Canal de denuncias: diseño y confidencialidad

Un canal no es un buzón: es un proceso. La guía ISO 37002:2021 sobre gestión de denuncias (una guía, no una norma certificable) lo describe como recibir, evaluar, tratar y cerrar los reportes, con protección de quien reporta. La Directiva (UE) 2019/1937 de protección de quienes denuncian fija dos plazos de referencia: acuse de recibo en siete días y respuesta en un máximo de tres meses, además de confidencialidad de la identidad. Una empresa puede fijar plazos propios, y entonces los debe cumplir.

Abre politica_del_canal y compara con lo que dice esta teoría.

La política dice quién puede ver la identidad del denunciante. El permiso se concede por usuario, y es fácil que se reparta de más: el jefe de una función cercana «por si acaso», el soporte técnico porque administra la plataforma. Cada persona con ese permiso es un punto posible de filtración.

Abre usuarios_del_canal y contrástalo con la regla de identidad de politica_del_canal.

La política de la fundación fija el acuse en un máximo de 7 días desde la recepción. Hay dos maneras de incumplirlo: acusar tarde, o no acusar todavía pasado el plazo. El corte es el 31 de julio de 2027, así que un reporte sin fecha de acuse que llegó hace más de siete días también cuenta.

Abre reportes y revisa fecha de recepción y fecha de acuse de los nueve.

La política impide que quien trabaja en el área señalada abra o gestione el reporte. La bitácora de accesos lo permite comprobar: se cruza el usuario con su área y el reporte con el área señalada. El conflicto no prueba mala fe, pero basta para que el denunciante pierda la confianza y para que la evidencia quede en duda.

Abre bitacora_de_accesos, cruza con usuarios_del_canal y con reportes.

La fundación tiene un permiso de identidad repartido de más, un reporte abierto por alguien de su propia área, tres acuses fuera de plazo y reportes abiertos sin respuesta de fondo. La directora ejecutiva pide un orden de acción.