Llega una denuncia al canal de interno. Es anónima. No trae adjuntos, no identifica testigos, no acompaña un solo documento. Alguien en el comité formula entonces la pregunta que parece razonable y no lo es: “¿y qué pruebas aporta?”. Cuando la respuesta es “ninguna”, muchas organizaciones cierran el caso. Ese cierre es un error técnico y, a menudo, el origen de un problema mayor.

Exigir prueba al denunciante invierte la carga. Quien reporta rara vez tiene acceso a los contratos, a los registros contables, a los correos corporativos o a los servidores. Justamente por eso denuncia: vio algo que no puede verificar por sí mismo y que la organización sí puede verificar. La evidencia casi siempre está adentro.

Por eso el estándar internacional nunca fue la prueba. La Directiva (UE) 2019/1937 (Directiva Whistleblowing) protege a quien tiene “motivos razonables para creer” que la información era veraz, y precisa que esa protección no se pierde ante un error honesto. La Ley 2/2023 española obliga a admitir y tramitar denuncias anónimas, y entre sus causales de inadmisión no figura la falta de pruebas: se inadmite por falta de verosimilitud. Verosimilitud no es prueba. El Departamento de Justicia de Estados Unidos, en su guía de programas de cumplimiento de 2024, tampoco pregunta qué trajo el denunciante; pregunta cómo la compañía decide qué amerita investigación.

Recordemos algunos ejemplos. En noviembre de 2019 McDonald’s despidió a su CEO, Steve Easterbrook, tras investigar una relación con una empleada. Esa investigación revisó su teléfono corporativo y no encontró nada que contradijera su versión. Se cerró. En julio de 2020 llegó una denuncia anónima, sin prueba alguna, alegando otra relación. Esta vez la compañía revisó sus propios servidores: encontró decenas de imágenes explícitas que Easterbrook había enviado desde su correo corporativo y borrado del teléfono, pero no del sistema. McDonald’s recuperó 105 millones de dólares de su indemnización y la SEC lo sancionó en 2023. La evidencia siempre estuvo ahí. Nadie la había ido a buscar.

Hay dos caras de una misma realidad. Barclays recibió en 2016 dos cartas anónimas; su CEO, en vez de revisar el contenido, intentó identificar al autor, y en 2018 los reguladores británicos lo multaron en 642 mil libras esterlinas. Danske Bank desatendió advertencias internas sobre su sucursal en Estonia y en 2022 se declaró culpable de fraude, con un decomiso de 2.059 millones de dólares.

Los números explican la urgencia. Según el Report to the Nations 2026 de la ACFE, el 43% de los fraudes se detecta por denuncias, más que por cualquier otro mecanismo. La pérdida mediana salta de 40 mil dólares cuando el esquema se detecta dentro de seis meses a más de 1,1 millones de dólares, cuando supera los cinco años. Archivar no resuelve el problema: solo compra tiempo.

Conviene hacer una precisión. He sostenido —y mantengo— que el sistema chileno necesita mecanismos de admisibilidad, especialmente en el marco de la Ley Karin. Sin embargo, el triaje debe servir para determinar qué procedimiento corresponde aplicar, y nunca para establecer si el denunciante logró probar los hechos denunciados. La admisibilidad no equivale al archivo de la denuncia.

Cuando un fiscal o un regulador evalúa la efectividad de un Modelo de Prevención de Delitos, no se limita a medir la cantidad o calidad de las denuncias recibidas. Lo que examina, principalmente, es la trazabilidad de la respuesta: qué se hizo, quién actuó, cuándo se investigó, qué conclusiones se alcanzaron y qué medidas se adoptaron.

Un canal de denuncias que recibe cientos de reportes, pero no genera investigaciones ni acciones verificables, no demuestra ausencia de riesgos; por el contrario, puede evidenciar una falla de control y de supervisión.

Porque si una organización recibe señales de alerta y no las investiga internamente, existe una alta probabilidad de que, tarde o temprano, un tercero, fiscalía, regulador o autoridad competente, lo haga por ella.

La ausencia de prueba no es prueba de ausencia. Es, apenas, el punto de partida.