1. INTRODUCCIÓN

INTERMONEY CAPITAL SGEIC S.A., actualmente pendiente de inscripción en Registro Mercantil y CNMV el cambio de denominación a MERUS EQUITY PARTNERS, SGEIC, S.A (en adelante, “Merus”, la “Gestora” o la “Entidad”) ha implantado un Sistema interno de información y defensa del informante (en adelante, Sistema) con la finalidad de colaborar en el compromiso colectivo con el buen funcionamiento de las instituciones públicas y privadas.

Merus garantiza una protección adecuada a aquellos informantes ante las posibles represalias que pudieran sufrir y fortalece la cultura de la información y la infraestructura de integridad de la entidad y fomenta la cultura de la información como mecanismo para prevenir y detectar amenazas al interés público mediante la implantación de este Sistema.

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción exige contar con un procedimiento de gestión de las informaciones recibidas dentro del Sistema interno de información.

2. OBJETIVO

Establecer las previsiones necesarias para que el Sistema interno de información y los canales internos de información definidos en Merus con los requisitos establecidos en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

3. ALCANCE

3.1.   Ámbito material de aplicación
El Sistema es de aplicación para cualquier comunicación realizada por un informante que suponga una acción u omisión que pueda ser constitutiva de infracción penal o administrativa grave o muy grave o que pueda constituir una infracción del Derecho de la Unión Europea siempre que:

1. Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019;

2. Afecten a los intereses financieros de la Unión Europea; o

3. Incidan en el mercado interior.

Dicho lo anterior, en el caso de que se comunicara una información fuera de este ámbito material de aplicación Merus se reserva el uso de darle curso a su investigación, pero el informante no estaría cubierto por las medidas de protección ante represalias.

3.2.    Ámbito personal de aplicación
El Sistema es de aplicación a los informantes que hayan obtenido información sobre una infracción en un contexto laboral o profesional, comprendiendo en todo caso:

a) las personas que tengan la condición de trabajadores por cuenta ajena;

b) los autónomos;

c) los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de Merus, incluidos los miembros no ejecutivos;

d) cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores;

También será de aplicación a los informantes que comuniquen información sobre una infracción obtenida en el marco de una relación laboral o estatutaria ya finalizada, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.

Las medidas de protección del informante también se aplicarán, en su caso, específicamente a los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante y a cualquier persona física o jurídica en la que preste servicios el informante o le asistan al mismo o que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante.

4.         RESPONSABLE DEL SISTEMA INTERNO DE INFORMACIÓN Y PERSONAL CON ACCESO A LA INFORMACIÓN

El Consejo de Administración, como máximo responsable de la implantación del Sistema interno de información, ha nombrado responsable del Sistema a D. Pablo Goizueta Hernández, quien ejercerá su cargo con independencia de dicho Consejo.

El Responsable del Sistema responderá de la tramitación diligente de las informaciones recibidas a través de los canales de denuncia.

El acceso a los datos personales contenidos en el Sistema interno de formación quedará limitado, dentro del ámbito de sus competencias y funciones, exclusivamente a:

a) El Responsable del Sistema.

b) El responsable de recursos humanos, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador.

c) El responsable de los servicios jurídicos de la entidad.

d) Los encargados del tratamiento que eventualmente se designen.

e)  delegado de protección de datos.

Dicho lo anterior, será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas correctoras en la entidad o la tramitación de los procedimientos sancionadores o penales que, en su caso, procedan.

5.         DESCRIPCIÓN DEL PROCEDIMIENTO DE GESTIÓN DE INFORMACIONES

El procedimiento de gestión de informaciones consta de las siguientes fases:

• Recepción de informaciones.
• Evaluación de informaciones.
• Gestión de informaciones.
• Conclusiones.

A continuación, describimos cada una de ellas.

5.1.   Recepción de informaciones
Merus cuenta con dos canales internos para la recepción de informaciones, uno principal, consistente en un buzón electrónico el cual se encuentra accesible a través de la dirección pública, y otro alternativo, a solicitud del informante, consistente en la posibilidad de requerir una reunión presencial al responsable del sistema.

En ambos casos, se advertirá a los informantes de forma clara y accesible, sobre los canales externos de información ante las autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea una vez sean creados.

Al hacer la comunicación, el informante podrá indicar un domicilio, correo electrónico o lugar seguro a efectos de recibir las notificaciones. En ningún caso se comunicarán datos personales cuya pertinencia no resulte manifiesta para trata la información.

Todo el personal no responsable del tratamiento del canal interno queda advertido que deberán guardar la debida confidencialidad en caso de que cualquier comunicación no sea remitida por el canal interno principal fijado (buzón electrónico) constituyendo una infracción muy grave su quebranto y que deberán transmitirla inmediatamente al responsable del Sistema.

