Una dirección de correo denominada denuncias@empresa.cl puede servir para recibir mensajes. Eso no significa, por sí solo, que la empresa tenga un sistema de denuncias capaz de detectar irregularidades, proteger a quien reporta, administrar conflictos de interés, investigar hechos sensibles y entregar información confiable a quienes gobiernan la organización.
La diferencia es especialmente relevante cuando la denuncia afecta al gerente general, a un director, al responsable de Recursos Humanos, al oficial de cumplimiento o a quien administra el propio buzón. También lo es cuando el denunciante quiere permanecer anónimo, cuando necesita seguir comunicándose después del reporte inicial o cuando la información puede terminar siendo utilizada en una investigación administrativa, laboral, penal o interna.
En Chile, distintas normas y prácticas regulatorias han comenzado a aproximarse a este problema desde perspectivas diferentes. La Ley N.º 20.393 exige “canales seguros de denuncia” dentro de un modelo de prevención de delitos adecuado; la legislación laboral establece procedimientos y canales para denuncias de acoso sexual, laboral y violencia en el trabajo; la Comisión para el Mercado Financiero exige divulgar atributos concretos del canal; y las guías de cumplimiento en libre competencia, protección del consumidor, prevención de lavado de activos y otros ámbitos incorporan progresivamente mecanismos de detección, comunicación, investigación y evidencia de funcionamiento.
Sin embargo, ninguna de esas fuentes entrega por sí sola una definición completa de lo que debería entenderse por un canal de denuncias empresarial moderno.
Esa función la cumple, en el plano técnico internacional, ISO 37002:2021, Whistleblowing management systems — Guidelines. La norma proporciona un lenguaje común para evaluar si la organización tiene simplemente un medio para recibir comunicaciones o, en cambio, un verdadero sistema de gestión de denuncias. ISO la presenta expresamente como una herramienta para implementar, administrar, evaluar, mantener y mejorar estos sistemas, y como un benchmark para evaluar mecanismos existentes, diseñar otros nuevos o examinar los de organizaciones que integran una cadena de valor.
Desde esa perspectiva, la respuesta a “¿necesita mi empresa un canal de denuncias externo?” no puede reducirse a un sí o un no.
La ley chilena no establece, como regla general, que las empresas deban contratar a un tercero para operar su canal. Pero tampoco basta con concluir que, porque la externalización no es obligatoria, un sistema interno siempre será suficiente. La cuestión relevante es si la estructura elegida puede demostrar confianza, imparcialidad, protección, seguridad, competencia, trazabilidad y capacidad real para actuar frente a las denuncias.
Cuando la organización no puede asegurar esas condiciones con recursos propios, la externalización deja de ser una opción tecnológica y pasa a convertirse en una medida de gestión del riesgo y de gobierno corporativo.
El canal de denuncias ya no pertenece solamente al compliance penal
La Ley N.º 20.393 constituye el punto de partida más evidente. Tras las modificaciones introducidas por la Ley N.º 21.595, su artículo 3 vincula la responsabilidad penal de la persona jurídica con aquellos delitos cuya perpetración se haya visto favorecida o facilitada por la falta de implementación efectiva de un modelo adecuado de prevención. Su artículo 4 dispone que, atendidos el objeto social, giro, tamaño, complejidad, recursos y actividades de la organización, ese modelo debe considerar la identificación de riesgos, protocolos y procedimientos de prevención y detección y, necesariamente, canales seguros de denuncia. La misma disposición exige responsables con adecuada independencia y acceso a la administración y contempla evaluaciones periódicas por terceros independientes y mecanismos de perfeccionamiento o actualización.
La expresión utilizada por el legislador es relevante. La ley no pide simplemente un “canal”, sino un canal seguro. Tampoco dice que deba ser externo. La seguridad es una característica funcional que deberá demostrarse atendiendo al contexto de la organización. De allí surge una primera consecuencia: externalidad y seguridad no son sinónimos. Un proveedor externo puede operar deficientemente y un sistema interno puede ser seguro; pero una estructura interna sometida a conflictos de interés, controles de acceso insuficientes o dependencia jerárquica puede difícilmente sostener que la mera existencia de un buzón satisface la finalidad de detección que persigue el artículo 4.
