Un canal de denuncias es el sistema por el que una organización recibe y gestiona informaciones sobre infracciones internas.
Lo esencial
- La Ley 2/2023, de 20 de febrero obliga a implantar un Sistema interno de información a las empresas privadas con 50 o más trabajadores y a todo el sector público.
- El plazo de respuesta al informante es de 7 días naturales para el acuse de recibo y 3 meses para cerrar la investigación, ampliables a 6 meses en casos complejos.
- El canal debe permitir la comunicación anónima y garantizar la confidencialidad de la identidad del informante.
- Hay que designar un Responsable del Sistema y comunicarlo a la Autoridad Independiente de Protección del Informante.
- Las sanciones a personas jurídicas llegan a 1.000.000 de euros en infracciones muy graves, y hasta 300.000 euros a personas físicas.
¿Qué es el canal de denuncias y qué obliga la Ley 2/2023?
La Ley 2/2023 traspone al ordenamiento español la Directiva (UE) 2019/1937 de protección del denunciante. Su lógica es sencilla: quien detecta una irregularidad dentro de una organización solo la comunicará si el proceso le protege, así que la ley construye ese proceso y lo hace obligatorio.
El texto legal no habla de «canal de denuncias» sino de Sistema interno de información. La diferencia no es terminológica. Un canal es la vía de entrada de la comunicación, un formulario web, un teléfono o una reunión presencial. El Sistema es todo lo demás: quién recibe, en qué plazos, con qué garantías, con qué registro y con qué protección frente a represalias. Cumplir la ley con un buzón de correo electrónico y nada más es el error más extendido.
Están obligadas las entidades del sector privado con 50 o más trabajadores, todas las entidades del sector público, los partidos políticos, sindicatos y organizaciones empresariales que reciban fondos públicos, y determinadas entidades del ámbito financiero y de prevención del blanqueo con independencia de su plantilla.
¿Qué plazos marca la ley?
Los plazos son la parte más comprobable del cumplimiento y la primera que revisa un inspector.
| Hito | Plazo |
|---|---|
| Acuse de recibo al informante | 7 días naturales desde la recepción |
| Plazo máximo de respuesta | 3 meses desde el acuse de recibo |
| Ampliación en casos complejos | Hasta 6 meses en total |
| Conservación de datos del expediente | Máximo 10 años |
| Datos de comunicaciones no tramitadas | Se suprimen en un máximo de 3 meses |
El plazo de tres meses cuenta desde el acuse de recibo, no desde la fecha de la denuncia. Si no se emitió acuse de recibo, el cómputo arranca a los siete días de la recepción de la comunicación, así que retrasar el acuse no gana tiempo.
¿Cómo se implanta un canal de denuncias paso a paso?
1. Delimita el ámbito y las materias
Define qué entidades del grupo quedan cubiertas y qué infracciones admite el canal. La ley cubre como mínimo las infracciones del Derecho de la Unión de su ámbito material y las infracciones penales o administrativas graves o muy graves del ordenamiento español. Puedes ampliar el ámbito a incumplimientos del código ético interno, y en general conviene hacerlo, pero delimítalo por escrito.
2. Aprueba la política del Sistema
El órgano de administración debe aprobar formalmente la política del Sistema interno de información. Este acuerdo es documentación exigible y es lo primero que se pide en una revisión.
3. Designa al Responsable del Sistema
Es la figura central. Debe ser un directivo con autonomía e independencia, sin conflicto de interés, y su designación se comunica a la Autoridad Independiente de Protección del Informante. Puede ser una persona física o un órgano colegiado, y la función puede externalizarse en un tercero. Tienes el detalle del trámite en nuestra guía sobre el alta del Responsable del Sistema ante la AIPI.
4. Habilita canales que admitan el anonimato
La ley exige que el sistema permita comunicaciones escritas, verbales o ambas, y que admita la presentación anónima. El anonimato técnico real es una decisión de arquitectura, no una casilla: si el formulario registra la IP del informante o el correo pasa por un buzón que alguien de la organización puede rastrear, el anonimato es nominal.
5. Escribe el procedimiento de gestión
Debe cubrir la recepción, el acuse de recibo, el análisis preliminar de admisibilidad, la instrucción, las medidas cautelares, la resolución y la comunicación al informante. Sin procedimiento escrito, cada expediente se gestiona distinto y la trazabilidad se pierde.
6. Habilita el libro registro
La ley obliga a llevar un libro registro de las informaciones recibidas y de las investigaciones internas. No es público y solo se pone a disposición de la autoridad judicial competente cuando lo requiera.
7. Informa y forma
La existencia del canal, su funcionamiento y las garantías del informante deben comunicarse de forma clara y accesible a la plantilla, y con la misma claridad a terceros que puedan usarlo, como proveedores o candidatos en procesos de selección.
¿Qué protección tiene el informante?
La prohibición de represalias es el núcleo protector de la ley y alcanza a cualquier acto u omisión que perjudique al informante por haber comunicado: despido, cambio de funciones, denegación de formación, evaluaciones negativas o daño reputacional, entre otros.
La consecuencia práctica más relevante para la empresa es la inversión de la carga de la prueba. Si un informante sufre un perjuicio tras comunicar, se presume que ese perjuicio es una represalia y corresponde a la organización acreditar que la decisión respondía a motivos ajenos y debidamente justificados. Esto cambia cómo hay que documentar cualquier decisión laboral que afecte a alguien que ha usado el canal.
