Canal de denuncias: implementación práctica conforme Ley 2/2023

Si tu empresa tiene 50 o más trabajadores, está obligada desde 2023 a tener un Sistema interno de información, lo que todos llamamos canal de denuncias. No tenerlo, o tenerlo mal implantado, puede suponer multas de hasta 1.000.000 € para la empresa.

La Ley 2/2023 no es especialmente complicada, pero muchos canales que parecen funcionar no cumplen: no garantizan la confidencialidad, no permiten comunicaciones anónimas, no respetan los plazos o no llevan un registro adecuado. En esta guía repasamos qué exige exactamente la ley, qué características técnicas debe tener el canal, cómo gestionar una comunicación paso a paso y qué errores conviene evitar.

Obligaciones de la Ley 2/2023 para empresas con +50 trabajadores

Plazos y sanciones por incumplimiento

La Ley 2/2023 se publicó en el BOE el 21 de febrero de 2023 y entró en vigor el 13 de marzo de 2023. Los plazos para implantar el Sistema interno de información fueron:

Empresas de 250 o más trabajadores: hasta el 13 de junio de 2023. Empresas de 50 a 249 trabajadores (y municipios de menos de 10.000 habitantes): hasta el 1 de diciembre de 2023.

Si tu empresa todavía no lo tiene, lleva casi tres años incumpliendo, y no disponer de un Sistema interno de información en los términos que exige la ley es una infracción muy grave. La Autoridad Independiente de Protección del Informante (AIPI) es la encargada de supervisar y sancionar en el ámbito estatal; algunas comunidades autónomas tienen su propia autoridad.

Estas son las multas para las empresas (art. 65):

Infracciones muy graves (de 600.001 a 1.000.000 €):

• No disponer de un Sistema interno de información en los términos que exige la ley
• Adoptar represalias contra el informante o contra las demás personas protegidas
• Vulnerar las garantías de confidencialidad y anonimato, o intentar revelar la identidad de un informante anónimo
• Obstaculizar la presentación de comunicaciones o impedir, frustrar o ralentizar su seguimiento
• Comunicar o revelar públicamente información a sabiendas de que es falsa

Infracciones graves (de 100.001 a 600.000 €):

• No adoptar las medidas necesarias para garantizar la confidencialidad y el secreto de las informaciones
• Limitar los derechos de la ley u obstaculizar el seguimiento cuando no llegue a ser muy grave
• Vulnerar la confidencialidad o el deber de secreto cuando no llegue a ser muy grave

Infracciones leves (hasta 100.000 €):

• Remitir a la Autoridad información incompleta de forma deliberada, o fuera de plazo
• No colaborar con la investigación de las informaciones
• Cualquier otro incumplimiento de la ley que no esté tipificado como grave o muy grave

Además, las personas físicas responsables de la infracción pueden ser multadas con hasta 300.000 €, y en las infracciones muy graves la Autoridad puede acordar también la amonestación pública o la prohibición temporal de obtener subvenciones y beneficios fiscales.

Empresas exentas vs obligadas

La obligación depende sobre todo del tamaño, pero no solo (arts. 10 y 13):

Obligadas:

• Personas físicas o jurídicas del sector privado con 50 o más trabajadores
• Todas las entidades del sector público, sea cual sea su tamaño (los municipios de menos de 10.000 habitantes pueden compartir el sistema con otras administraciones)
• Sea cual sea su número de trabajadores, las entidades sujetas a la normativa europea sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente
• Partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por ellos, siempre que reciban o gestionen fondos públicos

No obligadas:

• Empresas privadas con menos de 50 trabajadores que no estén en ninguno de los supuestos anteriores

Grupos de empresas: la ley se refiere a cada persona física o jurídica, pero en un grupo de sociedades (art. 42 del Código de Comercio) la sociedad dominante debe aprobar una política general del sistema, y se puede tener un único Sistema interno de información y un único Responsable para todo el grupo (art. 11).

Empresas con plan de compliance: la Ley 2/2023 no las obliga por sí misma, pero un canal de denuncias eficaz es uno de los requisitos de los modelos de prevención de delitos del artículo 31 bis del Código Penal.

Aunque tu empresa no esté obligada, puede implantar un canal de forma voluntaria: ayuda a detectar problemas internos a tiempo y es una pieza clave de cualquier plan de compliance.

Características técnicas que debe tener tu canal de denuncias

Confidencialidad y anonimato

Este es el requisito más crítico y donde más canales fallan. La ley exige las dos cosas: proteger la identidad de quien comunica y permitir comunicaciones anónimas.

