Actualidad

La mayoría de las organizaciones que implantan un canal de denuncias resuelven el problema equivocado. Invierten en una plataforma tecnológica que garantiza el anonimato del alertador, la dan por cumplida y consideran cerrado el capítulo de whistleblowing. ISO 37002 dice, en esencia, que eso no es suficiente. Y la práctica lo confirma con una insistencia incómoda: los canales anónimos con más inversión tecnológica siguen recibiendo menos denuncias de las que su propia gravedad organizativa haría esperar.

El error de tratar el anonimato como sustituto de la confianza

El anonimato resuelve un problema técnico: que nadie pueda identificar quién presentó la denuncia a través de metadatos, direcciones IP o patrones de acceso al sistema. Es una condición necesaria. No es, ni de lejos, una condición suficiente.

El motivo es sencillo y casi nunca se dice en voz alta dentro de las organizaciones: la gente no deja de denunciar por miedo a que se descubra su identidad técnica. Deja de denunciar por miedo a lo que ocurre después, sea o no identificable. Teme el aislamiento social dentro de su equipo, la pérdida de oportunidades de promoción, el trato distante de un superior que intuye —aunque no sepa con certeza— quién ha sido, o simplemente la sensación de que denunciar no cambia nada y solo genera un desgaste personal que nadie más va a asumir.

Ninguno de estos miedos se resuelve con cifrado, ni con servidores externos, ni con un canal gestionado por un tercero independiente. Se resuelven con cultura organizacional. Y ISO 37002 lo formula con una claridad que muchas implantaciones ignoran: el sistema de gestión de denuncias no es el canal. El canal es solo la puerta de entrada.

Lo que ISO 37002 exige y lo que las organizaciones suelen implementar

ISO 37002 estructura el sistema de gestión de denuncias alrededor de tres principios que aparecen explícitamente en la norma: confianza, imparcialidad y protección. La mayoría de las implantaciones que se observan en el terreno atienden con solvencia al primero de forma parcial —la confianza técnica en el canal— y descuidan sistemáticamente los otros dos.

La protección, en particular, es el principio que exige más que infraestructura. ISO 37002 habla de proteger al alertador frente a represalias, y las represalias rara vez son actos identificables y sancionables con facilidad. Son un ascenso que no llega, una reunión a la que se deja de invitar, un comentario informal que circula por la oficina, una carga de trabajo que empieza a ser desproporcionada sin motivo aparente. Ese tipo de represalia es casi imposible de perseguir con un procedimiento disciplinario, y es exactamente el tipo de represalia que más desincentiva la próxima denuncia, dentro y fuera de la organización.

Si el sistema de gestión de denuncias no incluye mecanismos activos para detectar y frenar este tipo de represalia sutil —seguimiento del alertador tras la denuncia, canales de escalado si percibe un trato distinto, formación específica a mandos intermedios sobre qué comportamientos constituyen represalia aunque no sean punibles formalmente—, el canal anónimo se convierte en una fachada de cumplimiento. Existe, se puede auditar, pero no genera el efecto que la norma persigue.

La paradoja del silencio en organizaciones con canales técnicamente robustos

Hay un patrón que se repite con frecuencia suficiente como para no ser anecdótico: organizaciones que invierten en plataformas de denuncia sofisticadas, con garantías técnicas de anonimato bien diseñadas, y que sin embargo reciben un volumen de denuncias muy inferior al que su tamaño, sector o historial de incidencias haría esperar.

La explicación no está en la tecnología. Está en que los empleados han hecho, de forma colectiva y no siempre consciente, un cálculo de riesgo que no depende del cifrado del canal. Ese cálculo se basa en señales culturales: si conocen casos anteriores de alertadores que sufrieron consecuencias informales, si perciben que la dirección trata las denuncias como una molestia administrativa, si el feedback tras una denuncia previa fue inexistente o tardío, o si simplemente no ven ejemplos visibles de que una denuncia haya generado un cambio real en la organización.

El resultado es un canal que cumple sobre el papel y fracasa en su propósito. Y esto tiene una derivada auditable: un volumen de denuncias anormalmente bajo, combinado con un canal técnicamente bien implantado, es en sí mismo una señal de alerta que cualquier auditor de ISO 37002 con experiencia debería saber leer.

Qué construye realmente una cultura de protección al alertador

La cultura de protección no se decreta ni se documenta en un procedimiento; se demuestra con hechos repetidos y visibles a lo largo del tiempo. Hay cuatro elementos que marcan la diferencia entre un canal que existe y un sistema que funciona.

El primero es el compromiso visible de la alta dirección, no como declaración de intenciones en la política de compliance, sino como comportamiento observable. Cuando una denuncia grave se resuelve y la organización comunica —de forma proporcionada y respetando la confidencialidad— que se tomaron medidas, envía una señal mucho más potente que cualquier campaña de comunicación interna sobre la existencia del canal.

El segundo es el seguimiento activo del alertador tras la denuncia. No basta con garantizar que no habrá represalias; hay que comprobar que efectivamente no las hay, mediante conversaciones de seguimiento, sin presionar ni generar la sensación de vigilancia, pero dejando claro que la organización asume una responsabilidad continuada más allá del momento de la denuncia.

El tercero es la formación específica de mandos intermedios. Son ellos quienes, sin mala intención en la mayoría de los casos, generan buena parte de las represalias informales que erosionan la confianza en el sistema. Si no entienden qué comportamientos constituyen represalia —incluso los que parecen menores o justificables por otros motivos—, la política de protección se queda en el papel.

El cuarto es la transparencia agregada sobre el funcionamiento del sistema: cuántas denuncias se reciben, en qué plazo se resuelven, qué tipo de seguimiento reciben, sin comprometer nunca la identidad de nadie. Esta transparencia no es un requisito literal de la norma, pero es la evidencia más convincente de que el sistema tiene un uso real y no solo una existencia formal.

El riesgo de que el canal se convierta en cumplimiento vacío

Aquí conecta directamente con un patrón que ya se observa en otras normas de gestión en proceso de revisión: la diferencia entre un sistema que cumple sobre el papel y un sistema que genera valor real. ISO 37002 corre el mismo riesgo que ISO 9001 con el pensamiento basado en riesgos: implantar la estructura sin construir la sustancia que la sostiene.

Un canal de denuncias anónimo sin cultura de protección no es un sistema de gestión incompleto. Es, en la práctica, un sistema que puede generar un efecto contrario al buscado: proyecta una imagen de organización comprometida con la integridad mientras el silencio interno persiste, lo que dificulta todavía más que alguien decida hablar más adelante, cuando el problema haya crecido.

La pregunta que debería guiar cualquier implantación

Antes de invertir en la robustez técnica del canal, toda organización debería poder responder con honestidad a una pregunta: si un empleado denunciara hoy una irregularidad grave que implicara a un superior directo, ¿confiaría en que la organización lo protegería, más allá de lo que garantice el sistema informático?

Si la respuesta es dudosa, el problema no se resuelve mejorando el cifrado. Se resuelve construyendo, con hechos sostenidos en el tiempo, la confianza que ISO 37002 exige como principio y que ninguna tecnología puede sustituir.