La protección se extiende a personas del entorno del informante: compañeros, familiares, representantes legales y personas jurídicas vinculadas.
¿Qué sanciones prevé la ley?
El régimen sancionador del artículo 65 distingue tres niveles y afecta tanto a la entidad como a las personas físicas responsables.
| Gravedad | Personas jurídicas | Personas físicas |
|---|---|---|
| Leve | Hasta 100.000 € | Hasta 10.000 € |
| Grave | Hasta 600.000 € | Hasta 30.000 € |
| Muy grave | Hasta 1.000.000 € | Hasta 300.000 € |
En infracciones muy graves pueden añadirse sanciones accesorias: amonestación pública, prohibición de obtener subvenciones o beneficios fiscales durante un máximo de cuatro años y prohibición de contratar con el sector público durante un máximo de tres años.
No disponer de Sistema interno de información y adoptar represalias contra un informante están entre las conductas más graves. Para una empresa mediana, la sanción accesoria de exclusión de la contratación pública suele pesar más que la multa.
¿Cómo encaja el canal con el resto del programa de compliance?
El canal no es una obligación aislada: es el mecanismo de detección de todo el programa. Sin un canal que funcione, el modelo de prevención penal no tiene entrada de información y pierde buena parte de su eficacia como eximente. Por eso el artículo 31 bis del Código Penal y la Ley 2/2023 se leen juntos, y por eso conviene alinear el canal con tu modelo de prevención de delitos.
La misma lógica se aplica a las normas certificables. La ISO 37001 de gestión antisoborno exige un mecanismo de comunicación con garantías equivalentes, de modo que un Sistema bien construido sirve a la vez para cumplir la ley y para sostener la certificación.
Si necesitas contrastar el alcance de la protección o resolver una duda sobre el trámite, la Autoridad Independiente de Protección del Informante es la referencia institucional.
¿Qué errores hacen que un canal no cumpla?
La mayoría de los incumplimientos que se detectan no vienen de organizaciones que ignoraron la ley, sino de organizaciones que la cumplieron a medias y creen estar cubiertas.
Confundir el canal con el buzón. Un formulario publicado sin procedimiento detrás, sin responsable designado y sin registro no es un Sistema interno de información. Es la carencia más frecuente y la más fácil de acreditar en una inspección.
No comunicar la designación del Responsable. La designación interna sin la comunicación a la autoridad deja el trámite incompleto.
Gestionar los expedientes por correo electrónico. Rompe la confidencialidad, deja copias fuera de control y hace imposible demostrar los plazos. Cuando llega el momento de acreditar que se respondió en tiempo, no hay evidencia.
No formar a quien recibe. El Responsable del Sistema necesita criterio para decidir la admisibilidad, aplicar medidas cautelares y detectar conflictos de interés. Sin formación específica, el proceso se improvisa en el primer caso serio.
Olvidar a los terceros. La obligación de informar sobre el canal no acaba en la plantilla. Proveedores, contratistas, becarios, voluntarios y candidatos en procesos de selección tienen derecho a conocerlo y a usarlo.
Tratar el anonimato como opcional. La ley exige que el sistema permita comunicaciones anónimas. Un canal que obliga a identificarse para completar el envío no cumple, por mucho que prometa confidencialidad después.
Preguntas frecuentes
¿Es obligatorio el canal de denuncias en empresas de menos de 50 trabajadores?
Con carácter general no, pero hay excepciones relevantes. Las entidades sujetas a normativa de prevención del blanqueo de capitales y determinadas entidades del ámbito financiero están obligadas con independencia de su plantilla. Además, las empresas con modelo de prevención penal suelen implantarlo de forma voluntaria porque es un elemento de eficacia del propio modelo.
¿Se pueden compartir recursos entre empresas del grupo?
Sí. Las entidades del sector privado de 50 a 249 trabajadores pueden compartir entre sí el Sistema interno de información y los recursos destinados a las investigaciones. La responsabilidad de cada entidad sobre su cumplimiento se mantiene íntegra.
¿Puede la empresa conocer la identidad del informante?
Solo el Responsable del Sistema y, en su caso, quien instruya el expediente pueden acceder a la identidad, y bajo deber de confidencialidad. La revelación indebida de la identidad es una de las infracciones más graves de la ley. Si el canal admite anonimato, la organización simplemente no dispone del dato.
¿Qué diferencia hay entre canal interno y canal externo?
El canal interno es el de la propia organización. El externo es el de la Autoridad Independiente de Protección del Informante o el de las autoridades autonómicas equivalentes. El informante puede acudir directamente al externo sin haber usado antes el interno, y la ley prioriza el interno pero no lo impone como paso previo.
¿Cuánto tiempo hay que conservar las comunicaciones?
Los datos del expediente se conservan durante el tiempo imprescindible y en ningún caso más de diez años. Si tras la recepción se concluye que no procede iniciar actuaciones, los datos deben suprimirse en un plazo máximo de tres meses, salvo que la conservación sea necesaria para acreditar el funcionamiento del sistema.
¿Necesitas un canal que cumpla los plazos, garantice el anonimato y deje trazabilidad de cada expediente? Agenda una demo del software de canal de denuncias.