Confidencialidad obligatoria: el informante tiene derecho a que su identidad no se revele a terceros (art. 33). Solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora. Dentro de la empresa, el acceso a los datos se limita al Responsable del Sistema y a quien gestione directamente las comunicaciones, y a otras personas (como RRHH o los servicios jurídicos) solo cuando sea necesario para adoptar medidas disciplinarias o legales (art. 32). La dirección o el responsable del departamento afectado no deben saber quién informó.

Canales que incumplen: email corporativo genérico donde varios empleados tienen acceso, formulario web que almacena datos en servidor compartido sin cifrado, buzón físico revisado por secretaría.

Anonimato obligatorio: los canales internos deben permitir presentar y tramitar comunicaciones anónimas (art. 7.3). No es opcional: un canal que obliga a identificarse no cumple la ley. Y vulnerar el anonimato, o intentar averiguar quién es un informante anónimo, es una infracción muy grave.

Canales que permiten anonimato: plataformas específicas con sistemas de tickets anónimos, servicios externos especializados, software especializado con cifrado end-to-end.

Requisitos técnicos de confidencialidad:

• Acceso restringido al Responsable del Sistema y a las personas autorizadas para gestionar las comunicaciones
• Cifrado de comunicaciones entre denunciante y responsable
• Almacenamiento seguro de denuncias con acceso trazable y limitado
• Imposibilidad técnica de que terceros accedan a identidad del informante

Si tu «canal de denuncias» es canaldedenuncias@empresa.com con varios empleados teniendo acceso al buzón, estás incumpliendo. Aunque solo uno revise los emails, el sistema técnico permite que otros accedan. Eso ya es vulneración de confidencialidad.

Plazos de respuesta obligatorios

La protección informante exige plazos estrictos que NO son negociables:

7 días naturales – Acuse de recibo: Desde que se recibe la denuncia, tienes máximo 7 días naturales para confirmar al denunciante que recibiste su comunicación, salvo que hacerlo ponga en peligro la confidencialidad. No hace falta tener toda la información, solo acusar recibo.

El sistema debe garantizar que se cumple este plazo aunque el responsable esté de vacaciones o no revise el correo a diario.

3 meses – Resolución: Desde la recepción de la denuncia, tienes máximo 3 meses para investigar y comunicar resultado al informante: qué medidas se adoptaron o por qué se archivó sin actuación.

En casos de especial complejidad, el plazo puede ampliarse hasta un máximo de otros tres meses. Si no se envió acuse de recibo, los tres meses se cuentan desde que vencieron los siete días.

Implicaciones prácticas: Necesitas sistema que:

• Registre automáticamente fecha de recepción
• Genere alertas si se acerca plazo de acuse (día 5)
• Genere alertas si se acerca plazo de resolución (día 75)
• Permita documentar comunicaciones con fechas verificables

Un buzón de email normal no te da estas garantías. Necesitas plataforma específica o proceso muy disciplinado con registro manual riguroso.

Registro seguro de denuncias

Cada denuncia debe quedar registrada con:

Información básica:

• Fecha y hora de recepción
• Canal por el que se recibió (plataforma, email, teléfono, presencial)
• Resumen del contenido denunciado
• Identidad del denunciante (si se identifica) con nivel de confidencialidad máximo

Seguimiento del caso:

• Acuse de recibo enviado (fecha, contenido)
• Investigación realizada (acciones, personas contactadas, documentos revisados)
• Decisión adoptada (archivo, medidas correctivas, derivación a autoridades)
• Comunicación de resultado al denunciante (fecha, contenido)

Seguridad del registro:

• Acceso limitado solo a responsable del canal
• Trazabilidad de accesos (quién consultó qué y cuándo)
• Cifrado de datos especialmente sensibles
• Backup periódico con misma confidencialidad
• Conservación solo durante el tiempo necesario y proporcionado, y nunca más de 10 años (art. 26)

El libro-registro es, además, tu principal prueba ante la Autoridad si hay una inspección o una reclamación: con él demuestras que cumpliste los plazos y el procedimiento.

Gestión de denuncias: protocolo paso a paso

Recepción y acuse de recibo

Cuando llega una denuncia al sistema interno información, el protocolo debe ser:

Día 1 – Recepción:

• Registrar inmediatamente en sistema (fecha, hora, contenido resumido)
• Asignar número de expediente único
• Evaluar preliminarmente si entra en ámbito de la ley (infracciones, irregularidades graves)
• Si la denuncia es anónima, generar código de seguimiento que permita comunicación bidireccional sin revelar identidad

Días 2-7 – Acuse de recibo:

• Enviar confirmación al denunciante antes de día 7
• Contenido mínimo del acuse:
  • Confirmación de recepción de su comunicación
  • Número de expediente o código de seguimiento
  • Plazo máximo de respuesta (3 meses)
  • Garantías de confidencialidad
  • Protección contra represalias
  • Vías de contacto para ampliación o seguimiento

Errores frecuentes:

• Responder «gracias por su mensaje, lo revisaremos» sin contenido específico → insuficiente
• Enviar acuse genérico sin número de expediente → no permite seguimiento
• Olvidar mencionar plazos o protecciones → incumplimiento formal

Investigación interna

Una vez enviado el acuse de recibo, empieza la investigación. Los plazos internos que proponemos son orientativos: los únicos que fija la ley son los 7 días del acuse y los 3 meses de respuesta.

