Buenos días a todos.
Vamos a iniciar la segunda parte del día con la sesión de experiencias
y buenas prácticas.
Tenemos con nosotros a un equipo estupendo
que nos va a poner y exponer todo su conocimiento.
El primero que va a hablar va a ser Francisco Yelamos López,
es el responsable del sistema interno de información
y jefe de servicio de control interno de la Universidad de Jaén
y nos va a exponer requerimientos de la aplicación informática
que da soporte al canal interno de información.
Cuando quieras.
Sí, toma.
De nada.
Bueno, pues.
Lo primero de todo es sumarme a las felicitaciones
y los agradecimientos que se han ido repitiendo a lo largo
de estas sesiones, como no puede ser de otra manera.
Yo voy a hablar sobre un tema no tan jurídico,
como se está tratando, sino sobre un aspecto muy práctico,
que es los requerimientos de los sistemas informáticos
que dan soporte al canal de información.
Voy a dividir la exposición en estos cinco apartados,
o sea, una breve introducción, un repaso esquemático
a los requerimientos que plantea la directiva,
un repaso también esquemático, por cuestiones de tiempo sobre todo,
de los requerimientos que recoge la ley,
para ya después seguidamente entrar y centrarme en los requisitos
del software que da respuesta a todos estos requerimientos
que establecen las normas que aplicamos.
Y, finalmente, un par de detalles sobre las empresas proveedoras
de estos sistemas informáticos para el caso de que las instituciones
no creen en los sistemas informáticos con sus propios medios.
Bueno.
La directiva tiene como objetivo, sobre todo,
reforzar la aplicación del derecho y las políticas de la Unión
en ámbitos específicos,
mediante el establecimiento de normas mínimas comunes
que proporcionan un elevado nivel de protección de las personas
que informen sobre las infracciones del derecho de la Unión.
La ley plantea esta misma finalidad y en el punto 2 de artículo 1
añade el fomento de la cultura de la información,
de la infraestructura de integridad de las organizaciones y el fomento
de la cultura de la información o comunicación como mecanismo
para prevenir y detectar amenazas al interés público.
Tanto la directiva en su artículo 10 como la propia ley en el artículo 4
establecen como cauce preferente para aportar las informaciones
los canales internos frente a los externos.
Y ello, según el considerando 33 de la directiva,
porque los denunciantes se sienten más cómodos
denunciando por canales internos y porque la denuncia interna
es también el mejor modo de recabar información
de las personas que pueden contribuir a resolver con prontitud
y efectividad los riesgos para el interés público.
Yo no estoy tan seguro de que esta afirmación
de la directiva sea cierta, pero bueno,
ahí está y no podemos hacer otra cosa.
El artículo 7.2 de la directiva lo regula muy bien también a decir
que los Estados miembros promoverán la comunicación a través de canales
de denuncia interna antes que la comunicación
a través de canales de denuncia externa,
siempre que se pueda tratar la inflación
internamente de manera efectiva y siempre que el denunciante
considere que no hay riesgo de represalia.
En definitiva, ¿qué es lo que tenemos que hacer?
Es generar confianza.
Y esa es la clave, generar confianza.
Porque sin esa confianza no van a tener mucho sentido
los canales internos,
puesto que las personas no se van a atrever a hacer
esas denuncias.
La directiva, en su considerando 73,
plantea de manera muy directa las directrices generales
que deben cumplir los canales de información,
al decir sobre ello que sean de fácil acceso,
que sean seguros,
que garanticen la confidencialidad para recibir y tratar la información
y que permitan un almacenamiento duradero de la información.
Ya en el artículo 9.2 añade otras cuestiones,
como las que permitan las denuncias por escrito,
verbales o de ambos modos.
La denuncia verbal será posible por vía telefónica,
a través del sistema de mensajería de voz
y por la solicitud del denunciante,
pues también se puede hacer una reunión presencial
dentro de un plazo razonable.
Bueno, cada cual tendrá su concepto de lo que es razonable.
Ahí está.
Por su parte, la ley.
Como no podía ser de otra manera,
pues recoge todos estos requerimientos
y añade algunos más.
