Desde que la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción entró en vigor en marzo de 2023, miles de empresas españolas llevan preguntándose lo mismo: ¿tengo obligación de implantar un canal de denuncias o no? La respuesta depende de varios factores — tamaño de plantilla, sector de actividad y forma jurídica — y tiene consecuencias económicas reales. En septiembre de 2025 arrancó la Autoridad Independiente de Protección del Informante (AIPI), el organismo estatal que supervisa el cumplimiento y puede imponer multas de hasta un millón de euros. Ya no es una obligación teórica.
¿Qué es un canal de denuncias y qué obliga la Ley 2/2023?
Un canal de denuncias — denominado en la ley Sistema Interno de Información (SII) — es el mecanismo formal a través del cual empleados, proveedores, contratistas, becarios y cualquier persona vinculada a la organización puede reportar de forma confidencial, e incluso anónima, conductas irregulares: corrupción, fraude, vulneraciones del derecho europeo, infracciones laborales graves o medioambientales, entre otras.
La Ley 2/2023 transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, sobre la protección de las personas que informen sobre infracciones del Derecho de la Unión. El objetivo declarado es doble: proteger al informante frente a represalias y articular un sistema que permita detectar irregularidades antes de que escalen.
Consulta el texto oficial en el BOE-A-2023-4513.
¿Qué empresas están obligadas? El umbral de 50 trabajadores
La regla general es clara: todas las empresas del sector privado con 50 o más trabajadores deben disponer de un Sistema Interno de Información. El cómputo de plantilla se realiza sobre la media anual, incluyendo trabajadores a tiempo parcial de forma proporcional.
Los plazos de implantación ya vencieron:
- Empresas con más de 250 trabajadores: plazo hasta el 13 de junio de 2023 (tres meses desde la entrada en vigor).
- Empresas de 50 a 249 trabajadores: plazo hasta el 1 de diciembre de 2023.
Dicho de otra forma: si en 2026 tienes 50 o más empleados y no cuentas todavía con un canal operativo y conforme a la ley, llevas más de dos años en incumplimiento.
Sectores regulados: la excepción que amplía la obligación por debajo de 50 empleados
La Ley 2/2023 contempla una excepción crítica que muchas pymes pasan por alto: las entidades del sector privado con menos de 50 trabajadores que operen en alguno de los siguientes sectores están igualmente obligadas, con independencia de su tamaño:
- Servicios financieros (banca, seguros, gestoras, asesores de inversión).
- Prevención del blanqueo de capitales y financiación del terrorismo.
- Seguridad en el transporte (aeronáutico, ferroviario, marítimo, por carretera).
- Protección del medio ambiente (instalaciones sometidas a autorización ambiental integrada, residuos, vertidos).
- Salud pública y seguridad alimentaria cuando exista regulación europea aplicable.
Si tu empresa presta servicios de asesoría financiera, gestiona fondos, opera como corredor de seguros o está sujeta a la normativa de prevención de blanqueo de capitales (Ley 10/2010), la obligación existe aunque tengas 12 empleados.
Tabla resumen: ¿quién debe tener canal de denuncias?
| Tipo de entidad | Umbral de plantilla | Obligación | Plazo original vencido |
|---|---|---|---|
| Empresa privada (sector general) | 250 o más trabajadores | Sí, obligatorio | 13 junio 2023 |
| Empresa privada (sector general) | 50-249 trabajadores | Sí, obligatorio | 1 diciembre 2023 |
| Empresa privada (sector general) | Menos de 50 trabajadores | No obligatorio (salvo sector regulado) | — |
| Sector financiero, PBC/FT, transporte, medioambiente | Cualquier tamaño | Sí, obligatorio | 13 junio 2023 |
| Partidos políticos, sindicatos, fundaciones con financiación pública ≥ 100.000 € | Cualquier tamaño | Sí, obligatorio | 13 junio 2023 |
| Administraciones públicas y organismos públicos | Todos | Sí, obligatorio | 13 junio 2023 |
¿Qué requisitos debe cumplir el canal?
Tener un buzón de correo electrónico genérico no es suficiente. La Ley 2/2023 establece condiciones técnicas y organizativas precisas que el SII debe cumplir:
Confidencialidad y anonimato
El sistema debe garantizar la confidencialidad de la identidad del informante durante todo el proceso. Además, debe permitir comunicaciones anónimas — es decir, el canal no puede rechazar una denuncia solo porque no se identifique el remitente. El responsable del sistema tiene prohibido revelar la identidad sin consentimiento expreso del informante, salvo que exista una obligación legal contraria.