Evaluación inicial (días 8-15):

• Determinar gravedad y urgencia de la denuncia
• Identificar a quién afecta y qué departamentos involucra
• Decidir quién investiga (puede ser el responsable del canal, puede ser externo si hay conflicto de interés)
• Planificar investigación: qué documentos revisar, a quién entrevistar, qué evidencias buscar

Investigación (días 15-75):

• Recopilar documentación relevante
• Entrevistas confidenciales con personas implicadas (sin revelar quién denunció)
• Análisis de evidencias
• Determinar si la denuncia tiene fundamento o no

Principios fundamentales:

• Imparcialidad: Investigar sin prejuicios ni proteger a nadie por cargo
• Confidencialidad: No revelar quién denunció ni difundir más de lo necesario
• Proporcionalidad: Medidas adaptadas a gravedad de hechos denunciados
• Contradicción: Dar oportunidad a denunciados de conocer acusaciones y defenderse

Casos especiales: Si la denuncia revela delito penal, hay que valorar comunicación a autoridades. Pero esto no exime de seguir tramitación interna y comunicar al denunciante.

Si la investigación revela que la denuncia es malintencionada (falsa a sabiendas), documentar bien porque el denunciante pierde protección legal.

Resolución y feedback

El plazo de 3 meses termina con comunicación obligatoria al denunciante:

Contenido de la resolución:

• Resumen de investigación realizada (sin datos de terceros protegidos)
• Decisión adoptada:
  • Medidas correctivas implementadas (cambios procedimientos, formación, sanciones disciplinarias)
  • Archivo por falta de fundamento (explicando por qué)
  • Derivación a autoridades competentes si procede
• Recordatorio de protección contra represalias

Qué NO incluir:

• Identidad de personas investigadas (salvo que sea información pública)
• Detalles de sanciones concretas a empleados (son datos confidenciales)
• Información que vulnere privacidad de terceros

Seguimiento post-resolución:

• Verificar que medidas adoptadas se implementan realmente
• Monitorizar que no hay represalias contra denunciante
• Revisar si hacen falta cambios adicionales de procedimientos

El feedback cierra el ciclo pero no cierra el expediente. Tienes que conservar el registro el tiempo necesario (con un máximo de 10 años) y poder demostrar que cumpliste todo el proceso.

Errores legales que invalidan tu canal de denuncias

No garantizar independencia

El canal denuncias ley 2/2023 debe ser independiente. Esto significa que el responsable del canal no puede estar subordinado a quien se denuncia:

Error típico: El canal lo gestiona RRHH o compliance interno que reporta directamente al CEO. Se denuncia al CEO por irregularidades. ¿Cómo va RRHH a investigar objetivamente a su jefe?

Soluciones:

• Un Responsable del Sistema designado por el órgano de administración que, en el sector privado, sea un directivo que actúe con independencia y sin recibir instrucciones (art. 8)
• Externalizar la recepción de las comunicaciones en un tercero especializado (art. 6), que debe ofrecer las mismas garantías; la responsabilidad sigue siendo de la empresa
• Un órgano colegiado (por ejemplo, un comité de ética) que delegue la gestión en uno de sus miembros

Independencia también significa:

• No puede haber presión sobre el responsable del canal para resolver de cierta manera
• Tiene que tener recursos suficientes para investigar (tiempo, presupuesto, acceso a documentación)
• No puede haber represalias contra el responsable por hacer su trabajo

El nombramiento y el cese del Responsable del Sistema deben notificarse a la AIPI (o a la autoridad autonómica competente) en los 10 días hábiles siguientes. Un sistema sin independencia real no cumple la ley aunque técnicamente funcione.

Represalias contra denunciantes

La ley prohíbe expresamente cualquier represalia contra el informante, incluidas las amenazas y las tentativas (art. 36), y adoptarlas es una infracción muy grave. Se consideran represalias, entre otras:

Represalias prohibidas:

• Despido o no renovación de contrato
• Modificación de condiciones laborales desfavorables
• No promoción merecida
• Traslado forzoso
• Reducción de salario o beneficios
• Evaluaciones negativas sin justificación
• Denegación de formación
• Exclusión de proyectos o reuniones
• Acoso laboral o mobbing
• Referencias laborales negativas

Protección extendida: No solo al denunciante. También protege a:

• Personas que ayudaron al denunciante
• Compañeros del denunciante si hay represalias indirectas
• Familiares si hay represalias contra ellos

Inversión de carga de la prueba: Si el denunciante sufre medida desfavorable después de denunciar, la empresa tiene que demostrar que NO es represalia. El denunciante no tiene que probar que sí lo es.

