Si tu empresa tiene 50 o más trabajadores, o trabaja en servicios financieros o prevención del blanqueo con cualquier plantilla, la Ley 2/2023 te obliga a tener un sistema interno de información. Lo diseñamos, lo documentamos y te ayudamos a gestionarlo sin poner en riesgo la confidencialidad.
¿Tu empresa está obligada? Diagnóstico gratuito
Cuéntanos tu plantilla y tu sector y te decimos si necesitas canal de denuncias y qué te falta.
Un canal de denuncias no es solo un buzón: la ley exige un Responsable, una política, un procedimiento, un registro y garantías frente a las represalias. Nos ocupamos de todo el sistema.
Revisamos tu plantilla, tu sector y tu grupo empresarial para confirmar la obligación del artículo 10 de la Ley 2/2023 y si puedes compartir el sistema o sus recursos con otras sociedades.
Redactamos la política que enuncia los principios del sistema y el procedimiento que aprueba el órgano de administración: acuse de recibo, investigación, plazos y derechos de las partes.
Te ayudamos a elegir y designar al Responsable del Sistema, a garantizar su independencia y a notificar su nombramiento a la autoridad competente en plazo.
Definimos los medios para comunicar (por escrito, verbalmente o en reunión presencial si el informante la pide) y aseguramos que admiten comunicaciones anónimas y protegen la identidad.
Si decides encargar la recepción de comunicaciones a un tercero, preparamos el encargo con las garantías de independencia, confidencialidad y protección de datos que exige el artículo 6.
Acompañamos al Responsable en la tramitación de expedientes, las investigaciones internas y el libro-registro, y en la remisión al Ministerio Fiscal cuando hay indicios de delito.
La obligación depende de tu plantilla y, en algunos sectores, de tu actividad; no de tu facturación.
Toda persona física o jurídica del sector privado con cincuenta o más trabajadores debe disponer de un sistema interno de información.
Si tu actividad está en el ámbito de los servicios financieros o de la prevención del blanqueo, la obligación existe con independencia del número de trabajadores.
La sociedad dominante aprueba una política general, y el grupo puede tener un único sistema y un único Responsable.
Las empresas de entre 50 y 249 trabajadores pueden compartir entre sí el sistema interno de información y los recursos para gestionarlo.
Datos de la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
Plazo para enviar al informante el acuse de recibo de su comunicación.
Plazo máximo para responder a las actuaciones de investigación, ampliable otros tres meses en casos de especial complejidad.
Plazo para notificar a la autoridad el nombramiento o el cese del Responsable, con las razones en caso de cese.
Si no se han iniciado actuaciones de investigación, los datos deben suprimirse, salvo para dejar evidencia del funcionamiento del sistema.
Plazo máximo de conservación de los datos del libro-registro, que no es público.
Multa máxima a personas jurídicas por infracciones muy graves, como no disponer del sistema o adoptar represalias.
Revisamos si estás obligado, qué te falta y cómo cerrar los huecos antes de que llegue la primera comunicación o una inspección.
Las del sector privado con 50 o más trabajadores y, con independencia de la plantilla, las que operan en servicios, productos y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte o protección del medio ambiente (artículo 10 de la Ley 2/2023). También los partidos políticos, sindicatos y organizaciones empresariales que reciban o gestionen fondos públicos.
No exactamente. El canal es la vía por la que llegan las comunicaciones; el sistema interno de información incluye además al Responsable del Sistema, la política, el procedimiento de gestión, el libro-registro y las garantías de protección del informante. La ley exige el sistema completo.
Sí. El canal debe permitir la presentación y posterior tramitación de comunicaciones anónimas (artículo 7.3). Además, cuando el informante se identifica, su identidad debe mantenerse confidencial.
Sí, la recepción de comunicaciones puede encargarse a un tercero externo que ofrezca garantías de independencia, confidencialidad, protección de datos y secreto de las comunicaciones (artículo 6). Pero la responsabilidad sigue siendo del Responsable del Sistema, y el tercero actúa como encargado del tratamiento.
Lo designa el órgano de administración. En el sector privado debe ser un directivo que ejerza el cargo con independencia; si el órgano es colegiado, debe delegar en uno de sus miembros la gestión del sistema. Su nombramiento y su cese se notifican a la autoridad en diez días hábiles.
Acuse de recibo en siete días naturales y respuesta en un máximo de tres meses, ampliables otros tres en casos de especial complejidad. Si los hechos pudieran ser constitutivos de delito, la información se remite de inmediato al Ministerio Fiscal.
No disponer del sistema interno de información es una infracción muy grave. Para personas jurídicas, la multa va de 600.001 a 1.000.000 de euros, y pueden imponerse sanciones accesorias como la amonestación pública o la prohibición de contratar con el sector público.
