La Ley 2/2023 obliga a las empresas de más de 50 empleados a disponer de un Sistema Interno de Información operativo, con responsable designado y plazos de respuesta legales. Desde Summum Consultoría te acompañamos en la implantación completa: análisis, tecnología, procedimientos y formación.
La Ley 2/2023, de 20 de febrero, transpuso la Directiva europea Whistleblowing (2019/1937) e impone a toda empresa privada de 50 o más trabajadores la obligación de implantar un canal de denuncias —denominado legalmente Sistema Interno de Información—. El plazo venció el 13 de junio de 2023 para las empresas de 250 o más trabajadores, y el 1 de diciembre de 2023 para las de entre 50 y 249. Las entidades del sector financiero y los sujetos obligados en materia de prevención del blanqueo de capitales deben cumplir con independencia del número de empleados. La Autoridad Independiente de Protección del Informante (AIPI), operativa desde septiembre de 2025, ya ejerce plena potestad sancionadora: no tener el canal implantado o no garantizar el anonimato y la confidencialidad se tipifica como infracción muy grave, con multa de hasta 1.000.000 € para personas jurídicas.
El canal no es solo un buzón de correo ni un formulario en la web. La ley exige que el sistema garantice la identidad del informante (o el anonimato si así lo solicita), que el acuse de recibo se envíe en un plazo máximo de siete días naturales, que la investigación concluya en un máximo de tres meses prorrogables y que exista un responsable del sistema designado formalmente. Además, la organización debe contar con una política de no represalias documentada y comunicada a toda la plantilla. Un canal mal configurado —sin estos elementos— incumple igualmente la ley aunque la tecnología esté activa.
En Summum Consultoría llevamos desde 2007 acompañando a pymes y medianas empresas en proyectos de cumplimiento normativo. Sabemos que la mayoría de las organizaciones necesita una solución que sea funcional sin crear burocracia adicional: un sistema implantado de forma correcta desde el primer día, integrado con los procesos internos existentes, y con la documentación necesaria para acreditar ante la AIPI o en una auditoría que el canal cumple todos los requisitos legales.
Analizamos la estructura organizativa, el número de empleados, los sectores regulados que apliquen y los sistemas de compliance ya existentes. Determinamos si el canal debe ser individual o compartido (grupos de empresas), qué colectivos tienen derecho a denunciar y qué materias deben quedar cubiertas más allá del mínimo legal.
Definimos el flujo de gestión de denuncias: canales de entrada (web, teléfono, presencial), responsable del sistema, procedimiento de investigación y plazos. Asesoramos sobre la herramienta tecnológica más adecuada según el tamaño y presupuesto, asegurando que cumple los requisitos de cifrado, seudonimización y acceso restringido exigidos por la AIPI.
Redactamos la Política del Sistema Interno de Información, el procedimiento de gestión de denuncias, la designación formal del responsable y los modelos de acuse de recibo. Revisamos la cláusula de protección de datos vinculada al canal para garantizar su adecuación al RGPD y a la Ley 2/2023.
Activamos el canal, formamos al responsable designado y comunicamos el sistema a toda la plantilla. Entregamos el registro de implantación que acredita el cumplimiento ante la AIPI. A partir de ahí, ofrecemos revisión anual para mantener el sistema actualizado frente a cambios normativos o de la organización.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Análisis de obligatoriedad
Determinación del umbral legal aplicable (número de empleados, sector regulado, grupo empresarial) y del alcance exacto del sistema interno que debe implantarse.
Selección y configuración tecnológica
Recomendación de plataforma de canal de denuncias con cumplimiento de cifrado, control de accesos y trazabilidad de investigaciones. Configuración inicial incluida.
Política interna y procedimientos
Redacción de la Política del Sistema Interno de Información, protocolo de investigación, plantillas de acuse de recibo y cierre, y designación formal del responsable del sistema.
Integración con protección de datos
Revisión de la cláusula informativa y del registro de actividades de tratamiento (RAT) vinculado al canal, en coordinación con el DPO o el responsable de privacidad de la organización.
Formación al responsable y a la plantilla
Sesión de formación al responsable del sistema sobre gestión de investigaciones, plazos y no represalias. Comunicación interna adaptada para todos los empleados obligados a conocer el canal.
Acreditación y revisión anual
Entrega del expediente de implantación con toda la documentación necesaria para acreditar el cumplimiento ante la AIPI. Revisión anual para adaptarse a actualizaciones normativas o cambios organizativos.
El canal de denuncias forma parte de un ecosistema de cumplimiento más amplio: se conecta con el compliance penal, la protección de datos y las políticas de gobierno corporativo que trabajamos de forma integrada en Summum Consultoría y Summum Calidad.
El canal de denuncias es uno de los elementos clave de un programa de compliance penal sólido: documentar su existencia y uso eficaz contribuye a demostrar la diligencia debida de la empresa ante los tribunales.
Ver servicio → consultoríaEl tratamiento de datos personales en el canal de denuncias requiere una base legal específica, una cláusula informativa adaptada y la actualización del RAT: lo coordinamos con el proyecto de adecuación al RGPD.
Ver servicio → calidadLa ISO 37301 (Sistema de Gestión de Compliance) integra el canal de denuncias como control esencial; si tu empresa avanza hacia esta norma, el sistema ya implantado acelera la certificación.
Ver servicio →Todas las empresas privadas con 50 o más trabajadores están obligadas: las de 250 o más desde el 13 de junio de 2023 y las de entre 50 y 249 desde el 1 de diciembre de 2023. También están obligadas las entidades del sector financiero y los sujetos obligados en materia de prevención del blanqueo de capitales, independientemente de su tamaño. Las empresas de entre 50 y 249 empleados pueden compartir canal con otras entidades del mismo grupo; los municipios de menos de 10.000 habitantes pueden compartirlo con otras administraciones públicas de su comunidad autónoma.
La Autoridad Independiente de Protección del Informante (AIPI), operativa desde septiembre de 2025, puede sancionar la ausencia de canal como infracción muy grave con multas de hasta 1.000.000 € para personas jurídicas. Además, la empresa puede quedar inhabilitada para contratar con el sector público y para recibir subvenciones. En 2025 se han producido ya las primeras sanciones efectivas.
No. La ley exige que el canal garantice la confidencialidad del informante o su anonimato, que el acuse de recibo se emita en un plazo máximo de siete días, que la investigación concluya en un máximo de tres meses y que exista un responsable designado formalmente. Un simple buzón de correo o formulario genérico no cumple estos requisitos y expone a la empresa a sanciones igualmente.
No. La Ley 2/2023 cubre un amplio espectro de materias: infracciones del Derecho de la Unión Europea, del ordenamiento jurídico interno, conductas contrarias a los principios éticos de la organización, irregularidades contables y financieras, y cualquier vulneración de derechos fundamentales en el ámbito laboral. Las organizaciones pueden ampliar voluntariamente el alcance del canal más allá del mínimo legal.
Con el acompañamiento de Summum Consultoría, una empresa mediana puede tener el sistema operativo y documentado en un plazo de tres a seis semanas, dependiendo de la complejidad organizativa y de si ya dispone de algunos elementos de compliance en marcha. El proceso incluye diagnóstico, diseño, tecnología, documentación y formación.