5.1.1.       Reunión presencial
El Responsable del Sistema dará audiencia al informante en un plazo máximo de siete días naturales.

La reunión presencial será documentada, previo consentimiento del informante y facilitándole la información requerida acerca del tratamiento de sus datos de acuerdo con lo que se establece en el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016:

a) mediante la grabación de la conversación utilizando la herramienta de video conferencia la cual genera unos archivos de video y audio que permiten su almacenamiento de forma encriptada, o

b) a través de una transcripción completa y exacta de la conversación realizada por el personal responsable de tratarla, para lo cual se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar mediante su firma la transcripción de la conversación.

Una vez realizada la reunión, el responsable del Sistema registrará la comunicación en el Sistema Interno de Información la cual le asignará un código de identificación.

5.1.2.       Buzón electrónico
La utilización de este buzón electrónico permite la presentación y posterior tramitación de comunicaciones, incluso anónimas, a través de la dirección pública: http://compliance.informaconsulting.com/FormularioPublico/LadingPage?Token=1f596ee3-3076-4bfe-9200-cf8bb46d19af dado que no se recoge ni la IP del informante ni se instalan cookies de rastreo o similares. Únicamente se guarda la fecha de creación de la denuncia y se le asigna un identificador único. Este código sirve de evidencia de acuse de recibo de la información.

El aplicativo para la recepción de la información facilita al informante la información a que se refieren los artículos 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y 11 de la Ley Orgánica 3/2018, de 5 de diciembre. Además, se les informa de que su identidad será en todo caso reservada y que no se comunicará a las personas a las que se refieren los hechos relatados ni a terceros.

Todos los campos recogidos son opcionales a excepción de un campo CAPTCHA para evitar la introducción de datos por parte de robots.

Una vez introducida la información, el informante recibe un pantallazo como el siguiente:

El propio aplicativo realiza el envío del acuse de recibo al informante siempre que haya introducido una dirección de correo electrónico válida:

En el caso de que haya introducido una dirección postal se le remitirá un correo certificado con acuse de recibo en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación. Si tampoco se informa de la dirección de correo postal pero sí de un móvil se le remitirá SMS certificado en el mismo plazo, pero en este caso se le limitará la información a incluir a la mera constancia de la información suministrada, así como su identificador único.

5.2.    Recepción de informaciones
Todas las comunicaciones recibidas serán analizadas con detalle teniendo que dilucidar si admitirla o no a trámite.

Se inadmitirán aquellas que:

• Carezcan de verosimilitud.
• Carezcan de fundamento o existan indicios racionales de haberse obtenido mediante la comisión de un delito.

En aquellos casos de comunicaciones que no entren dentro del ámbito material de aplicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, Merus se reserva el uso de darle curso a su investigación, pero el informante no estaría cubierto por las medidas de protección ante represalias.

Tanto la admisión como la no admisión a trámite se comunicará al informante en el plazo máximo de siete días naturales y siempre y cuando sea posible y no se ponga en riesgo su identificación. En el caso de no proceder a la investigación se ofrecerán los motivos de la decisión y se permitirá al informante ofrecer más información al respecto. El informante podrá ofrecer más información siempre que opine que puede ayudar a clarificar el caso. Así mismo, también podrá ser requerido a ofrecer información adicional.

En el hipotético caso de que se recopilarán datos personales que no sean necesarios, se eliminarán sin dilación indebida. En particular, si la información recibida contuviera datos personales incluidos dentro de las categorías especiales de datos, se procederá a su inmediata supresión, sin que se proceda al registro y tratamiento de los mismos.

En caso de que los hechos comunicados pudieran ser indiciariamente constitutivos de delito se deberá remitir la información al Ministerio Fiscal con carácter inmediato.

5.3.    Investigaciones de las informaciones recibidas
El responsable del Sistema deberá de llevar a cabo todas aquellas actuaciones necesarias encaminadas a comprobar la verosimilitud de los hechos relatados evitando en todo caso posibles situaciones de conflictos de interés. En caso de que se estime oportuno, el responsable del Sistema podrá nombrar una Comisión de Investigación en la cual podrá integrar a terceros que ayuden en el análisis y validación de la información recogida.

Asimismo, se informará lo antes posible a la persona o personas afectadas sobre las acciones u omisiones que se le atribuyen y sobre su derecho a ser escuchado siempre y cuando esta comunicación no ponga en ningún riesgo las labores de investigación. Además, de concertar una entrevista invitándoles a exponer su versión de los hechos ocurridos se les ofrecerá aportar aquellas pruebas que consideren adecuados y pertinentes. En todo caso habrá de respetarse la presunción de inocencia y al honor de la persona o personas afectadas, pero bajo ningún concepto se comunicará a los sujetos afectados la identidad del informante ni se dará acceso a la comunicación.

