Responsable del sistema interno de información: quién puede serlo, funciones y notificación

El responsable del sistema interno de información es la persona física, o el órgano colegiado, que designa el órgano de administración para gestionar el canal de denuncias con independencia (art. 8 de la Ley 2/2023). En una empresa privada debe ser un directivo, puede serlo el compliance officer si cumple los requisitos, y su nombramiento y su cese se notifican en diez días hábiles a la Autoridad Independiente de Protección del Informante (A.A.I.) o a la autoridad autonómica.

Es la pieza que convierte un buzón en un sistema. Aquí verás quién puede ocupar el cargo, qué hace, qué parte admite apoyo externo y cómo se comunica. Si aún estás valorando si te afecta, empieza por nuestro servicio de canal de denuncias.

Por qué es obligatorio designarlo

La Ley 2/2023 exige que el sistema interno de información cuente con un Responsable del Sistema (art. 5.2.g), junto con una política o estrategia debidamente publicitada (art. 5.2.h), un procedimiento de gestión de las informaciones (art. 5.2.i) y garantías para proteger a los informantes (art. 5.2.j). Sin Responsable no hay sistema completo.

La obligación alcanza a quien tenga contratados cincuenta o más trabajadores (art. 10.1.a) y, con independencia de la plantilla, a las personas jurídicas que operan en ámbitos como los servicios financieros o la prevención del blanqueo de capitales (art. 10.1.b). La A.A.I. lo confirma en sus preguntas frecuentes: una persona jurídica sujeta a la normativa de prevención del blanqueo debe implantar el sistema aunque tenga menos de 50 empleados. Si dudas de si lo eres, lo vemos en sujetos obligados.

Quién puede ser el responsable del sistema

Lo designa, y lo cesa, el órgano de administración u órgano de gobierno de la entidad (art. 8.1). La ley deja estas opciones:

¿Puede serlo el compliance officer?

Sí. Si en tu empresa ya hay una persona responsable de la función de cumplimiento normativo o de políticas de integridad, «cualquiera que fuese su denominación», puede ser la designada (art. 8.6). La A.A.I. añade una condición práctica: que cumpla los requisitos de independencia y no reciba instrucciones sobre el manejo de las denuncias. Si ya tienes un modelo de prevención de delitos, su órgano de cumplimiento es un candidato natural; lo explicamos en el art. 31 bis, explicado.

Si eliges un órgano colegiado

La ley obliga a delegar en uno de sus miembros las facultades de gestión del sistema y de tramitación de expedientes de investigación (art. 8.2). La Recomendación 1/2026 de la A.A.I., que no es vinculante, sugiere que no supere los cinco miembros. No hace falta que todos pertenezcan a la organización, pero el órgano debe contar con, al menos, un miembro interno.

¿Puede ser un externo?

Hay que separar dos cosas. Si el Responsable es una persona física, en el sector privado debe ser un directivo de la entidad (art. 8.5). Lo que la ley permite encargar a un tercero es la gestión del sistema, y la define así: «se considera gestión del Sistema la recepción de informaciones» (art. 6.1). La A.A.I. lo subraya en sus preguntas frecuentes: esa gestión es «exclusivamente» la recepción.

La A.A.I. recuerda que un miembro externo debe cumplir los mismos requisitos de independencia que el resto. Si quieres reforzar el cargo con especialistas, el órgano colegiado es la vía que encaja. Ese refuerzo, y la recepción de comunicaciones como tercero, es lo que ofrecemos desde nuestro servicio de compliance officer externo.

Qué funciones tiene

El órgano de administración aprueba el procedimiento de gestión de informaciones y el Responsable del Sistema «responderá de su tramitación diligente» (art. 9.1). En la práctica, eso supone:

• Cumplir los plazos. Acuse de recibo en siete días naturales y respuesta en un máximo de tres meses, ampliables otros tres en casos de especial complejidad (art. 9.2.c y d). Los detallamos en plazos del canal de denuncias.
• Recibir lo que llegue por otras vías. Quien reciba una comunicación fuera del canal debe remitirla de inmediato al Responsable (art. 9.2.g).
• Tramitar con garantías. Mantener la comunicación con el informante (art. 9.2.e), informar y oír a la persona afectada (art. 9.2.f) y respetar la presunción de inocencia y el honor (art. 9.2.h).
• Remitir al Ministerio Fiscal con carácter inmediato la información cuando los hechos pudieran ser indiciariamente delictivos (art. 9.2.j).
• Mantener el libro-registro de las informaciones recibidas y de las investigaciones internas, que no es público (art. 26).