Responsable del sistema
La empresa debe designar formalmente a una persona responsable del Sistema Interno de Información. Puede ser un empleado interno con autonomía suficiente, un órgano colegiado (comité de compliance) o un tercero externo — opción habitual en organizaciones sin estructura interna de cumplimiento. Desde noviembre de 2025, la AIPI exige que esta designación quede comunicada formalmente.
Plazos de respuesta
- Acuse de recibo al informante: máximo 7 días naturales desde la recepción de la denuncia.
- Resolución o comunicación de seguimiento: máximo 3 meses (prorrogables a 6 en casos complejos).
Accesibilidad ampliada
El canal no es solo para empleados actuales. Deben poder utilizarlo también exempleados, candidatos en proceso de selección, proveedores, subcontratistas, autónomos vinculados y cualquier persona que haya tenido relación laboral o mercantil con la organización y haya conocido la infracción en ese contexto.
Prohibición de represalias
La ley prohíbe expresamente cualquier medida de represalia contra el informante: despido, degradación, cambio de condiciones, negativa a ascender, presión psicológica, lista negra, o cualquier otra medida perjudicial. La carga de la prueba se invierte: si el informante es perjudicado en los dos años siguientes a la denuncia, la empresa debe demostrar que la medida no está relacionada con la denuncia.
La AIPI: el organismo que ya puede sancionar
Durante los dos primeros años de vigencia de la Ley 2/2023, la falta de autoridad supervisora con capacidad sancionadora generó una percepción de baja presión regulatoria. Eso cambió el 1 de septiembre de 2025, cuando la Autoridad Independiente de Protección del Informante (AIPI) inició formalmente sus actividades. A partir de entonces, las empresas obligadas que no cumplan están expuestas a sanciones reales.
El régimen sancionador de la Ley 2/2023 distingue tres niveles:
| Tipo de infracción | Ejemplos | Multa para personas jurídicas |
|---|---|---|
| Muy grave | No tener canal; represalia contra el informante; revelar su identidad | Hasta 1.000.000 € |
| Grave | Canal con deficiencias técnicas sustanciales; no designar responsable; no respetar plazos | Hasta 600.000 € |
| Leve | Incumplimientos formales o procedimentales menores | Hasta 100.000 € |
Además de las multas económicas, las infracciones muy graves pueden conllevar prohibición de contratar con el sector público y la exclusión de subvenciones y ayudas durante un período determinado — sanciones accesorias que para muchas pymes son más gravosas que la propia multa.
Cómo implantar el canal de denuncias paso a paso
Si tu empresa está obligada y aún no dispone de un SII conforme, los pasos son los siguientes:
- Auditoría de situación: revisar si la empresa está efectivamente obligada, qué existe ya (buzones, procedimientos informales) y qué brechas hay respecto a los requisitos legales.
- Elección del modelo: canal interno propio, plataforma tecnológica externa o externalización completa a un tercero especializado. Cada opción tiene ventajas según el tamaño y sector.
- Designación del responsable: nombramiento formal y comunicación a la AIPI.
- Política y procedimiento: elaboración de la política de denuncias (alcance, materias denunciables, proceso de investigación, protección al informante) y su integración en el sistema de compliance.
- Comunicación interna: informar a toda la plantilla — y a la cadena de valor relevante — de la existencia del canal y cómo acceder a él.
- Formación: al responsable del sistema y a los mandos intermedios sobre el tratamiento correcto de las denuncias y la prohibición de represalias.
- Revisión periódica: el canal debe auditarse al menos una vez al año para verificar su funcionamiento y actualizar el procedimiento si cambia la normativa o la estructura de la empresa.
En Summum Consultoria acompañamos todo este proceso desde el diagnóstico inicial hasta la puesta en marcha del canal y la formación del responsable. Consulta nuestro servicio de implantación de canal de denuncias para conocer el alcance completo.
¿Puede un canal de denuncias ser también una ventaja competitiva?
Más allá del cumplimiento normativo, las organizaciones que implantan un SII robusto obtienen beneficios tangibles en su gestión interna. Detectar irregularidades de forma temprana evita que escalen a crisis reputacionales, litigios o investigaciones regulatorias. Los empleados que saben que disponen de un canal seguro tienen mayor confianza en la dirección, lo que impacta positivamente en el clima laboral y la retención de talento.