Consecuencias:

• Nulidad de medidas represivas (despido, traslado, etc.)
• Indemnización al denunciante
• Multa de 600.001 a 1.000.000 € para la empresa
• Multa de 30.001 a 300.000 € para la persona física responsable

Documentación insuficiente

El error más común en empresas que implementaron canal «para cumplir el expediente»:

Documentación que falta típicamente:

• Procedimiento documentado de gestión de denuncias
• Política de protección al denunciante aprobada y comunicada
• Formación a empleados sobre existencia y uso del canal
• Registro detallado de cada denuncia tramitada
• Evidencias de cumplimiento de plazos
• Actas de investigaciones realizadas
• Comunicaciones con denunciantes con fechas verificables

Problema: Llega inspección de AIPI o reclamación de denunciante. Te piden demostrar que tu canal funciona y cumple la ley. Si no tienes documentación que lo pruebe, estás incumpliendo aunque realmente lo hagas bien.

Solución: Documentar TODO desde el principio:

• Acta de aprobación del procedimiento por dirección
• Comunicación a plantilla (emails, intranet, formaciones)
• Registro
  de cada denuncia con timeline completo
• Evidencias de investigaciones (entrevistas, documentos revisados, conclusiones)
• Comunicaciones con fechas certificables (emails con acuse, comunicaciones en plataforma con timestamp)

Cómo dar a conocer el canal a la plantilla

La Ley 2/2023 exige que la información sobre el canal sea clara y fácilmente accesible, y que, si la empresa tiene web, figure en la página de inicio, en una sección separada y fácil de identificar (art. 25). En la práctica, conviene:

• Comunicarlo por escrito a toda la plantilla e incluirlo en el plan de acogida de las nuevas incorporaciones.
• Explicar qué se puede comunicar, quién gestiona las comunicaciones y cómo se protege al informante, incluida la opción anónima.
• Hacer una formación breve a los responsables de equipo, que suelen ser los primeros en recibir dudas o quejas.

Canal de denuncias y acoso laboral

El canal puede recibir también comunicaciones sobre acoso laboral o sexual, siempre que el protocolo de prevención del acoso de la empresa lo prevea y se respeten sus plazos y garantías. Tener un único punto de entrada facilita que la plantilla lo use y que la empresa tenga trazabilidad de todos los casos.

Cómo saber si tu canal funciona: 5 indicadores

1. Número de comunicaciones recibidas al año. Que no llegue ninguna no siempre es buena señal: puede significar que nadie conoce el canal o que no confía en él.
2. Porcentaje de acuses de recibo enviados en un máximo de 7 días, el plazo legal.
3. Tiempo medio de respuesta, con un límite de 3 meses (ampliable a 3 más en casos de especial complejidad).
4. Proporción de comunicaciones anónimas frente a identificadas.
5. Porcentaje de casos que terminan en medidas correctoras.

Con un software de canal de denuncias, estos indicadores salen automáticamente del registro.

Cuánto cuesta un canal de denuncias

Cumplir la Ley 2/2023 no exige una gran inversión. Lo que sí hay que evitar son las soluciones que no cumplen: un correo genérico al que acceden varias personas, un buzón de sugerencias o un formulario web sin cifrado ni opción anónima.

Al comparar opciones, comprueba que el software:

• Permita comunicaciones anónimas y mantener el diálogo con el informante sin revelar su identidad.
• Registre automáticamente las fechas y avise antes de que venzan los plazos de 7 días y 3 meses.
• Restrinja el acceso al Responsable del Sistema y deje traza de quién consulta cada expediente.
• Aloje los datos en la UE, idealmente en España, y no limite el número de comunicaciones ni de gestores.

En Edorteam, el software Canal de Denuncias cuesta desde 19 €/mes para empresas de menos de 50 empleados, desde 29 €/mes de 50 a 249 empleados y desde 75 €/mes para más de 250 empleados. Todos los planes incluyen todas las funciones, sin límite de denuncias ni de administradores, en varios idiomas y con datos y soporte técnico en España. Queda operativo en 48 horas, y al responsable le basta una hora de formación para gestionarlo.

¿Quieres saber si tu canal actual cumple la Ley 2/2023 o necesitas implantarlo? Pide una demo gratuita y te diremos qué necesita tu empresa.