Bueno, el artículo 5.2 es el que recoge los elementos
que deberá contener el sistema interno
y que, de manera miosquemática, aquí los tenemos.
Es decir, que todas las personas puedan utilizarlo.
Es decir, un acceso universal a todas las personas,
incluidas en el ámbito de aplicación.
Que esté diseñado, establecido y gestionado de forma segura,
que garantice la confidencialidad y la protección de datos
como un elemento que es fundamental, que permita comunicaciones verbales
por escrito, que permita la integración
de los distintos canales dentro de la entidad,
que las comunicaciones puedan tratarse dentro,
que cuente con un responsable del sistema,
que cuente con una política o estrategia en este ámbito,
que cuente con un procedimiento de gestión
de la comunicación recibida y que garantice la protección
del informante.
Y este es quizá el elemento más central de la ley,
que lo incluye hasta en su propio nombre.
Ahora ya sí, vamos a ver los requerimientos del software
que utilizamos para dar soporte a todo esto.
Debe cumplir una serie de requisitos
para que dé respuesta a todos los requerimientos que tanto
la directiva como la ley han puesto de manifiesto.
Por lo tanto, debe permitir todas estas prestaciones
como mínimo.
El acceso al sistema debe estar ubicado dentro del espacio web
de la entidad, de manera que su localización sea fácilmente detectada
por todos los usuarios.
Debe estar en la página principal.
Cuando entra a una web de una institución,
debe estar en la página principal para que sea fácil y directo
el acceso.
Pero además de ello,
una vez que se accede al canal, es importante que sea intuitivo,
que ningún interesado en presentar una denuncia
o una información necesite una formación específica
para poder realizar esta labor.
Y deberá permitir, de manera sencilla y rápida, además,
que se puedan agregar documentos, archivos,
evidencias de cualquier tipo que esta persona, el denunciante,
pueda aportar.
La aplicación debe asegurar la información
y la protección de datos, como no puede ser de otra manera,
tanto del informante como del resto de personas
que aparezcan en el procedimiento, en la información.
Es decir, las personas que son objeto de esa denuncia
también tienen sus derechos,
que también tienen que protegerse, y en general cualquier persona
que pueda aparecer a lo largo del procedimiento, ¿no?
Para ello, lo ideal es que haga un cifrado de extremo a extremo,
que garantice la integridad y la confidencialidad.
Un cifrado de extremo a extremo, de manera muy resumida,
consiste en que se hace un cifrado en el dispositivo remitente
y solo se descifra en el dispositivo receptor.
Es decir, de tal manera.
Que en ese tránsito de la información desde el dispositivo que remite
hasta el dispositivo que recibe no se puede desencriptar
y, por lo tanto, nadie puede tener acceso
a esa información.
La confidencialidad, pues ya sabemos y se ha hablado mucho
a lo largo de estos dos días de la importancia que tiene.
La mayor garantía de confidencialidad es el anonimato,
o sea, el sistema debe permitir las denuncias anónimas.
Y debe incluir sistemas que impidan la grabación de las direcciones IP
de los dispositivos que se utilizan
o que grabe cualquier dato o metadato de los documentos que se junten,
de tal manera que no se pueda rastrear el equipo
desde el que se ha presentado la denuncia o la comunicación.
Claro, el sistema debe permitir a sí mismo una comunicación
con el denunciante.
Como ya se ha comentado en alguna ponencia,
a través de un código que, una vez presentada la denuncia,
el sistema emite un código y con ese código.
El denunciante puede hacer un seguimiento
y los gestores pueden comunicarse a través de un sistema de mensajería
que debe incorporar la aplicación.
De manera que, aun siendo anónima,
hay una vía de comunicación con el denunciante,
entre el denunciante y el gestor.
Eso es importante porque el gestor puede necesitar nuevas aclaraciones
o, en un momento posterior, el denunciante puede haber obtenido
una evidencia que no ha presentado en su momento
y la puede presentar a posteriori.
Es muy importante esa relación.
El siguiente elemento es el almacenamiento.
Evidentemente,
el aplicativo debe permitir almacenar la información aportada,
los documentos, evidencias, toda la documentación que se genere
con la instrucción.