Por otro lado, muchos procesos de contratación pública y de due diligence en operaciones corporativas ya incluyen el canal de denuncias como criterio de verificación del nivel de compliance de la empresa. Contar con uno conforme y documentado suma en procesos de licitación y en negociaciones de fusiones y adquisiciones.
Para las empresas que trabajan en cadenas de suministro de grandes corporaciones, la presión es directa: los compradores corporativos exigen cada vez más que sus proveedores dispongan de mecanismos de denuncia funcionales, en línea con los requisitos de las políticas ESG y de la normativa de diligencia debida empresarial en materia de derechos humanos y medio ambiente.
Relación con otras obligaciones de compliance
El canal de denuncias no es una isla. Su implantación se integra de forma natural con otras obligaciones y estándares de compliance que la empresa puede ya tener o estar considerando:
- Programa de compliance penal (art. 31 bis CP): la existencia de un canal de denuncias funcional es uno de los elementos que los tribunales valoran para eximir o atenuar la responsabilidad penal de la persona jurídica. Un canal mal diseñado — sin independencia, sin confidencialidad — puede no surtir ese efecto atenuante.
- RGPD: el tratamiento de los datos personales del informante y de los investigados debe ajustarse al Reglamento (UE) 2016/679. La AEPD ha publicado orientaciones específicas sobre el canal de denuncias y protección de datos que deben tenerse en cuenta al diseñar el sistema.
- ISO 37301 (Sistemas de gestión de compliance): esta norma internacional contempla los sistemas de reporte como elemento esencial de un programa de compliance maduro. Un canal de denuncias conforme a Ley 2/2023 es perfectamente alineable con los requisitos de la norma.
- NIS2 y ENS: para empresas obligadas por la Directiva NIS2 o el Esquema Nacional de Seguridad, la trazabilidad de los incidentes y el canal de comunicación interna son también elementos evaluados.
Preguntas frecuentes
Tengo 45 empleados y no soy empresa financiera. ¿Estoy obligado a tener canal de denuncias?
Con carácter general, no. La Ley 2/2023 fija el umbral obligatorio en 50 trabajadores para el sector privado no regulado. Sin embargo, si tienes 45 empleados y prevés crecer o si alguna de tus actividades cae dentro de los sectores regulados (servicios financieros, prevención de blanqueo, transporte o medioambiente), conviene hacer una verificación específica. Además, implantarlo de forma voluntaria puede aportar valor de compliance y protegerte frente a potenciales responsabilidades penales de la persona jurídica.
¿Es suficiente con publicar un correo electrónico en la intranet?
No. Un buzón de correo electrónico genérico no garantiza la confidencialidad técnica que exige la ley — el administrador del servidor de correo puede acceder a los mensajes — ni permite comunicaciones anónimas de forma efectiva. La ley exige un sistema que garantice técnicamente la confidencialidad y que permita la comunicación bidireccional con el informante (para pedir aclaraciones o enviar el acuse de recibo) sin revelar su identidad. Existen plataformas específicas, algunas de ellas muy asequibles, que cumplen estos requisitos técnicos.
¿Qué ocurre si una denuncia resulta ser falsa?
La ley protege al informante que actúa de buena fe, aunque los hechos denunciados resulten finalmente no probados o sean incorrectos. La protección no ampara, sin embargo, a quien realiza denuncias falsas o maliciosas a sabiendas. En ese caso, el denunciante puede incurrir en responsabilidad civil o penal por denuncia falsa o calumnia, y la empresa puede ejercer acciones legales. El procedimiento interno debe estar diseñado para detectar estas situaciones y documentarlas adecuadamente.
¿Puedo externalizar el canal de denuncias a un tercero?
Sí. La Ley 2/2023 permite expresamente que las empresas encomienden la gestión del canal a un tercero externo — un bufete, una consultora de compliance o una plataforma tecnológica especializada — siempre que se garanticen las mismas condiciones de confidencialidad, independencia y plazos de respuesta. La responsabilidad sigue siendo de la empresa, que debe supervisar que el tercero opera conforme a la ley. Esta opción es especialmente adecuada para empresas de entre 50 y 100 empleados sin un departamento de compliance establecido.