La legislación laboral añade otra dimensión. La Ley N.º 21.643 —Ley Karin— modificó el Código del Trabajo para establecer un sistema de prevención, investigación y sanción del acoso sexual, laboral y de la violencia en el trabajo. El artículo 211-A dispone, entre otras obligaciones, que el empleador informe semestralmente los canales que mantiene para la recepción de denuncias y las instancias estatales a las que puede recurrirse. El artículo 211-B bis permite presentar la denuncia ante la propia empresa o ante la Inspección del Trabajo, mientras que el procedimiento debe sujetarse a principios como confidencialidad, imparcialidad y celeridad.
La consecuencia para la gestión empresarial es importante. Un mismo mecanismo corporativo puede estar recibiendo denuncias penales, laborales, éticas, de libre competencia, de fraude, derechos humanos o conflictos de interés. Pretender que la herramienta pertenece exclusivamente al encargado de prevención de delitos desconoce su verdadera función organizacional: es una infraestructura transversal de detección de riesgos.
La CMF ya pregunta por las características del canal, no solamente por su existencia
La evolución de la regulación de la Comisión para el Mercado Financiero es particularmente ilustrativa.
La NCG N.º 461 incorporó materias de sostenibilidad y gobierno corporativo a la Memoria Anual de las entidades comprendidas en su ámbito. En el numeral 3.6 ix exige informar si la entidad dispone de un canal para su personal, accionistas, clientes, proveedores o terceros y describir su funcionamiento. La información debe indicar específicamente si el sistema garantiza anonimato, si permite al denunciante conocer el estado de su caso y cómo se comunica su existencia mediante capacitación y el sitio web de la organización. La CMF mantiene la NCG N.º 461 como normativa vigente, modificada posteriormente por la NCG N.º 519.
La precisión jurídica importa: la NCG N.º 461 contiene aquí una obligación de divulgación, no una obligación general de implementar un canal. La propia regulación contempla que, cuando una práctica, política, sistema o procedimiento requerido para informar no exista, ese hecho debe declararse.
Pero su relevancia para el gobierno corporativo no disminuye por ello. La CMF transformó características que antes podían considerarse decisiones operativas —anonimato, seguimiento, accesibilidad y difusión— en información relevante para accionistas, inversionistas y mercado. Además, la propia NCG contempla que el sistema de información del directorio permita a sus integrantes acceder a un sistema o canal de denuncias que se hubiere implementado.
La NCG N.º 519 profundizó esta lógica al modificar el reporte sobre acoso laboral, sexual y violencia en el trabajo, incluyendo información sobre capacitación y número de denuncias presentadas ante la propia entidad y ante la Dirección del Trabajo u organismo equivalente. La reciente NCG N.º 572, de 27 de julio de 2026, modificó únicamente el calendario de entrada en vigor de determinadas disposiciones de la sección III de la NCG N.º 519, postergándolas al ejercicio 2027; no altera la materia de canales analizada aquí.
Hay aquí un cambio de enfoque: el canal pasa a ser parte de la arquitectura de gobierno y de información sobre riesgos de la empresa, no simplemente una herramienta administrativa de Recursos Humanos o Compliance.
La misma lógica aparece en otros programas de cumplimiento
La convergencia puede observarse también fuera de la responsabilidad penal corporativa.
En libre competencia, la Guía de Programas de Cumplimiento de la Fiscalía Nacional Económica —material de promoción, por lo tanto sin fuerza normativa— recomienda que el sistema de denuncias sea claro, detallado, eficiente y efectivo; que regule tanto la forma en que los trabajadores reportan como lo que deben hacer quienes reciben la información; que mantenga confidencialidad; y que proteja al denunciante de consecuencias negativas por el solo hecho de reportar.
