Canal de denuncias obligatorio: cómo implantarlo correctamente en tu empresa
Desde el 1 de septiembre de 2025, la Autoridad Independiente de Protección del Informante (AIPI) está plenamente operativa y puede sancionar a las empresas que incumplan la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Este cambio convierte el canal de denuncias en una obligación con consecuencias reales e inmediatas: ya no basta con tener algo publicado en la intranet. La norma exige un sistema funcional, con procedimientos definidos, responsable designado y garantías efectivas de confidencialidad.
La Ley 2/2023 transpone en España la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, conocida como Directiva Whistleblowing, y afecta a todas las empresas con 50 o más trabajadores, así como a entidades de determinados sectores regulados con independencia de su tamaño. Para quienes todavía no han implantado el sistema, o lo han hecho de forma incompleta, el riesgo sancionador es real y creciente.
Desde Martín & Parés Abogados asesoramos a empresas en el diseño e implantación de sistemas de compliance penal, incluyendo el canal de denuncias como uno de sus pilares fundamentales. Esta guía explica paso a paso qué exige la ley, qué errores evitar y cómo estructurar un sistema que funcione de verdad.
¿Quién está obligado a tener un canal de denuncias?
La obligación de implantar un Sistema Interno de Información (denominación técnica que emplea la ley) recae sobre las siguientes entidades:
- Empresas del sector privado con 50 o más trabajadores, con independencia de su forma jurídica o sector de actividad.
- Entidades del sector financiero, de servicios de inversión, seguros, fondos de pensiones y mercados de valores, con independencia de su plantilla.
- Administraciones públicas, entidades del sector público, universidades públicas, partidos políticos, sindicatos, patronales y fundaciones que reciban financiación pública.
- Empresas con un volumen de negocios igual o superior a 10 millones de euros, aunque no alcancen el umbral de 50 trabajadores.
Las empresas de entre 50 y 249 trabajadores pueden compartir el canal de denuncias entre sí si operan en la misma zona geográfica o sector, siempre que se garantice la independencia del sistema. Para las organizaciones más pequeñas que no estén obligadas, la implantación voluntaria sigue siendo recomendable desde la perspectiva del compliance penal y de la contratación con grandes grupos empresariales, que cada vez con más frecuencia la exigen como requisito de acceso a su cadena de proveedores.
Qué exige exactamente la Ley 2/2023
La norma no describe un modelo único, pero sí establece un conjunto de requisitos mínimos que el sistema debe cumplir. Los más relevantes son los siguientes:
Canales de comunicación múltiples
El sistema debe admitir comunicaciones tanto por escrito como de forma verbal. Además, si el informante lo solicita, la empresa está obligada a ofrecerle la posibilidad de presentar la denuncia mediante una reunión presencial en un plazo máximo de siete días. Un simple buzón de correo electrónico no cumple los requisitos técnicos que exige la ley en materia de confidencialidad, control de accesos y registro de expedientes.
Confidencialidad y posibilidad de anonimato
La ley distingue entre denuncia confidencial (el informante se identifica, pero su identidad queda protegida) y denuncia anónima. Ambas modalidades deben estar disponibles. Revelar la identidad del informante que ha optado por el anonimato es una infracción muy grave expresamente tipificada en el artículo 63 de la ley.
Responsable del Sistema Interno de Información (RSII)
La ley exige designar una persona responsable del canal, que actúe con plena independencia y autonomía. Este responsable debe ser notificado a la AIPI. El plazo habilitado para comunicar el nombramiento en el registro estatal fue del 10 de febrero al 10 de abril de 2026, aunque las obligaciones de designación son previas y continúan vigentes. Esta notificación es adicional e independiente del registro que pudiera existir ante autoridades autonómicas.
Plazos de gestión
La ley fija plazos estrictos para la gestión de cada denuncia recibida:
- 7 días hábiles para emitir el acuse de recibo de la comunicación.
- 3 meses desde la recepción de la denuncia para investigar y comunicar al informante el resultado o las medidas adoptadas, prorrogables en casos de especial complejidad.
Libro-registro de denuncias
Debe llevarse un registro de todas las comunicaciones recibidas, con los datos necesarios para su trazabilidad, garantizando siempre la confidencialidad de la información. La conservación de los datos está sujeta a las disposiciones sobre protección de datos personales del RGPD y la LOPDGDD.
Protección frente a represalias
El informante que actúa de buena fe goza de protección legal frente a cualquier tipo de represalia laboral: despido, sanción, cambio de condiciones, acoso o discriminación. La empresa que adopte medidas de este tipo incurre en una infracción muy grave, con sanciones de la máxima cuantía.
Cómo implantar el canal de denuncias paso a paso
1. Elegir el modelo de gestión: interno o externalizado
La ley permite externalizar la gestión del canal a un tercero especializado, siempre que se garantice la independencia, la confidencialidad y el cumplimiento de las obligaciones en materia de protección de datos. Esta opción es especialmente adecuada para empresas que no disponen de recursos internos suficientes para gestionar el canal con la imparcialidad que exige la norma.
2. Designar al Responsable del Sistema Interno de Información
El RSII debe ser una persona con capacidad para actuar con autonomía real, sin depender jerárquicamente de quien podría ser objeto de una denuncia. En función de la estructura organizativa, puede ser un directivo, un compliance officer o un órgano colegiado. Su identidad debe ser comunicada a la AIPI y debe actualizarse ante cualquier cambio.
