las comunicaciones.
La importancia de hacerlo correctamente
Implantar un Sistema Interno de Información no consiste únicamente en cumplir formalmente con una obligación.
Un sistema mal diseñado, sin garantías de confidencialidad, sin un procedimiento de gestión adecuado o sin una verdadera protección frente a represalias puede resultar ineficaz y generar riesgos adicionales para la propia organización.
Por ello, la implantación debe abordarse desde una perspectiva integral que combine:
cumplimiento normativo + protección del informante + protección de datos + buen gobierno + gestión de riesgos.
¿Qué debería hacer una Fundación?
Como punto de partida, recomendamos realizar un diagnóstico de situación para determinar si la Fundación está obligada por la Ley 2/2023 y, en su caso, comprobar si el sistema existente cumple realmente con sus requisitos.
El proceso debería incluir, al menos:
- Analizar la obligación legal
Determinar si la Fundación está incluida en alguno de los supuestos de obligación. - Diseñar el Sistema
Definir el canal, el responsable, el procedimiento y las garantías aplicables. - Aprobar la política correspondiente
Establecer los principios generales del Sistema Interno de Información y de protección del informante. - Adaptar el sistema a la normativa de protección de datos
Garantizar que la gestión de las comunicaciones se realiza conforme a la normativa aplicable. - Informar y formar
Dar a conocer el sistema dentro de la organización y explicar cómo utilizarlo. - Revisar periódicamente su funcionamiento
Un sistema de información debe ser eficaz y estar preparado para responder adecuadamente cuando se produzca una comunicación.
En definitiva
Para una Fundación, disponer de un Sistema Interno de Información no debería contemplarse únicamente como una exigencia normativa.
Es una herramienta de prevención, detección y gestión de riesgos, que contribuye a proteger a las personas, al Patronato y a la propia Fundación.
Porque el verdadero objetivo no es simplemente tener un canal.
Es contar con un sistema capaz de detectar una irregularidad, proteger a quien la comunica y permitir a la Fundación actuar correctamente y a tiempo.
¿Tu Fundación dispone ya de un Sistema Interno de Información?
Si existe, la cuestión no es únicamente si está implantado, sino si cumple realmente con las exigencias de la Ley 2/2023 y funciona de manera efectiva.