En protección del consumidor, la Ley N.º 19.496 incorporó los planes de cumplimiento y el SERNAC mantiene una circular interpretativa, aprobada por Resolución Exenta N.º 689 de 2021, para los planes contemplados en los artículos 24 inciso cuarto letra c) y 54 P. El Servicio define estos planes como conjuntos de políticas, procedimientos, directrices y mecanismos que incorporan medidas preventivas, correctivas y de detección de incumplimientos. No se sigue de esta regulación que todo plan de consumo deba tener un canal idéntico al de ISO 37002, pero sí demuestra que la detección interna ha pasado a formar parte de la lógica del compliance sectorial.
El modelo elaborado por la UAF y el CAIGG para organismos públicos en materia de lavado de activos, financiamiento del terrorismo y delitos funcionarios ofrece otro ejemplo. Recomienda mecanismos de comunicación entre funcionarios y el responsable del sistema para canalizar consultas y operaciones sospechosas, exige proteger la confidencialidad de quien entrega la información y de sus antecedentes, contempla medios seguros de comunicación y exige posteriormente procesar lo recibido. Conviene mantener la calificación correcta: se trata de un modelo dirigido al sector público, no de una obligación general aplicable a cualquier empresa privada.
Incluso el régimen ambiental aporta una enseñanza, aunque de naturaleza distinta. Los Programas de Cumplimiento ante la Superintendencia del Medio Ambiente son instrumentos asociados a un procedimiento sancionatorio ya iniciado y, por tanto, no deben confundirse con un programa preventivo de compliance corporativo. Su utilidad para este análisis está en la importancia que la regulación ambiental atribuye a que las acciones sean íntegras, eficaces y verificables. La existencia del documento no basta: hay que demostrar funcionamiento y resultados. Esa lógica resulta igualmente útil al evaluar un canal de denuncias.
En ámbitos jurídicamente muy diferentes comienza así a repetirse una misma cadena de gestión:
riesgo → detección → comunicación → evaluación → actuación → evidencia → supervisión → mejora.
ISO 37002 convierte esa cadena dispersa en un sistema coherente.
ISO 37002: qué significa realmente tener un canal de denuncias
ISO 37002:2021 es actualmente la edición publicada del estándar internacional específico sobre sistemas de gestión de denuncias. A agosto de 2026, ISO la mantiene publicada, aunque se encuentra en proceso de revisión dentro de su ciclo normal de estándares. Es una norma de directrices, de adopción generalmente voluntaria; no establece por sí misma una obligación legal ni constituye una certificación obligatoria.
Su importancia para el mercado es otra.
ISO explica que la norma puede utilizarse para comparar o evaluar un sistema existente, como modelo para diseñar uno nuevo, para auditar el sistema de un asociado comercial o incluso como criterio exigido dentro de relaciones contractuales o cadenas de suministro. En ese sentido técnico —y no como una definición legal imperativa— ISO 37002 proporciona hoy el benchmark internacional más específico para responder qué debería esperarse de un sistema empresarial de denuncias.
La norma se construye sobre tres principios: confianza, imparcialidad y protección. Sobre ellos organiza el proceso en cuatro grandes etapas: recibir la información, evaluarla, abordarla y cerrar el caso.
Eso cambia radicalmente la forma de entender el “canal”.
El canal tecnológico es solamente la puerta de entrada. El objeto que ISO 37002 gestiona es el proceso completo.
Contexto: no existe un canal adecuado en abstracto
La cláusula 4 obliga a comenzar por la organización, no por el software.
Deben considerarse tamaño, estructura, lugares y sectores en que opera, cultura, complejidad, modelo de negocios, características del personal, entidades controladas o controladoras, asociados de negocio, exposición a materias de interés público y obligaciones legales, regulatorias y contractuales.
Después deben identificarse las partes interesadas pertinentes y determinar el alcance del sistema: quién podrá denunciar, desde qué geografías, qué categorías de irregularidad serán admitidas y qué otros procesos resolverán materias que queden fuera de alcance. ISO vincula expresamente esta delimitación con los resultados de la evaluación de riesgos de compliance.