5.4.    Conclusiones
Una vez concluidas las actuaciones de investigación, el responsable del Sistema emitirá un informe que contendrá, al menos:

• Una exposición de los hechos relatados junto con el código de identificación de la comunicación y la fecha de registro.
• Las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos.
• Las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los indicios que las sustentan.
• La definición de las posibles responsabilidades y consecuencias derivadas del análisis e investigación de la denuncia recibida.
• Las actuaciones reactivas para evitar o mitigar el riesgo causado.

El responsable del Sistema presentará dicho informe al Consejo de Administración sin dilación indebida para la aprobación de posibles acciones tales como:

• Medidas de corrección necesarias.
• Aplicación del Régimen Disciplinario.
• Comunicación al Ministerio Fiscal.
• Adopción de medidas preventivas y detectivas para evitar situaciones futuras.

Finalmente, se notificará la resolución al informante (si es posible) y al sujeto investigado en el plazo máximo de tres meses, si bien pudiera ampliarse otros tres más en caso de alta complejidad. El informante tendrá derecho a la protección según la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, a no ser que se concluyera que la información recabada debía haber sido inadmitida al carecer de verosimilitud, no entrar en el ámbito material de la citada ley o carecer de fundamento.

6. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

Los datos que sean objeto de tratamiento podrán conservarse en el sistema de informaciones únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos informados.

Si se acreditara que la información facilitada o parte de ella no es veraz, deberá procederse a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.

En todo caso, transcurridos tres meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema. Las comunicaciones a las que no se haya dado curso solamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre. En ningún caso podrán conservarse los datos por un período superior a diez años.

7. REGISTRO DE INFORMACIONES

Merus ha desarrollado un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar el cual es presentado anualmente al Consejo de Administración para la validación de su adecuado funcionamiento. Este libro-registro se encuentra debidamente encriptado en un directorio con un acceso restringido al responsable del sistema lo que le confiere un alto grado de confidencialidad.

Exclusivamente mediante un auto de la Autoridad judicial competente y en el marco de un procedimiento judicial tutelado se dará acceso total o parcialmente al contenido del referido registro.

8. CANALES EXTERNOS

Además de utilizar el canal interno de Merus que se desarrolla en este documento, toda persona física que lo desee puede presentar su información a través del canal externo de información de la Autoridad Independiente de Protección del Informante (A.A.I.), al que la Ley dedica el Título III.

En la fecha en la que se aprueba este documento, la Autoridad Independiente de Protección del Informante (A.A.I.) aún no ha sido creada, contando el Gobierno con un año para la aprobación de su Estatuto a partir de la entrada en vigor de la Ley. Al margen de lo expuesto, cualquier persona que tenga conocimiento de hechos que pudieran ser constitutivos de fraude o irregularidad en relación con proyectos u operaciones financiados total o parcialmente con cargo a fondos procedentes de la Unión Europea podrá poner dichos hechos en conocimiento del Servicio Nacional de Coordinación Antifraude S.N.C.A. a través del canal habilitado al efecto por dicho Servicio (Infofraude) en la dirección web:

https://www.igae.pap.hacienda.gob.es/sitios/igae/esES/snca/Paginas/ComunicacionSNCA.aspx

O bien acudir a la Oficina Europea de Lucha contra el Fraude (OLAF), la información al respecto se desarrolla en el siguiente enlace:

https://anti-fraud.ec.europa.eu/olaf-and-you/report-fraud_es

O, finalmente, a la Fiscalía Europea, sobre la que se dispone de la información al respecto en el siguiente enlace:

https://www.eppo.europa.eu/en/reporting-crime-eppo

En el caso de que se trate de una información sobre posibles prácticas anticompetitivas, podrán utilizarse los canales externos de comunicaciones de la Dirección de Competencia de la Comisión Nacional de los Mercados y la Competencia, cuya información al respecto se desarrolla en el siguiente enlace:

https://edi.cnmc.es/buzones-anonimos/sica

9.         PROHIBICIÓN DE REPRESALIAS

Merus prohíbe expresamente los actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación conforme a lo previsto en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Una represalia implica cualesquier acto u omisión que suponga directa o indirectamente un trato desfavorable que sitúe a las personas que las sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública.

Se consideran represalias, entre otros:

a)     La suspensión del contrato de trabajo, incluyendo la no renovación o la terminación anticipada de un contrato de trabajo temporal.

b)    Daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones, intimidaciones, acoso u ostracismo.

c)     Evaluación o referencias negativas respecto al desempeño laboral o profesional.

d)    Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al empleo o la contratación de obras o servicios.

e)     Denegación de formación.

f)       Discriminación, o trato desfavorable o injusto.

Por este motivo, se informará al Departamento de Administración para garantizar en todo momento que no se realiza ningún tipo de represalia sobre los informantes.