Eso es evidente que tiene que permitirlo.
Pero aquí hay una cuestión,
y es que cada vez se usa más el almacenamiento en la nube.
¿Y la nube dónde está?
Eso es un problema que podemos solucionar.
Se debe exigir que, cuando el almacenamiento es la nube,
esos servidores estén ubicados en territorio de la Unión Europea
o en territorio donde sea de aplicación el reglamento
de la Unión Europea relativo a la protección de datos.
¿Por qué?
Pues porque si lo ubicamos,
como en muchos casos ocurre en países como Brasil, Colombia, etc.,
allí no rige esta normativa y podemos tener problemas
de protección de datos.
Entonces, es importante esa exigencia
de que los servidores estén en territorio de aplicación
del reglamento de la Unión Europea sobre protección de datos.
Otro elemento importante que se exige es que la herramienta disponga
de controles para separar los datos identificativos del informante,
si lo hubiera, del resto del expediente,
que pueda tratarlo independientemente,
sin que estén todos juntos.
Y deberá implementar mecanismos que oculten los datos identificativos
de los informantes una vez archivado el caso.
Una vez que ya se ha acabado toda la tramitación,
que ya hemos terminado todo, lo pasamos a archivo definitivo,
el sistema debe.
Ocultar los datos identificativos del informante.
En cuanto a las informaciones verbales,
pues la aplicación informática debe permitir,
dado que la ley dice que las informaciones pueden ser verbales,
pues la propia aplicación informática debe permitir esa grabación,
una grabación de voz.
¿Qué pasa con la confidencialidad si hay una grabación de voz?
Pues que la herramienta debe, debe, se le puede pedir
que incorpore la opción de distorsión de la voz.
De tal manera que le permitimos al denunciante
presentar una denuncia oral y al mismo tiempo
mantener el anonimato.
La integración de los canales, la.
La recoge el artículo 5.2 en su apartado D, que establece
como uno de los requisitos que debe permitir el sistema interno
de información la integración de los distintos canales internos
de información que pudieran establecerse dentro de la entidad.
Entonces, ¿cómo podría hacerse esto en una herramienta informática?
Pues que permita varias URL,
de tal manera que en el mismo canal, en la misma herramienta informática,
podamos incorporar distintas URL para distintos canales,
si así lo estima la entidad como algo oportuno,
como algo que le sea de su interés.
Esta opción está en el mercado
y las entidades que con sus medios propios lo hagan,
pues pueden hacerlo perfectamente.
Una cuestión importante en temas informáticos
siempre son las compatibilidades o incompatibilidades
de los sistemas.
Bien.
En el caso del canal interno, del software que le dé soporte,
debe estar optimizado para los navegadores estándares,
sin necesidad de que haya que incluir plugins específicos
ni elementos adicionales.
Es decir, que de los navegadores,
con cualquiera de los navegadores estandarizados,
se pueda acceder sin necesidad de ninguna otra aplicación
ni ningún otro apoyo informático.
Y, por último, puede parecer que no tiene importancia,
pero.
Yo creo que tanto el software como los manuales se lo deben
de facilitar en castellano y en las lenguas oficiales,
los cooficiales que haya en los territorios
que dispongan de ellas.
Porque seguramente a todos nos ha pasado
que algunas veces hemos recibido las instrucciones en cualquier idioma
menos en el nuestro.
Entonces, bueno, creo que eso,
aunque puede aparecer de menos trascendencia,
nos puede ayudar.
Bueno, por otro lado.
Las herramientas informáticas tienen que facilitarnos la vida,
ayudarnos en nuestra labor diaria y quitarnos el trabajo que pueda
ser, ¿no?
Y para eso, pues yo creo que hay una serie
de mejoras que le podemos pedir a estas herramientas informáticas.
Por ejemplo, que incorpore distintos perfiles de usuarios.
Cuando digo usuario no me refiero a los denunciantes,
me refiero al usuario interno, ¿no?
En mi opinión,
debe incluir al menos un perfil de administrador con capacidad
de personalización y de configuración de todo el entorno para responsables
del sistema y con acceso a todos los asuntos que entren.