Aquí aparece la primera decisión sobre externalización. Una compañía multinacional, con terceros en varios países, numerosas plantas y ejecutivos dispersos no enfrenta el mismo problema de acceso que una pequeña empresa familiar. A la inversa, una empresa pequeña puede tener un desafío mayor de confidencialidad: todos se conocen y quien recibe la denuncia puede depender directamente de la persona denunciada.
Por eso, “interno versus externo” debe resolverse después de comprender el contexto y los riesgos.
Liderazgo: el directorio no puede tercerizar la responsabilidad
La cláusula 5 sitúa el sistema en el nivel de gobierno corporativo.
El órgano de gobierno debe supervisar su implementación, integridad y mejora y asegurar recursos adecuados. La alta dirección debe establecer política y objetivos, integrar el sistema en los procesos de negocio, promover su utilización, asegurar recursos, recibir periódicamente información sobre su funcionamiento y procurar que las investigaciones sean imparciales con independencia de quién denuncie o quién sea denunciado. También debe promover una cultura en la que la organización no solamente permita “hablar”, sino que esté preparada para escuchar y actuar.
Este punto es fundamental para entender un canal externo.
ISO 37002 permite asignar algunas o todas las actividades de gestión de denuncias a personas externas, pero exige que existan dentro de la organización responsables con autoridad sobre aquellas funciones que hayan sido externalizadas.
En otras palabras:
se puede externalizar la recepción, el triage, la administración de casos o una investigación; no se puede externalizar la responsabilidad del gobierno corporativo por lo que la organización hace con la información recibida.
Planificación: el propio canal tiene riesgos
La cláusula 6 aplica la lógica de gestión de riesgos al sistema de denuncias mismo.
No basta con pensar en el riesgo que será denunciado. También existen riesgos asociados al funcionamiento del mecanismo: filtración de identidad, acceso indebido, represalias, conflictos de interés, demora, pérdida de evidencia, manipulación de expedientes, falta de escalamiento o incapacidad para investigar a personas poderosas.
La organización debe establecer objetivos para el sistema y planificar los cambios. Cambiar de proveedor, modificar responsables, incorporar una filial o expandirse a otra jurisdicción puede afectar anonimato, retención de datos, acceso o procedimientos y debería ser gestionado como tal.
Recursos, competencia, información y datos
La cláusula 7 aborda aquello que muchas organizaciones descubren demasiado tarde: administrar denuncias requiere capacidades especializadas.
Se necesitan personas competentes, recursos suficientes, capacitación, comunicación, información documentada y controles sobre los datos. Los registros deben permitir reconstruir qué se recibió, quién tuvo acceso, qué decisiones se adoptaron, qué investigación se realizó y cuál fue su resultado.
La protección de datos constituye además una cuestión central. ISO exige considerar quién puede acceder a información identificable, quién autoriza ese acceso, retención, eliminación, modificaciones, transferencias y derechos de las distintas personas involucradas. Y formula una recomendación particularmente relevante para este artículo: cuando se considera contratar un proveedor externo, la organización debería efectuar due diligence suficiente sobre sus estándares de protección de datos, incluida la protección por diseño y por defecto.
Por tanto, contratar un tercero no satisface ISO 37002 por el solo hecho de introducir distancia organizacional. El proveedor también debe ser evaluado.
Recepción: visible, accesible, segura y fuera de la línea jerárquica cuando sea posible
La cláusula 8 contiene el núcleo operacional del estándar.
ISO señala que la organización debería disponer de canales visibles, accesibles y seguros y que, en la medida de lo posible, al menos uno debería ser distinto de la jerarquía ordinaria. Ese canal alternativo puede encontrarse dentro de la organización o ser operado por un proveedor externo.
La distinción es particularmente importante. Un canal interno operado por un tercero sigue siendo parte del sistema interno de la empresa. No debe confundirse con una denuncia externa formulada ante la Dirección del Trabajo, la CMF, el Ministerio Público u otra autoridad.
