Desde la entrada en vigor de la Ley 2/2023, miles de empresas españolas están obligadas por ley a poner a disposición de sus trabajadores un cauce seguro para comunicar irregularidades. Sin embargo, muchas organizaciones siguen sin tenerlo implantado o lo han configurado de una forma que no cumple los requisitos legales. Con la Autoridad Independiente de Protección del Informante ya plenamente operativa y con capacidad sancionadora, el canal de denuncias obligatorio ha dejado de ser una recomendación de buenas prácticas para convertirse en un riesgo económico real. En esta guía te explicamos, en lenguaje claro, qué exige la norma y cómo cumplirla sin sobresaltos.
📋 Lo que vas a aprender en esta guía
- Qué empresas están obligadas a tener canal de denuncias en España
- Los requisitos técnicos y jurídicos que debe cumplir el sistema
- Los plazos de respuesta e investigación que marca la ley
- Las sanciones por incumplir y cómo se gradan
- Los errores más frecuentes que detectamos en auditorías de compliance
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspone al ordenamiento español la conocida como Directiva europea whistleblowing. Su objetivo es doble: que las irregularidades afloren dentro de la organización antes de acabar en un juzgado o en la prensa, y que quien las comunica no sufra represalias por hacerlo.
Qué es exactamente un canal de denuncias
Un canal de denuncias, que la ley denomina técnicamente Sistema Interno de Información, es el conjunto de medios y procedimientos que permite a trabajadores, exempleados, candidatos, autónomos, socios, proveedores y contratistas comunicar posibles infracciones penales o administrativas graves, así como cualquier vulneración del Derecho de la Unión Europea en materias como contratación pública, blanqueo de capitales, protección de datos, medio ambiente o seguridad de los productos.
No se trata únicamente de un buzón de correo. La norma exige un procedimiento documentado, un responsable designado formalmente, garantías de confidencialidad y una protección reforzada frente a represalias. Para las sociedades, además, el canal es una pieza esencial del programa de compliance penal que puede eximir o atenuar la responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal.
Qué empresas están obligadas
El ámbito subjetivo es más amplio de lo que muchos empresarios creen. Estas son las principales categorías de sujetos obligados:
Empresas de 50 o más trabajadores
Cualquier entidad del sector privado que alcance esa plantilla, con independencia de su forma jurídica o facturación.
Sectores regulados sin límite de plantilla
Sujetos obligados en prevención de blanqueo, servicios financieros, seguros, transporte y seguridad, aunque tengan cinco empleados.
Sector público
Administraciones, organismos públicos, universidades y sociedades mercantiles estatales, autonómicas y locales.
Partidos, sindicatos y fundaciones
Así como las fundaciones que de ellos dependan, siempre que reciban fondos públicos.
Los plazos de implantación ya vencieron hace tiempo: las organizaciones de más de 250 trabajadores y el sector público debían tenerlo operativo en junio de 2023, y las de 50 a 249 empleados el 1 de diciembre de 2023. Quien a día de hoy no lo tenga está en situación de incumplimiento continuado.
💡 Consejo: los grupos empresariales pueden compartir recursos del canal, y las empresas de 50 a 249 trabajadores pueden compartir medios de investigación con otras entidades. Es una vía legal para reducir costes sin perder cobertura.
Requisitos: qué distingue un canal válido de uno que no lo es
En nuestra experiencia asesorando a empresas, la mayoría de los incumplimientos no vienen de no tener nada, sino de tener algo insuficiente. Esta comparativa resume la diferencia:
Plazos de tramitación que marca la ley
Una vez recibida la comunicación, la empresa no puede tomarse el tiempo que quiera. El procedimiento tiene tiempos tasados:
7 días: acuse de recibo
Salvo que pueda comprometer la confidencialidad de la comunicación.
3 meses: investigación
Ampliables a tres meses más en asuntos de especial complejidad, motivándolo.
3 meses: supresión de datos
Si tras ese plazo no se inicia investigación, los datos deben eliminarse.
2 años: presunción de represalia
Cualquier perjuicio sufrido por el informante en ese periodo se presume represalia.
Sanciones por no tener canal de denuncias
La Autoridad Independiente de Protección del Informante inició su actividad en septiembre de 2025 y ya ejerce plenamente su potestad sancionadora. El régimen distingue entre infracciones leves, graves y muy graves. Para las personas jurídicas, las multas parten de los 10.000 euros y pueden alcanzar el millón de euros en los casos más graves, como carecer de canal, impedir su uso o vulnerar el deber de confidencialidad. A ello pueden sumarse sanciones accesorias especialmente lesivas para el negocio: la prohibición de contratar con el sector público o la pérdida de subvenciones durante un plazo de hasta cuatro años. Adoptar represalias contra quien informa se sanciona igualmente como infracción muy grave y, además, puede acarrear la nulidad del despido en el orden social.
Preguntas frecuentes
❓ ¿Sirve un simple buzón de correo electrónico?
Solo si permite comunicaciones anónimas, garantiza la confidencialidad y va acompañado del procedimiento y del responsable designados. En la práctica, un correo corporativo ordinario rara vez cumple esas garantías.
❓ ¿Puedo externalizar la gestión del canal?
Sí. La ley permite encomendar la gestión a un tercero independiente, como un despacho de abogados, siempre que ofrezca garantías de independencia, confidencialidad y protección de datos. La responsabilidad última sigue siendo de la entidad.
❓ ¿Quién puede usar el canal?
No solo la plantilla. También autónomos, socios, administradores, personas en proceso de selección, becarios, voluntarios y trabajadores de contratistas y proveedores, incluso cuando la relación ya haya terminado.
❓ ¿Qué pasa si el informante acude directamente a la Autoridad?
Puede hacerlo: el canal externo es una vía alternativa, no subsidiaria. Por eso a la empresa le interesa que su canal interno funcione bien y genere confianza, porque es la única forma de conocer y corregir el problema antes que el regulador.
¿Necesitas implantar o revisar tu canal de denuncias?
En ASB Legal somos especialistas en compliance y derecho penal económico. Diseñamos, implantamos y gestionamos canales de denuncias conformes a la Ley 2/2023 y auditamos los que ya tienes. Atendemos online en toda España desde Badajoz.
Conclusión
El canal de denuncias ha pasado de ser un elemento decorativo del programa de compliance a una obligación legal con supervisión activa y multas relevantes. La buena noticia es que implantarlo correctamente no es especialmente costoso si se hace de una vez y bien: designar al responsable, aprobar la política, habilitar una plataforma que permita el anonimato, formar a la plantilla y documentar cada paso. La mala es que improvisar sale caro, porque el incumplimiento es fácilmente verificable por la Autoridad y, además, debilita la defensa de la empresa en un eventual procedimiento penal.
📌 En resumen
Si tu empresa tiene 50 o más trabajadores, o pertenece a un sector regulado, el canal de denuncias es obligatorio desde 2023 y su ausencia puede costar hasta un millón de euros más la prohibición de contratar con el sector público. Revisar hoy si el tuyo cumple es mucho más barato que explicárselo después a la Autoridad.
Deja una respuesta