La Ley 10/2010 ya exige a los sujetos obligados un procedimiento interno para comunicar posibles incumplimientos, incluso de forma anónima (artículo 26 bis), que puede integrarse en el sistema general. La Ley 2/2023 se aplica en lo que no regule esa normativa específica, así que lo eficiente es un único sistema bien diseñado.
Un sistema que funciona se nota en la primera comunicación: el informante sabe dónde acudir, el Responsable sabe qué hacer y la empresa puede demostrar que actuó bien.
Plantilla, sector y grupo determinan si estás obligado y si puedes compartir el sistema con otras sociedades.
Un directivo con autoridad, sin conflictos de interés y con medios para tramitar e investigar las comunicaciones.
El libro-registro, los acuses, los plazos y las decisiones documentadas demuestran ante la autoridad que el sistema funciona.
Fuente: Ley 2/2023, de 20 de febrero (artículos 5 a 12, 26, 32, 36 a 38 y 63 a 65).
Estos términos aparecen en la Ley 2/2023 y en cualquier revisión de tu sistema. Entenderlos te ayuda a implantarlo bien a la primera.
Conjunto formado por el canal, el Responsable, la política, el procedimiento y las garantías de protección.
Directivo designado por el órgano de administración para gestionar el sistema con independencia.
Quien comunica una infracción conocida en un contexto laboral o profesional y queda protegida frente a represalias.
Persona a la que se atribuyen los hechos: tiene derecho a ser informada de ellos y a ser oída.
Autoridad estatal creada por la Ley 2/2023, con Estatuto aprobado por el Real Decreto 1101/2024. Gestiona el canal externo.
Vía para informar directamente a la autoridad, o después de usar el canal interno. Que exista no exime de tener el interno.
Cualquier perjuicio por haber informado: despido, degradación, listas negras o denegación de formación, entre otros.
Registro de las comunicaciones recibidas y de las investigaciones internas. No es público.
Proveedor que recibe las comunicaciones por cuenta de la empresa y actúa como encargado del tratamiento.
Gestión interna: designado por el órgano de administración.
Recepción externalizada: sigue siendo interno: la responsabilidad no se transfiere.
Gestión interna: la realiza la propia empresa con sus medios.
Recepción externalizada: la realiza un tercero con garantías de independencia y confidencialidad.
Gestión interna: la empresa es responsable del tratamiento.
Recepción externalizada: el tercero actúa como encargado del tratamiento.
Gestión interna: la dirige el Responsable del Sistema.
Recepción externalizada: la sigue dirigiendo el Responsable del Sistema.
Gestión interna: independencia real frente a la dirección.
Recepción externalizada: control del proveedor y trazabilidad de los plazos.
Son fallos que una revisión detecta enseguida y que dejan a la empresa sin defensa.
Cuéntanos tu plantilla, tu sector y si ya tienes algún canal, y te decimos qué necesitas para cumplir la Ley 2/2023.
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva (UE) 2019/1937 y obliga a muchas empresas a disponer de un sistema interno de información, conocido como canal de denuncias. Su objetivo es que quien conozca una infracción pueda comunicarla con garantías y sin temor a represalias.
El artículo 10 obliga a las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores y, cualquiera que sea su plantilla, a las que operan en el ámbito de los servicios, productos y mercados financieros, la prevención del blanqueo de capitales o de la financiación del terrorismo, la seguridad del transporte y la protección del medio ambiente. Los grupos pueden tener un sistema único, y las empresas de 50 a 249 trabajadores pueden compartir el sistema y los recursos.
El órgano de administración implanta el sistema, previa consulta con la representación legal de los trabajadores, y es responsable del tratamiento de los datos. El sistema debe permitir comunicaciones escritas o verbales, también anónimas, y contar con un Responsable del Sistema, una política, un procedimiento de gestión y un libro-registro. Los plazos son exigentes: acuse de recibo en siete días naturales y respuesta en tres meses, ampliables otros tres.
La ley prohíbe cualquier represalia, incluidas las amenazas y las tentativas. Cuando el informante sufre un perjuicio, corresponde a quien adoptó la medida probar que se basó en motivos justificados ajenos a la comunicación. No disponer del sistema, vulnerar la confidencialidad o adoptar represalias son infracciones muy graves, con multas de hasta un millón de euros para personas jurídicas.
La Autoridad Independiente de Protección del Informante, A.A.I., cuyo Estatuto aprobó el Real Decreto 1101/2024, funciona desde el 1 de septiembre de 2025. Gestiona el canal externo y es la autoridad a la que se notifica el nombramiento del Responsable del Sistema en el ámbito estatal; algunas comunidades autónomas cuentan con su propia autoridad.
El canal es también una pieza del modelo de compliance y del plan de prevención de delitos, y el punto de entrada de las investigaciones internas. Si eres sujeto obligado de prevención del blanqueo, conviene integrarlo con el procedimiento del artículo 26 bis de la Ley 10/2010.