¿Qué exige la Ley 2/2023 a una correduría de seguros?
Respuesta corta
La Ley 2/2023 obliga a tener un sistema interno de información (el llamado canal de denuncias) a las empresas con 50 o más trabajadores y, sin importar su tamaño, a las que están sujetas a la normativa europea de servicios financieros, que incluye la distribución de seguros. El canal debe admitir comunicaciones anónimas, acusar recibo en 7 días naturales y dar respuesta en un máximo de 3 meses.
¿Qué es la Ley 2/2023?
Es la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Traslada al derecho español la Directiva (UE) 2019/1937, conocida como directiva whistleblowing, y tiene dos objetivos: que las organizaciones tengan un cauce seguro para recibir avisos sobre infracciones y que quien informa esté protegido frente a represalias.
Para el sector asegurador no es una novedad absoluta: la normativa de distribución de seguros (Real Decreto-ley 3/2020) ya exigía a los distribuidores un procedimiento interno, independiente y confidencial para que sus empleados notificaran infracciones. La Ley 2/2023 concreta y endurece esas exigencias.
¿Quién está obligado?
- Empresas con 50 o más trabajadores, de cualquier sector.
- Con independencia de su plantilla, las empresas incluidas en el ámbito de los actos de la Unión Europea sobre servicios, productos y mercados financieros y prevención del blanqueo de capitales. Aquí entran las corredurías, agencias y demás distribuidores de seguros.
- Las empresas de 50 a 249 trabajadores pueden compartir medios y recursos para gestionar el canal, y los grupos de empresas pueden tener un sistema común.
En la práctica, una correduría o agencia de seguros debe contar con canal de denuncias aunque tenga pocos empleados.
¿Qué debe tener el canal?
- Comunicaciones por escrito, verbales o ambas. Si quien informa lo pide, también una reunión presencial en un plazo máximo de 7 días.
- Comunicaciones anónimas, y protección de la identidad de quien informa y de las personas afectadas.
- Un responsable del sistema, nombrado por el órgano de administración, que actúe con independencia.
- Una política que explique los principios del sistema y un procedimiento de gestión de las comunicaciones.
- Un libro-registro de las informaciones recibidas y de las investigaciones, que es confidencial.
- Información clara y accesible sobre el canal. Si la empresa tiene web, debe figurar en la página de inicio, en una sección separada y fácil de identificar.
¿Qué plazos marca la ley?
| Obligación | Plazo |
|---|---|
| Acuse de recibo a quien informa | 7 días naturales desde la recepción, salvo que ponga en riesgo la confidencialidad |
| Respuesta a las actuaciones de investigación | Máximo 3 meses, ampliable otros 3 en casos de especial complejidad |
| Reunión presencial, si se solicita | Máximo 7 días |
| Comunicar el nombramiento o cese del responsable del sistema a la autoridad competente | 10 días hábiles |
¿Se puede externalizar?
Sí. La ley permite que la gestión del canal, es decir, la recepción de las comunicaciones, la lleve un tercero externo, siempre que ofrezca garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones. La empresa sigue siendo la responsable del sistema y quien debe tramitar las investigaciones.
Externalizar el canal tiene dos ventajas claras en una correduría pequeña: quien informa confía más en un canal independiente y la empresa se asegura de cumplir los plazos y los requisitos técnicos sin montar nada propio.
¿Qué sanciones hay?
La ley prevé multas para las personas jurídicas de hasta 100.000 euros por infracciones leves, de 100.001 a 600.000 euros por graves y de 600.001 a 1.000.000 de euros por muy graves. No contar con un sistema interno de información cuando es obligatorio, o no respetar sus garantías, se considera infracción muy grave. También se sancionan las represalias contra quien informa y la vulneración de la confidencialidad.
¿Cómo ponerlo en marcha paso a paso?
- Comprobar si la empresa está obligada y si conviene un canal propio, compartido o externo.
- Aprobar la política del sistema interno de información en el órgano de administración.
- Nombrar al responsable del sistema y comunicarlo a la autoridad competente en 10 días hábiles.
- Habilitar el canal: seguro, accesible y con posibilidad de comunicaciones anónimas.
- Aprobar el procedimiento de gestión y abrir el libro-registro.
- Informar a la plantilla y publicar la información en la página de inicio de la web.
- Revisar el sistema periódicamente.
Fuentes: Ley 2/2023, de 20 de febrero (BOE) · Directiva (UE) 2019/1937 · Real Decreto-ley 3/2020 (distribución de seguros).
Esta guía tiene carácter informativo y no sustituye el asesoramiento profesional para cada caso.