Para todo ello la ley le exige actuar de forma independiente y autónoma respecto del resto de órganos, sin recibir instrucciones de ningún tipo, y con todos los medios personales y materiales necesarios (art. 8.4). Si la comunicación da lugar a una investigación, el protocolo marca cómo se instruye; te ayudamos con ello en investigaciones internas.

Cómo se notifica a la A.A.I.

El nombramiento y el cese se notifican a la A.A.I. o, en su caso, a la autoridad autonómica competente en los diez días hábiles siguientes; si es un cese, hay que especificar las razones (art. 8.3). Se hace con el formulario de la sede electrónica de la A.A.I. y estos son los puntos que aclaran sus preguntas frecuentes:

• Quién notifica a la A.A.I. Las entidades con establecimientos en más de una comunidad autónoma y las que están en una sola comunidad sin autoridad autonómica competente. En los demás casos es voluntario, sin perjuicio de la normativa autonómica.
• Comunidades con autoridad propia (que han asumido, en todo o en parte, estas competencias): Cataluña, Galicia, Andalucía, Comunidad Valenciana, Castilla-La Mancha, Navarra, Comunidad de Madrid y Castilla y León.
• Qué se adjunta. El documento digitalizado del nombramiento o cese: acta del consejo de administración (no un extracto), certificación del acta, acuerdo del órgano de gobierno o designación por el representante legal.
• Quién rellena el formulario. Cualquier persona que acredite estar facultada para actuar en nombre de la entidad, incluido el propio Responsable si su designación consta en el documento.
• Órgano colegiado. Hay que identificar a todos sus integrantes e indicar en quién se han delegado las facultades de gestión.
• Grupos. Aunque haya un único Responsable, la obligación recae sobre cada sociedad del grupo.

El plazo extraordinario para comunicar los nombramientos anteriores corrió del 10 de febrero al 10 de abril de 2026, según la Guía 1/2026. Ya está cerrado; desde entonces, cada cambio va por el plazo ordinario.

Errores que conviene evitar

• Nombrar a alguien que recibe instrucciones sobre cómo tratar las comunicaciones (art. 8.4).
• Designar un órgano colegiado sin delegar la gestión y la tramitación en uno de sus miembros (art. 8.2).
• Dar el cargo a quien tiene un conflicto de interés evidente con lo que va a investigar (art. 8.5).
• Pensar que el proveedor del canal es el Responsable: la responsabilidad no se traslada (art. 6.3).
• Olvidar notificar el cese o el nuevo nombramiento en diez días hábiles (art. 8.3).
• Dejar al Responsable sin tiempo ni medios para tramitar (art. 8.4).

Preguntas frecuentes

¿El Responsable del Sistema tiene que residir en España?

No. Según las preguntas frecuentes de la A.A.I., la Ley 2/2023 no establece ningún requisito de nacionalidad ni exige que el Responsable tenga su residencia en territorio español, por lo que el cargo puede ocuparlo una persona extranjera radicada fuera de España. Lo que sí exige la ley es que cumpla los requisitos de independencia y medios del art. 8.

¿Se puede nombrar un suplente del Responsable?

Sí, de forma voluntaria. La A.A.I. admite que, si tu normativa interna prevé suplencias, se incluyan en la comunicación del nombramiento, ya sea por cargo o de forma nominal. Es útil para cubrir vacaciones o ausencias sin que se resientan los plazos de acuse de recibo y de respuesta.

¿Un autónomo sujeto obligado de prevención del blanqueo tiene que nombrar Responsable?

Según la A.A.I., no: la obligación sin umbral de plantilla del art. 10.1.b de la Ley 2/2023 solo alcanza a las personas jurídicas. Un profesional que actúa como persona física solo estaría obligado si tuviera contratados cincuenta o más trabajadores (art. 10.1.a). Tus obligaciones de prevención del blanqueo siguen intactas; las repasamos en prevención de blanqueo.

¿Qué pasa si cambia la persona que ocupa el cargo?

Son dos actos que hay que notificar: el cese del anterior, especificando las razones, y el nombramiento del nuevo, ambos en los diez días hábiles siguientes (art. 8.3). Si el error está en una notificación ya presentada, la A.A.I. prevé una solicitud de rectificación indicando el número de registro y aportando después los datos correctos.

¿Cómo se acredita la representación al presentar el formulario?

La A.A.I. acepta una autorización interna, una certificación del órgano de administración, un poder notarial u otro medio válido en Derecho, que se adjunta en el apartado «Certificado de representación» del formulario. El formulario se presenta en la sede electrónica con certificado digital, y puede usarse un certificado de persona jurídica o de persona física.