El responsable del sistema tiene que tener acceso
a todo lo que entre.
Y, además de este perfil administrador,
otros perfiles de gestores para adjudicarle casos
y que estos gestores puedan acceder exclusivamente
a los casos que el responsable le asigne.
Creo que es importante distinguir estos dos tipos de perfiles
en la herramienta.
El sistema debe ofrecer un informe completo
de la situación de cada expediente.
Debe incluir una herramienta que nos dé ese informe,
que incluya los pasos seguidos para su tramitación,
el resultado final de la investigación,
etcétera, etcétera.
Y debe generar esa información básica
a efectos de que el denunciante pueda hacer un seguimiento
de en qué situación está el caso o la denuncia que ha interpuesto.
A través del código, si es anónima, a través del código,
y si no es anónima, bueno, pues con sus datos personales,
acceder a esa herramienta y tener acceso a ese informe básico
que evidentemente habrá que configurar
con qué queremos, qué información queremos que pueda tener
el denunciante,
porque no siempre le podemos dar toda la información.
O sea, ese informe tiene que estar diseñado
para que no nos excedamos en la información
que le estamos facilitando.
Otro elemento importante que nos puede ayudar
es la integración con los sistemas de correo electrónico,
de forma que envíe por correo electrónico
avisos tanto al responsable cuando se presente una nueva información,
una nueva denuncia,
o cuando se produzcan nuevas actuaciones,
que el sistema te avise mediante un correo electrónico.
A ver, en las entidades donde están entrando continuamente,
pues posiblemente estéis más a menudo mirándolo, ¿no?
En lugares, entidades pequeñas
o como la Universidad de Jaén, que es pequeña,
pues no lo miro todos los días porque no tengo tanto movimiento.
Entonces, ese aviso que me da por correo electrónico,
la verdad es que me viene muy bien, tanto cuando se presenta una denuncia
inicialmente como cuando el denunciante hace nuevas actuaciones.
Vale.
Otro elemento que nos facilita la vida es el acuse de recibo,
configurar el sistema para que automáticamente,
cuando recibe una denuncia, genere un acuse de recibo
y lo remita al denunciante automáticamente,
siempre con el cumplimiento de los plazos.
Es un trabajo que nos ahorra y estar pendiente de los plazos.
Por supuesto, debe incluir un registro de casos
y permitir la trazabilidad de las denuncias,
informaciones, la posibilidad de exportar libros de registro,
que es un requisito legal y tiene que cumplirlo.
Y debe incorporar un cuadro de mando que muestre información estadística
sobre los expedientes gestionados.
Nos vendrá muy bien para hacer seguimiento,
informes y demás.
Vale, si externalizamos el software, no lo hacemos con medios propios,
a las empresas también habría que pedirles alguna cosita.
Y sobre todo, y lo más importante,
es el nivel de seguridad que tengan certificado en el esquema nacional
de seguridad.
Yo entiendo que debemos exigirles el nivel alto
y en ningún caso bajar del nivel medio certificado,
porque es trascendental.
Hay que pedirles un sistema de soporte y asesoramiento
para la gestión del software.
Igualmente, un dimensionamiento de la infraestructura
para dar soporte en función del uso esperado del sistema
y un servicio de copia y recuperación para el caso
de que se produzca pérdida de información.
Es fundamental porque te podrías quedar sin nada.
Por supuesto, el mantenimiento preventivo y correctivo.
El mantenimiento preventivo
para que la herramienta esté continuamente actualizándose,
de tal manera que la evolución de los sistemas informáticos,
de los hackers, se lo pongamos por lo menos difícil.
Y correctivo,
por si deja de fallar.
Finalmente,
una cuestión que sí le pediríamos a las empresas adjudicatarias
es formación, tanto para los gestores responsables
y, además, me parece muy interesante pedirles formación, información
y actividades de concienciación para toda la plantilla
de la entidad.
Y, finalmente, Nada más.
Espero no haberme pasado mucho.
Muchas gracias por su atención.
Ahí tienen mi dirección de correo
por si les puedo ayudar en cualquier cosa.
Pues estaré encantado de atenderles.
Muchas gracias, Francisco.