ISO contempla comunicaciones presenciales, telefónicas, digitales, correo electrónico y otras modalidades. Los sistemas web pueden facilitar comunicación bidireccional segura con personas anónimas o confidenciales y permitir la entrega posterior de antecedentes.
Aquí existe una diferencia fundamental entre anonimato y confidencialidad. En un reporte confidencial alguien conoce la identidad y debe protegerla. En un verdadero reporte anónimo, el sistema debe ser capaz de funcionar sin que quienes reciben el caso conozcan esa identidad. Es, por tanto, un problema tecnológico, procesal y de gobierno de accesos, no una declaración en la política corporativa.
Evaluación: una denuncia no debe llegar directamente a una investigación sin triage
Una vez recibido el reporte, ISO exige evaluarlo.
El triage debe determinar alcance, gravedad, urgencia, necesidades de preservación de evidencia, posibles efectos sobre personas, derechos humanos, medioambiente o continuidad de las operaciones, necesidad de informar a autoridades y procedimiento adecuado para responder. Paralelamente debe evaluarse el riesgo de represalia o conducta perjudicial para el denunciante y otras personas relacionadas.
La decisión de quién realiza ese análisis puede ser tan relevante como la tecnología de recepción. Si el equipo encargado depende jerárquicamente del ejecutivo denunciado, el problema de independencia simplemente se desplazó desde el buzón hacia el triage.
Investigación, protección y respuesta
La etapa siguiente no consiste únicamente en “investigar al denunciado”.
ISO 37002 contempla simultáneamente la gestión del hecho reportado, la protección y apoyo al denunciante, la prevención y respuesta a represalias, la protección de las personas denunciadas y la consideración de otras partes interesadas.
Cuando el asunto requiere una investigación formal, este marco puede complementarse con ISO/TS 37008:2023, Internal investigations of organizations — Guidance, que desarrolla principios de independencia, confidencialidad, competencia profesional, objetividad, imparcialidad y legalidad.
Esta separación permite comprender por qué una organización puede perfectamente externalizar solamente ciertas investigaciones. El hecho de que el canal sea administrado internamente no obliga a que el investigador también lo sea; y un proveedor que recibe denuncias tampoco debería necesariamente investigar todos los casos.
Feedback: el denunciante no debe hablar hacia un agujero negro
ISO 37002 atribuye importancia a la retroalimentación durante el proceso.
La organización debería acusar recibo oportunamente, comunicar el estado del caso en una medida compatible con la investigación, informar próximos pasos y mantener posibilidades de comunicación. Como ejemplo, la norma menciona un acuse automático inmediato complementado posteriormente por un contacto personalizado.
Este aspecto explica por qué la NCG N.º 461 pregunta expresamente si el denunciante puede conocer el estado de su denuncia.
Desde el punto de vista de control, la comunicación bidireccional también mejora la calidad de la información. Muchos reportes iniciales son incompletos; sin un mecanismo para formular preguntas adicionales, el anonimato mal diseñado puede terminar reduciendo la posibilidad de investigar.
Cierre: una denuncia debe producir una decisión
ISO termina el ciclo con el cierre del caso.
La secuencia representada en la propia norma conecta recepción, triage, análisis del riesgo de represalias, investigación, protección, procesos de Recursos Humanos y compliance, medidas de remediación, decisión final, reporting y aprendizaje organizacional. El feedback acompaña todas las etapas.
Esto revela algo importante: el objetivo de un canal no es acumular denuncias; es producir decisiones informadas y aprendizaje.
Una investigación puede llevar a una sanción, pero también a modificar un control, revisar un contrato, cambiar un incentivo, capacitar un área, actualizar una matriz de riesgos o corregir una política. Si el expediente se archiva sin integrar lo aprendido al sistema de riesgos, una parte importante del valor del mecanismo se pierde.
Medición: cero denuncias no significa cero irregularidades
La cláusula 9 exige evaluar el desempeño.