3. Diseñar el procedimiento interno
El reglamento del canal debe describir, como mínimo, los canales de recepción disponibles, el circuito de tramitación, los plazos de respuesta, las medidas de confidencialidad, los criterios de archivo sin investigación y el régimen de protección del informante. Este documento debe estar accesible para todos los trabajadores y ser aprobado formalmente por los órganos de gobierno de la empresa.
4. Implementar la solución técnica
La plataforma o herramienta elegida debe garantizar técnicamente la confidencialidad de las comunicaciones, la restricción de accesos al personal autorizado, el registro de logs de actividad y la posibilidad de denuncia anónima. No es un requisito de coste elevado, pero sí de rigor técnico: la solución debe cumplir los estándares de seguridad equivalentes a los exigidos en materia de protección de datos.
5. Formar e informar a la organización
La existencia del canal debe ser conocida por todos los trabajadores, colaboradores externos y proveedores que pudieran querer utilizarlo. La formación es especialmente relevante para el personal que pudiera recibir accidentalmente una comunicación de denuncia: la ley les exige remitirla inmediatamente al RSII, y les prohíbe revelar su contenido bajo pena de infracción muy grave.
6. Integrar el canal en el sistema de compliance penal
Un canal de denuncias aislado no cumple su función preventiva. Para que tenga valor como eximente o atenuante de responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal, debe estar integrado en un programa de compliance con mapa de riesgos, protocolos de actuación y supervisión continua. Los tribunales ya no admiten sistemas implantados «sobre el papel»: exigen evidencias de aplicación real y compromiso desde la alta dirección.
Sanciones por incumplimiento: un riesgo que ya es real
No disponer de un Sistema Interno de Información cuando existe obligación legal se considera una infracción muy grave en virtud del artículo 63 de la Ley 2/2023. Las sanciones económicas para personas jurídicas oscilan entre 600.001 y 1.000.000 de euros en el tramo más alto. Las infracciones graves conllevan multas de entre 100.001 y 600.000 euros, y las leves de hasta 100.000 euros.
Además de las multas, la ley contempla sanciones accesorias para las infracciones más graves: amonestación pública, prohibición de obtener subvenciones o beneficios fiscales durante uno a cuatro años, y prohibición de contratar con el sector público hasta tres años. Para empresas con actividad vinculada a la contratación pública, este último extremo puede resultar más perjudicial que la propia multa.
Con la AIPI plenamente operativa desde el 1 de septiembre de 2025 y con capacidad para iniciar investigaciones de oficio, el riesgo sancionador ha dejado de ser teórico. Durante 2025 ya se registraron los primeros procedimientos sancionadores contra empresas que no habían implantado el canal o que lo habían hecho de forma incompleta. En 2026, el nivel de exigencia es aún mayor.
Preguntas frecuentes sobre el canal de denuncias
¿Puede una empresa de menos de 50 trabajadores compartir canal de denuncias con otras?
Sí, pero solo en el caso de empresas de entre 50 y 249 trabajadores, que pueden compartir el sistema si operan en el mismo ámbito geográfico o sector. Las empresas de menos de 50 trabajadores no están obligadas por la Ley 2/2023, salvo que operen en sectores regulados o superen los 10 millones de euros de volumen de negocios. En cualquier caso, pueden implantar el canal de forma voluntaria.
¿Qué ocurre si el canal recibe una denuncia anónima que resulta falsa?
La ley protege al informante que actúa de buena fe, pero no ampara las denuncias presentadas con mala fe o con finalidad difamatoria. Las comunicaciones manifiestamente falsas pueden archivarse motivadamente y, en caso de que causen perjuicio al denunciado, pueden derivar en responsabilidad civil o penal del denunciante. El sistema debe garantizar la presunción de inocencia de la persona afectada durante todo el proceso de investigación.
¿Puede el propio abogado de empresa actuar como responsable del canal?
Depende del grado de independencia real que pueda ejercer. La ley exige que el responsable actúe con plena autonomía. Si el abogado interno depende jerárquicamente de quien podría ser objeto de una denuncia, su designación como RSII puede comprometer la independencia del sistema. En estos casos, la externalización a un profesional o despacho externo ofrece mayor seguridad jurídica.
¿El canal de denuncias sustituye al buzón de sugerencias o al protocolo de acoso?
No. El canal de denuncias de la Ley 2/2023 tiene un objeto específico: recibir comunicaciones sobre infracciones penales o administrativas graves. No reemplaza al protocolo de acoso laboral o sexual (que tiene su propio régimen legal) ni a los mecanismos de participación laboral. Pueden coexistir, pero deben estar claramente diferenciados para evitar confusiones en los usuarios.
¿Qué relación tiene el canal de denuncias con el programa de compliance penal?
El canal de denuncias es un elemento necesario pero no suficiente del compliance penal. Para que la empresa pueda beneficiarse de la exención o atenuación de responsabilidad penal prevista en el artículo 31 bis del Código Penal, el canal debe estar integrado en un programa completo de prevención de delitos, con mapa de riesgos actualizado, formación periódica y supervisión efectiva por un órgano de control.
¿Necesita asesoramiento legal en esta materia? En Martín & Parés Abogados le ofrecemos un análisis personalizado de su situación y una respuesta jurídica adaptada a su caso.
Puede contactar con nosotros a través del correo electrónico info@martinpares.com, o bien por teléfono a nuestra oficina de Madrid 910 888 452, o de Barcelona 931 164 108.