Si estás evaluando implementar un canal de denuncia en tu empresa, probablemente ya te topaste con información contradictoria. Algunos artículos hablan de leyes europeas que obligan a tenerlo, otros mencionan sanciones millonarias, y no siempre queda claro qué de todo eso aplica realmente en México.
La confusión tiene una explicación: gran parte del contenido en español sobre este tema está escrito pensando en la normativa de España o de la Unión Europea, que es distinta a la mexicana. Aquí vamos a responder específicamente para México, con la norma que sí aplica — y con un matiz que casi nadie explica bien.
La respuesta corta
Sí. La NOM-035 obliga a los centros de trabajo en México a contar con mecanismos seguros y confidenciales para recibir denuncias de violencia laboral y prácticas contrarias al entorno organizacional favorable.
La parte que casi nadie explica es que la obligación no es solo tener “algo” — es que ese algo cumpla con esas dos condiciones al mismo tiempo. Un buzón físico, un correo compartido entre varias personas de RH, o “repórtalo con tu jefe” pueden técnicamente existir, pero rara vez garantizan seguridad y confidencialidad reales.
Un dato que pocas empresas mexicanas se detienen a considerar
Según un estudio de KPMG sobre delitos financieros en México, 7 de cada 10 empresas en el país han sido víctimas de fraude interno, con un costo promedio superior a 1.4 millones de pesos por evento. Y de acuerdo con el Report to the Nations de la ACFE (a nivel global), el 43% de los casos de fraude ocupacional se detecta a través de denuncias —la fuente de detección más efectiva, por encima de auditorías internas o revisiones gerenciales.
Sin un mecanismo que la gente realmente use, buena parte de esa información nunca llega. Y como veremos, “tener un canal” y “tener un canal que la gente use” no siempre son la misma cosa.
Qué establece realmente la NOM-035 sobre mecanismos de denuncia
Qué obliga la norma
La NOM-035-STPS-2018, publicada por la Secretaría del Trabajo y Previsión Social en el Diario Oficial de la Federación el 23 de octubre de 2018, tiene como objetivo identificar, analizar y prevenir los factores de riesgo psicosocial en los centros de trabajo. Dentro de sus disposiciones, establece que los centros de trabajo deben disponer de mecanismos seguros y confidenciales para la recepción de denuncias por prácticas opuestas al entorno organizacional favorable y por actos de violencia laboral.
Qué significa realmente “seguro y confidencial” (y por qué muchos canales internos no lo cumplen)
Aquí es donde la mayoría de las empresas se llevan una sorpresa al revisar lo que ya tienen. En la práctica, un mecanismo genuinamente seguro y confidencial debería garantizar:
- Que la identidad de quien reporta no pueda deducirse por compañeros o superiores durante el proceso normal de la empresa
- Que el acceso a la información esté restringido a quien realmente necesita gestionarla, no abierto a todo el equipo de RH
- Que exista una cadena de manejo documentada, no un canal informal sin registro
- Que la persona que reporta tenga certeza real de que no habrá represalias, no solo la promesa verbal de que no las habrá
Un buzón físico en la oficina puede ser visto por cualquiera que pase cerca. Un correo compartido puede ser leído por varias personas del equipo, incluso sin mala intención. Ninguno de los dos es necesariamente ilegal por sí solo, pero ambos hacen difícil sostener —ante una inspección o ante los propios colaboradores— que el mecanismo es realmente seguro y confidencial, no solo que existe.
A quién aplica
La norma aplica a todos los centros de trabajo en México, sin importar el tamaño. Lo que varía según el número de colaboradores es el nivel de otras obligaciones específicas (como la aplicación de cuestionarios de diagnóstico), pero la obligación de contar con un mecanismo para recibir quejas de violencia laboral aplica de forma general.
Esta obligación específica es el mínimo que exige la ley. Muchas empresas extienden el mismo mecanismo para cubrir también fraude, corrupción y otras conductas, aunque ahí la ley no los obligue de la misma forma.
Riesgos de no tener un mecanismo que realmente cumpla
No tener un mecanismo genuinamente seguro y confidencial —incluso si “algo” existe en papel— implica riesgos reales: casos que escalan directamente a redes sociales sin que la empresa se entere primero, colaboradores que dejan de confiar en reportar porque perciben que no hay verdadera confidencialidad, y exposición ante una inspección de la STPS si lo que existe no cumple con el estándar que exige la norma.
Señales de que estás expuesto, aunque tu mecanismo actual “exista en papel”
- Tu mecanismo actual depende de una sola persona o de un correo compartido dentro de RH
- Tienes más de 50-100 colaboradores y múltiples niveles jerárquicos
- Ya viviste un caso sensible sin un canal formal para recibirlo
- Tu matriz extranjera o tus inversionistas esperan estándares de compliance más amplios
- No tienes forma de comprobar, ante una inspección, que tu mecanismo es seguro y confidencial en la práctica
Si te identificas con alguno de estos puntos, el siguiente paso es decidir cómo vas a operar un mecanismo que sí cumpla: de forma interna, o con un tercero independiente.
Preguntas frecuentes
¿Qué pasa si mi empresa no cumple con la NOM-035?
La STPS puede aplicar sanciones económicas, con montos que dependen de la infracción específica, el tamaño de la empresa y otros factores de gravedad. Las cifras se calculan en UMA (Unidad de Medida y Actualización) y su valor en pesos se actualiza cada año, así que si necesitas el monto exacto vigente, te recomendamos confirmarlo directamente con la STPS o un especialista laboral.
¿“Confidencial” es lo mismo que “anónimo”?
No. Confidencial significa que la identidad de quien reporta se protege y se maneja con reserva. Anónimo significa que ni siquiera se recaba esa identidad. La NOM-035 exige confidencialidad, no necesariamente anonimato absoluto, aunque muchas empresas ofrecen ambas opciones para dar mayor confianza a quien reporta.
¿Aplica la misma obligación a empresas pequeñas?
La obligación de contar con un mecanismo para recibir quejas de violencia laboral aplica de forma general, sin importar el tamaño. Lo que varía según el número de colaboradores son otras obligaciones específicas de la norma.
¿Un canal de denuncia interno cumple con la NOM-035 o debe ser externo?
La norma no exige que el canal sea operado por un tercero externo — técnicamente, un mecanismo interno puede cumplir. El punto no es quién lo opera, sino si genuinamente garantiza seguridad y confidencialidad. Muchas empresas descubren, al revisar sus propios procesos, que lo que tienen hoy no cumple realmente ese estándar, aunque exista “algo” en papel.
¿Existen sanciones económicas por no tener mecanismos de denuncia para fraude o corrupción?
No, porque no existe una ley mexicana que obligue de forma general a tenerlo para ese tipo de conductas. La motivación para implementarlo ahí es de prevención y buenas prácticas, no de cumplimiento normativo directo.
Ethic Lines Service combina tecnología con un equipo de profesionales que recibe, revisa y da seguimiento a cada caso bajo una metodología definida, cumpliendo con los estándares de seguridad y confidencialidad que exige la norma — ya sea para cumplir con la NOM-035, prevenir fraude o fortalecer tu cultura ética.
Fuentes citadas: NOM-035-STPS-2018, publicada en el Diario Oficial de la Federación (DOF), 23 de octubre de 2018. KPMG, Impacto de los delitos financieros en México. ACFE, Occupational Fraud 2024: A Report to the Nations.