ISO propone indicadores cuantitativos y cualitativos: número y naturaleza de denuncias, tiempos de acuse y tramitación, canales utilizados, percepción y satisfacción de denunciantes, conocimiento y confianza del personal, resultados de investigaciones, acciones correctivas, permanencia laboral posterior de denunciantes y efectividad de las medidas adoptadas.
Una de sus advertencias más útiles para los directorios es que la ausencia de denuncias debe llevar a preguntarse por la efectividad del sistema. No autoriza a concluir automáticamente que no existen irregularidades.
ISO incorpora además auditoría interna y revisión periódica por la alta dirección, cuyos resultados deben ser informados al órgano de gobierno.
Mejora: el canal también puede fallar
La cláusula 10 cierra el sistema mediante mejora continua y acciones correctivas.
Una filtración de identidad, un caso demorado, un conflicto de interés no detectado o un acceso indebido no deberían tratarse solamente como incidentes aislados. ISO propone determinar sus causas, verificar si pueden repetirse en otros casos, implementar medidas correctivas y comprobar posteriormente su efectividad.
Así entendido, ISO 37002 no describe una aplicación informática: describe un sistema de gobierno, control y aprendizaje.
El canal de denuncias como parte de la debida diligencia de directores y gerentes
Esta dimensión permite plantear una tesis más exigente.
En una empresa moderna, un sistema adecuado de denuncias forma parte de la infraestructura de información que permite ejercer supervisión sobre riesgos que normalmente son difíciles de observar desde el directorio.
La afirmación debe hacerse con precisión jurídica. La Ley N.º 18.046 no dice que el directorio deba implementar ISO 37002 ni que todo director esté obligado a contratar un canal externo. En las sociedades anónimas, sin embargo, su artículo 39 dispone que las funciones del director son indelegables y ejercidas colectivamente y reconoce a cada director el derecho a ser informado plena y documentadamente sobre la marcha de la empresa. El artículo 41 exige el cuidado y diligencia que ordinariamente emplean las personas en sus propios negocios y establece responsabilidad por actuaciones dolosas o culpables. El artículo 50 extiende, en lo compatible, varias de esas disposiciones —incluido el artículo 41— a gerentes y ejecutivos principales.
De esas disposiciones no deriva automáticamente una obligación nominada de mantener un canal. La conexión es una interpretación de gobierno corporativo y gestión de riesgos: para supervisar razonablemente una organización, los administradores necesitan sistemas que puedan hacerles llegar información material sobre conductas que las líneas jerárquicas ordinarias pueden no detectar o pueden tener incentivos para ocultar.
Un canal eficaz cumple precisamente esa función.
La NCG N.º 461 refuerza esta lectura al situar el canal dentro de la información sobre gestión de riesgos y gobierno corporativo y al contemplar el acceso del directorio al sistema implementado.
Por eso, la relevancia del canal para la diligencia de un director no se agota en verificar una vez al año que la URL funciona. El órgano de gobierno debería poder conocer quién es responsable, qué materias cubre, cómo se protegen identidades, qué conflictos de interés existen, cómo se escalan denuncias contra ejecutivos, cuánto demoran los casos, qué porcentaje genera acciones correctivas, qué represalias se han detectado, qué investigaciones siguen abiertas y qué modificaciones al sistema han surgido de los casos anteriores.
ISO 37002 proporciona justamente esa estructura de supervisión.
En este sentido, un canal de denuncias conforme a un estándar reconocible puede convertirse en evidencia de diligencia, pero nunca en una defensa automática. ISO señala expresamente que su utilización no garantiza que no ocurran represalias ni otorga inmunidad jurídica; sí puede servir como benchmark y como evidencia de que la organización adoptó medidas razonables para prevenir, detectar y gestionar irregularidades.
Esa es una diferencia central entre compliance formal y compliance efectivo.
¿Por qué podría necesitar que el canal sea externo?
La razón principal no es que un tercero sea intrínsecamente mejor. Es que determinadas estructuras empresariales hacen difícil garantizar internamente las propiedades que ISO 37002 espera del sistema.
El argumento para externalizar se vuelve especialmente fuerte cuando una denuncia puede involucrar a la alta administración; cuando Compliance, Recursos Humanos y administración tienen relaciones jerárquicas muy estrechas; cuando una empresa pequeña carece de personas suficientes para separar recepción, investigación y decisión; cuando existen filiales o terceros en distintas jurisdicciones; cuando se requiere anonimato con comunicación bidireccional; cuando el volumen de casos exige disponibilidad permanente; o cuando la organización carece de infraestructura suficientemente robusta para controlar accesos y datos sensibles.
El tercero puede crear distancia respecto de la línea jerárquica, pero esa distancia tiene valor solamente si viene acompañada de reglas adecuadas de escalamiento.
Por ejemplo, una plataforma externa que remite automáticamente todas las denuncias al gerente general no resuelve nada si la denuncia se refiere precisamente al gerente general. Un verdadero diseño debe prever destinatarios alternativos, custodios de identidad, reglas para conflictos de interés y rutas directas hacia el presidente del directorio, comité competente u otra instancia independiente.
Del mismo modo, externalizar la infraestructura sin revisar el procedimiento posterior puede producir una falsa sensación de seguridad. Un excelente sistema tecnológico pierde gran parte de su utilidad si la empresa demora tres meses en revisar la información o si no existe nadie autorizado para iniciar una investigación.
La externalización debe entenderse, por tanto, como una decisión sobre arquitectura de control, no como la compra de una licencia de software.
Un canal externo tampoco es una decisión de todo o nada
Una de las virtudes del enfoque de ISO 37002 es que permite distinguir funciones.
La empresa puede externalizar solamente la infraestructura de recepción y conservar internamente el análisis y las investigaciones. Puede encargar además a un tercero la gestión inicial de la denuncia y el triage. O puede externalizar también determinadas investigaciones, especialmente cuando exista un conflicto de interés, falta de competencia interna o necesidad de independencia adicional.
Esta separación se refleja en las tres líneas de servicio que actualmente publica Compliance.lat: canal de denuncias; canal de denuncias más gestión; y canal, gestión e investigación. En el primer nivel, la infraestructura se externaliza pero la empresa revisa los casos; el segundo incorpora recopilación adicional de antecedentes, categorización y análisis preliminar; y el tercero incorpora también servicios de investigación.
La estructura resulta útil para comprender ISO 37002, aunque ningún paquete comercial puede sustituir las responsabilidades que el estándar atribuye a la organización. El primer nivel se concentra principalmente en la recepción prevista en la cláusula 8.2; el segundo puede apoyar también la evaluación de la cláusula 8.3; y la investigación externa interviene en parte del tratamiento previsto en la cláusula 8.4. El cierre, las decisiones, el reporting al órgano de gobierno, la evaluación de desempeño y la mejora siguen requiriendo gobernanza corporativa.
La plataforma publicada por Compliance.lat describe, entre otras funcionalidades, recepción confidencial o anónima, gestión de conflictos de interés, mecanismos para restringir el acceso a la identidad del denunciante, controles de seguridad y funcionalidades para administrar casos. Esas son características relevantes a la luz de ISO 37002, pero deben ser tratadas como declaraciones del proveedor que la empresa debe verificar dentro de su propia due diligence, especialmente en materias de seguridad, tratamiento de datos, continuidad, competencias y cumplimiento de las obligaciones jurídicas aplicables.
Precisamente eso exige la propia ISO cuando la organización opta por un proveedor externo.
La prueba no es si existe el canal, sino si funcionará cuando realmente importe
Un buen test para un sistema de denuncias no consiste en enviar una denuncia de prueba sobre una materia trivial.
Consiste en imaginar el caso más difícil.
¿Qué ocurriría si mañana el canal recibiera antecedentes creíbles de corrupción que involucraran al gerente general? ¿Quién podría acceder al reporte? ¿Podría el denunciado conocer la identidad del denunciante? ¿Quién decidiría investigar? ¿Podría ese investigador actuar sin autorización del denunciado? ¿Cómo se llegaría al directorio? ¿Quién preservaría evidencia? ¿Qué ocurriría si el denunciante fuera despedido dos semanas después? ¿Quedaría documentado el razonamiento de las decisiones tomadas?
Si el diseño no responde esas preguntas antes de que llegue el caso, el problema no es solamente operativo. Existe una deficiencia de gobierno y de preparación frente al riesgo.
Eso explica por qué ISO 37002 debe ser leída conjuntamente con la exigencia chilena de implementación efectiva. En la Ley N.º 20.393, el objeto no es acumular documentos sino disponer de un modelo adecuado que funcione de acuerdo con la realidad de la organización.
Y explica también por qué un directorio no debería conformarse con preguntar si “tenemos canal”. Una pregunta de gobierno mucho más útil es: ¿qué evidencia tenemos de que las personas confían en él, que los conflictos están controlados, que las denuncias relevantes pueden llegar hasta nosotros y que la organización actúa sobre la información recibida?
¿Necesita entonces mi empresa un canal de denuncias externo?
No existe una regla general en Chile que obligue a todas las empresas a contratar un proveedor externo. La Ley N.º 20.393 exige canales seguros; la Ley Karin regula vías y procedimientos de denuncia; la CMF exige divulgar determinadas características; y otros sistemas sectoriales refuerzan la importancia de detección, confidencialidad, investigación y evidencia. Ninguna de esas fuentes convierte, por sí sola, la tercerización privada en una obligación universal.
Pero eso es solo la primera mitad de la respuesta.
Una empresa sí debería externalizar aquello que razonablemente no pueda gestionar internamente con suficiente independencia, seguridad, competencia o credibilidad. Y mientras mayor sea la concentración de poder, el riesgo de represalias, la exposición regulatoria, la complejidad organizacional o la probabilidad de que altos ejecutivos sean objeto de una denuncia, mayor es el fundamento para disponer, al menos, de una ruta alternativa ajena a la línea jerárquica.
ISO 37002 permite convertir esa decisión en un análisis técnico y no intuitivo.
La cuestión deja entonces de ser “interno o externo” y pasa a ser qué combinación de capacidades internas y externas permite construir un sistema confiable, imparcial, protector y demostrablemente efectivo.
Próximos pasos para el directorio y la gerencia
Antes de aprobar o renovar el sistema, el órgano de gobierno debería poder responder cinco preguntas:
- Alcance: ¿el canal cubre efectivamente los principales riesgos penales, laborales, éticos, regulatorios y de conducta de la organización y permite acceso a las partes interesadas que pueden conocerlos?
- Independencia: ¿existe una ruta que permita denunciar a cualquier integrante de la administración sin que esa persona pueda bloquear, conocer o interferir anticipadamente en el caso?
- Seguridad y protección: ¿puede la empresa demostrar quién accede a los datos, cómo protege anonimato y confidencialidad, cómo administra conflictos de interés y cómo previene y detecta represalias?
- Capacidad de respuesta: ¿están claramente definidos recepción, triage, investigación, protección, decisión, cierre y escalamiento al directorio, incluyendo los responsables y competencias de cada etapa?
- Efectividad: ¿el directorio recibe indicadores sobre confianza, utilización, tiempos, investigaciones, acciones correctivas y funcionamiento del sistema, y existe evidencia de auditoría, revisión y mejora?
Si esas preguntas no pueden responderse satisfactoriamente, la organización no debería comenzar preguntando cuánto cuesta una plataforma. Debería comenzar por determinar qué capacidades le faltan para disponer de un sistema de denuncias compatible con su riesgo y con el estándar de gestión que hoy representa ISO 37002.
Para directores y gerentes, esa evaluación ya no es periférica. Es parte de contar con información suficiente para gobernar una organización que debe detectar problemas antes de que esos problemas sean detectados exclusivamente por una autoridad, un tribunal, un periodista, un cliente o el mercado.
